Zafiyet Yönetimi

SÜREKLİ GÜVENLİK

Güvenliği yılda bir kez değil, sürekli ölçün

Periyodik tarama, uzman doğrulaması ve dönemsel karşılaştırmalı raporlarla saldırı yüzeyinizdeki değişimi ay ay takip edin.

Teklif Alın

Aktif

01 / Hizmet

Periyodik Zafiyet Taraması Hizmeti

Dış ve iç ağınızdaki varlıklar planlı aralıklarla taranır; bulgular uzmanlarımızca doğrulanır, hatalı alarmlar elenir ve sonuçlar bir önceki dönemle karşılaştırmalı olarak raporlanır.

Sıklık: Aylık / Üç aylık
Kapsam: Dış ağ + iç ağ (web uygulamaları kapsama göre)
Doğrulama: Uzman incelemesi
Rapor: Dönemsel karşılaştırmalı

Detayları İnceleyin

Tarama döngüsü

01 Keşif Yeni ve değişen varlıklar tespit edilir.
02 Tarama Önceden onaylanmış, düşük etkili ayarlarla otomatik tarama yapılır.
03 Doğrulama Uzman ekip hatalı alarmları eler, kritik bulguları doğrular.
04 Raporlama Rapor bir önceki dönemle karşılaştırmalı hazırlanır.
05 Takip Düzeltmeler bir sonraki turda doğrulanır.

Birlikte planlayın

Sızma testiyle tamamlayın

Tarama bilinen açıkları sürekli izler; sızma testi ise iş mantığı hatalarını ve saldırı zincirlerini derinlemesine doğrular.

Sızma Testi

01 / 07

Zafiyet yönetimi neden gerekir?

Tarayıcılar yüzlerce, bazen binlerce bulgu üretir. Bu bulguların bir kısmı hatalı alarmdır (false positive), büyük kısmı ise gerçek ama acil olmayan açıklardır.

Ekibinizin sınırlı zamanını doğru açığa harcaması için bulguların doğrulanması ve gerçek riske göre sıralanması gerekir. Zafiyet yönetimi hizmetimiz tam olarak bu ayıklama ve sıralama işini üstlenir.

02 / 07

Neleri tarıyoruz?

İnternete açık IP adresleri, alan adları ve servisler
İç ağdaki sunucular, istemciler ve ağ cihazları
Web uygulamaları (kimlik doğrulamalı tarama dahil, kapsama bağlı olarak)
Kimlik bilgisiyle (authenticated) yapılan taramalarla işletim sistemi ve yazılım yama seviyeleri

03 / 07

Açıkları nasıl önceliklendiriyoruz?

Önceliklendirmede tek bir puana bakmıyoruz; üç farklı veri kaynağını varlığın iş açısından önemiyle birlikte değerlendiriyoruz.

CVSS (Common Vulnerability Scoring System): Açığın teknik ciddiyetini 0–10 arasında puanlayan, FIRST tarafından yönetilen standart.
EPSS (Exploit Prediction Scoring System): Bir açığın önümüzdeki 30 gün içinde gerçek dünyada istismar edilme olasılığını tahmin eden, FIRST tarafından yayımlanan veri odaklı model.
CISA KEV (Known Exploited Vulnerabilities) kataloğu: ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA), sahada aktif olarak istismar edildiği kanıtlanmış açıkları listelediği katalog.
Varlık kritikliği: Açığın bulunduğu sistemin internete açık olup olmadığı ve hangi iş sürecini taşıdığı.

04 / 07

Süreç nasıl işler?

Kapsam ve periyot belirleme: Varlık listesi, tarama sıklığı (haftalık, aylık veya üç aylık) ve tarama pencereleri birlikte netleştirilir.
Tarama: Hizmet kesintisi riskini azaltan, önceden onaylanmış ayarlarla taramalar çalıştırılır.
Uzman doğrulama: Kritik ve yüksek bulgular uzmanlarımızca kontrol edilir, hatalı alarmlar elenir.
Önceliklendirme ve raporlama: Bulgular gerçek riske göre sıralanır, her biri için çözüm önerisi yazılır.
Takip: Bir önceki dönemin bulgularının durumu yeni raporda izlenir, kapananlar doğrulanır.

05 / 07

Neler teslim ediyoruz?

Yönetici özeti ve dönemsel eğilim (açık sayısı, ortalama kapanma süresi gibi göstergeler)
Doğrulanmış, önceliklendirilmiş teknik bulgu listesi ve çözüm önerileri
Sistem sahiplerine dağıtılabilir, varlık bazlı iş listeleri
Talebe bağlı olarak sonuçların değerlendirildiği kısa bir toplantı

06 / 07

Sızma testinden farkı nedir?

Zafiyet yönetimi geniş kapsamı düzenli aralıklarla tarar ve bilinen açıkları bulur. Sızma testinde ise uzmanlar açıkları manuel olarak istismar etmeye, zincirlemeye ve iş mantığı hatalarını bulmaya çalışır.

Biri sürekliliği, diğeri derinliği sağlar. Derinlemesine bir değerlendirme için Sızma Testi sayfamızı inceleyebilirsiniz.

07 / 07

Kimler için uygundur?

Düzenli tarama yapmak isteyen ancak sonuçları ayıklayacak kaynağı olmayan kurumlar, denetimlerde periyodik tarama kanıtı göstermesi gereken şirketler ve hızlı değişen altyapıya sahip ekipler için uygundur.

Neden Biz?

Neden Nokta Guard?

Siber güvenlik uzmanlığı

Siber güvenliğe ve ofansif güvenliğe uzman bir yaklaşım.

Gerçek saldırgan bakışı

Sistemleri gerçek saldırganların bakış açısı ve yöntemleriyle değerlendiriyoruz.

Kanıta dayalı raporlama

Test sonuçları yalnızca bir açık listesi değildir; hangi zafiyetin gerçekten istismar edilebildiğini ve yol açabileceği zararı kanıtıyla gösterir.

Sürekli iyileştirme

Yeni tehditleri takip ediyor, güvenliği sürekli iyileştiriyoruz.

Bizi Tanıyın

1 2 3 4

Açık dizüstü bilgisayar tutan, gülümseyen güvenlik danışmanı

SSS

Sıkça Sorulan Sorular

Zafiyet taraması ne sıklıkla yapılmalı?

Kritik ve internete açık sistemler için genellikle haftalık veya aylık, iç ağ için aylık veya üç aylık tarama yaygın bir yaklaşımdır. Doğru sıklık; altyapınızın ne kadar hızlı değiştiğine ve tabi olduğunuz mevzuata bağlıdır.

False positive nedir, neden elenmeli?

False positive, tarayıcının aslında var olmayan bir açığı bildirmesidir. Elenmediğinde ekipler gereksiz işe zaman harcar ve rapora olan güven azalır; bu nedenle kritik bulguları uzmanlarımız doğrular.

CVSS puanı yüksek her açık acil midir?

Her zaman değil. CVSS teknik ciddiyeti gösterir, istismar edilme olasılığını göstermez; bu nedenle EPSS olasılığı, CISA KEV kataloğunda yer alıp almadığı ve sistemin kritikliği birlikte değerlendirilir.

Taramalar sistemlerimizi etkiler mi?

Taramalar genellikle düşük etkilidir; yine de hassas sistemler için tarama penceresi, hız ayarları ve hariç tutulacak varlıklar önceden birlikte belirlenir.

Zafiyet yönetimi sızma testinin yerini tutar mı?

Tutmaz. Zafiyet taraması bilinen açıkları geniş ölçekte bulur; sızma testi ise açıkların gerçekte nereye kadar istismar edilebileceğini gösterir. İkisi birlikte daha eksiksiz bir tablo sunar.

Keşfedin