Hızlı cevap

SBOM yazılım bileşenlerini görünür kılan bir envanterdir. VEX belirli bir zafiyetin belirli bir ürün bağlamındaki etkilenme durumunu açıklayan bir değerlendirmedir. İkisi birlikte kullanılabilir. Ancak doğru ürüne ve çalışan sürüme bağlanamayan bir belge bulguyu kapatmak için yeterli kanıt değildir.

Pratik soru şu olmalıdır: Bu bileşen gerçekten bizdeki sürümde var mı? İlgili zafiyet bu kullanımda geçerli mi? Kararın dayanağı kim tarafından ne zaman üretildi? Koşullar değişirse kararı kim yeniden açacak? Bu rehber bu soruları satın alma ve zafiyet yönetimi ekiplerinin birlikte kullanabileceği bir karar tablosuna dönüştürür.

Envanter ile güvenlik kararı arasındaki fark

Bir ürünün SBOM dosyasında yüzlerce bağımlılık bulunabilir. Tarayıcı bu listedeki bir paketle bir zafiyet kaydını eşleştirebilir. Bu eşleşme inceleme başlangıcıdır. Paket adının benzemesi tek başına aynı bileşeni veya etkilenen sürümü kanıtlamaz. Bir sürüm aralığının eşleşmesi de kurumun iş etkisini tek başına açıklamaz.

CycloneDX SBOM açıklaması bileşen envanterinin kapsamını gösterir. CycloneDX VEX açıklaması ise değerlendirmeyi ürünün kullanım bağlamıyla ilişkilendirir. DSET'in aşağıdaki tablosu bu ayrımı bir inceleme akışına dönüştüren özgün bir çalışma şablonudur. Resmî bir sertifikasyon kontrol listesi değildir.

Önce çalışan ürüne bağlayın

Tedarikçiden yalnızca ürün ailesinin adını almak yeterli değildir. Dağıtılan sürümü ve mümkünse paket ya da imaj özetini kaydedin. SBOM'un hangi derlemeye ait olduğunu belirleyin. Doğrudan bağımlılık ile başka bir paket üzerinden gelen bağımlılığı ayırın. Bileşen kimliği ve sürüm bilgisi eksikse bu belirsizliği açık bırakın.

Bir test ortamında üretilen SBOM üretime alınan imajdan farklı olabilir. Derleme sonrasında eklenen eklenti listede bulunmayabilir. Kurumun yerel yapılandırması tedarikçinin incelediği koşullarla aynı olmayabilir. Bu nedenle belge kabulü yalnızca dosyanın şema doğrulamasından geçmesine indirgenmemelidir. Şema geçerliliği ile envanterin doğruluğu ayrı kontrollerdir.

İlk kayda ürün sahibi ve inceleme tarihi ekleyin. Kanıt bağlantısının sonradan değişebileceğini düşünerek kurumun saklama kurallarına uygun bir belge kopyası veya bütünlük özeti tutun. İmza varsa doğrulama sonucunu ve güvenilen imzalayanı kaydedin. İmzanın bulunması teknik değerlendirmenin doğru olduğunu kendiliğinden kanıtlamaz.

Sekiz adımda karar tablosu

Bu tablo tek bir bulgunun incelenmesi içindir. Her bulgu için ayrı kopya açılabilir. Kanıt bulunmadığında olumlu varsayım yerine açık soru kaydedilmelidir.

No İnceleme sorusu İstenen kanıt Karara etkisi
1 Belge çalışan sürümle eşleşiyor mu? Ürün sürümü ve dağıtım özeti Eşleşme yoksa kapsam doğrulanmaz
2 Bileşen gerçekten mevcut mu? Bileşen kimliği ve bağımlılık yolu Yanlış eşleşme gerekçesi kaydedilir
3 Zafiyet kaydı doğru mu? Zafiyet kimliği ve etkilenen sürüm aralığı İsim benzerliğiyle karar verilmez
4 VEX hangi koşulları kapsıyor? Yayıncı ve ürün kapsamı ve teknik gerekçe Koşul farkı varsa yeniden değerlendirilir
5 Kurumda erişilebilirlik ve etki nedir? Varlık sahibi ve erişim yolu ve iş etkisi Yerel öncelik belirlenir
6 Güncel tehdit bilgisi ne söylüyor? Tarihli KEV kontrolü ve EPSS kaydı Saldırı kanıtı ve olasılık ayrı değerlendirilir
7 Seçilen işlem doğrulanabilir mi? Yama ya da geçici kontrol planı ve kabul testi Sorumlu ve hedef tarih atanır
8 Karar ne zaman yeniden açılacak? Sürüm değişimi veya yeni kanıt tetikleyicisi Süresiz istisna oluşması önlenir

SBOM ve VEX karar tablosunu indir. Şablonda sorumlu ve sonuç ve gözlem alanlarını kurumunuzun bulgu kaydıyla ilişkilendirebilirsiniz.

VEX durumunu kalıcı muafiyete çevirmeyin

VEX değerlendirmelerinde etkileniyor ve etkilenmiyor ile düzeltildi ve inceleme sürüyor gibi durumlarla karşılaşılır. Bunlar burada kavramsal karşılıklarıyla verilmiştir. Alan adları ve izin verilen değerler kullanılan biçime göre değişebilir. CycloneDX ve CSAF veya OpenVEX belgelerinin aynı alan isimlerini kullandığını varsaymayın.

Etkilenmiyor sonucu görüldüğünde teknik gerekçeyi ve kapsamını okuyun. Örneğin ilgili bileşenin üründe bulunmaması ile savunmasız işlevin erişilememesi aynı gerekçe değildir. İkinci durum yapılandırma veya çağrı yolu değişince yeniden incelenebilir. Sonucu bütün ürün ailesine veya gelecek sürümlere taşımayın.

Düzeltildi ifadesinde düzeltmenin hangi sürüme ait olduğu önemlidir. Kurum hâlâ eski sürümü çalıştırıyorsa tedarikçinin yeni sürüm yayımlaması yerel bulguyu kapatmaz. İnceleme sürüyor sonucu ise güvenli anlamına gelmez. Belirsizlik için bir sorumlu ve takip zamanı atanmalıdır. Etkileniyor durumunda da uygulanacak çözüm ve doğrulama planı ayrıca gerekir.

CVSS ile EPSS ve KEV aynı soruyu yanıtlamaz

CVSS zafiyetin teknik şiddetini ortak bir çerçevede ifade eder. Kullanılan sürümü ve vektörü ve metrik grubunu kaydedin. Temel skor ile tehdit veya çevresel metrikleri içeren değerlendirmeyi birbirinin yerine kullanmayın. FIRST CVSS v4.0 kullanıcı rehberi bu ayrımları açıklar.

EPSS bir zafiyetin önümüzdeki 30 gün içinde gerçek dünyada istismar edilme olasılığına ilişkin tahmindir. Kurumunuzun saldırıya uğrama olasılığı değildir. Yüzdelik sıralama da olasılık değeriyle aynı değildir. Değeri tarih bilgisiyle kaydedin. FIRST EPSS sık sorulan sorular bu yorumlama sınırlarını açıklar.

KEV bilinen istismar kanıtı bulunan zafiyetleri izlemek için kullanılır. CISA KEV kataloğunda bulunması önemli bir tehdit sinyalidir. Listede bulunmaması zafiyetin güvenli olduğunu veya hiç kullanılmadığını göstermez. Katalog kaydını kurumun ürün ve erişilebilirlik bilgisiyle birlikte değerlendirin.

Bu değerleri gerekçesiz biçimde çarparak bilimsel görünen tek bir puan üretmeyin. İşlem kararı hangi kanıtla değiştiğini açıklayabilmelidir. Yerel erişim ve iş etkisi değerlendirmesi ulusal ya da küresel bir listeden otomatik olarak çıkmaz.

İki bulgu arasında seçim: kurgusal bir örnek

Bir ekip aynı gün iki kayıt alıyor. Birinci kaydın teknik şiddeti yüksek. Ancak tedarikçi değerlendirmesi başka bir sürüme ait ve kurumun sürümünde bileşenin varlığı henüz doğrulanmamış. İkinci kayıt üretimde kullanılan bileşenle doğrulanmış şekilde eşleşiyor. Etkilenen işlev dışarıdan erişilebilir ve bilinen istismar kanıtı bulunuyor.

Ekip ikinci kayıt için hızlı azaltım ve doğrulanmış yama planını öne alabilir. Birinci kaydı kapatmaz. Kapsam belirsizliğini giderecek kişiyi ve kısa inceleme süresini atar. Yeni kanıt ilk kaydın da acil olduğunu gösterirse sıra güncellenir. Buradaki tercih yalnızca en yüksek skoru sıralamaktan daha fazla bilgi kullanır.

Bu örnek gerçek bir müşteri olayı veya belirli bir CVE hakkında iddia değildir. Amaç belirsizliği saklamadan karar vermeyi göstermektir. Ekibin raporu öncelik sırasını ve nedenini aynı yerde tutmalıdır.

Tedarikçiden istenecek teslim paketi

Çalışan sürümle eşleşen SBOM ve onu üreten süreç hakkında kısa açıklama isteyin. İlgili bulgu için VEX değerlendirmesinin yayıncısını ve tarihini alın. Etkilenmiyor deniyorsa teknik gerekçeyi sorun. Düzeltildi deniyorsa düzeltme sürümünü ve geçiş yolunu isteyin. Yeni bilgi geldiğinde güncellemelerin nasıl iletileceğini belirleyin.

Kurum tarafında varlık sahibi ve uygulanan işlem kaydı bulunmalıdır. Yama sonrası yalnızca tarayıcının susmasıyla yetinmeyin. Hedef sürümün gerçekten dağıtıldığını ve temel işlevin çalıştığını doğrulayın. Geçici kontrol seçildiyse kontrolün etkinliğini ve yeniden inceleme koşulunu kaydedin. İstisna kaydı açık bir risk sahibi olmadan sonsuza kadar yaşamamalıdır.

Sık sorulan sorular

SBOM sunan ürün güvenli kabul edilir mi?

Hayır. SBOM görünürlük sağlar. Eksiksizliği ve çalışan sürümle eşleşmesi ayrıca incelenmelidir. Bir ürünün güvenlik garantisi veya test raporu yerine geçmez.

VEX etkilenmiyor diyorsa bulguyu kapatabilir miyiz?

Ürün sürümü ve kullanım koşulları eşleşiyorsa teknik gerekçe değerlendirilerek karar verilebilir. Kararı ve yeniden inceleme tetikleyicisini kaydedin. Belgeyi kapsamından geniş bir muafiyete dönüştürmeyin.

Düşük EPSS skoru yamayı ertelemek için yeterli mi?

Tek başına yeterli değildir. Bilinen istismar kanıtı ve dış erişim ve iş etkisi birlikte değerlendirilmelidir. Tahmin değeri tarihe bağlıdır ve kurumunuza özgü riskin tamamını ölçmez.

Her yeni sürümde bütün kararları yeniden mi incelemeliyiz?

Sürüm ve bağımlılık değişiminin önceki kararların kapsamını etkileyip etkilemediğini kontrol edin. Etkilenen kararları yeniden açın. Değişmeyen kararların geçerliliğini de belge ve kapsam eşleşmesiyle izlenebilir tutun.

DSET ile değerlendirme kapsamı

SBOM ve VEX incelemesini bir tedarikçi kabul çalışmasına veya zafiyet doğrulamasına bağlamak için DSET siber güvenlik hizmetleri üzerinden kapsam paylaşabilirsiniz. Ürün sürümleri ve belge örnekleri ile beklenen teslimleri birlikte tanımlamak ölçülebilir bir çalışma sağlar. Belirli bir sertifika veya tüm açıkların bulunması garantisi bu rehberin iddiası değildir.

Tamamlayıcı okumalar: CI/CD pipeline güvenliği ve tedarik zinciri ve üçüncü taraf risk yönetimi.

Editoryal kontrol: 11 Ekim 2026. Karar tablosu DSET tarafından bu rehber için hazırlanmıştır. Teknik tanımlar için metin içindeki birincil kaynaklar kullanılmıştır.