Tersine Mühendislik ve Zafiyet Araştırması

Zafiyet Araştırması

Ürününüzü müşterilere sunmadan önce içinde bilinmeyen bir zafiyet olup olmadığını bilmeniz gerekir. Araştırmaya saldırganın başlayacağı noktadan, dışarıdan girdi alan kısımlardan başlarız. Kod incelemesini fuzzing ile birleştiririz. Bulunan zafiyeti, düzeltme yayımlanana kadar yalnızca sizinle ve gerekiyorsa üreticiyle paylaşırız.

Kapsamı Görüşün Tüm Hizmet Alanları

Zafiyet Araştırması

Zafiyet tarayıcıları ve yama yönetimi yalnızca bilinen zafiyetleri kapsar. AB Siber Dayanıklılık Tüzüğü de Aralık 2027'den itibaren AB pazarına ürün sunan üreticilerden koordineli zafiyet bildirim politikası ister. Zafiyeti önce siz bulursanız, düzeltmeyi kendi takviminizle yayımlarsınız.

İhtiyaç

Hangi durumlarda ihtiyaç duyulur?

Yeni bir ürün sürümü kurumsal müşterilere teslim edilmeden önce.
İnternete açık bir ağ cihazınızda zafiyet duyurulduğunda ve yamanın yeterli olup olmadığından emin olmadığınızda.
Bir araştırmacı ürününüzde zafiyet bildirdiğinde ve henüz bir yanıt süreciniz olmadığında.
Ürününüz için koordineli zafiyet bildirim politikası ve bildirim kanalı kurmanız gerektiğinde.

Sorular

Bu çalışma neyi yanıtlar?

Ürünümüzün dışarıdan girdi alan kısımlarında henüz bilinmeyen bir zafiyet var mı?
Yayımlanan yama zafiyetin kök nedenini mi kapatıyor, yoksa yalnızca bilinen bir saldırı yolunu mu?
Bir zafiyetin gerçek etkisi ne: hizmet kesintisi mi, veri erişimi mi, uzaktan kod çalıştırma mı?
Dışarıdan gelen zafiyet bildirimlerini nasıl alır, değerlendirir ve yanıtlarız?

Zafiyet Araştırması

Neler yapıyoruz

Ürün Odaklı Zafiyet Araştırması

Belirli bir ürün veya bileşende yeni zafiyet ararız. Önce saldırı yüzeyini çıkarır, sonra kod incelemesiyle derinleşiriz.
Fuzzing

Dosya ve protokol işleyen kodlara sistematik olarak beklenmedik girdiler veririz. Böylece çökme ve bellek hatalarını buluruz. Fuzzing, CI/CD hattınızda sürekli çalışacak şekilde kurulabilir.
Kök Neden ve Yama Analizi

Hatanın kaynağını buluruz. Yayımlanan düzeltmenin, aynı hatanın başka bir yoldan tetiklenmesini de engelleyip engellemediğini sınarız.
Koordineli Zafiyet Bildirimi

Üçüncü taraf bir üründe bulunan zafiyeti üreticiye teknik ayrıntılarıyla iletiriz. Yayın takvimini üreticiyle birlikte belirleriz.
Etki Doğrulama Çalışması

Zafiyetin gerçek etkisini kontrollü bir ortamda ve yalnızca kapsam içinde gösteririz. Önceliği bu etkiye göre belirleriz.
Zafiyet Bildirim Programı Kurulumu

Dışarıdan gelen zafiyet bildirimlerini alacak süreci ISO/IEC 29147 ve ISO/IEC 30111 doğrultusunda kurarız. İletişim adresi, değerlendirme ölçütleri, yanıt süreleri ve yayın politikası bu sürecin parçasıdır.

Kapsam

Kapsam, ürün sürümü, bileşenler ve süreyle tanımlanır. Araştırma süresi sınırlıdır. Bu yüzden dışarıdan girdi alan ve en yüksek yetkiyle çalışan kısımlara öncelik veririz.

Çalışma yöntemi

Önce saldırı yüzeyini, yani dışarıdan girdi kabul eden her noktayı çıkarırız. Bu noktalara fuzzing uygularken en riskli kod yollarını elle inceleriz. Her hatanın kök nedenini ve istismar edilip edilemeyeceğini belirleriz. Aynı hata kalıbını kodun geri kalanında da ararız.

Çıktılar

Teslim edilenler

Geliştiricilerinizin veya üreticinin hatayı yeniden üretebileceği teknik bir rapor. Raporda kök neden ve düzeltme önerisi yer alır. Düzeltme yayımlandığında, zafiyetin ve benzerlerinin kapandığını gösteren yeniden test.

NotYeni bir zafiyet bulunacağı veya CVE atanacağı garanti edilmez. Araştırmada incelenen kod yolları ve uygulanan yöntemler raporda belgelenir.