Zafiyet yönetimi nedir?
Zafiyet yönetimi (vulnerability management), sunucu, uygulama ve ağ bileşenlerindeki güvenlik açıklarını sürekli olarak tespit etme, risklerine göre önceliklendirme, düzeltme veya hafifletme ve çözümü doğrulama döngüsüdür. Tek seferlik bir tarama değil, süregelen bir süreçtir.
Yeni açıklar her gün yayımlanır ve sistemler değişir. Süreç olmadan hangi sistemin hangi açıktan etkilendiğini bilmek mümkün olmaz.
Nasıl çalışır?
Döngü şu adımlardan oluşur:
- Envanter: neye sahip olduğunuzu bilmek
- Tarama ve haber alma: tarayıcılar, güvenlik bültenleri, sağlayıcı duyuruları
- Önceliklendirme: CVSS, sömürülme olasılığı (EPSS), bilinen sömürülen açık listeleri (KEV) ve varlığın önemi
- Düzeltme: yama, yapılandırma değişikliği veya geçici önlem
- Doğrulama: yeniden tarama ile kapandığını görmek
- Raporlama ve ölçüm
Yalnızca CVSS puanına bakmak yanıltıcı olabilir. İnternete açık ve aktif sömürülen orta puanlı bir açık, içeride erişilemeyen yüksek puanlıdan daha acildir.
Sunucu ve hosting ortamında
İşletim sistemi paketleri, web sunucusu, PHP sürümü, veritabanı, kontrol paneli, CMS ve eklentiler ayrı ayrı izlenir. Paylaşımlı hostingde sağlayıcı sunucu katmanını yönetir; uygulama katmanı (WordPress eklentileri, temalar) sizin sorumluluğunuzdadır. VPS'te tüm katman sizindir. Ömrü dolmuş (EOL) yazılımlar yama alamadığı için ayrı bir risk kalemi olarak izlenmelidir.