CVSS (Common Vulnerability Scoring System)<\/u> ile ilk kar\u015f\u0131la\u015ft\u0131\u011f\u0131n\u0131zda, bunun g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 \u00f6nceliklendirmek i\u00e7in m\u00fckemmel bir ara\u00e7 oldu\u011funu d\u00fc\u015f\u00fcnmek kolayd\u0131r. Daha y\u00fcksek bir puan daha kritik bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131 anlam\u0131na gelmeli, de\u011fil mi? Ger\u00e7ekte, bu yakla\u015f\u0131m pek i\u015fe yaramaz. Her y\u0131l, y\u00fcksek CVSS puanlar\u0131na sahip g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131n say\u0131s\u0131n\u0131n artt\u0131\u011f\u0131n\u0131 g\u00f6r\u00fcyoruz. G\u00fcvenlik ekipleri bunlar\u0131n hepsini zaman\u0131nda yamalayamaz, ancak bu kusurlar\u0131n b\u00fcy\u00fck \u00e7o\u011funlu\u011fu ger\u00e7ek d\u00fcnyadaki sald\u0131r\u0131larda asla kullan\u0131lmaz. Bu arada, sald\u0131rganlar s\u00fcrekli olarak daha d\u00fc\u015f\u00fck puanlara sahip daha az g\u00f6steri\u015fli g\u00fcvenlik a\u00e7\u0131klar\u0131ndan yararlan\u0131yor. \u00c7ak\u0131\u015fan CVSS puanlar\u0131 gibi tamamen teknik sorunlardan i\u015f ba\u011flam\u0131 eksikli\u011fi gibi kavramsal sorunlara kadar uzanan ba\u015fka gizli tuzaklar da vard\u0131r.<\/p>\n
Bunlar CVSS\u2019nin kendi eksiklikleri de\u011fildir. Bunun yerine, bu arac\u0131n daha sofistike ve kapsaml\u0131 bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131 y\u00f6netimi s\u00fcrecinin bir par\u00e7as\u0131 olarak, do\u011fru bir \u015fekilde kullan\u0131lmas\u0131 gerekti\u011finin alt\u0131n\u0131 \u00e7izmektedir.<\/p>\n
Ayn\u0131 g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131n mevcut kayna\u011fa ba\u011fl\u0131 olarak nas\u0131l farkl\u0131 \u00f6nem derecelerine sahip olabilece\u011fini hi\u00e7 fark ettiniz mi? Bir puan bunu bulan siber g\u00fcvenlik ara\u015ft\u0131rmac\u0131s\u0131ndan, di\u011feri g\u00fcvenlik a\u00e7\u0131\u011f\u0131 olan yaz\u0131l\u0131m\u0131n sat\u0131c\u0131s\u0131ndan ve bir di\u011feri de ulusal g\u00fcvenlik a\u00e7\u0131\u011f\u0131 veri taban\u0131ndan m\u0131? Bu her zaman basit bir hata de\u011fildir. Bazen farkl\u0131 uzmanlar a\u00e7\u0131\u011f\u0131n ba\u011flam\u0131 konusunda ayn\u0131 fikirde olmayabilirler. G\u00fcvenlik a\u00e7\u0131\u011f\u0131 bulunan bir uygulaman\u0131n hangi ayr\u0131cal\u0131klarla \u00e7al\u0131\u015ft\u0131\u011f\u0131 veya internete a\u00e7\u0131k olup olmad\u0131\u011f\u0131 konusunda farkl\u0131 fikirlere sahip olabilirler. \u00d6rne\u011fin bir sat\u0131c\u0131, de\u011ferlendirmesini \u00f6nerilen en iyi uygulamalara dayand\u0131rabilirken, bir g\u00fcvenlik ara\u015ft\u0131rmac\u0131s\u0131 uygulamalar\u0131n ger\u00e7ek d\u00fcnya kurulu\u015flar\u0131nda tipik olarak nas\u0131l yap\u0131land\u0131r\u0131ld\u0131\u011f\u0131n\u0131 dikkate alabilir. Bir ara\u015ft\u0131rmac\u0131 g\u00fcvenlik a\u00e7\u0131\u011f\u0131 karma\u015f\u0131kl\u0131\u011f\u0131n\u0131 y\u00fcksek olarak de\u011ferlendirirken, bir di\u011feri d\u00fc\u015f\u00fck olarak de\u011ferlendirebilir. Bu nadir g\u00f6r\u00fclen bir durum de\u011fildir. Vulncheck taraf\u0131ndan 2023 y\u0131l\u0131nda yap\u0131lan bir ara\u015ft\u0131rma<\/a>, Ulusal G\u00fcvenlik A\u00e7\u0131\u011f\u0131 Veri Taban\u0131ndaki (NVD) g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131n %20\u2019sinin farkl\u0131 kaynaklardan al\u0131nan iki CVSS3 puan\u0131na sahip oldu\u011funu ve bu e\u015fle\u015ftirilmi\u015f puanlar\u0131n %56\u2019s\u0131n\u0131n birbiriyle \u00e7eli\u015fti\u011fini ortaya koymu\u015ftur.<\/p>\n FIRST<\/a>, on y\u0131l\u0131 a\u015fk\u0131n bir s\u00fcredir CVSS\u2019nin metodolojik olarak do\u011fru uygulanmas\u0131n\u0131 savunmaktad\u0131r. Yine de g\u00fcvenlik a\u00e7\u0131\u011f\u0131 y\u00f6netim s\u00fcre\u00e7lerinde CVSS derecelendirmelerini kullanan kurulu\u015flar tipik hatalar yapmaya devam eder:<\/p>\n CVSS; bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131n ciddiyetini, hangi ko\u015fullar alt\u0131nda k\u00f6t\u00fcye kullan\u0131labilece\u011fini ve savunmas\u0131z bir sistem \u00fczerindeki potansiyel etkisini tan\u0131mlamak i\u00e7in tasarlanm\u0131\u015f bir end\u00fcstri standard\u0131d\u0131r. Ancak, bu a\u00e7\u0131klaman\u0131n (ve CVSS Taban puan\u0131n\u0131n) \u00f6tesinde, kapsamad\u0131\u011f\u0131 \u00e7ok \u015fey vard\u0131r:<\/p>\n T\u00fcm bu fakt\u00f6rler, bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131n ne zaman ve nas\u0131l giderilece\u011fi, hatta giderilmesinin gerekli olup olmad\u0131\u011f\u0131 karar\u0131n\u0131 \u00f6nemli \u00f6l\u00e7\u00fcde etkiler.<\/p>\n CVSS s\u0131n\u0131rlar\u0131 i\u00e7inde hesaba kat\u0131lmas\u0131 genellikle zor olan bir\u00e7ok fakt\u00f6r, risk tabanl\u0131 g\u00fcvenlik a\u00e7\u0131\u011f\u0131 y\u00f6netimi (RBVM) olarak bilinen pop\u00fcler bir yakla\u015f\u0131m\u0131n merkezinde yer al\u0131r.<\/p>\n RBVM, d\u00fczenli olarak tekrarlanan birka\u00e7 temel a\u015famas\u0131 olan, b\u00fct\u00fcnsel ve d\u00f6ng\u00fcsel bir s\u00fcre\u00e7tir:<\/p>\n Bahsettiklerimize ek olarak, \u015firketinizin g\u00fcvenlik a\u00e7\u0131\u011f\u0131 ortam\u0131n\u0131 ve BT altyap\u0131s\u0131n\u0131 periyodik olarak analiz etmek \u00e7ok \u00f6nemlidir. Bu analizin ard\u0131ndan, t\u00fcm g\u00fcvenlik a\u00e7\u0131\u011f\u0131 s\u0131n\u0131flar\u0131n\u0131n istismar edilmesini \u00f6nleyen veya belirli BT sistemlerinin genel g\u00fcvenli\u011fini \u00f6nemli \u00f6l\u00e7\u00fcde art\u0131ran siber g\u00fcvenlik \u00f6nlemleri alman\u0131z gerekir. Bu \u00f6nlemler aras\u0131nda a\u011f mikro segmentasyonu, en az ayr\u0131cal\u0131k uygulamas\u0131 ve daha s\u0131k\u0131 hesap y\u00f6netimi ilkelerinin benimsenmesi say\u0131labilir.<\/p>\nCVSS kullan\u0131rken s\u0131k yap\u0131lan hatalar<\/h2>\n
\n
CVSS bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131 hakk\u0131nda size ne s\u00f6ylemez?<\/h2>\n
\n
CVSS nas\u0131l iyile\u015ftirilir? Cevap RBVM\u2019de!<\/h2>\n
\n