Güvenlik açığı değerlendirmesi nedir? Ve nasıl yapılır

Güvenlik açığı değerlendirmesi, BT altyapısındaki güvenlik açıklarını belirleme, sınıflandırma ve önceliklendirme sürecidir. Kapsamlı bir güvenlik açığı değerlendirmesi, bir BT sisteminin bilinen güvenlik açıklarına maruz kalıp kalmadığını değerlendirir, belirlenen güvenlik açıklarına önem düzeyleri atar ve gerektiğinde düzeltme veya azaltma adımları önerir.

Güvenlik açığı değerlendirmeleri, bir kuruluşun karşılaşabileceği güvenlik risklerinin ayrıntılı bir görünümünü sağladıkları ve bilgi teknolojilerini ve hassas verilerini siber tehditlerden daha iyi korumalarını sağladıkları için yaygın bir güvenlik prosedürüdür.

Güvenlik açıkları, üçüncü taraf satıcılar tarafından yönetilen uygulamalarda veya dahili olarak üretilen yazılımlarda bulunabilir ve birçok kusur tespit edildikten sonra kolayca düzeltilir.

Zafiyet Değerlendirmesi Neden Önemlidir?

Güvenlik açığı değerlendirmesi, ortamınızdaki güvenlik zayıflıkları hakkında size bilgi sağladığı ve sorunlardan yararlanılmadan önce nasıl düzeltileceği veya azaltılacağı konusunda yön sağladığı için önemlidir.

Bu süreç, BT altyapınızı, güvenlik kusurlarınızı ve genel riskinizi daha iyi anlamanızı sağlar, bu da bir siber suçlunun kuruluşunuza yetkisiz erişim sağlama olasılığını azaltırken bilgi güvenliği ve uygulama güvenliği standartlarını büyük ölçüde iyileştirir.

Farklı Güvenlik Açığı Değerlendirmesi Türleri Nelerdir?

Birkaç tür güvenlik açığı değerlendirmesi vardır:

  • Ağ tabanlı değerlendirme: Olası ağ güvenliği sorunlarını belirlemek için kullanılır ve kablolu ve kablosuz ağlardaki güvenlik açığı olan sistemleri tespit edebilir.
  • Ana bilgisayar tabanlı değerlendirme: Sunuculardaki, iş istasyonlarındaki ve diğer ağ ana bilgisayarlarındaki güvenlik açıklarını bulmak ve tanımlamak için kullanılır. Bu tarama genellikle açık bağlantı noktalarını ve hizmetleri inceler ve taranan sistemlerin yapılandırma ayarlarına ve yama yönetimine ilişkin görünürlük sağlayabilir.
  • Kablosuz ağ değerlendirmesi: Kablosuz ağ altyapısındaki Wi-Fi ağlarını ve saldırı vektörlerini taramak için kullanılır. Şirketinizin ağının yetkisiz erişimi önleyecek şekilde güvenli bir şekilde yapılandırıldığını doğrulayabilir ve ayrıca hileli erişim noktalarını da tanımlayabilir.
  • Uygulama değerlendirmesi: Web uygulamalarındaki güvenlik açıklarının ve kaynak kodlarının, ön uçta otomatik güvenlik açığı tarama araçları kullanılarak veya kaynak kodun statik/dinamik analizi ile belirlenmesi.
  • Veritabanı değerlendirmesi: Veritabanlarının veya büyük veri sistemlerinin güvenlik açıkları ve yanlış yapılandırma açısından değerlendirilmesi, sahte veritabanlarının veya güvenli olmayan geliştirme/test ortamlarının belirlenmesi ve veri güvenliğini artırmak için hassas verilerin sınıflandırılması.

Güvenlik Zafiyet Değerlendirme Süreci Nasıldır?

Güvenlik açığı süreci beş adımdan oluşur:

  1. Güvenlik açığı tanımlama: Bir siber saldırının bir güvenlik açığından yararlanabileceğini düşündüren anormallikleri bulmak için ağ taramalarını, sızma testi sonuçlarını, güvenlik duvarı günlüklerini ve güvenlik açığı tarama sonuçlarını analiz etme.
  2. Güvenlik açığı analizi: Tanımlanan güvenlik açığından yararlanılıp yararlanılamayacağına karar verin ve güvenlik riskinin düzeyini anlamak için açıktan yararlanmanın önem derecesini sınıflandırın.
  3. Risk değerlendirmesi: Solucanlanabilirliklerine ve diğer risklerine bağlı olarak ilk olarak hangi güvenlik açıklarının azaltılacağını veya düzeltileceğini değerlendirin.
  4. Düzeltme: Mümkünse etkilenen yazılımı veya donanımı güncelleyin.
  5. Azaltma: Karşı önlemlere ve bir yamanın mevcut olmaması durumunda bunların etkinliğinin nasıl ölçüleceğine karar verin.

Güvenlik açığı değerlendirme süreci, güvenlik açığı yönetimi ve BT risk yönetimi yaşam döngülerinin kritik bir bileşenidir ve etkili olması için düzenli olarak yapılması gerekir.

Daha fazla bilgi için güvenlik açığı yönetimi kılavuzumuza bakın.

1. Güvenlik Açığı Tanımlaması

Güvenlik açığı tanımlaması, BT altyapınızdaki güvenlik açıklarını keşfetme ve tam bir liste oluşturma sürecidir.

Bu genellikle otomatik güvenlik açığı taraması ve manuel sızma testinin bir kombinasyonu yoluyla elde edilir.

Bir güvenlik açığı tarayıcısı, bilgisayarları, ağları veya web uygulamalarını Ortak Güvenlik Açıkları ve Etkilenmeler'de (CVE) listelenenler gibi bilinen güvenlik açıkları açısından değerlendirebilir.

Güvenlik açığı testi, kimliği doğrulanmış veya doğrulanmamış taramalar aracılığıyla çalıştırılabilir:

  • Kimliği doğrulanmış taramalar: Güvenlik açığı tarayıcılarının uzaktan yönetim protokollerini kullanarak ağ kaynaklarına erişmesine ve sağlanan sistem kimlik bilgilerini kullanarak kimlik doğrulaması yapmasına izin verin. Kimliği doğrulanmış taramaların avantajı, belirli hizmetler, yapılandırma ayrıntıları ve işletim sistemleri, yüklü yazılımlar, yapılandırma sorunları, erişim kontrolü, güvenlik kontrolleri ve yama yönetimi hakkında doğru bilgiler gibi düşük seviyeli verilere erişim sağlamalarıdır.
  • Kimliği doğrulanmamış taramalar: Ağa bağlı kaynaklara erişim sağlamayın, bu da yanlış pozitiflere ve işletim sistemleri ve yüklü yazılımlar hakkında güvenilmez bilgilere neden olabilir. Bu tür bir tarama genellikle siber saldırganlar ve BT güvenlik analistleri tarafından dışarıdan bakan varlıkların, üçüncü taraf satıcıların güvenlik duruşunu denemek ve belirlemek ve olası veri sızıntılarını bulmak için kullanılır.

Güvenlik açığı bulunan üçüncü taraf yazılımları nasıl belirleyeceğinizi öğrenin >

Herhangi bir güvenlik testi gibi, güvenlik açığı taraması da mükemmel değildir, bu nedenle sızma testi gibi diğer teknikler kullanılır. Sızma testi, istismar edilebilir güvenlik açıklarını bulmak için bir bilgi teknolojisi varlığını test etme uygulamasıdır ve yazılımla otomatikleştirilebilir veya manuel olarak gerçekleştirilebilir.

İster otomatik olarak çalıştırılsın, ister bir güvenlik ekibi tarafından manuel olarak gerçekleştirilsin, kalem testi, güvenlik açığı tarama araçları tarafından gözden kaçırılan güvenlik kusurlarını ve olası saldırı vektörlerini bulabilir. Ayrıca, şirket içi güvenlik kontrollerini, bilgi güvenliği politikalarına bağlılığı, çalışanların kimlik avı veya hedef odaklı kimlik avı gibi sosyal mühendislik saldırılarına karşı duyarlılığını test etmek ve olay müdahale planlarını test etmek için de kullanılabilir.

2. Güvenlik Açığı Analizi

Güvenlik açıkları belirlendikten sonra, her bir güvenlik açığından hangi bileşenlerin sorumlu olduğunu ve güvenlik zayıflıklarının temel nedenini belirlemeniz gerekir. Örneğin, güvenlik açığının kök nedeni, açık kaynaklı bir kitaplığın eski bir sürümü olabilir.

Bu durumda, kitaplığı yükseltmeye ve düzeltmeye giden açık bir yol vardır. Bununla birlikte, her zaman basit bir çözüm yoktur, bu nedenle kuruluşların genellikle her bir güvenlik açığını, güvenlik açığının ciddiyetini sınıflandıran, olası çözümleri tanımlayan ve kuruluşun risk yönetimi stratejisine dayalı olarak belirlenen riski kabul etmeye, düzeltmeye veya azaltmaya karar veren bir güvenlik değerlendirme sürecinden geçirmesi gerekir.

3. Risk Değerlendirmesi

Bu adımın amacı, güvenlik açıklarına öncelik vermektir. Bu genellikle, her bir güvenlik açığına bir derece veya önem derecesi atayan bir güvenlik açığı değerlendirme aracı kullanmayı içerir.

Örneğin, bir saldırı yüzeyi yönetim aracı olan UpGuard BreachSight, güvenlik açığının temel özelliklerine ve önem derecesine göre 0 ile 10 arasında sayısal bir puan atamak için Ortak Güvenlik Açığı Puanlama Sistemi (CVSS) puanlarını kullanır.

Bununla birlikte, herhangi bir iyi güvenlik açığı değerlendirme raporu, aşağıdakiler gibi ek faktörleri dikkate alacaktır:

  • Hangi sistem etkilenir?
  • Sistemde hangi hassas veriler saklanır, örneğin kişisel olarak tanımlanabilir bilgiler (PII) veya korunan sağlık bilgileri (PHI)
  • Hangi iş fonksiyonları sisteme güvenir?
  • Saldırı veya uzlaşma kolaylığı
  • Başarılı bir açıktan yararlanmanın iş üzerindeki etkisi
  • Güvenlik açığına İnternet'ten erişilip erişilemediği veya fiziksel erişim gerektirip gerektirmediği
  • Güvenlik açığının ne kadar eski olduğu
  • CCPA, FISMA, GLBA, PIPEDA, LGPD, 23 NYCRR 500, FIPA, PCI DSS, HIPAA veya SHIELD Yasası gibi kuruluşunuzun sahip olduğu herhangi bir düzenleyici gereklilik
  • Sektörünüzdeki bir veri ihlalinin maliyeti

BT siber güvenlik risk değerlendirmesinin nasıl yapılacağına ilişkin kılavuzumuzu okuyun >

4. Düzeltme

Güvenlik açığı düzeltmesi, risk değerlendirme sürecinde kabul edilemez olarak kabul edilen güvenlik sorunlarının düzeltilmesini içerir. Bu genellikle geliştirme, operasyonlar, uyumluluk, risk yönetimi ve her bir güvenlik açığını düzeltmek için uygun maliyetli bir yola karar veren güvenlik ekipleri arasında ortak bir çabadır.

Birçok güvenlik açığı yönetim sistemi, yaygın güvenlik açıkları için, kullanıma hazır güvenlik yamalarını yüklemek kadar basit veya donanımı değiştirmek kadar karmaşık olabilen önerilen düzeltme teknikleri sağlayacaktır.

Belirli düzeltme adımları güvenlik açığına göre değişir, ancak genellikle şunları içerir:

  • Operasyonel prosedürlerin güncellenmesi
  • Sağlam bir konfigürasyon yönetimi süreci geliştirme
  • Yama yazılımı

5. Azaltma

>

Her güvenlik açığı düzeltilemez, bu da azaltmanın devreye girdiği yerdir. Azaltma, bir güvenlik açığından yararlanma olasılığını azaltmaya veya açıktan yararlanmanın etkisini azaltmaya odaklanır.

Belirli azaltma adımları, risk toleransınıza ve bütçenize bağlı olarak büyük ölçüde değişecektir, ancak genellikle şunları içerir:

  • Yeni güvenlik denetimleriyle tanışın
  • Donanım veya yazılımı değiştirme
  • Şifreleme
  • Satıcı risk yönetimi
  • Saldırı yüzeyi yönetimi
  • Sürekli güvenlik izleme

Güvenlik açığı değerlendirmesi ile hangi potansiyel tehditler önlenebilir?

Güvenlik açığı değerlendirmesi ile önlenebilecek siber saldırılara örnek olarak şunlar verilebilir:

  • Ayrıcalık yükseltme saldırıları: Ayrıcalık yükseltme, genellikle uygulama veya kullanıcı tarafından kısıtlanan kaynaklara yetkisiz erişim elde etmek için bir işletim sistemindeki veya uygulamadaki bir programlama hatasının, güvenlik açığının, tasarım kusurunun, yapılandırma gözetiminin veya erişim kontrolünün kullanılmasıdır. Ayrıcalık yükseltme hakkında daha fazla bilgiye buradan ulaşabilirsiniz.
  • SQL enjeksiyonları: SQL enjeksiyon saldırıları, geçersiz kılınan veya güvenilmeyen veriler, bir web uygulamasındaki form girişi veya başka bir veri gönderme alanı aracılığıyla bir kod yorumlayıcısına gönderildiğinde gerçekleşir. Başarılı enjeksiyon saldırıları veri sızıntılarına, veri bozulmasına, veri ihlallerine, hesap verebilirlik kaybına ve erişim reddine neden olabilir.
  • XSS saldırıları: Siteler arası komut dosyası çalıştırma (XSS), genellikle web uygulamalarında bulunan bir tür güvenlik açığıdır. XSS, saldırganların diğer kullanıcılar tarafından görüntülenen web sayfalarına istemci tarafı komut dosyaları enjekte etmesine olanak tanır ve aynı kaynak ilkesi gibi erişim kontrolünü atlamak için kullanılabilir. XSS'nin etkisi, savunmasız web sitesi tarafından işlenen verilerin hassasiyetine ve uygulanan herhangi bir azaltmanın niteliğine bağlı olarak küçük bir rahatsızlıktan önemli siber güvenlik riskine kadar değişebilir. Siteler arası komut dosyası çalıştırma hakkında daha fazla bilgiyi burada bulabilirsiniz.
  • Güvenli olmayan varsayılanlar: Yazılım ve donanımın, işe alımı kolaylaştırmak için kolayca tahmin edilebilir parolalar gibi güvenli olmayan ayarlarla birlikte gönderilmesi yaygın bir durumdur. Bu, kullanılabilirlik açısından iyi olsa da, birçok kişi bu varsayılan yapılandırmaları olduğu gibi bırakır ve bu da onları açıkta bırakabilir.

Güvenlik Açığı Değerlendirme Araçlarının Farklı Türleri Nelerdir?

Güvenlik açığı değerlendirme araçları, BT altyapınızdaki yeni ve mevcut tehditleri otomatik olarak taramak için tasarlanmıştır. Araç türleri şunları içerir:

  • Saldırı yüzeyinin haritasını çıkaran ve bilinen saldırı vektörlerini simüle eden web uygulaması tarayıcıları
  • Güvenlik açığı bulunan protokolleri, bağlantı noktalarını ve diğer hizmetleri arayan protokol tarayıcıları
  • Ağları görselleştirmeye ve başıboş IP adresleri, sahte paketler ve şüpheli paket oluşturma gibi ağ güvenlik açıklarını keşfetmeye yardımcı olan ağ tarayıcıları

Tüm altyapının düzenli, otomatik taramalarını zamanlamak ve sonuçları devam eden güvenlik açığı değerlendirme sürecinizin bir parçası olarak kullanmak en iyi uygulamadır.

UpGuard BreachSight, saldırı yüzeyinizi güvenlik açıklarına karşı günlük olarak otomatik olarak tarar.

Güvenlik açığı değerlendirmesi ile sızma testi arasındaki fark nedir?

Yukarıda belirtildiği gibi, bir güvenlik açığı değerlendirmesi genellikle otomatik tarama tarafından tespit edilemeyebilecek güvenlik açıklarını belirlemek için sızma testini içerir. Bu süreç genellikle güvenlik açığı değerlendirmesi/sızma testi (VAPT) olarak adlandırılır.

Bununla birlikte, sızma testi tek başına tam bir güvenlik açığı değerlendirmesi için yeterli değildir. Güvenlik açığı değerlendirmesi, güvenlik açıklarını ortaya çıkarmayı ve belirlenen riski azaltmak veya ortadan kaldırmak için uygun azaltma veya düzeltme adımlarını önermeyi amaçlar.

Buna karşılık, sızma testi, güvenlik açıklarını belirlemeyi ve bunları bir sisteme saldırmak, veri ihlaline neden olmak veya hassas verileri açığa çıkarmak için kullanmaya çalışmayı içerir. Bu, bir güvenlik açığı değerlendirmesinin bir parçası olarak gerçekleştirilebilse de, sızma testinin birincil amacı, istismar edilebilir bir güvenlik açığının olup olmadığını kontrol etmektir.

Daha fazla bilgi için sızma testi hakkındaki yazımızın tamamını okuyun.

Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar ve NASA gibi şirketler, verilerini korumak, veri ihlallerini önlemek ve güvenlik operasyonlarını değerlendirmek için UpGuard'ın güvenlik derecelendirmelerini kullanıyor.

UpGuard BreachSight, bilgi güvenliği kontrollerinizin değerlendirilmesi için kuruluşunuzu basit, anlaşılması kolay bir siber güvenlik derecelendirmesi sağlayan 70+ güvenlik kontrolü için izleyebilir ve S3 klasörleri, Rsync sunucuları, GitHub depoları ve daha fazlasında sızan kimlik bilgilerini ve veri açıklarını otomatik olarak algılayabilir.

UpGuard BreachSight'ın Güvenlik Açıkları modülü, BT altyapınızda çalışan yazılımda yararlanılabilecek yayınlanmış güvenlik açıklarını listeler. Bu güvenlik açıkları, HTTP başlıklarında ve web sitesi içeriğinde ortaya çıkan bilgiler aracılığıyla otomatik olarak tanımlanır.

Tanımlanan her güvenlik açığına, bir güvenlik açığının temel özelliklerini yakalamak için geliştirilen ve önem derecesini yansıtan 0 ile 10 arasında sayısal bir puan üreten yayınlanmış bir standart olan CVSS verilir.

UpGuard Satıcı Riski, satıcı anketlerini otomatikleştirerek ve satıcı anket şablonları sağlayarak kuruluşunuzun ilgili ve üçüncü taraf bilgi güvenliği kontrollerini değerlendirmek için harcadığı süreyi en aza indirebilir.

Uzmanlığımız The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters ve TechCrunch gibi dergilerde yer aldı.

Müşterilerimizin neler söylediği hakkında daha fazla bilgiyi Gartner incelemelerinde okuyabilirsiniz.