Flashpoint’in son raporu, Güvenlik Açığı Yönetimi sistemini yeniden tanımlıyor ve CVE tarafından belirlenen mevcut standartlara meydan okuyor.
Kayda değer bir dönüm noktasına ulaşan siber güvenlik firması Flashpoint, VulnDB’nin (Güvenlik Açığı Veritabanı) artık 100.000’den fazla güvenlik açığını belgelediğini duyurdu. Bu güvenlik açıklarının Ortak Güvenlik Açıkları ve Etkilenmeler (CVE) ve Ulusal Güvenlik Açığı Veritabanı (NVD) kapsamında olmaması dikkat çekicidir. Buna daha önce bilinmeyen, haber verilmeyen ve belgelenmeyen sıfır gün güvenlik açıkları da dahildir.
Güvenlik açığı yönetimi programları genellikle CVE verilerine dayanır. Ancak bu yaklaşım, bilinen tehditlerin %30’unu gözden kaçırarak kuruluşları savunmasız bırakıyor. Flashpoint’in VulnDB veritabanı, 100.000’den fazla CVE dışı güvenlik açığını dahil ederek ve tehdit ortamını kapsamlı bir şekilde analiz ederek bu açığı giderir.
Flashpoint’ten Brian Martin, şirketin resmi duyurusunda, sıfır günler ve yakın zamanda istismar edilen kusurlar da dahil olmak üzere 101.000 CVE olmayan veya gizli güvenlik açığının veri tabanlarının bir parçası haline geldiğini doğruladı. Bu güvenlik açıkları büyük satıcıları ve uzmanlaşmış endüstrileri etkileyerek önemli riskler oluşturmaktadır.
“Ekibimiz, müşterilerimize en kapsamlı, eyleme dönüştürülebilir ve zamanında güvenlik açığı istihbaratı kaynağı sağlamak için beklenenin ötesine geçiyor. Bu, ekibimizin günlük ortalama 90’dan fazla yeni güvenlik açığı eklemesini ve aynı zamanda yaklaşık yüzlerce mevcut kaydı güncellemesini de içeriyor” diye belirtti Flashpoint araştırmacıları.
CVE verileriyle ilgili çeşitli kısıtlamalar vardır. Örneğin, CVE bilinen güvenlik açıklarının en az %30’unu kaçırıyor ve CVE kimliklerinin atanması, tamamlanması bir aya kadar sürebilen uzun bir süreç olduğundan kullanıcıları/işletmeleri sıfır gün saldırılarına karşı savunmasız bırakıyor. En önemlisi, CVE büyük satıcıları etkileyebilecek güvenlik açıklarına öncelik verir ve farklı ihtiyaçları olan niş sektörleri göz ardı eder.
Öte yandan VulnDB, CVE ve CVE dışı güvenlik açıkları hakkında standartlaştırılmış bilgiler sunar. Böylece kuruluşların bunları ele alması daha kolay hale gelir. Flashpoint binlerce kaynaktan veri toplayarak VulnDB’yi en kullanışlı güvenlik açığı veritabanı haline getirir.
CVE dışı güvenlik açıklarının yarısından fazlası, CVSS v3 kullanılarak yüksek ila kritik önem derecesine kadar derecelendirilmiştir. VulnDB, Microsoft, Google ve Apple dahil olmak üzere daha geniş bir satıcı yelpazesini kapsar. Şirket, sıfır günleri ve kullanımda olan sorunları takip ediyor ve bu da kritik tehdit istihbaratı sunmasına yardımcı oluyor.
“Kuruluşların, doğada keşfedilen güvenlik açıklarının bazen ilk kez bir CVE kimliği olmadan ifşa edildiğini hatırlamaları gerekir. Blogda, sıfır gün güvenlik açıkları ve MOVEit güvenlik açığı gibi diğer yüksek profilli sorunların da bu eğilimi takip etme eğiliminde olduğu belirtiliyor.
Raporda, CVE dışı güvenlik açıklarının yaklaşık %60,4’ünün uzaktan istismar edilebilir olduğu ve bu açıkların saldırganlar için çekici hedefler haline geldiği belirtildi. Flashpoint’in VulnDB’si, güvenlik ekiplerinin daha fazla güvenlik açığını belirlemesine/önceliklendirmesine ve kolay kazanımlara odaklanmasına yardımcı olabilir. Kolayca erişilebilen yararlanma bilgileri ve iyileştirme adımlarıyla güvenlik açıklarını hedefleyebilirler.
Ayrıca, güvenlik açıklarını gerçek etkilerine ve kullanılabilirliklerine göre önceliklendirerek yama etkinliğini artırabilirler. Ayrıca VulnDB, imalat ve tıbbi cihazlar gibi sektörlerin özel ihtiyaçlarını karşılayarak CVE’nin sıklıkla gözden kaçırdığı sorunları ele alır.
Araştırmacılara göre VulnDB, yeni açıklanan güvenlik açıklarına daha hızlı erişim sağlayarak proaktif azaltma stratejilerini mümkün kılıyor ve mevcut GRC, ITIL, CMDB ve SIEM ürünleriyle iyi bir şekilde entegre olarak iş akışlarını kolaylaştırıyor.
İLGİLİ MAKALELER
- En Yaygın API Güvenlik Açıkları
- Güvenlik Açıklarını Ortaya Çıkarma: Sızma Testi Hizmetleri
- CVSS v4.0 Yeni Ek Ölçümler ve OT/ICS/IoT Desteğiyle Çıktı