Zafiyet Taraması (Vulnerability Scan)

Tarama otomatik ve sürekli: olası açıkları listeler, CVSS'e göre sıralar ve kapanana kadar takip eder. Sızma testi ayrı bir çalışma: yazılı izinle, belirli bir kapsamda, açıkların gerçekten istismar edilip edilemediğini elle doğrular. Biri diğerinin yerine geçmez; tarama aradaki dönemi kapatır, test belirli aralıklarla yapılır.

İnternete açık sistemlerde haftalık, iç sistemlerde aylık yaygın kurgu. PCI-DSS gibi düzenlemeler üç aylık asgari istiyor ama üç ay, bir açığın istismar edilmesi için çok uzun bir süre.

Çünkü dışarıdan görünen yüzey, sistemdeki açıkların küçük bir kısmı. Kimlik doğrulamalı tarama kurulu paket sürümlerini ve yapılandırmayı görebiliyor; doğrulamasız tarama tahmin yürütüyor ve hem yanlış pozitif hem yanlış negatif üretiyor.

Puanla değil bağlamla. İnternete açık mı, istismar kodu dolaşıyor mu, üzerinde hassas veri var mı; bu üçü sıralamayı belirliyor. Bağlamsız bir CVSS listesi, kimsenin başlayamadığı bir liste oluyor.

Evet, doğrulama adımı raporun parçası. Doğrulanmamış bir bulgu listesi ekibin güvenini hızla kaybediyor; bir kez boşa iş yaptırdığında sonraki raporlar da okunmuyor.

Evet. Her bulgunun açılış tarihi, sahibi ve hedef kapanış tarihi izleniyor; kapanmayanlar yaşlanma raporunda görünüyor. Ölçülmeyen bir kapatma süreci pratikte durmuş demektir.