CVSS Puanlaması ve Güvenlik Açıklarına Öncelik Verme

Bir kuruluş bir Vulnerability taraması çalıştırdıktan sonra Systems genelinde yüzlerce veya binlerce Vulnerability keşfedebilir. Her şeyi IMMEDIATELY Patch etmeye çalışmak ne mümkündür ne de stratejiktir; kaynaklar sınırlıdır ve tüm Vulnerabilities aynı düzeyde risk taşımaz. Vulnerability önceliklendirmesi, en tehlikeli sorunların önce ele alınabilmesi için Vulnerabilities kuruluş açısından taşıdıkları gerçek riske göre sıralama sürecidir. Etkili önceliklendirme, kritik bir uzaktan kod çalıştırma Vulnerability'si sırada beklerken önemsiz görsel sorunları Patch etme gibi yaygın bir hatayı önler.

Ortak Vulnerability Scoring System (CVSS), bir güvenlik Vulnerability'sinin önem derecesini gösteren standartlaştırılmış sayısal bir Score (0.0-10.0) sağlayan açık bir Framework'tür. CVSS, FIRST (Olay Müdahalesi ve Güvenlik Ekipleri Forumu) tarafından sürdürülür ve NVD'de (Ulusal Vulnerability Veritabanı) kullanılan temel Scoring System'dir. Güncel sürüm olan CVSS v3.1, Scores'ları üç ölçüt grubuna göre hesaplar: Base (Vulnerability'nin doğasındaki özellikler), Temporal (zaman içinde değişen faktörler) ve Environmental (kuruluşa özgü değişkenler). Yalnızca Base Score gereklidir; diğerleri isteğe bağlı iyileştirmelerdir.

Base Score, iki ölçüt grubundan hesaplanır. Sömürülebilirlik ölçütleri, Vulnerability'ye nasıl saldırılabileceğini açıklar: Attack Vektörü (AV) — Network (uzaktan), Adjacent, Local veya Physical; Attack Complexity (AC) — Low veya High; Privileges Required (PR) — None, Low veya High; User Interaction (UI) — None veya Required. Network üzerinden, kimlik doğrulama ve User Interaction gerektirmeden Exploit edilebilen bir Vulnerability, sömürülebilirlik açısından en yüksek Score'u alır (AV:N/AC:L/PR:N/UI:N). Bu faktörler, Base Score'u oluşturmak için Impact ölçütleriyle birleştirilir.

Impact ölçütleri, Vulnerability Exploit edildiğinde üçlü CIA boyutunda ortaya çıkan sonucu ölçer. Confidentiality Impact (C) — None, Low veya High (ne kadar verinin ifşa edilebileceği). Integrity Impact (I) — None, Low veya High (ne kadar verinin değiştirilebileceği). Availability Impact (A) — None, Low veya High (ne ölçüde hizmet kesintisi yaşanacağı). Scope (S) — Unchanged veya Changed (Vulnerability'nin etkisinin Vulnerable bileşenin ötesine, diğer bileşenlere veya Systems'e uzanıp uzanmadığı). Changed bir Scope, başarıyla Exploit edilen bir Vulnerability'nin ilk Scope'unun dışındaki Systems'i etkileyebileceği anlamına gelir ve Score'u önemli ölçüde yükseltir.

Temporal ölçütleri, zaman içinde değişen faktörlere göre Base Score'u ayarlar. Exploit Code Maturity (E) — çalışan bir Exploit'in mevcut olup olmadığı (Unproven, Proof-of-Concept, Functional, High). Herkese açık, silahlandırılmış bir Exploit'i bulunan bir Vulnerability, bilinen bir Exploit'i bulunmayana göre daha acildir. Remediation Level (RL) — Official Fix, Temporary Fix, Workaround veya Unavailable. Official bir üretici Patch'i bulunan bir Vulnerability'nin aciliyeti, herhangi bir Fix bulunmayan bir Vulnerability'ye kıyasla daha düşüktür. Report Confidence (RC) — Unknown, Reasonable veya Confirmed. Confirmed ve geniş ölçekte yeniden üretilmiş bir Vulnerability, Confirmed olmayan bir bildirime göre daha güvenilir biçimde derecelendirilir.

Environmental ölçütleri, kuruluşların CVSS Score'unu kendi özel bağlamlarına göre özelleştirmesine olanak tanır. Modified Base Metrics, kuruluşların kendi ortamlarını yansıtmak için herhangi bir Base ölçütünü değiştirmesine olanak verir (örneğin, Network üzerinden erişilebilen bir Vulnerability, ilgili hizmet kendi kurulumlarında yalnızca yerel olarak erişilebiliyorsa AV:L değerine sahip olabilir). CIA Requirement değerleri (Low, Medium, High), her CIA boyutunun kuruluş açısından önemini yansıtır; bir hastane hasta izleme Systems'i için Availability değerini High olarak değerlendirirken bir araştırma kuruluşu Confidentiality'yi en yüksek düzeyde değerlendirebilir. Environmental Scoring, CVSS'yi bağlama duyarlı hâle getirir ve gerçek önceliklendirme kararlarında daha kullanışlı kılar.

CVSS ile birlikte çalışan üç ilişkili System vardır. CVE (Ortak Vulnerabilities ve Exposures), her biri benzersiz bir tanımlayıcıya sahip, kamuya mal olmuş güvenlik Vulnerabilities listesidir (CVE-2021-44228, Log4Shell'dir). CWE (Ortak Zayıflık Numaralandırması), yazılım zayıflığı türlerini kategorilere ayırır (CWE-79, XSS'tir; CWE-89, SQL Injection'dır); belirli bir örnek yerine temel nedeni sınıflandırır. NVD (Ulusal Vulnerability Veritabanı), CVE kayıtlarını CVSS Scores'ları, başvurular, etkilenen ürün aralıkları ve Remediation bağlantılarıyla zenginleştirir. Güvenlik ekipleri, yazılım envanterleriyle ilgili yeni CVEs hakkında bildirim almak için NVD'ye ve üretici duyurularına Subscribe olur.

CVSS Scores'ları teknik önem derecesini tek başına gösterir, ancak kuruluş bağlamını hesaba katmaz. Risk tabanlı önceliklendirme, Remediation aciliyetini şu unsurlara göre değiştirir: Asset_Criticality (kritik bir ERP System'i, bir test sunucusundan daha yüksek önceliğe sahiptir), gerçek ortamda Exploit edilebilirlik (CISA'nın KEV — Known Exploited Vulnerabilities kataloğu — aktif olarak Exploit edilen CVEs'leri listeler), Exposure (Vulnerable System Internet'e açık mı?) ve telafi edici kontroller (saldırı yolunu engelleyen bir WAF var mı?). Internet'e açık, iş açısından kritik bir System üzerinde bulunan ve kamuya açık bir Exploit'i olan CVSS 7.5 değerindeki bir Vulnerability, yalıtılmış bir Internal test sunucusundaki CVSS 9.0 değerindeki bir Vulnerability'den çok daha acil olabilir.

Birçok Framework ve araç, CVSS tabanlı önceliklendirmeyi geliştirir. EPSS (Exploit Prediction Scoring System), tehdit istihbaratı verileri üzerinde makine öğrenimi kullanarak bir CVE'nin sonraki 30 gün içinde gerçek ortamda Exploit edilme olasılığını tahmin eder. High EPSS + High CVSS = en yüksek öncelik. SSVC (Paydaşlara Özgü Vulnerability Kategorilendirmesi), Exploitation durumunu, güvenlik ve kritik altyapı üzerindeki Impact'i ve System'in görev açısından kritik olup olmadığını değerlendiren bir CISA/Carnegie Mellon karar ağacıdır. Bu Framework'ler, kuruluşların yalnızca CVSS Score'una göre sıralama yapmanın ötesine geçerek gerçekten risk odaklı Remediation kararları almasına yardımcı olur.

Güvenlik profesyonelleri, yönetim kararları için teknik CVSS Scores'larını iş diline çevirmelidir. “Public web sunucumuzda kimlik doğrulaması gerektirmeyen CVSS 9.8 değerinde bir RCE var” demek yerine, “Internet üzerindeki bir saldırgan herhangi bir kimlik bilgisi olmadan müşterilerimize açık web sitemizin tam kontrolünü ele geçirebilir; 500.000 müşterinin tüm kayıtlarına ve ödeme işleme System'imize erişebilir. Üretici Patch'ini uygulamamız veya sunucuyu 24 saat içinde çevrimdışına almamız gerekiyor” denmelidir. İş etkisini (risk altındaki veriler, mali kayıp, mevzuata ilişkin sonuçlar) çerçevelemek, tek başına ham Scores'lara kıyasla yöneticilerin daha hızlı karar almasını sağlar.

Vulnerability önceliklendirmesi, yalnızca etkili bir Patch management sürecine bağlandığında değer sağlar. Vulnerability management yaşam döngüsü şunları içerir: Identify (tarama), Analyze (CVSS + bağlam), Prioritize (risk sıralaması + SLA), Remediate (SCCM/Intune/Ansible üzerinden Patch dağıtımı), Verify (Patch uygulandığını doğrulamak için yeniden tarama) ve Report (yönetime eğilim raporlaması). Patch management araçları, hangi Systems'in Patch'lendiğini ve hangilerinin hâlâ açıkta kaldığını izlerken dağıtımı büyük ölçekte otomatikleştirir. Remediation SLA sayacı bir Vulnerability keşfedildiğinde başlar; bu nedenle tarama sıklığı, Remediation için ortalama süreyle doğrudan ilişkilidir.

Bu Lesson'da ele alınan CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu Lesson'da şunları öğrendiniz: CVSS, Vulnerabilities'yi Base (sömürülebilirlik + Impact), Temporal (Exploit olgunluğu + Fix kullanılabilirliği) ve Environmental (kuruluş bağlamı) ölçütlerini kullanarak 0.0-10.0 aralığında Scores; CISA'nın KEV kataloğu ve EPSS Scores'ları gerçek ortamda aktif olarak Exploit edilen Vulnerabilities'yi belirleyerek CVSS tabanlı önceliklendirmeyi geliştirir ve etkili Vulnerability management, tarama sonuçlarını önem derecesine göre tanımlanmış SLA'lara sahip Patch management iş akışlarına bağlar. Bu, Vulnerability management modülünü tamamlar; sırada uygulama güvenliği ve OWASP Top 10 var.