Zafiyet yönetimi süreci nasıl kurulur: envanterden doğrulamaya

Zafiyet yönetimi bir tarama değil, bir süreçtir

Zafiyet (güvenlik açığı) yönetimi; sistemlerdeki açıkların sürekli bulunması, değerlendirilmesi, giderilmesi ve giderildiğinin doğrulanması sürecidir. Tarama aracını çalıştırıp rapor almak bu sürecin yalnızca ilk adımıdır. Uzun bir bulgu listesi tek başına güvenliği artırmaz; asıl değer, listenin sahipli, öncelikli ve tarihli işlere dönüşmesindedir.

Süreç şu soruları cevaplamalıdır: Hangi varlıklarımız var? Bunlarda hangi açıklar var? Hangileri bizim için gerçekten tehlikeli? Kim, ne zamana kadar düzeltecek? Düzeltme gerçekten kapattı mı? Her sorunun bir sahibi ve ölçütü olduğunda süreç işler; olmadığında rapor dolaplarda bekler.

Zafiyet yönetimi sızma testinden farklıdır. Sızma testi, belirli bir dönemde uzman gözüyle sistemlerin aşılıp aşılamayacağını dener. Zafiyet yönetimi ise sürekli çalışan, geniş kapsamlı ve otomasyona dayalı bir hijyen sürecidir; ikisi birbirini tamamlar.

Varlık envanteri: göremediğinizi yönetemezsiniz

Süreç envanterle başlar. Sunucular, uç noktalar, ağ cihazları, uygulamalar, bulut kaynakları, kapsayıcı imajları ve üçüncü taraf bileşenler dahil edilir. Her varlığın sahibi, iş kritikliği, ortamı (üretim, test) ve internete açık olup olmadığı kayıt altına alınır. Envanteri güncel tutmak zordur; bu yüzden otomatik keşif ve kayıt sistemlerinden beslenmesi tercih edilir.

Envanter dışında kalan varlık, tarama dışında kalır. Gölge BT ve unutulmuş test sunucuları bu yüzden saldırganlar için kolay bir başlangıç noktası olabilir. Keşif taramaları periyodik olarak envanterle karşılaştırılmalı, tanınmayan her sistem sahibini bulana kadar sorgulanmalıdır.

Kapsam kararı da bu aşamada verilir: hangi varlık sınıfı ne sıklıkla taranır, hangileri kimlik doğrulamalı taranır, hangi sistemlerde tarama üretimi etkileyebilir diye özel pencere gerekir.

Tarama: kapsam, sıklık ve doğruluk

Tarama araçları bilinen açıkları, yanlış yapılandırmaları ve eksik yamaları arar. Kimlik doğrulamalı tarama, sisteme giriş yaparak yüklü yazılımı ve yama durumunu görür; yalnızca dışarıdan bakan taramadan çok daha doğru sonuç verir. İnternete açık sistemler için dışarıdan tarama da gerekir, çünkü saldırganın gördüğü yüzeyi gösterir.

Sıklık, risk ve değişim hızıyla ayarlanır. Dışarıya açık ve kritik sistemler daha sık, kapalı ve durağan sistemler daha seyrek taranır. Yeni bir açık kamuya duyurulduğunda, takvimi beklemeden etkilenen varlıkları hızla sorgulayabilmek gerekir; bunun için envanter ve yazılım bileşen bilgisi hazır olmalıdır.

Sonuçların doğruluğu da önemlidir. Yanlış pozitifler ekipleri yorar ve güveni düşürür; bu yüzden bulgular doğrulanmalı, tekrarlayan yanlış pozitifler için istisna kuralları kaydedilmelidir. Doğrulanmamış bir liste düzeltme ekiplerine gönderilmemelidir.

Önceliklendirme: ciddiyet puanı yetmez

Ciddiyet puanı olarak yaygın kullanılan CVSS, FIRST'ün tanımına göre bir açığın temel özelliklerini yakalayıp onun şiddetini yansıtan sayısal bir puan üretir ve bu puan düşükten kritiğe nitel kategorilere eşlenebilir. Ancak puan, açığın sizin kurumunuzdaki riskini tek başına söylemez. Aynı puana sahip iki açıktan biri iç ağda kimsenin ulaşamadığı bir cihazda, diğeri internete açık kritik bir sunucuda olabilir.

Bu nedenle önceliklendirmede birkaç bağlam birlikte okunur. Açık fiilen saldırılarda kullanılıyor mu? Kamuya açık istismar kodu var mı? Sistem dışarıdan erişilebilir mi? Varlık iş açısından ne kadar kritik, içindeki veri ne kadar hassas? Telafi edici kontroller, örneğin ağ segmentasyonu ya da erişim kısıtı, riski azaltıyor mu?

Bu sorular bulguları sıralı bir iş listesine çevirir. Sonuçta kurumun her bulgu için ne kadar sürede kapanması gerektiğini belirleyen bir hizmet düzeyi hedefi olur ve en riskli bulgular daha hızlı kapanır.

Yama ve düzeltme: test, pilot, geniş dağıtım

Yama uygulaması kendi başına bir risk taşır; yanlış zamanlanmış bir güncelleme üretimi durdurabilir. Bu nedenle düzeltme kontrollü bir sırayla ilerler. Önce yama test ortamında denenir, sonra sınırlı bir pilot gruba dağıtılır, sorun çıkmazsa tüm kapsama yayılır. Acil durumlarda bu sıra kısalır ama atlanmaz.

Her düzeltme yama olmak zorunda değildir. Yama mevcut değilse ya da uygulanamıyorsa telafi edici kontroller devreye alınır: ağ erişimini kısıtlamak, özelliği devre dışı bırakmak, ek izleme koymak. Bu istisnalar gerekçe, sahip ve son tarih ile kayıt altına alınır; süresiz kabul edilen açık, sonunda unutulur.

Bakım pencereleri, iş birimleriyle önceden planlanmalıdır. Güvenlik ekibi, düzeltmeyi yapan operasyon ekibinden bağımsız bir takvim ve ölçütle hareket ederse çatışma çıkar; ortak bir yama takvimi ve aciliyet kuralı iki ekibi aynı hedefe bağlar.

Doğrulama, raporlama ve süreç göstergeleri

Bir bulgu, yeniden tarama açığı artık göstermediğinde kapanır; talebin kapanması yeterli değildir. Doğrulama, gerçek kapanışı sahiple karşılaştırır ve yarım kalmış düzeltmeleri yakalar.

Süreç göstergeleri, işin yönünü gösterir: kritik bulguların ortalama kapanma süresi, hedef süreyi aşan bulgular, taranan varlıkların envantere oranı, tekrar eden açık türleri ve istisnaların yaşı. Bu göstergeler hangi ekibin ya da sistem sınıfının desteğe ihtiyaç duyduğunu gösterir.

Yönetime sunulan rapor teknik bulguları değil, riski anlatmalıdır: hangi iş süreçleri hangi açıklardan etkileniyor, ne kadarı hedef sürede kapandı, hangi kararlar yönetimden bekleniyor. Aynı raporun teknik eki düzeltme ekiplerine ayrıntılı bulguları verir.

Sık yapılan hatalar

İlk hata, yalnızca puana göre sıralamaktır. Kritik puanlı ama ulaşılamayan bir sistem, orta puanlı ama internete açık ve aktif istismar edilen bir sistemden önce düzeltilirse zaman yanlış harcanır.

İkinci hata, bulguları sahipsiz bırakmaktır. Güvenlik ekibi bulur ama sistem sahibi kim, düzeltmeyi kim yapacak belli değilse liste büyür, kimse sorumlu olmaz.

Üçüncü hata, kapsamı eksik tutmaktır. Taranmayan varlıklar sürecin dışında kalır; envanter ve keşif taramasıyla kapsam sürekli sınanmalıdır.

Son hata, istisnaları denetlemeden bırakmaktır. Yaması uygulanmayan bir açığın gerekçesi, sahibi ve son tarihi yoksa kalıcı bir risk haline gelir. Düzenli olarak gözden geçirin.

Bu beceriyi Mindset programlarında nerede çalışırsınız?

Siber Güvenlik Bootcamp Programı'nın Güvenlik Değerlendirme ve Test ile Güvenlik Operasyonları konuları, zafiyet bulma, değerlendirme ve operasyonel yönetimi ele alır. BT operasyonu, güvenlik ve altyapı ekiplerinde çalışan katılımcılar için süreci uçtan uca, bulgudan doğrulamaya kadar kurmaya zemin sağlar.