Siber Güvenlik
Yama yönetimi: Güncellemeleri planlama, önceliklendirme ve kontrol
Birçok saldırı, güncellemesi çoktan yayımlanmış bilinen açıklardan yararlanır. Sunucuları, bilgisayarları, programları ve ağ cihazlarını güvenilir şekilde güncel tutan bir yama yönetimini nasıl kuracağınızı adım adım anlatıyoruz.
Q-entra Editör EkibiYayın tarihi 5 dk okuma
İçindekiler
- Yama yönetimi neden düşük maliyetle çok koruma sağlar?
- 1. adım: Temel olarak eksiksiz bir envanter
- 2. adım: Önce aktif olarak istismar edilen açıklar
- 3. ve 4. adım: Test edin ve kademeli olarak dağıtın
- Üçüncü taraf programları ve cihaz yazılımını unutmayın
- Güncelleme almayan sistemler: Destek süresi biten ürünler
- 5. ve 6. adım: Kontrol edin ve raporlayın
- Sonuç: Araçlardan çok süreklilik önemlidir
Kısaca
- Yama yönetimi; envanter, önceliklendirme, test, dağıtım, kontrol ve raporlamadan oluşan sabit bir süreçtir. Bilinen açıkları kapatır ve pahalı araçlardan çok organizasyon gerektirir.
- Temel, eksiksiz bir envanterdir: bilgisayarlar, sunucular, programlar, güvenlik duvarları, switch'ler, kameralar ve IoT cihazları.
- Aktif olarak istismar edilen açıklar ve internetten erişilebilen sistemler, aylık döngüden bağımsız olarak önceliklidir.
- Güncellemeleri kademeli olarak dağıtın: önce BT ekibi ve pilot grup, sonra tüm bilgisayarlar; sunucular ise sabit bakım penceresinde.
- Üretici güncellemesi almayan sistemleri değiştirin veya yalıtın ve yama durumunu her ay raporlayın.
Yama yönetimi neden düşük maliyetle çok koruma sağlar?
Birçok saldırı yeni ve bilinmeyen bir açıkla değil, üreticinin güncellemesini çoktan yayımladığı bir açıkla başlar. Güncellenmemiş bir VPN erişimi, güncel olmayan bir tarayıcı veya eski cihaz yazılımıyla (firmware) çalışan bir güvenlik duvarı çoğu zaman yeterlidir. Güncellemeleri yüklemek ise asıl olarak organizasyon ve biraz zaman gerektirir.
Bu nedenle iyi bir yama yönetimi, pahalı araçlardan çok net bir süreç meselesidir. Süreç altı adımdan oluşur: envanter çıkarmak, açıkları önceliklendirmek, güncellemeleri test etmek, kademeli olarak dağıtmak, sonucu kontrol etmek ve düzenli olarak raporlamak. Aşağıdaki bölümler, bunun küçük veya orta ölçekli bir işletmede pratikte nasıl uygulandığını gösteriyor.
1. adım: Temel olarak eksiksiz bir envanter
Yalnızca bildiğiniz şeyi güncelleyebilirsiniz. Envanter, her cihazı ve her yazılımı sürümü, konumu ve sorumlu kişisiyle birlikte listeler. Bir cihaz yönetimi aracı bilgisayarları ve sunucuları otomatik olarak kaydeder; ağ ve güvenlik cihazlarının ise çoğu zaman elle eklenmesi gerekir.
- İşletim sistemi ve sürümüyle birlikte masaüstü bilgisayarlar, dizüstü bilgisayarlar ve sunucular
- Tarayıcılar, PDF okuyucular ve uzaktan destek araçları dahil kurulu programlar
- Güvenlik duvarları, VPN ağ geçitleri, switch'ler ve kablosuz erişim noktaları
- Kameralar, kayıt cihazları, geçiş kontrol sistemleri, yazıcılar, NAS ve diğer IoT cihazları
- Üretici desteği: güvenlik güncellemelerinin ne zamana kadar sağlanacağı
2. adım: Önce aktif olarak istismar edilen açıklar
Her güncelleme aynı derecede acil değildir. CVSS temel puanı bir açığın teknik olarak ne kadar ciddi olduğunu gösterir, ancak açığın şu anda aktif olarak istismar edilip edilmediği hakkında bir şey söylemez. Oysa sıralama için belirleyici olan tam da budur. ABD siber güvenlik kurumu CISA'nın herkese açık Known Exploited Vulnerabilities (KEV) kataloğu, istismar edildiği doğrulanmış açıkları listeler ve iyi bir yol göstericidir. Avusturya'da ise CERT.at kritik açıklarla ilgili uyarılar yayımlar.
Bir sistemin nerede durduğu da önemlidir. Güvenlik duvarları, VPN erişimleri, e-posta sunucuları ve web uygulamaları doğrudan internetten erişilebildiği için şirket içindeki bir test bilgisayarına göre önceliklidir.
| Öncelik | Tipik durumlar | Hedef süre |
|---|---|---|
| Acil | İnternetten erişilebilen bir sistemde aktif olarak istismar edilen açık | 1 ila 3 gün içinde, gerekirse geçici bir çözümle |
| Yüksek | Kritik açık; şirket içi sistemlerde aktif olarak istismar edilenler dahil | 14 gün içinde |
| Normal | Düzenli aylık güvenlik güncellemeleri | Bir sonraki bakım penceresinde, en geç 30 gün içinde |
| Planlı | Özellik güncellemeleri ve güvenlikle ilgisi olmayan güncellemeler | Testten sonra, olağan döngü içinde |
Bu süreler bir örnektir ve işletmenize uygun olmalıdır. Önemli olan, sürelerin yazılı olarak belirlenmesi ve her istisnanın gerekçelendirilmesidir.
3. ve 4. adım: Test edin ve kademeli olarak dağıtın
Güncellemeler nadiren de olsa programları aksatabilir veya yeniden başlatmada sorun çıkarabilir. Bu nedenle tüm cihazları aynı anda güncellemek yerine, güncellemeleri kademeli olarak, yani dağıtım halkalarıyla (ring) dağıtın. İlk halkalardan birinde bir sorun fark edilirse, dağıtımı tüm işletmeyi etkilemeden önce durdurursunuz. Aktif olarak istismar edilen açıklarda halkalar saatlere veya birkaç güne kısaltılır.
- Halka 0: BT ekibi ve test cihazları, yayımlandıktan hemen sonra.
- Halka 1: farklı departmanlardan oluşan bir pilot grup, bir ila üç gün sorunsuz geçtikten sonra.
- Halka 2: geri kalan tüm bilgisayarlar, yayımlanmasından yaklaşık bir hafta sonra.
- Sunucular ve kritik sistemler: bakım penceresinde, güncel bir yedek veya anlık görüntü alındıktan sonra ve bir geri alma planıyla.
Sabit bakım pencereleri belirleyin
Yeniden başlatmalara izin verilen sabit zamanlar belirleyin; örneğin bilgisayarlar için haftada bir akşam, sunucular için ayda bir gün. Microsoft düzenli güvenlik güncellemelerini her ayın ikinci salı günü yayımlar ve birçok şirket bakım pencerelerini buna göre planlar. Tarihleri önceden duyurun ve belirli bir süreden sonra yeniden başlatmayı zorunlu kılın, çünkü yüklenmiş ama henüz etkinleşmemiş bir güncelleme koruma sağlamaz.
Üçüncü taraf programları ve cihaz yazılımını unutmayın
Windows Update dışındaki programlar
Windows Update işletim sistemini ve ayarlara bağlı olarak diğer Microsoft ürünlerini günceller. Tarayıcılar, PDF okuyucular, sıkıştırma araçları, video konferans veya uzaktan destek yazılımları ise çoğu zaman ayrı güncellenir ya da hiç güncellenmez. Bir cihaz yönetimi veya RMM (uzaktan izleme ve yönetim) aracı bu programları merkezi olarak güncelleyebilir. Kimsenin ihtiyaç duymadığı programları kaldırın, çünkü gereksiz her program saldırı yüzeyini büyütür.
Güvenlik duvarları, switch'ler, kameralar ve IoT
Ağ ve güvenlik cihazları güncellemelerini cihaz yazılımı (firmware) olarak alır ve birçok işletmede ihmal edilen de tam olarak budur. Güvenlik duvarları ve VPN ağ geçitleri doğrudan internete açıktır ve sık hedef alınır. Switch'ler, erişim noktaları, kameralar, kayıt cihazları ve NAS'lar da plana dahil edilmelidir. Bu cihazlar için ayrı bakım pencereleri gerekir, çünkü yeniden başlatma internet erişimini, ağı veya video kaydını kısa süreliğine kesintiye uğratır. Her cihaz yazılımı güncellemesinden önce yapılandırmayı yedekleyin. Kameraları güncellemelerin ötesinde nasıl koruyacağınızı IP kameraların güvenliği yazımızda bulabilirsiniz.
Güncelleme almayan sistemler: Destek süresi biten ürünler
Her üretici er ya da geç bir ürün için güvenlik güncellemelerini durdurur. Windows 10'un yaygın sürümleri Ekim 2025'ten bu yana güvenlik güncellemelerini yalnızca Genişletilmiş Güvenlik Güncellemeleri (ESU) programı üzerinden alıyor; bu programın süresi sınırlıdır ve işletmeler için genellikle ücretlidir. Kameralarda, modemlerde veya NAS cihazlarında da destek çoğu zaman birkaç yıl sonra sona erer. Böyle bir sistem, yeni keşfedilen her açıkla birlikte daha savunmasız hale gelir.
- Değişimi planlayın ve bütçesini zamanında ayırın; ideal olarak destek sona ermeden önce.
- Bir cihaz hemen değiştirilemiyorsa, onu internet erişimi olmayan ayrı bir ağ segmentinde yalıtın.
- Mevcutsa ücretli genişletilmiş destek programlarını, kesin bir bitiş tarihi olan bir geçiş çözümü olarak kullanın.
- Her istisnayı gerekçesi, sorumlu kişisi ve bitiş tarihiyle belgeleyin.
5. ve 6. adım: Kontrol edin ve raporlayın
Bir güncelleme, ancak cihazda etkin olduğu kanıtlandığında tamamlanmış sayılır. Kısa bir aylık rapor BT ekibi ve yönetim için şeffaflık sağlar ve nerede müdahale gerektiğini gösterir. Rapor en az şu noktaları içermelidir:
- Bilgisayarlar, sunucular ve ağ cihazları olarak ayrılmış şekilde, yama seviyesi güncel olan cihazların oranı
- Açık kalan kritik ve aktif olarak istismar edilen açıklar ile kaç gündür açık oldukları
- Uzun süredir yönetim aracına bağlanmayan cihazlar
- Onaylanmış istisnalar ve bitiş tarihleriyle birlikte destek süresi biten sistemler
Düzenli zafiyet taramaları raporu tamamlar, çünkü envanterde eksik olan cihazları da ortaya çıkarır.
Sonuç: Araçlardan çok süreklilik önemlidir
Yama yönetimi, ancak her ay güvenilir şekilde yapıldığında karşılığını veren rutin bir iştir. Bunu şirket içinde mi yürüteceğiniz yoksa dışarıya mı vereceğiniz, ekibinizdeki zamana ve bilgi birikimine bağlıdır. Yönetilen güvenlik hizmetleri ne zaman dışarıdan alınmalı yazımız bu kararı vermenize yardımcı olur. Q-entra, isterseniz yönetilen güvenlik hizmetiyle sürekli yama ve güncelleme yönetimini üstlenir ve siber güvenlik hizmeti kapsamında envanteri, öncelikleri ve süreçleri baştan düzgün bir şekilde kurmanıza yardımcı olur.
