Zafiyet Yönetimi Nedir? Açıkları Bulmak, Önceliklendirmek ve Kapanışı Doğrulamak

İzlenen açıklar üç türdür: yazılım hatası (ör. bellek taşması), yanlış yapılandırma (varsayılan parola, internete açık bırakılmış yönetim arayüzü) ve desteği bitmiş, artık yama almayan yazılım. Yazılım hatası yamayla, yanlış yapılandırma ayar değişikliğiyle, desteği bitmiş yazılım ise yükseltme ya da sistem değişimiyle kapanır.

Yazılım açıklarında önceliklendirme ortak kimlik üzerinden yürür: tarayıcı bulgusu, üretici bülteni ve tehdit istihbaratı aynı açığı aynı CVE numarasıyla gösterir. Farklı araçlardan gelen bulgular da bu numarayla eşleştirilir.

Tarama bu döngünün yalnız bir adımıdır: zafiyet tarayıcısı (vulnerability scanner) açıkları listeler. Yönetim ise listeyi varlıkların önemiyle birleştirir, bulguyu sorumluya atar, kapanış süresini izler ve yeniden tarayarak doğrular. “Zafiyet analizi” (vulnerability assessment), NIST'in tanımıyla bir sistemin güvenlik tedbirlerinin yeterliliğini ve eksiklerini belirlemek için yapılan sistematik incelemedir. Zafiyet yönetimi bu incelemeyi tek seferlik bir çalışma olmaktan çıkarıp sürekli bir döngüye çevirir.

1. Varlık keşfi: Ağdaki sunucu, istemci, ağ cihazı, bulut kaynağı ve web uygulamaları bulunur. Envanterde olmayan sistem taranmaz; bu yüzden zafiyet yönetimi varlık envanteriyle başlar.
2. Tarama: Üç yöntem birbirini tamamlar. Ağdan kimlik bilgisi olmadan yapılan tarama, saldırganın dışarıdan gördüğünü gösterir. Kimlik bilgili (authenticated) tarama sisteme oturum açar, kurulu paketleri ve yapılandırmayı okur; sürümü tahmin etmediği için daha az yanlış pozitif üretir. Ajan ise dizüstü bilgisayar gibi ağa sürekli bağlı olmayan cihazları tarar.
3. Önceliklendirme: Açıklar teknik önem puanına, gerçekte istismar edilip edilmediğine ve varlığın iş için önemine göre sıralanır.
4. Giderme: Yama, yapılandırma değişikliği ya da yama yoksa telafi edici kontrol uygulanır; sorumlu ekip ve kapanış süresi belirlenir.
5. Doğrulama: Yeniden tarama açığın kapandığını gösterir; açık kalanlar rapora ve istisna listesine girer.

Tarama sıklığı varlığa göre değişir: internete açık sistemler ve kritik sunucular daha sık, istemciler ajanla sürekli taranır. PCI DSS 4.0.1, kart verisi ortamında iç taramayı (11.3.1) ve onaylı tarama sağlayıcısıyla (ASV) dış taramayı (11.3.2) en az üç ayda bir ister.

Bir tarama yüzlerce, büyük ortamlarda binlerce bulgu üretir. Önceliklendirmede kamuya açık dört kaynak birlikte kullanılır: CVE açığı tanımlar, CVSS teknik ağırlığını, EPSS ve KEV istismar durumunu gösterir.

CVSS nedir? CVSS (Common Vulnerability Scoring System) bir açığın teknik ağırlığını puanlar: uzaktan istismar edilebiliyor mu, kimlik doğrulama gerekiyor mu, gizlilik, bütünlük ve erişilebilirlik ne kadar etkileniyor? Yüksek CVSS puanı ise açığın gerçekte kullanıldığını göstermez. Risk tabanlı zafiyet yönetimi bu yüzden CVSS'i EPSS ve KEV ile birleştirir: KEV'de olan ya da EPSS'i yüksek açık, puanı daha yüksek ama istismarı görülmemiş açıktan önce kapanır. Son ölçüt varlığın kendisidir: internete açık bir sunucudaki orta düzey açık, kapalı test ağındaki kritik açıktan daha acil olabilir.

Sızma testi açığın istismar edilebilirliğini, tarama ise varlığını gösterir. Yamayla kapanmayan açıklar (yanlış yapılandırma, desteği bitmiş sistem) zafiyet yönetimi listesinde ayrı bir giderme kaydıyla izlenir.

XZ Utils arka kapısı (CVE-2024-3094) ve Heartbleed (CVE-2014-0160) vakalarında belirleyici soru, açık duyurulduğunda etkilenen sürümün hangi sistemlerde kurulu olduğuydu. XZ Utils arka kapısı duyurulana kadar bilinen bir açık değildi, bu yüzden tarayıcıların arayabileceği bir kayıt da yoktu; duyurudan sonra etkilenen paket sürümleri kimlik bilgili tarama ve yazılım envanteriyle listelenebilir.

• XZ Utils · 2024 · Açık kaynak tedarik zincirine arka kapı

  Yıllarca projeye katkı vererek güven kazanan bir hesap, bakım yetkisi aldıktan sonra yayımlanan paketlere gizli bir arka kapı yerleştirdi. Değişiklik bazı geliştirme dağıtımlarına kadar ulaştı. Olağandışı SSH gecikmesini araştıran bir mühendis arka kapıyı fark edip duyurdu.

  Sonuç: Zararlı sürümler geniş kararlı Linux ekosistemine ulaşmadan tespit edildi; açık kaynağın güven zinciri tartışmaya açıldı.

  Zafiyet yönetimi ile: Her bileşenin sürümü ve kaynağı izlenir; riskli paket önceliklendirilir.

• Heartbleed · 2014 · İnternet ölçeğinde kritik açık

  Yaygın bir şifreleme kütüphanesindeki açık, savunmasız sunucuların belleğinin uzaktan okunmasına izin veriyordu; bellekte parola, oturum bilgisi ve özel anahtar olabiliyordu. Kapatmak için güncelleme yetmedi, sertifikalar ve kimlik bilgileri de yenilendi.

  Sonuç: Dönemin ölçümlerine göre yaklaşık yarım milyon güvenilir HTTPS sitesi potansiyel olarak etkilenebilir durumdaydı.

  Zafiyet yönetimi ile: Kritik açıklar risk puanıyla sıralanır; önce en riskli olan kapanır.

1. Kapsam: Sunucu, istemci, ağ cihazı, bulut, konteyner ve web uygulaması aynı platformdan taranabiliyor mu?
2. Tarama yöntemleri: Kimlik bilgili tarama, ajan ve ağdan tarama birlikte kullanılabiliyor mu; kapalı ağlar ve endüstriyel (OT) ortam güvenle taranabiliyor mu?
3. Önceliklendirme: CVSS'in yanında istismar bilgisi (EPSS, KEV, tehdit istihbaratı) ve varlığın iş önemi puana katılıyor mu?
4. Giderme akışı: Bulgu sorumlu ekibe atanıp yama aracı ya da iş takip sistemiyle izlenebiliyor mu?
5. Yanlış pozitif: Bulgu kanıtla (sürüm, dosya yolu, yapılandırma değeri) geliyor mu; aynı açık birden fazla kez sayılıyor mu?
6. Raporlama: Kapanış süresi ve eğilim raporları PCI DSS, ISO 27001 ve NIS2 denetimlerinde kanıt olarak kullanılabilecek biçimde üretiliyor mu?

“Ne istiyor” sütunu, maddenin zafiyet yönetimini ilgilendiren kısmına ilişkin bizim yorumumuzdur, madde metninin yerine geçmez; bir tarama ürünü bu maddeleri tek başına karşılamaz, kanıtını üretir. NIS2 satırındaki UT, Uygulama Tüzüğü (AB) 2024/2690'dır; Tüzük bulut, veri merkezi ve yönetilen hizmet sağlayıcıları gibi belirli dijital altyapı ve hizmet kuruluşlarına uygulanır.

Tenable'ın Nessus tabanlı ürün ailesi tarama ve risk tabanlı önceliklendirmeye odaklanır; ManageEngine Vulnerability Manager Plus taramayı yerleşik yama ve güvenli yapılandırmayla aynı üründe birleştirir. Yamayı ayrı bir araçla yöneten kurumlarda ilki, tarama ile yamayı tek üründe toplamak isteyen kurumlarda ikincisi öne çıkar. Seçimi satın almadan önce kendi ağınızda kavram doğrulamasıyla (PoC) birlikte yaparız.

• Tenable: Nessus tabanlı zafiyet tarama ve risk tabanlı zafiyet yönetimi ürün ailesi.
• ManageEngine Vulnerability Manager Plus: Zafiyet tarama, risk tabanlı önceliklendirme, yerleşik yama ve güvenli yapılandırma.

Sayfadaki tanım, madde ve tarihler aşağıdaki kaynaklara dayanır; resmî metinler önce gelir (kontrol: 4 Ekim 2026).

• CVE Program · Overview: CVE Programı ve herkesçe bilinen açıklara tek kimlik verilmesi
• MITRE · CVE Program Celebrates 25 Years of Impact: Programın CISA sponsorluğunda MITRE tarafından yürütülmesi
• FIRST · CVSS v4.0 Specification Document: 0,0–10,0 ölçek; 9,0–10,0 kritik
• FIRST · CVSS v3.1 Specification Document: CVSS 3.1 ve aynı nitel ölçek
• FIRST · Exploit Prediction Scoring System (EPSS): Yayımlanmış CVE için 30 günlük istismar olasılığı, 0–1, her gün yayımlanır
• CISA · Known Exploited Vulnerabilities Catalog: Gerçekte istismar edildiği bilinen açıklar kataloğu
• PCI SSC · Document Library (PCI DSS 4.0.1): 11.3.1 ve 11.3.2: iç ve dış taramanın en az üç ayda bir yapılması
• NIST CSRC Glossary · vulnerability assessment: “Zafiyet analizi” (vulnerability analysis/assessment): güvenlik tedbirlerinin yeterliliğini ve eksiklerini belirleyen sistematik inceleme
• NIST SP 800-82 Rev. 3 · Guide to Operational Technology (OT) Security (Eylül 2023): OT ağlarında aktif taramanın riski ve planlı duruşta yapılması (Ek E.2.3); pasif izleme seçeneği
• Tenable Blog · Configuring the Ports that Nessus Scans: Kimlik bilgisiyle oturum açılabildiğinde portların önce yerelden listelenmesi, ağ port tarayıcılarının ardından çalışması (üretici kaynağı)
• NVD · CVE-2024-3094: XZ Utils arka kapısının CVE kaydı
• CISA · Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 (29 Mart 2024): XZ Utils vakası: duyuru tarihi; arka kapılı 5.6.0 ve 5.6.1 sürümleri
• NVD · CVE-2014-0160: Heartbleed açığının CVE kaydı: süreç belleğinden özel anahtar gibi hassas bilgi okunabilmesi
• ISO/IEC 27001:2022 · iso.org: Ek A 8.8 teknik açıkların yönetimi, 8.9 yapılandırma yönetimi, 8.32 değişiklik yönetimi
• Tüzük (AB) 2016/679 (GDPR) · EUR-Lex: Madde 32/1-d güvenlik tedbirlerinin düzenli test edilmesi
• Tüzük (AB) 2024/1689 (AI Act) · EUR-Lex: Madde 15(5) yüksek riskli YZ sistemlerinin açıkların istismarına karşı dayanıklılığı
• ISO 22301:2019 · iso.org: Madde 8.4.5 kesinti sonrası normale dönüş
• AICPA · 2017 Trust Services Criteria (2022 odak noktaları): SOC 2 CC7.1 yapılandırma ve açıkların izlenmesi
• ENX · TISAX: VDA ISA 5.2.5 açıkların belirlenmesi ve giderilmesi
• IEC 62443-4-2:2019 · IEC Webstore: CR 3.10 güncellemelerin desteklenmesi
• IEC TR 62443-2-3:2015 · IEC Webstore: Endüstriyel kontrol sistemlerinde yama yönetimi
• Direktif (AB) 2022/2555 (NIS2) · EUR-Lex: Madde 21(2)(e)
• Uygulama Tüzüğü (AB) 2024/2690 · EUR-Lex: Ek 6.6 güvenlik yaması yönetimi, 6.10 açıkların ele alınması ve duyurulması