B2B Şirketler İçin Tehdit Avcılığı ve Zaafiyet Yönetimi

Hızlı Özet (TL;DR)

Geleneksel kurumsal güvenlik yaklaşımı “reaktiftir”; yani antivirüs bir alarm çaldığında, güvenlik duvarı bir uyarı ürettiğinde veya sunucu ekranında fidye yazılımı (Ransomware) notu belirdiğinde müdahale edilir. Ancak küresel siber olay müdahale (Incident Response) istatistikleri, gelişmiş kalıcı tehditlerin (APT) ve organize fidye yazılımı çetelerinin verileri şifrelemeden önce şirket ağlarında ortalama 16 ila 200 gün boyunca sessizce gizlendiğini (Dwell Time) göstermektedir. Proaktif Siber Tehdit Avcılığı (Threat Hunting) ve Sürekli Zaafiyet Yönetimi (Vulnerability Management), “Ağımızda halihazırda güvenlik duvarını aşmış bir saldırgan olabilir” (Assume Breach) varsayımıyla yola çıkarak gizli anomalileri, meşru sistem araçlarının kötüye kullanımını ve istismar edilebilir güvenlik açıklarını felaket gerçekleşmeden önce yakalama disiplinidir.

B2B Sanayi ve Tedarik Zinciri Şirketleri Neden Birincil Hedeftir?

Otomotiv yan sanayi, makine imalatı, savunma taşeronları, kimya ve lojistik gibi B2B çalışan orta-büyük ölçekli işletmeler, siber suç örgütleri için “yüksek ödeme kapasiteli ancak savunması parçalı” hedeflerdir. Bir imalat fabrikasında ERP sunucusunun ve CNC/PLC üretim ağının 3 gün durması, ana sanayi müşterilerine olan sevkiyat sözleşmelerinde ağır cezai şartlar doğurur.

Üstelik modern saldırganlar artık dışarıdan kaba kuvvetle güvenlik duvarını delmeye çalışmaz; bunun yerine:

• Tedarikçinizin veya fasoncunuzun ele geçirilmiş e-posta hesabından gönderilen gerçek bir fatura/teknik resim ekiyle içeri sızar (Tedarik Zinciri Saldırısı).
• Çalınmış VPN veya uzak masaüstü (RDP) kimlik bilgilerini karanlık ağdan (Dark Web / Initial Access Brokers) satın alarak ağınıza “yetkili kullanıcı” gibi giriş yapar.
• İçeri girdikten sonra hiçbir .exe virüs dosyası indirmeden, Windows’un kendi yerleşik yönetim araçlarını (PowerShell, WMIC, Certutil, PsExec, Task Scheduler) kullanarak Living-off-the-Land (LotL) taktiğiyle antivirüsleri atlatır ve yedekleme sunucularınızı hedef alır.

Sürekli Zaafiyet Yönetiminin (Vulnerability Management) 4 Aşamalı Döngüsü

Zaafiyet yönetimi yılda bir kez yapılan formalite bir tarama değil, her hafta yaşayan kesintisiz bir mühendislik döngüsüdür:

1. Varlık Keşfi ve Derinlemesine Zafiyet Taraması (Authenticated Scanning)

Ağınızda bilmediğiniz bir cihazı koruyamazsınız. Öncelikle iç ağdaki tüm fiziksel/sanal sunucular, Güvenlik Duvarı (Firewall) cihazları, yönetilebilir switch’ler, IP kameralar, yazıcılar ve OT/endüstriyel kontrol cihazları keşfedilir. Ardından Nessus, Qualys veya OpenVAS gibi kurumsal motorlarla hem dış IP adresleriniz (External Perimeter) hem de iç ağınız kimlik bilgili (Credentialed) olarak taranarak eksik yamalar, eski protokoller ve CVE (Common Vulnerabilities and Exposures) kodlu açıklar listelenir.

2. Bağlamsal Risk Önceliklendirmesi (CVSS + EPSS + CISA KEV)

Orta ölçekli bir şirket ağında yapılan ilk taramada binlerce zafiyet bulgusu çıkabilir. Bilgi işlem ekibinin bunların hepsini aynı anda kapatması imkânsızdır. Bu noktada sadece teorik CVSS (0-10 arası) puanına bakmak yanıltıcıdır. Maysa Yazılım siber güvenlik mühendisleri önceliklendirmeyi şu üçlü matrisle yapar:

• CISA KEV (Known Exploited Vulnerabilities): Açık şu anda dünyada aktif olarak fidye yazılımı grupları tarafından kullanılıyor mu?
• EPSS (Exploit Prediction Scoring System): Bu açığın önümüzdeki 30 gün içinde istismar edilme olasılığı nedir ve internette hazır saldırı kodu (PoC Exploit) var mı?
• Varlık Kritikliği ve Maruziyet: Açık, internete doğrudan bakan bir VPN/Exchange sunucusunda mı, yoksa izole bir iç test makinesinde mi bulunuyor?

3. Yama Yönetimi (Patching), Sanal Yamalama ve Sıkılaştırma

Kritik öncelikli açıklar için üretici yamaları test edilerek canlı sunuculara uygulanır. Eğer eski bir ERP veya endüstriyel kontrol yazılımı nedeniyle işletim sistemi güncellenemiyorsa, IPS/WAF katmanında Sanal Yamalama (Virtual Patching) kuralı yazılarak veya mikro-segmentasyon ile ilgili portlar kapatılarak risk izole edilir.

4. Doğrulama Taraması ve Sürekli İzleme

Yama uygulandıktan sonra kayıt defteri (Registry) veya servis yeniden başlatma eksikliği nedeniyle açığın hâlâ aktif kalıp kalmadığı doğrulama taramasıyla (Re-scan) kesin olarak teyit edilir.

Reaktif Güvenlik, Zaafiyet Taraması ve Tehdit Avcılığı Kıyaslaması

Değerlendirme Kriteri	Geleneksel Reaktif Güvenlik (Antivirüs + Firewall)	Düzenli Zaafiyet Yönetimi (Vulnerability Management)	Proaktif Siber Tehdit Avcılığı (Threat Hunting)
Temel Odak Noktası	Bilinen imzaları ve basit saldırıları otomatik engellemek	Saldırganın kullanabileceği açık kapıları (CVE) önceden kapatmak	Güvenlik duvarını aşmış gizli saldırganı ağ içinde bulmak
Çalışma Prensibi	Otomatik kural ve imza tabanlı (Alarm gelince bakılır)	Periyodik otomatik tarama + mühendislik önceliklendirmesi	Hipotez odaklı, MITRE ATT&CK matrisiyle derin log ve davranış analizi
Kullandığı Veri Kaynakları	Paket başlıkları ve dosya hash imzaları	İşletim sistemi sürümü, yama seviyesi, port ve konfigürasyon	EDR/XDR telemetrisi, Active Directory logları, KVKK ve 5651 Loglama
Zero-Day ve LotL Tespiti	Çok Düşük (Dosyasız saldırıları ve çalıntı şifreyi göremez)	Orta (Yalnızca yayınlanmış CVE açıklarını tespit eder)	Çok Yüksek (Normal dışı yönetici ve süreç davranışını yakalar)
Sızma Fark Edilme Süresi	Fidye yazılımı dosyaları şifrelediğinde fark edilir	Açıklar kapatılarak sızma yüzeyi %85 daraltılır	Saldırgan henüz keşif (Reconnaissance) aşamasındayken yakalanır

Tehdit Avcısının (Threat Hunter) Baktığı Şüpheli İpuçları (IoA ve IoC)

Bir tehdit avcısı ekranda kırmızı bir alarm yanmasını beklemez; MITRE ATT&CK çerçevesine göre hipotezler kurar ve sistem kayıtlarında Saldırı Göstergelerini (Indicators of Attack - IoA) arar:

1. Anormal Zaman ve Kimlik Hareketleri: Muhasebe müdürünün veya sistem yöneticisinin kullanıcı hesabıyla gece saat 03:15’te dosya sunucusuna ardışık SMB bağlantıları kurulması veya Active Directory’de yeni bir Domain Admin hesabı oluşturulup 2 dakika sonra silinmesi.
2. Şüpheli Alt Süreç (Parent-Child Process) İlişkileri: WINWORD.EXE (Microsoft Word) veya EXCEL.EXE uygulamasının altında gizli parametrelerle (-nop -w hidden -enc) bir powershell.exe veya cmd.exe sürecinin başlatılması.
3. Kimlik Bilgisi Dökümü (Credential Dumping) Girişimleri: İşletim sistemi belleğindeki şifre özetlerini tutan LSASS.exe sürecine beklenmedik bir uygulama tarafından okuma erişimi yapılması (Mimikatz vb. teknikler).
4. Dışarıya Periyodik Sinyal Gönderme (C2 Beaconing): İç ağdaki bir sunucunun her 60 saniyede bir şifreli DNS sorgularıyla veya HTTPS üzerinden daha önce hiç ziyaret edilmemiş bir bulut IP adresine küçük veri paketleri göndermesi.
5. Gölge Kopya (VSS) Yok Etme Hazırlığı: Fidye yazılımının şifreleme başlatmadan hemen önce yerel yedekleri silmek için çalıştırdığı vssadmin delete shadows veya wbadmin komutlarının erken tespiti.

Altyapınızın gerçek bir saldırgan gözüyle test edilmesi, zafiyet yönetimi döngüsünün kurulması ve düzenli güvenlik denetimleri için Sızma Testi (Pentest) sayfamızı inceleyin.

Sıkça Sorulan Sorular

Zaafiyet Taraması (Vulnerability Scan) ile Sızma Testi (Pentest) arasındaki fark nedir?

Zaafiyet taraması, otomatize edilmiş araçlarla ağdaki tüm kapı ve pencerelerin kontrol edilip “Şu sunucuda şu CVE açığı var” şeklinde geniş kapsamlı bir envanter çıkarılmasıdır. Sızma Testi (Pentest) ise uzman bir etik bilgisayar korsanının (Red Team) bu açıklardan birkaçını birbirine zincirleyerek gerçekten içeri girip giremeyeceğini, yetki yükseltip Active Directory veya ERP veritabanını ele geçirip geçiremeyeceğini kanıtladığı derinlemesine simülasyondur. İkisi birbirinin alternatifi değil, tamamlayıcısıdır.

Zafiyet taraması yapılırken canlı çalışan ERP sunucumuz veya üretim ağımız zarar görür mü?

Doğru yapılandırılmış kurumsal bir zafiyet taraması sunucularınızı düşürmez. Maysa Yazılım olarak tarama profillerini kurgularken yıkıcı denemeleri (DoS/Exploit payload’larını) devre dışı bırakıyor, bant genişliği kısıtlaması uyguluyor ve hassas endüstriyel PLC/CNC (OT) ağlarında aktif paket göndermek yerine pasif ağ dinleme yöntemlerini tercih ediyoruz.

Küçük bir bilgi işlem ekibimiz var; tehdit avcılığı ve zafiyet yönetimini nasıl sürdürebiliriz?

Şirket bünyesinde tam zamanlı bir siber güvenlik analisti istihdam etmek yüksek maliyetli olabilir. Bu noktada Maysa Yazılım’ın yönetilen güvenlik ve periyodik denetim hizmetleriyle; aylık/çeyreklik düzenli iç-dış zafiyet taramalarınızı gerçekleştiriyor, bilgi işlem ekibinize sadece “en acil kapatılması gereken 10 kritik bulgu ve çözüm reçetesi” şeklinde sadeleştirilmiş mühendislik raporu sunuyor ve yama doğrulamasını birlikte yönetiyoruz.