Pasif Bilgi Toplama Süreci | Araçları ve Kullanımı

Herkese selamlar, bu yazımda sizlere siber güvenlik alanında önemli bir yere sahip olan pasif bilgi toplama sürecini ve bu süreçte kullanılan araçları tanıtacağım. Pasif bilgi toplama demek doğrudan hedefle etkileşime girmeden çevrimiçi kaynaklardan bilgi toplayabilmek demek. Yazımda bu süreci kolaylaştıran ve çok etkili olan araçları inceleyeceğim. Bu araçların nasıl kullanıldığını, ne tür bilgiler sağladıklarını ve bu araçların siber güvenlikte nasıl faydalı olabileceğini detaylı bir şekilde ele alacağım.

Pasif Bilgi Toplama Süreci Nedir? Neden Önemlidir?

Pasif bilgi toplama adından da anlaşılacağı gibi hedefle doğrudan etkileşime girmeden yapılan bir araştırma sürecidir. İnternetteki açık kaynaklardan yani sosyal medya hesaplarından, web sitelerinden, alan adı kayıtlarından veya basitçe Google’dan elde edilen verilerle bir hedef hakkında önemli bilgiler toplamak mümkün. Bu yöntem bir saldırı ya da güvenlik testi yapmadan önce hedefin zayıf noktalarını ve potansiyel açıklarını keşfetmek için kullanılıyor. En iyi yanı ise hiçbir iz bırakmadan hatta hedefin farkında olmadan bilgi elde etmemizi sağlamasıdır.

Pasif bilgi toplamanın bir güvenlik açığı testi veya siber saldırıların ilk ve temel adımlarından biri olduğunu söyleyebiliriz. Hedefin altyapısı hakkında bilgi sahibi olmak, riskleri analiz etmek ve savunma stratejilerini güçlendirmek için pasif bilgi toplama kritik öneme sahiptir. Mesela bir hacker bir etkinliğin sosyal medya hesaplarında paylaşılan bilgilerden o organizasyona ait e-posta adreslerine ya da gizli verilerine ulaşabilir. Benzer şekilde web sitelerinde yer alan eski yazılımlar, açık kaynak yazılımlarının kullanımı veya güncellenmemiş sistemler de kötü niyetli saldırganlar için bir fırsat olabilir.

Bu süreçte kullanabileceğimiz pek çok araç var ve hepsi farklı bir işimize yarıyor. Bazı araçlar hedefin kimlik bilgilerini, sosyal medya hesaplarını veya e-posta adreslerini yararken diğerleri hedef sistem veya kişi hakkında daha teknik bilgiler sunuyor. Mesela hangi sistemlerin kullanıldığı gibi basit soruların cevaplarını bulabiliriz. Evet ama hangi araç hangi amaca hizmet ediyor? Nasıl kullanılıyor veya size hangi bilgileri sağlıyor? Şimdi size bu araçları uygulamalı bir şekilde tanıtmaya çalışacağım..

theHarvester

theHarvester siber güvenlik uzmanları ve etik hackerlar tarafından kullanılan güçlü bir pasif bilgi toplama aracıdır. Bu araç hedefle ilgili bilgilerin toplanmasında kullanılıyor ve genellikle keşif (reconnaissance) aşamasında çok faydalı. Yani çevrimiçi ortamda hedefle ilgili bulabileceği en fazla bilgiyi toplayabilir. Bu bilgileri toplamak için hedefin alan adı, e-posta adresi, IP adresi, DNS bilgileri ve daha fazlasını kullanır.

Kullanım amacı olarak hedef hakkında gizli ya da herkese açık bilgilere erişim sağlamak diyebiliriz. Bu araç ile toplayabileceğimiz verileri listeleyeceğim;

• E posta adreslerini bulabiliriz. Bir alan adı altındaki e-posta adreslerini bulmak için kullanabiliriz.
• Alt alan adı bilgisini bulabiliriz. Ana domain adresinin altındaki subdomain keşfi için bir çözüm olabilir.
• Hedef hakkında IP adreslerine dair bilgiler edinebiliriz.
• Hedefin DNS yapılandırmasına dair ayrıntıları görebiliriz.
• Google, Bing gibi arama motorlarında ve LinkedIn gibi platformlarda açıkça paylaşılmış olan bilgilere erişebiliriz. Bu maddeye sosyal medya hesaplarını da ekleyebiliriz.

Şimdi ise theHarvester’i nasıl kullanacağımıza dair rehber olması amacıyla örnek bir kullanma işlemi yapalım.

Ben theHarvester aracını Kali Linux üzerinden test edeceğim. Bu araç Kali’de kurulu olarak geliyor. Sizde kurulu olmayabilir bu yüzden ilk olarak kurulum işlemini yapalım. Eğer sizde kurulu değilse şu komutla kurabilirsiniz.

sudo apt install theharvester

Şimdi komut satırı üzerinden başlatıp örnek bir bilgi toplama işlemine bakalım. Kodun genel yapısında bazı parametreler kullanıyoruz. Aşağıya bu parametreleri ve açıklamalarını yazdım.

• -d (domain) parametresi hangi domain üzerinde bilgi toplamak istediğimizi belirtiyor. Örneğin -d google.com yazarsak google.com domainine ait veriler toplanır.
• -b (source) ile veri kaynağını belirtiyoruz. theHarvester aracı Google, Bing ve Shodan gibi önemli kaynakları destekliyor. Örneğin -b google komutu verileri Google üzerinden çeker.
• -l (limit) komutu ile arama sonuçlarının sayısını sınırlayabiliyoruz. Örneğin çok fazla sonuç istemiyorsak ve 50 adet yeterli diyorsak “-l 50” yazarız ve sadece 50 sonuç gösterilir.
• -f (format) parametresi ile sonuçları istediğimiz formatta kaydedebiliriz. Örneğin “-f pdf” komutu ile sonuçlarımızı pdf dosyası olarak kaydedebiliyoruz.

Gibi gibi bir çok parametresi bulunmakta ve ben sadece önemli olanlara örnekler verdim. Siz daha fazlasını görebilmek için terminale “theHarvester -h” yazabilirsiniz.

İlk örnek olarak firatbora.com domain adresi ile ilgili bir sorgu yapacağım. Bu sorguda bing arama motorunu kaynak olarak gösteriyorum. Ve “-l 1” komutu ile 1 adet sonuç getirmesini istiyorum.

theHarvester -d firatbora.com -b bing -l 1

Görüldüğü gibi ilk sonucumuz bir adet e-posta adresi buldu. Şimdi ise google.com domain adresi ile ilgili bir tarama yapalım. Bu taramada domain adresi olarak google.com’u seçiyorum. Arama motoru kaynağı olarak bing’i seçiyorum ve 20 adet sonuç getirmesini istiyorum. Son olarak sonuçları “sonuclar.xml” adlı dosyaya kaydetmesini istiyorum.

theHarvester -d google.com -b bing -l 20 -f sonuclar.xml

Sonuçlar listelendi ve “sonuclar.xml” dosyasına kaydedildi. Hedef domain hakkında derinlemesine bilgi toplamak için çok sayıda kaynak sunan bu araç sayesinde keşif aşamasında kapsamlı bir analiz elde edebiliyoruz. Google’dan sonuç alamadığınızda ise başka veri kaynaklarına yönelmek, işinizi kolaylaştırıyor.

Shodan

Shodan internet üzerindeki cihazları (web sunucuları, IoT cihazları, kameralar, güvenlik cihazları, ağ aygıtları vb.) tarayarak onların verilerini toplayarak bu arama motoruna indeksliyor. Shodan genellikle açık portlar, kullanılan servisler, cihazların IP adresleri, coğrafi konumları gibi bilgilere erişmenizi sağlar.

Şöyle düşünelim internete bağlı olan her türlü cihazı, sunucuyu, güvenlik kamerasını hatta akıllı buzdolabını bile bulabileceğimiz bir arama motoru bu. Shodan sayesinde dünya genelindeki binlerce cihazın IP adreslerine, açık portlarına veya hangi servisleri çalıştırdığına dair bilgilere ulaşabiliyoruz. En güzel yanı Shodan pasif bir araç olduğu için bu cihazların bilgilerini çektiğimizde onlar bunu farketmiyor.

Hatta her hangi bir ağdaki açıkları keşfetmek ve güvenlik testleri yapmak adına oldukça faydalı.

www.shodan.io adresinden Shodan’a erişebiliriz. Hem ücretli hem de ücretsiz hesap seçenekleri mevcut. Ücretsiz hesapta bazı özelliklere erişime izin vermiyor fakat temel işlevler için ücretsiz hesapta gayet yeterli. Siteye kaydolduktan sonra giriş yapalım.

Shoodan kullanmanın en temel yönü doğru arama sorgularını kullanarak cihaz ve ağları keşfedebilmek. Yani filtreleme yapabilmek.

Örnek: Açık Portları Arama

Örnek olarak hangi portların açık olduğunu bulmak için bir Shodan search yapalım.

Arama Sorgusu: "port:22“. Bu sorgu, port 22 (SSH) açık olan tüm cihazları listeliyor.

Örnek : Servis ve Versiyon Bilgisi Arama

Shodan cihazların hangi servisleri ve hangi versiyonları kullandığını da tespit edebiliyor.

Arama Sorgusu: "product:Apache” Apache sunucusunu kullanan cihazları listeleyecektir.

Filtreleme, Sonuçları İnceleme ve İndirme

Shodan’ın daha gelişmiş arama filtrelerini kullanarak daha özelleştirilmiş sonuçlar elde edebiliriz. En çok kullanılan yaygın filtreler;

• country: Belirli bir ülke içinde arama yapmak için kullanılır. (Örnek: country:TR Türkiye içindeki cihazları gösterir.)
• port: Belirli bir port üzerinde çalışan cihazları arar. (Örnek: port:80 HTTP sunucuları için)
• os: Cihazın işletim sistemini belirler. (Örnek: os:Linux)
• hostname: Cihaza ait host adı ile arama yapar. (Örnek: hostname:example.com)
• product: Cihaza ait yazılımı veya hizmeti arar. (Örnek: product:Apache)

Genel olarak işlem sonucunda Shodan üzerinde yapılan arama sonuçlarında şu bilgilere erişebiliyoruz;

• IP Adresi: Cihaza ait IP adresi
• Portlar: Açık olan portlar (HTTP için 80, SSH için 22, FTP için 21 vb.)
• Servis Bilgisi: Hangi servislerin çalıştığı (Apache, Nginx, SSH vs.)
• Coğrafi Konum: Cihazın fiziksel olarak hangi ülkede veya şehirde bulunduğu.
• Banner Bilgisi: Cihaz hakkında açıklamalar, versiyon bilgileri gibi metadata verileri.
• Güvenlik Açıkları: Eğer bilinen bir güvenlik açığı varsa, Shodan bunu belirtir.

Ve son olarak Shodan sonuçlarını veri CSV formatında indirerek daha kapsamlı analizler yapabiliriz. Sonuçları indirmek için ekranın sol üst kısmındaki “Download Results” butonuna tıklayıp CSV formatını seçmemiz yeterli olacaktır.

Maltego

Maltego’da diğerleri gibi bir pasif bilgi toplama (OSINT – Open Source Intelligence) aracı ve oldukça güçlü bir görsel analiz platformu. Maltego ile internet üzerindeki açık kaynaklardan topladığımız bilgileri derleyip görsel bir şekilde ilişkilendirerek analiz yapabiliyoruz. Bu araçta Kali ile birlikte kurulu geliyor. Pasif bilgi toplama aşamasında önemli bir yere sagip çünkü veriyi görsel ve bağlantılı bir şekilde sunuyor ve bu da işimizi kolaylaştıran bir artı özellik.

Mesela bir kişinin e-posta adresini araştırırken Maltego bu e-posta adresini o kişiye ait sosyal medya hesapları, domainler, IP adresleri, telefon numaraları ve hatta bulabileceği diğer e-posta adresleri ile ilişkilendiriyor. Bu sayede daha geniş bir bilgi kaynağı ortaya koymuş oluyoruz. Veya bir ipucu bize diğer bilgileri gösterebiliyor.

Maltego aracını açtığımızda bizi karşılayacak olan ekran görüntüsü bu. Hemen free sürümü seçerek kayıt olup ardından giriş yapıyoruz. Kayıt olmak için buraya tıklayabilirsiniz

Sonrasında üyelik işlemlerini ve kurulum aşamalarını ayarlıyoruz. Ekstra bir ayar yapmadan next diyoruz ve arından finish diyerek kurulumu tamamlıyoruz.

Ana ekran karşımıza geldikten sonra “New Graph” seçeneğine tıklıyoruz. Bu sayede yeni bir çalışma başlattık. Ben kendi web siteme bir tarama gerçekleştireceğim. Bunun için domain taramasını seçmem gerekiyor. Soldaki “Entity Palette” sekmesinden domain yazıp aratıyorum ve domaini tutup soldaki boş ekranıma sürüklüyorum.

Eklediğim domaine alan adımı (firatbora.com) yazıyorum. Maltegonun ilgili verileri hemen toplaması için domain adresime sağ tıklayıp o menüden istediğim taramaların yanındaki play simgelerine basıp taramaları başlatacağım. Burada Maltego bize “Transforms“ (dönüşümler) seçenekleri sunuyor. Bu seçenekler seçilen domain için verileri çıkartmamızı sağlıyor. Mesela “DNS drom domain” seçeneğini tıklayıp domainle ilişkili DNS kayıtlarını görüntüleyebiliriz. “All Transforms” bütün taramaların yapıldığı kısım ama ben sanal makine kullandığım için bir kaç DNS vb. kayıt görüntülemem yeterli olacak. Siz daha kapsamlı taramalar yapabilirsiniz.

Son olarak sonuçların görselleştirildiği aşama. Burada Maltego her yeni veri ile ilgili görsel bir bağlantı oluşturuyor. www.firatbora.com alan adıyla ilişkili DNS kayıtları ve Domain ile alakalı verileri görebiliyoruz. Her bir veri bir daire olarak görünüyor ve bu daireler arasındaki bağlantılar sayesinde ne kadar geniş bir ağ oluşturduğumuzu rahatlıkla anlayabiliyoruz.

Örnekte olduğu gibi sadece bir domain adresinden bile çok farklı ilişkili bilgilere ulaşabiliyoruz. Görsel analiz imkanı sunması karmaşık sonuçlarda işimizi kolaylaştırıyor.

Netcraft

Netcraft internet üzerindeki bir web sitesine dair bilgi edinmemizi sağlayan bir araç. Mesela bir web sitesinin hangi sunucularda barındığını, hangi teknolojileri kullandığını, IP adresini ve daha bir çok detayı öğrenebiliyoruz.

Netcraft ile bir web sitesinin hangi teknolojileri kullandığını da görebiliyoruz demiştim. Örneğin sitenin Apache veya Nginx gibi web sunucuları kullanıp kullanmadığını WordPress veya başka bir içerik yönetim sistemi (CMS) ile çalışıp çalışmadığını öğrenebiliyoruz.

Penetrasyon testi gibi sızma testlerinden önce pasif bilgi toplama aşamasında gerekli ve kullanılan bir araçlardan bir tanesi diyebiliriz. Herhangi bir tarayıcının adres çubuğuna netcraft.com yazarak ilgili siteye ulaşabiliriz. Ben kendi web site adresimle alakalı bir site report taraması yaptıracağım. Buraya tıklayarak direkt site report sayfasına gidebilirsiniz.

Arama çubuğuna kendi domain adresimi yazıp işlemi başlatıyorum.

Sonuçlar

Bu arama sonuçlarında firatbora.com domain adresinin Güzel Hosting üzerinde barındırıldığını Sunucumun Türkiye lokasyonlu bir sunucu olduğunu, IP adresini, SSL/TLS bilgisini, DNSSEC özelliğinin etkin durumda olduğunu, siteye dair ek güvenlik önlemlerinin alındığını ve DNS verilerinin doğrulama ile güvence altına alındığını görebiliyoruz.

Ek olarak site PHP ve CMS (Content Management System) olarak WordPress kullanıldığını, RSS feed desteği ve HTML5, CSS3, Javascript gibi teknolojilerin kullanıldığı da arama sonuçlarında belirtilmiş.

Google Dork

Google Dorking diğer araçlara nazaran bir arama motoru search tekniği olarak nitelendirilebilir. İnternet üzerinde çok daha derinlemesine aramalar yapmayı amaçladığımızda bu tekniği sıklıkla kullanabiliriz. Normalde Google’a bir kelime yazıp arama yapıyoruz ama Google Dorking ile arama motorunu çok daha spesifik bir şekilde kullanabiliyoruz. Belli başlı bazı komutları kullanarak internet her köşesine dağılmış bilgileri derli toplu listeleyebiliyoruz.

Mesela bir web sitesinde yanlışlıkla paylaşılmış bir hassas dosya olduğunu farzedelim. Bu dosyaya ulaşmak Google Dork ile mümkün olabilir. Sadece dosya değil veri tabanı bağlantı bilgileri, güvenlik açıkları gibi bilgilere de ulaşabiliriz. Bu tarz aramalar genelde “filetype:” komutuyla yapılıyor ve belirli bir dosya türünü veya belirli bir konuyu bulmamıza yardımcı oluyor.

Bunların yanı sıra veri analizi, yasal araştırmalar gibi amaçlara da hizmet ediyor. Yazımın başında da dediğim gibi bu tekniklerin yalnızca yasal ve etik amaçlarla kullanılmasına dikkat edilmelidir. Şimdi işimize yarayacak bazı komutlara göz atalım.

• site: Bu komut ile belirli bir web sitesindeki sayfaları arayabiliriz. Mesela “site:firatbora.com siber güvenlik” komutu ile bu web sitesindeki siber güvenlik ile ilgili içerikleri arayabiliriz.
• filetype: Bu komut ile belirli bir dosya türünü arayabiliriz. Özellikle dosya formatlarına yönelik aramalar yapılabilir. (PDF, DOCX, XLS) Örneğin “filetype:pdf siber güvenlik raporu” komutu ile siber güvenlik raporu ile alakalı sonuçları görüntüleyebiliriz.
• intitle: Bu komut ile bir web sayfasının başlığında belirli bir terimi arayabiliriz. Mesela “intitle:"siber güvenlik“” komutu ile başlığıda “siber güvenlik” geçen sayfaları listeyelebiliriz.
• inurl: inurl komutu ile URL’lerde belirli bir kelimenin geçip geçmediğini kontrol edebiliyoruz. Mesela “inurl:login” sorgusu ile URL’sinde login kelimesi geçen giriş sayfalarını listeleyebiliriz.
• intext: Bu komut ile web sayfalarındaki metin içerisinde belirli bir kelimeyi arayabiliyoruz. Mesela intext:"veri güvenliği” sorgusu ile metin kısmında “veri güvenliği” terimi geçen sayfaları listeleyebiliriz.
• cache: Bu komut ile Google’ın önbelleğindeki bir sayfayı görebiliriz. Web sasyfası silinmiş veya değişmiş olsa bile önbellekteki halini görebiliyoruz.
• link: Bu komut belirli bir web sayfasına bağlantı veren diğer sayfaları aramamıza olanak sağlıyor.
• related: Belirli web sitesine benzeyen diğer siteleri bulmak için kullanabileceğimiz bir komut.
• OR: İki veya daha fazla kelimeyi aynı anda aramamıza olanak sağlıyor. Mesela “siber güvenlik OR ağ güvenliği” araması bize siber güvenlik ve ağ güvenliği terimlerinden herhangi birini içeren sayfaları arıyor.
• allinurl: URL’lerde birden fazla kelimeyi aramamızı sağlıyor. Mesela “allinurl:siber güvenlik pdf” olarak arattığımızda URL’sinde hem “siber güvenlik” hem de “pdf” geçen web sayfalarını listeleyebilir.

Bu ekran görüntüsünde, Google ana sayfasını ve arama çubuğuna girdiğimiz “site:firatbora.com siber güvenlik‘” komutunu görüyoruz. Bu komut kullanılarak firatbora.com sitesindeki siber güvenlik ile ilgili içerikler arandı. Yani sadece bu siteyi hedef alarak ilgili anahtar kelimeleri içeren sayfaları listelemekteyiz.

WHOIS

WHOIS internet üzerindeki domain isimlerinin kayıt bilgilerini öğrenmek için kullanılan bir protokoldür. Web sitelerinin arkasındaki kişileri organizasyonları ve hatta sunucularla ilgili bazı bilgileri araştırmak için kullanılabiliyor. Bir web sitesinde sitenin sahiplerini hangi firma veya kişi tarafından yönetildiğini görmemiz mümkün. Kali üzerinde kurulu gelen bu araç ile terminal ekranından “whois domainadresi.com” şeklinde sorgu yapabiliyoruz. Ayrıca sorgulama yapabileceğimiz web siteleri de mevcut. Buraya tıklayarak gidebilirsiniz.

Araştırdığımız alan adının whois sorgusunu yaptığımızda eğer her hangi bir gizlilik uygulanmamışsa aşağıdaki bilgilere ulaşabiliriz demektir.

• Domain Sahibinin Bilgisi
• Kayıt Tarihi ve Son Güncelleme Tarihi Bilgileri
• Nameserver Bilgileri
• Bitiş Tarihi ve Kalan Gün Sayısı
• Hangi Firmadan Tescil Edildiği

Görüldüğü gibi firatbora.com domainin whois bilgilerini görebiliyoruz. Domainin Güzel Hosting tarafından alındığı, name server bilgileri, kayıt tarihi, bitiş tarihi gibi bilgileri görebiliyoruz.

Bahsettiğim bu pasif bilgi toplama araçları genel olarak siber güvenlik dünyasında önemli yere sahip olan araçlar. Bu araçları yalnızca yasal ve etik sınırlar çerçevesinde kullanabilirsiniz. Başkalarının izni olmadan kişisel veya gizli bilgilere erişmek ciddi hukuki sonuçlara yol açabilir. Kendi sorumluluğunuzda kullandığınız bu araçları yalnızca meşru amaçlarla kullanın. Pasif bilgi toplama teknikleri ve kullanabileceğiniz araçlar hakkında umarım bilgi sahibi olmuşsunuzdur. Okuduğunuz için teşekkürler..