Zafiyet Yönetimi: Adım Adım Uygulama Rehberi
Keşiften kapatmaya kadar sürecin tamamı: keşif, toplama, doğrulama, önceliklendirme, atama, düzeltme, yeniden test ve raporlama.
Zafiyet Yönetimi Neden Önemlidir?
Çünkü göremediğinizi yönetemezsiniz. Zafiyet yönetimi; görünürlük sağlar, riski azaltır ve ekiplere net öncelik verir. Böylece “nereden başlayalım?” sorusu yerini, “önce şu kritikleri şu tarihe kadar kapatıyoruz” netliğine bırakır.
- Sürekli görünürlük: Varlık, servis ve zafiyetler tek yerde
- Doğru öncelik: CVSS + varlık önemi + sömürülebilirlik
- Hızlı kapanış: SLA hedefleri ve uyarılarla ilerleme
- İzlenebilirlik: Atama, durum değişimleri, kanıt ve retest
- Uyum ve raporlama: ISO 27001, KVKK, PCI DSS ile hizalı
Zafiyet Yönetimi Yapılmadığında Sık Hatalar
Samimi söyleyelim: Pek çok kurum aynı çukurlara düşüyor. Aşağıdaki hatalardan biri size tanıdık geliyorsa yalnız değilsiniz ve çözümü var.
- Envanter yoksa öncelik yok: Kapsam dışı kalan sistemler “görünmez risk” yaratır.
- Sadece CVSS’e bakmak: Varlık kritikliği ve iş etkisi hesaba katılmazsa yanlış öncelik verilir.
- Sahiplik belirsizliği: “Kim bakıyor?” sorusuna net yanıt olmadığı için işler askıda kalır.
- Retest atlanması: “Yama yaptık” denir ama doğrulama yapılmaz, zafiyet geri döner.
- Tek seferlik tarama: Süreklilik olmadan risk geri gelir; “anlık temizlik” kalıcı çözüm değildir.
- SLA ve ölçüm yok: Ne kadar sürede kapattığımızı bilmeyince iyileştirmek de zorlaşır.
- Dağınık veri, çok araç: Sonuçlar farklı yerlerde kalır; korelasyon ve “tek gerçek kaynak” oluşmaz.
Kısa öneri: Önce görünürlük (envanter ve otomatik keşif), ardından doğrulama ve önceliklendirme, sonra da atama → düzeltme → retest döngüsünü basit kurallarla işletmek en hızlı kazanımı sağlar.
Pentest’ten Maksimum Verim
- Raporlar rafta kalıyor; takip ve sahiplik zayıf.
- Aynı zafiyet farklı ortamlarda tekrar tekrar çıkıyor.
- Hangi açığın önce kapanacağı net değil.
- Retest planlanmıyor; “kapatıldı” deniyor ama doğrulama yok.
- Veriler farklı araçlarda; tek bir gerçek kaynak yok.
- Merkezi pano: Tespit → Atama → Düzeltme → Retest tek akışta.
- Önceliklendirme: CVSS + varlık önemi + sömürülebilirlik.
- Otomatik retest ve kapanış kanıtları ile net doğrulama.
- SLA ve bildirimlerle iş askıda kalmıyor.
- 16+ aracı tek panelde: korelasyon, tek gerçek kaynak.
Zafiyet Yaşam Döngüsü
1) Keşif
Varlıklarınızın tamamını görünür kılmadan etkili bir zafiyet yönetimi yapılamaz. SİTEY, Attack Surface Management ile dışa açık varlıklarınızı haritalar; Nessus, OpenVAS, Nuclei, ZAP gibi araçlardan gelen sonuçları tek panele taşır.
- Otomatik keşif ve envanter eşleştirme
- Açık port/servis analizi ve risk göstergeleri
- Tarama zamanlama (cron) ve kapsam profilleri
2) Doğrulama
Gürültüyü azaltmak için tekrar eden ve yanlış pozitif kayıtları eleriz. Kayıtlar tekilleştirilir ve kanıtlar (PoC, ekran görüntüsü, zaman damgası) ilişkilendirilir.
3) Önceliklendirme
Öncelik puanı; CVSS + varlık önemi + sömürülebilirlik bileşenleriyle hesaplanır. Kritikler için hedef < 72 saat kapanıştır.
4) Atama
Rollere göre atama (RBAC), iş yükü dengesi ve SLA takibi. İlgili ekip/kişiye net sorumluluk verilir.
5) Düzeltme
Güvenli konfigürasyon ve yamalar uygulanır; kod tarafında güvenli geliştirme önerileri devreye alınır. PoC’ler kapatma kanıtı olarak saklanır.
6) Yeniden Test
Otomatik/planlı retest ile çözüm doğrulanır ve “doğrulama mektubu” üretilebilir. Başarısız retest’ler yeniden açılır.
7) Raporlama & KPI
- Kapanış süreleri ve ihlal edilen SLA’lar
- Yaş dağılımı, trendler, ekip performansı
- Uyum çerçeveleri: ISO 27001, KVKK, PCI DSS