Rapordaki bulgu kartları, CVSS puanları ve ‘kanıtlanmış etki’ ifadesi ne anlama gelir; düzeltme sırası nasıl belirlenir?
Sızma testi raporu, çoğu kurumda teslim alınıp bir klasöre konan bir belgedir. Oysa doğru okunduğunda, önümüzdeki 12 ayın güvenlik yatırım planını yönlendirir. İyi bir rapor iki farklı kitleye hitap eder: yönetime risk özeti, teknik ekibe düzeltme adımları.
Yönetici özeti
İlk sayfada genel risk seviyesi, bulgu sayıları (kritik, yüksek, orta, düşük) ve en önemli üç risk yer almalıdır. “En kötü senaryo”, saldırganın nelere ulaşabildiğini somut olarak anlatır: örneğin “internet kullanıcısı olarak başlayıp 6 saatte etki alanı yöneticisi olundu”.
Bulgu kartı nasıl okunur?
- Başlık ve CVSS: 9.0 ve üzeri kritik, 7.0–8.9 yüksek, 4.0–6.9 orta, altı düşük kabul edilir.
- Etkilenen varlık: hangi URL, IP veya servis
- Kanıt: ekran görüntüsü, istek/yanıt örneği, komut çıktısı
- İş etkisi: teknik zafiyetin iş açısından anlamı
- Öneri: uygulanabilir ve doğrulanabilir düzeltme adımı
CVSS tek başına yeterli değildir
CVSS teknik şiddeti ölçer; sizin ortamınızdaki gerçek riski ölçmez. İnternete açık bir sistemdeki orta seviye bulgu, iç ağdaki yüksek bulgudan daha acil olabilir. Önceliklendirmede varlık kritikliği, sömürü kolaylığı ve telafi edici kontroller de dikkate alınmalıdır.
Düzeltme planı
- Kritik bulgular: 7 gün içinde (veya geçici koruma)
- Yüksek bulgular: 30 gün
- Orta bulgular: 90 gün
- Düşük bulgular: bakım döngüsü
Yeniden test
Düzeltmeler uygulandıktan sonra yeniden test yapılmadıkça bulgunun kapandığı varsayılmamalıdır. Yeniden test raporu, denetçiler ve müşteriler için ‘kapatıldı’ kanıtıdır.
Raporda sorun görmek değil, her bulguyu bir sahibi ve tarihi olan bir göreve dönüştürmek hedeflenmelidir. Surnet raporları bu nedenle Jira ve ServiceNow’a aktarılabilir bir tablo ile birlikte teslim edilir.
Raporu aldıktan sonraki ilk hafta
- Bulguları sahiplerine atayın (uygulama ekibi, ağ ekibi, sistem ekibi).
- Kritik bulgular için geçici koruma (WAF kuralı, erişim kısıtı) uygulayın.
- Testi yapan ekiple bir kapanış toplantısı yapın; belirsiz bulguları netleştirin.
- Bulguları risk kayıt defterine işleyin ve yönetim kuruluna özet sunun.
Bir sonraki testi planlarken kapsamı genişletmeyi (yeni uygulamalar, mobil istemci, bulut) ve önceki testte bulunan zafiyetlerin tekrar etmediğini doğrulamayı unutmayın; sürekli iyileşme, tek seferlik bir test raporundan daha değerlidir.