Saldırı Yüzeyi Nedir? Attack Surface ve Saldırı Yüzeyi Yönetimi Rehberi

Kısaca Saldırı Yüzeyi Nedir?

Saldırı yüzeyi, saldırganın bir kurumun sistemlerine, uygulamalarına, kullanıcılarına veya verilerine ulaşmak için kullanabileceği tüm olası giriş, etkileşim ve veri çıkış noktalarının toplamıdır.

Bir kurumun saldırı yüzeyine örnek olarak şunlar dahil olabilir:

• İnternete açık IP adresleri
• Web siteleri ve web uygulamaları
• Subdomain'ler
• API endpoint'leri
• VPN ve uzaktan erişim servisleri
• Firewall ve yönetim arayüzleri
• Bulut kaynakları
• SaaS uygulamaları
• Kullanıcı ve servis hesapları
• Mobil cihazlar ve laptop'lar
• IoT ve OT sistemleri
• Üçüncü taraf entegrasyonları
• CI/CD ve geliştirme sistemleri
• Depolama alanları ve yedekleme sistemleri

Temel prensip basittir:

Korunması gereken varlık sayısı ve bu varlıklara ulaşılabilecek yollar arttıkça saldırı yüzeyinin yönetimi daha karmaşık hale gelir.

Attack Surface NIST Tarafından Nasıl Tanımlanıyor?

NIST saldırı yüzeyini, bir saldırganın bir sisteme veya ortama girmeyi, sistem üzerinde etki yaratmayı veya sistemden veri çıkarmayı deneyebileceği sınır noktalarının bütünü olarak tanımlar.

Bu tanım saldırı yüzeyinin yalnızca "açık portlar" anlamına gelmediğini gösterir.

Bir saldırganın:

• Sisteme girebildiği
• Komut gönderebildiği
• Yetki kazanabildiği
• Başka sistemlere ilerleyebildiği
• Veri okuyabildiği
• Veri dışarı çıkarabildiği

her yol saldırı yüzeyinin değerlendirilmesinde önemlidir.

Saldırı Yüzeyi ile Attack Vector Arasındaki Fark Nedir?

Saldırı yüzeyi saldırılabilecek alanın tamamını, attack vector - saldırı vektörü ise saldırganın bu alandaki bir noktayı kullanarak sisteme ulaşmak için izlediği yöntemi ifade eder.

Örneğin:

• İnternete açık VPN servisi - saldırı yüzeyinin parçasıdır.
• VPN yazılımındaki kritik açık - vulnerability'dir.
• Açığın exploit edilerek sisteme girilmesi - attack vector'dür.

Saldırı Yüzeyi ile Güvenlik Açığı Aynı Şey midir?

Hayır. Saldırı yüzeyi bir sistemde saldırganın etkileşime girebileceği alanların tamamıdır. Güvenlik açığı ise bu alanların birinde bulunan ve istismar edilebilecek teknik veya mantıksal zayıflıktır.

Bir web uygulamasının internete açık olması saldırı yüzeyi oluşturur.

Aynı uygulamada SQL injection açığının bulunması ise vulnerability'dir.

Uygulama internete kapatılırsa teknik açık kod içinde bulunmaya devam edebilir, ancak dış saldırgan açısından erişilebilir exposure seviyesi önemli ölçüde azalır.

Bu ayrım saldırı yüzeyi yönetiminin neden yalnızca vulnerability scanning olmadığını açıklar.

Saldırı Yüzeyinin Türleri Nelerdir?

Kurumsal saldırı yüzeyi farklı açılardan sınıflandırılabilir. Dijital, fiziksel ve insan kaynaklı yüzeylerin yanında external, internal, identity, cloud, application ve third-party attack surface gibi alt kategoriler de değerlendirilmelidir.

Dijital Saldırı Yüzeyi

Ağ veya internet üzerinden erişilebilen dijital sistemleri kapsar.

• Web siteleri
• Web uygulamaları
• API'ler
• Sunucular
• Veritabanları
• Cloud workload'ları
• SaaS servisleri
• DNS kayıtları
• VPN ve remote access sistemleri
• Container ve Kubernetes altyapıları
• IoT ve OT cihazları

Fiziksel Saldırı Yüzeyi

Saldırganın fiziksel olarak ulaşabileceği donanım, ortam ve veri varlıklarını kapsar.

• Sunucular
• Laptop ve mobil cihazlar
• USB portları
• Harici diskler
• Network cihazları
• Veri merkezi erişim noktaları
• Yanlış imha edilen donanım ve belgeler

İnsan Kaynaklı Saldırı Yüzeyi

Çalışanlar, yöneticiler, tedarikçiler ve diğer kullanıcıların erişimlerinin saldırgan tarafından manipüle edilme ihtimalini kapsar.

• Phishing
• Sosyal mühendislik
• Zayıf parola kullanımı
• Credential reuse
• Aşırı yetkilendirme
• Insider threat

Bu kategoriler birbirinden bağımsız değildir.

Phishing ile ele geçirilen bir çalışan hesabı insan saldırı yüzeyinden başlayan bir olayın identity ve cloud attack surface üzerinden kritik verilere ulaşmasına neden olabilir.

External Attack Surface Nedir?

External attack surface, kurumun internet üzerinden dışarıdan görülebilen ve saldırgan tarafından doğrudan keşfedilebilen dijital varlıklarının tamamıdır.

Bu yüzey saldırganın kuruma ilk defa baktığında görebileceği alanı temsil eder.

Örnekler:

• Domain ve subdomain'ler
• Public IP adresleri
• Web uygulamaları
• Public API'ler
• VPN gateway'leri
• Remote desktop servisleri
• Cloud load balancer'lar
• Public storage alanları
• Internet-facing management interface'leri
• SSL/TLS sertifikaları

External attack surface yönetiminde temel prensip şudur:

Saldırgan sizin CMDB'nizi veya resmi envanterinizi kullanmaz. İnternette gerçekten görünen varlıkları keşfeder.

Internal Attack Surface Nedir?

Internal attack surface, saldırgan ilk erişimi sağladıktan sonra ulaşabileceği kullanıcılar, sistemler, servisler, ağ yolları ve ayrıcalıkları kapsar.

İç saldırı yüzeyi şu alanları içerebilir:

• Active Directory
• Internal API'ler
• Admin panelleri
• Dosya sunucuları
• Database sistemleri
• Service account'lar
• Shared credential'lar
• Legacy uygulamalar
• Network segment'leri

External attack surface ilk erişimi etkilerken internal attack surface saldırının ne kadar ilerleyebileceğini ve blast radius'un ne kadar büyüyebileceğini etkiler.

Identity Attack Surface Nedir?

Identity attack surface, kullanıcıların, servis hesaplarının, API anahtarlarının, token'ların ve ayrıcalıklı kimliklerin saldırgan tarafından kullanılabileceği tüm erişim yollarını ifade eder.

Modern saldırılarda kimlik saldırı yüzeyi özellikle önemlidir çünkü saldırganların sisteme girmek için her zaman teknik bir CVE exploit etmesi gerekmez.

Geçerli bir kullanıcı hesabının ele geçirilmesi yeterli olabilir.

Identity attack surface örnekleri:

• MFA bulunmayan kullanıcı hesapları
• Paylaşılan admin hesapları
• Kullanılmayan eski çalışan hesapları
• Aşırı yetkili service account'lar
• Uzun süre geçerli API key'ler
• Kaynak kod içine yazılmış secret'lar
• Riskli OAuth uygulamaları
• Kontrolsüz third-party access

Kimlik merkezli riskleri azaltmak için Zero Trust Mimarisi Nedir? rehberi tamamlayıcı bir çerçeve sunar.

Cloud Attack Surface Nedir?

Cloud attack surface, public cloud, private cloud ve SaaS ortamlarında oluşturulan workload, identity, API, storage, network ve yönetim bileşenlerinin saldırıya açık alanlarının toplamıdır.

Bulutun hızlı kaynak oluşturma kabiliyeti aynı zamanda saldırı yüzeyinin çok hızlı değişmesine neden olur.

Cloud attack surface örnekleri:

• Public IP atanmış sanal makineler
• Yanlış yapılandırılmış object storage
• 0.0.0.0/0 erişimine açık portlar
• Public Kubernetes API endpoint'leri
• Aşırı yetkili IAM role'leri
• Unutulan cloud account ve subscription'lar
• Serverless function endpoint'leri
• API gateway'ler
• Cloud secret'ları
• Snapshot ve backup kopyaları

API Attack Surface Nedir?

API attack surface, bir uygulamanın dış sistemlerle veya diğer servislerle iletişim kurmak için sunduğu tüm API endpoint'leri, authentication yöntemleri, parametreleri ve veri akışlarından oluşur.

Mikroservis mimarilerinde kullanıcıya yalnızca birkaç ekran görünmesine rağmen arka planda yüzlerce API endpoint'i bulunabilir.

Riskli örnekler:

• Dokümante edilmemiş API'ler
• Eski API versiyonları
• Authentication bulunmayan endpoint'ler
• Gereğinden fazla veri döndüren API'ler
• Test endpoint'leri
• Hard-coded API key'ler
• Kontrolsüz third-party webhook'lar

API yüzeyinin geliştirme aşamasında kontrol altına alınması için DevSecOps Nedir? rehberi de değerlendirilmelidir.

Third-Party ve Supply Chain Attack Surface Nedir?

Bir kurum yalnızca kendi sistemlerinden değil, bağlandığı tedarikçi, SaaS sağlayıcısı, açık kaynak bileşen ve teknoloji partnerlerinin oluşturduğu saldırı yüzeyinden de etkilenebilir.

Örnekler:

• CRM entegrasyonu
• Ödeme sağlayıcısı
• Marketing automation sistemi
• Cloud provider
• Remote support yazılımı
• npm veya Python dependency'leri
• CI/CD plug-in'leri
• MSP veya dış kaynak IT erişimleri

Tedarikçinin erişim seviyesi arttıkça kurumun kontrol alanı dışında kalan attack path sayısı da artabilir.

AI ve LLM Kullanımı Yeni Bir Saldırı Yüzeyi Oluşturur mu?

Evet. Harici yapay zeka servisleri, kurumsal LLM uygulamaları, agent sistemleri ve AI API entegrasyonları yeni kimlik, veri ve uygulama saldırı yüzeyleri oluşturabilir.

AI attack surface içinde değerlendirilebilecek alanlar:

• LLM API key'leri
• Agent tool erişimleri
• Prompt üzerinden tetiklenebilen işlemler
• RAG doküman kaynakları
• Vector database'ler
• AI plug-in ve connector'ları
• Model endpoint'leri
• AI uygulamasının service account'ları
• Prompt ve output logları

AI agent'lara kritik sistemlerde işlem yetkisi verildiğinde klasik kullanıcı least privilege yaklaşımı servis ve agent kimliklerine de uygulanmalıdır.

Saldırı Yüzeyi Neden Sürekli Büyüyor?

Modern saldırı yüzeyi statik değildir. Yeni cloud workload'ları, SaaS araçları, API'ler, çalışanlar, şirket satın almaları ve geliştirme projeleri nedeniyle sürekli değişir.

Bulut Kullanımının Artması

Cloud servisleri birkaç dakika içinde yeni sunucu, storage, API veya network kaynağı oluşturmayı mümkün hale getirir.

Aynı hızla envanter ve güvenlik kontrolü kurulmazsa unmanaged asset sayısı artar.

Shadow IT

Çalışanların IT veya güvenlik ekibinin bilgisi dışında kullandığı SaaS, cloud, dosya paylaşım ve AI servisleri görünmeyen saldırı yüzeyi oluşturur.

Hibrit Çalışma

Kullanıcıların farklı cihaz ve ağlardan çalışması klasik ofis ağının güvenlik sınırını ortadan kaldırır.

Mikroservis ve API Mimarileri

Monolitik uygulamalardan mikroservislere geçiş daha fazla servis, API ve service identity oluşturabilir.

SaaS Kullanımı

Her SaaS uygulaması yeni kullanıcı hesapları, OAuth izinleri, API entegrasyonları ve veri akışları oluşturabilir.

M&A ve Organizasyonel Değişimler

Birleşme ve satın almalarda yeni domain'ler, eski altyapılar, legacy uygulamalar ve farklı cloud account'ları kurumun dijital ayak izine eklenir.

Üçüncü Taraflar

Her yeni tedarikçi veya entegrasyon farklı bir trust relationship oluşturur.

Shadow IT Nedir ve Saldırı Yüzeyini Nasıl Büyütür?

Shadow IT, kurumun resmi IT ve güvenlik süreçlerinin dışında kullanılan teknoloji kaynaklarıdır.

Örneğin bir pazarlama ekibinin:

• Kendi kredi kartıyla SaaS satın alması
• Yeni bir landing page platformu açması
• CRM'den veri aktarması
• AI aracına müşteri verisi yüklemesi
• Kişisel cloud hesabından sunucu oluşturması

teknik olarak hızlı sonuç üretebilir.

Ancak bu kaynaklar:

• Envanter dışında kalabilir.
• MFA politikasına dahil olmayabilir.
• Log üretmeyebilir.
• Patch sürecine dahil olmayabilir.
• Çalışan ayrıldığında unutulabilir.

Bu nedenle Shadow IT ASM programlarının en önemli keşif alanlarından biridir.

Bilinen ve Bilinmeyen Saldırı Yüzeyi Arasındaki Fark Nedir?

Bilinen saldırı yüzeyi kurumun envanterinde bulunan ve güvenlik ekipleri tarafından yönetilen varlıklardan, bilinmeyen saldırı yüzeyi ise kurumla ilişkili olduğu halde resmi olarak keşfedilmemiş veya yönetilmeyen varlıklardan oluşur.

Bilinmeyen varlıklara örnek:

• Eski test sunucusu
• Unutulan subdomain
• Eski çalışan tarafından açılmış cloud hesabı
• Public storage bucket
• Legacy VPN appliance
• Eski campaign domain'i
• Güncelliğini yitirmiş CMS
• Unutulmuş API

Bu varlıkların en önemli problemi güvenlik ekiplerinin onları yamalayamaması değil, ilk etapta var olduklarını bilmemesidir.

Attack Surface Management - ASM Nedir?

Attack Surface Management - ASM, bir kurumun saldırıya açık dijital varlıklarını sürekli olarak keşfetme, envanterleme, analiz etme, risklerini önceliklendirme ve exposure'ları azaltma disiplinidir.

ASM'nin temel amacı yalnızca açık bulmak değildir.

Önce şu soruya yanıt verir:

"Saldırganın görebildiği hangi varlıklarımız var?"

Ardından:

• Bu varlık bize mi ait?
• Hala kullanılmalı mı?
• İnternete açık olması gerekiyor mu?
• Güvenlik açığı var mı?
• Yanlış yapılandırılmış mı?
• Kritik sistemlere erişim yolu oluşturuyor mu?
• Hangi risk önce düzeltilmeli?

sorularına cevap üretir.

EASM - External Attack Surface Management Nedir?

EASM, kurumun internet üzerinden dışarıdan görülebilen dijital varlıklarını saldırgan bakış açısıyla sürekli keşfetmeye ve yönetmeye odaklanan ASM alt disiplinidir.

EASM çoğunlukla agent veya şirket içi credential kullanmadan dışarıdan keşif yapmaya çalışır.

Keşif sırasında:

• Domain'ler
• Subdomain'ler
• IP blokları
• Host'lar
• Cloud servisleri
• Web teknolojileri
• SSL/TLS sertifikaları
• Open port ve servisler
• Third-party dependency'ler

gibi bilgiler kullanılabilir.

EASM'nin farkı yalnızca kurumun kendisinin tanımladığı envanteri taramaması, bu envanterin dışında kalan varlıkları da keşfetmeye çalışmasıdır.

ASM Nasıl Çalışır?

Etkili bir ASM programı keşif, attribution, sınıflandırma, exposure analizi, önceliklendirme, remediation ve sürekli doğrulama döngüsünden oluşur.

1. Discovery - Keşif

Kurumla ilişkili internet-facing varlıklar aranır.

Başlangıç noktaları:

• Domain
• IP blokları
• ASN
• Cloud account'ları
• Sertifika ilişkileri
• WHOIS bilgileri

2. Attribution - Sahiplik Doğrulama

Bulunan varlığın gerçekten kuruma ait olup olmadığı değerlendirilir.

3. Classification - Sınıflandırma

Varlık tipi ve işlevi belirlenir.

• Production
• Development
• Test
• Third-party
• Cloud
• Legacy

4. Exposure Assessment

Varlığın internet exposure'ı ve güvenlik duruşu analiz edilir.

• Open port
• Vulnerability
• Misconfiguration
• Eski yazılım
• Zayıf TLS
• Public admin interface
• Default configuration

5. Risk Prioritization

Her bulgu aynı risk seviyesinde değildir.

Önceliklendirmede teknik skorun yanında varlığın iş kritikliğine de bakılmalıdır.

6. Remediation

Risk aşağıdaki aksiyonlardan biriyle azaltılır:

• Sistemi kapatma
• İnternet exposure'ını kaldırma
• Patch uygulama
• MFA ekleme
• Firewall kuralı değiştirme
• Yetki azaltma
• Sistemi resmi yönetime alma

7. Continuous Monitoring

Saldırı yüzeyi sürekli değiştiği için keşif ve doğrulama periyodik değil sürekli çalışan bir süreç olmalıdır.

Saldırı Yüzeyi Riski Nasıl Önceliklendirilmelidir?

ASM risk önceliklendirmesi yalnızca CVSS skoruna göre yapılmamalıdır. Exposure, exploit edilebilirlik, iş kritiklik seviyesi ve saldırganın varlıktan nereye ilerleyebileceği birlikte değerlendirilmelidir.

Basit bir risk modeli şu faktörleri içerebilir:

• Exposure: Varlık internetten erişilebilir mi?
• Exploitability: Açık aktif olarak istismar edilebilir mi?
• Business Criticality: Varlık hangi iş sürecini destekliyor?
• Privilege: Ele geçirilirse hangi yetkilere ulaşılabilir?
• Reachability: Buradan başka kritik sistemlere gidilebilir mi?
• Data Sensitivity: Hassas veya kişisel veri var mı?

Örneğin CVSS skoru daha düşük olan internet-facing VPN açığı, yalnızca iç ağdan erişilebilen daha yüksek CVSS skoruna sahip bir test sisteminden daha öncelikli olabilir.

Attack Path Nedir?

Attack path, saldırganın ilk erişim noktasından kritik sisteme veya veriye ulaşmak için izleyebileceği bağlantılı saldırı adımlarıdır.

Örnek bir attack path:

İnternete açık VPN - ele geçirilmiş kullanıcı hesabı - aşırı yetkili servis hesabı - domain admin - backup sistemi - kritik veri

ASM'nin yalnızca ilk VPN açığını göstermesi yeterli değildir.

Daha gelişmiş exposure management yaklaşımı bu açığın hangi kritik varlıklara ulaşmayı mümkün hale getirdiğini de değerlendirmeye çalışır.

ASM ile Vulnerability Management Arasındaki Fark Nedir?

Vulnerability Management bilinen sistemlerdeki teknik açıkları yönetmeye odaklanırken ASM önce hangi varlıkların gerçekten mevcut ve saldırıya açık olduğunu keşfetmeye odaklanır.

En olgun modelde iki disiplin birbirini tamamlar.

ASM ile Penetration Testing Arasındaki Fark Nedir?

Penetration testing belirli bir kapsam ve zaman diliminde sistemlerin istismar edilebilirliğini test eder. ASM ise saldırı yüzeyini sürekli keşfetmeye ve değişiklikleri izlemeye odaklanır.

Pentest:

• Belirli tarihte yapılır.
• Belirlenmiş scope kullanır.
• Derin istismar testi yapabilir.

ASM:

• Sürekli çalışır.
• Scope dışına çıkmış bilinmeyen varlıkları bulmaya çalışır.
• Değişen exposure'ları görünür kılar.

ASM pentest'in yerine geçmez, pentest scope'unun daha doğru belirlenmesine yardımcı olabilir.

ASM ile SIEM Arasındaki Fark Nedir?

ASM saldırının gerçekleşebileceği alanı haritalar. SIEM ise altyapıdan gelen olay ve logları analiz ederek saldırının gerçekleştiğine veya gerçekleşmekte olduğuna ilişkin sinyalleri tespit etmeye çalışır.

Basit ifadeyle:

• ASM: Nereden saldırılabilir?
• SIEM: Şu anda şüpheli bir şey oluyor mu?

Ancak ikisinin birlikte kullanımı daha değerlidir.

ASM tarafından keşfedilen yeni bir internet-facing sistem:

1. Resmi envantere alınabilir.
2. Patch sürecine eklenebilir.
3. Log üretimi etkinleştirilebilir.
4. SIEM'e bağlanabilir.
5. Security monitoring kapsamına alınabilir.

SIEM'in çalışma mantığı için SIEM Nedir? rehberini inceleyebilirsiniz.

ASM ile SOC Arasındaki İlişki Nedir?

ASM saldırı yüzeyi ve exposure görünürlüğü sağlar, SOC ise bu görünürlüğü diğer güvenlik sinyalleriyle birlikte operasyonel olarak izleyip olay müdahalesine dönüştürür.

ASM bulguları SOC'a şu bağlamı sağlayabilir:

• Yeni internete açılmış sistem
• Unknown asset
• Public admin interface
• Critical vulnerability
• Riskli certificate veya domain değişikliği

Böylece SOC yalnızca olay loglarını değil, saldırganın erişebileceği gerçek dijital yüzeyi de bilir.

ASM ile DevSecOps Arasındaki İlişki Nedir?

DevSecOps yeni uygulama ve altyapıların güvenli biçimde oluşturulmasını hedefler. ASM ise production'a çıktıktan sonra gerçekten internet üzerinde hangi varlıkların oluştuğunu dışarıdan doğrular.

Örneğin DevSecOps pipeline:

• Terraform kodunda public database kullanımını engelleyebilir.
• Container image'i tarayabilir.
• Secret leak tespit edebilir.

ASM ise production ortamında yine de yanlışlıkla internete açılmış başka bir host veya eski test ortamını bulabilir.

İki disiplin arasındaki geri bildirim döngüsü saldırı yüzeyinin tekrar büyümesini azaltabilir.

ASM ile Zero Trust Arasındaki İlişki Nedir?

ASM hangi varlıkların ve exposure'ların bulunduğunu gösterir. Zero Trust ise bu varlıklara erişimin nasıl sınırlandırılacağını ve doğrulanacağını belirleyen mimari yaklaşımı sağlar.

ASM şu soruya cevap verir:

"Hangi kaynaklarımız gereğinden fazla açık?"

Zero Trust ise:

"Bu kaynağa kim, hangi cihazla ve hangi koşulda erişebilmeli?"

sorusunu ele alır.

Zero Trust yaklaşımının detayları için Zero Trust Mimarisi Nedir? içeriği değerlendirilebilir.

ASM ile DDoS Koruması Arasındaki İlişki Nedir?

DDoS koruması belirli servisleri trafik tabanlı saldırılardan korur. ASM ise hangi internet-facing servislerin var olduğunu ve hangilerinin koruma kapsamında olmadığını ortaya çıkarmaya yardımcı olur.

Örneğin:

• Ana web sitesi CDN ve DDoS koruması arkasında olabilir.
• Eski bir subdomain doğrudan origin IP'ye gidiyor olabilir.
• Unutulmuş API gateway koruma dışında kalmış olabilir.

Saldırgan en iyi korunan sistemi hedeflemek zorunda değildir.

Daha zayıf bir exposure üzerinden ilerleyebilir.

DDoS savunmasının teknik katmanları için DDoS Saldırıları Nedir? rehberini inceleyebilirsiniz.

ASM Siber Dayanıklılığı Nasıl Destekler?

Siber dayanıklılık bir saldırı gerçekleşse bile kritik hizmetlerin devam ettirilebilmesini ve güvenli biçimde kurtarılabilmesini hedefler. ASM ise saldırıdan önce görünmeyen exposure'ların bulunmasına yardımcı olarak bu sürecin Observe katmanını güçlendirir.

Bir kurum:

• Neye sahip olduğunu bilmiyorsa
• Neyin internete açık olduğunu bilmiyorsa
• Hangi sistemlerin kritik olduğunu bilmiyorsa
• Varlıklar arasındaki bağımlılıkları bilmiyorsa

olayın etki alanını ve kurtarma önceliklerini belirlemekte zorlanır.

Daha geniş çerçeve için Siber Dayanıklılık Nedir? rehberi tamamlayıcıdır.

Ransomware Saldırılarında Saldırı Yüzeyi Neden Önemlidir?

Ransomware operasyonları genellikle internete açık sistem, credential compromise veya üçüncü taraf erişimi gibi ilk erişim noktalarından başlar. Saldırı yüzeyini küçültmek bu ilk erişim seçeneklerini azaltmaya yardımcı olur.

Ancak saldırı yüzeyini küçültmek ransomware etkisini tamamen ortadan kaldırmaz.

Saldırgan ilk erişimi sağladıktan sonra:

1. Yetki yükseltebilir.
2. Kimlik altyapısına ulaşabilir.
3. Ağ içinde lateral movement yapabilir.
4. Backup sistemini hedefleyebilir.
5. Veriyi şifreleyebilir veya dışarı çıkarabilir.

Bu nedenle ASM, Zero Trust, SIEM, network segmentation, immutable backup ve cyber recovery birlikte ele alınmalıdır.

Bir olayın veri ve finansal etkisini daha geniş açıdan değerlendirmek için Veri Kaybının Maliyeti içeriği incelenebilir.

Saldırı Yüzeyi Nasıl Küçültülür?

Saldırı yüzeyini sıfıra indirmek gerçekçi değildir. Ama gereksiz exposure'ları kaldırarak, erişimleri sınırlandırarak ve bilinmeyen varlıkları görünür hale getirerek saldırganın kullanabileceği seçenekler önemli ölçüde azaltılabilir.

1. Gerçek Varlık Envanteri Oluşturun

CMDB, cloud inventory, DNS, certificate ve external discovery kaynakları birlikte değerlendirilmelidir.

2. Gereksiz Internet Exposure'ı Kaldırın

İnternete açık olmasına iş gereksinimi bulunmayan:

• Admin panelleri
• Database portları
• RDP servisleri
• Test sistemleri

public internetten kaldırılmalıdır.

3. Kullanılmayan Sistemleri Kapatın

Legacy server, domain, account ve API'ler düzenli olarak decommission edilmelidir.

4. MFA Kapsamını Genişletin

Özellikle:

• VPN
• Cloud yönetim
• Admin account
• SaaS
• Remote access

sistemlerinde MFA uygulanmalıdır.

5. Least Privilege Uygulayın

Her kullanıcı ve servis yalnızca gerçekten ihtiyaç duyduğu kaynağa erişebilmelidir.

6. Patch ve Vulnerability Management'i ASM ile Birleştirin

Özellikle internet-facing kritik varlıklardaki açıklar hızla önceliklendirilmelidir.

7. Segmentasyon Uygulayın

Segmentasyon saldırı yüzeyinin fiziksel sayısını azaltmayabilir, ancak saldırganın bir noktadan diğerine ilerlemesini zorlaştırarak blast radius'u küçültür.

8. Cloud Baseline Oluşturun

Yeni cloud kaynaklarının varsayılan olarak public internet'e açılmasını engelleyen politikalar uygulanmalıdır.

9. Secret Management Kullanın

API key ve password'ler kod, script ve konfigürasyon dosyalarına gömülmemelidir.

10. Third-Party Access'i Kontrol Edin

Tedarikçilere kalıcı admin erişimi vermek yerine minimum, izlenen ve süreli yetki modeli uygulanmalıdır.

11. DevSecOps Sürecine Security Gate Ekleyin

Yeni exposure'lar production'a çıkmadan önce IaC, container, API ve secret taramalarıyla engellenmelidir.

12. Sürekli External Discovery Yapın

Bir kere çıkarılan envanter saldırı yüzeyini yönetmek için yeterli değildir.

Internet-Facing Sistemler Nasıl Güvenli Hale Getirilmelidir?

İnternete açık olması zorunlu sistemlerde hedef exposure'ı tamamen kaldırmak değil, erişilebilir yüzeyi mümkün olan minimum seviyeye indirmektir.

Uygulanabilecek kontroller:

• Gereksiz portları kapatmak
• Desteklenmeyen yazılımları değiştirmek
• Patch'leri hızla uygulamak
• Default password'leri değiştirmek
• MFA kullanmak
• WAF kullanmak
• Rate limiting uygulamak
• DDoS koruması kullanmak
• Management interface'i public internetten kaldırmak
• VPN, ZTNA veya jump host kullanmak
• Ingress ve egress trafiğini izlemek

ASM Programı İçin Hangi KPI'lar Takip Edilmelidir?

ASM başarısı yalnızca bulunan vulnerability sayısıyla değil, görünürlüğün artması ve riskli exposure'ların ne kadar hızlı azaltıldığıyla ölçülmelidir.

• Toplam external asset sayısı: İnternet-facing toplam varlık
• Unknown asset sayısı: Önceden bilinmeyen varlıklar
• Unowned asset sayısı: Sorumlusu belirlenemeyen sistemler
• Critical exposure sayısı: Kritik internet-facing riskler
• Public admin interface sayısı: İnternete açık yönetim servisleri
• Unsupported system sayısı: Güvenlik desteği sona ermiş varlıklar
• Mean Time to Discover: Yeni varlığın keşfedilme süresi
• Mean Time to Remediate: Riskin kapatılma süresi
• Exposure SLA compliance: Belirlenen süre içinde kapatılan risk oranı
• MFA coverage: Kritik dış servislerde MFA kapsamı
• Asset ownership coverage: Sahibi tanımlanmış varlık oranı
• SIEM coverage: Logları merkezi güvenlik izlemeye giren kritik sistem oranı
• Decommission rate: Gereksiz varlıkların kapatılma oranı

Yönetim Kuruluna Hangi Saldırı Yüzeyi Metrikleri Raporlanmalıdır?

Teknik metriklerin tamamını yönetim kuruluna taşımak yerine iş riskini gösteren daha sınırlı bir set kullanılmalıdır.

Örnek dashboard:

• Toplam internet-facing kritik varlık sayısı
• Geçen aya göre yeni unknown asset sayısı
• Kritik exposure sayısı
• SLA dışında kalan exposure sayısı
• Ortalama remediation süresi
• Public admin interface sayısı
• MFA'sız kritik dış servis sayısı
• Unsupported internet-facing sistem sayısı
• En yüksek riskli 5 attack path

Kurumsal Saldırı Yüzeyi Yönetimi Yol Haritası

Adım 1: Scope ve Ownership Modelini Belirleyin

Domain, cloud, SaaS ve diğer dijital kaynaklardan hangi ekiplerin sorumlu olduğu belirlenmelidir.

Adım 2: Known Asset Inventory'yi Toplayın

CMDB, DNS, cloud hesapları, firewall ve mevcut asset management sistemleri bir araya getirilmelidir.

Adım 3: Outside-In Discovery Yapın

Resmi envanterden bağımsız olarak kurumun dışarıdan görünen dijital ayak izi keşfedilmelidir.

Adım 4: Bilinmeyen Varlıkları Doğrulayın

Her bulunan varlık için:

• Bu bizim mi?
• Kim kullanıyor?
• Neden var?
• Hala gerekli mi?

soruları cevaplanmalıdır.

Adım 5: İş Kritikliğini Ekleyin

Teknik envanter iş bağlamıyla zenginleştirilmelidir.

Adım 6: Exposure'ları Önceliklendirin

Criticality, exploitability ve reachability birlikte değerlendirilmelidir.

Adım 7: Remediation Workflow Oluşturun

Her bulgu doğru IT, cloud, DevOps veya security ekibine otomatik yönlendirilmelidir.

Adım 8: Security Stack'e Entegre Edin

ASM verisi:

• SIEM
• Vulnerability Management
• CMDB
• Ticketing
• Cloud Security

platformlarıyla ilişkilendirilmelidir.

Adım 9: Sürekli İzleme Kurun

Yeni domain, IP, cloud resource ve certificate değişiklikleri sürekli izlenmelidir.

Adım 10: Trendleri Ölçün

Amaç yalnızca her ay açık kapatmak değil, saldırı yüzeyinin kontrolsüz büyümesini durdurmaktır.

Saldırı Yüzeyi Yönetiminde Sık Yapılan Hatalar

1. CMDB'nin Gerçeğin Tamamını Gösterdiğini Varsaymak

CMDB yalnızca sisteme kaydedilen varlıkları bilir. Saldırgan ise internette gerçekten görünen kaynakları kullanır.

2. ASM'yi Vulnerability Scanner Sanmak

ASM'nin ilk amacı vulnerability bulmak değil, saldırı yüzeyinin gerçek kapsamını ortaya çıkarmaktır.

3. Her CVE'yi Aynı Öncelikle Ele Almak

Internet exposure ve iş kritiklik seviyesi risk önceliğini değiştirir.

4. Unknown Asset Bulup Ownership Atamamak

Bir sistem keşfedildikten sonra kimse sahiplenmiyorsa remediation süreci ilerlemez.

5. Test ve Development Sistemlerini Önemsiz Görmek

Test sistemleri zayıf güvenlik kontrolleri ve gerçek credential kullanımı nedeniyle saldırgan için cazip olabilir.

6. Third-Party Surface'i Unutmak

Tedarikçi erişimleri ve external integration'lar doğrudan attack path oluşturabilir.

7. Identity Surface'i Kapsam Dışı Bırakmak

Modern saldırılar yalnızca vulnerability exploit ederek değil, credential kullanarak da ilerler.

8. ASM'yi Tek Seferlik Proje Yapmak

Yeni cloud ve SaaS kaynakları sürekli oluştuğu için saldırı yüzeyi birkaç hafta içinde yeniden değişebilir.

9. Bulgu Üretip Remediation Süreci Kurmamak

Görünürlük tek başına riski azaltmaz.

10. İş Bağlamı Eklememek

Security ekipleri bir varlığın hangi gelir, müşteri veya kritik operasyona bağlı olduğunu bilmeden doğru önceliklendirme yapamaz.

Ixpanse ile Altyapı Görünürlüğü ve Saldırı Yüzeyinin Kontrolü

Saldırı yüzeyi yönetiminin ilk hedefi görünürlük olsa da gerçek fayda, bulunan sistemlerin kontrollü ve izlenebilir bir operasyon modeline alınmasıyla oluşur.

Ixpanse'in Yönetilen Hizmetler yaklaşımı 7/24 altyapı izleme, sanal sunucu yönetimi, replikasyon ve operasyonel yönetim gibi katmanlarla kurumsal sistemlerin daha düzenli ve izlenebilir biçimde işletilmesini destekler.

Bu yaklaşım ASM'nin keşfettiği riskleri doğrudan bir ASM ürünü olarak yönetmekten ziyade, altyapının:

• Sahipliğinin belirlenmesine
• Standart konfigürasyon altında tutulmasına
• Sürekli izlenmesine
• Güncel tutulmasına
• Operasyonel disiplin altında yönetilmesine

yardımcı olan tamamlayıcı altyapı katmanını oluşturur.

Güvenlik olaylarının merkezi görünürlüğü için SIEM, kimlik ve erişim yüzeyinin sınırlandırılması için Zero Trust, production öncesi yeni exposure'ların azaltılması için DevSecOps yaklaşımı bu operasyon modelini tamamlar.

Bir ihlal sonrasında kritik verinin korunması ve hizmetlerin geri getirilebilmesi ise saldırı yüzeyi azaltmanın ötesinde bir cyber resilience problemi haline gelir.

Bu katmanda Ixpanse'in Veri Koruma hizmetleri ve Siber Dayanıklılık yaklaşımı değerlendirilmelidir.

Kurumunuzun altyapı görünürlüğünü, yönetim modelini ve saldırı yüzeyini azaltabilecek operasyonel iyileştirmeleri değerlendirmek için Ixpanse uzman ekibiyle iletişime geçebilirsiniz.

Sonuç

Saldırı yüzeyi, kurumun envanterinde kayıtlı olduğunu düşündüğü sistemlerden değil, saldırganın gerçekte ulaşabildiği varlıkların tamamından oluşur.

• Saldırı yüzeyi yalnızca açık port ve vulnerability'lerden oluşmaz.
• Identity, cloud, API, SaaS, third-party ve fiziksel varlıklar da saldırı yüzeyinin parçasıdır.
• Attack surface, vulnerability ve attack vector farklı kavramlardır.
• External attack surface saldırganın internetten görebildiği dijital ayak izidir.
• Shadow IT ve bilinmeyen varlıklar güvenlik ekiplerinin en önemli görünürlük problemlerindendir.
• ASM sürekli keşif, sınıflandırma, risk analizi ve remediation disiplinidir.
• EASM özellikle internet-facing ve bilinmeyen varlıklara odaklanır.
• ASM vulnerability management ve penetration testing'in yerine geçmez, onları tamamlar.
• Risk yalnızca CVSS ile değil, exposure, exploitability, criticality ve attack path ile değerlendirilmelidir.
• Zero Trust, SIEM, DevSecOps ve DDoS koruması saldırı yüzeyi yönetiminin farklı katmanlarını tamamlar.
• Görünürlük tek başına yeterli değildir. Risklerin ownership ve remediation workflow'una bağlanması gerekir.
• Saldırı yüzeyi sürekli değiştiği için yönetim süreci de sürekli olmalıdır.

Kurumların sorması gereken soru yalnızca:

"Sistemlerimizde açık var mı?"

değildir.

Daha kritik soru şudur:

"Saldırganın görebildiği ancak bizim henüz bilmediğimiz kaç sistemimiz var?"

Saldırı Yüzeyi Hakkında Sıkça Sorulan Sorular

Saldırı yüzeyi nedir?

Saldırı yüzeyi, bir saldırganın bir kurumun sistemlerine, kullanıcılarına veya verilerine erişmek, etki oluşturmak ya da veri çıkarmak için kullanabileceği tüm giriş ve etkileşim noktalarının toplamıdır.

Attack surface ne demektir?

Attack surface, Türkçede saldırı yüzeyi anlamına gelir ve bir sistemin saldırgana açık tüm erişim ve etkileşim alanlarını ifade eder.

Saldırı yüzeyi ile saldırı vektörü arasındaki fark nedir?

Saldırı yüzeyi saldırılabilecek alanın tamamıdır. Saldırı vektörü ise saldırganın bu alanlardan birini kullanarak sisteme ulaşmak için kullandığı yöntemdir.

Saldırı yüzeyi ile güvenlik açığı aynı şey midir?

Hayır. Saldırı yüzeyi saldırganın etkileşime girebileceği alanların toplamıdır. Güvenlik açığı ise bu alanlardan birindeki teknik veya mantıksal zayıflıktır.

External attack surface nedir?

External attack surface, kurumun internet üzerinden saldırgan tarafından dışarıdan görülebilen domain, IP, web uygulaması, API, VPN ve diğer dijital varlıklarının toplamıdır.

Internal attack surface nedir?

Internal attack surface, saldırgan ilk erişimi sağladıktan sonra ulaşabileceği kullanıcılar, servisler, ağ yolları ve kurumsal sistemlerden oluşur.

Identity attack surface nedir?

Identity attack surface; kullanıcı hesapları, admin hesapları, servis kimlikleri, API key'leri ve access token'ları üzerinden oluşan erişim risklerinin toplamıdır.

Cloud attack surface nedir?

Cloud attack surface, cloud ortamındaki sanal makineler, storage, IAM, API, container, serverless ve diğer cloud bileşenlerinin saldırıya açık alanlarını kapsar.

Shadow IT nedir?

Shadow IT, IT ve güvenlik ekiplerinin resmi kontrolü dışında çalışanlar veya iş birimleri tarafından kullanılan uygulama, cloud ve teknoloji kaynaklarıdır.

Attack Surface Management nedir?

Attack Surface Management, saldırıya açık dijital varlıkları sürekli keşfeden, sınıflandıran, exposure'larını analiz eden, risklerini önceliklendiren ve remediation sürecine bağlayan güvenlik disiplinidir.

ASM nedir?

ASM, Attack Surface Management ifadesinin kısaltmasıdır ve Türkçede Saldırı Yüzeyi Yönetimi olarak kullanılır.

EASM nedir?

EASM - External Attack Surface Management, kurumun internetten görünen varlıklarını dışarıdan saldırgan perspektifiyle sürekli keşfetmeye ve yönetmeye odaklanan ASM yaklaşımıdır.

ASM ile vulnerability management arasındaki fark nedir?

ASM öncelikle hangi varlıkların mevcut ve dışarıdan erişilebilir olduğunu keşfeder. Vulnerability management ise bilinen sistemlerdeki teknik açıkların tespiti ve giderilmesine odaklanır.

ASM ile penetration testing aynı şey midir?

Hayır. Penetration testing belirli bir zamanda sistemlerin istismar edilebilirliğini test eder. ASM ise saldırı yüzeyinin sürekli keşfi ve takibiyle ilgilenir.

ASM ile SIEM arasındaki fark nedir?

ASM saldırının gerçekleşebileceği noktaları görünür hale getirir. SIEM ise sistemlerden gelen log ve olayları analiz ederek gerçekleşen veya gerçekleşmekte olan şüpheli aktiviteleri tespit etmeye çalışır.

Saldırı yüzeyi sıfıra indirilebilir mi?

Hayır. İnternete hizmet sunan veya kullanıcı erişimi bulunan her kurumun belirli bir saldırı yüzeyi vardır. Ama gereksiz exposure ve yetkiler kaldırılarak saldırı yüzeyi önemli ölçüde küçültülebilir.

Saldırı yüzeyi nasıl küçültülür?

Gereksiz sistemleri kapatmak, public exposure'ı azaltmak, MFA ve least privilege uygulamak, patch süreçlerini hızlandırmak, segmentasyon yapmak ve bilinmeyen varlıkları sürekli keşfetmek temel yöntemlerdir.

Saldırı yüzeyi yönetimi tek seferlik bir proje midir?

Hayır. Yeni cloud, SaaS, API ve dijital kaynaklar sürekli ortaya çıktığı için saldırı yüzeyi yönetimi sürekli çalışan bir süreç olmalıdır.

Bulut kullanımı saldırı yüzeyini büyütür mü?

Bulut doğru yönetilmediğinde saldırı yüzeyini büyütebilir. Yeni kaynakların çok hızlı oluşturulabilmesi yanlış yapılandırılmış veya unutulan internet-facing sistemlerin ortaya çıkmasına neden olabilir.

API'ler saldırı yüzeyinin parçası mıdır?

Evet. Public ve internal API endpoint'leri authentication, authorization ve veri erişimi sağladıkları için saldırı yüzeyinin önemli bir bölümünü oluşturur.

AI servisleri saldırı yüzeyini büyütür mü?

Harici LLM API'leri, AI agent'ları, vector database'ler, connector'lar ve AI service account'ları yeni erişim ve veri akışları oluşturduğu için saldırı yüzeyine yeni katmanlar ekleyebilir.

ASM ransomware riskini azaltır mı?

ASM internete açık ve gereksiz exposure'ları azaltarak saldırganın ilk erişim seçeneklerini sınırlandırabilir. Ancak ransomware savunması için Zero Trust, SIEM, segmentation, backup ve cyber recovery gibi ek kontroller de gereklidir.

Ixpanse saldırı yüzeyi yönetimini nasıl destekler?

Ixpanse'in Managed Services, altyapı izleme, SIEM, Zero Trust, veri koruma ve yönetilen operasyon yaklaşımı; keşfedilen altyapı risklerinin daha görünür, sahipli ve kontrollü bir operasyon modeline alınmasını destekler.

İlgili İçerikler

• SIEM Nedir?
• DDoS Saldırıları Nedir?
• DevSecOps Nedir?
• Zero Trust Mimarisi Nedir?
• Siber Dayanıklılık Nedir?
• Veri Kaybının Maliyeti
• CDN Nedir?
• Yönetilen Hizmetler
• Veri Koruma

Teknik Kaynaklar

• NIST - Attack Surface Definition 
• CISA - Internet Exposure Reduction Guidance 
• Microsoft - External Attack Surface Management Overview