Hızlı cevap: Yama yönetimi (patch management), yazılım ve sistemlerdeki güvenlik açıklarını kapatan güncellemelerin düzenli, önceliklendirilmiş ve kontrollü biçimde uygulanması sürecidir. Önemi büyüktür çünkü saldırıların önemli bir kısmı, üreticinin çoktan yama yayınladığı ama kurumun uygulamadığı bilinen açıklardan gelir; yani kapatılabilecek bir kapı açık bırakılır. İyi bir süreç şu adımları içerir: varlık envanteri (neyin çalıştığını bilmek), yeni yamaların ve açıkların izlenmesi, risk ve kritikliğe göre önceliklendirme, önce test sonra yayma, ve uygulamanın doğrulanması. En sık yapılan hatalar, envanter tutmamak (görünmeyen sistem yamalanamaz), kritik yamaları geciktirmek ve yamayı uyguladıktan sonra gerçekten kapandığını doğrulamamaktır. Otomatik güncelleme, çoğu KOBİ için en pratik başlangıçtır.

Bir güvenlik açığı duyurulduğunda saat işlemeye başlar: üretici bir yama yayınlar, ama saldırganlar da o açığı öğrenir ve henüz yamalamamış kurumları taramaya başlar. En yıkıcı ihlallerin önemli bir kısmı, sıfır-gün açıklarından değil, aylar önce yaması çıkmış ama uygulanmamış bilinen açıklardan gelir. Yama yönetimi, tam da bu yarışı kazanmanın yoludur. Bu yazı, yama yönetiminin ne olduğunu, neden ihmal edildiğini ve nasıl doğru kurulacağını anlatıyor.

Neden bu kadar önemli

Saldırganların çoğu sıfırdan yeni bir açık bulmaz; zaten bilinen, kamuya açıklanmış açıkları tarar ve yamalamamış hedefleri bulur. Bir açık duyurulduğunda ve yaması çıktığında, o açık artık herkesçe bilinir; saldırgan için iş, sadece hâlâ yamalamamış birini bulmaktır. Bu yüzden yamayı geciktirmek, bir saldırgana zaman armağan etmektir. Fidye yazılımının en yaygın giriş yollarından biri de tam olarak budur; fidye yazılımı ilk 24 saat yazısında bunu ele aldık.

Sürecin adımları

Yama yönetimi tek bir düğmeye basmak değil, düzenli bir süreçtir.

Adım Ne yapılır
Varlık envanteri Hangi sistem/yazılım çalışıyor, sürümleri ne
İzleme Yeni yamalar ve açıklar takip edilir
Önceliklendirme Risk ve kritikliğe göre sıralama
Test Yama önce bir test ortamında denenir
Yayma Onaylanan yama kademeli uygulanır
Doğrulama Yamanın gerçekten uygulandığı teyit edilir

Envanter: göremediğinizi yamalayamazsınız

Yama yönetiminin en çok atlanan ve en kritik adımı, varlık envanteridir. Bir kurum, ağında hangi sistemlerin, hangi yazılımların, hangi sürümlerin çalıştığını bilmiyorsa, hangilerinin açık olduğunu da bilemez. Unutulmuş bir test sunucusu, eski bir cihaz ya da envanter dışı bir uygulama, tam da saldırganın bulup kurumun haberi olmadığı kapı olur. Bu yüzden yama yönetimi bir dış yüzey görünürlüğüyle başlar; bu görünürlüğü OSINT ve keşif yazısında saldırgan gözünden ele aldık.

Önceliklendirme: her yama acil değil

Her yamayı aynı aciliyetle uygulamak ne mümkün ne de gereklidir. Doğru yaklaşım, riske göre önceliklendirmektir: internete açık, kritik bir sistemi etkileyen ve aktif olarak sömürülen bir açık, hemen; iç ağdaki düşük riskli bir açık, planlı bakımda. Bu önceliklendirme, bir açığın gerçekten sömürülebilir olup olmadığının doğrulanmasıyla güçlenir; bir tarayıcının "kritik" dediği her şey o ortamda gerçekten kritik olmayabilir. Bu ayrımı zafiyet taraması ve sızma testi farkı yazısında ele aldık.

Doğrulama: yamaladım demek yetmez

Yama yönetiminin en çok ihmal edilen son adımı, uygulamanın doğrulanmasıdır. Bir yamayı "uyguladık" olarak işaretlemek kolaydır; gerçekten uygulandığını ve açığı kapattığını teyit etmek başka bir şeydir. Yama yanlış sisteme uygulanmış, bir yeniden başlatma beklediği için etkin olmamış ya da kısmen başarısız olmuş olabilir. Bu yüzden kritik yamalarda, açığın gerçekten kapandığını bir kontrolle doğrulamak gerekir. Otomatik güncelleme, çoğu KOBİ için bu süreci basitleştiren en pratik başlangıçtır; KOBİ 10 adım siber güvenlik yazısında bunu temel adımlardan biri olarak ele aldık.

KAOS ve DSET yaklaşımı

DSET, kurumların yama yönetimini ve yamalanmamış açıkları görünür kılmasına yardım eder. Yerel yapay zekâ motorumuz KAOS, bir kurumun dış yüzeyini tarayarak internete açık, güncel olmayan ve bilinen açıkları barındıran sistemleri tespit eder ve her bulguyu çalışan bir kanıtla, yanlış pozitif olmadan raporlar. Amaç, üreticinin çoktan kapattığı bir açığın bir saldırgana kapı açmadan, sizin de kapatmanızı sağlamaktır.

Sık sorulan sorular

Her yamayı hemen uygulamak zorunda mıyım? Hayır, ama kritik olanları geciktirmemelisiniz. Doğru yaklaşım riske göre önceliklendirmektir: internete açık, kritik ve aktif sömürülen bir açık hemen kapatılmalı; iç ağdaki düşük riskli bir açık planlı bakımda ele alınabilir. Her yamayı test etmeden acele uygulamak da riskli olabilir; bu yüzden kritik yamaları hızlı ama kontrollü (önce test, sonra yay) uygulamak en sağlıklı yoldur.

Otomatik güncelleme yeterli mi? Çoğu KOBİ ve bireysel kullanıcı için otomatik güncelleme en pratik ve en etkili başlangıçtır; bilinen açıkların büyük bölümünü hiç uğraşmadan kapatır. Ancak büyük ve karmaşık kurumsal ortamlarda, bir yamanın kritik bir sistemi bozmadığından emin olmak için test aşaması gerekir. Bu durumda otomatik güncelleme, uç kullanıcı cihazlarında açık, kritik sunucularda kontrollü süreçle birlikte kullanılır.

Yamaladığımı nasıl doğrularım? Bir yamayı uyguladıktan sonra, açığın gerçekten kapandığını bir kontrolle teyit edin; sadece "uygulandı" işaretine güvenmeyin. Yama yanlış ortama gitmiş, bir yeniden başlatma beklediği için etkin olmamış ya da kısmen başarısız olmuş olabilir. Kritik sistemlerde, düzenli bir dış yüzey taraması ya da doğrulama testi, hangi açıkların gerçekten kapandığını ve hangilerinin hâlâ açık olduğunu gösterir.

Kaynaklar

Kurumunuzun yama yönetimini ve yamalanmamış açıklarını değerlendirmek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan güvenlik danışmanlığı sağlıyoruz.