CTEM: Sürekli Tehdit Maruziyeti Yönetimi

Klasik zafiyet yönetimi çoğunlukla taranabilen yazılım açıklarına odaklanır. CTEM ise maruziyet kavramını genişletir: yanlış yapılandırmalar, aşırı yetkili hesaplar, unutulmuş varlıklar ve saldırganın izleyebileceği yollar da kapsama girer.

En önemli fark, önceliklendirmenin iş etkisine ve gerçek istismar edilebilirliğe göre yapılmasıdır. Amaç tüm açıkları kapatmak değil, iş için en riskli olanları önce kapatmaktır.

Gartner'ın tanımladığı döngü beş aşamadan oluşur ve her döngüde tekrarlanır.

1. Kapsam belirleme (Scoping): Hangi iş süreçlerinin ve varlıkların korunacağı, iş birimleriyle birlikte belirlenir. Örneğin internete açık sistemler ya da ödeme altyapısı.
2. Keşif (Discovery): Kapsamdaki varlıklar ve bunlardaki zafiyet, yanlış yapılandırma ve yetki sorunları ortaya çıkarılır.
3. Önceliklendirme (Prioritization): Maruziyetler; istismar edilebilirlik, tehdit verisi, telafi edici kontroller ve iş etkisine göre sıralanır.
4. Doğrulama (Validation): Öncelikli maruziyetlerin gerçekten istismar edilebilir olup olmadığı, saldırı yolu analizi, saldırı simülasyonu veya manuel testlerle sınanır; mevcut kontrollerin yanıtı ölçülür.
5. Harekete geçirme (Mobilization): Bulguların sahiplerine ulaşması, çözüm için onay ve iş akışlarının işletilmesi sağlanır; yalnızca teknik değil, organizasyonel engeller de ele alınır.

• İş birimlerinizle kapsam çalıştayları yürütür, döngü periyodunu birlikte belirleriz.
• Mevcut tarama, envanter ve güvenlik araçlarınızın çıktılarını tek bir maruziyet listesinde birleştiririz.
• Öncelikli maruziyetleri ofansif güvenlik ekibimizle manuel olarak doğrularız.
• Bulguların sahiplerine iletilmesi ve kapanma sürecinin takibi için iş akışı ve göstergeler tanımlarız.
• Her döngünün sonunda yönetime risk eğilimini gösteren bir özet sunarız.

• Kapsam ve iş önceliklerini tanımlayan program dokümanı
• Her döngü için önceliklendirilmiş ve doğrulanmış maruziyet raporu
• Yönetim için risk eğilimi özeti ve sorumlular bazında aksiyon listesi
• Bir sonraki döngü için kapsam güncelleme önerileri

Düzenli taraması olan ancak bulgu yığını içinde kaybolan, güvenlik yatırımlarını iş riskiyle ilişkilendirmek isteyen ve yönetime ölçülebilir ilerleme göstermesi gereken orta ve büyük ölçekli kurumlar için uygundur.