Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · web.eretek.com
Sunucu, istemci, ağ cihazı ve internete açık sistemlerinizi düzenli olarak tarıyor; bulguları CVSS puanının ötesinde istismar edilebilirlik ve iş etkisine göre önceliklendirip uygulanabilir düzeltme planına dönüştürüyoruz.
Tarama raporundaki yüzlerce “kritik” bulgu, BT ekibinin nereden başlayacağını bilememesine yol açar.
Kimlik doğrulamasız taramalar, sistemlerdeki eksik yamaların ve zayıf yapılandırmaların büyük kısmını göremez.
Yılda bir yapılan tarama, aradaki aylarda yayınlanan ve aktif istismar edilen zafiyetleri kaçırır.
Taranacak IP blokları, sistem grupları, dış alan adları ve hariç tutulacak hassas sistemlerin belirlenmesi.
Kimlik doğrulamalı iç taramalar ve internete açık yüzeyin dışarıdan taranması.
CISA KEV listesi, EPSS olasılığı, sistemin kritikliği ve internete açıklığı ile sıralama.
Sorumlu atama, hedef tarihler, yeniden test ve trend raporlaması.
CVSS puanı bir zafiyetin teorik ciddiyetini gösterir; gerçek risk, aktif istismar edilip edilmediği ve sistemin nerede durduğuyla birlikte anlaşılır. Bu nedenle rapor, “bu hafta kapatılması gerekenler” listesiyle başlar. Bulguların kalıcı çözümü sistem sıkılaştırma ile, doğrulama ihtiyacı sızma testi ile, yönetim raporlaması ise risk değerlendirmesi ile bağlanır.
CISA’nın Known Exploited Vulnerabilities (KEV) kataloğu, gerçek saldırılarda kullanıldığı doğrulanmış zafiyetleri listeler. İnternete açık sistemlerde bu listedeki bulgular en yüksek önceliği alır.
İnternete açık servisler, eski TLS, sertifika ve sürüm bilgisi
Saldırganın ilk gördüğü yüzey
Eksik yamalar, yerel yapılandırma zayıflıkları, desteklenmeyen yazılımlar
En kapsamlı ve en az yanlış pozitif veren yöntem
Firmware zafiyetleri, zayıf yönetim protokolleri
Yapılandırma incelemesiyle birlikte değerlendirilir
Yaygın web zafiyetleri ve hatalı yapılandırmalar
Derin test için sızma testi gerekir
Açık depolama, aşırı yetki, eksik loglama
Sağlayıcı araçlarıyla birlikte
İlk görüşmede hedef sistemleri, erişim yetkilerini, veri hassasiyetini ve iş sürekliliği beklentilerini belirliyoruz. Mevcut durumu kontrol ederek kapsam ve öncelik matrisi çıkarıyor; değişiklikleri kontrol noktaları, test ve geri dönüş planıyla uyguluyor, bulguları kayıt altına alıyoruz. Teslim edilen çıktılar sözleşme kapsamına göre netleştirilir.
Taramalar onaylı zaman aralığında ve güvenli profillerle yapılır. Hassas sistemler (ör. eski üretim cihazları) hariç tutulur veya pasif yöntemlerle değerlendirilir.
Tarama, bilinen zafiyetleri otomatik ve geniş kapsamlı bulur. Sızma testi, uzmanların zafiyetleri zincirleyerek gerçek bir saldırganın ne kadar ilerleyebileceğini doğruladığı derin bir çalışmadır.
İnternete açık sistemler için en az aylık, iç sistemler için aylık veya üç aylık periyot önerilir; kritik bir zafiyet duyurusunda ek tarama yapılır.
Aktif tarama PLC ve eski cihazlarda sorun yaratabilir. OT ortamında pasif trafik analizi ve envanter tabanlı zafiyet eşleştirmesi tercih edilir.
Sistem ve ağ zafiyetlerini iş etkisine göre önceliklendirip uygulanabilir düzeltme planları oluşturuyoruz.
Hedefler, zaman aralığı, hariç tutmalar ve iletişim kişileri yazılı onaylanır.
Dış ve kimlik doğrulamalı iç taramalar kontrollü ayarlarla yapılır.
Yanlış pozitifler ayıklanır, bulgular risk sırasına konur.
Düzeltmeler takip edilir ve kapatıldığı doğrulanır.
Mevcut ortamınızı ve hedeflerinizi konuşalım; öncelikli adımları belirleyelim.