Zafiyet Taraması, Zafiyet Yönetimi ve Sızma Testi

Güvenlik teklifleri karşılaştırılırken en sık karışan üç kavram bunlardır. Üçü de “açık buluyoruz” der, üçünün fiyatı ve çıktısı ise birbirinden çok farklıdır. Bu karışıklık yüzünden kurumlar bazen ihtiyaç duydukları şeyin on katını, bazen de onda birini satın alır.

Aradaki farkı, her birinin cevapladığı soruyla ayırmak en kolayı.

Zafiyet taraması: “Bilinen açıklarım var mı?”

Zafiyet taraması otomatik bir işlemdir. Bir araç sistemlerinizi tarar, tespit ettiği yazılım sürümlerini bilinen zafiyet veritabanlarıyla karşılaştırır ve eşleşenleri listeler.

Güçlü yanı: hızlıdır, ucuzdur ve sık tekrarlanabilir. Bin sunucuyu bir gecede tarayabilirsiniz. Yama yönetimi için vazgeçilmezdir.

Zayıf yanı: yalnızca bilinen ve imzası olan zafiyetleri görür. İki tür hata yapar. Olmayan bir zafiyeti raporlar (false positive), çünkü sürüm numarasına bakar ama yamanın geri port edilip edilmediğini bilemez. Olan bir zafiyeti kaçırır (false negative), çünkü iş mantığı hatalarının, yetki aşımı senaryolarının ve zincirlenebilir açıkların imzası yoktur.

Bir tarayıcı, ödeme akışınızda kullanıcının kendi sepetindeki fiyatı değiştirebildiğini asla göremez. Bu bir yazılım açığı değil, bir tasarım hatasıdır.

Zafiyet yönetimi: “Bulduklarımla ne yapıyorum?”

Zafiyet yönetimi bir araç değil, bir süreçtir. Tarama sonuçlarının ne olacağını tanımlar.

Bir zafiyet yönetimi programı şu soruları cevaplar:

• Hangi varlıklarımız var ve hangileri kritik?
• Bulgular kime atanıyor?
• Hangi risk seviyesi kaç günde kapatılmalı?
• Kapatılamayan bulgular için istisna süreci nedir?
• Kapatıldığı nasıl doğrulanıyor?

Çoğu kurumda eksik olan tarama değil, budur. Tarayıcı çalışır, dört bin satırlık bir rapor üretir, rapor bir klasöre konur ve kimse ona bakmaz. Tarama yapılmış olur, hiçbir şey düzelmez.

Zafiyet yönetimi olmadan tarama, ölçüm yapıp sonucu kaydetmemektir.

Sızma testi: “Bir saldırgan gerçekten ne yapabilir?”

Sızma testi, bulunan açıkların gerçekten sömürülebilir olup olmadığını kanıtlar ve birbirine bağlayarak asıl riski gösterir.

Tarayıcının “Orta” seviye işaretlediği üç ayrı bulgu, bir uzmanın elinde zincirlendiğinde kritik bir senaryoya dönüşebilir: bilgi sızdıran bir hata mesajı, tahmin edilebilir bir kullanıcı kimliği ve zayıf bir oturum kontrolü. Tek tek bakıldığında hiçbiri acil değildir. Birlikte kullanıldığında tüm müşteri kayıtlarına erişim verir.

Bu zinciri hiçbir otomatik araç kuramaz. Kurulabildiğini görmek için birinin denemesi gerekir.

Hangisine ne zaman ihtiyaç var?

Bu üçü birbirinin alternatifi değil, birbirinin tamamlayıcısıdır. Olgunluk sırasına göre:

Başlangıç: Düzenli zafiyet taraması kurun ve sonuçları bir sahibe bağlayın. Yama yönetimi çalışmıyorsa sızma testi yaptırmanın anlamı sınırlıdır; test size zaten bilinen ve yamanmamış açıkları raporlar, siz de kritik bulgu yerine yama listesi almış olursunuz.

Sonraki adım: Zafiyet yönetimi sürecini tanımlayın. Kim, ne kadar sürede, nasıl doğrulayarak kapatıyor?

Olgunluk: Yılda en az bir kez sızma testi yaptırın. Artık tarayıcının göremediği kategoriye bakma zamanıdır: iş mantığı, yetkilendirme ve zincir senaryolar.

İleri seviye: Sürekli test modeline geçin. Sık sürüm yayınlıyorsanız, yıllık test ile sürümler arasındaki boşluk kapanmaz.

Denetim açısından farkları

KVKK, ISO 27001 ve PCI-DSS kapsamındaysanız bu ayrım pratik bir sonuç doğurur.

Tarama raporu, bir tarama yapıldığını gösterir. Denetçinin sorduğu soru genellikle daha derindir: teknik tedbirin etkin olduğunu neye dayanarak söylüyorsunuz? Bu sorunun cevabı, kontrolün gerçek bir saldırı senaryosuyla sınandığını gösteren bir sızma testi raporudur.

PCI-DSS bu ayrımı açıkça yapar: Requirement 11.3 zafiyet taramasını, Requirement 11.4 sızma testini ayrı ayrı zorunlu kılar. Birini yaptırmak diğerinin yerine geçmez.

Özetle

Zafiyet taraması bilinen açıkları listeler. Zafiyet yönetimi o listenin kapanmasını sağlar. Sızma testi, kapanmayanların gerçekte ne kadar tehlikeli olduğunu kanıtlar.

Üçünü de yapan bir kurum güvenlik programına sahiptir. Yalnızca tarama yapan bir kurum, güvenlik programı olduğunu düşünen bir kurumdur.

Testin aşamalarını Sızma Testi Aşamaları yazısında, raporun nasıl okunacağını Sızma Testi Raporu Nasıl Okunur? yazısında anlattık.