Güvenlik açığı yönetimindeki temel sorun artık güvenlik ekiplerinin açıkları hızlı bir şekilde tespit edip edememesi değil, saldırganlar bunları istismar etmeden önce artan bulgu hacmini doğru şekilde ele alabilmesidir. Microsoft, gelişmiş yapay zekâ modellerinin tarama kapsamını, güvenlik açığı tespitini ve düzeltme tasarımını genişleteceğini; ancak güvenlik ekiplerini, geleneksel insan inceleme süreçlerinin tasarlandığı kapasiteyi aşan sayıda bulguyla karşı karşıya bırakacağını düşünüyor.
Şirket, yapay zekânın savunma ekiplerinin maruziyetleri daha erken tespit etmesine ve bazı iyileştirme çalışmalarını otomatikleştirmesine olanak tanıdığını, ancak aynı zamanda saldırganlara güvenlik açıklarını aramak ve istismar etmek için daha hızlı araçlar sağladığını belirtiyor. Bu nedenle güvenlik programının başarısını yalnızca yamaların yayımlanma hızıyla ölçmek yeterli değil; her güvenlik açığının zamanında yamalanamadığı durumlarda ihlalin etkisini sınırlayan kontroller benimsenirken yama uygulamasının hızı ile doğruluğu arasında denge korunmalı.
Güvenlik açığı yönetiminde ne değişiyor?
Microsoft, kod tabanını taramak için gelişmiş yapay zekâ modelleri kullanıyor; ardından olası güvenlik açıklarını ele almadan önce bunları doğrulukları, önem dereceleri ve etkileri açısından inceliyor. Şirket, güvenlik açıklarının ele alınması ve açıklanması süreçlerinin bazı aşamalarının yapay zekâ tarafından desteklendiğini ve bunun sürecin kapsamının genişletilmesine yardımcı olduğunu açıklıyor.
Şirkete göre Microsoft tarafındaki bulut yazılımı güvenlik açıklarının çoğu müşterilerin müdahalesi olmadan ele alınıyor. Yerel yazılım kullanıcıları ise Salı güncellemeleri kapsamında duyurulan güvenlik açığı sayısında tarihsel seviyelere kıyasla büyük bir artış beklemeli; Eylül 2026'da bu sayı 1.000'e yaklaşarak rekor kırdı.
Microsoft, modellerin deterministik olmadığını; yeniden çalıştırıldıklarında veya başka bir model kullanıldığında aynı girdiler için farklı çıktılar verebileceklerini vurguluyor. Bu nedenle şirket, modellerin koda nasıl erişeceğini belirleyen, çıktıları doğrulayan ve sonuçları önceliklendirme ile iyileştirme süreçlerine bağlayan bir kontrol katmanı veya modellerin etrafında bir «kemer» kullanıyor. Microsoft, bu katmanların kullanımını mühendislik grupları genelinde genişletti ve bu araçlardan biri olan MDASH kod adlı aracı müşterilerin kullanımına sundu.
Bilgi güvenliği liderleri için pratik adımlar
- Yama kaynaklarını artırın: Güncelleme hacimlerinin artmaya devam etmesi beklendiğinden, Microsoft'un yerel yazılımlarına yama uygulanması, güvenlik açıklarının önceliklendirilmesi ve zamanlamasının belirlenmesi için daha fazla kaynak ayrılmalı.
- Kritik sistemlerde yama süresini kısaltın: Microsoft; etki alanı denetleyicileri ve uç cihazlar gibi bileşenlere düzeltmelerin hafta sonlarını veya geleneksel bakım pencerelerini beklemek yerine 24 saat içinde uygulanmasının değerlendirilmesini öneriyor.
- Modeller için kontrol katmanları kullanın: Yapay zekâ araçlarının koda erişimini kontrol etmek, sonuçları doğrulamak ve bunları iyileştirme süreçlerine entegre etmek için benzer katmanlar uygulanabilir; bunun için en yeni modellerin kullanıma sunulması beklenmek zorunda değil.
- İnsan eliyle önceliklendirme için kaynak ayırın: Bulgu sayısındaki artış; önceliği belirleyen, sonuçların doğruluğunu kontrol eden ve hataları ele alan uzmanlara duyulan ihtiyacı ortadan kaldırmıyor.
- Çok katmanlı savunmayı güçlendirin: Bazı güvenlik açıkları istismar edilmeden önce giderilemeyeceğinden, kritik güvenlik kontrollerinin durumu izlenmeli.
Bu haber neden önemli?
Asıl değişim, güvenlik açığı yönetiminin sınırlı hacme sahip dönemsel bir süreçten, ekiplerin elle inceleyebileceğinden daha fazla sonuç üretebilecek sürekli bir akışa dönüşmesidir. Bu durum, tarama hızı kadar önceliklendirme kalitesinin ve sonuçların doğrulanmasının da önemini artırıyor; ayrıca yama zamanlamasını yalnızca bir bakım işlemi değil, operasyonel ve güvenlik açısından bir karar hâline getiriyor.
Microsoft ayrıca açık kaynaklı yazılım tedarik zincirinin risklerine de dikkat çekiyor. Şirket, kritik bileşenleri taramak ve bunların düzeltmelerine öncelik vermek için sektördeki kuruluşlarla, ilgili bileşenlerin yöneticileriyle koordinasyon içinde çalışıyor. Şirket, Secure by Design ve Secure by Default ilkelerini müşterilerin üzerindeki yükü azaltmanın bir yolu olarak sunuyor. Örnekler arasında Azure yöneticileri için çok faktörlü kimlik doğrulamanın zorunlu tutulması, Azure Backup'ta mantıksal silmenin varsayılan olarak etkinleştirilmesi ve Azure VNet'te varsayılan giden erişimin devre dışı bırakılması yer alıyor.
Varsayılan olarak güvenli ayarlar ve sınırlamalar
Microsoft, güvenli ayarları geniş ölçekte uygulamak ve izlemek için mevcut müşterilerin lisans anlaşması kapsamında kullanabildiği Microsoft Baseline Security Mode'un kullanılmasını öneriyor. Bu mod; kontrollerin etkinleştirilip devre dışı bırakılmasını, istisnaların yönetilmesini ve dağıtımın kademeli olarak gerçekleştirilmesini sağlıyor. Kontrolleri ise yeni Microsoft kiracılarında varsayılan olarak kademeli biçimde uygulayacak.
Bu öneriler, risk temelli karar alma ihtiyacını ortadan kaldırmıyor. Modellerin farklı çıktılar verebilmesi, hatalı sonuç olasılığı ve insan kaynağı ile uzman önceliklendirmesine duyulan ihtiyaç, otomasyonu yönetişim ve incelemenin yerine geçmeyen bir yardımcı unsur hâline getiriyor. Ayrıca kaynak, MDASH'in doğruluk düzeyine veya işlem süresini ne ölçüde azalttığına ilişkin ayrıntılı ölçümler sunmuyor; bunlar, kanıtlanmış sonuçlar olarak değerlendirilmeden önce bağımsız olarak incelenmesi gereken noktalar.