Salı Yamalarına Elveda: Sürekli Yama Yönetimine Geçiş

• Aylık döngü öngörülebilirdir. Ancak yayın günü ile dağıtım günü arasındaki süre cihazları açıkta bırakır.
• Sürekli yama yönetimi, yamayı tek bir pencereden çıkarıp her gün çalışan bir sürece dönüştürür.
• Öncelik için tek başına CVSS puanına güvenmeyin. İstismar durumunu (KEV, EPSS) ve varlık kritikliğini ekleyin.
• Halkalı dağıtım (pilot, erken, geniş, kritik) hız ile güvenliği birlikte sağlar.
• Geri alma planı olmadan hız riskli olur. Planı yamadan önce yazın.
• Süreci ölçün: ortalama yama süresi ve uyum oranı en önemli iki göstergedir.

Neden Salı Yaması artık tek başına yetmiyor?

Salı günü yama yayımlanır. Aynı gün, yamanın hangi kodu değiştirdiğini inceleyen araştırmacılar ve saldırganlar da çalışmaya başlar. Yama açığı kapatır. Ama açığın nerede olduğunu da ele verir. Cihazınız yamasız kaldığı her gün bu bilgi aleyhinize çalışır.

Aylık yama döngüsünün nerede yetersiz kaldığını, sürekli yama yönetiminin nasıl çalıştığını ve BT ekibinizin bu modele nasıl güvenli geçeceğini adım adım anlatıyoruz.

Salı Yaması nedir ve neden bu kadar yerleşti?

Microsoft, güvenlik güncellemelerini her ayın ikinci Salı günü yayımlar. Bu takvim BT ekiplerinin işini kolaylaştırdı. Ekipler test, onay ve dağıtım için ay içinde sabit bir plan yapabildi. Yeniden başlatmalar da tek bir döneme toplandı.

Takvimin en büyük yararı öngörülebilirliktir. Bütçe, personel ve bakım penceresi önceden planlanır. Bu yüzden aylık döngü yıllarca iyi çalıştı. Sorun, tehdit ortamının bu takvime uymamasıdır.

Aylık döngünün gizli maliyetleri

1. Açık kalma penceresi

Yayın gününden dağıtım gününe kadar geçen sürede cihaz korumasız kalır. Test ve onay adımları bu süreyi uzatır. Süre birkaç gün de olabilir, birkaç hafta da. Aylık döngüde bu süre yapısal olarak uzundur.

2. Takvim dışı yayınlar

Üretici bazen acil bir güncelleme yayımlar. Bu güncelleme aylık takvime uymaz. Aylık plana bağlı bir ekip, acil yamayı ya manuel istisna olarak uygular ya da bir sonraki döneme bırakır. İkisi de risklidir.

3. Üçüncü taraf yazılım

Tarayıcılar, PDF okuyucular ve iletişim araçları Microsoft takvimini izlemez. Her üretici kendi takvimine göre güncelleme yayımlar. İşletim sistemi yamasını takip eden ama uygulama güncellemelerini ayrı bir listede tutan ekipler bu farkı kaçırır.

4. Uzaktan çalışan cihazlar

Ofis ağına hiç bağlanmayan bir dizüstü bilgisayar, dağıtım penceresini kaçırabilir. Cihaz ay boyunca kapalı veya çevrimdışı kalırsa yama bir sonraki döneme kayar. Hibrit çalışmada bu durum sık görülür.

5. Tek büyük dağıtımın yükü

Bütün cihazlara aynı gün yama göndermek ağı, sunucuları ve kullanıcıları aynı anda yükler. Hata çıkarsa etki tüm kuruma yayılır. Küçük ve sürekli dağıtımlarda hata, küçük bir gruba sınırlı kalır.

Bir açığın yaşam döngüsünde hangi adımlar sizin kontrolünüzde?

Her açık aynı yolu izler. Bu yolda bazı adımlar sizin kontrolünüzde değildir. Bazıları ise tamamen sizindir. Sürekli yama yönetimi, sizin kontrol ettiğiniz adımları kısaltır.

Son dört adım sizindir. Bu adımlar ne kadar kısa olursa açık kalma penceresi o kadar dar olur.

Sürekli yama yönetimi nedir?

Sürekli yama yönetiminde tarama, onay ve dağıtım tek seferlik bir olay değildir. Süreç her gün çalışır. Yeni bir yama çıktığında önce pilot gruba, sonra kademeli olarak tüm filoya uygulanır. Öncelik, açığın ciddiyetine ve istismar durumuna göre belirlenir.

Sürekli yama yönetimi hakkında yaygın yanlış anlamalar

• “Aylık döngüyü tamamen bırakmalıyız.” Hayır. Yayın takvimini bilmek planlamaya yardım eder. Bırakılan şey, dağıtımın tek pencereye bağlanmasıdır.
• “Her yamayı hemen kurmalıyız.” Hayır. Öncelik kuralı, hangi yamanın hemen hangisinin daha sonra kurulacağını belirler.
• “Yüksek CVSS puanı, ilk yamalanacak açıktır.” Her zaman değil. CVSS teknik ciddiyeti ölçer. İstismar olasılığını ölçmez.
• “Sürekli yama, daha çok kesinti demektir.” Hayır. Küçük ve dağınık dağıtımlar, tek büyük yeniden başlatmadan daha az kesinti yaratabilir.
• “Bu yalnızca Windows için geçerli.” Hayır. macOS ve Linux cihazlar ile üçüncü taraf yazılımlar da aynı sürece girmelidir.

Yama önceliği nasıl belirlenir?

Önceliği tek bir puana bağlamayın. Birkaç sinyali birlikte değerlendirin. Her sinyalin bir sınırı vardır.

CISA, KEV kataloğundaki açıkların düzeltilmesi için ABD federal kurumlarına son tarih koyar (BOD 22-01). Sizi bağlamaz. Ancak listeyi bir öncelik sinyali olarak kullanabilirsiniz. CISA’nın SSVC modeli de önceliği istismar durumu ve etki gibi karar noktalarıyla belirler.

Aşağıdaki hedef süreler örnektir. Bir standart değildir. Kendi risk iştahınıza göre uyarlayın.

Halkalı dağıtım modeli

Halka (ring), cihazları risk ve etki sırasına göre gruplara ayırma yöntemidir. Yama önce küçük bir gruba gider. Sorun çıkmazsa bir sonraki gruba geçer. NIST SP 800-40 Rev. 4 de bakımı varlık gruplarına göre planlamayı önerir. Rehber; rutin yamalama, acil yamalama, acil hafifletme ve yamalanamayan varlıklar için ayrı planlar tanımlar.

Acil bir yamada bekleme süreleri kısalır. Örneğin aktif olarak istismar edilen bir açık için Halka 0 ve Halka 1 aynı gün tamamlanabilir. Kritik halka için onayı önceden alın.

Yeniden başlatma ve bakım pencereleri

Birçok yama yeniden başlatma gerektirir. Kullanıcı deneyimini bozmadan güvenliği korumak için şu kuralları uygulayın:

• Yeniden başlatma için bir süre tanımlayın. Kullanıcıya önce uyarı gösterin. Süre dolunca cihazı yeniden başlatın.
• Mesai saatleri dışında kurulum penceresi açın. Dizüstü bilgisayarlar için cihaz açıldığında kurulumu yapın.
• Sunucular için ayrı ve önceden duyurulmuş bakım pencereleri kullanın.
• Yeniden başlatma bekleyen cihazları ayrı bir liste olarak izleyin. Yeniden başlatılmayan yama, çoğu zaman uygulanmamış yamadır.

Geri alma ve hata yönetimi

Hız, geri alma planı olmadan risk yaratır. Planı yamadan önce yazın. Şu soruların yanıtı hazır olmalıdır:

• Hangi ölçütte dağıtımı durduracaksınız? Örnek: pilot halkada iki cihazda açılış hatası.
• Bir yama sorun çıkarırsa hangi adımlar uygulanır? Yama kaldırma, sistem geri yükleme veya yedekten dönüş.
• Başarısız kurulumları kim inceler? Sorumluyu adıyla belirleyin.
• Sorunlu bir yama için geçici hafifletme (mitigation) var mı? Örneğin bir hizmeti kapatmak veya bir kural eklemek.
• Geri alma yolunu son ne zaman denediniz?

Üçüncü taraf yazılım ve uzaktaki cihazlar

Saldırganlar yalnızca işletim sistemini hedeflemez. Tarayıcı, PDF okuyucu ve ofis uygulamaları da sık kullanılan hedeflerdir. Bu yazılımların yamasını ayrı bir tabloda tutmayın. İşletim sistemi ile aynı süreçte izleyin.

Uzaktaki cihazlar için iki ilke geçerlidir. Birincisi, cihaz ofis ağında olmasa da internet üzerinden yönetim sunucusuna ulaşabilmelidir. İkincisi, çevrimdışı kalan cihazlar çevrimiçi olduğunda yamayı hemen almalıdır. Ay sonunu beklemek, aylık döngünün en büyük zayıflığıdır.

30-60-90 günlük geçiş planı

İlk 30 günde hiçbir şeyi değiştirmeyin. Yalnızca ölçün. Bugünkü ortalama yama sürenizi bilmeden iyileşmeyi gösteremezsiniz.

Neyi ölçmelisiniz?

Uyumluluk ve denetim

Yama yönetimi birçok çerçevenin ortak konusudur. ISO/IEC 27001:2022 Ek A, teknik açıkların yönetimini ayrı bir kontrol olarak tanımlar. KVKK m.12, veri sorumlusunun gerekli teknik ve idari tedbirleri almasını ister. PCI DSS 4.0 ise kritik güvenlik yamaları için bir aylık bir üst süre koyar. Kendi standardınızın güncel metnini kontrol edin.

Denetimde politika yetmez. Politikanın uygulandığını gösteren kayıt gerekir. Sürekli yama yönetimi burada öne geçer: her kurulum bir görev kaydı bırakır ve uyum raporu ay sonunu beklemeden üretilebilir.

Örnek yama politikası

Aşağıdaki madde listesi bir başlangıç noktasıdır. Kendi kurumunuza göre uyarlayın.

• Kapsam: Tüm Windows, macOS ve Linux cihazlar ile onaylı üçüncü taraf yazılımlar.
• Envanter: Cihaz ve yazılım envanteri her gün güncellenir.
• Öncelik: Acil, yüksek, normal ve düşük sınıfları ile hedef süreler yazılıdır.
• Halkalar: Pilot, erken, geniş ve kritik halkalar tanımlıdır.
• Yeniden başlatma: Kullanıcıya süre tanınır; sunucular bakım penceresinde yeniden başlatılır.
• Geri alma: Durdurma ölçütleri ve geri alma adımları belgelidir.
• İstisna: Her istisnanın sahibi, gerekçesi ve bitiş tarihi vardır.
• Raporlama: Uyum oranı ve ortalama yama süresi aylık raporlanır.

Sık yapılan hatalar

• Envanter olmadan yamalamaya başlamak. Görmediğiniz cihazı yamalayamazsınız.
• Yalnızca işletim sistemine odaklanıp üçüncü taraf yazılımı unutmak.
• Tüm cihazları aynı anda güncellemek. Hata bütün kuruma yayılır.
• Yeniden başlatma bekleyen cihazları izlememek.
• İstisnalara bitiş tarihi koymamak.
• Başarısız görevleri incelememek. Başarısız kurulum, çoğu zaman tekrar deneyecek biri olmadığı için başarısız kalır.
• Sadece uyum oranına bakmak. Oran yüksek olsa da tek bir kritik cihaz açıkta kalabilir.

Moftgate ile sürekli yama yönetimi

Moftgate, Windows, macOS ve Linux cihazlarda işletim sistemi ve üçüncü taraf yazılım güncellemelerini tek konsoldan yönetir. Ajan, Windows’ta Windows Update Agent’ı, macOS’ta Apple’ın yerleşik güncelleme aracını, Debian ve Ubuntu’da ise apt paket yöneticisini kullanır.

• Görünürlük: Her cihazın Updates sekmesinde bekleyen OS yamaları ve güncel olmayan yazılımlar listelenir. Cihaz listesinde bekleyen güncelleme sayısı bir rozetle görünür.
• Otomasyon politikaları: Politikanın hedefi grup, etiket veya tekil cihaz olabilir. Güncelleme tipini (OS yaması, yazılım veya ikisi), zamanlamayı (hemen, zamanlanmış veya bakım penceresi) ve onay modunu (manuel veya otomatik) seçersiniz. Bu alanlarla halka modelinizi kurabilirsiniz.
• İzlenen görevler: Her kurulum bir görev oluşturur. İlerlemeyi Logs, sonucu History sekmesinde görürsünüz. Başarısız görevi inceleyip yeniden deneyebilirsiniz.
• Toplu kurulum: Birden fazla güncellemeyi seçip birlikte kurabilirsiniz.
• CVE’den düzeltme: Exposure ekranında bir CVE veya cihaz üzerinden düzeltmeyi açar, eşleşen yama kataloğu güncellemesini veya bir düzeltme scriptini seçersiniz. İşlem cihaza kuyruklanır.
• Çevrimdışı cihazlar: Ajan sunucuya ulaşamazsa verileri 3 güne kadar yerelde saklar ve bağlantı gelince senkronize eder.

İlk yıl 200 endpoint ücretsizdir. Yama, uzaktan erişim ve envanter için ayrı araçlar almanız gerekmez.

Sonuç

Salı Yaması takvim olarak yerinde durur. Değişen, dağıtım hızınızdır. Aylık pencereye bağlı kalmak açık kalma süresini uzatır. Sürekli yama yönetimi bu süreyi öncelik kuralları, halkalı dağıtım ve geri alma planıyla güvenli biçimde kısaltır.

İlk adım basittir: bugünkü ortalama yama sürenizi ölçün. Sonra pilot bir halka kurun. Moftgate’i ücretsiz denemek veya kendi ortamınızda yama akışını görmek için demo planlayın.