OctoXLabs Nedir? Siber Varlık ve Saldırı Yüzeyi Yönetimi (CAASM) Ne İşe Yarar

Bir denetçi "kaç sunucumuz var ve hepsinde EDR çalışıyor mu?" diye sorduğunda cevap çoğu kurumda birkaç konsoldan elle derlenir. Çünkü her araç ortamın yalnız kendi gördüğü parçasını listeler ve bu listeler birbirini tutmaz; bir bulut hesabı hiçbir listede yer almayabilir.

Siber varlık ve saldırı yüzeyi yönetimi (Cyber Asset Attack Surface Management, CAASM) bu dağınıklığa cevap olarak doğdu. CAASM kendi taramasını yapmak yerine mevcut araçlara API ile bağlanır, verilerini ortak biçime getirir ve aynı varlığa ait kayıtları birleştirir. Ortaya üç soruya tek yerden cevap veren bir envanter çıkar:

• Ne var? Hangi cihaz, hesap, yazılım ve bulut kaynağı gerçekten mevcut.
• Nasıl korunuyor? Hangi varlıkta hangi güvenlik kontrolü çalışıyor, hangisinde eksik.
• Nerede açık kalıyor? Hangi varlıkta zafiyet, eski sürüm ya da yanlış yapılandırma bulunuyor.

Şirketin kendi ifadesine göre ilkesi tek cümledir: göremediğinizi yönetemezsiniz. Kurucuların sahada gördüğü sorun, güvenlik araçlarına ciddi yatırım yapan kurumların bile ortamları için güvenilir ve sürekli güncel bir doğruluk kaynağından yoksun olmasıydı. OctoXLabs bugün Gartner Peer Insights'ta hem CAASM hem de maruziyet değerlendirme platformları kategorisinde yer alıyor.

OctoXLabs'ta veri toplamanın birimi adaptördür. Her adaptör bir kaynağa karşılık gelir: bir EDR konsolu, Active Directory, bir bulut hesabı ya da bir zafiyet tarayıcısı. Bağlantı için kaynağın API kimlik bilgisi girilir ve keşif çalıştırılır; uç noktaya hiçbir şey kurulmaz. Üreticinin entegrasyon kataloğunda 600'den fazla hazır adaptör yer alıyor.

Toplanan kayıtlar, üreticinin beş aşamada tarif ettiği sürekli bir döngüden geçer:

Döngünün kalbi eşleştirmedir. Aynı dizüstü bilgisayar EDR'de, dizinde ve uç nokta yönetiminde üç ayrı adla görünebilir; platform bu kayıtları tek varlıkta birleştirir. Böylece mükerrer sayım ortadan kalkar ve bir varlığın hangi kaynakta eksik olduğu görülür.

Envanter sorguyla kullanılır. Görsel sorgu oluşturucuda adaptör, alan ve koşul seçilerek "kritik zafiyeti olup EDR'si olmayan cihazlar" gibi bir liste kod yazmadan çıkarılır. Yapay zekâ destekli Query Wizard, doğal dille yazılan isteği düzenlenebilir bir sorguya çevirir. OctoXAI ise varlık ve maruziyet verisinden açıklanabilir risk içgörüleri üretir.

CAASM denince akla önce cihazlar gelir, ancak OctoXLabs envanteri dokuz varlık türünü aynı veri katmanında tutar. Her tür, güvenlik ve BT ekiplerinin sık sorduğu bir soruya cevap verir:

Bu türler birbirinden kopuk listeler değildir; kayıtlar birbirine bağlıdır. Bir cihazdan onu kullanan hesaba, üzerindeki yazılıma ve o yazılımı etkileyen zafiyete geçilebilir. Bu yüzden bir olay ya da zafiyet çalışması sırasında etki analizi bu ilişkiler üzerinden yapılır.

CAASM projeleri genellikle tek bir somut sorudan başlar. En yaygın çıkış noktaları şunlardır:

• Bilinmeyen varlıklar. Yalnız tek bir kaynakta görünen sunucu ve bulut kaynakları ayrıca listelenir; varlık envanteri keşfi bu listeyle başlar.
• EDR kapsamı. Satın alınan lisans, ajanın gerçekten her cihazda çalıştığını göstermez. Ajanı olmayan, durmuş ya da eski sürümde kalan makineler ortaya çıkar ve uç nokta güvenliği kapsamı oran olarak ölçülür.
• Taranmayan sistemler. Hiçbir zafiyet taramasına girmemiş varlıklar işaretlenir; zafiyet yönetimi kapsamı gerçek varlık sayısına göre izlenir.
• Yama dışı cihazlar. Yama aracı yalnız kendisine kayıtlı cihazları raporlar. Envanterle karşılaştırıldığında hiç yama almayan makineler ortaya çıkar ve yama yönetimi sürecine eklenir.
• CMDB'nin sahadan kopması. Elle güncellenen CMDB zamanla gerçeği yansıtmaz. Canlı kaynaklarla karşılaştırma, CMDB'de olmayan cihazları, artık var olmayan varlıkların kayıtlarını ve sahibi yanlış girilmiş varlıkları gösterir.

Bulgu ancak bir işe dönüştüğünde değer üretir. Action Center'da bir iş akışı üç biçimde tetiklenebilir: elle, bir zamanlamayla ya da keşiften sonra belirlenen koşul oluştuğunda. Üreticiye göre bu akışlar riskli cihazı yalıtabilir, kullanıcıyı devre dışı bırakabilir ve yazılım dağıtabilir. Görev ve bildirimler Jira, Slack ya da Microsoft Teams üzerinden ilgili ekibe gider.

Entegrasyon kataloğu Innoset portföyünü de kapsıyor: Nexthink, ManageEngine Endpoint Central, Ivanti uç nokta ürünleri ve Binalyze AIR bunlardan birkaçı. Bu araçlardan biri kurumda zaten çalışıyorsa, verisi ilk bağlantıdan itibaren envantere eklenir.

Türkiye'de birkaç düzenleme, doğrudan ya da dolaylı olarak güncel bir varlık envanterine dayanır. OctoXLabs bu yükümlülükleri tek başına karşılamaz. Denetimde istenen listelerin elle derlenmesi yerine kaynaklardan tekrarlanabilir biçimde üretilmesini sağlar:

• 6698 sayılı KVKK: Kanunun 12. maddesi veri sorumlusundan uygun güvenlik düzeyi için teknik ve idari tedbirler bekler. Kişisel veri işleyen sistemler ve onlara erişen hesaplar listelenmeden tedbirin kapsamını çizmek zordur.
• 7545 sayılı Siber Güvenlik Kanunu: Kanun, kamu kurumları ile kritik altyapıların varlık envanterinin tutulmasını sağlamayı görevler arasında sayar (5. madde, 1. fıkra, ç bendi). Kapsamdakilerden hizmet sundukları alanda tespit ettikleri zafiyet ve siber olayları bildirmelerini de bekler (7. madde, 1. fıkra, b bendi).
• ISO/IEC 27001:2022: A.5.9 kontrolü bilgi ve ilişkili varlıkların envanterini, A.8.8 kontrolü teknik zafiyetlerin yönetimini ele alır. İkisi aynı kayıttan beslendiğinde ISO 27001 denetiminde iki liste birbirini tutar.

Üreticinin İstanbul'da olması, teknik iletişimin ve eğitimin Türkçe, aynı saat diliminde yürümesini sağlıyor. Verinin kurum dışına çıkmasını istemeyenler için kurum içi kurulum seçeneği var; bu modelde varlık verisi kurumun kendi altyapısında işlenir. Üreticinin sitesindeki müşteri görüşleri arasında, platformla zafiyetleri daha erken tespit ettiğini söyleyen Turkcell'in değerlendirmesi de yer alıyor.

CAASM, başka güvenlik araçlarının verisiyle çalıştığı için sık sık o araçlarla karıştırılır. OctoXLabs'ın yapmadıkları şunlardır:

• Zafiyet tarayıcısı değildir. Kendi taramasını yapmaz; tarayıcıların bulgularını varlık kaydında birleştirir ve taramanın ulaşmadığı varlıkları gösterir.
• EDR değildir. Uç noktaya ajan kurmaz ve cihazı kendisi korumaz; EDR ajanının nerede eksik ya da durmuş olduğunu gösterir.
• CMDB'nin yerine geçmez. Üretici CAASM yaklaşımını CMDB'yi tamamlayan bir katman olarak tarif ediyor: CMDB yapıyı ve sahipliği düzenler, CAASM bu yapının sahadaki gerçekle örtüşmesini sağlar.
• Kapsamı kaynaklarına bağlıdır. Envanter bağlanan araçların verisinden oluşur. Hangi kaynakların bağlanacağı, projenin kapsamını belirleyen ilk karardır.

Üreticinin CAASM ve CMDB karşılaştırması iki katmanın farkını şöyle özetliyor:

Platformun bütün yetenekleri aynı veri katmanını kullandığı için ilk adım envanterdir. Risk puanlama ve otomasyon, envanter güvenilir hale geldikten sonra anlam kazanır.

1. Kaynakları listeleyin. EDR, dizin, bulut hesapları, zafiyet tarayıcıları, uç nokta yönetimi ve servis masası: hangi araç hangi varlığı biliyor?
2. Kurulum modelini seçin. Platform SaaS olarak ya da kurum içinde çalışır; veri yerleşimi kararını baştan verin.
3. En çok veri taşıyan kaynaklarla başlayın. Envanter ilk bağlantılarla dolmaya başlar; süre kaynak sayısına ve ortamın büyüklüğüne göre değişir.
4. İlk soruları sorguya çevirin. EDR'si olmayan sunucular, uzun süredir kullanılmayan ayrıcalıklı hesaplar, süresi yaklaşan sertifikalar. Sorguları panoya ve zamanlanmış rapora bağlayın.
5. Kapsamı dönem dönem ölçün. Ajan ve tarama kapsamı zaman içinde izlendiğinde iyileşme sayıyla görülür.

Lisans, yönetilen varlık sayısına bağlı bir abonelikle verilir. Bir PoC'nin en değerli çıktısı, kurumun kendi verisiyle çıkan ilk tablodur: toplam varlık sayısı, güvenlik ajanı eksik cihazlar ve hiç taranmamış sistemler. Innoset, OctoXLabs'ın Türkiye çözüm ortağı olarak PoC, kurulum ve destek süreçlerini yürütüyor; ayrıntılar OctoXLabs sayfamızda.