Zafiyet risk puanlama süreçlerinin çoğu, ekranda görünen tek bir sayıyla başlayıp aynı sayıyla biter. Aynı hafta gelen iki bulgunun ikisi de 9.8 puanlıdır: birincisi internete açık uzaktan erişim ağ geçidinde, ikincisi ağdan yalıtılmış bir test laboratuvarındaki sanal makinede. Ekip listeyi puana göre sıraladığı için ikisi de aynı kovaya düşer ve sınırlı yama penceresinde hangisinin önce kapatılacağı tesadüfe kalır. Aradaki gerçek risk farkı ise kat kat büyüktür.

Bu, aracın kusuru değildir. CVSS bir açıklığın teknik ciddiyetini standart bir dille anlatmak için tasarlandı; belirli bir kurumdaki riski hesaplamak için değil. Aşağıda puanın tam olarak neyi ölçtüğünü, hangi üç veriyle zenginleştirilmesi gerektiğini, kurum içi bir önceliklendirme modelinin nasıl kurulacağını ve düzeltme sürelerinin puana değil riske nasıl bağlanacağını ele alıyoruz.

CVSS neyi ölçer, neyi bilerek ölçmez

CVSS açıklığın kendi teknik özelliklerini puanlar: saldırının ağ üzerinden mi yapıldığı, kullanıcı etkileşimi gerekip gerekmediği, hangi yetki seviyesinin gerektiği ve gizlilik, bütünlük, erişilebilirlik üzerindeki etkisi. Çoğu kurumun kullandığı ve kamuya açık veritabanlarında yayımlanan değer ise yalnızca temel (base) puandır; yani hiçbir ortama uyarlanmamış haldir.

Standardın kendisi bunu zaten kabul eder ve iki grup daha tanımlar: tehdit durumunu yansıtan metrikler ve kuruma özgü çevresel (environmental) metrikler. Uygulamada bu iki grubu dolduran kurum azdır. Sonuç şu olur:

• Puan, açıklığın sizin ağınızda erişilebilir olup olmadığını bilmez.
• Etkilenen sistemin gelir ürettiğini mi yoksa bir stajyer test kutusu mu olduğunu bilmez.
• Gerçek dünyada istismar edilip edilmediğini temel puan üzerinden söylemez.
• Telafi edici kontrolleri, segmentasyonu ve yedeklilik durumunu hesaba katmaz.

Aynı açıklığın iki farklı kurumda çok farklı risk taşıması bu yüzdendir. Puanı ortama uyarlama işini kurum içinde kim yapacak ve hangi veriyle yapacak sorusu, kurumsal siber güvenlik danışmanlığı kapsamında ele alındığında genellikle varlık kritikliği sınıflandırmasının yeniden kurulmasıyla çözülür.

Puanı anlamlı kılan üç veri katmanı

Bir bulguyu sıraya koymadan önce cevaplanması gereken üç soru vardır ve hiçbiri temel puanın içinde değildir.

Birincisi istismar durumu. Yayımlanan açıklıkların yalnızca bir bölümü için gerçek dünyada kullanılan bir istismar kodu ortaya çıkar. Kamuya açık istismar kodu bulunup bulunmadığı, açıklığın aktif olarak sömürüldüğünün bilinip bilinmediği ve istismar olasılığını tahmin eden skorlar, yüksek puanlı ama pratikte kimsenin uğraşmadığı bulguları arka sıraya taşımanızı sağlar.

İkincisi maruziyet. Sistem internete açık mı, kimlik doğrulaması olmadan erişilebiliyor mu, hangi ağ segmentinde duruyor, önünde etkili bir filtre var mı? Aynı açıklık dış yüzeydeyken kritik, çift kimlik doğrulamalı bir iç segmentte orta seviyedir.

Üçüncüsü iş etkisi. Sistem durursa hangi süreç durur, hangi veri sınıfı etkilenir, düzenleyici bildirim yükümlülüğü doğar mı? Kişisel veri işleyen bir sistemde bütünlük veya gizlilik kaybı, KVKK kapsamında teknik bir olaydan fazlasıdır.

Kurum içi risk skorunu oluşturan faktörler

Bu tabloyu bir formüle çevirmek şart değildir; önemli olan her bulgu için sekiz sorunun da cevaplanmış olmasıdır. Pratikte üç seviyeli basit bir çarpan (düşük, orta, yüksek) bile ham puana göre sıralamadan çok daha isabetli bir liste üretir.

Önceliklendirme akışı adım adım

1. Aktif istismar edilenleri ayırın. Hangi puana sahip olursa olsun, gerçekte sömürüldüğü bilinen açıklıklar listenin en üstüne alınır ve normal yama takvimi beklenmez.
2. Maruziyete göre filtreleyin. İnternete açık varlıklardaki bulgular ikinci kovadır; dış yüzey, saldırganın ilk erişim aşamasında baktığı yerdir.
3. Varlık kritikliğini uygulayın. Aynı maruziyetteki bulgular arasında sıralamayı iş etkisi belirler.
4. Zincir potansiyelini değerlendirin. Tek başına orta seviyeli görünen bir yetki yükseltme açıklığı, dış yüzeydeki bir bulguyla birleştiğinde kritik yola dönüşebilir.
5. Düzeltme maliyetini ekleyin. Aynı risk seviyesindeki iki işten, kesintisiz kapatılabilen önce yapılır; bu, haftalık kapasitenin verimli kullanılmasını sağlar.
6. Kapatılamayanlar için telafi edici kontrol tanımlayın. Yama yoksa erişimi kısıtlayın, izleme kuralı yazın ve süreli risk kabulü kaydı açın.
7. Kararı ve gerekçeyi kaydedin. Sıralamanın nasıl oluştuğu yazılı değilse süreç kişiye bağımlı kalır ve denetimde savunulamaz.

Düzeltme süreleri puana değil risk seviyesine bağlanmalı

Yaygın hata, hizmet seviyesi hedeflerini doğrudan CVSS aralıklarına bağlamaktır: “9.0 üzeri yedi günde kapatılır” kuralı, laboratuvar makinesindeki bulguyu üretim ağ geçidiyle aynı aciliyete sokar. Doğru yaklaşım, süreyi zenginleştirilmiş risk seviyesine bağlamaktır. Örnek bir çerçeve şöyle kurulabilir:

• Aktif istismar edilen ve internete açık varlıktaki bulgu: acil müdahale, aynı gün geçici önlem.
• İnternete açık, istismar kodu mevcut: gün mertebesinde yama penceresi.
• İç ağda kritik varlık, istismar kodu yok: standart aylık pencere.
• Düşük maruziyet, düşük kritiklik: planlı bakım döngüsü.

Bu ayrım, ekiplerin sürekli “acil” iş yapmaktan yorulmasını da engeller; her şey kritik olduğunda hiçbir şey kritik değildir.

Puanın gizlediği zincirler nasıl görünür hale gelir

Zafiyet risk puanlamasının en zayıf noktası, bulguları birbirinden bağımsız satırlar olarak ele almasıdır. Saldırgan ise böyle çalışmaz: dış yüzeydeki orta seviyeli bir bilgi ifşasıyla kullanıcı adı formatını öğrenir, zayıf parola politikasıyla bir hesaba girer, iç ağda düşük puanlı bir yanlış yapılandırmayla yetki yükseltir. Üç bulgunun tek tek puanı düşüktür; birleşimi kurumun tamamıdır. Sahada en sık karşılaşılan zincir kalıpları şunlardır:

• Dış yüzeydeki bir bilgi ifşasının kullanıcı adı formatını ele vermesi ve parola denemelerini hedefli hale getirmesi.
• Eski bir uygulamadaki dosya yükleme kusurunun, aynı sunucuda yüksek yetkiyle çalışan bir servisle birleşmesi.
• Test ortamındaki zayıf kimlik bilgisinin, üretim veritabanına açık bırakılmış bir güven ilişkisiyle eşleşmesi.
• Düşük puanlı bir yerel yetki yükseltme açıklığının, oltalamayla elde edilen sıradan kullanıcı oturumunu yönetici oturumuna çevirmesi.

Bu zincirleri kâğıt üzerinde tahmin etmek zordur. MITRE ATT&CK matrisiyle eşlenmiş bir saldırı senaryosu çalışması, hangi bulguların gerçekten kritik yolun üzerinde durduğunu gösterir. Savunma tarafının bu yolu fark edip edemediğini ölçmek isteyen kurumlar için iki ila altı hafta süren red team hizmeti, keşiften hedef tamamlamaya kadar giden zinciri kurar ve raporunda hangi zafiyetin gerçekten değerli olduğunu puandan bağımsız biçimde ortaya koyar.

Yönetime raporlarken sayı değil senaryo anlatın

Yönetim kuruluna “1.240 açık bulgumuz var, ortalama puan 6.4” demek karar üretmez. Aynı veriyi karar verilebilir hale getiren anlatım şudur: hangi iş süreci, hangi yoldan, ne kadar sürede durdurulabilir ve bunu engellemek için hangi üç işin bütçesi gerekir. Çift katmanlı raporlama mantığı burada işe yarar; yönetici özeti senaryoyu ve kararı, teknik detay bulgu ve kanıtı taşır.

Ölçüm tarafında da toplam bulgu sayısı yerine şu göstergeler izlenmelidir:

• İnternete açık varlıklardaki kritik bulguların ortalama kapatma süresi.
• Aktif istismar edildiği bilinen açıklıklarda ilk müdahaleye kadar geçen süre.
• Kanıtlanmış saldırı zinciri üzerinde yer alan bulguların toplam içindeki oranı.
• Süresi dolduğu halde kapatılmamış risk kabullerinin sayısı.

Bu göstergeler MTTD ve MTTR verileriyle birlikte okunduğunda, güvenlik yatırımının nereye gitmesi gerektiği kendiliğinden görünür hale gelir.

Sık sorulan sorular

CVSS puanı yüksek olan her zafiyet hemen kapatılmalı mı?

Hayır. Yüksek puan teknik ciddiyeti gösterir, aciliyeti değil. Ağdan yalıtılmış, kimlik doğrulamasıyla korunan ve hiç istismar edilmediği bilinen bir açıklık, dış yüzeydeki orta puanlı ve aktif sömürülen bir bulgunun önüne geçmemelidir.

Zafiyet risk puanlamasında hangi ek veri kaynakları kullanılmalı?

Açıklığın aktif olarak istismar edilip edilmediğini gösteren kataloglar, istismar olasılığını tahmin eden skorlama sistemleri ve kendi varlık envanterinizdeki kritiklik etiketleri asgari settir. Bu üç kaynak olmadan sıralama teknik ciddiyetin ötesine geçemez.

Çevresel metrikleri doldurmak gerçekten fark yaratır mı?

Yaratır, çünkü varlık kritikliği ve maruziyet bilgisi puana girdiğinde aynı açıklık farklı sistemlerde farklı seviyeye düşer. Bunu yapmanın önündeki asıl engel metodoloji değil, güncel ve etiketlenmiş bir envanterin bulunmamasıdır.

Küçük bir ekipte bu kadar faktörü değerlendirmek mümkün mü?

Mümkün, çünkü faktörlerin çoğu bir kez tanımlanır ve varlığa etiket olarak yazılır. Her bulgu için yeniden karar vermeniz gereken tek şey istismar durumudur; geri kalanı envanterden otomatik gelir.

Sızma testi bulgularını da CVSS ile mi puanlamalıyız?

Puanlamak raporu standart hale getirir, ancak test bulgularının değeri zincir anlatımındadır. Testte kanıtlanmış bir saldırı yolunun her adımı ayrı ayrı düşük puanlı olabilir; önceliklendirmeyi zincirin bütününe göre yapmak gerekir.

Sonuç

CVSS ortak bir dil sağlar ama önceliği sizin adınıza belirlemez; bunu ancak istismar verisi, maruziyet ve iş etkisiyle zenginleştirilmiş kendi modeliniz yapabilir. Yama kapasitesini ham puana göre değil bu üç katmana göre dağıttığınızda, aynı ekiple aynı bütçeyle kapattığınız risk miktarı belirgin biçimde artar ve yönetime sunduğunuz tablo sayı listesi olmaktan çıkıp karar belgesine dönüşür.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.