Küresel zafiyet yönetiminde merkezi bir rol üstlenen CVE (Common Vulnerabilities and Exposures) sisteminin arkasındaki kurumsal yapı olan MITRE, 15 Nisan 2025 tarihinde, ABD hükümeti tarafından finanse edilen sözleşmenin 16 Nisan itibarıyla sona ereceğini ve yeni sözleşmenin henüz onaylanmadığını duyurmuştu.
Ancak, 16 Nisan 2025 tarihinde, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), MITRE'nin CVE programına yönelik finansmanını 11 ay süreyle uzattığını açıkladı. CISA, "CVE Programı siber topluluk için paha biçilmezdir ve CISA'nın önceliğidir" diyerek, kritik CVE hizmetlerinde herhangi bir kesinti olmaması için sözleşmenin opsiyon dönemini yürürlüğe koyduğunu belirtti.
Bu gelişme, CVE sisteminin sürekliliğini kısa vadede güvence altına alırken, uzun vadeli sürdürülebilirlik ve tarafsızlık konularında endişeleri tamamen ortadan kaldırmamaktadır.
Nitekim, CISA'nın açıklamasından önce, CVE Kurulu üyeleri, programın bağımsızlığını sağlamak amacıyla CVE Foundation adlı kar amacı gütmeyen bir kuruluşun kurulduğunu duyurmuşlardı. Bu girişim, zafiyet yönetimi ekosistemindeki tek nokta arızası riskini ortadan kaldırmayı ve CVE Programı'nın küresel olarak güvenilen, topluluk odaklı bir girişim olarak kalmasını sağlamayı hedeflemektedir.
CVE sadece bir veri tabanı değil; SIEM, SOAR, EDR, VM (Vulnerability Management) çözümleri, üretici güvenlik bültenleri, ulusal zafiyet veri tabanları (NVD), zafiyet tarayıcıları (Nessus, Qualys, Wazuh) ve tehdit istihbarat sistemlerinin temel referans noktasıdır.
Bu sistemin aksaması, savunma tarafında görev alanlar için oyun planının en temel parçalarından birinin eksilmesi anlamına gelir.
CVE’ler;
• Güvenlik açıklarının adreslenmesi,
• Tehditlerin sınıflandırılması,
• Kritik altyapıların korunması,
• Alarm üretimi,
• Otomatik yama dağıtımı
gibi pek çok süreçte merkezi rol oynar.
MITRE'nin merkezde konumlandığı bu yapının işleyişindeki bir aksama:
• CVE girdilerinin gecikmesi veya durması,
• NVD güncellemelerinin yavaşlaması ya da durması,
• Ürün sağlayıcıların güvenlik bültenlerinin sekteye uğraması,
• Güvenlik araçlarının zafiyetleri sınıflandıramaması,
• Tehdit analizlerinde bütünlük kaybı ve gecikmeler,
• Zero-day’lerin doğrulanmasında zorluklar
gibi çok katmanlı sistemsel etkiler doğurabilir.
Bu sistemin aksaması, savunma tarafında görev alanlar için oyun planının en temel parçalarından birinin eksilmesi anlamına gelir.
Bu gelişme, uzun zamandır göz ardı edilen bir gerçeği gün yüzüne çıkarıyor: siber güvenlik altyapımız merkezi yapılara fazlasıyla bağımlı hale geldi.
CVE sisteminin merkezinde tek bir kurumun (MITRE) yer alması; finansal, politik veya idari bir belirsizlik durumunda, tüm sistemin işlevsizleşmesine neden olabilir.
Bu noktadan sonra ürün ve hizmet sağlayıcıların sunduğu güvenliğin kalitesi, yalnızca teknik yeterliliklerine değil, aynı zamanda yeni güvenlik açıklarını ne kadar erken keşfedip, işleyip, sistemlerine entegre edebildiklerine bağlı olacaktır.
Zira siber uzayda tehditler sürekli evrilmektedir. Ayakta kalmak sadece sistem satın almakla değil, bu sistemlerin ne kadar güncel, esnek ve merkezi yapılardan ne ölçüde bağımsız olduğu ile mümkündür.
Ne Yapılmalı?
• CVE-ID bağımlılık analizi yapılmalı,
• Alternatif veri kaynakları (ExploitDB, Vulners, VulnDB vb.) entegre edilmeli,
• CVE mirror sistemleri oluşturulmalı,
• Kritik sistemlerde MITRE tabanlı tekil yapılandırmalar gözden geçirilmeli,
• Manuel analiz ve sınıflandırma yeteneği yeniden kazanılmalı.
CVE yalnızca bir standart değil, dijital güvenliğin ortak dilidir. Ancak bu dili sürdürebilmek, tek bir kuruma değil, tüm sektörün kolektif bilinç ve hazırlık seviyesine bağlıdır.
Snipesec | Güvenliğinizi Ciddiye Alanlarla Yan Yana
Feyza Altıntaş - Siber Güvenlik Araştırmacısı
Copyright 2021 SnipeSec | Tüm Hakları Saklıdır.
