Merhaba
CISA’nın 2023 tarihli bir Linux çekirdeği açığını 2025 ortasında Bilinen İstismar Edilen Açıklar (Known Exploited Vulnerabilities – KEV) kataloğuna eklediğini gördüğümde aklıma tek bir şey geldi: saldırganlar ile savunmacılar arasındaki o çarpıcı asimetri. Bu, siber güvenliği bir disiplin olarak tanımlayan ve çoğu güvenlik programının hala görmezden geldiği temel dengesizliktir.
Birçok kurum, 2023’ten kalma bir açığın çoktan geride kaldığına inanıyor; yamalanmış, önemini yitirmiş ya da yol boyunca bir şekilde kendiliğinden düzelmiş olduğunu varsayıyoruz. Zamanın açıkları eskittiğini, birinin bir yerlerde her şeyi hallettiğini sanıyoruz. Oysa gerçek çok daha rahatsız edici.
Bir de şu inatçı efsane var: saldırganların yalnızca “gösterişli” ya da yeni açıkların peşinde koştuğu, manşetlere çıkan, zero-day içeren, ileri teknik beceri gerektiren türden. Gerçekte ise saldırganlar fırsatçıdır. İşe yarayan neyse onu kullanırlar; açığın yaşı, ne kadar “havalı” olduğu ya da ne zaman ifşa edildiği umurlarında değildir.
İşte siber güvenliğin kalbindeki o rahatsız edici gerçek burada yatıyor: Saldırganın işe yarayan tek bir istismara ihtiyacı vardır. Savunmacının ise her yerde, her zaman haklı olması gerekir. Bu asimetri her şeyi belirler.
Hareketsizlik Yanılsaması: Açıklar Yoktan Var Olduğunda
Yazılım açıklarının çalışma biçiminde neredeyse büyülü (ve derinden tedirgin edici) bir yan var. Şunu hayal edin: kusursuz biçimde yamalanmış bir Linux sunucunuz var. Onu kapatıyorsunuz. O anda bildiğiniz her açığa karşı korunuyor.
Altı ay sonra tekrar açıyorsunuz. Sistem güvenceye aldığınızla birebir aynı: aynı kod, aynı yapılandırma, aynı ikili dosyalar. Ama artık… tehlikeli biçimde açık durumda.
O aylar süren uyku boyunca bir yerlerde araştırmacılar yeni saldırı vektörleri, daha önce fark edilmemiş mantık hataları ve yazılımdaki gizli yan etkiler keşfetti. Siz hiçbir şeye dokunmadınız; ama dünyanın o sisteme dair bilgisi değişti.
İşte açığın paradoksu bu: ortaya çıkmak için bir güncellemeye ya da değişikliğe ihtiyaç duymaz. Açık eklenmez, açığa çıkarılır. Kod zaten kırılgandı; biz henüz bilmiyorduk.
Sanki zamanın kendisi risk üretiyor. Sistemi değiştirerek değil, onu nasıl istismar edeceğine dair dünyanın bilgisini genişleterek.
Siber güvenliği fiziksel güvenlikten bu denli farklı kılan da budur. Kilitli bir kapı, biri kırana kadar kilitli bir kapı olarak kalır. Ama siberde, dokunmadığınız bir kapı, koridorun öbür ucundaki biri yeni bir anahtar keşfettiği için tek başına savunmasız hale gelebilir.
Tam da bu yüzden statik envanterlere ya da “en son ne zaman yama uygulandı” listelerine güvenemeyiz. Dün açık olmayan bir şey, kod hiç değişmese bile bugün yüksek riskli bir maruziyet olabilir.
Daha Büyük Bir Hikayeyi Anlatan Zaman Çizelgesi
Bir açığın istismar edilme sürecini anlamak yalnızca teknik bir ayrıntı değil; siber suçlularla savunmacıların birbirinden çok farklı zihinsel modellerine açılan bir penceredir. CVE-2023-0386’nın yolculuğu bunu açıkça gösteriyor.
CVE-2023-0386’nın yaşam döngüsü: yukarı akış yamasından KEV listesine kadar geçen iki buçuk yıl.
27 Ocak 2023 – Açık, Linux kaynak ağacında yamalandı Teknik olarak sorun bu noktada çözüldü, ama yalnızca yukarı akış (upstream) çekirdek kodunda. Çoğu dağıtım ve son kullanıcı için bu yama teoride vardı, pratikte yoktu.
22 Mart 2023 – CVE, NIST tarafından kamuya ifşa edildi Bu noktada savunmacılar sorundan haberdar oldu. Ama farkındalık, eylem demek değildir. İstismar detayları ya da bir KEV (Known Exploited Vulnerabilities) işareti olmadan çoğu güvenlik ekibi bu açığı önceliklendirme listesinin altına atar.
4 Mayıs 2023 – Kavram kanıtı (PoC) istismarı GitHub’da belirdi Oyunun kurallarının değiştiği an. Kamuya açık bir istismar, silahlandırma için gereken teknik eşiği düşürür. Eskiden uzmanlık gerektiren şey, artık kopyala-yapıştır becerisine indirgenir. Ama yine de birçok kurum harekete geçmez.
17 Haziran 2025 – CISA, CVE-2023-0386’yı KEV kataloğuna ekledi Artık resmi: saldırganlar bu açığı vahşi doğada aktif olarak istismar ediyor. Bazı savunmacılar için bu, açığı ilk kez ciddiye aldıkları an. Siber suçlular içinse bu çoktan geride kalmış bir fırsattı.
Bu zaman çizelgesi yalnızca tarihlerle ilgili değil; saldırganların nasıl çalıştığını sandığımızla gerçekte nasıl çalıştıkları arasındaki uçurumla ilgili. Doğrusallık ve kapanış varsayımı üzerine kurulu (“yamaladık, artık güvendeyiz”) programlar gerçeği ıskalar: tehditlerin çoğu doğrusal değil, fırsatçı ve öngörülemez biçimde hareket eder.
İşte tam da bu yüzden CVSS puanlarına ya da takvim yaşına dayalı açık yönetimi kökten kusurludur. Mesele bir açığın ne kadar kritik göründüğü değil, gerçek dünyada ne kadar istismar edilebilir olduğudur.
Risk Temelli Açık Yönetimi (Risk-Based Vulnerability Management – RBVM) tam burada devreye girer: açıkları gerçek dünyadaki istismar edilebilirliğe, varlık maruziyetine ve iş bağlamına göre dinamik olarak önceliklendirerek. Bir düzeltmenin var olması, uygulandığı anlamına gelmez. Bir açığın kamuya açık olması, anlaşıldığı anlamına gelmez. Ve bir şeyin eski olması, tehlikeli olmadığı anlamına gelmez.
Her Açık Zaman Çizelgesi Aynı Değildir: Pwn2Own Alternatifi
Birçok açık kaotik ve öngörülemez bir yol izlerken (sessiz istismardan geç kalmış yamalamaya kadar), bu sürecin nasıl olması gerektiğini gösteren alternatif zaman çizelgeleri de vardır.
Pwn2Own bunun en iyi örneği.
Pwn2Own / ZDI sorumlu ifşa akışı: net aşamalar, tanımlı devir teslimler ve gömülü koruma mekanizmaları.
Fırsatçı saldırıların ve gecikmeli yama döngülerinin aksine, Pwn2Own zaman çizelgesi kontrollü, şeffaf ve sorumlu bir süreçtir, tüm ekosisteme fayda sağlar:
- Bir araştırmacı, yaygın kullanılan bir platform ya da yazılımda yeni bir açık keşfeder.
- Bir istismar geliştirir ve Pwn2Own etkinliğinde canlı olarak gösterir.
- Bunu kötü amaçlı kullanmak yerine, tarafsız bir aracı olarak hareket eden ZDI’ya (Zero Day Initiative) bildirir.
- İlgili üretici derhal bilgilendirilir; resmi ifşa ve yama süreci tetiklenir.
- Üretici bir düzeltme yayınlamadan önce bile müşterileri korumak için Trend Micro korumaları üzerinden bir sanal yama sunulur.
- Araştırmacı nakit ödülle ödüllendirilir; bu da etik keşfi ve sorumlu ifşayı pekiştirir.
- Üretici resmi yamayı geliştirdiğinde kullanıcılar bunu uygulayarak, gerçek dünyada herhangi bir istismar yaşanmadan döngüyü kapatır.
Bunu daha önce incelediğimiz tipik istismar yaşam döngüsüyle karşılaştırın: yamalar gecikir ya da göz ardı edilir, istismarlar GitHub’da yüzeye çıkar, istismar vahşi doğada gerçekleşir ve CISA gibi kurumlar ancak gerçek hasar açığa çıkmaya başladığında devreye girer.
Pwn2Own modeli, ferahlatıcı bir karşı anlatıdır. Kaosla değil işbirliğiyle yürütülen, proaktif ve yapılandırılmış açık yönetiminin bir kanıtıdır. Aynı zamanda bize şunu hatırlatır: her açık aynı yolu izlemez ve her saldırgan bir düşman değildir. Doğru teşvik edilip desteklendiğinde, güvenlik araştırma topluluğu en güçlü savunma hatlarımızdan biri haline gelebilir.
Risk Temelli Açık Yönetimi: En Çok Önem Taşıyan Yere Odaklanmak
Açık yönetimindeki en yaygın hatalardan biri, her açığı eşit derecede acil kabul etmeye çalışmaktır. Ama gerçek dünyada her açık eşit doğmaz, ve hepsi de senin ortamın için önemli değildir.
Yüksek riskin merkez üssü: üç kümenin kesiştiği o küçük mavi bölge, RBVM’nin odaklandığı yerdir.
Diyagram bunu gösteriyor:
- Büyük kırmızı daire, ifşa edilen tüm açıkları temsil eder, tüm platform ve yazılımlarda yayımlanan on binlerce açık.
- Yeşil daire, vahşi doğada aktif olarak istismar edilen alt kümedir, gerçek dünya etkisi olanlar.
- Turuncu daire, senin ortamında bulunan açıklardır, taramalar, ajanlar ya da yapılandırma analiziyle keşfedilen.
- Küçük mavi bölge, üç dairenin de kesiştiği yerdir: yüksek riskin merkez üssü. RBVM (Risk-Based Vulnerability Management) burada odaklanır ve o an gerçekten önemli olana yönelmene yardımcı olur.
Statik Önceliklendirme Neden Artık İşe Yaramıyor
Siber risk statik değildir. Dinamik, sürekli ve paylaşımlıdır, hem işin hem de saldırıların hızından etkilenir. Bu da önceliklendirilmiş bir açık listesinin, çeyrekte bir üretip bir tabloda takip ettiğin bir rapor olmadığı anlamına gelir. Gerçeği yansıtan, yaşayan ve sürekli güncellenen uyarlanabilir bir model olmalıdır.
Örneğin:
- Bir yükleniciye verilen yeni bir kimlik izni, daha önce düşük riskli bir varlığı maruz bırakabilir.
- Bir üretim sorununu gidermek için yapılan geçici bir yanlış yapılandırma, beklenmedik bir saldırı yolu açabilir.
- GitHub’da yayımlanan yeni bir istismar, daha önce düşük görülen bir açığın tehdit seviyesini anında yükseltebilir.
- Yanal hareket potansiyeli olan bir alt ağa yeni bir varlık eklenmesi, uykudaki açıkları birdenbire kritik hale getirebilir.
İşte bu yüzden bugün kritik olmayan bir şey yarın (hatta önümüzdeki 10 dakika içinde) kritik hale gelebilir. Saldırı yüzeyi sürekli değişir; hangi açıkların en büyük tehlikeyi oluşturduğuna dair anlayışın da öyle olmalıdır.
Cyber Risk Broker: RBVM için Gerçek Zamanlı Risk İstihbaratı
Risk temelli önceliklendirmenin arkasındaki beyin olarak Cyber Risk Broker (Siber Risk Aracısı) tam burada devreye girer.
Cyber Risk Broker: birden çok kaynaktan gelen sinyalleri birleştirip dinamik risk skorları üreten istihbarat katmanı.
Cyber Risk Broker, aşağıdakileri sürekli olarak alıp ilişkilendiren akıllı bir sistemdir:
- Tarayıcılardan gelen açık verileri
- Tehdit istihbaratı ve istismar aktivitesi
- Varlık kritikliği ve maruziyet seviyeleri
- Yapılandırma ve kimlik verileri
- Ortamsal ve iş bağlamı
Bu bileşenleri kullanarak siber risk skorlarını dinamik olarak hesaplar; sistemlerinin şu anda nasıl bağlı, yapılandırılmış ve maruz durumda olduğuna göre hangi açıkların senin özel ortamında en acil olduğunu belirler.
Cyber Risk Broker’ın çıktısı, RBVM (Risk-Based Vulnerability Management)’nin girdisi olur, panolara, biletleme sistemlerine, otomasyon senaryolarına ve yönetici raporlamasına gerçek zamanlı, bağlam farkında önceliklendirme sağlar.
Özetle: RBVM (Risk-Based Vulnerability Management) eylem katmanıdır. Cyber Risk Broker ise onu besleyen istihbarat katmanı. Bu modern mimari, tahmini kanıtla, tabloları sistemlerle ve görüşü sürekli, risk odaklı kararlarla değiştirir.
Sürekli, Bağlam Farkında Önceliklendirme
RBVM (Risk-Based Vulnerability Management) araçları, riskin gerçek zamanlı hesaplanması gerektiği önermesi üzerine kuruludur.
Şu kaynaklardan sürekli telemetri alırlar:
- Varlık envanterleri ve yapılandırmalar
- İstismar istihbaratı ve tehdit aktörü davranışı
- Kimlik ve erişim yönetimi sistemleri
- Ağ topolojisi ve segmentasyon
- Bulut iş yükleri, konteynerler ve dinamik servisler
Bu, kurumların risk koşulları değiştikçe açıkları dinamik olarak yeniden önceliklendirmesini sağlar, savunma çabalarının dünün varsayımlarına değil, güncel maruziyete hizalanmasını garanti eder. Başka bir deyişle mesele yalnızca hangi açıklara sahip olduğunu bilmek değildir; hangilerinin şu anda önemli olduğunu bilmektir.
Gerçek Zamanlı Riski Görselleştirmek: Patch Tuesday’de Ne Olur?
Sürekli siber risk hesaplamasının değerini anlamanın en güçlü yollarından biri, Siber Risk İndeksinin gerçek dünya olaylarına (özellikle de Microsoft Patch Tuesday’e) tepki olarak nasıl evrildiğini izlemektir.
Her ayın ikinci Salı’sında yükselen, yalnızca yamalama gerçekleştiğinde düşen dinamik Siber Risk İndeksi.
Y
Yukarıdaki görsel tam da bunu gösteriyor: bir kurumun varlıklarının, maruziyetlerinin ve yanlış yapılandırmalarının canlı durumunu yansıtan, zamana dayalı dinamik bir risk skoru.
Her ayın ikinci Salı günü, Microsoft en son yamalarını yayınladığında, Siber Risk İndeksinde belirgin bir artış olur. Neden? Çünkü Windows, Office, Exchange ve Azure servislerini etkileyenler dahil olmak üzere kritik yeni açıklar ifşa edilir. İfşa anında:
- Tehdit ortamı değişir.
- Saldırı yüzeyi genişler.
- Cyber Risk Broker riski yeniden hesaplar ve bu yeni ifşa edilen CVE’lerden hangilerinin senin kritik varlıklarını etkilediğini belirler.
O anda, henüz hiçbir şey istismar edilmemiş olsa bile, kurumunun siber risk skoru yükselir, çünkü ele geçirilme koşulları değişmiştir.
Ama asıl kritik nokta şu: Skor otomatik olarak düşmez. Yalnızca savunmasız varlıklar gerçekten yamalandığında ve yamalandığı sürece iyileşir. Bu, siber risk yönetiminin temel gerçeğini yansıtır: Farkındalık siber riski azaltmaz, eylem azaltır.
Sürekli risk skorlamasının gücü de burada: sana yalnızca teknik borcunu bildirmekle kalmaz, zamanında yanıt verme ihtiyacını da baskılar. Hiçbir şey yapmamanın seni nasıl tehlike bölgesinde tuttuğunu somut olarak gösterir.
Geleneksel açık raporları statiktir, tarama çalıştığında neyin savunmasız olduğunu söyler. Oysa siber risk akışkandır. Cyber Risk Broker’lardan yararlanan araçlarla risk indeksin, şu etkenlerden etkilenen yaşayan bir metriğe dönüşür: gerçek zamanlı istismar aktivitesi, iş açısından kritik varlık maruziyeti, yama mevcudiyeti ve durumu, kimlik/erişim ve yapılandırma değişiklikleri.
Bu, hem teknik ekiplerin hem de yöneticilerin anlayabileceği ortak bir dille (siber güvenlik kararlarının ölçülebildiği, izlenebildiği ve gerekçelendirilebildiği) yeni bir operasyonel olgunluk seviyesi getirir. Ve şu ilkeyi pekiştirir: siber risk teknik bir skor değildir. Rakibe ne kadar ayak uydurabildiğinin stratejik bir göstergesidir.
Farkındalıktan Eyleme
Bu yazı boyunca açıkların çoğu zaman yanlış anlaşılan yaşam döngüsünü inceledik ifşadan istismara, yama mevcudiyetinden gerçek giderime. CVE-2023-0386 örneği üzerinden, bir düzeltmenin var olmasıyla uygulanması arasındaki mesafeyi gördük.
Yamalamayı tek seferlik bir olay, açık listelerini de statik Excel çıktıları olarak gören modası geçmiş zihinsel modele meydan okuduk. Gerçekte siber risk hareketli bir hedeftir sürekli değişimlerle beslenir.
Modern savunmacıların şu üç sütun üzerinde çalışması gerektiğini gösterdik:
- Cyber Risk Broker açıkların, varlıkların, erişimin ve tehditlerin nasıl kesiştiğine dayanarak gerçek zamanlı risk hesaplar.
- Risk-Based Vulnerability Management (RBVM) gürültüyü filtreler ve ortamında gerçekten tehlikeli olana odaklanır.
- Cyber Risk Index riski, Patch Tuesday gibi gerçek dünya olayları ya da sistem duruşundaki değişikliklerle dalgalandıkça niceler ve iletir.
Ve belki de en önemlisi, temel bir gerçeği pekiştirdik:
Siber suçlular bir açığın ne kadar eski olduğunu umursamaz. İşe yarıyorsa kullanırlar.
Bu yüzden savunmacılar siber riski bir anlık görüntü olarak görmeyi bırakıp onu bir akış olarak ele almaya başlamalıdır.
Siber güvenliğin geleceği en çok araca ya da en çok uyarıya sahip olanların değil; riski net görebilen, hızlı önceliklendirebilen ve kararlılıkla harekete geçebilenlerin olacak. Bu da şu geçişleri gerektirir:
- Statik yama listelerinden → canlı, risk bilgili önceliklendirmeye
- Çeyreklik raporlardan → sürekli yeniden hesaplamaya
- Reaktif savunmadan → proaktif risk azaltmaya
Bu, yalnızca kontrollere değil, teknik gerçekliğini iş önceliklerinle bağlayan istihbarat katmanına da yatırım yapmak demektir. O katman Cyber Risk Broker’dır ve güvenlik stratejinin diğer her parçasının riskin hızında hareket etmesini sağlayan şey odur.
Çünkü sonuçta mesele her şeyi yamalamak değildir. Mesele bir sonraki neyi yamalayacağını ve nedenini bilmektir.
Başka bir yazımızda görüşmek dileğiyle…