Varlık, tehdit, zafiyet, risk

Altay Kargo'nun GRC ekibine yeni katıldın. İlk görevin çeyreklik risk değerlendirmesine katkı vermek. Ekip lideri sana tek bir kural veriyor: puan vermeden önce ortak bir dil kur.

Risk kelimesi herkes için farklı anlam taşır; bazısı için tehdit, bazısı için zafiyet demektir. Bu karışıklık toplantıyı uzatır ve kararı geciktirir. Bu yüzden risk değerlendirmesi beş sabit terimle çalışır: varlık, tehdit, zafiyet, olasılık, etki.

Terimleri karıştırmadan ayırabilirsen puanlama tutarlı çıkar. Karıştırırsan aynı riski iki analist farklı puanlar, toplantı tartışmayla biter.

Varlık, korumaya değer her şeydir: bir sunucu, bir veri tabanı, bir sözleşme, hatta çalışanın itibarı. Altay Kargo'da sürücü uygulamasının API sunucusu varlıktır, muhasebe veri tabanı da öyle. Tehdit, varlığa zarar verebilecek kaynaktır: saldırgan, doğal afet, hatta dikkatsiz çalışan. Zafiyet ise varlığın tehdide açık bıraktığı zayıf noktadır.

NIST sözlüğü zafiyeti bir sistemdeki, güvenlik prosedüründeki ya da iç kontroldeki zayıflık diye tanımlar. Yamalanmamış sunucu, herkese açık bırakılmış paylaşım klasörü, eğitimsiz çalışan zafiyet örnekleridir. Tehdit tek başına zarar vermez; zafiyeti bulup kullanması gerekir. Zafiyet kapalıysa tehdit kapıyı çalar ama içeri giremez.

Bu üçü bir araya gelince risk doğar: tehdidin zafiyeti kullanma olasılığı ve bunun yarattığı etki. Olasılık, olayın belli bir dönemde gerçekleşme ihtimalidir. Etki, olay gerçekleştiğinde ortaya çıkan zarardır: kesinti süresi, para kaybı, itibar kaybı. ISO/IEC 27005:2022 bu zinciri risk kaynağı, olay, sonuç sırasıyla anlatır.

NIST SP 800-30 ise tehdit kaynağı, tehdit olayı, zafiyet, olasılık, etki terimlerini kullanır. İki standart farklı kelime seçse de aynı zinciri izler: kaynak, zayıflık, olasılık, sonuç. Bir denetçiyle ISO dilini, uluslararası bir ortakla NIST dilini konuşman gerekebilir; ikisini de bilirsen hazırlıksız yakalanmazsın.

Bir varlık tehditsiz güvendedir, tehdit zafiyetsiz zararsızdır. Üçü aynı anda yoksa risk oluşmaz. Altay Kargo'nun deposunda hırsızlık tehdidi var, kapı kilidi zayıf yani zafiyet var, depoda değerli kargo bekliyor yani varlık var. Üçü çakışınca ekip bunu risk kaydına yazar.

Kayıt önce tanımı, sonra olasılık ve etki puanını taşır; puanlamayı sonraki derste öğreneceksin. Asıl iş, üç terimi ayırt etmek ve doğru varlığa doğru tehdidi bağlamaktır. Yanlış eşleme yanlış önceliğe yol açar, kaynak yanlış yere gider.

Risk değerlendirmesi varlık listesiyle başlar. Neyi koruduğunu bilmiyorsan neyin tehlikede olduğunu da bilemezsin. Varlık envanteri, kurumun sahip olduğu ya da kullandığı her şeyin kaydıdır.

Envanteri altı sınıfta düşünmek işini kolaylaştırır: donanım, yazılım, veri, hizmet, insan ve tedarikçi. Donanım sunucuyu ve depo kamerasını kapsar. Veri müşteri kayıtları ve faturalardır.

Hizmet, dışarıya sunduğun kargo takibi gibi işlevlerdir. İnsan, kritik bilgiyi taşıyan çalışandır. Tedarikçi ise bulut sağlayıcı ya da bordro firması gibi dışarıdan aldığın hizmettir. Her satıra en az iki bilgi yazılır: varlığın sahibi kim ve varlık nerede duruyor.

Çerçeveler bu işi ilk sıraya koyar. NIST Siber Güvenlik Çerçevesi 2.0 (CSF 2.0), Belirle (Identify) fonksiyonunda Varlık Yönetimi (Asset Management) kategorisini açar. Bu kategoride ID.AM-01 donanım, ID.AM-02 yazılım ve hizmet, ID.AM-04 tedarikçi hizmetleri, ID.AM-07 de veri envanteri ister. CIS Kontrolleri v8.1 de ilk iki kontrolü envantere ayırır: Kontrol 1 kurumsal varlıkları, Kontrol 2 yazılım varlıklarını kapsar.

Türkiye'de Bilgi ve İletişim Güvenliği Rehberi (BİG Rehberi) aynı işi varlık grubu yaklaşımıyla yapar. Rehber varlıkları altı ana başlıkta toplar: ağ ve sistemler, uygulamalar, taşınabilir cihaz ve ortamlar, nesnelerin interneti cihazları, fiziksel mekânlar, personel. Aynı tedbiri alacak varlıklar bir grupta birleşir, böylece yüzlerce varlık yerine birkaç grup puanlanır.

ID    Varlık                  Sınıf     Sahip               Konum                    G  B  E  Toplam
V-01  Sürücü API'si           hizmet    Mobil ekip lideri   api.altaykargo.example   3  3  3  9
V-02  Kurumsal web sitesi     hizmet    Pazarlama müdürü    www.altaykargo.example   1  2  2  5
V-03  Muhasebe veri tabanı    veri      Mali işler müdürü   10.10.5.20               3  3  2  8
V-04  Personel dizüstüleri    donanım   BT destek şefi      ofis ve saha             2  1  2  5
V-05  Depo kamerası           donanım   Depo operasyon şefi 10.30.0.0/24             1  2  1  4

Tabloyu satır satır oku. V-01 sürücü API'si 203.0.113.10 adresinde, internete açık durur ve üç boyutta da 3 alır. Sızarsa müşteri adresleri açığa çıkar, değişirse teslimat yanlış adrese gider, durursa bütün filo bekler.

Toplam 9 ile listenin başına geçer. V-03 muhasebe veri tabanı 8 alır; erişilebilirliği 2'dir, çünkü muhasebe birkaç saatlik kesintiyi tolere eder.

V-05 depo kamerası 4 ile sonda kalır. Bu sıralama, ilk risk senaryolarını hangi varlıklar için yazacağını gösterir. Ama unutma: puan varlığın değerini ölçer, riskini ölçmez. Risk için tehdit ve zafiyet de gerekir.

Envanter bir kez çıkarılıp rafa kaldırılırsa birkaç ayda eskir. Yeni sunucu açılır, eski uygulama kapanır, bir ekip habersiz bir bulut hesabı kurar. Envanteri güncel tutmanın iki yolu vardır. Birincisi süreçtir: her değişiklik kaydında yapılandırma yönetim veri tabanı (CMDB) da güncellenir.

İkincisi doğrulamadır: yalnız yetkili ağlarda ve yazılı onayla düzenli keşif taraması yapılır. Taramada çıkan ama envanterde olmayan her cihaz bir bulgudur. CSF 2.0 bunu ID.AM-08 alt kategorisinde anlatır: varlıklar yaşam döngüsü boyunca yönetilir. Kayıtsız varlık, saldırganın ilk bulduğu ve senin en son öğrendiğin varlıktır.

Tehdidi değerlendirirken önce kaynağın türünü belirle. NIST SP 800-30 Rev. 1, Ek D'deki Tablo D-2'de tehdit kaynaklarını dört türe ayırır.

Kasıtlı (adversarial) kaynak, bilerek zarar vermek isteyen kişi, grup, kurum ya da devlettir. Kazara ya da kasıtsız (accidental) kaynak, günlük işini yaparken hata yapan kullanıcı veya yöneticidir; kötü niyeti yoktur. Yapısal (structural) kaynak donanım, yazılım ya da ortam kontrolü arızasıdır: dolan disk, çöken işletim sistemi, bozulan klima.

Çevresel (environmental) kaynak kurumun denetimi dışındaki olaylardır: deprem, sel, yangın, şebeke elektriğinin ya da telekom hattının kesilmesi. Aynı belirti farklı türden gelebilir. Depoda elektrik gitti diyelim. Şebeke kesildiyse kaynak çevreseldir, kendi kesintisiz güç kaynağın arızalandıysa yapısaldır.

Kasıtlı kaynakta iş bir adım derinleşir. SP 800-30 kasıtlı kaynağı üç özellikle niteler: kapasite, niyet ve hedefleme. Kapasite, kaynağın ne kadar bilgi, araç ve zamana sahip olduğudur.

Niyet, ne istediğidir: para, veri, itibar ya da yıkım. Hedefleme, özellikle senin kurumunu seçip seçmediğidir. Fırsatçı bir fidye yazılımı grubu yüksek kapasitelidir ama genel hedeflidir; internete açık her yamasız cihazı tarar.

Küsüp ayrılan bir yöneticinin kapasitesi düşük olabilir, ama doğrudan seni hedefler ve içeriyi bilir. Kasıtsız kaynaklarda niyet ve hedefleme yoktur. SP 800-30 onları etki aralığıyla, yani olayın ne kadar geniş alana yayılabileceğiyle niteler.

Zafiyeti tartarken iki soruyu karıştırma: açık ne kadar ağır ve gerçekten kullanılıyor mu. Ortak Zafiyet Puanlama Sistemi (CVSS) birinci soruyu yanıtlar. Güncel sürüm CVSS 4.0'dır ve Kasım 2023'te yayımlandı. Puan 0 ile 10 arasındadır: 0,1-3,9 düşük, 4,0-6,9 orta, 7,0-8,9 yüksek, 9,0-10,0 kritik.

Belge dört ölçüt grubu tanımlar: temel, tehdit, ortam ve ek. Yalnız temel ölçütlerle hesaplanan puan CVSS-B diye yazılır. Tehdit ve ortam bilgisi eklendikçe CVSS-BT, CVSS-BE ya da CVSS-BTE olur. FIRST'ün kullanım kılavuzu açık bir uyarı yapar: temel puan ağırlığı ölçer, riski ölçmez ve risk değerlendirmesinde tek başına kullanılmaz.

İkinci soruyu iki kaynak yanıtlar. İstismar Tahmin Puanlama Sistemi (EPSS), olay müdahale ekiplerinin uluslararası forumu FIRST'ün yürüttüğü bir makine öğrenmesi modelidir. Yayımlanmış her CVE için önümüzdeki 30 günde gerçek ortamda istismar edilme olasılığını 0 ile 1 arasında verir ve her gün güncellenir. CISA'nın Bilinen İstismar Edilmiş Zafiyetler kataloğu (KEV) ise tahmin değil kanıttır.

Bir zafiyetin listeye girmesi için üç koşul gerekir: CVE kimliği olmalı, gerçekte istismar edildiğine dair güvenilir kanıt bulunmalı ve açık bir düzeltme yolu olmalı. Üçünü birlikte okursun. CVSS'i 9,8 olan ama EPSS'i binde bir çıkan açık, CVSS'i 7,5 olup KEV'de duran açığın önüne genelde geçemez.

Bulgu  Etkilenen varlık                   CVSS-B  EPSS    KEV
Z-01   VPN geçidi (V-01'in önünde)          9.3    0.94    evet
Z-02   İç raporlama aracı (test ağı)        9.8    0.002   hayır
Z-03   Kurumsal web sitesi eklentisi        6.1    0.08    hayır

Tabloyu satır satır oku. Z-01 VPN geçidindedir, KEV'de kayıtlıdır ve EPSS'i 0,94'tür; saldırganlar bu açığı bugün kullanıyor. Z-02'nin CVSS puanı daha yüksektir, ama açık yalnız test ağındaki bir araçtadır ve istismar olasılığı binde ikidir. Z-03 orta ağırlıktadır ve izlenir.

Şimdi zinciri kur. Tehdit kaynağı, yamasız VPN'leri tarayan fidye yazılımı grubudur.

Zafiyet Z-01'dir. Varlık, VPN'in arkasındaki V-01 sürücü API'sidir. Aynı zafiyet internete kapalı bir test sunucusunda dursaydı olasılık çok daha düşük çıkardı. Zafiyet aynı kalır, risk varlığa ve ortama göre değişir.

Bulgu  Varlık                        CVSS-B  EPSS    KEV
Z-11   E-posta geçidi (internete açık)   7.8   0.89    evet
Z-12   Test sunucusu (kapalı ağ)         9.1   0.003   hayır
Z-13   İç wiki sunucusu                  5.4   0.02    hayır

Terimleri ayırdın, envanteri çıkardın, zafiyeti tarttın. Şimdi hepsini bir risk cümlesinde birleştir. NIST IR 8286, risk tanımlarında ortak bir kalıp kullanmayı önerir: her senaryoda tehdit, varlık, yöntem ve etki geçer. Pek çok ekip bunu 'X olursa Y olur' biçiminde yazar.

Zayıf örnek şudur: 'Fidye yazılımı riski.' Bu cümle kimin, neyi, nasıl yapacağını söylemez. Güçlü örnek şudur: 'Bir fidye yazılımı grubu VPN geçidindeki Z-01 açığını kullanırsa sürücü API'sine ulaşır ve filo iki gün teslimat yapamaz.'

İkinci cümle puanlanabilir. Olasılık için Z-01'in KEV kaydına, etki için iki günlük kesintinin maliyetine bakarsın.

Aynı zincir fiziksel dünyada da işler. Altay Kargo'nun zemin kattaki arşiv odasını düşün. Odadaki kâğıt sözleşmeler ve yedek diskler varlıktır. Sel ve yoğun yağış çevresel tehdittir.

Bozuk bırakılmış su tahliye pompası ise zafiyettir. Risk cümlesi şöyle kurulur: 'Yoğun yağışta oda su alırsa bozuk pompa suyu boşaltamaz. Sözleşmeler ve yedek diskler kullanılmaz hale gelir.' Cümle bir şeyi daha gösterir: yedeklerin asıl verinin yanında durması ikinci bir zafiyettir. Fiziksel örnekler de dijital örneklerle aynı kurala uyar; terimler değişmez, yalnız bağlam değişir.