CEH Sertifikasına Hazırlanırken Edindiklerim-3: Scanning Networks (Ağ Taraması)

Ali Umut Soran

5 min read

·

Oct 29, 2026

--

Share

Press enter or click to view image in full size

Bu yazıda, CEH’e hazırlanırken öğrendiğim temel kavramları elimden geldiğince sade ve açık şekilde derlemeye çalıştım. Umarım bu bilgileri öğrenmek isteyen ama kaynaklara ulaşamayanlara bir nebze de olsa faydası olur.

Footprinting aşamasında hedef hakkında genel bir harita çıkarmıştık — domain, subdomain, DNS kayıtları vb. Scanning aşamasında ise bu haritayı daha somut hâle getiriyoruz: hedefte hangi makineler canlı, hangi portlar açık, bu portların arkasında hangi servisler çalışıyor, hangi işletim sistemi kullanılıyor. Yani footprinting “ne var” sorusuna kabaca cevap verirken, scanning “tam olarak neyle karşı karşıyayım” sorusuna cevap veriyor.

Aşağıda CEH düzeyinde bilmen gereken tarama türlerini, TCP/IP mantığını, araçları ve savunma noktalarını bulacaksın.

1) Scanning’in Amaçları

Tarama sürecinin temel hedefleri şunlar:

• Canlı host tespiti (hangi IP’ler ayakta).
• Açık/kapalı/filtrelenmiş port tespiti.
• Çalışan servis ve versiyon bilgisi (banner grabbing ile birleşir).
• İşletim sistemi tespiti (OS fingerprinting).
• Ağ topolojisi çıkarımı (hangi cihazlar arasında hangi yol var).
• Zafiyetli servislerin ön tespiti (sonraki aşama olan Vulnerability Analysis’e zemin hazırlar).

2) TCP/IP Three-Way Handshake — Tarama Mantığının Temeli

Çoğu tarama tekniği TCP’nin bağlantı kurma mantığına dayanıyor:

• SYN → hedefe bağlantı isteği gönderilir.
• SYN/ACK → port açıksa hedef bu şekilde cevap verir.
• ACK → istemci bağlantıyı tamamlar (full connect).
• Port kapalıysa hedef RST/ACK döner.
• Port filtrelenmişse (firewall arkasında) hiçbir cevap gelmez veya ICMP “unreachable” döner.

Bu üç durumu (açık/kapalı/filtreli) ayırt edebilmek, hangi tarama tekniğinin ne işe yaradığını anlamanın temelini oluşturuyor.

3) Nmap Tarama Türleri

Nmap, CEH sınavında en sık geçen araç. Tarama tiplerini mantığıyla bilmek gerekiyor:

• Full/TCP Connect Scan: nmap -sT target.com — üç yönlü el sıkışmayı tam tamamlar, loglarda iz bırakır.
• Stealth/SYN Scan: nmap -sS target.com — sadece SYN gönderir, SYN/ACK gelirse RST ile keser, bağlantıyı tamamlamaz, daha az iz bırakır (root/admin gerekir).
• XMAS Scan: nmap -sX target.com — FIN, PSH, URG bitleri aynı anda set edilir; Unix/Linux hedeflerde port açıksa cevap gelmez, kapalıysa RST döner.
• FIN Scan: nmap -sF target.com — sadece FIN biti gönderilir, benzer mantık.
• NULL Scan: nmap -sN target.com — hiçbir bit set edilmez.
• ACK Scan: nmap -sA target.com — firewall kural setini anlamak için kullanılır (port açık/kapalı değil, filtreli/filtresiz ayrımı yapar).
• Idle/IPID Scan: nmap -sI zombie_host target.com — üçüncü bir “zombie” host üzerinden IP ID sıra numarasını izleyerek kaynağı gizler.
• UDP Scan: nmap -sU target.com — UDP servisleri (DNS, SNMP, DHCP vb.) için, cevap gelmemesi port açık ya da filtreli anlamına gelebilir, bu yüzden daha yavaş ve belirsizdir.

Versiyon ve OS bilgisi için:

• nmap -sV target.com → servis versiyonu.
• nmap -O target.com → OS fingerprinting (TCP/IP stack davranışına bakarak işletim sistemini tahmin eder).
• nmap -A target.com → agresif mod, OS + versiyon + script + traceroute bir arada.

Not: SYN scan “yarı açık” (half-open) tarama olarak da geçer, çünkü bağlantı tam tamamlanmaz.

4) Host Keşfi (Ping Sweep)

Hedef ağda hangi IP’lerin canlı olduğunu bulmak için:

• nmap -sn 192.168.1.0/24 — port taramadan, sadece host keşfi (ping sweep).
• ICMP Echo Request/Reply mantığına dayanır ama birçok ağda ICMP firewall’da engellenir, bu yüzden Nmap TCP SYN/ACK veya ARP ping gibi alternatif yöntemlere de düşer.
• Araçlar: Angry IP Scanner, MegaPing, NetScanTools Pro — GUI tabanlı, hızlı host/port keşfi için CEH’te sık anılan araçlar.

5) Port Tarama Durumları

Nmap çıktısında üç temel durum var, bunları net ayırt etmek gerekiyor:

• Open: Servis o portta dinliyor ve bağlantı kabul ediyor.
• Closed: Port erişilebilir ama arkasında dinleyen bir servis yok.
• Filtered: Bir firewall/ACL paketi süzüyor, port’un açık mı kapalı mı olduğu belirlenemiyor.

6) Paket Oluşturma ve IDS/Firewall Atlatma Teknikleri

Tarama trafiği genelde IDS/firewall tarafından tespit edilmeye çalışılır. CEH’te geçen bazı kaçınma teknikleri:

• Packet Fragmentation: nmap -f target.com — paketleri küçük parçalara bölerek bazı eski IDS’leri atlatmaya çalışır.
• Decoy Scanning: nmap -D RND:10 target.com — gerçek IP’yi rastgele üretilmiş sahte IP’lerin arasına gizler.
• Source Port Manipulation: nmap --source-port 53 target.com — güvenilir bir port (örneğin DNS’in 53’ü) üzerinden geliyormuş gibi görünmeyi sağlar.
• Packet Crafting: Colasoft Packet Builder gibi araçlarla elle oluşturulmuş, standart dışı TCP bayrak kombinasyonlarına sahip paketler gönderilir; bu paketler bazı basit filtreleme kurallarını şaşırtabilir.
• Proxy/Anonimleştirme: Proxychains, Tor, VPN zincirleri ile kaynak IP gizlenir; ancak birçok hedef sistem bilinen Tor exit node’larını veya proxy IP aralıklarını kara listeye alır.

7) Banner Grabbing (Hatırlatma)

Footprinting yazısında da geçmişti ama tarama aşamasında daha sistematik uygulanır:

• nc target.com 80 + HEAD / HTTP/1.0 → web sunucu banner’ı.
• nmap -sV --script=banner target.com → otomatik banner toplama.
• Wireshark ile canlı trafik yakalanarak servis handshake’lerindeki versiyon bilgileri de analiz edilebilir.

8) CEH Perspektifi — Hangi Teknik Noktalar Önemli?

• TCP bayraklarının (SYN, ACK, FIN, RST, PSH, URG) tarama tekniklerindeki rolü.
• Her Nmap tarama tipinin (-sS, -sT, -sX, -sF, -sN, -sA, -sU, -sI) açık/kapalı/filtreli portlarda verdiği cevap farkları.
• Open/Closed/Filtered port durumlarının birbirinden ayrımı.
• Ping sweep ile host keşfinin ICMP’ye bağımlılığı ve alternatif yöntemler.
• Decoy, fragmentation, source port spoofing gibi IDS atlatma mantıkları.
• Nmap, Hping3, Angry IP Scanner, MegaPing, NetScanTools Pro, Colasoft Packet Builder gibi araçların hangi amaçla kullanıldığı.

9) Countermeasures — Teknik ve Pratik Önlemler

• Gereksiz servisleri ve portları kapat, saldırı yüzeyini küçült.
• Firewall/IDS/IPS kurallarını port tarama paternlerini (hızlı art arda SYN istekleri gibi) tanıyacak şekilde ayarla.
• Rate limiting uygula, anormal tarama hızını tespit eden kurallar koy.
• ICMP yanıtlarını gereksiz yere açık bırakma; ama tamamen kapatmak da yanlış yapılandırma tespitini zorlaştırabilir, dengeyi göz önünde bulundur.
• Banner bilgisini minimuma indir (versiyon bilgisini servis çıktısından gizle).
• Düzenli olarak kendi ağını tara (Nmap ile periyodik iç denetim) ve açık bıraktığın beklenmedik portları kapat.

10) Gerçek Dünya Örneği

• Footprinting’de bulduğumuz sub.example.com hedefine odaklanalım.
• nmap -sn 192.168.1.0/24 ile aynı ağdaki canlı hostlar listelendi.
• nmap -sS -sV -p- sub.example.com ile tüm portlar tarandı, 22 (SSH), 80 (HTTP), 3306 (MySQL) açık bulundu.
• nmap -O sub.example.com ile hedefin Linux tabanlı bir sunucu olduğu tahmin edildi.
• MySQL portunun dışarıya açık olması (3306) tek başına kritik bir bulgu — normalde bu port sadece iç ağa açık olmalı.
• Bu bulgular bir sonraki aşama olan Enumeration’da (servislerden kullanıcı adı, paylaşım, versiyon detayı çekme) kullanılacak girdiler olarak not edildi.

11) İyi Uygulamalar (Operational Tips)

• Önce host keşfi, sonra port taraması, sonra versiyon/OS tespiti — sırayla ilerle, her şeyi aynı anda yapmaya çalışma.
• -T zamanlama seçenekleriyle (-T2, -T4 gibi) tarama hızını hedefe ve ortama göre ayarla; çok agresif tarama hem iz bırakır hem de hatalı sonuç verebilir.
• Sonuçları -oX / -oN ile dosyaya kaydet, elle not almak yerine raporlamayı otomasyonla yap.
• Yasal sınırları asla aşma — elinde yetki yoksa aktif tarama yapma, sadece izin verilen kapsamda çalış.

CEH sertifikasına erişemeyen birçok insan gibi ben de elimden geldiğince kaynakları araştırarak bu alanda öğrenmeye çalışıyorum. Bu yazı, o süreçte öğrendiklerimi paylaşmak için yazıldı. Eğer bu konularla ilgileniyorsan, benzer yazılarla paylaşmaya devam edeceğim 🙌🏻