Saldırı Yüzeyi ve Saldırı Yolu Analizi
İş Etkisine Göre Önceliklendirme
Tarama raporlarındaki zafiyetleri, kritik sistemlere giden yol üzerinde olup olmadıklarına göre sıralıyoruz. Ekiplerinizin önce en fazla riski azaltan işi yapmasını sağlıyoruz.
Nedir?
CVSS taban puanı bir zafiyetin teknik ciddiyetini ölçer, kurumunuzdaki riski tek başına göstermez. Önceliklendirme, bu puana ek olarak zafiyetin gerçek saldırılarda kullanılıp kullanılmadığı bilgisini içerir. Sonra varlığın iş kritikliğini ve saldırı yolu üzerindeki yerini dikkate alır. Böylece uzun bulgu listeleri, ekibin önce kapatması gereken kısa bir listeye iner.
Kapsam
- Tarama, sızma testi ve bulut güvenliği bulgularının tek listede birleştirilmesi
- CISA KEV kataloğu ve EPSS ile istismar bilgisinin eklenmesi
- Varlıkların iş kritikliğinin sizinle belirlenmesi
- Bulguların saldırı yolu modeliyle eşleştirilmesi
- WAF, segmentasyon ve EDR gibi telafi edici kontrollerin hesaba katılması
- Sistem sahiplerine göre ayrılmış kapatma listeleri ve hedef süreler
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Yama ekibinin kapasitesi, raporlardaki zafiyetlerin tamamına yetmediğinde.
- Yönetim kurulu, kritik olarak raporlanan zafiyetlerin neden hâlâ açık olduğunu sorduğunda.
- Bir denetçi, zafiyet giderme önceliklerinizin neye dayandığını sorduğunda.
Yöntem
Nasıl çalışıyoruz?
-
Birleştirme
Farklı araç ve testlerden gelen bulguları tek listede toplar, tekrarları ayıklarız.
-
Bağlam
Her bulguya istismar bilgisini, varlığın kritikliğini ve saldırı yolu üzerindeki yerini ekleriz.
-
Sıralama
Bulguları bu bilgilere göre sıralar, her sıranın gerekçesini yazarız.
-
Kapatma ve kontrol
Listeyi sistem sahiplerine göre böler, kapatılan bulguları yeniden test ederiz.
Sonuç
Çalışmanın sonunda elinizde olan
Önce kapatılması gereken az sayıda zafiyeti ve her birinin gerekçesini bilirsiniz. Yama ekibinin emeği, riski en çok azaltan işe yönelir.
Sık sorulan sorular
Yüksek CVSS puanlı bir zafiyet neden bekleyebilir?
Zafiyet erişilemeyen bir sistemdeyse veya istismarı ortamınızda olmayan bir koşula bağlıysa gerçek risk düşüktür. Bu gerekçe her bulgu için yazılı olarak verilir.
EPSS ve KEV nedir?
EPSS, bir zafiyetin önümüzdeki 30 gün içinde gerçek saldırılarda istismar edilme olasılığını tahmin eden bir modeldir. KEV ise ABD siber güvenlik ajansı CISA'nın, gerçek saldırılarda kullanıldığı bilinen zafiyetler kataloğudur.
Mevcut zafiyet yönetimi aracımızla çalışır mısınız?
Evet. Bulguları aracınızdan dışa aktarılan verilerle alırız. Önceliklendirilmiş listeyi aracınızda kullanılabilecek biçimde teslim ederiz.
Saldırı Yüzeyi ve Saldırı Yolu Analizi
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın