Ağ Güvenliğinde Port Tarama Saldırıları Nedir? Nmap TCP SYN Taramasını Firewall ile Engelleme Rehberi

Siber Saldırıların İlk Keşif Safhası: Port Tarama Operasyonları

Kurumsal şirketlerin, kamu kurumlarının ve veri merkezlerinin dış internete açık olan statik IP adresleri bilgisayar korsanları ve küresel botnet orduları tarafından her gün milyonlarca kez taranmaktadır. Bir siber saldırgan hedef sisteme doğrudan saldırmadan önce, sistemin üzerinde hangi servislerin çalıştığını, hangi kapıların açık olduğunu ve hangi işletim sistemi sürümlerinin devrede olduğunu haritalandırmak için Port Tarama (Port Scanning) araçlarını (Nmap, Masscan, ZMap) kullanır. Dışarıya unutularak açık bırakılmış tek bir RDP (3389), SMB (445), Telnet (23) veya eski bir veritabanı portu, siber korsanın içeri sızması için davetiye çıkarır. Port taramalarını zamanında algılayıp engelleyemeyen bir ağ, savunmasız bir hedefe dönüşür.

En Tehlikeli Port Tarama Türleri ve Çalışma Mantıkları

Saldırganlar güvenlik duvarı loglarında iz bırakmamak için TCP el sıkışmasını kasten bozan gizli tarama teknikleri kullanır:

• TCP SYN Taraması (Yarı Açık / Stealth Scan – Nmap -sS): En popüler tarama türüdür. Saldırgan hedef porta bir SYN paketi yollar. Port açıksa hedef sistem SYN/ACK döner. Saldırgan bağlantıyı tamamlayacak olan son ACK paketini kasten göndermez; bunun yerine bir RST (Reset) paketi fırlatarak oturumu anında öldürür. Tam bir TCP oturumu kurulmadığı için geleneksel basit loglama sistemleri bu taramayı kayıt altına alamaz.
• TCP Connect Taraması (Nmap -sT): Standart 3’lü el sıkışmanın tamamlandığı gürültülü taramadır; işletim sistemi loglarında kolayca yakalanır.
• UDP Taraması (Nmap -sU): DNS (53), SNMP (161) ve TFTP gibi durumsuz servisleri keşfetmek için gönderilen ve ICMP Port Unreachable yanıtlarını dinleyen sinsi taramadır.
• FIN, XMAS ve NULL Taramaları: TCP bayraklarını standart dışı kombinasyonlarla (FIN, PSH, URG aynı anda) göndererek eski güvenlik duvarı kurallarını atlatmayı hedefleyen anomalik paketlerdir.

1. Adım: Donanımsal Güvenlik Duvarında (Firewall) Port Scan Detection Kurulumu

Yeni nesil bir güvenlik duvarında (Fortinet FortiGate, pfSense, Palo Alto) IPS ve DoS koruma profilleri devreye alınmalıdır:

FortiGate CLI Yapılandırması:
config firewall DoS-policy
    edit 1
        set interface "wan1"
        set srcaddr "all"
        set dstaddr "all"
        config anomaly
            edit "tcp_port_scan"
                set status enable
                set log enable
                set action block
                set quarantine attacker
                set quarantine-expiry 24h
                set threshold 20
            next
        end
    next
end

Bu kural, 1 saniye içinde 20’den fazla farklı portu sorgulayan herhangi bir dış IP adresini anında ‘Port Taraması Saldırganı’ olarak etiketler; paketlerini kapıda düşürür (Drop) ve o IP’yi 24 saat boyunca karantinaya alır.

2. Adım: Port Knocking (Gizli Kapı Çalma) ile Yönetim Portlarını Gizleme

SSH (22) veya Winbox (8291) gibi kritik yönetim portlarını doğrudan internete açmak yerine Port Knocking güvenlik katmanı uygulanmalıdır:

1. Port normalde internetteki tüm dünyadan gelen taramalara ‘Kapalı’ (Filtered / Closed) olarak görünür; Nmap portu asla açık göremez.
2. Sistem yöneticisi bağlantı kurmadan önce önceden belirlenmiş gizli bir şifreleme sırasıyla (Örn: sırasıyla Port 7000 UDP, Port 8500 TCP, Port 9200 TCP) kapıları çalar.
3. Güvenlik duvarı bu gizli dizilimi gördüğü anda yalnızca yöneticinin o anki IP adresine gerçek yönetim portunu 1 saatliğine açar. Tarama yapan korsanlar portun varlığından bile haberdar olamaz.

3. Adım: Kullanılmayan Portları Kapatma ve ICMP Yanıtlarını Filtreleme

Kurumsal ağ geçidinde dışarıdan gelen ping (ICMP Echo Request) istekleri kapatılmalıdır. Ping isteklerine sessiz kalan (Drop) bir IP adresi, internet üzerindeki rastgele otomatik bot tarayıcılarının listesinden düşer ve hedef olma olasılığı %90 azalır.

Kurumsal ağ güvenlik denetimi, sızma (Penetration) testleri, firewall IPS optimizasyonu ve siber savunma mühendisliğinde BaykalSoft Siber Güvenlik ekibimizle çalışabilirsiniz.