Zafiyet Tarama Araçları
Zafiyet tarama araçları, bilişim sistemlerinde kullanılan ağlar, mobil ve web uygulamalar, web siteleri gibi birçok alanda güvenlik açıklıklarını tespit etmek amacı ile kullanılan uygulamalardır. Bilişim sistemlerindeki gelişmeler ile birlikte siber saldırılar da değişerek kendisini göstermektedir. Bu hızlı değişime ayak uydurabilmenin tek yolu ise zafiyet tarama araçlarının kullanılmasıdır. Bu araçlar bilişim sisteminin niteliğine göre değişir. Yazımızın temel konusu siber zafiyetler olması nedeniyle öncelikle siber zafiyet nedir sorusuna kısaca cevap vermekte fayda vardır.
Siber Zafiyet Nedir?
Siber zafiyet, bilişim sistemlerinde ve ağlarında bulunan güvenlik açıklıklarıdır. Herhangi bir siber zafiyete bağlı olarak kötü niyetli kişilerce bilişim sistemlerine izinsiz girme ya da sistemin işleyişini bozma gibi zararlı etkinlikler ile karşılaşmak mümkündür. Bu tür zafiyetler genellikle zafiyet tarama araçları ile tespit edilebilmektedir.
Ağ Zafiyet Tarama Araçları
Ağdaki güvenlik açıklıklarını tespit etmek ve gerekli önlemleri almak için kullanılan yazılımlara genel olarak ağ zafiyet tarama araçları denilmektedir. Siber güvenlik uzmanları, sızma testi uzmanları veya penetrasyon testi uzmanları tarafından sık kullanılan ağ zafiyetleri tarama araçları aşağıdaki gibidir.
Nmap
Ağ zafiyetlerinin tespit edilmesinde en sık kullanılan ve etkili programdır. Açık portları detaylıca tarayarak raporlamaktadır. Bunun dışında ağda kullanılan güvenlik politikalarının bilgilerine de erişmek mümkündür. Bu özelliği dikkate alındığında siber güvenlik uzmanları haricinde siyah şapkalı hackerler tarafından da kullanılmaktadır.
Nessus
Ağ zafiyet tarama araçları arasında en kapsamlı tarama aracı olduğunu söyleyebiliriz. Genellikle penetrasyon testi sırasında kullanılmaktadır.
OpenVAS
Açık kaynaklı bir ağ zafiyet tarama aracıdır. Ağdaki zafiyetleri detaylıca taramaktadır. Tarama sonrasında ise raporlama özelliğine sahiptir.
Metasploit
Siber güvenlik eğitimleri ve sızma testi simülasyonlarında tercih sebebidir. Ayrıca siber güvenlik eğitimleri veren kurumlarca da tercih edilmektedir.
Wireshark
Ağ paketlerini yakalamak ve ağdaki trafiği izlemek amacıyla kullanılır. Zaman zaman siber güvenlik amacıyla kullanıldığı gibi hack işlemlerinde de kullanılmaktadır.
Mobil Uygulama Zafiyet Tarama Araçları
Bir çok işlemlerimizi mobil uygulamalar sayesinde kısa sürede ve sorunsuz bir şekilde yerine getirmekteyiz. Bu işlemlere banka ve diğer finansal işlemlerimizde dahildir. Bu durumlar göz önüne alındığında siber güvenlik açısından mobil uygulamalar ayrı bir öneme sahiptir. Siber güvenlik kapsamında mobil uygulamalara yönelik zafiyet tarama araçlarını aşağıdaki gibi sıralayabiliriz.
Drozer
Mobil uygulamaları analiz ve test etmek için en sık kullanılan zafiyet tarama araçlarındandır. İçerisinde bir çok modül bulunmaktadır. Bu sayede kapsamlı bir zafiyet testi yapılması mümkündür.
Quick Android Review Kit
Android uygulamalara yönelik bir zafiyet tarama aracıdır. Uygulamada veri ihlallerinin bulunup bulunmadığı veya, uygulamanın kötü amaçlı bir kod barındırıp barındırmadığı etkili bir şekilde Quick android review kit ile kontrol edilebilmektedir.
Mobile Security Framework
Android uygulamalar ile birlikte İOS uygulamalara yönelik bir zafiyet tarama aracıdır. Açık kaynaklı olması nedeniyle siber güvenlik uzmanı ve penetrasyon testi uzmanları tarafından sık tercih sebebi olmaktadır. API testi, kod analizi, dosya analizi ve kullanıcı kontrolleri başta olmak üzere bir çok alanda zafiyet taraması yapabilme kapasitesine sahiptir.
Frida
Bir çok alanda siber zafiyetleri tarama özelliğine sahiptir. Ancak daha çok “runtime” davranışlarını analiz etmek amacıyla kullanılmaktadır. Tarama sonrası detaylı raporlama özelliğine sahiptir. Bu nedenle diğer zafiyet tarama araçları ile birlikte de kullanılması mümkündür.
Andro Bugs Framework
Bir başka açık kaynaklı mobil zafiyet tarama aracı da andro bugs framework’dur. Açık kaynaklı olması nedeniyle sızma testi uzmanı tarafından tercih sebebi olmaktadır. En fazla tercih sebebi ise zafiyet analizi sonrası detaylı rapor sunuyor olmasıdır.
Web Uyulama Zafiyet Tarama Araçları
Siber güvenlik alanında önemli üzerinde durulan bir başka konu ise web uygulamalardır. Mobil uygulamalar ile web uygulamaların çalışma prensipleri farklı olması nedeniyle web uygulamalar için ayrıca zafiyet tarama araçları geliştirilmiştir. Her birisinin kullanım amacı kısmen farklı olsa da genel amaçları siber zafiyetleri tespit etmektir.
- Burp Suite
- Netsparker
- Owasp Zap (Zed Attack Proxy)
- Acunetix
- Arachni
- Vega
- Nikto
Zafiyet Tarama Araçlarının Avantajları
Bilişim sistemleri karmaşık bir yapıya sahiptir. Bu karmaşıklığın üstesinden gelmek yine bilişim sistemlerini kullanmakla mümkündür. Son yıllarda yapay zeka uygulamaları ve zafiyet tarama araçları bu alanda sık kullanılan teknolojilerdendir. Bu araçlar penetrasyon testi aşamaları ve diğer siber güvenlik uygulamalarında bizlere bir çok avantaj sağlamaktadır.
Hızlı Tarama
Manüel olarak gerçekleştirilebilecek işlemlerin hemen hemen tamamı bu araçlar kullanılarak da gerçekleştirilmektedir. Ancak manüel olarak yapılan bu işlemler uzun sürmektedir. Oysa siber güvenlikte hız oldukça önemlidir. Bu nedenle hızlı tarama yapabilmek için zafiyet taramada bu araçlar tercih edilmektedir.
Daha Kapsamlı Testler
Derinlemesine bir analiz yapılmadığı takdirde siber zafiyetler gözden kaçabilmektedir. Bunu en aza indirmek ise yine bu araçlar ile mümkündür. Manüel olarak gerçekleştirilmesi mümkün dahi olmayan bir çok işlem bu tür yazılımlar ile kısa sürede ve detaylı olarak gerçekleştirilmektedir.
Maliyet
Zafiyet tarama araçları siber güvenlik alanında kolaylıklar sağlamış olması nedeniyle yapılacak olan testlerin maliyetine de etki etmektedir. Örneğin manüel olarak gerçekleştirilen bir sızma testinin saatler hatta günler sürdüğü göz önüne alındığında bu araçların kullanılması ile kısa sürede gerçekleştirilmektedir. Bu durum da doğal olarak maliyetleri oldukça düşürmektedir.
Raporlama
Yukarıda belirtmiş olduğumuz zafiyet tarama araçlarının bir çoğu yapmış oldukları test sonrasında raporlama özelliğine sahiptir. Bu raporlama bize mevcut siber zafiyetlerin türü ve ne şekilde önlem alınacağı konusunda bilgiler vermektedir.
Zafiyet Tarama Araçları Nasıl Kullanılır?
Bir çok uygulama ve yazılımlarda olduğu gibi zafiyet tarama araçları da kendi alanında kullanımı bir uzmanlık gerektirmektedir. Bu konuda gerekli eğitimleri almamış kişilerce kullanılması web uygulamalara, mobil uygulamalara ve web sitelerine ciddi zararlar vermesi mümkündür. Bu siber güvenlik alanında verilen eğitimlerde zafiyet taramada kullanılan araçlar konusunda ayrıca bir eğitim verilmektedir.
Bu nedenle bu tür programların amaçlarının yerine getirilmesi için konusunda gerekli eğitimleri almış kişilerce kullanılması gerekmektedir. Bu kişiler genellikle siber güvenlik uzmanı, penetrasyon testi uzmanı veya sızma testi uzmanlarıdır.
Zafiyet Tarama Araçları Ücretli Midir?
Zafiyet tarama araçlarının bir çoğu ücretsizdir. Ancak ücretsiz versiyonlarında bir takım kısıtlamalar bulunabilmektedir. Bu kısıtlamalar taramanın tam olarak yapılmasını engelleyecek kısıtlamalar olabilmektedir. Tam ve etkili bir zafiyet taraması ve sızma testi yapılabilmesi için bu araçların ücretli versiyonlarının kullanılması tavsiye edilmektedir.
Author Profile
Latest entries
Genel9 Eylül 2024Siber Güvenlik Alanında Kariyer Önerileri- Genel2 Eylül 2024Trojan Virüsü Nasıl Temizlenir
- Güvenli İnternet26 Ağustos 2024Bilgi Güvenliği Uzmanı Nedir, Ne İş Yapar?
- Siber Güvenlik19 Ağustos 2024Siber Güvenlik Uzmanı Nedir?
