Saldırı Yüzey Yönetimi (ASM), çok fazla kullanılan ancak nadiren ayrıntılı olarak açıklanan bu terimlerden biri haline geldi. Bu kitabın yazarları bunu değiştirmeyi amaçlayan pratik bir rehber sunuyor.
Yazarlar hakkında
Ron Eddings, Hacker Valley Media’nın baş yapımcısıdır. Melody Kaufmann serbest bir siber güvenlik yazarıdır ve bilgi güvenliğinde bir yüksek lisans yapar.
Kitabın içinde
Kuruluşlar her zaman değişen ortamlarla uğraşıyor. Bunlar arasında bulut platformları, SaaS uygulamaları, API’lar, IoT cihazları ve çeşitli üçüncü taraf hizmetleri bulunmaktadır. Eski güvenlik modelleri artık devam etmiyor. Yazarlar, ASM’nin ekiplerin orada neler olduğunu görmelerine, neyin önemli olduğunu anlamalarına ve çabalarını önemli olduğu yere odaklamalarına yardımcı olan sürekli, riske duyarlı bir süreç olduğunu açıklıyor.
Kitabın yapısı bu mesajı destekler. Dört bölüme ayrılmıştır: vakıflar, tanımlama ve sınıflandırma, önceliklendirme ve iyileştirme ve uyum ve izleme. Her bölüm, stratejiden uygulamaya mantıklı bir sırayla hareket ederek sonuncuya dayanır.
Deneyimli CISO’lar için, erken bölümler tanıdık gelebilir. Bunlar, saldırı yüzeylerinin ve vektörlerinin tanımlarını ve çevre tabanlı savunmaların neden artık yeterli olmadığının açıklamalarını içerir. Yine de, malzeme yararlıdır çünkü ASM’ye bir çalışma çerçevesi olarak bağlanır. Yazarlar ayrıca güvenlik açığı yönetiminin sınırları hakkında iyi bir noktaya değiniyorlar. Saldırı yüzey yönetiminin, sadece uzun sorun listelerine tepki vermek yerine, güvenlik açığı verilerine öncelik vermek ve hareket etmek için gereken bağlamı verdiğini iddia ediyorlar.
Kitap gittikçe daha uygulamalı hale geliyor. Varlıkların nasıl sınıflandırılacağını, iş etkisini değerlendireceğini ve ASM’nin DevOps, uyumluluk ve olay yanıtı gibi alanlarla nasıl entegre edileceğini açıklar. Yaklaşım metodiktir: önce sahip olduğunuzu belirleyin, sonra değerini değerlendirin, maruziyetini izleyin ve işler değiştikçe ayarlamaya devam edin. Bunların hiçbiri çığır açmaz, ancak birleştirildiğinde güvenlik ekiplerinin takip edebileceği kullanılabilir bir plan haline gelir.
Kitabın güçlü yönlerinden biri, sürece odaklanması ve örneklerin gerçek dünya durumlarına dayanmasıdır. Bu, ürün güdümlü bir teknik incelemeden daha yararlı hale getirir. Yazarlar ayrıca ekiplerin görünürlük almasının ve sınırlı personel ile ayak uydurmasının ne kadar zor olabileceğini kabul ediyorlar. ASM’yi sadece daha fazla gürültü oluşturmak yerine sınırlı kaynaklara odaklamanın bir yolu olarak sunuyorlar.
Bununla birlikte, kitap barikatların uygulanmasının çok derinliklerine girmiyor. Odak, günlük yürütmenin daha ince noktaları değil, yapı ve strateji üzerinde kalır. Zaten olgun bir güvenlik programınız varsa, kendinizi daha fazla ayrıntı isteyerek bulabilirsiniz.
Kimin için?
Bu kitap bir boşluk dolduruyor. Güvenlik ekiplerine, reaktif bir duruştan daha proaktif ve risk farkında olana geçmek için bir yol haritası verir. Ayrıca ASM’yi sadece teknik bir ihtiyaç olarak değil, bir iş ihtiyacı olarak sunar, bu da davayı liderliğe yaparken yardımcı olur.
Kısacası, saldırı yüzey yönetimi ASM’nin ne olduğunu, neden önemli olduğunu ve nasıl başlayacağını açıklayan pratik bir rehberdir. Ekibiniz hala dış pozlamayı yılda bir kez denetleyecek bir şey olarak ele alıyorsa, bu kitap okumaya değer.