CAASM Nedir? Siber Varlık Envanteri ile Kör Noktaları Bulmak

Bir kurumda varlık bilgisi zaten vardır ama dağınıktır. Active Directory bilgisayar hesaplarını, EDR konsolu ajan kurulu cihazları, MDM mobil cihazları, zafiyet tarayıcısı taranan IP adreslerini, bulut konsolu sanal makineleri, CMDB ise birinin girdiği kayıtları bilir. Bu listelerin hiçbiri tek başına doğru değildir ve birbirini tutmaz.

CAASM bu kaynakları API bağlantılarıyla okur, aynı cihazın farklı araçlardaki kayıtlarını eşleştirip tek bir varlık kaydında birleştirir. Sonra şu tür sorulara cevap verir:

• EDR ajanı olmayan ya da ajanı bir haftadır rapor vermeyen cihazlar hangileri?
• Zafiyet taramasına hiç girmemiş sunucular var mı?
• Sahibi belli olmayan, CMDB'de kaydı bulunmayan sistemler hangileri?
• Desteği bitmiş işletim sistemiyle çalışan kaç cihaz var?

“Varlık envanteri nedir” sorusunun kısa cevabı: kurumun sahip olduğu ve kullandığı bütün bilgi varlıklarının, sahibi ve durumuyla birlikte tutulan listesidir. Standartların ilk istediği kontrollerden biridir: ISO/IEC 27001:2022 Ek A 5.9 ve CIS Controls'ün ilk iki kontrolü (kurumsal varlıkların ve yazılım varlıklarının envanteri) bu listeyi ister. Türkiye'de 7545 sayılı Siber Güvenlik Kanunu (RG 19.03.2025), kamu kurum ve kuruluşları ile kritik altyapıların veri envanteri dahil bütün varlıklarının envanterinin tutulmasını ve bu varlıklar için risk analizi yapılmasını sağlamayı Siber Güvenlik Başkanlığının görevleri arasında sayar.

1. Bağlayıcılar: Dizin hizmetleri (Active Directory, Entra ID), EDR ve antivirüs, MDM, zafiyet tarayıcıları, bulut hesapları, sanallaştırma, ağ cihazları, CMDB ve kimlik sistemleri salt okunur API hesaplarıyla bağlanır. Çoğu durumda uç noktalara yeni ajan kurulmaz.
2. Eşleştirme ve tekilleştirme: Aynı cihaz host adı, MAC adresi, seri numarası ve IP gibi alanlarla eşleştirilir; on araçta görünen bir dizüstü tek bir kayda iner.
3. Boşluk analizi: Her varlığın hangi araçta göründüğü, hangisinde görünmediği karşılaştırılır. Kontrol kapsamındaki eksikler buradan çıkar.
4. Sorgu ve kural: “Üretim ortamında, internete açık ve EDR ajanı olmayan sunucu” gibi sorgular kaydedilir; koşul oluştuğunda uyarı ya da bilet açılır.
5. Sürekli güncelleme: Veri düzenli aralıklarla yenilenir; envanter yılda bir yapılan sayım olmaktan çıkar.

Envanter diğer güvenlik süreçlerinin girdisidir: zafiyet yönetimi neyi tarayacağını, yama yönetimi neyi güncelleyeceğini, otomatik sızma testi neyi kapsama alacağını bu listeden bilir.

“CMDB nedir” sorusu genellikle BT hizmet yönetimi bağlamında sorulur: CMDB, yapılandırma öğelerini (configuration item) ve aralarındaki ilişkileri tutan veritabanıdır ve ITIL süreçlerinin parçasıdır. Güvenlik açısından zayıf yanı, kaydın ancak birisi girerse ya da keşif aracı görürse oluşmasıdır. CAASM CMDB'nin yerini almaz; onu bir veri kaynağı olarak kullanır ve eksik kayıtları gösterir.

EASM ise içeriden göremediğini dışarıdan bulur. CAASM ile EASM birlikte saldırı yüzeyi yönetiminin (attack surface management) iki yarısıdır.

Gölge BT (shadow IT), BT ve güvenlik ekibinin onayı ya da bilgisi dışında kullanılan donanım, yazılım ve bulut hizmetleridir. Tipik örnekler:

• Bir ekibin kendi başına açtığı bulut hesabı ya da SaaS aboneliği,
• Test için kurulup unutulmuş, internete açık bir sunucu,
• Ağa bağlanan kişisel cihazlar, kablosuz erişim noktaları ve IoT cihazları,
• Onaysız dosya paylaşım ve uzaktan erişim uygulamaları.

Gölge BT'nin riski güvenlik kontrollerinin dışında kalmasıdır: yama almaz, kaydı tutulmaz, ihlal olduğunda fark edilmez. Siber varlık envanteri ağ cihazlarının kayıtlarını, DNS ve DHCP verisini, bulut hesaplarını ve kimlik sağlayıcı oturumlarını karşılaştırarak başka hiçbir araçta görünmeyen varlıkları ortaya çıkarır.

Her vakanın son satırı, siber varlık envanterinin saldırının hangi adımında devreye girdiğini anlatır:

• Dosya transfer yazılımı · 2023 · İnternete açık sistemde sıfırıncı gün

  İnternete açık dosya transfer sunucularındaki sıfırıncı gün açığı toplu biçimde istismar edildi. Saldırganlar savunmasız sistemlerden veri çekti; tedarikçi ilişkileri yüzünden doğrudan hedef olmayan kurumların verisi de sızdı. Yeni mağdurlar aylarca açıklanmaya devam etti.

  Sonuç: 2.700'den fazla kuruluş ve 95 milyondan fazla kişi etkilendi; tedarikçiler hedef olmayan kurumları da olaya çekti.

  Siber varlık envanteri ile: İnternete açık her sunucu envantere girer ve sahibiyle birlikte izlenir.

• Apache Struts açığı · 2017 · Varlık görünürlüğü ile yama sürecinin kopması

  Kritik açığın yaması yayımlanmıştı, ama internete açık bir portaldaki etkilenen bileşen belirlenemedi ve güncellenmedi. Saldırganlar bu sistemden içeri girip aylarca kaldı. Trafiği inceleyen cihazın sertifikasının süresi dolmuş olduğu için veri çıkışı uzun süre görülmedi.

  Sonuç: Yaklaşık 147 milyon kişinin kişisel ve finansal bilgileri açığa çıktı; kurum yıllarca soruşturma ve tazminatla uğraştı.

  Siber varlık envanteri ile: Her sistem ve bileşen envantere girer; yamanın atlandığı sistem görünür olur.

1. Bağlayıcı kapsamı: Kurumda kullandığınız EDR, dizin, MDM, zafiyet tarayıcı, bulut ve sanallaştırma platformları için hazır bağlantı var mı; yerli ve özel sistemlerden genel API ya da dosya aktarımıyla veri alınabiliyor mu?
2. Eşleştirme kalitesi: Aynı cihaz farklı adlarla geldiğinde doğru birleştiriliyor mu; tekrar eden kayıt ve hayalet cihaz kalıyor mu?
3. Sorgu dili: Güvenlik ekibi yazılımcı desteği olmadan “şu koşulu taşıyan varlıklar” sorgusunu kurabiliyor mu?
4. Aksiyon: Bulunan boşluk için bilet açma, ajan dağıtma ya da sorumluya bildirim gibi adımlar tetiklenebiliyor mu?
5. Kurulum yeri: Kurum içinde kurulabiliyor mu, yoksa yalnız bulut hizmeti mi? Varlık verisi kurum dışına çıkacaksa bu da değerlendirilmeli.

Aşağıdaki tablo bir uyum beyanı değildir; uluslararası regülasyon ve standartlardaki hangi gerekliliğin bu alandaki teknik kontrollerle ilişkili olduğunu gösterir. “Ne istiyor” sütunu maddenin istediğini anlatır; bu alanın o maddeye katkısı bizim yorumumuzdur ve madde metninin yerine geçmez, ayrıntı bağlantılı regülasyon sayfasındadır. UT, NIS2 için çıkarılan (AB) 2024/2690 sayılı Uygulama Tüzüğü'dür; Tüzük DNS hizmet sağlayıcıları, bulut, veri merkezi, yönetilen hizmet ve yönetilen güvenlik hizmeti sağlayıcıları gibi belirli dijital altyapı ve hizmet kuruluşlarına uygulanır. SR, IEC 62443-3-3'teki sistem gereksinimidir.

Innoset bu alanda aşağıdaki ürünlerle çalışır. Hangisinin uyduğunu ortamınız belirler; seçimi satın almadan önce kendi ağınızda kavram doğrulamasıyla (PoC) birlikte yaparız.

• OctoXLabs: Siber varlık envanteri (CAASM): saldırı yüzeyi görünürlüğü ve gölge BT tespiti.
• ManageEngine AssetExplorer: Donanım ve yazılım varlık yönetimi, lisans uyumu ve CMDB.

Sayfadaki tanım, madde ve tarihler aşağıdaki kaynaklara dayanır; resmî metinler önce gelir (kontrol: 4 Ekim 2026).

• ISO 22301:2019 · iso.org: Regülasyon tablosu: Madde 8.2
• ENX · TISAX: Regülasyon tablosu: VDA ISA 1.3.1
• IEC 62443-3-3:2013 · IEC Webstore: Regülasyon tablosu: SR 6.2, SR 7.8
• Direktif (AB) 2022/2555 (NIS2) · EUR-Lex: Regülasyon tablosu: Madde 21(2)(i)
• Uygulama Tüzüğü (AB) 2024/2690 · EUR-Lex: Regülasyon tablosu: Ek 12.1, 12.4