Zafiyet Araştırması
Koordineli Zafiyet Bildirimi
Kullandığınız bir üründeki zafiyeti üreticiye doğru kanaldan ve eksiksiz teknik bilgiyle iletiyoruz. Düzeltme ve yayın takvimini üreticiyle birlikte takip ediyoruz.
Nedir?
Koordineli zafiyet bildirimi, zafiyetin önce üreticiye iletildiği ve düzeltme hazır olduğunda kamuya açıklandığı süreçtir. Amaç, kullanıcıların düzeltme olmadan risk altında kalmamasıdır. Bildirim, üreticinin güvenlik iletişim adresine yapılır. Üretici yanıt vermezse ulusal CERT gibi bir koordinatörden destek alınabilir.
Kapsam
- Zafiyetin, üreticinin yeniden üretebileceği şekilde belgelenmesi
- Üreticinin güvenlik iletişim kanalının bulunması ve ilk bildirim
- Önem derecesinin CVSS ile belirtilmesi
- Düzeltme ve kamuya açıklama tarihinin üreticiyle kararlaştırılması
- Gerekirse CVE kimliği talebi ve duyuru metninin hazırlanması
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Kullandığınız bir üründe, bir test veya olay incelemesi sırasında zafiyet bulunduğunda.
- Üreticinin güvenlik iletişim kanalı belirsiz olduğunda veya ilk bildiriminiz yanıtsız kaldığında.
- Zafiyet düzeltilene kadar ürünü kullanmaya devam etmeniz ve riski yönetmeniz gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Belgeleme
Zafiyeti, etkilenen sürümler, koşullar ve etkisiyle teknik bir rapora dönüştürürüz.
-
İlk temas
Bildirimi üreticinin güvenlik kanalına iletir, alındı teyidini ve sorumlu kişiyi takip ederiz.
-
Takvim
Düzeltme ve kamuya açıklama tarihini üreticiyle birlikte kararlaştırırız.
-
Yayın
Düzeltmeyi doğrular, duyuru ve gerekirse CVE kaydı için destek sağlarız.
Sonuç
Çalışmanın sonunda elinizde olan
Zafiyet, düzeltme yayımlanana kadar kontrollü şekilde yönetilir. Yazışmalar, tarihler ve bu sürede alınan geçici önlemler kayıt altındadır.
Sık sorulan sorular
Kurumumuzun adı duyuruda yer alır mı?
Bu karar sizindir. Bildirim, isterseniz kurum adınız açıklanmadan yapılır.
Üretici yanıt vermezse ne olur?
Ulusal CERT gibi bir koordinatörden destek alınabilir. Kamuya açıklama kararını, ürünü kullananların riskini gözeterek sizinle birlikte veririz.
Zafiyeti resmî bir kuruma da bildirmemiz gerekir mi?
Siber Güvenlik Kanunu, bilişim sistemleriyle hizmet sunanların hizmet sundukları alanda tespit ettikleri zafiyetleri gecikmeksizin Siber Güvenlik Başkanlığına bildirmesini öngörür. Bu bildirimin üreticiye yapılan bildirimle nasıl sıralanacağını hukuk danışmanınızla birlikte planlarız.
Zafiyet Araştırması
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın