Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Port Scan nedir; TR7 port scan yapan kaynağı nasıl tespit eder?
Kısa cevap
Port scan, bir hedefte hangi portların açık olduğunu ve hangi servislerin çalıştığını bulmak için sistematik bağlantı denemeleri yapmaktır; çoğunlukla bir saldırının keşif aşamasıdır. TR7'de L4 DDoS Management ekranının TCP bandındaki Malformed Flags & Scans kutusunda bulunan Port Scan kuralı tuzak mantığıyla çalışır: hizmet verilmeyen ama tarama araçlarının neredeyse her zaman denediği bir hedef dinlenir; kuralın Status değeri Block iken tuzağa dokunan kaynağın bütün trafiği 60 saniye, Quarantine iken Quarantine Time süresi boyunca düşürülür. Port scan yaptığı bildirilen adresler ayrıca IP reputation veritabanında Port Scan kategorisinde tutulur.
TR7'de Nerede Kullanılır
| Nerede | Alan / etiket | Ne için |
|---|---|---|
| Left Monitor Panel → Route Tables & L4 DDoS → route table → L4 DDoS Management | TCP → Malformed Flags & Scans → Port Scan | Tarama yapan kaynağı tuzakla yakalama; Status: Disabled, Monitor, Block, Quarantine |
| Left Monitor Panel → Route Tables & L4 DDoS → route table → Dashboard → Suspicious Packets | L4 DDoS Packet Class — Port scan paneli | Tuzağa gelen paketlerin ölçümü (Ölçüm ve pano) |
| Settings → General Settings → IP Intelligence & Reputation | IP Categories → Port Scan | Port scan yaptığı bildirilen adresler |
| Bot/DDoS → IP Reputation Protection | Varsayılan kural listesi | Port Scan kategorisindeki adreslerin isteği varsayılan olarak 403 ile engellenir (L7 TCP vService'te Silent Drop) |
| Bot/DDoS → Bot Protection → Factors | Recon faktörü | Port Scan kaydı taşıyan adresin bot skoruna katkısı |
TR7'de Port Scan Kuralı Nasıl Çalışır?
- Tuzak: Kural bir paketin biçimine değil, kaynağın davranışına bakar. Hizmet verilmeyen tuzak hedefe meşru trafik gitmediği için tuzağa dokunan kaynak taramaya girişmiş sayılır.
- Block: Tuzağa gelen paket düşürülür ve kaynak 60 saniyelik bir listeye yazılır; bu süre boyunca kaynağın bütün trafiği, hangi porta ya da protokole giderse gitsin düşürülür. Süre tuzağa her yeni dokunuşta baştan başlar.
- Quarantine: Block'a ek olarak kaynak route table'ın quarantine listesine alınır; süre Quarantine Time alanından gelir (varsayılan 10 dakika).
- Monitor: Yalnızca tuzağa yapılan dokunuşlar sayılır; paket düşürülmez, kaynak listeye yazılmaz.
- Muafiyet: Whitelist & Known Peers kutusundaki kaynaklar kuraldan etkilenmez.
- Varsayılan: Kuralın varsayılan değeri Block'tur. Kural Monitor modundaysa, meşru trafikte karşılığı olmadığı için öğrenme motoru onu Mode Promotion kapalıyken de yaptırıma terfi ettirmeyi önerebilir (neden).
Sık Karıştırılan Noktalar
- "Tespit için açık portlara gelen trafik izlenir." Kural hizmet verilmeyen bir tuzağa dokunan kaynağı yakalar; açık portlardaki meşru trafiğe bakmaz.
- "Yaptırım yalnızca tuzağa giden paketi düşürür." Block modunda kaynağın o andan sonraki bütün trafiği 60 saniye boyunca, Quarantine modunda ise Quarantine Time süresi boyunca düşürülür.
- "Monitor'de görülen sayı engellenen taramadır." Monitor modunda sayaç yalnızca görülen dokunuşları gösterir; hiçbir paket düşürülmez.
- "Port Scan reputation kategorisi ile Port scan kuralı aynı şeydir." Kural cihaza yapılan taramayı o anda yakalar; reputation kategorisi ise adresin başka hedeflerde tarama yaptığına dair bildirimlerden oluşur.
Dokümantasyonda nasıl yapılır
