Tarayıcı listesi uzadıkça doğru soru "kaç açığımız var?" olmaktan çıkıyor; asıl soru "hangisi bizde gerçekten istismar edilebilir?" oluyor.
Yeni bir kritik zafiyet haberlere düştüğünde yönetim toplantısındaki ilk soru hep aynıdır: Bizi etkiler mi? Pek çok kurumda bu sorunun cevabı günler süren bir tarama, yüzlerce satırlık bir liste ve "muhtemelen" diye başlayan bir bilgi notu olur.
Zafiyet önceliklendirme, bu belirsizliği savunulabilir bir karara dönüştüren disiplindir. Tarayıcının bulduğu her açığı aynı aciliyetle kapatmak mümkün değildir; mesele, sınırlı ekip ve bakım penceresini gerçekten istismar edilebilir olanlara ayırmaktır. Picus Exposure Validation ile tarayıcı bulgularının doğrulanması bu yaklaşımın somut karşılığıdır ve 2026 itibarıyla konu üst yönetimin gündemine girmiş durumdadır.
Kısaca: Zafiyet önceliklendirme, tarayıcıların bulduğu açıklardan hangisinin kurumunuzda gerçekten istismar edilebilir olduğunu belirleyip yama ve bütçe kaynağını önce oraya ayırmaktır. CVSS skoru bir açığın genel ağırlığını söyler; mevcut güvenlik kontrollerinize karşı yapılan doğrulama ise bugün sizi neyin gerçekten etkilediğini kanıtıyla gösterir.
Zafiyet önceliklendirme neden yönetim gündemine taşındı?
Her gün yüzün üzerinde yeni CVE (Common Vulnerabilities and Exposures, kamuya duyurulan güvenlik açığı kaydı) yayımlanıyor. Orta ölçekli bir kurumun tarayıcı raporunda binlerce bulgu görmek olağan hale geldi. Bunların hepsini aynı hızla kapatacak ekip ya da bakım penceresi ise çoğu zaman yok.
Süre baskısı da artıyor. 2026 itibarıyla öncü yapay zeka modellerinin zafiyet keşfini ve istismar kodu üretimini hızlandırdığı gözlemleniyor; bir açığın duyurulması ile saldırıda kullanılması arasındaki süre kısalıyor. Haftalık ya da aylık yama döngüsüyle çalışan bir kurum için bu, "listede sırası gelince bakarız" yaklaşımının artık yetmediği anlamına geliyor.
Üçüncü baskı, mevcut güvenlik yatırımlarının gerçek performansıyla ilgili. Picus'un Ağustos 2026'da yayımladığı Blue Report 2026, Ocak-Haziran 2026 arasında üretim ortamlarında çalıştırılan 338 milyonu aşkın saldırı simülasyonunu inceliyor. Raporda kurumların dış çeperde saldırıların %69'unu engellediği, ancak saldırgan içeri girdikten sonraki eylemlerin yalnızca %37'sini durdurabildiği görülmüştür. Simüle saldırıların %58'i loglanmış, yalnızca %14'ü alarm üretmiştir.
Raporun önerilerinden biri doğrudan bu yazının konusudur: Zafiyet giderme, yalnızca önem skoruna göre değil, kanıtlanmış istismar edilebilirliğe göre önceliklendirilmelidir. Başka bir deyişle, "kontrollerimiz var" demek ile "kontrollerimiz bu açığı durduruyor" demek arasındaki fark ölçülmeden doğru sıralama yapılamaz.
CVSS ve EPSS ne söyler, ne söylemez?
Zafiyet yönetiminin ortak dili CVSS'tir (Common Vulnerability Scoring System). FIRST tarafından yönetilen bu standart, bir açığa 0 ile 10 arasında bir ağırlık puanı verir. Ancak puan, açığın teorik olarak ne kadar zarar verebileceğini anlatır; sizin ağınızda erişilebilir olup olmadığını ya da önündeki kontrollerin onu durdurup durdurmadığını bilmez.
İki yeni sinyal tabloyu zenginleştirir. EPSS (Exploit Prediction Scoring System), bir açığın önümüzdeki 30 gün içinde istismar edilme olasılığını tahmin eder. KEV (Known Exploited Vulnerabilities) kataloğu ise sahada aktif olarak istismar edildiği bilinen açıkları listeler. Bu ikisi "dünyada ne oluyor?" sorusunu iyi cevaplar.
Üç sinyalin ortak sınırı şudur: Hepsi açığa dışarıdan bakar. CVSS 9,8 puanlı bir açık, bir kurumda internete açık ve korumasız bir sunucuda gerçek bir risk olabilir. Başka bir kurumda ise aynı açık segmentasyon, EDR ve IPS imzasıyla fiilen etkisiz hale getirilmiş olabilir. Yönetimin sorduğu "bizi etkiler mi?" sorusu tam olarak bu iç bağlamla ilgilidir.
İstismar edilebilirlik doğrulama: "Bizi etkiler mi?" sorusunun kanıtı
Maruziyet doğrulama (exposure validation), tarayıcının bulduğu bir açığın sizin ortamınızda, sizin kontrollerinize karşı gerçekten kullanılabilir olup olmadığını test eden yaklaşımdır. Gartner'ın tanımladığı CTEM çerçevesinde "doğrulama" adımına karşılık gelir; döngünün tamamı sürekli tehdit maruziyeti yönetimi (CTEM) rehberinde ele alınıyor.
Türkiye çıkışlı Picus Security'nin geliştirdiği Picus Exposure Validation (EXV), Tenable, Qualys, Rapid7 ve Wiz gibi tarayıcılardan gelen bulguları alır ve her biri için tek bir soruya cevap arar: Bu açığın gerektirdiği saldırgan adımları bugünkü güvenlik duvarı, EDR, SIEM ve segmentasyon yapınıza karşı başarılı olur mu? Güvenle çalıştırılabilen sistemlerde doğrulama gerçek saldırı zinciriyle yapılır. Üretim kritikliği yüksek ya da kısıtlı sistemlerde ise açığın gerektirdiği tekniklerin zincirlenmesiyle (TTP-chaining) kanıt üretilir.
Bu ayrım yöneticiler için önemlidir, çünkü en kritik sistemler genellikle "dokunulamayan" sistemlerdir. Picus, kamuya açık istismar kodu bulunmayan CVE'ler için bile açığın duyurulduğu gün değerlendirme yapılabildiğini belirtiyor. Sonuç, CVSS, EPSS ve KEV sinyallerini doğrulanmış istismar edilebilirlik, kontrol performansı ve varlık kritikliğiyle birleştiren Picus Exposure Score (PXS) ile özetlenir.
Senaryo: Bir pazartesi sabahı, kurumun uzaktan erişim için kullandığı VPN cihazlarını etkileyen kritik bir açık duyuruluyor. Genel müdür, yönetim toplantısından önce bilgi güvenliği yöneticisine "Bizi etkiler mi?" diye soruyor. Tarayıcı açığı birkaç sistemde raporluyor, ancak hangisinin gerçekten risk taşıdığını söylemiyor.
Doğrulama yapan ekip, açığın gerektirdiği saldırgan adımlarını mevcut kontrollere karşı güvenli biçimde simüle ediyor. İnternete açık cihazda saldırı zincirinin tamamlandığı, iç ağdaki sistemlerde ise segmentasyon ve EDR tarafından durdurulduğu görülüyor. Öğleden önce yönetime giden not artık "muhtemelen" ile başlamıyor: Bir cihaz o gece yamalanacak, diğerlerinde mevcut önlemlerin işe yaradığı kanıtlandı ve izlemeye alındı.
Zafiyet önceliklendirmede dört karar: yamala, azalt, izle, kabul et
Doğrulamanın asıl değeri, her bulguyu dört net karardan birine bağlamasıdır. Picus bu çıktıları Patch, Mitigate, Monitor ve Accept with Evidence olarak adlandırır:
- Yamala: Açık istismar edilebilir ve kontroller durdurmuyor. Bu bulgular listenin başına gelir; bakım penceresi önce bunlara ayrılır.
- Azalt: Açık istismar edilebilir, ancak yama hemen uygulanamıyor. Güvenlik ürünlerine uygulanabilecek hazır önleme imzaları ve tespit kurallarıyla risk, yama gelene kadar düşürülür; ardından önlemin işe yaradığı yeniden test edilir.
- İzle: Açık bugün istismar edilemiyor ya da etkisi sınırlı. Yeni bir istismar kodu, EPSS artışı veya yapılandırma değişikliği tabloyu değiştirebileceği için takipte kalır.
- Kanıtla kabul et: Mevcut kontrollerin saldırı zincirini durdurduğu test edilmiştir. Risk kabulü, tarihli ve tekrarlanabilir bir test sonucuna dayanır.
Üst yönetim açısından en çok değer üreten iki karar genellikle "azalt" ve "kanıtla kabul et"tir. İlki, iş sürekliliği nedeniyle yamalanamayan sistemlerde riskin yönetilebildiğini gösterir. İkincisi, denetimde ya da düzenleyici çerçeve (BDDK, KVKK) kapsamındaki incelemelerde "bu açığı neden kapatmadınız?" sorusuna tahmine değil, test sonucuna dayanan bir cevap verir.
Entegrasyon listesi ve karar çıktılarının ayrıntısı için Picus Exposure Validation'ın hangi tarayıcılarla çalıştığı ve hangi kararları ürettiği ürün sayfasında yer alıyor.
Kritik zafiyet yönetimi yönetim kuruluna nasıl raporlanmalı?
Geleneksel raporlar açık sayısını ve CVSS dağılımını gösterir. Bu tablo ekibin iş yükünü anlatır, ancak kurumun gerçekte ne kadar açıkta olduğunu anlatmaz. Doğrulamaya dayalı bir zafiyet önceliklendirme raporu ise yönetimin karar vermesini sağlayacak soruları öne çıkarır.
| Geleneksel rapor | Doğrulamaya dayalı rapor |
|---|---|
| Toplam açık sayısı | Doğrulanmış, istismar edilebilir maruziyet sayısı |
| CVSS puanı yüksek bulgu adedi | Kontrollerin durduramadığı kritik bulgular |
| Kapatılan açık yüzdesi | Doğrulanmış açıkların kapanma süresi |
| Risk kabul listesi | Test kanıtlı risk kabulleri |
| Sahip olunan güvenlik ürünleri | Kontrollerin engelleme ve alarm üretme oranı |
Son satır, zafiyet önceliklendirmenin güvenlik kontrolü ölçümüyle birleştiği noktadır. Blue Report verilerindeki loglama ile alarm arasındaki fark, kontrollerin bir saldırıyı durduramadığında bunu fark edip etmediğini de sorgulatır. Picus Breach and Attack Simulation ile güvenlik kontrollerinin sürekli ölçülmesi, bu oranları dönemsel bir denetim fotoğrafı yerine sürekli izlenen bir göstergeye çevirir.
Yönetim kurulu için en sade gösterge çoğu zaman şudur: Bu çeyrekte kaç kritik açık "bizi etkiler" olarak doğrulandı ve bunlar ne kadar sürede kapatıldı? Bu iki soru, güvenlik bütçesinin nereye gittiğini ve ne işe yaradığını aynı tabloda gösterir.
Sıkça Sorulan Sorular
CVSS skoru tek başına zafiyet önceliklendirme için yeterli mi?
Yeterli değildir. CVSS, bir açığın genel ağırlığını standart bir ölçekle ifade eder; ancak kurumunuzdaki erişilebilirliği, varlığın iş açısından önemini ve mevcut güvenlik kontrollerinin açığı durdurup durdurmadığını hesaba katmaz. Sağlıklı bir zafiyet önceliklendirme, CVSS'i EPSS, KEV, varlık kritikliği ve kontrol doğrulaması sonuçlarıyla birlikte değerlendirir.
EPSS ve KEV ne işe yarar?
EPSS, bir açığın önümüzdeki 30 gün içinde istismar edilme olasılığını tahmin eden, herkese açık bir modeldir. KEV kataloğu ise sahada aktif olarak istismar edildiği doğrulanmış açıkları listeler. İkisi de "bu açık dünyada kullanılıyor mu?" sorusunu cevaplar. "Bizim ortamımızda başarılı olur mu?" sorusu için ise ayrıca doğrulama gerekir.
Yama hemen uygulanamıyorsa kritik zafiyet nasıl yönetilir?
İş sürekliliği nedeniyle yamalanamayan sistemlerde amaç, riski yama gelene kadar telafi edici kontrollerle düşürmektir. Güvenlik duvarı, IPS, EDR veya WAF üzerinde açığa özel önleme imzası ve tespit kuralı uygulanır. Ardından saldırı simülasyonuyla önlemin gerçekten çalıştığı test edilir; test edilmemiş bir geçici önlem yalnızca bir varsayımdır.
Maruziyet doğrulama sızma testinin yerini alır mı?
Tamamen almaz, birbirini tamamlar. Sızma testi belirli bir kapsamı belirli bir dönemde derinlemesine inceler ve uzman yaratıcılığından yararlanır. Maruziyet doğrulama ise yeni açıklar yayımlandıkça ve ortam değiştikçe sürekli çalışır; dokunulması riskli sistemlerde bile değerlendirme yapabilir. Yıllık testlerin arasındaki boşluğu kapatmak için ikisi birlikte kullanılır.
Sonuç: Ne zaman tarama yeterli, ne zaman doğrulama gerekir?
Az sayıda sistemi olan ve yama döngüsünü sorunsuz işletebilen bir yapıda, düzenli tarama ile CVSS ve KEV'e dayalı sıralama çoğu zaman yeterlidir. Tarayıcı listesi ekibin kapasitesini aştığında, yamalanamayan kritik sistemler bulunduğunda ya da risk kabul kararlarının denetimde savunulması gerektiğinde ise doğrulamaya dayalı zafiyet önceliklendirme belirleyici hale gelir.
Karar ölçütü basittir: Yönetimden "bizi etkiler mi?" sorusu geldiğinde cevap aynı gün ve kanıtla verilebiliyorsa süreç çalışıyordur. Cevap "tarama sonuçlarını bekliyoruz" ise doğrulama adımı eksiktir.
Technodus, Picus Security çözüm ortağı olarak mevcut zafiyet tarayıcınızın Picus'a bağlanmasından ilk doğrulama turunun yorumlanmasına ve çıkan yama ve azaltma kararlarının uygulanmasına kadar süreci uçtan uca sorumlulukla yürütür. Kendi tarayıcı verinizle bir PoC planlamak için Technodus ekibiyle iletişime geçebilirsiniz.