Aksiyon skoru.Üç sinyal, tek öncelik.
CVSS bir açığın ne kadar ağır olduğunu söyler, ne kadar acil olduğunu söylemez. Aksiyon skoru, sahada olanı da hesaba katar.
Formül
aksiyon = CVSS × 4 + (KEV ise 30) + EPSS × 30
en fazla 40 en fazla 30 en fazla 30
alt sınır: hazır saldırı aracı (Metasploit modülü ya da KEV) varsa en az 40,
açık ağdan ve hesap olmadan sömürülebiliyorsa en az 60CVSS
en fazla 40Teknik ağırlık
Zafiyetin kendisi ne kadar ağır? CVSS temel puanı 4 ile çarpılır. 10 üzerinden 9,8 alan bir açık 39 puan getirir.
CISA KEV
en fazla 30Sahada sömürü
ABD Siber Güvenlik Ajansı’nın aktif olarak sömürüldüğünü doğruladığı açıklar listesi. Listede olan her CVE 30 puan alır.
EPSS
en fazla 30Yakın gelecek olasılığı
FIRST’ün önümüzdeki 30 gün içinde sömürülme olasılığı tahmini. %90 olasılık 27 puan getirir.
Bantlar
- 80–100
- Hemen
- Bugün yamayın ya da erişimi kapatın.
- 60–79
- Bu hafta
- Bir sonraki bakım penceresini beklemeyin.
- 40–59
- Planlayın
- Olağan yama döngüsüne alın.
- 0–39
- İzleyin
- Şimdilik düşük öncelik; değişiklikleri takip edin.
Örnek
CVSS 8,2 ama yerel erişim gerektiren, KEV’de olmayan, EPSS’i %5 olan bir hipervizör açığı: 33 + 0 + 2 = 35 · İzleyin. CVSS 7,5 ama EPSS’i bir haftada %13’ten %42’ye çıkan bir yazıcı sunucusu açığı: 30 + 0 + 13 = 43 · Planlayın, ve trend listesinde. Yalnızca CVSS’e bakan ekip ilkini önce yamar.
Noroxi değerlendirmesi nasıl yazılıyor
Her CVE sayfasının başındaki değerlendirmeyi yapay zekâ yazmaz ve sayfa açılırken hiçbir dış servis çağrılmaz. Veri, aşağıdaki kamu kaynaklarından düzenli olarak veritabanımıza alınır; sayfa açılınca kaydın alanları sabit kurallarla cümleye çevrilir. Aynı veri her zaman aynı metni üretir.
| Satır | Kaynak | Güncelleme |
|---|---|---|
| Öncelik ve aksiyon skoru | Yukarıdaki formül: CVSS, CISA KEV, FIRST EPSS | Veri değiştikçe |
| Sahada sömürü, fidye yazılımı, son tarih | CISA KEV kataloğu | Saatlik |
| Hazır saldırı modülü | Metasploit modülleri ve Nuclei şablonları (yalnızca adları) | Günlük |
| Kavram kanıtı (PoC) | Exploit-DB ve GitHub'daki herkese açık PoC depoları (bağlantı verilmez) | Günlük |
| Sömürülme olasılığı ve trendi | FIRST EPSS (olasılık, yüzdelik dilim, 7 günlük fark) | Günlük |
| Kim, hangi yetkiyle tetikleyebilir | CVSS vektörü (NVD ya da kaydı açan kurum) | Saatlik |
| Otomatikleştirilebilir | CISA SSVC kararı (Vulnrichment) | Saatlik |
| Düzeltilmiş sürüm | Üreticinin kendi kaydı (CNA, MSRC), yoksa OSV paket ve dağıtım kayıtları | Saatlik / günlük |
| Puan tartışması | Kaydı açan kurumun (CNA) puanı ile NVD puanı arasında en az 2 puan fark | Saatlik |
| Ulusal bildirimler | siberguvenlik.gov.tr bildirim arşivi | Günlük |
Kurallar
- Veri yoksa cümle yazılmaz; tahmin ya da varsayım eklenmez.
- Yalnızca kavram kanıtı olan bir açığa "sömürülüyor" denmez; bu ifade CISA KEV kaydı ister.
- Kayıtta düzeltme sürümü yoksa "kayıtlı düzeltme yok" yazılır; sürüm tahmin edilmez.
- Yüzdeler aşağı yuvarlanır: "%100" kesinlik iddiası olurdu, yazılmaz.
- Değerlendirme kaydın verisini anlatır, sizin ortamınızı bilmez: açığın sizde sömürülebilir olup olmadığını ancak inceleme gösterir.
Veri kaynakları
- NVDCVE kayıtları, CVSS vektörleri, CPE ve CWE eşlemeleri
- CISA KEVAktif sömürülen açıklar kataloğu
- FIRST EPSSGünlük sömürülme olasılığı tahminleri
- Üretici bildirileriEtkilenen ve düzeltilmiş sürümler
Veri NVD, CVE Programı, CISA KEV, FIRST EPSS ve OSV’den; son güncelleme tarihi CVE listesinin üstünde görünür.
Yayın ilkelerimiz
- Her kayıt etkilenen sürüm aralıkları, düzeltilmiş sürüm ve kaynak bağlantılarıyla yayımlanır.
- Çalışan exploit kodu ya da adım adım saldırı talimatı yayımlamayız.
- Kavram kanıtı depolarına bağlantı vermeyiz; yalnızca varlığını belirtiriz.
- Kod örnekleri, hatalı kalıbı ve düzeltmesini gösteren temsili örneklerdir.