CVSS Önem Derecesi ve Risk: Zafiyetleri Önceliklendirme Rehberi

Kısa yanıt: CVSS puanı, tanımlı metriklere göre bir zafiyetin önem derecesini iletir. Tek başına belirli bir kurum için riskin tamamını ölçmez. Önceliklendirme; etkilenen varlığın gerçekten kullanılıp kullanılmadığına ve dışarıya açık olup olmadığına, doğrulanmış tehdit koşullarına, varlığın iş içindeki rolüne ve o ortamdaki olası etkiye de bağlıdır.

FIRST'ın CVSS v4.0 User Guide belgesi Base önem derecesini zamana göre değişen ve ortama özgü bağlamdan açıkça ayırır. Puanı, sürümü, vektörü, kaynağı ve etkilenen ürün koşullarını birlikte saklayın; düzeltme kararını dağıtım ortamına ait kanıtlarla verin.

CVSS v4.0 neyi ifade eder?

CVSS v4.0 dört metrik grubu kullanır. Base grubu zafiyetin kendi özelliklerini; Threat metrikleri zamanla değişebilen koşulları; Environmental metrikleri puanı kullanan kurumun ortamını açıklar. Supplemental metrikler ek bağlam sağlar ancak nihai puanı değiştirmez.

Yayımlanan gösterim	İçerdiği metrik grupları	Okuyucuya ne söyler?
CVSS-B	Base	Base puanını ve zafiyete özgü varsayımları
CVSS-BT	Base + Threat	Seçilen tehdit metrikleriyle güncellenmiş Base önem derecesini
CVSS-BE	Base + Environmental	Yerel ortam gereksinimleriyle güncellenmiş Base önem derecesini
CVSS-BTE	Base + Threat + Environmental	Puanlanan üç metrik grubunu da yansıtan sonucu

Kaynakta kullanılan CVSS sürümünün gösterimini ve vektörünü koruyun. Bir üreticinin CVSS v3.1 puanını v4.0 gibi sunmayın, puanı sessizce yeniden hesaplamayın ve izlenebilir kaynak/vektör olmadan sayısal değer yayımlamayın. FIRST, CVSS verisi yayımlayanların atıf vermesini ve puanın nasıl elde edildiğinin anlaşılmasını sağlayacak ayrıntıları sunmasını ister.

Aynı önem derecesi neden farklı yerel risk anlamına gelebilir?

Herkese açık Base puanı, kurumun etkilenen ürünü çalıştırıp çalıştırmadığını, zafiyetli özelliğin etkin olup olmadığını, ilgili endpoint'in internetten erişilip erişilemediğini veya bir telafi kontrolünün saldırı yolunu kapatıp kapatmadığını bilmez. Ayrıca kurumunuzda istismar yaşandığını kanıtlayamaz.

Yayımlanmış puanı sessizce değiştirmek yerine aşağıdaki kanıt alanlarını ayrı kaydedin:

Uygulanabilirlik: Ürün, sürüm, yapılandırma, özellik durumu ve etkilenen bileşen eşleşiyor mu?
Maruziyet: Erişilebilir arayüzler, ağ sınırları, kimlik gereksinimleri ve güven bölgeleri neler?
Tehdit kanıtı: İstismar durumu veya tehdit faaliyeti yalnızca güvenilir ve tarihli kaynakla doğrulanıyorsa kaydedilmeli; kamuya açık advisory, PoC ve doğrulanmış istismar birbirinden ayrılmalı.
İş etkisi: Hangi veri, hizmet, güven sınırı, müşteri akışı, güvenlik veya operasyon gereksinimi etkilenebilir?
Kontroller ve belirsizlik: Azaltımlar, ağ ayrımı, tespit kapsamı, test güveni ve henüz bilinmeyenler neler?
Aksiyon: Sorumlu kişi, yama veya azaltım, doğrulama yöntemi ve karar tarihi ne?

Bunlar karar girdileridir; evrensel bir puanlama formülünün yerine geçmez. Kurumlar tek bir önem bandını her durum için geçerli yama süresi saymak yerine kendi risk yöntemini ve eskalasyon politikasını belgelemelidir.

Tekrarlanabilir bir önceliklendirme akışı

Advisory'yi doğrulayın. Birincil kaynağı, yayın/güncelleme tarihini, CVE veya üretici kimliğini, CVSS sürümünü ve vektörünü, etkilenen sürümleri, düzeltme sürümünü ve koşulları kaydedin. Kaynaklar çelişiyorsa farkı saklayın ve sorumlu inceleyiciden çözmesini isteyin.
Yerel uygulanabilirliği doğrulayın. Envanter ve yapılandırma kanıtını kontrol edin. Varlığın veya etkilenen özelliğin durumu bilinmiyorsa sistemi zafiyetli ya da güvenli ilan etmek yerine belirsizliği kaydedin.
Maruziyet ve tehdit bağlamını belirleyin. Güncel, atıf verilebilir kanıt kullanın. Yalnızca önem puanından veya PoC varlığından aktif istismar sonucu çıkarmayın.
İş etkisini değerlendirin. Koşullar gerçekleşirse hangi veri, hizmet, güven sınırı veya müşteri akışının etkilenebileceğini belirleyin.
Kanıtla orantılı aksiyon seçin. Yama uygulayın, azaltım ekleyin, maruziyeti kısıtlayın, tespit kontrolü kurun veya sorumlusu ve bitiş tarihi olan risk kabulü kaydedin. Kararın kanıtla neden uyumlu olduğunu açıklayın.
Kapanışı doğrulayın. Etkilenen sürüm veya yapılandırmayı tekrar kontrol edin ve ilgili güvenlik koşulunu test edin. Kanıtı ve kalan riski karar kaydına bağlayın.

Örnek: tek advisory, iki ortam

Bir advisory'nin belirli bir ürün sürümünde zafiyet bildirdiğini ve yayımlanmış bir CVSS puanı olduğunu varsayalım. Bir ortamda ürün hiç kullanılmıyor olabilir; diğerinde etkilenen sürüm, internetten erişilebilen bir sistemde çalışıyor olabilir. Kamuya açık CVSS kaydı aynı olsa da uygulanabilirlik ve maruziyet kanıtı farklıdır. Ekip her ortamı doğrulamalı, kanıtlanmış tehdit koşullarını belirlemeli, etkilenen hizmeti değerlendirmeli ve aksiyonunu kaydetmelidir. Aynı CVSS sürümünün kurallarına göre geçerli bir değerlendirme yapmadan yeni puan uydurmamalıdır.

Bu örnek bir karar yöntemi anlatır; gerçek bir zafiyet veya dağıtım hakkında iddia değildir.

Örneği incelenebilir bir karara dönüştürün

Yayımlanmış puanı, her dağıtıma ait kanıtlardan ayrı tutun. Karar kaydı bu ayrımı görünür kılabilir:

Soru	Ortam A	Ortam B
Etkilenen ürün/sürüm mevcut mu?	Tarihli envanter anlık görüntüsünde yok	Etkilenen sürüm tarihli envanterde doğrulandı
Advisory koşulları karşılanıyor mu?	Kayıtlı envanter için uygulanamaz; değişikliklerden sonra yeniden kontrol edilmeli	Özellik/yapılandırma koşullarını dağıtım kanıtıyla doğrulayın
Maruziyet hakkında ne biliniyor?	Bu anlık görüntüde dağıtılmış varlık belirlenmedi	Erişilebilir arayüzleri ve güven sınırlarını kaydedin; yalnızca erişilebilirlikten istismar edilebilirlik çıkarmayın
İstismar hakkında ne biliniyor?	Puan tek başına sonuç vermez	Tarihli ve atıf verilebilir kaynağı kaydedin veya bilinmiyor olarak işaretleyin
Karar nedir?	Envanter kapsamını ve yeniden kontrol koşullarını koruyun; advisory'nin hiçbir zaman ilgili olmayacağını iddia etmeyin	Kurumsal risk politikasıyla aksiyon seçin, sorumlu atayın, kanıtı ve belirsizliği kaydedin

Bu, varsayımsal bir iş akışıdır; gerçek bir CVE hakkında iddia değildir. “Mevcut değil” ifadesi tarihli envanter kanıtına bağlıdır; ürünün ileride eklenemeyeceğinin kanıtı değildir. Ortam B de otomatik olarak “kritik” değildir: maruziyet, etkilenen koşullar, iş etkisi, tehdit kanıtı ve mevcut kontroller incelenmelidir.

CVSS metriklerini yerel bağlamdan ayrı tutun

CVSS v4.0; zafiyetin kendi özelliklerini tanımlayan Base metriklerini, tehdit koşullarını ele alan Threat metriklerini, yerel etki gereksinimleri ve değiştirilmiş metrikleri içeren Environmental metriklerini ve ek bağlamı gösteren Supplemental metriklerini tanımlar. Supplemental metrikleri sayısal puanı değiştirmez. FIRST adlandırması hangi grupların puana dahil olduğunu belirtir; örneğin CVSS-B, CVSS-BT, CVSS-BE ve CVSS-BTE. Puanı, sürümü, vektör dizesini, puan kaynağını ve adlandırmayı birlikte saklayın; bağlamsız bir puanı yeniden üretmek zordur.

Puanı kullanan ekip, sağlayıcının Base puanını sessizce kendi ortamına özgü sonuç gibi değerlendirmemelidir. Ekibiniz Environmental metriklerini hesaplıyorsa değerlendiren kişiyi, ilgili varlık/ortamı, kanıtı, tarihi ve tam vektörü kaydedin. Yerel vektör de tam bir iş riski kararı değildir: varlık kritiklik düzeyi, maruziyet, telafi edici kontroller, operasyonel etki ve belirsizlik triyaj kaydında ayrıca ele alınmalıdır.

Kaynak ve sürüm farklılıklarını görünür biçimde çözün

Üretici advisory'si, CVE kaydı veya başka puanlama kaynağı farklılık gösterdiğinde her kaynağın puanını, vektörünü, sürümünü ve güncelleme tarihini koruyun. Kaynakların farklı etkilenen yapılandırmaları mı anlattığını veya farklı metrik grupları mı kullandığını inceleyin. Puanların ortalamasını almayın, en yükseği sessizce seçmeyin veya inceleyici ve gerekçeyi kaydetmeden vektörü değiştirmeyin. Kaynak; etkilenen sürümleri, düzeltilmiş sürümleri veya istismar kanıtını güncellediğinde kararı yeniden değerlendirin.

CVSS v3.1 ve v4.0 yöntemin farklı sürümleridir. Sayısal değerlerini doğrudan karşılaştırılabilir gibi ele almayın veya puanı basit aritmetik ile dönüştürmeyin. Sürümü belirtin ve karşılık gelen vektörü saklayın; yan yana karşılaştırmayı çevreleyen analizde açıklayın.

Uygulanabilir triyaj kaydı için asgari alanlar

Başka bir inceleyicinin kararı yeniden üretebilmesi için yeterli bilgiyi saklayın:

Advisory/CVE kimliği, birincil referanslar, kaynak güncelleme tarihi, CVSS sürümü, puanı, vektörü, adlandırması ve puanlama kaynağı.
Ürün, kurulu sürüm, etkilenen koşul, düzeltilmiş sürüm, varlık kimliği ve kanıt zamanı.
Maruziyet yolu, iş hizmeti/verisi üzerindeki etki, ilgili kontroller ve bilinmeyenler.
Yayıncı, gözlem tarihi, kapsam ve iddia metniyle birlikte tehdit kanıtı; advisory, kamuya açık PoC ve doğrulanmış istismarı birbirinden ayırın.
Seçilen aksiyon, sorumlu kişi, kurumca belirlenmiş hedef tarih veya risk kabulü bitişi, gerekçe, doğrulama kanıtı ve kalan risk.

Hedef tarih kuruluş politikasına ve belgelenen bağlama göre belirlenmelidir. CVSS evrensel bir yama süresi tanımlamaz.

Sık sorulan sorular

Yüksek CVSS puanı her zaman ilk sırada mı olmalı?

Tek başına değil. Puanı bir girdi olarak kullanın; ardından etkilenen varlıkları, koşulları, maruziyeti, tehdit kanıtını, iş etkisini ve kontrolleri doğrulayın. Bu girdilerin aciliyeti nasıl belirleyeceğine kuruluşunuzun risk politikası karar verir.

CVSS-B kurumsal risk puanı mıdır?

Hayır. FIRST, CVSS-B'yi risk değil önem derecesi ölçüsü olarak tanımlar. Risk önceliklendirmesi dağıtıma ve kuruma özgü bağlam gerektirir.

Environmental puanı hesaplamalı mıyız?

Yalnızca değerlendirici ortam hakkında güvenilir bilgiye sahipse ve seçilen metrikleri gerekçelendirebiliyorsa. Tam vektörü ve kaynağını kaydedin; ürün adından veya varsayılan dağıtımdan yerel puan üretmeyin.

Kamuya açık PoC, aktif istismarı kanıtlar mı?

Hayır. PoC ve sahada istismar kanıtı farklı iddialardır. Her biri için kaynağı ve tarihi kaydedin; kanıt yoksa CVSS puanından durum çıkarmak yerine “bilinmiyor” yazın.

Sık görülen önceliklendirme hataları

CVSS-B'yi kurumsal risk veya kesin düzeltme süresi gibi değerlendirmek.
CVSS v3.1 ve v4.0 puanlarını/vektörlerini sürümü belirtmeden karıştırmak.
Yüksek önem derecesinin her ortamda ürünün kurulu, açık veya istismar edilebilir olduğunu varsaymak.
Tarihli ve izlenebilir kanıt olmadan aktif istismar iddiasında bulunmak.
Güven sınırlarını ve erişim yollarını kontrol etmeden iç ağdaki varlığın önceliğini düşürmek.
Yama dağıtıldı diye zafiyetli koşulu tekrar test etmeden bulguyu kapatmak.

Kapanış adımları için AppSec bulgusunu düzeltme ve retest akışımızı, etkilenen sürüm/yapılandırma koşullarının kaynakla açıklandığı bir örnek için n8n-mcp advisory analizini inceleyin.