CIS Kontrolleri v8.1 ve çerçeveleri eşlemek

Ek A ve NIST fonksiyonları geniş kategoriler sunar. Hangi somut adımı atacağını ise söylemez. CIS Kontrolleri bu boşluğu doldurur.

Liste, kâr amacı gütmeyen Center for Internet Security (CIS) çatısı altında bir uzman topluluğuyla hazırlanır. Saldırılarda gerçekten işe yarayan önlemleri öncelik sırasıyla verir. Sürüm 8, on sekiz kontrol ve bunların altında 153 güvence (safeguard) tanımlar.

2024'te yayımlanan 8.1 sürümü aynı yapıyı korudu ve fonksiyon eşlemelerini NIST CSF 2.0'a göre yeniledi. Küçük bir ekip bile listeye baştan başlayabilir, çünkü sıralama hazırdır. Bu derste kontrolleri, uygulama gruplarını ve üç çerçeveyi tek katalogda birleştirmeyi göreceksin.

Kontrol ile güvenceyi ayır. Kontrol geniş bir hedeftir: 'denetim günlüğü yönetimi' gibi. Güvence ise ölçülebilir tek bir adımdır: 'denetim günlüklerini topla' gibi.

Güvenceler kontrol numarasıyla yazılır; 8.2, sekizinci kontrolün ikinci güvencesidir. Her güvencenin bir varlık sınıfı ve bir güvenlik fonksiyonu vardır. 8.1 sürümü varlık sınıflarını yeniledi: cihazlar, yazılım, veri, kullanıcılar, ağ ve belgeler.

Belgeler sınıfı, süreç ve politika yazmayı isteyen güvenceleri toplar. Aynı sürüm CSF 2.0'daki Yönet fonksiyonunu da güvencelere ekledi. Yirmi beş güvence artık Yönet etiketi taşır; çoğu 'kur ve sürdür' (Establish and Maintain) diye başlar. CIS sözlüğü de genişletti.

On sekiz kontrolün adını bir kez sırayla oku. İlk dördü temeli kurar: 1 kurumsal varlıkların envanteri ve kontrolü, 2 yazılım varlıklarının envanteri ve kontrolü, 3 veri koruma, 4 kurumsal varlık ve yazılımların güvenli yapılandırması. Sonraki üçü kimliğe ve zafiyete bakar: 5 hesap yönetimi, 6 erişim kontrolü yönetimi, 7 sürekli zafiyet yönetimi. Ardından 8 denetim günlüğü yönetimi, 9 e-posta ve web tarayıcısı korumaları, 10 zararlı yazılım savunmaları ve 11 veri kurtarma gelir.

Ağ tarafında 12 ağ altyapısı yönetimi ile 13 ağ izleme ve savunma durur. Son beşi şunlardır: 14 güvenlik farkındalığı ve beceri eğitimi, 15 hizmet sağlayıcı yönetimi, 16 uygulama yazılımı güvenliği, 17 olay müdahalesi yönetimi, 18 sızma testi. Sıra bir mantık izler. Elinde ne olduğunu bilmeden onu koruyamazsın; bu yüzden liste envanterle başlar.

IG1'in ilk adımları bu mantığı somutlaştırır. Önce kurumsal varlık envanterini çıkarır ve en az yılda iki kez güncellersin (1.1). Sonra yetkisiz cihazlarla ne yapacağını belirleyen bir süreç kurarsın (1.2). Yazılım envanteri (2.1) ve veri envanteri (3.2) aynı yolu izler.

Güvenli yapılandırma süreci (4.1), yönetici yetkilerini ayrı yönetici hesaplarına sınırlamak (5.4) ve erişim verme süreci (6.1) ardından gelir. Otomatik işletim sistemi yamaları (7.3) ve denetim günlüklerinin toplanması (8.2) da IG1'dedir. Altay Kargo'nun BT ekibi üç kişidir. Ekip bu listeyi baştan uygulayarak başladı ve her güvencenin yanına bir kanıt yazdı.

Her kurum 153 güvencenin hepsini aynı anda uygulayamaz. CIS bu yüzden üç uygulama grubu (Implementation Group, IG) tanımlar. IG1 temel siber hijyendir ve 56 güvenceden oluşur.

Tipik IG1 kurumu küçük ya da orta ölçeklidir, BT ve güvenlik uzmanlığı sınırlıdır. Bu güvenceler hedef gözetmeyen yaygın saldırıları durdurmayı amaçlar. IG2, IG1'in üstüne 74 güvence ekler ve toplamı 130'a çıkarır.

IG2 kurumunda altyapıdan sorumlu çalışanlar vardır ve kurum hassas müşteri verisi işler. IG3, 23 güvence daha ekler ve toplam 153'e ulaşır. IG3 kurumunda uzman bir güvenlik ekibi çalışır. Bu güvenceler hedefli ve gelişmiş saldırganı durdurmayı, sıfırıncı gün saldırılarının etkisini azaltmayı amaçlar.

Gruplar birbirinin devamıdır. IG2'ye geçen kurum IG1'i bırakmaz, üstüne ekler. Grup bir olgunluk notu da değildir; kurumun risk profilini ve kaynağını tarif eder.

Hangi grubun sana uyduğuna riskle karar verirsin. CIS bunun için CIS RAM adlı bir risk değerlendirme yöntemi yayımlar. Aralık 2025'te çıkan 2.2 sürümü CIS Kontrolleri v8.1 ile uyumludur ve her uygulama grubu için ayrı bir kılavuz sunar.

Altay Kargo hassas müşteri verisi işlediği için hedefini IG2 seçti. Ekip önce IG1'i tamamlıyor, sonra IG2 güvencelerine geçecek. Davranış tabanlı zararlı yazılım koruması (10.7) IG2'de gelir. İç sızma testi (18.5) ve güvenlik önlemlerini doğrulama (18.4) ise IG3'te durur.

Güvence 4.1, kurumsal varlıklar ve yazılımlar için yazılı bir güvenli yapılandırma süreci ister. Birçok kurum bu sürecin ölçütü olarak bir CIS Benchmark kullanır. Benchmark'lar işletim sistemi, bulut hizmeti ya da uygulama başına yazılan yapılandırma kılavuzlarıdır ve 25'ten fazla ürün ailesini kapsar. Uygunluğu elle denetlemek yavaştır.

Açık kaynak OpenSCAP aracı, sistemi SCAP biçiminde yazılmış bir profile göre tarar ve her kuralı tek tek sınar. Hazır içerik ComplianceAsCode projesinden gelir; birçok dağıtım bu içeriği scap-security-guide paketiyle sunar. Aşağıdaki tarama, Altay Kargo'nun gönderi takip API'sini çalıştıran bir RHEL 9 sunucusunda yapıldı. Bu taramayı yalnız kendi sistemlerinde ya da yazılı iznin olan sistemlerde çalıştır.

$ sudo oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_cis_server_l1 \
    --results-arf sonuc.xml --report rapor.html \
    /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml | tee tarama.txt
Title   Enable systemd-journald Service
Rule    xccdf_org.ssgproject.content_rule_service_systemd-journald_enabled
Ident   CCE-85941-3
Result  pass

Title   Ensure journald is configured to write log files to persistent disk
Rule    xccdf_org.ssgproject.content_rule_journald_storage
Ident   CCE-86046-0
Result  fail

Title   Set SSH Daemon LogLevel to VERBOSE
Rule    xccdf_org.ssgproject.content_rule_sshd_set_loglevel_verbose
Ident   CCE-86923-0
Result  fail

Title   Disable SSH Root Login
Rule    xccdf_org.ssgproject.content_rule_sshd_disable_root_login
Ident   CCE-90800-4
Result  pass
...
$ grep -c '^Result.*fail' tarama.txt
23
$ grep -c '^Result.*pass' tarama.txt
187

Çıktıyı satır satır oku. İlk komut profili, sonuç dosyasını ve HTML raporu verir; tee ekrandaki çıktıyı tarama.txt dosyasına da yazar. Her kural dört satırla gelir. Title kuralın adıdır, Rule benzersiz kimliğidir, Ident kuralın CCE (Common Configuration Enumeration) numarasıdır, Result ise sonuçtur.

journald kalıcı diske yazmıyor; sunucu yeniden başlarsa günlükler kaybolur. SSH günlük düzeyi VERBOSE değil; kimin hangi anahtarla girdiği kayda düşmüyor. İki başarısız kural da sekizinci kontrole, denetim günlüğü yönetimine dokunur. Ekip journald satırını 8.3'e (yeterli günlük depolama), SSH satırını 8.5'e (ayrıntılı denetim günlükleri) bağladı.

Son iki komut başarısız ve başarılı kuralları sayar. 23 başarısız kural, incelenecek 23 yapılandırma boşluğu demektir. Ekip her birini bir iş kaydına ve bir sahibe bağlar.

Tarama güçlü bir araçtır ama her şeyi görmez. Benchmark'taki bazı öneriler elle denetlenir. Örneğin RHEL 9 benchmark'ındaki 'rsyslog günlükleri uzak bir sunucuya gönderiyor mu' önerisi elle denetlenen bir maddedir.

Araç bu maddeyi kesin olarak sınayamaz; satırı bir insan doğrular. Taramayı bir kez çalıştırıp raporu klasöre koymak da yetmez. Güvence 4.1 süreci kurmanı ve sürdürmeni ister.

Altay Kargo taramayı her gece çalıştırıyor ve başarısız kural sayısını bir gösterge olarak izliyor. Sayı bir gecede artarsa bir yapılandırma değişmiş olabilir. Beklenmeyen bu değişiklik, güvenlik ekibi için ayrı bir tespit sinyalidir.

Üç çerçeveyi ayrı ayrı takip etmek ekibi yorar. Altay Kargo'da denetçi Ek A kontrolünü ister, perakende zinciri NIST fonksiyonunu sorar, siber sigortacı CIS güvencesini sorar. Olgun kurumlar bu üçünü tek bir iç kontrol kataloğunda birleştirir.

Her satır bir iç kontrolü ve onun karşılıklarını birlikte taşır. Bir kamu kurumu ya da kritik altyapı işletmesi satıra BİG Rehberi tedbirini de ekler. Eşleme bire bir değildir.

İyi bir eşleme tablosu ilişkinin türünü de yazar: iki öğe kesişebilir, biri öbürünün alt kümesi olabilir, nadiren de ikisi eşittir. Katalog bu ayrıntıyı saklamamalıdır. 'Karşılar' yerine 'kısmen karşılar' yazmak, denetimde seni korur.

İÇ KONTROL KATALOĞU - Altay Kargo (bir satır)
Kod        : AK-08
Kontrol    : Ağ ve sunucu günlüklerini merkezi topla, 90 gün sakla, haftada bir incele
CIS v8.1   : 8.2  Denetim günlüklerini topla (IG1)
             8.9  Denetim günlüklerini merkezileştir (IG2)
             8.10 Denetim günlüklerini sakla (IG2)
             8.11 Denetim günlüklerini incele (IG2)
ISO Ek A   : 8.15 Kaydetme (log tutma), teknolojik tema
             8.16 İzleme faaliyetleri, teknolojik tema
NIST CSF   : PR.PS-04 Günlük kayıtları üretilir ve sürekli izlemeye sunulur
             DE.CM-01 Ağlar ve ağ hizmetleri izlenir
BİG Rehberi: Merkezi Kayıt Yönetimi tedbiri, tedbir seviyesi 2 (Ağ ve Sistem Güvenliği)
Kanıt      : SIEM kaynak listesi, saklama ayarı ekranı, haftalık inceleme kaydı
Sahip      : Güvenlik ekibi

Satırı yukarıdan aşağı oku. Kod, kataloğun iç numarasıdır; CIS ya da ISO numarası değildir. Kontrol cümlesi ölçülebilir üç iş sayar: topla, sakla, incele. CIS sütunu her işi ayrı bir güvenceye bağlar.

Toplama IG1'de başlar; merkezileştirme, 90 günlük saklama ve haftalık inceleme IG2'de gelir. Altay Kargo'nun hedefi IG2 olduğu için dört güvence de satırdadır. Ek A sütunu iki kontrol gösterir: 8.15 kaydı, 8.16 izlemeyi karşılar. CSF sütununda günlük üretimi Koru'ya, ağ izleme Tespit Et'e düşer.

BİG Rehberi satırı SGB'nin eşleştirme tablosundan gelir; o tablo Merkezi Kayıt Yönetimi tedbirini 8.15 ile eşler. Altay Kargo bugün Rehber'e tabi değil; bu sütunu ileride gerekirse hazır olmak için tutuyor. Kanıt ve sahip sütunları satırı denetlenebilir yapar.

Bir örnek daha kur. Uç nokta zararlı yazılım koruması Ek A'da 8.7 numarasıyla teknolojik temaya girer. NIST CSF'de Koru fonksiyonuna karşılık gelir.

CIS'te onuncu kontrolün, zararlı yazılım savunmalarının altında durur. Yazılımı kurmak 10.1 ile IG1'de, davranış tabanlı koruma 10.7 ile IG2'de gelir. Aynı satırı denetçi, müşteri ve sigortacı kendi sorusu için okur.

Laboratuvarda Altay Kargo'nun sekiz satırlık kataloğunu okuyacaksın. Her satırdan temayı ve fonksiyonu çıkarıp sayacaksın. Önce iki sütunu birlikte okumayı dene.