Zafiyet Yönetimi Nedir?
İngilizce: Vulnerability Management
Yayın: · Son güncelleme:
Zafiyet Yönetimi Nedir? Kısaca
Zafiyet yönetimi, bir kurumdaki güvenlik açıklarının sürekli olarak tespit edildiği, risk düzeyine göre önceliklendirildiği, giderildiği ve giderildiğinin doğrulandığı döngüsel güvenlik sürecidir.
Zafiyet yönetimi nedir?
Zafiyet yönetimi, güvenlik açıklarının bulunup kapatıldığı sürekli bir süreçtir. Tek seferlik bir tarama değil, sürekli dönen bir döngüdür. Her gün yeni açıklar yayımlandığı için bu iş hiçbir zaman "bitmez".
Tarama bu sürecin yalnız bir adımıdır. Asıl zorluk, bulunan yüzlerce açıktan hangisinin önce kapatılacağına karar vermek ve kapatma işini takip etmektir.
Süreç nasıl işler?
Döngü genellikle beş adımdan oluşur:
- Envanter: Hangi cihaz ve yazılımların olduğunu bilmek
- Tespit: Taramalar ve üretici bildirimleriyle açıkları bulmak
- Önceliklendirme: Riske göre sıralamak
- Giderme: Yama, ayar değişikliği ya da telafi edici kontrol
- Doğrulama: Açığın gerçekten kapandığını yeniden kontrol etmek
Önceliklendirmede yalnız CVSS puanına bakmak yeterli değildir. Açığın internete açık bir sistemde olup olmadığı, aktif olarak sömürülüp sömürülmediği ve sistemin işletme için önemi de hesaba katılır.
Örneğin iç ağdaki bir test sunucusunda 9,8 puanlı bir açık, internete açık ödeme sunucusundaki 7,5 puanlı ve aktif sömürülen bir açıktan daha sonra ele alınabilir.
Başarı nasıl ölçülür?
Yaygın ölçütler; kritik açıkların ortalama kapatılma süresi, belirlenen süreyi aşan açık sayısı ve envanterin taranma oranıdır. Kurumlar genellikle önem derecesine göre hedef süreler belirler.
Yama yapılamayan sistemler için ağ ayrımı ya da erişim kısıtlaması gibi geçici önlemler kayıt altına alınmalıdır. Puanlama sistemi hakkında ayrıntı için CVSS maddesine bakabilirsiniz.
Sıkça Sorulan Sorular
Zafiyet yönetimi ile yama yönetimi aynı şey mi?
Hayır. Yama yönetimi güncellemelerin uygulanmasına odaklanır. Zafiyet yönetimi ise açıkların tespitinden önceliklendirmeye ve doğrulamaya kadar daha geniş bir süreci kapsar.
Tüm açıkları kapatmak mümkün mü?
Pratikte genellikle mümkün değildir. Amaç, en yüksek riskli açıkları hızla kapatmak ve kalan riski bilinçli olarak yönetmektir.