Bir tarama, ekibinizin bu hafta yamalayabileceğinden daha fazla Yüksek ve Kritik bulgu çıkardığında bir iş sırasına ihtiyacınız olur. CVSS puanına göre sıralamak nesnel görünür, ancak yanlış soruya cevap verir. Puanı EPSS, KEV kataloğu ve kendi varlıklarınızla ilgili bilgilerle birleştirmek çok daha iyi bir sıra verir.
CVSS neyi ölçer, neyi ölçmez
FIRST tarafından yönetilen Common Vulnerability Scoring System (CVSS), bir güvenlik açığının ne kadar ciddi olduğunu tanımlar. Temel puan, açığın kendine özgü niteliklerini yansıtır ve açığın kurulabileceği tüm ortamlar için makul bir en kötü durumu varsayar. FIRST’ün CVSS v4.0 kullanım kılavuzu, temel puanların önem derecesini ölçtüğünü ve “risk değerlendirmesi için tek başına kullanılmaması gerektiğini” açıkça belirtir.
Yine de elinize genellikle yalnızca temel puan geçer. Aynı kılavuz, ürün geliştiricilerinin ve ABD Ulusal Güvenlik Açığı Veritabanı’nın (NVD) genellikle yalnızca temel puan yayımladığını not eder. Güncel tehditlere ve kendi ortamınıza ilişkin bilgileri eklemek size kalır.
CVSS vektörü, puanın nasıl oluştuğunu gösterir. Örneğin:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (9.8, Critical)Bu vektör şöyle okunur: ağ üzerinden erişilebilir, karmaşıklığı düşük, yetki ya da kullanıcı etkileşimi gerektirmiyor, gizlilik, bütünlük ve erişilebilirlik üzerinde etkisi yüksek. Açığın şu anda istismar edilip edilmediği ya da ağınızdaki etkilenen sistemin dışarıya açık olup olmadığı hakkında ise hiçbir şey söylemez.
Bir bakışta CVSS v3.1 ve v4.0
CVSS v4.0 Kasım 2023’te yayımlandı. İki sürüm de aynı nitel aralıkları kullanır: Düşük 0,1–3,9, Orta 4,0–6,9, Yüksek 7,0–8,9 ve Kritik 9,0–10,0. Bir süre daha güvenlik bültenlerinde iki sürümü de göreceksiniz.
| Konu | CVSS v3.1 | CVSS v4.0 |
|---|---|---|
| Metrik grupları | Temel, Zamansal, Ortamsal | Temel, Tehdit, Ortamsal, Ek |
| İstismar bilgisi | Üç metrikli Zamansal grup | Yalnızca İstismar Olgunluğu (Exploit Maturity) içeren Tehdit grubu |
| Daha geniş etki | Kapsam (Scope) metriği | Açıklı sistem ve sonraki sistemler üzerindeki etkiler ayrı ayrı |
| Saldırı koşulları | Saldırı Karmaşıklığı | Saldırı Karmaşıklığı ve yeni Saldırı Gereksinimleri (Attack Requirements) metriği |
| Kullanıcı etkileşimi | Yok ya da Gerekli | Yok, Pasif ya da Aktif |
| Etiketleme | Tek puan | Hangi grupların kullanıldığına göre CVSS-B, CVSS-BT, CVSS-BE ya da CVSS-BTE |
v4.0 etiketleri işe yarar. CVSS-B olarak işaretlenmiş bir puan yalnızca temel puandır; böylece tehdidin ve ortamın hesaba katılmadığını bilirsiniz. İstismarın otomatikleştirilip otomatikleştirilemeyeceği gibi ek metrikler, puanı değiştirmeden bağlam ekler.
EPSS - istismar olasılığı ne kadar?
Yine FIRST tarafından yürütülen Exploit Prediction Scoring System (EPSS), yayımlanmış bir CVE’nin önümüzdeki 30 gün içinde gerçek ortamda istismar edilme olasılığını tahmin eder. Puanlar 0 ile 1 arasındadır ve her CVE için her gün, ücretsiz olarak CSV dosyası ve API üzerinden yayımlanır.
FIRST’ün kullanım kılavuzu, EPSS’yi CVSS ile basit bir dört bölgeli tabloda birleştirmeyi önerir:
| Düşük CVSS | Yüksek CVSS | |
|---|---|---|
| Yüksek EPSS | İstismar edilmesi olası, tek başına etkisi sınırlı; başka açıklarla zincirlenip zincirlenemeyeceğini kontrol edin | Önce bunu yamalayın |
| Düşük EPSS | Genellikle önceliği düşürülebilir | Ciddi ama istismar edilme olasılığı düşük; değişiklikleri izleyin |
Kılavuz sınırlar konusunda da aynı ölçüde açıktır. EPSS riskin yalnızca tehdit tarafını kapsar; bu yüzden “asla bir risk puanı olarak değerlendirilmemelidir”. Hangi sistemleri çalıştırdığınızı, bu sistemlerin ne kadar dışarıya açık olduğunu ya da hangi verileri barındırdığını bilmez. Düşük bir puan da hiçbir zaman sıfır anlamına gelmez.
KEV - açık şu anda istismar ediliyor mu?
CISA’nın Known Exploited Vulnerabilities (KEV) kataloğu, gerçek ortamda istismar edildiğine dair güvenilir kanıt bulunan açıkları listeler. Bir açık kataloğa ancak üç koşul sağlandığında eklenir:
- bir CVE kimliği vardır
- aktif istismara dair güvenilir kanıt vardır; tarama, araştırma ve kavram kanıtı (PoC) kodu tek başına yeterli sayılmaz
- üretici güncellemesi gibi net bir düzeltme yolu vardır
Binding Operational Directive 22-01, ABD federal sivil kurumlarının KEV kayıtlarını belirlenen süreler içinde düzeltmesini zorunlu tutar. Diğer kurumlar bu direktifle bağlı değildir, ancak CISA herkesin KEV kayıtlarını güvenlik açığı yönetiminde öncelikli olarak ele almasını kuvvetle önerir.
Avrupa’daki kurumların ikinci bir kaynağı daha var. ENISA’nın NIS2 Direktifi kapsamında Mayıs 2025’ten beri çalışan Avrupa Güvenlik Açığı Veritabanı (EUVD), istismar edilen açıkları gösteren bir pano içerir. CVE verileri, üretici duyuruları ve KEV kataloğu bu veritabanına otomatik olarak aktarılır.
Basit bir önceliklendirme yaklaşımı
Bir şeyin ne kadar acil olduğuna KEV ve EPSS ile, nerede önemli olduğuna ise varlıklarınız hakkındaki kendi bilginizle karar verin. Aşağıdaki kademeler bir standart değil, önerdiğimiz bir başlangıç noktasıdır. Süreleri kendi kapasitenize ve risk iştahınıza göre ayarlayın.
| Kademe | Koşul | Önerilen hedef |
|---|---|---|
| 1 | KEV’de ya da EUVD’de istismar edildiği işaretli, internete açık veya iş açısından kritik bir sistemde | Birkaç gün; henüz yama yoksa geçici önlemlerle |
| 2 | İç sistemlerde KEV’de olanlar ya da dışarıya açık bir sistemde yüksek EPSS | Bir sonraki yama döngüsü, yaklaşık iki hafta içinde |
| 3 | Yüksek ya da Kritik CVSS, düşük EPSS, dışarıya açık değil | Normal aylık döngü; EPSS ve KEV’i düzenli olarak yeniden kontrol edin |
| 4 | Diğer her şey | Rutin bakım ya da riski kabul edip nedenini kayda geçirin |
Bir puanı karara dönüştüren şey varlık bağlamıdır. Her sistem için üç soru sorun: internetten erişilebiliyor mu, hangi verileri ya da erişimleri barındırıyor ve bir kesinti neye mal olur? CVSS’nin diliyle bunlar sizin ortamsal metriklerinizdir.
Açıklayıcı bir örnek
Aynı gün iki bulgu çıktığını düşünün. Birincisi, hassas veri içermeyen bir iç test sunucusunda, düşük EPSS puanlı ve KEV kaydı olmayan 9,8 puanlık bir açık. İkincisi ise KEV kataloğunda yer alan, tüm çalışanların dizüstü bilgisayarlarında bulunan 7,8 puanlık bir yerel yetki yükseltme açığı.
Puana göre sıralarsanız birincisi en üste çıkar. Yukarıdaki yaklaşım ise ikincisini öne alır. Bu açık istismar ediliyor ve tek bir başarılı oltalama e-postasının saldırgana ihtiyaç duyduğu ilk tutunma noktasını sağlayabileceği her dizüstü bilgisayarda bulunuyor. Test sunucusu da düzeltilir, ama normal döngüde.
Nereden başlamalı
- Tarama aracınızın ya da varlık envanterinizin her bulgu için CVE kimliğini kaydettiğinden emin olun.
- Günlük EPSS puanlarını ve KEV listesini sistemlerinize alın ya da bunu zaten yapan bir araç kullanın.
- Varlıkları dışarıya açıklık ve iş açısından önem durumuna göre etiketleyin; yalnızca “internete açık” ve “kritik” olarak bile olsa.
- Her kademe için hedef süreleri yönetimle birlikte belirleyin ve takip edin.
- Bir güvenlik bülteni yalnızca vektör veriyorsa vektörü CVSS hesaplayıcımızla okuyun ve kendi ortamınıza göre uyarlayın.
Bunun sürekli yürütülmesini tercih ederseniz yönetilen güvenlik hizmetimiz güvenlik açığı takibini ve önceliklendirmeyi sizin yerinize üstlenebilir.
