10 Kasım'a dört gün kala: "Yama yayımlandı" ile "açık duyuruldu" arasındaki pencere artık bizim değil

Firewall yöneten herkesin bildiği bir ritim vardır. Üretici bülten yayımlar, CVSS puanına bakarız, "kritik mi, internete açık mı?" diye sorarız, sonra bir sonraki bakım penceresine yazarız. Bu ritim, açığın ayrıntısı ile patch'in aynı gün geldiği bir dünyada kuruldu. O dünya hızla değişiyor.

Fortinet, Ekim'in son haftasında FortiOS, FortiManager ve FortiAnalyzer için yeni sürümler yayımladı. Ama hangi açıkları kapattığını ayrıntılı olarak 10 Kasım'da açıklayacağını söyledi. Arada yaklaşık üç hafta var. Bu üç hafta, yöneticilere ayrıntılar herkesin eline geçmeden önce yükseltme yapma fırsatı olarak verildi. Dört gün sonra bu fırsatın süresi doluyor.

Neden bu kez farklı?

Bu sürümlerdeki açıkların önemli bir kısmının yapay zekâ destekli testlerle bulunduğu belirtiliyor. Bunun bir anlamı var: Açığı bulan araç savunanların elinde olabildiği gibi saldırganların elinde de olabilir. Patch yayımlandığı anda eski ve yeni firmware'i karşılaştırıp (patch diffing) açığın yerini bulmak artık günler değil, saatler sürebilir. Bu hafta OpenSSH'taki "SSHole" açığında, açıklamadan birkaç saat sonra istismar denemeleri başladığına dair haberler bunun güncel bir örneği.

Yani "ayrıntılar 10 Kasım'da gelecek" cümlesini "10 Kasım'a kadar güvendeyiz" diye okumamak gerekiyor. Doğru okuma şu: 10 Kasım'dan sonra zaten geç kalmış olacaksınız.

Bakım penceresi kültürü sorunu

Kurumlarda en sık duyduğum itiraz şu: "Change freeze var, ay sonu kapanışı var, cluster'ı yükseltmek riskli." Hepsi gerçek kaygılar. Ama internete açık bir SSL VPN arayüzü için bu kaygıları açık riskle aynı terazide tartmak gerekiyor. Bir HA cluster'da kontrollü failover ile yapılan yükseltme, yanlış giden bir yükseltmeden daha az risklidir. Yükseltme yapılmamış bir edge cihazı ise bundan da risklidir.

Bunu çözmenin yolu teknik değil, süreçle ilgili:

• Önceden onaylı acil change sınıfı. İnternete açık güvenlik cihazlarının kritik patch'leri için CAB'ı her seferinde baştan toplamayın, kuralı bir kez yazın.
• Envanter gerçeği. Hangi cihazın hangi sürümde olduğunu ve hangi arayüzünün dışarı açık olduğunu beş dakikada söyleyemiyorsanız asıl açık oradadır.
• Hardening'i patch'in yerine koymayın. Yönetim arayüzünü internetten kapatmak, kullanılmayan servisleri devre dışı bırakmak şarttır. Ama bunlar patch'i ertelemenin gerekçesi olamaz.

Son söz

Dört gün az bir süre değil. Bir cluster'ı, bir lab testini ve bir rollback planını sığdırmaya yeter. Pazartesi sabahı "ayrıntılar yayımlandı mı?" diye bakacağınıza, cuma akşamı "sürümüm güncel mi?" diye bakın.