Bir güvenlik açığı duyurulduğunda saat işlemeye başlar. Üretici yamayı yayımlar, saldırganlar da aynı yamayı inceleyerek açığın nerede olduğunu öğrenir. Bu noktadan sonra yaması yapılmamış her sistem, kapısı açık bırakılmış bir oda gibidir. Güvenlik duvarı, antivirüs ve yedekleme ne kadar iyi olursa olsun, bilinen bir açığı kapatmamak bu katmanların işini gereksiz yere zorlaştırır. Bu yazıda yama yönetiminin ne olduğunu, neden aksadığını ve küçük bir BT ekibinin bile işletebileceği bir yama sürecini anlatıyoruz. Uç nokta tarafındaki araçlar için uç nokta güvenliği sayfamıza bakabilirsiniz.
Yama yönetimi nedir?
ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), SP 800-40 Rev. 4 yayınında kurumsal yama yönetimini, yamaların, güncellemelerin ve sürüm yükseltmelerinin kurum genelinde belirlenmesi, önceliklendirilmesi, edinilmesi, kurulması ve kurulumun doğrulanması süreci olarak tanımlar. Aynı yayın yamayı bir “önleyici bakım” olarak konumlar: Bir üretim makinesinin periyodik bakımı nasıl isteğe bağlı değilse, yazılımın bakımı da değildir.
Tanımdaki son kelime önemlidir: doğrulama. “Güncelleme gönderildi” ile “güncelleme kuruldu ve çalışıyor” aynı şey değildir. Yeniden başlatılmayı bekleyen, hata verip yarıda kalan ya da hiç çevrim içi olmadığı için güncellemeyi almayan cihazlar, raporlarda çoğu zaman görünmez.
Neden güvenliğin temelidir?
Bir saldırının maliyeti ile bir yamanın maliyeti arasındaki fark büyüktür. Bilinen bir açığı kullanmak için saldırganın yeni bir yöntem geliştirmesi gerekmez; açığın ayrıntıları ve çoğu zaman hazır araçlar zaten ortadadır.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), gerçek saldırılarda kullanıldığı doğrulanmış açıkları “Bilinen İstismar Edilmiş Açıklar” (KEV) kataloğunda yayımlar ve kurumlara bu kataloğu açık yönetimi önceliklendirmesinin bir girdisi olarak kullanmalarını önerir. Bu katalog, soyut bir riskin ne kadar somut olduğunu gösterir: Listede her gün kullandığımız işletim sistemlerine, tarayıcılara, VPN cihazlarına ve ofis yazılımlarına ait çok sayıda kayıt bulunur.
Yama yönetimi aynı zamanda bir uyum konusudur. KVKK’nın Kişisel Veri Güvenliği Rehberi, ağ ve uygulama güvenliği tedbirleri arasında yama yönetimini ayrıca sayar. BT ekibinin uygulayabileceği hâliyle KVKK teknik tedbirler kontrol listesi yazımızda ele aldık.
Yama yönetimi neden aksar?
Çoğu işletmede sorun niyet değil, düzendir. En sık karşılaştığımız engeller şunlardır:
- Kesinti korkusu: “ERP sunucusunu yeniden başlatırsak üretim durur” endişesi, yamaların aylarca ertelenmesine yol açar.
- Uyumluluk kaygısı: Eski bir muhasebe ya da makine yazılımının yeni sürümle çalışmama ihtimali.
- Eksik envanter: Kimsenin hatırlamadığı bir test sunucusu, depodaki bir bilgisayar, yıllardır dokunulmamış bir NAS.
- Üçüncü parti uygulamalar: Windows güncellemeleri otomatik gelir; ama PDF okuyucu, tarayıcı eklentisi, sıkıştırma aracı ya da uzak erişim yazılımı çoğu zaman unutulur.
- Desteği biten sistemler: Üreticinin artık yama yayımlamadığı bir işletim sistemi, yama sürecinin dışında kalır. Bu konuyu Windows Server destek bitiş tarihleri yazımızda ayrıca ele aldık.
Uygulanabilir bir yama süreci
İyi bir yama süreci karmaşık değildir, ama her ay aynı şekilde işlemesi gerekir. Microsoft güvenlik güncellemelerini her ayın ikinci salı günü yayımlar; pek çok kurum kendi takvimini bu döngüye göre kurar.
- Envanteri çıkarın. Hangi cihazda hangi işletim sistemi ve hangi uygulamalar çalışıyor? Envanteri olmayan bir sistemin yaması da yapılmaz.
- Önceliklendirin. Her yamayı aynı aciliyetle ele almak mümkün değildir. İnternete açık sistemler (güvenlik duvarı, VPN, e-posta sunucusu) ve aktif olarak istismar edilen açıklar en önce gelir. KEV kataloğu burada iyi bir pusuladır.
- Önce pilot grupta deneyin. Yamaları önce BT ekibinin ve birkaç gönüllü kullanıcının bilgisayarında, sunucu tarafında ise kritik olmayan bir sistemde uygulayın. Birkaç gün sorun çıkmazsa genele açın.
- Bakım penceresi belirleyin. Sunucular için yeniden başlatmanın kabul edilebilir olduğu saatleri iş birimleriyle önceden kararlaştırın. Kritik sunuculardan önce bir anlık görüntü ya da yedek alın.
- Kurulumu doğrulayın. Dağıtımdan sonra hangi cihazların yamayı gerçekten aldığını raporlayın. Başarısız olanları ayrı bir listede takip edin.
- İstisnaları yönetin. Yaması yapılamayan bir sistem varsa bunu kayda geçirin, sorumlusunu ve tarihini belirleyin, bu sürede ağ bölümlemesi gibi telafi edici önlemler alın.
Neyin yaması yapılmalı?
Yama yönetimi yalnızca Windows güncellemeleri değildir. Aşağıdaki liste, düzenli kontrol edilmesi gereken başlıca bileşenleri toplar:
- İstemci ve sunucu işletim sistemleri (Windows, macOS, Linux)
- Tarayıcılar ve ofis uygulamaları
- PDF okuyucular, sıkıştırma araçları, uzak erişim yazılımları gibi üçüncü parti uygulamalar
- Güvenlik duvarı, VPN ve kablosuz erişim cihazlarının yazılımları
- Sanallaştırma platformu ve yönetim bileşenleri
- E-posta sunucusu ve veritabanı sunucuları
- NAS, yazıcı ve kamera kayıt cihazı gibi ağa bağlı cihazların yazılımları
- Sunucuların donanım yazılımı (BIOS/UEFI) ve yönetim kartları
Güvenlik duvarı yazılımı bu listede özel bir yere sahiptir: İnternete doğrudan açıktır ve bir açığı tüm ağı etkileyebilir. FortiGate gibi cihazlarda sürüm takibini ve güncellemeyi planlı yapmak gerekir.
Hangi araçlarla?
Birkaç bilgisayarlık bir ofiste yamaları elle takip etmek mümkündür; birkaç düzine cihazdan sonra merkezi bir araç gerekir. Kullandığımız uç nokta platformlarının ikisinde de bu yetenek vardır:
- Bitdefender GravityZone Patch Management: Tüm GravityZone paketlerine eklenebilen isteğe bağlı bir modüldür. Windows, macOS ve Linux ile geniş bir üçüncü parti uygulama listesi için eksik yama taraması, zamanlanmış ya da elle yama dağıtımı ve raporlama sunar. Ayrıntılar Bitdefender GravityZone sayfamızda.
- ESET Vulnerability & Patch Management: İşletim sistemi ve uygulama açıklarını tespit eder, yama durumunu gösterir; otomatik yamalama varsayılan olarak mesai dışı saatlerde çalışır. ESET PROTECT Complete ve Elite katmanlarında dahildir ve bulut konsolda kullanılır. Ayrıntılar ESET PROTECT platformu yazımızda.
Araç ne olursa olsun, süreç olmadan yeterli olmaz. Aracın ürettiği rapora her ay biri bakmalı, başarısız kurulumları takip etmelidir.
Yama yönetimi tek başına yeterli mi?
Hayır. Yama bilinen açıkları kapatır; henüz bilinmeyen bir açığa karşı uç nokta koruması, ağ tarafında ağ güvenliği devrededir. Bir yama beklenmedik bir soruna yol açtığında ya da tüm önlemler aşıldığında ise geri dönüş yolu yedeklemedir. Katmanlar birbirinin yerine geçmez, birbirini tamamlar.
Unna ile yama yönetimi
Önce cihaz ve sunucu envanterinizi, kritik uygulamalarınızı ve hangi saatlerde kesintiye tahammül edebildiğinizi dinleriz. Pilot grupları ve bakım pencerelerini birlikte planlar, yama modülünü uç nokta platformunuza ekleyerek dağıtımı merkezi hâle getiririz. Sunucu yönetimi kapsamında sunucu yamalarını bakım penceresinde uygular, başarısız kurulumları ve istisnaları aylık raporla sizinle gözden geçiririz. Aylık rutinin bütünü için aylık IT bakım kontrol listesi yazımıza bakabilir, başlamak için bize yazabilirsiniz.
