Zafiyet raporu ve capstone

Bir zafiyet raporunun amacı teknik ayrıntıyı bir belgeye yığmak değildir. Rapor, farklı sorumlulukları olan insanların aynı evidence zinciri üzerinden doğru karar vermesini sağlar. Yönetici hangi iş riskinin önce ele alınacağını; varlık sahibi ne zaman değişiklik planlayacağını; teknik ekip hangi koşulu düzelteceğini; retest yapan uzman da kapanış ölçütünü anlayabilmelidir.

Bu nedenle profesyonel rapor iki katmanlıdır. Üst katman karar ve yön verir. Alt katman findings, evidence ve remediation ayrıntısını denetlenebilir biçimde sunar. İki katman aynı gerçeklere dayanır; yalnızca okuyucunun ihtiyacına göre farklı yoğunlukta anlatılır.

Raporun güven sınırı

Raporun ilk sayfalarında yetki ve kapsam görünür olmalıdır. Çalışmayı onaylayan referans, değerlendirme dönemi, dahil ve hariç varlıklar, izin verilen yöntemler, önemli sınırlamalar ve iletişim noktası yazılır. Bu bilgiler raporun hukuki ve operasyonel sınırını gösterir.

Kapsam dışı gözlem, doğrulanmış finding gibi sunulmaz. Test edilemeyen alanlar “temiz” kabul edilmez; sınırlama olarak belirtilir. Kullanılan laboratuvar hesapları ve sentetik veriler açıklanabilir, fakat parola, oturum belirteci, kişisel veri veya gereksiz iç ağ ayrıntısı rapora konmaz.

Rapor ilkesi

Her iddianın izi geriye yürüyebilmeli

Okuyucu bir teknik iddiadan finding kimliğine, oradan maskelenmiş evidence'a, kapsam kaydına, remediation değişikliğine ve varsa retest sonucuna ulaşabilmelidir.

Yönetici özeti ne anlatır?

Yönetici özeti bütün findings başlıklarını tekrar etmez. Bir veya iki sayfada şu karar sorularını yanıtlar:

• Hangi iş hizmetleri ve güvenlik hedefleri etkileniyor?
• En önemli doğrulanmış riskler hangileri?
• Neden şimdi eylem gerekiyor?
• Önerilen ilk üç eylem, sahipleri ve hedef tarihleri nedir?
• Hangi risk azaltıldı, hangisi açık veya kabul edilmiş durumda?

“On iki kritik açık bulundu” gibi bağlamsız sayı, karar kalitesi üretmez. Bunun yerine “internete açık kimlik hizmetindeki doğrulanmış finding aktif sömürü evidence'ı nedeniyle ilk bakım penceresine alındı” ifadesi; varlığı, aciliyeti ve eylemi bağlar.

Yönetici özeti teknik kesinliği korur. Severity, priority ve status birbirinin yerine kullanılmaz. Bir finding yüksek severity olabilir, fakat güçlü telafi edici kontrol nedeniyle planlı priority alabilir. Bir başka finding retest bekliyorsa “fixed” değildir.

Teknik finding kaydı

Her finding tek başına okunabilir olmalıdır. Sağlam bir kayıt şu yapıyı izler:

1. Kimlik ve başlık: Kararlı finding kimliği ve koşulu açık anlatan kısa başlık.
2. Etkilenen varlık: Varlık kimliği, ortam ve yetkili kapsam referansı.
3. Durum: Verified, false-positive, inconclusive, remediation planned, retest pending veya fixed gibi kontrollü değer.
4. Koşul ve etki: Ne gözlendiği, neden güvenlik sorunu olduğu ve olası teknik/iş etkisi.
5. Evidence: UTC zamanlı, maskelenmiş ve kaynağı belirtilmiş kayıt referansları.
6. Severity ve priority: Teknik ölçüm ile kurumsal eylem gerekçesi ayrı alanlarda.
7. Remediation: Kök nedene yönelik öneri, sahip ve kabul ölçütü.
8. Retest: Uygulandıysa yöntem, önce/sonra karşılaştırması, sonuç ve kalan risk.

Teknik açıklama yeniden üretilebilir olmalı, fakat gereksiz saldırı reçetesine dönüşmemelidir. Yetkili analistin koşulu doğrulamasına yetecek yöntem ve beklenen/gözlenen ayrımı verilir. Gerçek sırlar, tam oturum değerleri ve başka kullanıcılara ait kayıtlar çıkarılır.

Evidence manifesti ve sürüm disiplini

Raporun kendisi bütün evidence dosyalarını içine gömmek zorunda değildir. Ayrı bir manifest; evidence kimliği, finding bağlantısı, üretim zamanı, dosya türü, maskeleme durumu, bütünlük özeti ve erişim sınıfını listeler. Hassas ekler yalnız ihtiyacı olan roller tarafından açılır.

Rapor da sürümlenir. Taslak, teknik doğrulama, varlık sahibi incelemesi ve final sürümleri birbirine karıştırılmaz. Bir finding'in priority veya retest durumu değiştiğinde değişiklik notu eklenir. Böylece eski bir ekran görüntüsünün yeni karar gibi dolaşması önlenir.

Capstone senaryosu

Capstone için yalnızca sana ayrılmış bir laboratuvar düşün: internet taklidi yapan bir giriş katmanı, iç uygulama ve yönetim servisi. Önceki derslerde ürettiğin kayıtları kullanarak aşağıdaki paketi hazırla:

• Yetki ve kapsam özeti ile üç varlıklı envanter.
• Scanner sinyalleri, verified findings, false-positive ve inconclusive kayıtların ayrıldığı sonuç listesi.
• Her verified finding için severity, tehdit evidence'ı, varlık bağlamı ve priority gerekçesi.
• En önemli finding için tam teknik kayıt ve maskelenmiş evidence referansları.
• Remediation sahibi, hedef tarih, kabul ölçütü ve rollback notu.
• En az bir finding için önce/sonra retest kaydı ve kalan risk.
• Yöneticiye yönelik üç eylemlik kısa özet.

Paketin kalite kontrolünü başka bir kişinin sorularıyla yap: Hangi varlık neden önemli? İddia hangi evidence'a dayanıyor? Neden bu finding önce geliyor? Düzeltmenin başarı ölçütü ne? Retest neyi kanıtladı? Bu soruların cevabı belgede bulunmuyorsa rapor henüz tamam değildir.

Devir ve okuyucu testi

Final paketi yayımlamadan önce iki ayrı okuyucu testi uygula. Teknik okuyucu, finding kimliğinden maskelenmiş evidence'a ve retest kararına kesintisiz ilerleyebilmelidir. Yönetici okuyucu ise teknik ayrıntıya girmeden hangi riskin önce ele alınacağını, kimin sorumlu olduğunu ve hangi tarihte yeniden karar verileceğini görebilmelidir. İki okuyucu da aynı sonuca ulaşmalı; yalnız ayrıntı düzeyleri farklı olmalıdır.

Devir toplantısında açık işler sözlü bırakılmaz. Her eylem için sahip, hedef tarih, bağımlılık ve başarı ölçütü raporda işaretlenir. Hassas eklerin erişimi toplantıdan önce doğrulanır; ekran paylaşımında sır veya kişisel veri gösterilmez. Sorular raporun bir varsayımını değiştiriyorsa final sürümüne değişiklik notu eklenir. Böylece capstone yalnız iyi yazılmış bir belge değil, sonraki ekibin güvenle sürdürebileceği denetlenebilir bir çalışma paketi olur.

Başarı ölçüsü

Capstone'un başarısı sayfa sayısı veya bulgu adedi değildir. Başarı; finding'lerin doğrulanabilir, eylemlerin sahipli, hassas verinin korunmuş ve kapanış kararının evidence ile desteklenmiş olmasıdır. İyi rapor, güvenlik ekibinin bilgisini diğer ekiplerin güvenle uygulayabileceği bir karar sistemine dönüştürür.