"ProjectDiscovery araştırması: büyük şirketlerin neredeyse yarısı doğrulamadığı zafiyet bulgularını kapatıyor ya da erteliyor"
ProjectDiscovery'nin anketine göre 5.000'den fazla çalışanı olan kurumlardaki güvenlik ekiplerinin yaklaşık yarısı, zaman yetmediği için zafiyet bulgularını tam doğrulamadan kapatıyor veya önceliğini düşürüyor. Ekiplerin dörtte üçü backlog'un son bir yılda büyüdüğünü söylüyor.
Açık kaynak güvenlik araçlarıyla bilinen ProjectDiscovery'nin yayımladığı ankete göre, 5.000 ve üzeri çalışanı olan kurumlardaki güvenlik ekiplerinin yaklaşık yarısı zafiyet bulgularını tam doğrulamadan kapatıyor ya da önceliğini düşürüyor. Help Net Security'nin 11 Kasım'da aktardığı sonuçlarda ekiplerin gösterdiği gerekçe tek: zaman.
Rapordaki en dikkat çekici çelişki şu: doğrulamayı atlayan ekiplerin %57'si, baktıkları bulguların en az dörtte üçünün gerçek çıktığını söylüyor. Yani bakılmadan kapatılan bulguların "gürültü" olduğunu varsaymak için güçlü bir neden yok. Habere göre Mandiant, saldırganların 2025'te bir açığı istismar etmesinin ortalama 7 gün sürdüğünü, bu sürenin 2018'de 63 gün olduğunu belirtiyor.
Backlog büyüyor, kaynak sayısı arttıkça köşe kesiliyor
- Ekiplerin dörtte üçü backlog'un son bir yılda büyüdüğünü söylüyor; yeni bulguların önemli bir kısmı artık AI tabanlı test araçlarından geliyor.
- Büyük kurumların çoğunda binden fazla, yaklaşık dörtte birinde on binden fazla incelenmemiş bulgu bekliyor.
- Neredeyse tüm katılımcılar bulguların en az onda birinin incelendiğinde sahte ya da istismar edilemez çıktığını söylüyor.
- Ekiplerin onda yedisi bulguları üç veya daha fazla kaynaktan (scanner, bug bounty, pentest, müşteri bildirimi) topluyor. Beş ve üzeri kaynakla çalışan ekiplerin doğrulamadan kapatma olasılığı, bir-iki kaynakla çalışanların neredeyse iki katı.
- Riski onaylayan yöneticilerin yarısından fazlası bu uygulamayı kabul ederken, sahadaki uygulayıcılarda oran üçte bir civarında. Katılımcıların yarısı daha fazla personelin sorunu çözmeyeceğini düşünüyor.
AI iki tarafta da
Katılımcıların yaklaşık yarısı AI'ın masalarına daha fazla bulgu yığdığını, yarısından fazlası da AI kullanan saldırganların backlog'daki açıklara kendi ekiplerinden önce ulaşacağını düşünüyor. Üçte birden biraz fazlası ise AI'ın triage'ı hızlandırdığını söylüyor. Anketin örneklem büyüklüğü ve yöntemi haberde yer almıyor; rakamlar ProjectDiscovery'nin bulgularıdır.
Ne yapılmalı?
- Farklı kaynaklardan gelen bulguları tek bir envanterde birleştirin; aynı açığın farklı araçlarda farklı adlarla kaybolmasını önleyin.
- "Doğrulanmadan kapatıldı" durumunu ayrı bir etiketle izleyin; bu bulguları internete açık varlıklar ve KEV listesi önceliğiyle yeniden gözden geçirin.
- Risk kabulünü yazılı ve süreli yapın; kabul eden yöneticinin adı ve gözden geçirme tarihi kayda geçsin.
- AI tabanlı triage araçlarını pilotlarken, insan doğrulamasının hangi bulgu sınıflarında zorunlu kalacağını baştan tanımlayın.
