Ajansız tarama nedir: salt okunur bağlantıyla veri keşfi

Veri keşfinin en pahalı kısmı çoğu zaman tarama değil, taramayı mümkün kılan kurulumdur. Her sunucuya bir ajan kurmak, her uç cihazda bir süreç çalıştırmak ve bunları güncel tutmak, keşif projelerini aylarca geciktiren bir değişiklik yönetimi yüküdür. Ajansız tarama bu yükü ortadan kaldırır: kaynağa uzaktan, salt okunur bir bağlantıyla bağlanır, içeriği ve izinleri okur ve taranan sisteme hiçbir şey bırakmaz. Bu yazı ajansız taramanın nasıl çalıştığını, kaynak türüne göre nasıl bağlandığını, ajanlı yaklaşımla farkını ve sınırlarını anlatır.

Ajansız ne demektir

“Ajan”, veriyi barındıran sisteme kurulan ve orada çalışan bir yazılım bileşenidir; dosya sistemini izler, içerik okur, sonuçları merkeze gönderir. Ajansız yaklaşımda bu bileşen yoktur. Tarama motoru, kurumun kendi altyapısındaki konsolda çalışır ve her kaynağa o kaynağın zaten sunduğu protokolle bağlanır: dosya sunucusuna SMB veya NFS ile, Microsoft 365’e Microsoft Graph ile, veritabanına salt okunur bir istemci bağlantısıyla, nesne depolamaya S3 API ile.

Bu yaklaşımın üç doğrudan sonucu vardır. Birincisi, taranan sisteme hiçbir şey yazılmaz ve hiçbir süreç bırakılmaz; sunucunun yapılandırması tarama öncesi ve sonrasında aynıdır. İkincisi, kurulum süresi konsolun kurulması ve ilk bağlantının tanımlanmasından ibarettir; ilk tarama aynı gün başlayabilir. Üçüncüsü, kapsam bir ajan dağıtım planına değil, bağlantı tanımına bağlıdır; yeni bir kaynak eklemek yeni bir bağlantı tanımlamaktır.

Bu ilkenin güvenlik açısından da bir anlamı vardır. Ajan, taranan sistemde ayrıcalıklı çalışan bir bileşendir; güncellenmesi, imzasının doğrulanması ve davranışının izlenmesi gerekir. Ajansız yaklaşımda saldırı yüzeyi, kurumun kendi altyapısındaki tek konsola ve o konsolun kullandığı salt okunur hesaplara iner. Hesapların yetkisi ve kapsamı dizinde tanımlanır, kullanımları denetim kaydında görünür.

Salt okunur olmak, ajansız olmanın tamamlayıcısıdır. Seratus’un her bağlantısı okuma yetkisiyle sınırlıdır: SQL Server’da db_datareader, Microsoft 365’te salt okunur uygulama izni, dosya sunucularında okuma hakkı olan bir hesap. İyileştirme eylemleri (maskeleme, karantina, izin kaldırma, imha) tarama bağlantısından ayrı, onaylı bir akışta ve ayrı yetkilerle yürütülür; tarama hesabı değiştirme yetkisi taşımaz.

Kaynak türüne göre bağlantı

Ajansız tarama tek bir teknik değil, kaynak türüne göre uyarlanan bir ilkedir. Her kaynağın içerik okuma ve izin okuma biçimi farklıdır.

Dosya sunucuları ve yerel diskler. SMB/CIFS ve NFS paylaşımları uzaktan bağlanarak okunur; Windows, Linux ve macOS yerel diskleri de ajansız taranır. Her dosya için içerik ve klasör/dosya ACL’leri birlikte toplanır. İzinleri okunamayan dosyalarda içerik yine taranır, izin durumu ise uyarı olarak raporlanır; “taranmadı” ile “izin okunamadı” ayrı durumlardır.

Microsoft 365. SharePoint Online, OneDrive ve Teams dosyaları Microsoft Graph üzerinden, salt okunur uygulama izniyle taranır. Paylaşım linkleri (anonim link, “kuruluştaki herkes”) maruziyet düzeyine çevrilir. İlk tam taramadan sonra yalnızca değişenler işlenir (delta), böylece büyük kiracılarda sürekli keşif mümkün olur.

İlişkisel veritabanları. Oracle, SQL Server, PostgreSQL, MySQL ve MariaDB’ye salt okunur bağlanılır. Tarama örnekleme temellidir: tablo kapsayıcı, sütun taranan birimdir; sütun başına örnekler alınır ve tanımlayıcılar bu örneklerde aranır. Rol–tablo izin grafiği, hangi rolün hangi tabloya ulaştığını gösterir. Örnekleme, üretim veritabanını yormadan tarama yapmanın bedelidir ve sonucu dürüstçe adlandırmayı gerektirir: “örneklemde bulunmadı” bir risk kararı değildir.

Nesne depolama. Amazon S3, MinIO ve Ceph gibi S3-uyumlu depolar S3 API ile taranır; istek imzalama (SigV4) Seratus’un kendi kodundadır, üçüncü taraf SDK bağımlılığı yoktur. Kova politikası veya ACL okunabildiğinde izin grafiğine alınır.

E-posta arşivleri. PST, OST ve MSG dosyaları dosya olarak açılır; ileti gövdesi ve ekler taranır. Canlı posta kutusuna bağlanılmaz. Bu ayrım yalnızca teknik değildir: Kurum’un 16 Eylül 2026 tarihli 2026/2035 sayılı İlke Kararı, kurumsal iletişim kanallarının denetlenmesinde “teknik olarak erişebilir olma” ile “hukuken erişebilir olma”nın ayrılmasını ve kapsamı belirsiz, genel ve sürekli içerik incelemelerinden kaçınılmasını vurgular. Arşiv dosyası keşfi, amacı ve kapsamı tanımlanmış bir veri envanteri çalışmasıdır; canlı posta izleme ise başka bir hukuki değerlendirme gerektirir. Bu yazı hukuki tavsiye değildir; kurumun hukuk birimi bu ayrımı kendi bağlamında değerlendirmelidir.

Kaynak	Protokol	İzin kaynağı	Tarama biçimi
SMB/CIFS, NFS, yerel diskler	Uzak bağlama	Klasör/dosya ACL	Tam, kaldığı yerden devam
Microsoft 365	Microsoft Graph	Paylaşım linkleri, site izinleri	Tam, ardından delta
Oracle, SQL Server, PostgreSQL, MySQL, MariaDB	Salt okunur istemci	Rol–tablo izinleri	Örnekleme temelli
S3-uyumlu nesne depolama	S3 API, SigV4	Kova politikası / ACL	Tam, kaldığı yerden devam
PST, OST, MSG	Dosya okuma	Dosyanın bulunduğu konumun ACL’si	Gövde ve ekler

Kesilen tarama ve sürekli keşif

Büyük bir dosya sunucusunun taranması saatler, bazen günler sürer. Bu süre içinde ağ kesintisi, bakım penceresi veya konsolun yeniden başlatılması olağandır. Ajansız taramada bunun maliyeti, taramanın kaldığı yerden devam edebilmesine bağlıdır. Seratus işlenen her dosya ve nesneyi kaydeder; kesinti sonrası tarama, işlenmemiş olanlardan devam eder, önceden taranan yeniden taranmaz.

Sürekli keşif bunun üzerine kurulur. Microsoft 365’te delta tarama yalnızca değişen dosyaları işler; dosya sunucularında ve nesne depolamada tekrar taramalar zamanlanabilir ve kapsam parça parça genişletilebilir. Sonuç, bir seferlik proje değil, envanteri canlı tutan bir süreçtir; “envanterde olmayan veri” bu süreçte bir açık olarak görünür hale gelir.

Ajanlı yaklaşımla karşılaştırma

Ajanlı yaklaşımın meşru güçlü yanları vardır ve bunları adlandırmak gerekir. Uç cihazda çalışan bir bileşen, kullanıcının o anda ne yaptığını görebilir: bir dosyanın USB belleğe kopyalanması, bir web formuna yapıştırılması, bir ekran görüntüsü alınması. Bu, kanal izleme ve engelleme (klasik DLP) için gerekli bir yetenektir ve ajansız taramanın konusu değildir.

Ajanlı yaklaşımın maliyeti ise kurulum ve işletmedir: her sunucuda ve uç cihazda bir yazılım, bir güncelleme döngüsü, bir performans tartışması, bir güvenlik incelemesi, bir uyumluluk matrisi (hangi işletim sistemi sürümü, hangi çekirdek). Dağıtım tamamlanana kadar kapsam eksiktir ve eksik kapsam, eksik envanter demektir.

Ölçüt	Ajansız tarama	Ajanlı yaklaşım
Kurulum	Konsol ve bağlantı tanımı	Her kaynağa yazılım dağıtımı
Kaynak sisteme etki	Okuma yükü, kalıcı süreç yok	Kalıcı süreç, güncelleme döngüsü
Kapsam genişletme	Yeni bağlantı	Yeni dağıtım
Durağan veri keşfi	Evet	Evet
Gerçek zamanlı kullanıcı davranışı	Hayır	Evet
Değişiklik yönetimi yükü	Düşük	Yüksek

İki yaklaşım birbirinin alternatifi değil, farklı soruların yanıtıdır. “Veri nerede, kim erişebiliyor, ne kadar riskli” sorusu durağan veri sorusudur ve ajansız taramayla yanıtlanır. “Şu anda hangi kullanıcı hangi dosyayı nereye taşıyor” sorusu kanal sorusudur. Seratus ilk soruya odaklanır; kanal izleme ve engelleme mevcut bir yetenek olarak sunulmaz.

Ajansız taramanın sınırları

Her yöntemin sınırları vardır ve bunları açıkça yazmak, ürüne güveni artırır.

• Bağlanılamayan kaynak taranmaz. Ağ erişimi, hesap ve izin tanımlanmamış bir kaynak kapsam dışındadır. Bu yüzden keşif raporunda “taranmadı” ayrı bir durum olarak gösterilir ve “bulunmadı” ile karıştırılmaz.
• Örnekleme, tam tarama değildir. Veritabanlarında sütun başına örnek alınır; nadir görülen bir tanımlayıcı örneklemde yer almayabilir. Ürün bunu “örneklemde bulunmadı” olarak etiketler ve risk kararı vermez.
• Okunamayan izinler. Bazı dosyalarda ACL okunamaz; içerik yine taranır, izin durumu uyarı olarak raporlanır. Erişim grafiğinde bu dosyalar “izin bilinmiyor” olarak görünür.
• Gerçek zamanlı davranış görülmez. Ajansız tarama durağan veriye bakar; kullanıcının o anda ne yaptığını izlemez.
• Canlı posta kutusu taranmaz. Yalnızca PST/OST/MSG arşiv dosyaları okunur; bu hem teknik bir sınır hem de yukarıda anılan İlke Kararı ışığında kurumun hukuk birimiyle birlikte değerlendirmesi gereken bir tasarım tercihidir.
• Tarama bir fotoğraf, canlı tutmak bir süreçtir. Delta ve zamanlanmış taramalar olmadan keşif eskir.

Seratus bu açıkları nasıl kapatır

Ajansız taramanın değeri, bu sınırları dürüstçe yönetmesinde ortaya çıkar. Seratus bunu şu yeteneklerle yapar.

• Ajan dağıtımının keşfi aylarca geciktirmesi. Seratus konsolu kurumun kendi altyapısına imzalı paketle kurulur; ilk kaynağa salt okunur bağlantı tanımlanır tanımlanmaz tarama başlar. Dosya sunucuları, yerel diskler, Microsoft 365, veritabanları, nesne depolama ve e-posta arşivleri aynı motorla taranır (ajansız DSPM, entegrasyonlar).
• Tarama hesabının değiştirme yetkisi taşıması. Her bağlantı salt okunurdur (SQL Server’da db_datareader, Microsoft 365’te salt okunur uygulama izni). İyileştirme eylemleri ayrı yetkilerle, sorumluya atanarak ve ikinci yetkili onayıyla yürütülür; her adım denetim kaydına yazılır (iyileştirme ve kanıt).
• Uzun taramaların kesintide baştan başlaması. Kesilen tarama kaldığı yerden devam eder; Microsoft 365’te delta tarama yalnızca değişenleri işler (Microsoft 365).
• Örnekleme sonucunun yanlış okunması. Veritabanı bulguları güven yüzdesi ve maskeli örnekle gösterilir; “örneklemde bulunmadı” açıkça teknik bulgu olarak işaretlenir (Oracle, SQL Server, PostgreSQL/MySQL).
• İzin okunamayan dosyaların sessizce atlanması. Dosya yine taranır, izin durumu uyarı olarak raporlanır ve erişim grafiğinde ayrı görünür (dosya sunucuları).
• Keşif için veriyi dışarı çıkarmak. Tarama, sınıflandırma ve raporlama kurumun içinde yapılır; air-gap kurulum desteklenir, isteğe bağlı LLM zenginleştirme yalnızca yerinde modelle çalışır (özel LLM ve air-gap).

Sonuç

Ajansız tarama, veri keşfini bir dağıtım projesinden bir bağlantı tanımına indirger: kaynağa uzaktan, salt okunur bağlanılır, içerik ve izinler okunur, taranan sisteme hiçbir şey bırakılmaz. Bu yaklaşım durağan verinin nerede olduğu, kimin eriştiği ve ne kadar riskli olduğu sorusunu yanıtlar; gerçek zamanlı kullanıcı davranışını izlemez ve bunu iddia etmez. Sınırlarını açıkça adlandıran bir tarama, denetimde güvenilir bir kanıt üretir. Bir sonraki kayıt, bu kanıtın hangi yükümlülüklere hizmet ettiğini, yani bir veri sorumlusunun operasyonel KVKK yükümlülüklerini ele alır.