İçimiz Dışımız Nessus Olmuş

Sızma testlerinde Nessus’u mümkün olduğu kadar az kullanmaya çalışıyorum. Müşterilerin önceki testlerden kalma alışkanlıkları olmasa zaten eve sokmayacağım ama sektörde kabul edilen norm haline gelmiş.

Yanlış anlaşılma olmasın, belli bir kullanıcı sayısının üzerindeki bütün kuruluşların kendi bünyelerinde düzenli olarak zafiyet taraması yapması gerektiğine inanıyorum. Kritik sistemleri her hafta, önemli sistemleri her ay ve ağınızın tamamını 3 ayda 1 taramıyorsanız büyük risk alıyorsunuz. Tabii ki taramak yeterli değil, bulunan açıkların da giderilmesi gerekiyor.

Sadece birilerine Nessus çalıştırmaları için para vermenin “sızma testi” olarak düşünülmesine karşıyım.

Nessus kullanımının ne kadar yaygın olduğu aklıma takıldı ve bunun için Shodan’da Türkiye’de bulunan IP’lerde dışarıya açık 8834 portunu arattım (Nessus’un default olarak çalıştığı port). Sonuçlar şaşırtıcı! Tesadüfen o porttan yayın yapan 1-2 kamera bulurum diye düşünürken Nessuslarla karşı karşıya geldim. Shodan tarafında Türkiye’de endekslenmiş ve an itibariyle sağlıklı çalışan 10’dan fazla Nessus kurulumu buldum.

Aşağıdaki Nessus kurulum konusunda bir sıkıntıya düşmüş, yeniden başlatılması gerekiyormuş 🙂

nessus1

 

Daha nostaljik Nessus kurulumlarına da denk gelmek mümkün oldu

nessus2

 

Aşağıdaki gibi gayet güncel ve sağlıklı Nessus kurulumları çoğunlukta

nessus3

Zafiyet tarama aracınızın yönetici arayüzünü dünyaya açmanın kötü bir fikir olmadığını düşünen birileri varsa kendileriyle tanışmak isterim. Dışarıya bakan bir Nessus’a giriş yapan herhangi birisi yerel ağınızda bu sunucunun ulaşabildiği bütün sistemleri kapsayan bir zafiyet taraması yapabilir. Bu sayede elde edilen bilgilerle saldırganlar yerel ağda ve yerel ağda bulunan ve dışarıdan erişilebilen sistemler üzerinde çok etkili olabilir.

Dışarıya açık bir Nessus kurulumunuz varsa bunu hemen kapatın. Dışarıdan bağlanmaya mecbursanız da VPN vb. bir yöntem kullanın. Ama bütün dünyanın kuruluşunuzun sistemlerine kapsamlı bir zafiyet taraması yapabilme fikri sizi tedirgin etmiyorsa benim açımdan sorun yok 🙂

1 Comment on "İçimiz Dışımız Nessus Olmuş"

  1. Adini Vermek Istemeyen Izleyici | December 3, 2016 at 9:09 pm |

    Merhaba,
    Sizin gibi tarama yapanlari avlamaya yonelik bir faliyet icin yapilmis olabilir mi ?

Comments are closed.