Bir sızma testi raporu seksen bulguyla teslim edildiğinde ekiplerin çoğu aynı refleksi gösterir: kritik etiketli maddeleri yukarıdan aşağı sıralayıp iş listesine döker. Bu yaklaşımın sorunu şudur; tek başına “orta” seviyede görünen üç bulgu birleştiğinde alan yöneticisi yetkisine giden bir zincir oluşturabilirken, listenin en tepesindeki “kritik” bulgu internete kapalı, iki kişinin kullandığı bir test sunucusunda olabilir. Sıralama puana göre yapıldığında sahadaki gerçek risk sırası bozulur.

Önceliklendirme, teknik bir işlem değil bir karar sürecidir ve üç girdiyi birleştirmeyi gerektirir: bulgunun teknik ciddiyeti, gerçekten istismar edilebilirliği ve etkilediği varlığın iş değeri. Bu yazıda bu üç girdinin nasıl birleştirileceğini, hangi bulguların zincir olarak değerlendirilmesi gerektiğini ve düzeltme planının takvime nasıl bağlanacağını ele alıyoruz.

Puan tek başına neden yeterli değil

CVSS (Common Vulnerability Scoring System) bir zafiyetin teorik ciddiyetini standart biçimde ifade eder ve ortak bir dil sağlar. Ancak raporlarda çoğunlukla yalnızca temel puan (base score) verilir; bu puan zafiyetin sizin ortamınızdaki konumunu bilmez. Aynı zafiyet, internete açık bir uygulamada ile yalnızca yönetim ağından erişilen bir sistemde aynı puanı alır.

Puanı bağlamla zenginleştirmenin yolları vardır: çevresel metrikler (environmental metrics) varlığın sizdeki kritikliğine göre puanı düzeltir; istismar olasılığı tahmini ve kamuya açık istismar kodu varlığı, bir zafiyetin sahada kullanılma ihtimalini gösterir. Yaygın olarak istismar edildiği doğrulanmış zafiyetlerin listelendiği kamu katalogları da bu değerlendirmede kullanılır. Bu girdileri raporun kendisiyle birleştirmek, kurumsal siber güvenlik danışmanlığının en pratik katkılarından biridir; çünkü karar, teknik ekibin sezgisinden çıkıp tekrarlanabilir bir kurala bağlanır.

Bulguyu iş etkisiyle eşleştiren üç soru

Her bulgu için şu üç soru yazılı olarak cevaplanmalıdır:

• Hangi varlığı etkiliyor ve o varlık durduğunda hangi iş süreci durur? Cevap “muhasebe kapanışı gecikir” ise öncelik, “bir raporlama ekranı açılmaz” cevabından yüksektir.
• Saldırgan bu bulguyu kullanmak için hangi konumda olmalı? İnternetten kimlik doğrulamasız erişim ile ayrıcalıklı iç kullanıcı gerekliliği arasında ciddi fark vardır.
• Bu bulgu kişisel veriye erişim sağlıyor mu? Sağlıyorsa değerlendirme yalnızca teknik değil, KVKK kapsamındaki veri güvenliği yükümlülükleri açısından da yapılmalıdır.

Tekil bulgu değil, saldırı zinciri düşünün

İyi bir rapor bulguları tek tek listelemekle kalmaz, aralarındaki bağı da gösterir. Örnek bir zincir şöyle işler: paylaşımda bulunan bir kurulum betiğinden servis hesabı parolası okunur (tek başına “orta”), bu hesap yedekleme sunucusunda yerel yönetici çıkar (tek başına “düşük”), yedekleme konsolu tüm sunuculara komut çalıştırabilir (yapılandırma notu). Üçü ayrı ayrı ertelenebilir görünür, birleştiğinde sunucu envanterinin tamamı düşer.

Bu nedenle önceliklendirme yapılırken zincirin en ucuz kırılan halkası aranır. Yukarıdaki örnekte üç bulguyu da kapatmak yerine, paylaşım izinlerini düzeltip servis hesabı parolasını döndürmek zinciri anında keser. Zincir mantığı, düzeltme eforunu birkaç kat azaltabilir.

Etki-efor matrisiyle sıralama

Matrisin işe yaraması için “hedef süre” sütununun kurumun kendi hizmet seviyesi taahhütleriyle uyumlu yazılması gerekir. Rapordan gelen hazır süreler değil, sizin karşılayabileceğiniz süreler yazılmalıdır.

Düzeltme planını adım adım kurmak

1. Raporu okumadan önce varlık kritiklik listesini güncelleyin. Bulgu sıralaması, varlık listesi yoksa yapılamaz.
2. Her bulguya tek bir sahip atayın. Sahip bir ekip değil, isim olmalıdır; ortak sahiplik pratikte sahipsizliğe dönüşür.
3. Zincirleri işaretleyin. Raporda saldırı yolu anlatısı varsa, aynı zincire ait bulguları tek bir iş kalemi olarak birleştirin.
4. Geçici önlem ile kalıcı düzeltmeyi ayırın. Erişimi ağ seviyesinde kısıtlamak saatler içinde uygulanabilirken, uygulama düzeltmesi sürüm takvimi gerektirebilir.
5. Düzeltmenin doğrulanacağı yöntemi baştan yazın: yeniden test, yapılandırma kanıtı veya günlük kaydı örneği. Doğrulama yöntemi belirsizse bulgu kapanmaz.
6. Aynı kök nedene bağlı bulguları gruplayıp kalıcı çözümü sürece yazın; ardından otuz, altmış ve doksan günlük eşiklerde durum gözden geçirmesi yapın. Parola yönetimi eksikken tek tek parola değiştirmek, bir sonraki testte aynı listeyi geri getirir.

Yönetici özeti ile teknik detay arasındaki köprü

Çift katmanlı raporun üst katmanı yönetim kurulunun kararı için, alt katmanı düzeltmeyi yapacak mühendis için yazılır. Üst katmanda beklenen şey bulgu sayısı değil, “hangi iş süreci ne kadar süreyle riske girdi” cümlesidir. Alt katmanda ise yeniden üretim adımları, etkilenen uç noktalar, kanıt ekranları ve önerilen yapılandırma bulunur.

İki katmanı birbirine bağlayan alan, bulgu kimliğidir. Yönetici özetindeki her risk cümlesi, teknik bölümdeki bulgu numaralarına referans vermelidir; aksi halde yönetim seviyesinde alınan karar ile sahadaki iş listesi zamanla birbirinden kopar. Savunma tarafının bu zincirleri gerçek zamanda görüp göremediğini ölçmek isteyen kurumlar, düzeltme döngüsü tamamlandıktan sonra bir red team hizmeti planlayarak MTTD (ortalama tespit süresi) ve MTTR (ortalama yanıt süresi) değerlerini de tabloya ekler.

Kabul edilen riskler nasıl kayda geçer

Her bulgu kapatılmaz; bazıları bilinçli olarak kabul edilir. Kabul kararının kaydı şu alanları içermelidir:

• Bulgu kimliği ve ilgili varlık.
• Kabul gerekçesi ve düzeltmenin neden yapılamadığı.
• Uygulanan telafi edici kontroller.
• Kabul süresi ve yeniden değerlendirme tarihi.
• Kararı veren yetkilinin adı ve karar tarihi.

Bu kayıt hem iç denetim hem de bilgi güvenliği yönetim sistemi gözden geçirmeleri için gereklidir ve olası bir olay sonrasında kararın kim tarafından, hangi bilgiyle alındığını gösterir.

Önceliklendirmede sık yapılan hatalar

• Bulgu sayısını başarı göstergesi saymak; kapanan bulgu sayısı değil, kapanan risk ağırlığı ölçülmelidir.
• Kritik olmayan bulguları “sonra” kutusuna atıp bir daha açmamak; zincirlerin ilk halkaları çoğunlukla bu kutuda birikir.
• Aynı kök nedene bağlı yirmi bulguyu yirmi ayrı iş kalemi olarak yönetmek.
• Düzeltmeyi doğrulamadan kapatmak; doğrulanmamış düzeltmelerin bir kısmı yalnızca semptomu gizler.
• Test kapsamı dışında kalan alanları raporda görünmediği için risksiz varsaymak.

Sık sorulan sorular

Sızma testi raporundaki kritik bulgular kaç günde kapatılmalı?

Evrensel bir süre yoktur; süre kurumun hizmet seviyesi taahhütlerine ve varlığın kritikliğine göre belirlenir. Yaygın uygulama, internetten istismar edilebilen bulgularda birkaç gün içinde geçici önlem alıp bir hafta içinde kalıcı düzeltmeyi tamamlamaktır. Önemli olan sürenin yazılı, ölçülen ve gecikmede yükseltme mekanizması olan bir taahhüt olmasıdır.

CVSS puanı düşük olan bir bulgu neden öncelikli olabilir?

Çünkü puan zincirdeki konumu ölçmez. Kimlik bilgisi ifşası gibi bulgular tek başına sınırlı etki taşır ama başka bir zafiyetle birleştiğinde ayrıcalık yükseltmenin başlangıç noktası olur. İstismarı kolay, yayılması geniş ve düzeltmesi ucuz bulgular puanına bakılmaksızın öne alınmalıdır.

Bulguları kim önceliklendirmeli, test ekibi mi kurum mu?

Test ekibi teknik ciddiyeti ve istismar edilebilirliği ortaya koyar; iş etkisini yalnızca kurum bilir. Bu nedenle sağlıklı yöntem, rapor teslim toplantısında iki tarafın birlikte sıralama yapmasıdır. Varlık sahiplerinin bu toplantıda bulunması, sıralamanın gerçekçi olmasını sağlar.

Aynı bulgu bir sonraki testte yeniden çıkarsa ne yapılmalı?

Öncelikle düzeltmenin uygulanıp uygulanmadığı, uygulandıysa neden geri geldiği araştırılmalıdır. Tekrar eden bulgular genellikle kök neden yerine örneğin kapatıldığını gösterir: sunucu şablonu güncellenmemiştir ya da yeni kurulan sistem eski yapılandırmayı devralmıştır. Bu durumda düzeltme, tekil sistemde değil şablon ve süreç seviyesinde yapılmalıdır.

Rapordaki bulguları düzeltmek için ek bütçe nasıl gerekçelendirilir?

Gerekçe, bulgu listesi değil senaryo anlatısıdır. “Ödeme mutabakat veritabanına internetten üç adımda ulaşılabildi ve bu süre boyunca alarm üretilmedi” cümlesi, elli sayfalık bir teknik ekten daha etkilidir. Buna kapanma süresi hedefleri ve düzeltmenin tahmini eforu eklendiğinde karar mekanizması sayılarla çalışabilir.

Sonuç

Önceliklendirme, raporu iş listesine çeviren adımdır ve puan sıralamasıyla değil, istismar edilebilirlik ile iş etkisinin kesişimiyle yapılır. Bir sonraki rapor teslim toplantısına varlık kritiklik listenizle girin, zincirleri işaretleyin ve her bulguya isimli bir sahip ile doğrulama yöntemi atamadan toplantıyı kapatmayın.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.