Zafiyet taraması, sunucu, ağ cihazı, web uygulaması ve IoT cihazlarını otomatik araçlarla tarayarak bilinen güvenlik açıklarını (CVE kayıtlarını), eksik yamaları ve hatalı yapılandırmaları listeleyen düzenli bir güvenlik kontrolüdür. Sızma testinden farkı, açığı istismar etmeye çalışmaması ve haftalık ya da aylık tekrarlanmasıdır; değeri, bulguların doğru önceliklendirilip kapatılmasından gelir.
Kısaca
- Zafiyet taraması, bilinen açıkları ve eksik yamaları otomatik araçlarla, tüm varlıklarda ve düzenli aralıklarla bulur.
- Sızma testi ise bir uzmanın açıkları elle istismar ederek gerçek etkiyi kanıtladığı, daha seyrek yapılan derin bir çalışmadır.
- Verizon DBIR 2026'ya göre zafiyet istismarı, %31 ile ihlallerde en yaygın ilk erişim yolu oldu.
- Bulgular yalnızca CVSS puanıyla değil; CISA KEV kaydı, internete açıklık ve sistemin kritikliğiyle birlikte sıralanmalıdır.
- Bir bulgu, "yama yapıldı" beyanıyla değil, yeniden taramada kaybolduğunda kapanmış sayılır.
Zafiyet taraması nedir, sızma testinden farkı ne?
Zafiyet taraması ve sızma testi çoğu zaman birbirinin yerine geçebilirmiş gibi satın alınır; oysa iki farklı soruyu yanıtlarlar. Zafiyet taraması "şu anda sahip olduğumuz her şeyde hangi bilinen açıklar var?" diye sorar; sızma testi ise "yetenekli bir saldırgan bize yönelse gerçekte nereye ulaşabilir?" diye. Birincisi genişlik ve sıklıkla, ikincisi derinlik ve kanıtla ilgilidir.
| Zafiyet taraması | Sızma testi | |
|---|---|---|
| Yanıtladığı soru | Bugün hangi bilinen açıklar var? | Saldırgan gerçekte neyi başarabilir? |
| Nasıl çalışır | Otomatik araçlar; kurulumu ve incelemesi insanlarca yapılır | Bir uzman elle çalışır, bulguları zincirler |
| Kapsam | Geniş: kapsamdaki her varlık | Derin: belirli bir hedef, belirli bir süre |
| Sıklık | Sürekli, haftalık ya da aylık | Yılda bir ve büyük değişikliklerden sonra |
| Tipik çıktı | Önceliklendirilmiş CVE ve yapılandırma hatası listesi | Kanıtlı saldırı yolları ve iş etkisi |
| Neyi kaçırır | İş mantığı hataları, zincirlenmiş saldırılar | Kapsam dışındaki ve testten sonra çıkan her şey |
| En iyi tetikleyici | Sabit takvim ve her yeni sistem | Yeni yayın, denetim ya da müşteri talebi |
İkisi birbirinin yerini tutmaz. Hiç taranmamış bir ortamda yapılan sızma testi çoğunlukla eksik yamaları yeniden keşfeder; arada sızma testi yapılmayan bir tarama programı ise hiçbir aracın göremeyeceği yetki hatasını hiç öğrenmez.
Çoğu işletmede zafiyet taraması şöyle başlar: bir müşteri tedarikçi güvenlik anketi gönderir, "son tarama raporunuzu ekleyin" der. BT sorumlusu bir araç indirir, bir gece tarama çalıştırır ve yüzlerce satırlık bir rapor çıkar. Rapor paylaşılır, anket kapanır; ama hangi bulgunun kime ait olduğu, hangisinin gerçekten tehlikeli olduğu kimse tarafından sorulmaz.
Zafiyet taraması ise bir fotoğraf değil, nabız ölçümüdür. Her ay yeni zafiyetler yayımlanır, sunucular değişir, bir tedarikçi için geçici açılan port unutulur, bir kamera fabrika ayarlarıyla ağa eklenir. Tek seferlik tarama, raporun yazıldığı günün durumunu gösterir; ertesi hafta eskimiştir.
Bu rehber zafiyet taraması türlerini, bulguları nasıl sıralayacağınızı ve küçük bir ekiple sürdürülebilir bir tarama programını nasıl kuracağınızı anlatıyor. Test tarafının ayrıntıları için sızma testi nedir rehberimize bakabilirsiniz.
Bilinen açıkları kapatmamanın maliyeti nedir?
Bilinen bir açığın istismarı, 2026 itibarıyla saldırganların en sık kullandığı giriş kapısıdır. Oltalama ve çalıntı parola hâlâ büyük tehdit olsa da tablo değişti ve bilinen açıkların istismarı öne geçti.
Verizon'un 2026 raporuna göre zafiyet istismarı, %31 ile ihlallerde en yaygın ilk erişim yolu oldu; önceki lider olan kimlik bilgisi kötüye kullanımı %13'e geriledi. (Verizon 2026 Data Breach Investigations Report)
Zafiyet yönetimindeki asıl sorun açığın bulunması değil, kapatılamaması. Aynı Verizon 2026 DBIR raporu, CISA'nın bilinen istismar edilen zafiyetler (KEV) kataloğundaki kritik zafiyetlerin 2025'te yalnızca %26'sının (önceki yıl %38) tamamen giderildiğini, tam giderme için medyan sürenin de 32 günden 43 güne uzadığını gösteriyor. Saldırganın elindeki süre ise günlerle ölçülüyor: ENISA Threat Landscape 2025 raporu, incelenen olaylarda ilk sızmanın %21,3'ünün zafiyet istismarıyla gerçekleştiğini ve açıkların duyurulmasından günler içinde saldırı kampanyalarında kullanıldığını vurguluyor.
"Bilinen istismar" listesi de küçük değil. ABD siber güvenlik ajansı CISA'nın Known Exploited Vulnerabilities (KEV) kataloğunda 24 Eylül 2026 itibarıyla 1.723 zafiyet listeleniyor ve katalog neredeyse her hafta büyüyor. Bu listedeki bir açığın sizin internete açık sunucunuzda durduğunu bilmemek, kapıyı kilitsiz bırakıp bunu fark etmemek demektir. Sonuç fidye yazılımıysa işin maliyeti yedeklerinizin sağlamlığına kalır; bunu fidye yazılımına karşı yedekleme yazısında ele aldık.
Zafiyet taraması türleri nelerdir ve hangisi neyi görür?
Tek bir "zafiyet taraması" yoktur. Tarayıcının nereden baktığı ve sisteme ne kadar erişebildiği, göreceği şeyi belirler:
| Tarama türü | Nereden bakar | Neyi iyi yakalar | Neyi kaçırır |
|---|---|---|---|
| Dış ağ taraması | İnternetten, saldırganın gözünden | Açık portlar, yayındaki eski sürümler, açık yönetim panelleri | İç ağdaki cihazlar, sunucu içindeki eksik yamalar |
| İç ağ taraması | Ofis veya fabrika ağının içinden | Unutulmuş sunucular, kameralar, yazıcılar, ağ cihazları | Yalnızca dışarıdan görünen riskler |
| Kimlik doğrulamalı tarama | Sistemlere yetkili bir hesapla girerek | Eksik işletim sistemi ve yazılım yamaları, zayıf yapılandırmalar | İş mantığı hataları |
| Web uygulaması taraması | Uygulamayı tarayıcı gibi gezerek | Enjeksiyon, XSS, eksik güvenlik başlıkları | Yetki atlama gibi mantık hataları |
| Bulut yapılandırma taraması | Bulut hesabının yönetim arayüzünden | Herkese açık depolama, aşırı geniş izinler | Sanal sunucu içindeki yazılım açıkları |
Pratikte en büyük kalite farkı, kimlik doğrulamalı taramadan gelir. Kimlik doğrulamasız bir tarama, sunucunun dışarıya ne söylediğine bakar ve çoğu zaman tahminde bulunur; yetkili hesapla yapılan tarama ise yüklü paketleri ve yama seviyesini doğrudan okur. Böylece hem yanlış alarm azalır hem de gerçek açıklar daha az kaçar.
Fabrika ağlarında zafiyet taraması ayrı dikkat ister. PLC (programlanabilir mantık denetleyicisi), HMI (operatör paneli) ve SCADA sistemleri yoğun ağ taramasına beklenmedik tepki verebilir; bu ağlarda tarama pasif yöntemlerle ya da bakım penceresinde, düşük yoğunlukla yapılır. Yaklaşımı OT güvenliği ve SCADA yazımızda ayrıntılı anlattık.
Zafiyet taraması bulguları nasıl önceliklendirilir?
Tarama raporunda en sık yapılan hata, bulguları yalnızca CVSS puanına göre sıralamaktır. CVSS (Common Vulnerability Scoring System), açığın teknik ciddiyetini ölçer; ama "bu açık şu an saldırganlar tarafından kullanılıyor mu?" ve "bu sistem internete açık mı?" sorularını yanıtlamaz. Sonuç, ekibin puanı yüksek ama erişilemeyen bir iç sunucuyla uğraşırken internete açık VPN cihazındaki bilinen istismarı ertelemesidir.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da yaklaşımını bu yönde değiştirdi: 10 Haziran 2026'da yayımlanan CISA BOD 26-04 direktifi, sabit giderme sürelerini öngören eski direktifi kaldırarak yamaları varlığın internete açıklığı ve istismar riskine göre önceliklendirmeyi esas aldı. Bir KOBİ için de mantık aynıdır. Her bulguya şu dört soruyu sorun:
| Soru | Evet ise | Kaynak |
|---|---|---|
| Zafiyet KEV kataloğunda mı, yani aktif istismar ediliyor mu? | En üst öncelik | CISA KEV kataloğu |
| Etkilenen sistem internetten erişilebilir mi? | Önceliği bir kademe yükseltin | Dış ağ taraması, güvenlik duvarı kuralları |
| Sistem kişisel veri, finans ya da üretim açısından kritik mi? | Önceliği bir kademe yükseltin | Varlık envanteri |
| CVSS puanı yüksek ya da kritik mi? | Planlı yama takvimine alın | Tarama aracı |
Dört soruluk önceliklendirme tablosunu uygulamak için güncel bir varlık envanteri gerekir; hangi sunucunun ne iş yaptığını bilmeden önem derecesi verilemez. Envanteri çıkarmak, KOBİ siber güvenlik kontrol listesinin ilk maddelerinden biridir.
Düzenli zafiyet taraması programı nasıl kurulur? 8 adım
- Varlık envanterini çıkarın. İnternete açık IP adresleri, alan adları, sunucular, ağ cihazları, kameralar ve bulut hesapları tek listede toplanır; her birine bir sahip atanır.
- Kapsamı ve izni yazılı belirleyin. Hangi aralıkların, hangi saatlerde taranacağı ve hangi sistemlerin hariç tutulacağı yazılır. Barındırma firması ya da bulut sağlayıcısındaki sistemler için onların kuralları da kontrol edilir.
- Kimlik doğrulamalı taramayı kurun. Tarama için ayrı, yalnızca okuma yetkili bir hesap açılır; bu hesabın parolası diğer yönetici hesapları gibi korunur.
- İlk taramayı temel çizgi kabul edin. İlk rapor kalabalık olur; amaç her şeyi bir haftada kapatmak değil, mevcut durumu kayda geçirmektir.
- Yanlış alarmları ayıklayın. Sürüm tahminine dayanan ya da telafi edici kontrolle zaten kapatılmış bulgular işaretlenir; gerekçesi not edilir ki bir sonraki taramada yeniden tartışılmasın.
- Önceliklendirip sahip ve tarih atayın. KEV kaydı, internete açıklık, sistemin kritikliği ve CVSS puanına göre sıralanan her bulgu, bir kişiye ve bir kapanış tarihine bağlanır. Yama uygulanamıyorsa geçici önlem (erişimi kısıtlamak, servisi kapatmak) yazılır. Yamaların test edilip takvimle dağıtılması ayrı bir süreçtir; ayrıntısı yama yönetimi yazımızda.
- Düzeltmeyi yeniden taramayla doğrulayın. "Yama yapıldı" beyanı yetmez; bulgu, yeniden taramada kaybolunca kapanır.
- Takvimi ve tetikleyicileri sabitleyin. Dış ağ için sık, iç ağ için düzenli aralıklı tarama yapılır; yeni sunucu, yeni uygulama yayını ya da büyük bir yapılandırma değişikliği ek taramayı tetikler. Eğilim (açık bulgu sayısı, ortalama kapanış süresi) yönetime düzenli raporlanır.
Zafiyet taraması sonuçları açık kapıları gösterir; SIEM ve log yönetimi ile birleştiğinde ise o kapılardan biri üzerinden şüpheli bir hareket olup olmadığını da görürsünüz. Parola ve kimlik zafiyetleri taramada sınırlı görünür; bunlar için kurumsal parola güvenliği ayrı ele alınmalıdır.
Zafiyet taraması KVKK, ISO 27001 ve NIS2 uyumunda neden önemlidir?
Veri sorumlusu sıfatıyla kişisel veri işleyen her işletme, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında uygun güvenlik düzeyini sağlayacak teknik tedbirleri almakla yükümlüdür. Düzenli tarama raporları ve kapanış kayıtları, bu tedbirlerin alındığını gösteren somut kanıtlar arasındadır; kapsamı KVKK uyum danışmanlığı çalışmasında birlikte belirliyoruz. ISO 27001 belgelendirmesine hazırlanan işletmelerde de teknik zafiyet yönetimi denetçinin kanıt istediği konular arasındadır.
Avrupa'ya ihracat yapan işletmeler için bir etken daha var. AB'nin NIS2 Direktifi, kapsamdaki kuruluşlardan zafiyet yönetimini ve tedarik zinciri güvenliğini istiyor (NIS2'nin tedarikçilere yansıması); bu kuruluşlar da tedarikçilerine "zafiyetlerinizi nasıl yönetiyorsunuz?" diye soruyor. Düzenli tarama ve kapanış kaydı olan bir işletme bu soruya belgeyle yanıt verir.
Digital Bridge zafiyet taramasını nasıl yürütüyor?
Digital Bridge, siber güvenlik danışmanlığı kapsamında zafiyet taramasını bir rapor teslimi olarak değil, kapanana kadar izlenen bir süreç olarak ele alır:
- Keşif ve kapsam. Önce internete açık varlıklarınızı ve iç ağ bölümlerinizi çıkarıyor, kapsamı ve tarama saatlerini yazılı olarak sizinle belirliyoruz. Fabrika ağlarında üretim ekibiyle birlikte, cihazları yormayan bir yöntem seçiyoruz.
- Pilot tarama. Kritik birkaç sistemle başlayıp kimlik doğrulamalı taramayı kuruyor, ilk raporu yanlış alarmlardan ayıklıyoruz. Bulguları CVSS, KEV durumu ve internete açıklığa göre sıralayıp her biri için uygulanabilir düzeltme adımını yazıyoruz.
- Düzeltme ve entegrasyon. Yama ya da yapılandırma değişikliğini ekibinizle planlıyor, yeniden taramayla kapanışı doğruluyoruz. Sistemleriniz buluta taşınıyorsa bulut yapılandırma kontrollerini bulut geçiş ve altyapı danışmanlığı çalışmasına dahil ediyoruz.
- Kendi yazılımlarınız. Size özel geliştirilen bir portal ya da özel web yazılımı varsa, web uygulaması taramasını yayın öncesi kontrol listesine ekliyoruz. Dışarıdan yazılım aldığınız yüklenicinin güvenlik çıktılarını nasıl denetleyeceğinizi yazılım yüklenicisi denetimi yazısında anlattık.
- Gerektiğinde derinleşme. Taramanın gösterdiği riskli alanlarda, açığın gerçekten istismar edilip edilemediğini sızma testiyle doğruluyoruz.
Zafiyet taraması kapsamında sık karşılaştığımız kör nokta, ağa bağlı kameralar ve kartlı geçiş gibi cihazlardır; IP kamera merkezi yönetimi yazısında bu cihazların envanterini ve güncellemesini nasıl takip edeceğinizi bulabilirsiniz.
Sonraki adım
Zafiyet taraması programına başlamak için bu hafta yapabileceğiniz ilk iş basit: internete açık IP adreslerinizi ve alan adlarınızı bir listeye yazın, her birinin sahibini belirleyin. Ardından iletişim sayfamızdan bize ulaşın; kapsamı birlikte çıkaralım ve pilot taramayla ilk önceliklendirilmiş raporunuzu hazırlayalım. Güvenlik ve uyum konusundaki diğer rehberler için Siber Güvenlik ve KVKK sayfamıza göz atabilirsiniz.