CVSS Güvenlik Puanı Nedir? Güvenlik Açıklarının Risk Seviyesi Nasıl Belirlenir?

Siber güvenlik dünyasında yazılımlarda, işletim sistemlerinde, sunucularda ve ağ cihazlarında düzenli olarak yeni güvenlik açıkları keşfedilir. Bu açıkların tamamı aynı düzeyde tehlike oluşturmaz. Bazıları sınırlı etkilere sahipken bazıları saldırganların sistemlere yetkisiz erişim sağlamasına veya hassas bilgilere ulaşmasına neden olabilir.

Güvenlik açıklarının teknik ciddiyetini değerlendirmek amacıyla kullanılan sistemlerden biri CVSS'dir. CVSS, güvenlik açıklarını belirli ölçütlere göre puanlayarak önem seviyelerinin anlaşılmasını kolaylaştırır.

Peki, CVSS güvenlik puanı nedir, nasıl hesaplanır ve 9.8 gibi yüksek puanlar ne anlama gelir?

CVSS Nedir?

CVSS, İngilizce Common Vulnerability Scoring System ifadesinin kısaltmasıdır. Türkçede Ortak Güvenlik Açığı Puanlama Sistemi olarak adlandırılır.

CVSS, yazılım ve donanım sistemlerinde tespit edilen güvenlik açıklarının teknik ciddiyetini değerlendirmek için geliştirilmiş açık bir standarttır.

Sistem, güvenlik açığının hangi koşullarda kullanılabildiğini ve başarılı bir saldırının ne tür sonuçlar doğurabileceğini değerlendirir.

CVSS puanları 0 ile 10 arasında değişir.

Puan yükseldikçe güvenlik açığının teknik ciddiyeti genellikle artar.

Ancak CVSS puanı, bir güvenlik açığının belirli bir kullanıcı veya kurum için oluşturduğu gerçek riski tek başına göstermez.

1. CVSS Güvenlik Puanı Ne İşe Yarar?

CVSS'nin temel amacı, güvenlik açıklarının ortak ölçütlerle değerlendirilmesini sağlamaktır.

Bir güvenlik açığı keşfedildiğinde yazılım üreticileri ve güvenlik kuruluşları, açığın teknik özelliklerini inceleyerek CVSS puanı yayımlayabilir.

Bu puanlar sayesinde farklı güvenlik açıklarının teknik ciddiyetleri karşılaştırılabilir.

CVSS sisteminin başlıca kullanım alanları şunlardır:

• Güvenlik açıklarının önem derecelerini belirlemek

• Güvenlik güncellemelerini önceliklendirmeye yardımcı olmak

• Yazılım üreticilerinin güvenlik duyurularını değerlendirmek

• Kurumsal güvenlik açığı yönetimini desteklemek

• Güvenlik tarama sonuçlarını sınıflandırmak

• Güvenlik açıklarının teknik etkilerini karşılaştırmak

CVSS, güvenlik uzmanlarının karar verme süreçlerinde kullanılan araçlardan biridir. Ancak tek başına bütün risk değerlendirmesinin yerine geçmez.

2. CVSS Puanları Nasıl Sınıflandırılır?

CVSS sisteminde güvenlik açıkları, hesaplanan puanlarına göre farklı önem seviyelerinde değerlendirilebilir.

Yaygın olarak kullanılan CVSS v3.1 sınıflandırması şöyledir:

Örneğin CVSS puanı 9.8 olan bir güvenlik açığı, CVSS v3.1 sınıflandırmasına göre kritik seviyededir.

Ancak 9.8 puanlı her güvenlik açığının aktif saldırılarda kullanıldığı düşünülmemelidir.

3. CVSS Puanı Nasıl Hesaplanır?

CVSS puanı, güvenlik açığının belirli teknik özelliklerinin değerlendirilmesiyle hesaplanır.

CVSS v3.1 sisteminde temel puanın hesaplanmasında şu ölçütler kullanılır:

Saldırı Vektörü (Attack Vector): Güvenlik açığından yararlanmak için saldırganın hedef sisteme hangi yoldan erişmesi gerektiğini belirtir.

Saldırı Karmaşıklığı (Attack Complexity): Güvenlik açığından yararlanmanın özel koşullara bağlı olup olmadığını değerlendirir.

Gerekli Yetkiler (Privileges Required): Saldırganın güvenlik açığını kullanmadan önce belirli hesap veya sistem yetkilerine ihtiyaç duyup duymadığını gösterir.

Kullanıcı Etkileşimi (User Interaction): Saldırının gerçekleşmesi için kullanıcının belirli bir işlem yapmasının gerekip gerekmediğini belirtir.

Kapsam (Scope): Güvenlik açığının etkisinin farklı bir güvenlik yetki alanına geçip geçmediğini değerlendirir.

Gizlilik (Confidentiality): Bilgilerin yetkisiz kişiler tarafından görüntülenmesi üzerindeki olası etkiyi gösterir.

Bütünlük (Integrity): Verilerin yetkisiz şekilde değiştirilmesi üzerindeki olası etkiyi değerlendirir.

Erişilebilirlik (Availability): Sistem veya hizmetlerin kullanılabilirliği üzerindeki olası etkiyi belirtir.

Bu ölçütler, standart hesaplama kurallarıyla birleştirilerek CVSS temel puanı oluşturulur.

4. CVSS Saldırı Vektörü Nedir?

Saldırı vektörü, bir güvenlik açığından yararlanmak için saldırganın hedef sisteme nasıl erişmesi gerektiğini tanımlar.

CVSS v3.1 sisteminde saldırı vektörü dört kategoriye ayrılır:

Ağ üzerinden kullanılabilen güvenlik açıkları, belirli koşullarda uzaktaki saldırganlar tarafından hedef alınabilir.

Ancak bir açığın ağ üzerinden kullanılabilmesi, hedef sistemin mutlaka internetten erişilebilir olduğu anlamına gelmez.

5. CVSS'de Gizlilik, Bütünlük ve Erişilebilirlik Ne Demektir?

CVSS değerlendirmesinde bilgi güvenliğinin üç temel unsuru önemli yer tutar.

Gizlilik (Confidentiality)

Bilgilerin yalnızca yetkili kişiler tarafından erişilebilir olmasını ifade eder.

Bir güvenlik açığı saldırganın hassas verilere erişmesine neden olabiliyorsa gizlilik üzerinde etki oluşturabilir.

Bütünlük (Integrity)

Bilgilerin yetkisiz şekilde değiştirilmemesini ifade eder.

Bir saldırganın sistem dosyalarını veya verileri değiştirebilmesi, bütünlük açısından güvenlik sorunu oluşturabilir.

Erişilebilirlik (Availability)

Sistemlerin ve hizmetlerin gerektiğinde kullanılabilir olmasını ifade eder.

Bir güvenlik açığı sunucunun çalışmasını durdurabiliyor veya hizmet kesintisine neden olabiliyorsa erişilebilirlik üzerinde etkisi bulunabilir.

Bu üç unsur, CVSS puanlamasında güvenlik açığının sonuçlarını değerlendirmek için kullanılır.

6. CVSS Base Score Nedir?

Base Score, Türkçede Temel Puan olarak ifade edilir.

CVSS temel puanı, güvenlik açığının doğrudan teknik özelliklerine dayanır.

Örneğin saldırının hangi koşullarda gerçekleştirilebildiği ve başarılı olması durumunda hangi güvenlik etkilerinin ortaya çıkabileceği değerlendirilir.

Temel puan, belirli bir kurumun ağ yapısından veya sistemin iş açısından öneminden bağımsız bir değerlendirme sağlamayı amaçlar.

Bu nedenle aynı güvenlik açığının temel CVSS puanı farklı kurumlarda aynı olabilir. Ancak bu açığın oluşturduğu gerçek risk kurumdan kuruma değişebilir.

7. CVSS Temporal Score Nedir?

CVSS v3.1 sisteminde Temporal Score, güvenlik açığının zaman içerisinde değişebilen özelliklerini değerlendirmek için kullanılan puandır.

Bu değerlendirmede istismar kodlarının olgunluğu, mevcut düzeltmeler ve güvenlik açığına ilişkin bilgilerin güvenilirliği gibi faktörler dikkate alınır.

Örneğin bir güvenlik açığı için güvenilir bir istismar tekniğinin ortaya çıkması, zamanla değişen risk koşullarının değerlendirilmesinde önemli olabilir.

CVSS v4.0 sisteminde ise puanlama yapısı değiştirilmiş ve bu tür değerlendirmeler farklı metrik grupları altında düzenlenmiştir.

8. CVSS Environmental Score Nedir?

Environmental Score, güvenlik açığının belirli bir ortam üzerindeki etkisini değerlendirmek amacıyla kullanılır.

Bir güvenlik açığı teknik açıdan ciddi olsa da bütün sistemlerde aynı sonuçları doğurmayabilir.

Örneğin internete açık bir sunucuda bulunan güvenlik açığı ile dış ağlardan erişilemeyen bir test sistemindeki aynı açık, farklı risk koşullarına sahip olabilir.

Çevresel değerlendirme yapılırken sistemin kullanım amacı, güvenlik gereksinimleri ve mevcut koruma mekanizmaları dikkate alınabilir.

Bu nedenle kurumsal güvenlik yönetiminde yalnızca temel CVSS puanına bağlı kalınmaması önemlidir.

9. CVSS v3.1 ile CVSS v4.0 Arasındaki Farklar Nelerdir?

CVSS standardı zaman içerisinde geliştirilmiştir.

CVSS v4.0, 2023 yılında yayımlanmış ve önceki sürümlere göre çeşitli değişiklikler getirmiştir.

Başlıca farklılıklar şunlardır:

CVSS v4.0, saldırı gereksinimleri ve sonraki sistemler üzerindeki etkiler gibi konularda daha ayrıntılı değerlendirmeler sunar.

Farklı CVSS sürümlerinin puanları doğrudan aynı hesaplama yöntemine dayanmadığından karşılaştırmalarda kullanılan sürümün belirtilmesi önemlidir.

10. CVSS Vektör Dizisi Nedir?

CVSS puanlarının yanında bazen harf ve sayılardan oluşan teknik bir ifade bulunur.

Bu ifade CVSS vektör dizisi olarak adlandırılır.

Örneğin:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Bu örnek, CVSS v3.1 biçiminde oluşturulmuş bir vektör dizisidir.

Buradaki ifadelerin anlamları şöyledir:

• AV:N: Ağ üzerinden saldırı

• AC:L: Düşük saldırı karmaşıklığı

• PR:N: Önceden yetki gerekmemesi

• UI:N: Kullanıcı etkileşimi gerekmemesi

• S:U: Kapsamın değişmemesi

• C:H: Gizlilik üzerinde yüksek etki

• I:H: Bütünlük üzerinde yüksek etki

• A:H: Erişilebilirlik üzerinde yüksek etki

Bu vektör dizisi, CVSS v3.1 temel puanlamasında 9.8 değerine karşılık gelir.

Vektör dizileri, güvenlik açığının neden belirli bir puan aldığını anlamaya yardımcı olur.

11. CVSS ile CVE Arasındaki Fark Nedir?

CVE ve CVSS, güvenlik açıklarının takibinde birlikte kullanılan ancak farklı görevleri bulunan sistemlerdir.

CVE (Common Vulnerabilities and Exposures): Güvenlik açıklarına benzersiz kimlik numarası atanmasını sağlar.

CVSS (Common Vulnerability Scoring System): Güvenlik açıklarının teknik ciddiyetini puanlamak için kullanılır.

Örneğin CVE-2021-44228, Log4Shell güvenlik açığının tanımlayıcısıdır.

Bu güvenlik açığına ilişkin CVSS puanı ise açığın teknik özelliklerinin değerlendirilmesi sonucunda belirlenir.

CVE numarası güvenlik açığının kimliğini, CVSS puanı ise teknik ciddiyetini ifade eder.

12. CVSS ile EPSS Arasındaki Fark Nedir?

EPSS (Exploit Prediction Scoring System), bir güvenlik açığının gerçek saldırılarda kullanılma olasılığını tahmin etmek amacıyla geliştirilmiş bir sistemdir.

CVSS ve EPSS farklı sorulara yanıt verir.

EPSS, bir güvenlik açığının önümüzdeki 30 gün içinde gerçek saldırılarda kullanılma olasılığını tahmin etmeye odaklanır.

Bu nedenle yüksek CVSS puanına sahip bir güvenlik açığının EPSS değeri düşük olabilir.

Aynı şekilde daha düşük CVSS puanına sahip bir açığın EPSS değeri yüksek olabilir.

13. CVSS Puanı 10 Olan Güvenlik Açığı Ne Anlama Gelir?

CVSS puanının 10.0 olması, ilgili puanlama sürümüne göre güvenlik açığının en yüksek teknik ciddiyet seviyesinde değerlendirildiğini gösterir.

Bu tür açıklar, teknik özelliklerine bağlı olarak çok ciddi güvenlik sonuçlarına yol açabilir.

Ancak CVSS puanının 10 olması, güvenlik açığının bütün sistemlerde kullanılabildiği veya mutlaka aktif saldırılarda istismar edildiği anlamına gelmez.

Etkilenen ürünler, yazılım sürümleri, sistem yapılandırmaları ve mevcut güvenlik önlemleri ayrıca incelenmelidir.

14. CVSS Puanları Nereden Öğrenilir?

CVSS puanları çeşitli güvenlik veri tabanları ve yazılım üreticilerinin güvenlik duyuruları üzerinden incelenebilir.

Önemli kaynaklar arasında şunlar bulunur:

• NIST National Vulnerability Database (NVD)

• Yazılım üreticilerinin güvenlik bültenleri

• Güvenlik araştırma kuruluşlarının duyuruları

• Güvenlik açığı tarama ve yönetim yazılımları

Bir güvenlik açığının CVE numarası biliniyorsa ilgili kayıt üzerinden mevcut CVSS değerlendirmeleri araştırılabilir.

Ancak bütün CVE kayıtlarında CVSS puanı bulunmayabilir. Ayrıca farklı kuruluşlar aynı güvenlik açığı için farklı değerlendirmeler yayımlayabilir.

15. Yüksek CVSS Puanına Sahip Bir Açık Tespit Edilirse Ne Yapılmalı?

Bir sistemde yüksek veya kritik CVSS puanına sahip güvenlik açığı tespit edildiğinde öncelikle açığın gerçekten ilgili sistemi etkileyip etkilemediği doğrulanmalıdır.

Ardından şu adımlar uygulanabilir:

1. Güvenlik açığının CVE numarasını inceleyin.

2. Etkilenen yazılım ve sürüm bilgilerini kontrol edin.

3. Güvenlik açığının aktif saldırılarda kullanılıp kullanılmadığını araştırın.

4. Üreticinin güvenlik düzeltmesi yayımlayıp yayımlamadığını kontrol edin.

5. Gerekliyse geçici koruma önlemlerini uygulayın.

6. Uygun yedekleme ve test işlemlerinden sonra güvenlik güncellemesini yükleyin.

7. Güncellemenin sorunu giderdiğini doğrulayın.

Kurumsal sistemlerde güvenlik açıklarının önceliklendirilmesinde CVSS puanının yanında sistemin önemi, dış ağlardan erişilebilirliği ve aktif istismar bilgileri de değerlendirilmelidir.

Sonuç

CVSS, yazılım ve donanım sistemlerinde tespit edilen güvenlik açıklarının teknik ciddiyetini değerlendirmek amacıyla kullanılan standart bir puanlama sistemidir.

CVSS puanları, güvenlik açıklarının ortak ölçütlerle sınıflandırılmasına ve güvenlik güncellemelerinin önceliklendirilmesine yardımcı olur.

Ancak yüksek CVSS puanı, güvenlik açığının mutlaka aktif saldırılarda kullanıldığı veya bütün kullanıcılar için aynı düzeyde risk oluşturduğu anlamına gelmez.

Güvenlik açıklarının doğru değerlendirilmesi için CVSS puanı, CVE bilgileri, EPSS tahminleri, aktif istismar durumu ve sistemin kullanım koşulları birlikte incelenmelidir.