N-day saldırısı, yaması yayımlanmış ancak hedef kurumda henüz uygulanmamış bir zafiyetin sömürülmesidir. Adındaki sayı, yamanın yayımlanmasından bu yana geçen gün sayısını ifade eder. Bu tür saldırılar, sıfırıncı gün saldırılarından çok daha yaygındır ve gerçek olayların büyük bölümünü oluşturur. Sömürü kodu genellikle yama yayımlandıktan kısa süre sonra kamuya açılır. Bu nedenle yama penceresi, riskin doğrudan ölçüsüdür.

Yamanın yayımlanması, saldırganlar için de bir bilgi kaynağıdır. Yamanın karşılaştırılmasıyla düzeltilen hatanın ne olduğu çıkarılabilir ve sömürü kodu geliştirilebilir. Bu süreç bazen saatler alır. Dolayısıyla yama yayımı, savunanla saldırgan arasında bir yarışın başlangıcıdır. Yarışın kazanılması, uygulama hızına bağlıdır.

N-Day Saldırısı Nedir?

N-day saldırısı, üretici tarafından yaması yayımlanmış olmasına rağmen hedef sistemlerde henüz uygulanmamış bir zafiyetin sömürülmesiyle gerçekleştirilen saldırıdır.

Bu saldırı türü, sıfırıncı gün saldırılarının aksine tamamen önlenebilirdir. Gerekli olan tek şey, yamanın zamanında uygulanmasıdır. Buna rağmen birçok kurumda kritik yamaların uygulanması haftalar sürmektedir. Gecikmenin nedenleri teknik olmaktan çok süreçseldir. Bu nedenle çözüm de süreç tarafındadır.

Yama Penceresi Neden Uzuyor?

İlk neden envanter eksikliğidir. Hangi sistemin hangi sürümü çalıştırdığı bilinmediğinde, yamanın nereye uygulanacağı da belirlenemez. Bu belirsizlik, çalışmanın başlangıcını geciktirir. Envanterin otomatik ve güncel olması, süreci günlerden saatlere indirir. Envanter, yama yönetiminin ön koşuludur.

İkinci neden, test ve onay süreçlerinin ağırlığıdır. Yamanın üretim ortamını bozma riski gerçektir ve test edilmesi gerekir. Ancak test sürecinin haftalar sürmesi, riskin dengesini bozar. Kritik yamalar için hızlandırılmış bir yol tanımlanmalıdır. Bu yol, sınırlı test ve hızlı geri alma imkânı içerir.

Üçüncü neden, kesinti penceresi kısıtlarıdır. Bazı sistemler yalnızca belirli zamanlarda yeniden başlatılabilir. Bu kısıtın azaltılması için yedeklilik ve kademeli güncelleme mimarileri gerekir. Mimari yatırım, yama hızını kalıcı olarak artırır. Aksi hâlde her yama bir müzakere konusu olur.

• Güncel olmayan ya da eksik varlık envanteri
• Uzun test ve onay döngüleri
• Kısıtlı bakım pencereleri ve yedeklilik eksikliği
• Sorumluluk belirsizliği ve sahipsiz sistemler
• Desteklenmeyen eski ürünler ve uyumluluk kısıtları

Önceliklendirme Nasıl Yapılır?

Tüm yamaların aynı hızla uygulanması gerekmez ve mümkün de değildir. Önceliklendirme üç girdiye dayanır: zafiyetin teknik ciddiyeti, etkilenen sistemin kritikliği ve aktif sömürü bilgisi. Bu üçünden en belirleyici olanı aktif sömürü bilgisidir. Aktif olarak sömürülen bir zafiyet, teorik olarak daha ciddi görünen bir zafiyetin önüne geçer. Bu bakış, sınırlı kaynağın doğru yere yönlendirilmesini sağlar.

İnternete açık sistemler her zaman öncelikli kabul edilir. Bu sistemlerdeki zafiyetler, ek bir erişim gerektirmeden sömürülebilir. İç ağdaki bir sistemdeki aynı zafiyet, saldırganın önce içeri girmesini gerektirir. Bu fark, önceliklendirmede belirleyici olmalıdır. Dış yüzey envanteri bu nedenle ayrıca tutulur.

Kimlik doğrulama gerektirmeyen ve uzaktan kod çalıştırmaya imkân veren zafiyetler ayrıca öne alınır. Bu kombinasyon, en hızlı sömürülen zafiyet profilidir. Ciddiyet puanı bu bilgiyi kısmen yansıtır ama tek başına yeterli değildir. Bu nedenle puanın yanında sömürü özellikleri de okunmalıdır. Otomatik önceliklendirme kuralları bu bilgiyi içermelidir.

Yama Yönetimi Süreci

Sağlıklı bir süreç, duyuru takibiyle başlar. Kullanılan ürünlerin güvenlik bültenlerinin izlenmesi ve otomatik bildirim alınması gerekir. Manuel takip, ürün sayısı arttıkça sürdürülemez hâle gelir. Otomasyon, hem kapsamı hem hızı artırır. Bu adım genellikle en kolay iyileştirilen adımdır.

İkinci adım, etki analizidir. Duyurulan zafiyetin kurumda hangi sistemleri etkilediği envanter üzerinden belirlenir. Etkilenmeyen sistemler kapsam dışına alınır ve iş yükü azalır. Doğru envanter, gereksiz çalışmayı da önler. Bu verimlilik, sürecin sürdürülebilirliğini sağlar.

Üçüncü adım, uygulama ve doğrulamadır. Yamanın gerçekten uygulandığının bağımsız olarak doğrulanması gerekir. Dağıtım aracının başarılı raporlaması her zaman yeterli değildir. Zafiyet taraması ile doğrulama yapılması önerilir. İki kaynağın karşılaştırılması boşlukları ortaya çıkarır.

Yamalanamayan Sistemler

Bazı sistemler teknik ya da ticari nedenlerle yamalanamaz. Desteği sona ermiş ürünler, üretici onayı gerektiren tıbbi ve endüstriyel cihazlar bu kategoridedir. Bu sistemler için telafi edici kontroller tanımlanır. Ağ erişiminin sıkı kısıtlanması, ek izleme ve fiziksel erişim kontrolü bu kapsamdadır. Kontroller yazılı hâle getirilir ve dönemsel olarak doğrulanır.

Bu sistemlerin taşıdığı risk, kurumun artık risk kaydına işlenir. Kabul eden yönetici ve gözden geçirme tarihi belirtilir. Böylece risk görünür kalır ve unutulmaz. Ayrıca sistemin değiştirilmesi için bir yol haritası tanımlanır. Süresiz kabul edilen riskler zamanla kalıcı zafiyete dönüşür.

Sömürü Kodunun Yayılma Hızı

Yama yayımlandıktan sonra sömürü kodunun ortaya çıkma süresi giderek kısalmaktadır. Bazı kritik zafiyetlerde bu süre saatlerle ölçülür. Kod kamuya açıldığında, teknik yetkinliği sınırlı aktörler de saldırıyı gerçekleştirebilir hâle gelir. Bu genişleme, hedef seçiciliğini ortadan kaldırır ve internete açık her sistem hedef olur. Otomatik tarama ve sömürü kampanyaları bu dönemde yoğunlaşır.

Bu nedenle internete açık sistemler için yama süresi saatlerle planlanmalıdır. Günlerle ölçülen bir süreç, bu tür zafiyetlerde yetersiz kalır. Hızlı müdahale için önceden onaylanmış bir acil değişiklik yolu gerekir. Yolun kimler tarafından ve hangi koşullarda kullanılacağı yazılı olmalıdır. Kriz anında yetki tartışması zaman kaybettirir.

Yamanın hemen uygulanamadığı durumlarda geçici azaltma devreye girer. İlgili servisin geçici olarak kapatılması ya da erişimin kısıtlanması, pencereyi güvenli biçimde uzatır. Bu kararın iş etkisi önceden değerlendirilmelidir. Değerlendirme, kriz anında değil hazırlık aşamasında yapılır. Senaryo çalışmaları bu hazırlığı sağlar.

Ölçüm ve Göstergeler

Yama yönetiminin etkinliği ölçülebilir göstergelerle izlenir. Kritik yamaların ortalama uygulama süresi, kapsama oranı ve süresi geçmiş açık zafiyet sayısı temel göstergelerdir. Bu göstergelerin sistem kritikliğine göre ayrıştırılması daha anlamlı sonuç verir. İnternete açık sistemler ayrı bir grup olarak izlenmelidir. Ortalama tek başına yanıltıcı olabilir.

Göstergelerin eğilimi, sürecin olgunluğunu gösterir. Uygulama süresinin zaman içinde kısalması, yapılan iyileştirmelerin karşılığını verdiğini kanıtlar. Bu veri, bütçe görüşmelerinde somut bir dayanak sunar. Tek seferlik ölçümler ise eğilim üretmez. Bu nedenle ölçüm düzenli tekrarlanmalıdır.

Doğrulamanın bağımsız kaynaktan yapılması da önemlidir. Yama dağıtım aracının raporu ile bağımsız tarama sonuçları karşılaştırılır. Farklar, dağıtımın başarısız olduğu sistemleri ortaya çıkarır. Bu karşılaştırma çoğu kurumda yapılmaz. Yapıldığında beklenmedik boşluklar bulunur.

Tedarikçi ve Bulut Bağımlılıkları

Kurumun kullandığı bulut hizmetlerinin yama sorumluluğu paylaşılan sorumluluk modeline göre belirlenir. Yönetilen hizmetlerde altyapı yaması sağlayıcıya aitken, uygulama katmanı müşteride kalır. Bu sınırın net anlaşılmaması, iki tarafın da beklediği bir boşluk yaratır. Sözleşmede sınırın açıkça yazılması gerekir. Üçüncü taraf risk yönetimi bu netliği sağlar.

Tedarikçilerin kendi yama süreçleri de değerlendirilmelidir. Bir hizmet sağlayıcının yavaş yama uygulaması, kurumun riskini doğrudan artırır. Değerlendirme sırasında bu konuda kanıt istenmelidir. Beyan yeterli değildir. Dönemsel raporlama sözleşmeye eklenebilir.

Privia Security olarak yama penceresini ve dış yüzeydeki bilinen zafiyetleridüzenli zafiyet tarama hizmeti ile sürekli izliyor, önceliklendirilmiş kapatma listesi sunuyoruz.