OctoXLabs: Siber Varlık ve Saldırı Yüzeyi Yönetimi (CAASM)

OctoXLabs, Türkiye merkezli bir siber güvenlik üreticisidir; merkezi İstanbul Çekmeköy'deki Dijitalpark Teknokent yerleşkesindedir. Şirket, kurumların temel görünürlük sorunlarından birine odaklanır: sahip olunan siber varlıkların tamamının güvenilir ve güncel biçimde bilinememesi. Üretici platformu bugün Cyber Asset Intelligence Platform olarak konumlandırır; Gartner Peer Insights üzerinde ise hem siber varlık saldırı yüzeyi yönetimi hem de maruziyet değerlendirme platformları kategorilerinde değerlendirilir. Türkiye merkezli olması, kamu ve regülasyona tabi kurumlar için yerinde PoC ve Türkçe teknik iletişim açısından pratik avantaj getirir; kurum içi dağıtım seçeneğinde platform kurumun kendi altyapısına kurulur.

Yaklaşımın çekirdeği şudur: kurumda hâlihazırda kullanılan çözümlerin her biri kendi veri kümesini tutar. EDR hangi cihazlarda ajan çalıştığını, dizin hangi kullanıcıların etkin olduğunu, bulut konsolu hangi kaynakların mevcut olduğunu, zafiyet tarayıcısı ise hangi açıklıkların bulunduğunu bilir; ancak bu bilgiler ayrı konsollarda kaldığı için bütüncül görünürlük oluşmaz. OctoXLabs bu kaynaklara ajansız biçimde API üzerinden bağlanır, gelen kayıtları aynı varlık altında tekilleştirir ve birbirleriyle zenginleştirir. Üretici bu sürekli döngüyü keşif, zenginleştirme, görselleştirme, önceliklendirme ve aksiyon olmak üzere beş aşamada tanımlar. Sonuç, elle tutulan listelerin aksine her keşifte kendini güncelleyen tek bir envanterdir. Bu envanterin en değerli çıktısı eksiklerdir: EDR'de görünen ancak dizinde bulunmayan cihaz, dizinde etkin görünen ancak aylardır oturum açmamış kullanıcı, hiçbir tarayıcının ulaşamadığı sunucu.

Platform tek üründür ve yetenekler aynı veri katmanı üzerine kurulur: varlık yönetimi envanteri oluşturur, maruziyet yönetimi zafiyet ve kör noktaları bağlar, risk önceliklendirme neyin önce ele alınacağını belirler, aksiyon merkezi bulguyu iş akışına çevirir; OctoXAI ise varlık ve maruziyet verisini açıklanabilir risk içgörülerine dönüştürür. Yaygın başlangıç varlık ve yazılım envanteridir; diğer yetenekler aynı kurulumun üzerine eklenir. OctoXLabs'ın Türkiye iş ortağı Innoset, platformun konumlandırmasını, PoC sürecini ve kurulum sonrası desteği üstlenir.

Kimler için uygun?

• Çok kaynaklı BT ortamları
• CMDB doğruluğu arayan ekipler
• Zafiyet ve varlık yönetimi ekipleri
• KVKK ve 7545 uyum sorumluları

Asset Management

Varlık envanteri ve tam görünürlük

Asset Management, kurumdaki tüm varlıkları tek listede toplar ve her varlığın arkasındaki bağlamı taşır: cihazın hangi kaynakta göründüğü, hangi ajanların kurulu olduğu, hangi kullanıcıya ait olduğu, hangi yazılımları çalıştırdığı. Kayıtlar farklı kaynaklardan geldiği için aynı cihaz birden çok isimle görünebilir; platform bu kayıtları eşleştirip tek varlığa indirger.

Envanter yalnız cihazla sınırlı değildir. Kullanıcılar, yüklü yazılımlar, lisanslar, SSL sertifikaları, bulut servisleri, kaynak kodu depoları ve kullanılan yapay zekâ servisleri aynı mantıkla listelenir. Sorgu katmanında envanter üzerinde doğal dille sorgu oluşturulur: EDR ajanı bulunmayan sunucular, altmış gündür oturum açmamış ayrıcalıklı hesaplar veya süresi otuz gün içinde dolacak sertifikalar tek sorguyla listelenebilir. Kaydedilen sorgular panolara ve zamanlanmış raporlara dönüşür; böylece aynı soruyu her ay elle yanıtlama yükü ortadan kalkar.

• Ajansız keşif ve API tabanlı toplama
• Kayıt tekilleştirme ve zenginleştirme
• Cihaz, kullanıcı ve yazılım envanteri
• Sertifika ve bulut servisi envanteri
• Sorgu tabanlı panolar ve raporlar
• CMDB doğruluğunun kontrolü

Exposure Management

Zafiyet ve kör nokta yönetimi

Exposure Management, farklı tarayıcılardan gelen zafiyet verisini tek görünümde birleştirir. Tenable Nessus ve diğer tarayıcıların bulguları aynı varlık kaydına bağlanır; böylece bir sunucunun kaç açığı olduğu, bunların hangi CVE kayıtlarına karşılık geldiği ve hangi tarayıcının gördüğü tek ekranda izlenir. Aynı açığın farklı araçlarda ayrı kayıt olarak sayılması sona erer.

Asıl katkı, tarayıcının hiç ulaşamadığı varlıklarda ortaya çıkar. Envanterde görünen ama hiçbir taramaya girmemiş cihazlar işaretlenir; tarama kapsamının gerçek varlık sayısına oranı ölçülebilir hale gelir. Güvenlik ajanı eksik veya çalışmayan makineler aynı yaklaşımla listelenir. Maruziyet yalnız CVE ile sınırlı değildir: internete açık servisler, desteği biten işletim sistemleri ve güncelliğini yitirmiş bileşenler de kritiklik derecesiyle sıralanır. Bu listeler, denetimlerde sık ihtiyaç duyulan kapsam ve kontrol kanıtlarının hazırlanmasını kolaylaştırır; tablonun elle oluşturulması ihtiyacını azaltır.

• Tarayıcı bulgularının birleştirilmesi
• CVE detaylarıyla zafiyet görünümü
• Taranmayan varlıkların tespiti
• Eksik güvenlik ajanı listesi
• Tarama kapsamının ölçülmesi
• Kapanma durumunun doğrulanması

Risk Prioritization

Risk skorlama ve önceliklendirme

Binlerce açığın tamamını aynı anda kapatmak mümkün değildir; hangi bulguların önce ele alınacağı güvenlik ekibinin en kritik önceliklendirme kararlarından biridir. Risk Prioritization, teknik bulguları varlık bağlamıyla birleştirir: varlığın kritikliği ve sahipliği; eksik yamalar, güncelliğini yitirmiş ajanlar, yapılandırma sorunları, CVE kayıtları ve telafi edici güvenlik kontrolleri birlikte değerlendirilir.

Çıktı, tek bir liste yerine ölçülebilir bir risk tablosudur: genel risk skoru, kritiklik dağılımı ve varlık profili bazında derecelendirme aynı ekranda izlenir. Yönetim raporunda soyut bir güvenlik yorumu değil, dönemler arasında karşılaştırılabilen sayısal bir eğri yer alır. Ekip haftalık kapasitesini en yüksek etkiye sahip kalemlere ayırır; kapatılan açıkların risk üzerindeki etkisi aynı tabloda izlenir.

• Varlık bağlamıyla risk skorlama
• Kritiklik ve sahiplik bilgisi
• Ölçülebilir risk eğrisi
• Yönetim seviyesinde raporlama
• Kapatma etkisinin izlenmesi
• Kapasiteye göre iş sıralaması

Action Center

Otomatik iş akışları ve aksiyon

Action Center, bulguyu rapor olmaktan çıkarıp işleme dönüştürür. İş akışları elle, zamanlanmış ya da keşif sonrası olay tabanlı çalışacak biçimde kurulur; belirlenen koşullar gerçekleştiğinde platform kendiliğinden harekete geçer: eksik ajan tespit edilen cihaz için görev açılır, ilgili ekibe bildirim gider, kritik bir bulgu servis masasına kayıt olarak düşer.

Bildirim ve görev akışları kurumun kullandığı araçlara bağlanır; e-posta, Slack, Microsoft Teams, Jira ve servis yönetimi platformları yaygın hedeflerdir. SOAR ve SIEM tarafıyla kurulan bağlantı sayesinde varlık bağlamı olay yönetimine taşınır. Böylece tekrar eden kontroller elle yürütülen aylık bir rutin olmaktan çıkar ve ekip zamanını istisnalara ayırır.

• Koşul tabanlı otomatik iş akışları
• Servis masası ve görev entegrasyonu
• E-posta, Slack ve Teams bildirimleri
• SIEM ve SOAR bağlantısı
• Tekrar eden kontrollerin otomasyonu
• Aksiyon geçmişinin kayda geçmesi

OctoXAI

Yapay zekâ destekli risk analizi

OctoXAI, yüksek boyutlu varlık ve maruziyet verisini analiz ederek güvenlik risklerini ve görünürlük boşluklarını açıklanabilir içgörülere dönüştürür. Yapılandırılmış ve bağlamlandırılmış veriyi kullanarak risk değerlendirmesini destekler; güvenlik ekiplerinin önceliklendirme kararlarını daha ölçülebilir hale getirir.

Platformdaki AI Supported Query Wizard ise doğal dilde ifade edilen istekleri yapılandırılmış sorgu mantığına dönüştürür. Oluşturulan sorgular görünür ve düzenlenebilir kalır; kaydedilip gösterge panolarında, raporlarda ve otomatik iş akışlarında yeniden kullanılabilir. Böylece envanter, sorgu dilini bilen birkaç kişinin değil tüm ekibin erişimine açılır.

• GenAI tabanlı risk analizi
• Açıklanabilir güvenlik içgörüleri
• Doğal dille sorgu oluşturma (Query Wizard)
• Üretilen sorgunun düzenlenip kaydedilmesi
• Panolarda ve raporlarda yeniden kullanım
• Ekip geneline açık kullanım

Hangi yetenek hangi işi görür?

Envanter kapsamı

• Telekomünikasyon

  Operatör ortamlarında varlık sayısı çok yüksek hacimlere ulaşabilir ve ağ sürekli değişir; abone sistemleri, saha cihazları ve bulut servisleri ayrı ekiplerce yönetilir. OctoXLabs bu kaynakları tek envanterde birleştirir ve sahipliği görünür kılar. Zafiyet verisi varlık bağlamıyla eşleşir; kritik altyapı bileşenleri önceliklendirilir.

• Bankacılık

  Denetimlerde güncel ve doğrulanabilir varlık envanteri temel kanıtlar arasındadır; envanterin farklı sistemlerden elle derlenmesi operasyonel yük oluşturur. OctoXLabs envanteri kaynaklardan sürekli üretir; ajan durumu ve tarama kapsamı panel üzerinden raporlanabilir. Şube, veri merkezi ve bulut varlıkları aynı listede toplanır.

• Enerji

  Üretim ve dağıtım tesislerinde bilişim ve operasyonel teknoloji varlıkları iç içe geçer; saha ekipmanının envanteri çoğu zaman tablolarda tutulur. OctoXLabs ağ ve yönetim kaynaklarından gelen kayıtları birleştirerek sahayı da kapsayan tek liste üretir; envanter ve risk analizi çalışmalarının güncel yürütülmesini destekler.

• 6698 sayılı KVKK

  Problem: 12. madde veri sorumlusuna, uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Kişisel veri işleyen sistemlerin ve bunlara erişen hesapların eksik envanteri, tedbir kapsamının belirlenmesini zorlaştırır; kaynaklardan sürekli üretilen envanter bu kapsamın çıkarılmasını destekler.

• 7545 Siber Güvenlik Kanunu

  Problem: Kanunun 5'inci maddesinin birinci fıkrasının (ç) bendi Başkanlığa, kamu kurumları ve kritik altyapıların varlık envanterinin tutulmasını sağlama görevi verir. 7'nci maddesinin birinci fıkrasının (b) bendi ise kapsamdakilerin hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları bildirmesini öngörür.

• ISO/IEC 27001:2022

  Problem: A.5.9 kontrolü bilgi ve ilişkili varlıkların envanterini, A.8.8 kontrolü ise teknik zafiyetlerin yönetimini ele alır; iki liste çoğu kurumda ayrı araçlarda tutulur ve birbirini tutmaz. Varlık envanteri ile zafiyet verisinin aynı kayıtta birleşmesi, iki kontrolün tek kaynaktan belgelenmesini destekler; sahiplik bilgisi sorumlulukları netleştirir.

• Varlık Envanteri Keşfi

  Problem: aynı cihaz farklı araçlarda farklı kayıtlarla durur ve hiçbir aracın tam listesinde yer almayan varlıklar güvenlik kontrollerinin dışında kalır. OctoXLabs mevcut çözümlerden gelen kayıtları tekilleştirip tek envanterde birleştirir; yalnız tek kaynakta görünen ya da hiçbir tarayıcının ulaşmadığı varlıklar ayrıca listelenir.

  Detay
• Zafiyet Yönetimi

  Problem: tarayıcı bulguları araç bazında dağılır, aynı açık birden çok kez sayılır. OctoXLabs bulguları varlık kaydında birleştirir; taranmayan cihazlar ayrıca listelenir. Risk sıralaması varlık bağlamıyla yapılır ve kapanma durumu panelden izlenir.

  Detay
• Uç Nokta Güvenliği

  Problem: EDR lisansı, ajanın tüm cihazlarda etkin çalıştığını tek başına doğrulamaz. OctoXLabs ajan durumunu kaynaklarla karşılaştırır; eksik, durmuş veya eski sürümdeki makineler listelenir ve kapsam oranı ölçülür.

  Detay
• Yama Yönetimi

  Problem: yama raporu yalnız yönetilen cihazları kapsar, kapsam dışındakiler görünmez. OctoXLabs envanteri yama araçlarının listesiyle karşılaştırır; politika dışındaki varlıklar ortaya çıkar. Sürüm bilgisi yazılım envanterinden gelir.

  Detay

• Bilinmeyen varlıklar ve gölge BT

  Problem: envanterde olmayan sunucu ve bulut kaynakları güvenlik kontrollerinin dışında kalır. Kaynaklar karşılaştırıldığında yalnız tek yerde görünen kayıtlar öne çıkar; bilinmeyen varlıklar listesi kör noktaları görünür kılar.

• Eksik güvenlik ajanı

  Problem: cihaz envanterde kayıtlı olsa da üzerinde EDR veya yönetim ajanı çalışmayabilir. OctoXLabs ajan verisini dizin ve ağ kayıtlarıyla karşılaştırır; eksik ajanlı cihazlar ayrı listede gösterilir ve kapsam oranı ölçülür.

• CMDB ile gerçeğin ayrışması

  Problem: servis yönetimi kaydı elle güncellenir ve zamanla sahayla uyuşmaz. Platform CMDB kayıtlarını canlı kaynaklarla karşılaştırır; eksik, fazla veya yanlış sahiplenilmiş kayıtlar işaretlenir. Düzeltme akışı aksiyon merkezinden yürütülür.

Geleneksel envanterle farkı

Türkiye'de sık karşılaştığımız tablo şudur: birçok kurumda birden çok güvenlik ürünü vardır, ancak hangi cihazda hangisinin çalıştığı tek yerden görülemez; varlık envanteri elektronik tablolarda tutulur ve denetim yaklaşınca elle güncellenir; bulut hesapları farklı ekiplerce açıldığı için envanterin dışında kalır. OctoXLabs bu tabloyu kaynakları birleştirerek çözer: mevcut ürünlerin verisi tek envantere akar, eksikler karşılaştırmayla ortaya çıkar ve tablo her keşifte kendini yeniler.

Üreticinin Türkiye'de olması pratik farklar yaratır: destek ve mühendislik aynı saat diliminde çalışır, teknik iletişim ve eğitim Türkçe yürütülür, kurum içi kurulum seçeneğinde platform kurumun kendi altyapısına kurulur. Bu yaklaşım, yerel düzenlemeler kapsamında ihtiyaç duyulan görünürlük ve kanıt üretimini destekler. Panelden alınan raporlar, 6698 sayılı KVKK'nın 12. maddesi kapsamındaki teknik tedbirlerin belgelendirilmesine ve 7545 sayılı Siber Güvenlik Kanunu kapsamındaki envanter, risk analizi ve zafiyet bildirimi süreçlerine katkıda bulunur. Innoset, OctoXLabs'ın Türkiye iş ortağı olarak lisanslama, kurulum, PoC ve teknik destek süreçlerini yürütür.