CVE, CVSS, EPSS ve KEV Nedir? Güvenlik Açığı Skorlarını Doğru Okuma Rehberi

Her gün onlarca yeni güvenlik açığı yayımlanıyor. Haber başlıkları "kritik", "sıfır gün", "aktif olarak istismar ediliyor" gibi ifadelerle dolu ve hepsi aynı anda acil görünüyor. Oysa yama yapacak vakit de insan da sınırlı. Bu yazıda, bir açık hakkında karşınıza çıkan dört temel kavramı (CVE, CVSS, EPSS ve KEV) ve bunları bir araya getirerek neyi önce yamalayacağınıza nasıl karar verebileceğinizi anlatıyoruz.

CVE: Açığın kimlik numarası

CVE (Common Vulnerabilities and Exposures), bilinen bir güvenlik açığına verilen benzersiz kimliktir. CVE-2024-3094 gibi görünür: yıl, ardından sıra numarası. Program MITRE tarafından yürütülür ve ABD'nin siber güvenlik kurumu CISA tarafından desteklenir.

CVE'nin tek işi herkesin aynı açıktan söz ettiğinden emin olmaktır. Bir üretici, bir güvenlik araştırmacısı ve bir haber sitesi aynı kimliği kullandığında karışıklık biter. CVE kaydı kısa bir açıklama ve referanslar içerir; açığın ne kadar tehlikeli olduğunu söylemez.

Zenginleştirilmiş veri (etkilenen ürün sürümleri, puanlar, zayıflık türü) ise genellikle ABD'de NIST'in işlettiği NVD (National Vulnerability Database) üzerinden gelir. CyberSectr'ın CVE veritabanı da teknik verilerini bu kaynaklardan otomatik olarak alır.

CVSS: Açık ne kadar ciddi?

CVSS (Common Vulnerability Scoring System), bir açığın teknik şiddetini 0 ile 10 arasında puanlar. Puan; saldırının ağdan yapılıp yapılamadığı, kimlik doğrulama gerekip gerekmediği, kullanıcı etkileşimi ihtiyacı ve gizlilik, bütünlük, erişilebilirlik üzerindeki etkisi gibi ölçütlerden hesaplanır.

CVSS v3.x için yaygın aralıklar şöyledir:

Puan	Seviye
0,0	Yok
0,1 – 3,9	Düşük
4,0 – 6,9	Orta
7,0 – 8,9	Yüksek
9,0 – 10,0	Kritik

Güncel sürüm olan CVSS v4.0, ek metrikler ve daha net bir sınıflandırma getiriyor, ancak pratikte hâlâ çok sayıda kayıtta v3.1 puanı görürsünüz.

CVSS'in en sık yanlış anlaşılan yanı şudur: CVSS şiddeti ölçer, riski değil. 9,8 puanlı bir açık, internete hiç açık olmayan bir üründeyse sizin için düşük risk taşıyabilir. 6,5 puanlı bir açık ise internete bakan ve herkesin saldırdığı bir sistemdeyse acildir. Puan, açığın bağlamını (sizin ortamınızı) bilmez.

EPSS: İstismar edilme olasılığı

EPSS (Exploit Prediction Scoring System), FIRST tarafından yayımlanan ve bir açığın önümüzdeki 30 gün içinde gerçek dünyada istismar edilme olasılığını tahmin eden bir modeldir. Çıktısı 0 ile 1 arası bir olasılıktır; genellikle yüzde olarak gösterilir.

Önemli bir fark: CVSS "bu açık kötü kullanılırsa ne olur?" sorusunu yanıtlar, EPSS ise "birileri bunu gerçekten kullanacak mı?" sorusunu. Birçok yüksek CVSS puanlı açık hiçbir zaman istismar edilmez; EPSS bu ayrımı yapmanıza yardım eder.

EPSS bir tahmindir, kesinlik değildir. Düşük bir EPSS değeri "güvenle ihmal edebilirsiniz" demek değildir; sadece diğerlerine göre öncelik sırasının gerisinde olduğunu gösterir. Puan zamanla değişir: bir açığın istismar kodu yayımlandığında EPSS hızla yükselebilir.

KEV: Gerçekten istismar edildiği kanıtlananlar

KEV (Known Exploited Vulnerabilities), CISA'nın tuttuğu ve gerçek saldırılarda istismar edildiği doğrulanmış açıkların kataloğudur. Burada tahmin yok, kanıt var. Bir açık KEV listesinde ise birileri onu şu anda kullanıyor demektir.

CISA, ABD federal kurumlarına bu listedeki açıkları belirli bir süre içinde (katalogda "son tarih" olarak yazar) kapatmalarını zorunlu kılar. Zorunluluk sizin için geçerli olmasa da bu son tarih, önceliklendirme için iyi bir referanstır.

CyberSectr'da KEV listesindeki kayıtlar aktif istismar filtresiyle listelenir ve kayıt sayfasında kırmızı etiketle işaretlenir.

Dört kavram birlikte nasıl kullanılır?

Hiçbiri tek başına yeterli değildir. Pratik bir öncelik sırası şöyle olabilir:

1. KEV'de olanlar ve sizde bulunan ürünleri etkileyenler. Hemen. Aktif istismar kanıtlı ve açık sizde varsa bu listeden daha acili yoktur.
2. Yüksek EPSS'li ve internete açık sistemlerinizi etkileyenler. Yakında istismar edilme ihtimali yüksek ve saldırganın ulaşabileceği yerdeler.
3. CVSS yüksek/kritik olup içeriden erişilebilen sistemleri etkileyenler. Planlı ama hızlı bir yama penceresinde.
4. Geri kalanlar. Rutin yama döngüsünde.

Bu sıralamanın hepsi bir şeye dayanır: hangi ürünlerin sizde gerçekten çalıştığını bilmek. Envanteriniz yoksa hiçbir skor sizi kurtarmaz. Yazılım ve sürüm envanteri, yama yönetiminin ilk adımıdır.

Sık yapılan hatalar

• Sadece CVSS'e bakmak. Puanı yüksek ama istismar edilmeyen açıklar için kaynak harcayıp KEV'deki orta puanlı bir açığı atlamak.
• "Yama yok" diye beklemek. Yama yoksa geçici çözüm (workaround), erişimi kısıtlama, WAF kuralı veya servisi kapatma gibi azaltma önlemleri devreye alınmalıdır. Üreticilerin bültenleri çoğunlukla bunları listeler.
• Bağlamsal puanı hiç hesaplamamak. CVSS'in "çevresel" metrikleri, sizin ortamınıza göre puanı düzeltmek için vardır.
• Haber başlığına güvenmek. "Kritik açık" başlığı çoğu zaman puanı, etkilenen ürünün sizde olup olmadığını söylemez. Kaynağa, yani CVE kaydına ve üretici bültenine bakın.

Kısaca

• CVE: Açığın kimliği.
• CVSS: Açığın teknik şiddeti.
• EPSS: Yakın zamanda istismar edilme olasılığı.
• KEV: İstismarın kanıtlandığı açıklar.

Güvenlik açıklarıyla başa çıkmak, hepsini yamalamak değil, doğru olanı doğru sırayla yamalamaktır. Güncel kayıtları, skorlarıyla ve Türkçe açıklamalarıyla CVE veritabanımızdan takip edebilir, son 7 günde yayımlananlara göz atabilirsiniz.