01Sorun ve çözüm
Sürekli zafiyet tarama hizmetinde Han Dijit bu döngüyü bakım ve destek modeliyle, yazılı izin ve onaylı hedef listesi çerçevesinde sizin adınıza yürütür. Tarama düzenli aralıklarla ve sistemlerinizde değişiklik olduğunda çalışır; sonuçlar elle ayıklanır ve ekibinize uygulanabilir işler olarak iletilir.
02Kimler için
Sürekli zafiyet tarama hizmeti kimler için uygun
Güvenliğe düzenli bakacak bir kadrosu olmayan ya da sistemleri sık değişen ekipler için tasarlanmıştır.
- Düzenli sürüm çıkaran ve her sürümle yeni bir açık eklemekten çekinen ürün ekipleri
- Güvenlik işini BT ekibinin ek görevi olarak yürüten, ayrı güvenlik kadrosu bulunmayan şirketler
- Müşteri sözleşmelerinde düzenli açık taraması ve düzeltme takibi taahhüt eden hizmet firmaları
- Bulutta sık kaynak açıp kapatan ve envanteri hızla değişen teknoloji şirketleri
- Bir sızma testinin sonuçlarını kalıcı kılmak, kapanan açıkların geri gelmesini önlemek isteyen kurumlar
03İhtiyaçlar
Sürekli zafiyet izlemeyi gerektiren riskler
Sistemler değiştikçe ve yeni açıklar duyuruldukça güvenlik durumu da değişir.
- 01
Yeni duyurulan açıklar
Bir yazılımda kritik açık duyurulduğunda hangi sistemlerinizde o sürümün çalıştığını hızla bilmek gerekir. Düzenli envanter ve tarama bu yanıtı verir.
- 02
Sürümle gelen değişiklikler
Yeni kod, yeni kütüphane ve yeni yapılandırma, önceki taramada bulunmayan açıklar getirebilir.
- 03
Sahipsiz ve gölge varlıklar
Birinin açıp unuttuğu sunucular ve alan adları, tarama listesinde olmadıkça görünmez kalır.
- 04
Kapanmayan bulgular
Rapor çıkar, iş listeye girer ama kapanmaz. Takip olmadan tarama yalnızca not tutmaktır.
04Özellikler
Sürekli zafiyet tarama hizmetinin kapsamı ve raporlaması
Hizmet, her dönemde aynı düzenle yürüyen tekrarlı işlerden oluşur.
- 01
Takvimli ve değişiklik sonrası tarama
Tarama aralığı sistemlerin kritikliğine göre birlikte belirlenir; büyük bir yayın ya da altyapı değişikliğinden sonra ek tarama yapılır.
- 02
Yeni varlık yakalama
Önceki taramada olmayan bir alan adı, IP adresi ya da servis ortaya çıktığında bildirilir ve sahibi sorulur.
- 03
Dönemsel değerlendirme raporu
Açık ve kapanan bulguların seyri, yeniden açılanlar ve öncelikli işler okunabilir bir özetle sunulur.
- 04
Düzeltme takibi ve doğrulama
Her bulgu bir kayıt olarak izlenir; düzeltme bildirildiğinde ilgili hedef yeniden taranır ve kapanış doğrulanır.
05Entegrasyonlar
İş takip, bildirim ve izleme bağlantıları
Bulgular ekibinizin zaten kullandığı kanallara girdiğinde takip edilir.
- 01
İş takip aracı ve CI/CD hattı
Bulgular kullandığınız iş takip aracına kayıt olarak aktarılabilecek yapıda hazırlanır; yeni sürüm yayınlandığında tetiklenecek hafif kontroller kurulabilir.
- 02
Bildirim kanalları
Kritik bulgular e-posta veya ekip mesajlaşma kanalınıza ayrıca iletilir.
- 03
SIEM ve WAF
Tarama kaynak adresleri izleme araçlarınıza bildirilir; çıkan bulgulara göre geçici WAF kuralı önerisi yapılabilir.
06Süreç
Sürekli tarama döngüsü
Adım 01
Kapsam ve başlangıç taraması
Hedef listesi, kaynak adresler ve tarama pencereleri yazılı olarak onaylanır; ilk tarama bir başlangıç tablosu oluşturur.
Adım 02
Takvim ve kanal kurulumu
Tarama aralığı, bildirim kanalları ve iş takip aracı bağlantısı kurulur.
Adım 03
Düzenli tarama
Hedefler planlı olarak ve büyük değişikliklerden sonra taranır.
Adım 04
Ayıklama ve önceliklendirme
Bulgular elle doğrulanır, varlık önemi ve istismar bilgisiyle sıralanır.
Adım 05
Düzeltme takibi
Her bulgu bir kayıt olarak izlenir; düzeltilen madde yeniden taranarak kapatılır.
Adım 06
Dönemsel değerlendirme
Rapor sunulur, kapsam gözden geçirilir ve gerekirse tarama sıklığı güncellenir.
07Teknoloji
Sürekli zafiyet yönetiminin dayandığı yöntem
Süreç, NIST Siber Güvenlik Çerçevesi'ndeki tanımla ve koru işlevlerine, yama tarafında NIST SP 800-40 yaklaşımına dayanır. Bulgular CVSS puanı, bilinen istismar bilgisi ve varlığın iş önemiyle birlikte sıralanır; ham puan tek başına öncelik belirlemez.
Devamını okuDaha az göster
Her dönem sonunda tarama kapsamı yeniden gözden geçirilir: yeni varlıklar eklenir, kapatılanlar çıkarılır. Düzeltilmeyecek bulgular gerekçe ve sorumluyla bir kabul edilen risk kaydında tutulur. Sürekli tarama yıllık sızma testinin yerine geçmez, mantık ve yetki hatalarını bulamaz; ikisi birbirini tamamlar.
08Çalışma modelleri
Bu hizmette çalışma modelleri
09Sık sorulan sorular
Sürekli zafiyet tarama hizmeti hakkında sık sorulan sorular
Sürekli zafiyet tarama hizmeti fiyatları neye göre belirlenir?
Taranacak varlık sayısı, tarama sıklığı, kimlik bilgili tarama ihtiyacı ve raporlama ile değerlendirme görüşmesi sıklığı fiyatı belirler. Hizmet aylık sözleşmeyle yürür.
Sürekli zafiyet tarama hizmeti firması tarama araçlarını nerede çalıştırır?
Taramanın dışarıdan mı yoksa ağınıza kurulacak bir tarama noktasından mı yapılacağı, hedeflere göre ön görüşmede kararlaştırılır. Hangi yöntem seçilirse seçilsin tarama kaynak adresleri size önceden bildirilir.
Yeni bir sistem eklersem taramaya nasıl dahil olur?
Yeni varlığı bildirmeniz ya da taramanın onu bulması yeterlidir; ancak yazılı izin kapsamına eklenmeden o varlık için tarama başlamaz.
Kritik bir açık duyurulduğunda ne olur?
Duyurulan açığın etkilediği yazılımlar envanterinizde aranır ve etkilenen sistemler size bildirilir. Yanıt süreleri ve bildirim kanalı sözleşmede yazılı olarak belirlenir.
Bulguları kim düzeltir?
Düzeltmeyi kendi ekibiniz yapar; biz bulguyu, kanıtı ve önerilen çözümü sağlar, düzeltmeden sonra doğrularız. İsterseniz düzeltme desteğini ayrıca planlarız.
Tarama raporlarını müşterime ya da denetçiye gösterebilir miyim?
Dönemsel raporlar tarih, kapsam ve kapanma durumunu gösterecek biçimde düzenlenir; müşteri anketlerinde ve denetimlerde teknik kanıt olarak kullanılabilir. Raporun hangi yükümlülüğü karşıladığını hukuk ya da uyum danışmanınızla doğrulayın.
10İlgili hizmetler