Yama önceliklendirme

Açılış

Gümrük müşavirliği ofisinin bu ayki tarama raporu Kaan'ın masasındaydı ve sekiz bulgu vardı. Kaan'ın elinde ise bu ay yalnız bir bakım günü vardı: cumartesi sabahı, dört saat. Sekizini birden kapatmak mümkün değildi.

Erdem Bey telefonda sordu: "Hangisi önce?"

Kaan bu modül boyunca öğrendiklerini düşündü. Puan bir şey söylüyordu ama her şeyi değil. Saldırıda kullanılmış açıkların kataloğu başka bir şey söylüyordu. Cihazın internete açık olup olmadığı başka bir şey. Ve o ofis için hangi sistemin durmasının ne anlama geldiği, hiçbir listede yazmıyordu.

"Bir tablo yapacağım," dedi Kaan. "Her bulgu için aynı soruları soracağım. Sonra sıralamayı birlikte okuyacağız. Sıralamanın son sözü sizde, çünkü işin hangi parçasının durmasına katlanabileceğinizi siz biliyorsunuz."

Bu atölye o tabloyu kuruyor.

Tek fikir

Yama önceliği tek bir puandan çıkmaz. Dört soru sorulur: varlık internete açık mı, zafiyet saldırılarda kullanılıyor mu, saldırı otomatikleştirilebilir mi ve saldırgan ne kadar kontrol kazanır? Bunların yanına işin kendisi konur: bu sistem durursa ne olur?

Nasıl çalışır

Bu modülde zafiyeti tanımladık, adını ve puanını okuduk, yamasız aralığı konuştuk, yama sürecini, taramayı ve bildirimi gördük. Ders 17.2'nin uyarısı, puanın tek başına bir öncelik olmadığıydı. Bu atölye o fikri, ABD federal kurumlarının 2026'da yürürlüğe giren bağlayıcı direktifi üzerinden somut bir yönteme dönüştürüyor.

Dört değişkenin ikisi bu modülden tanıdıktır: kamuya açıklık ve KEV kataloğu. Öbür ikisi yenidir. Otomatikleştirme sorusu, saldırganın bir zafiyeti tek tek değil, binlerce sisteme birden kullanıp kullanamayacağını sorar; Modül 16'daki botnetleri hatırla. Teknik etki ise CVSS'teki ağırlık kavramına benzer, ama daha kaba ve daha anlaşılırdır: saldırgan sistemi tamamen mi ele geçirir, yoksa yalnız kısmen mi etkiler?

Direktif bir federal kurum kuralıdır ve Türkiye'deki bir gümrük müşavirliği bürosunu bağlamaz. Ama dört sorusu her ölçekte işe yarar.

Bir zafiyetin henüz saldırılarda kullanılmadığı ama kullanılmak üzere olduğu durumlar için başka bir sinyal de vardır.

Şimdi tabloya geçebiliriz. Ama dört sorunun yanına beşinci bir sütun gerekir: iş etkisi. Direktif federal varlıkları bir arada değerlendirir; senin elindeki ise belirli bir işletmenin belirli sistemleridir. Bir sistemin durmasının işe ne yapacağını ancak işi bilen söyleyebilir.

Sahada

Kaan'ın hazırladığı tablo aşağıda. "Katalogda" sütunu, zafiyetin KEV kataloğunda bulunup bulunmadığını gösterir; "İş etkisi", Erdem Bey'le birlikte doldurulmuş sütundur.

Savunma

Yama önceliklendirmesi bir hesap değil, bir karardır; hesap kararı kolaylaştırır.

Dört soruyu her bulgu için sor: varlık internete açık mı, zafiyet KEV kataloğunda mı, saldırı otomatikleştirilebilir mi, saldırgan ne kadar kontrol kazanır? Cevapların çoğu herkese açık kaynaklarda bulunur; internete açıklık sorusunu ise yalnız sen cevaplayabilirsin.

Olasılık için ek bir sinyal kullan. EPSS gibi bir model, henüz saldırıda kullanılmamış ama kullanılması olası zafiyetleri öne çıkarabilir. Ama bir tahmin, "kullanıldı" bilgisinin yerini tutmaz.

İş etkisini işi bilenle birlikte doldur. Hangi sistemin durmasına ne kadar katlanılabileceğini bilgi işlem değil, iş sahibi bilir. Erdem Bey'in beyanname günü sorusu, Bora'nın hasta güvenliği sütunu bunun örnekleriydi.

Sıralamanın gerekçesini yaz. Tartışmalı her karar için kısa bir not, altı ay sonraki bir soruyu cevaplar ve bir sonraki önceliklendirmeyi hızlandırır.

Yamanın tek seçenek olmadığını unutma. Kaldırmak, ayırmak, internetten çıkarmak ya da bir sonraki yenilemeye bırakmak da birer karardır. Direktifin hatırlattığı gibi bir sistemi internetten çıkarmak, onun önceliğini de değiştirir.

En acil olanda geriye bak. Dışarıdan erişilebilen bir sistemde, katalogdaki bir zafiyeti kapattıktan sonra adli ön inceleme yap: kapatmadan önce biri içeri girmiş mi?

Ve sıralamayı canlı tut. Bir zafiyet kataloğa eklendiğinde ya da bir sistem internete açıldığında sıra değişir. Tablo bir kez yapılıp rafa kaldırılmaz.

Uygulama

Kendi cihazlarındaki bekleyen güncellemeler için küçük bir önceliklendirme tablosu yapacaksın.

Bittiğinde, tablonun kaç satırı olduğunu ve en üstteki satırı uygulayıp uygulamadığını not et.

Defter: Önceliklendirme tablosu ve sütunları, sıralama, her satırın eylemi, bir satırın gerekçe notu, uygulanan ilk adım.

Hata köşesi

Etik ve sınırlar

Önceliklendirme, bazı zafiyetleri bilerek bekletmek demektir ve bu bir sorumluluktur. Beklettiğin her satırın gerekçesini yazarsın ve kararı yalnız sen vermezsin; iş sahibi ve gerekiyorsa yönetim, kabul edilen riskin sahibidir, Modül 12'de konuştuğumuz gibi. Bir zafiyetin saldırılarda kullanılıp kullanılmadığını öğrenmek için halka açık kataloglara ve duyurulara bakarsın; bunu "denemek" için zafiyeti kendi sistemin dışında sınamak, sahibinin yetkisi olmadan yapıldığında bir saldırı girişimidir ve hiçbir önceliklendirme ihtiyacı bunu meşru kılmaz. Hastane gibi insan güvenliğinin söz konusu olduğu yerlerde ise karar masasına o güvenlikten sorumlu kişiler de oturur; bir tıbbi cihazı yamalama ya da bekletme kararı, yalnız bir bilgi işlem kararı olarak verilmez.

Kapanış

1. Yama önceliği tek bir puandan çıkmaz; dört soru sorulur: varlık internete açık mı, zafiyet saldırılarda kullanılıyor mu, saldırı otomatikleştirilebilir mi, saldırgan ne kadar kontrol kazanır? EPSS gibi olasılık modelleri ek bir sinyal verir.
2. Bu soruların yanına iş etkisi konur ve iş sahibiyle birlikte doldurulur; tartışmalı her sıralama kararının gerekçesi yazılır.
3. Yama tek seçenek değildir: kaldırmak, ayırmak, internetten çıkarmak ya da yenilemeye bırakmak da kararlardır. En acil satırlarda kapatmanın ardından adli ön inceleme yapılır ve tablo, olgular değiştikçe yeniden sıralanır.

Üç soru

1. Kaan A satırını neden cumartesiyi beklemeden kapattı ve kapattıktan sonra ne yaptı?
2. Erdem Bey'in "beyanname günü" sorusu B satırının kararını nasıl değiştirdi?
3. Gülay Hanım C ile D'nin sırasını neden tartışmaya açtı ve amacı neydi?

Yanıtlar

1. A satırındaki uzaktan erişim cihazı internete açıktı, zafiyet KEV kataloğundaydı, saldırı otomatikleştirilebiliyordu ve saldırgana tam kontrol veriyordu; dört sorunun dördü de en acil cevabı veriyordu. Kaan cihazı o akşam yamaladı ve direktifin en acil durum için istediği gibi cihazın kayıtlarına geriye dönük bakarak bir adli ön inceleme yaptı.
2. Beyanname bilgisayarı ayın yirmi altısında durmamalıydı, çünkü o gün bütün işin en kritik günüydü. Kaan bu yüzden tarayıcı güncellemesini, zafiyet yüksek öncelikli olduğu hâlde, beyanname haftasından uzak bir gece ve önce o bilgisayarda bir gün denenecek biçimde planladı. İş etkisi, ne yapılacağını değil, ne zaman yapılacağını belirledi.
3. C internete açık ve otomatikleştirilebilir olduğu için daha olası bir hedefti; D ise içerideydi ama herkesi etkiliyor ve tam kontrol veriyordu, yani başarılı bir saldırının bedeli daha yüksekti. İki satır da savunulabilirdi. Gülay Hanım'ın amacı sırayı değiştirmek değil, Kaan'ın kararını bir gerekçeyle yazıya geçirmesini sağlamaktı; böylece altı ay sonra sorulacak bir soru yazılı bir cevap bulacaktı.

Sonraki derse köprü

Bu atölyeyle zafiyetler modülü ve Seviye 2 kapanıyor. Seviye 3, savunmanın en eski katmanlarından biriyle başlıyor: ağın kendisi. Güvenlik duvarı dersi, paket süzmeden durum bilgili denetime ve yeni nesil güvenlik duvarına kadar, ağa neyin girip neyin çıkacağına karar veren kapıyı anlatıyor.