Sürekli Zafiyet Taraması
Güvenlik bir kere yapılıp bitirilen iş değil. Dün temiz olan sistem, bugün açıklanan bir zafiyetle açık hale gelebilir — tarama bunun için düzenli tekrarlanır.
Teklif alınTek seferlik değil, tekrar eden.
Tarama belirlenen aralıklarla kendini tekrarlar; her tur bir öncekiyle karşılaştırılır.
Bir önceki taramaya göre kapandı.
Bu taramada ilk kez görüldü.
Hâlâ açık, takipte.
Sürekli tarama neyi içeriyor?
Düzenli tarama
Sistemleriniz belirlenen aralıklarla yeniden taranır. Aralığı siz belirlersiniz, hatırlatmayı sistem yapar.
Varlık envanteri
Hangi sunucu, hangi alan adı, hangi servis taranıyor — kapsam listesi güncel tutulur. Unutulan sistem taranmadan kalmaz.
Yeni zafiyet bildirimi
Kullandığınız bir bileşen için yeni bir açık duyurulduğunda etkilenip etkilenmediğiniz kontrol edilir ve size bildirilir.
Değişim takibi
Bir önceki taramaya göre ne kapandı, ne yeni açıldı — rapor farkı gösterir, her seferinde sıfırdan okumazsınız.
Doğrulama
Kapattığınızı bildirdiğiniz bulgu bir sonraki taramada denenir; gerçekten kapandığı görülmeden listeden düşmez.
Yönetim özeti
Teknik rapora ek olarak, karar verecek kişinin okuyabileceği kısa bir durum özeti hazırlanır.
Her taramada elinize ne geçiyor
Tarama raporu
Bulgular etkisine göre sıralanmış; her biri için ne yapılacağı yazılı.
Değişim özeti
Bir önceki taramaya göre ne kapandı, ne yeni açıldı — her seferinde sıfırdan okumazsınız.
Varlık envanteri
Hangi sunucu, hangi alan adı, hangi servis kapsamda; liste güncel tutulur.
Yönetim özeti
Karar verecek kişinin okuyabileceği kısa durum notu.
Tek seferlik testin kapatamadığı boşluk
ISO/IEC 27001:2022 kontrol A.8.8
Teknik zafiyetlerin yönetimini ayrı bir kontrol olarak tanımlıyor. Belirli bir yama süresi dayatmıyor, ancak denetçi kurumun kendi belirlediği süreye uyduğunun kanıtını arıyor.
Envantere girmeyen sistem taranmaz
Ağa eklenen her yeni sistem ve servis için tarama gerekiyor. Varlık envanteri güncel değilse unutulan bir sunucu yıllarca taranmadan kalır; taramanın ilk adımı bu yüzden envanterdir.
Makas açılıyor
Verizon'un 2026 raporunda zafiyet istismarı ilk erişim vektörleri içinde yüzde 31'e çıktı; aynı dönemde medyan yama süresi 32 günden 43 güne yükseldi. Saldırgan hızlanırken savunma yavaşlıyor, aradaki fark düzenli taramayla kapanıyor.
Buradaki başlıklar bilgilendirme amaçlıdır. Kurumunuz için bağlayıcı olan yükümlülükler tabi olduğunuz mevzuata ve faaliyet alanınıza göre değişir.
Sık sorulanlar
Yıllık sızma testi varken sürekli zafiyet taraması neden ayrıca gerekli?
Verizon'ın 2026 DBIR raporuna göre zafiyet istismarı, saldırganların ilk erişim yolları içinde yüzde 31'e çıktı ve medyan yama süresi 32 günden 43 güne uzadı; yıllık test tek bir ana ait durumu gösterirken sürekli tarama bu aradaki riski kapatır. Mantıklı ritim, yıllık kapsamlı sızma testi, önemli sistem değişikliklerinden sonra hedefli test ve arada sürekli taramayla acil bildirimin birleşmesidir.
Otomatik zafiyet taraması tüm açıkları bulur mu?
Hayır; zafiyet tarayıcıları yalnızca bilinen varlıklardaki bilinen zayıflıkları kontrol eder, unutulmuş alt alan adları veya kapatılmamış test ortamları gibi bilinmeyen varlıkları ise EASM (External Attack Surface Management) türü araçlar ayrıca keşfeder. Otomatik tarama; mantık hatalarını ve erişim kontrolü zafiyetlerini istismar edip kanıtlayan sızma testinin yerine geçmez, onu tamamlar.
Bulunan açıklardan hangisi önce kapatılmalı?
2025'te toplam 48.185 CVE kaydının yüzde 2'sinden azı CISA'nın istismar edilen zafiyetler kataloğuna (KEV) girdi; bu da doğru filtre uygulandığında öncelikli müdahale listesinin yönetilebilir kaldığını gösteriyor. Önceliklendirme; istismarın doğrulandığı KEV, istismar olasılığını öngören EPSS ve şiddeti gösteren CVSS'in birlikte değerlendirilmesiyle yapılır.
Zafiyetlerin ne kadar sürede kapatılması gerektiğine dair bir standart var mı?
ISO/IEC 27001:2022'nin A.8.8 maddesi (teknik zafiyet yönetimi) zafiyetlerin zamanında tanımlanıp değerlendirilmesini ve ele alınmasını gerektirir, ancak belirli bir süre dayatmaz; denetçiler giderme sürecinin belgelenmiş risk iştahı ve hedeflerle uyumlu olmasını bekler. Yönetim özeti raporu, bu teknik veriyi karar verici diline çevirir.
Tarama ritminizi kuralım.
Hangi sistemlerin hangi sıklıkta taranmasını istediğinizi anlatın; kapsamı ve takvimi birlikte belirleyelim.