Güvenlik Açığı Nedir?
İngilizce: Vulnerability
Güvenlik açığı, yazılım veya altyapıda yetkisiz erişim, veri sızıntısı ya da hizmet kesintisi için kullanılabilecek zayıflıktır.
Güvenlik Açığı Nedir?
Güvenlik açığı, bir sistemin beklenmeyen şekilde kötüye kullanılmasına izin veren teknik veya süreçsel zayıflıktır. Hata uygulama kodunda, bağımlı pakette, sunucu yapılandırmasında, kimlik doğrulama akışında veya operasyonel prosedürde olabilir.
Nasıl Sınıflandırılır?
Açıklar çoğu zaman CVE kimliğiyle takip edilir ve etkisine göre CVSS gibi puanlama sistemleriyle önceliklendirilir. Yetki yükseltme, uzaktan kod çalıştırma, veri sızıntısı, kimlik doğrulama atlatma ve hizmet dışı bırakma yaygın etki türleridir.
OWASP web uygulamalarındaki yaygın risk sınıflarını görünür kılar. Penetrasyon testi, saldırgan bakış açısıyla zayıflıkları doğrulamaya yardımcı olur; ancak tek seferlik test, sürekli yamalama ve izleme ihtiyacını ortadan kaldırmaz.
Risk ve Korunma
İş açısından güvenlik açığı; müşteri verisinin sızması, operasyonun durması, fidye yazılımına zemin oluşması, regülasyon cezası ve itibar kaybı anlamına gelebilir. Bu nedenle açık yönetimi envanter, önceliklendirme, yama takibi ve doğrulama adımlarından oluşmalıdır.
Korunma için bağımlılık taraması, güvenli kod incelemesi, düzenli güncelleme, erişim yetkilerinin daraltılması, log izleme ve acil müdahale planı birlikte ele alınır. En kritik açık, internete açık ve istismar kodu bulunan sistemlerde bekletilmemelidir.
İlgili Terimler
CVE, kamuya açıklanmış güvenlik açıklarına benzersiz kimlik veren ve ekiplerin yamalama önceliği belirlemesini sağlayan standarttır.
OWASPOWASP, web uygulama güvenliğini iyileştirmek için OWASP Top 10 gibi kaynaklar yayımlayan kar amacı gütmeyen güvenlik kuruluşudur.
Sızma TestiSızma testi, yetkili uzmanların uygulama, ağ veya altyapıya kontrollü saldırılarla açıkları bulup risk düzeyini raporladığı denetimdir.
Tedarik Zinciri SaldırısıTedarik zinciri saldırısı, yazılım bağımlılığı, araç veya tedarikçi hesabı ele geçirilerek hedef sisteme dolaylı yoldan sızma girişimidir.