Sıfır Gün (Zero-Day) Açığı Nedir? Nasıl Korunulur?

Hızlı cevap: Sıfır gün (zero-day) açığı, bir yazılımdaki, henüz üreticinin bile bilmediği ve dolayısıyla yaması olmayan bir güvenlik açığıdır. Adı buradan gelir: üreticinin açığı düzeltmek için sıfır günü vardır, çünkü açık zaten sömürülmektedir. Bir saldırgan bu açığı üreticiden önce keşfederse, savunma tarafı tamamen korumasızdır; imza yok, yama yok. Bu yüzden sıfır gün açıkları en değerli ve en tehlikeli saldırı araçlarıdır; devlet destekli gruplar ve gelişmiş saldırganlar bunları hedefli operasyonlarda kullanır. Kritik gerçek şudur: sıfır güne karşı tek bir sihirli koruma yoktur, çünkü tanımı gereği bilinmezdir; savunma derinlemesine olmalıdır: en az yetki, segmentasyon, davranış izleme ve hızlı yama disiplini birlikte, bilinmeyen bir açığın etkisini sınırlar.

Güvenlik dünyasında en korkulan iki kelime "sıfır gün"dür. Çünkü tüm savunma araçları bilineni yakalamaya göre kuruludur; sıfır gün ise tanımı gereği bilinmeyendir. Ama umutsuz değildir: doğru mimari, bilinmeyen bir açık kullanılsa bile saldırganın ne kadar ilerleyebileceğini sınırlar. Bu rehber, sıfır gün açıklarını ve onlara karşı gerçekçi savunmayı dünya standardında bir netlikle anlatır.

Sıfır gün: açıklık penceresi

Grafiğin gösterdiği kırmızı bölge "açıklık penceresi"dir: açığın var olduğu ama henüz yamanın olmadığı süre. Sıfır gün açığında bu pencere, saldırgan açığı bulduğu andan üreticinin yama çıkardığı ana kadar sürer ve bu sürede savunan korumasızdır.

Sıfır gün ile bilinen açık farkı

Yön	Bilinen açık (CVE)	Sıfır gün
Üretici biliyor mu	Evet	Hayır
Yama var mı	Var	Yok
İmza/tespit	Mümkün	Yok
Savunma	Yama uygula	Derinlemesine savunma
Kim kullanır	Herkes	Gelişmiş, hedefli saldırgan

Sıfır güne karşı gerçekçi savunma

Sıfır günü "engellemek" imkânsızdır çünkü bilinmez; ama etkisini sınırlamak mümkündür:

• En az yetki. Bir açık sömürülse bile saldırganın ulaşabileceği alan dar kalır.
• Ağ segmentasyonu. Yanal hareketi kısıtlar; sıfır gün tek bölgede sıkışır.
• Davranış izleme. İmza olmasa da anormal davranış (tehdit avcılığı ve EDR ile) yakalanabilir.
• Hızlı yama disiplini. Üretici yamayı çıkardığı an uygulamak, açıklık penceresini kapatır.
• Saldırı yüzeyini küçültme. Kullanılmayan servis ve özellikler kapatılırsa, sıfır günün vurabileceği yer azalır.

Bu katmanlı yaklaşım, NIST CSF ve sıfır güven ile örtüşür.

Sıfır gün olayında ne yapmalı

1. Tehdit istihbaratını izleyin. Aktif sömürülen sıfır günler duyurulur; hemen haberdar olun.
2. Geçici azaltma uygulayın. Yama yoksa; etkilenen servisi kapatın, WAF sanal yaması yazın, erişimi kısıtlayın.
3. Yamayı çıktığı an uygulayın. Açıklık penceresini kapatmak en önceliklidir.
4. İz arayın. Zaten sömürülmüş olabilir misiniz? Geriye dönük olay müdahalesi yapın.

Sık sorulan sorular

Sıfır güne karşı korunmak mümkün mü? Tam engellemek imkânsızdır ama etkisini büyük ölçüde sınırlamak mümkündür. En az yetki, segmentasyon ve davranış izleme, bilinmeyen bir açık kullanılsa bile hasarı küçültür.

Antivirüs sıfır günü yakalar mı? Klasik imza tabanlı antivirüs genelde yakalayamaz çünkü imza yoktur. Davranış tabanlı EDR bazı sıfır günleri anormal davranışından tespit edebilir.

Sıfır gün ne kadar sürer? Açığın bulunmasından yama çıkana kadar; günlerden aylara değişir. Bazı sıfır günler yıllarca fark edilmeden sömürülmüştür.

Küçük kurum sıfır günün hedefi olur mu? Hedefli sıfır günler genelde büyük/değerli hedeflere yöneliktir, ama bir sıfır gün yaygınlaşınca herkesi etkiler. Derinlemesine savunma her boyutta değerlidir.

Kaynaklar

• CISA, Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• MITRE CVE: https://cve.mitre.org
• NIST National Vulnerability Database: https://nvd.nist.gov
• ENISA, Vulnerability Disclosure: https://www.enisa.europa.eu

Kurumunuzun sıfır güne dayanıklılığını (segmentasyon, en az yetki, hızlı yama, davranış izleme) değerlendirmek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan siber güvenlik, sızma testi ve olay müdahale hizmeti veriyoruz.