Hızlı cevap: CTEM (Sürekli Tehdit Maruziyeti Yönetimi, Continuous Threat Exposure Management), bir kurumun saldırıya açık noktalarını tek seferlik bir tarama olarak değil, sürekli işleyen bir program olarak yöneten bir yaklaşımdır. Gartner tarafından tanımlanan bu çerçeve beş aşamadan oluşur: kapsam belirleme, keşif, önceliklendirme, doğrulama ve harekete geçirme. Amaç, binlerce açık arasından gerçekten istismar edilebilir ve işe kritik olanlara odaklanmaktır.

CTEM neden ortaya çıktı?

Klasik zafiyet yönetiminin sorunu şudur. Bir tarama on binlerce bulgu üretir, ekip hepsini kapatamaz, en yüksek CVSS puanlıları kapatmaya çalışır ama bunların çoğu pratikte istismar edilmez. Sonuçta çok emek harcanır, gerçek risk açık kalır.

CTEM bu döngüyü kırar. Soruyu "kaç açığımız var" olmaktan çıkarıp "bir saldırgan bugün bize gerçekten nereden girer" haline getirir. Yani bulgu saymak yerine, istismar edilebilir ve iş açısından değerli varlıklara giden yolları önceliklendirir.

CTEM'in beş aşaması

Aşama Ne yapılır
Kapsam belirleme Hangi iş varlıkları ve saldırı yüzeyi programa dahil, iş önceliği ne
Keşif Varlıklar, zafiyetler, yanlış yapılandırmalar ve kimlik riskleri ortaya çıkarılır
Önceliklendirme İstismar edilebilirlik, iş etkisi ve saldırı yolu birlikte değerlendirilir
Doğrulama Bulgunun gerçekten istismar edilip edilemeyeceği test edilir (kanıt)
Harekete geçirme Bulgular düzeltme sürecine kanıtla ve sahiplenmeyle aktarılır

Bu beş aşama tek seferlik değildir. Sürekli tekrar eden bir döngü olarak işler, çünkü saldırı yüzeyi ve tehdit ortamı sürekli değişir.

CTEM ile klasik zafiyet taramasının farkı

Konu Klasik zafiyet taraması CTEM
Sıklık Periyodik, tek seferlik Sürekli program
Odak Bulgu sayısı, CVSS İstismar edilebilir gerçek yollar
Doğrulama Çoğunlukla yok Doğrulama merkezi bir aşama
Çıktı Uzun bulgu listesi Önceliklendirilmiş, iş odaklı aksiyon

Önemli nokta şudur. CTEM bir ürün değil, bir yaklaşımdır. Zafiyet tarama, saldırı yüzeyi yönetimi, ihlal ve saldırı simülasyonu ve sızma testi gibi araçları tek bir sürekli programda birleştirir.

Doğrulama neden CTEM'in kalbi?

CTEM'i klasik yaklaşımdan ayıran en kritik aşama doğrulamadır. Bir tarayıcının "açık" dediği her şey gerçekte istismar edilebilir değildir. Doğrulama, bir bulgunun gerçek bir saldırgan tarafından nasıl kullanılabileceğini kanıtlar. Bu, ekibin gerçekten önemli olana odaklanmasını sağlar ve boş alarmların yarattığı yorgunluğu azaltır. Kanıta dayalı önceliklendirme, CTEM'in en büyük değeridir.

KAOS ve DSET yaklaşımı

DSET, CTEM programını kurumun kendi saldırı yüzeyi ve iş öncelikleri üzerinden kurar. Geliştirdiğimiz KAOS güvenlik motoru tam da doğrulama aşamasında güçlüdür: bir bulgunun gerçekten istismar edilip edilemeyeceğini kanıta bağlar, yani tespiti doğrulamadan ayırır. Bizim için değer, uzun bir bulgu listesi çıkarmak değil, hangi üç yolun bugün kapatılması gerektiğini kanıtla göstermektir. Sürekli sızma testi hizmet modelimiz (PTaaS) bu döngünün bir parçasıdır.

Bağlantılı okumalar: saldırı yüzeyi yönetimi (ASM), PTaaS sürekli sızma testi, zafiyet taraması ve sızma testi farkı, ihlal ve saldırı simülasyonu (BAS), sızma testi raporu ve CVSS önceliklendirme, yama yönetimi.

Sık sorulan sorular

CTEM bir ürün mü, yoksa bir süreç mi? CTEM bir ürün değil, sürekli işleyen bir programdır. Zafiyet tarama, saldırı yüzeyi yönetimi, ihlal ve saldırı simülasyonu ve sızma testi gibi araçları tek bir döngüde birleştirir. Beş aşaması (kapsam, keşif, önceliklendirme, doğrulama, harekete geçirme) tekrar eden bir süreç olarak işler.

CTEM ile zafiyet yönetimi aynı şey mi? Hayır. Klasik zafiyet yönetimi periyodik tarama yapıp bulguları çoğunlukla CVSS puanına göre sıralar. CTEM ise süreklidir, doğrulama aşaması içerir ve bulguları istismar edilebilirlik ile iş etkisine göre önceliklendirir. Yani "kaç açık var" yerine "gerçekten nereden girilir" sorusuna odaklanır.

Küçük bir kurum CTEM'i nasıl uygular? İlk adım kapsamı iş önceliğine göre daraltmaktır, yani en kritik varlıklardan başlamak. Ardından keşif ve önceliklendirme, en önemlisi de doğrulama gelir. Tüm saldırı yüzeyini aynı anda kapsamaya çalışmak yerine, en değerli varlıklara giden istismar edilebilir yolları önce ele almak daha gerçekçidir.

Kaynaklar

Kurumunuz için kanıta dayalı bir CTEM programı kurmak ve gerçekten istismar edilebilir yolları önceliklendirmek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.