Ertelenen güncellemeler, herkesçe bilinen açıkların sistemlerinizde açık kalması demektir. Bu yazı işletim sistemi, uygulama ve ağ cihazı yamalarını önceliklendirme, test ve kademeli dağıtımla yönetmeyi anlatır.
Güncellemeler çoğu işletmede "işler yolunda, şimdi dokunmayalım" düşüncesiyle ertelenir. Oysa bir güvenlik düzeltmesinin yayımlanması, açığın artık herkesçe bilindiği anlamına da gelir; düzeltme yapılmamış sistemler bu andan itibaren daha kolay hedef olur. Yama yönetimi, güncellemeleri ne rastgele uygulamak ne de süresiz ertelemek, planlı ve geri dönüşü düşünülmüş bir düzen içinde yapmaktır.
Yama nedir, ertelemek neden risklidir?
Yama, bir yazılımdaki ya da cihazdaki hatayı veya güvenlik açığını gidermek için üreticinin yayımladığı güncellemedir. Güncellemelerin hepsi aynı değildir: Güvenlik yamaları bilinen bir açığı kapatır, hata düzeltmeleri kararlılığı artırır, özellik güncellemeleri ise yeni işlevler getirir ve daha fazla değişiklik içerir. Bu ayrım, hangisinin ne kadar hızlı uygulanacağını belirler.
Ertelemenin bedeli zamanla büyür. Bekleyen güncellemeler biriktikçe, sonunda hepsi birlikte uygulandığında bir sorun çıkarsa kaynağını bulmak zorlaşır. Bazı açıklar düzeltme yayımlanmadan önce de kötüye kullanılabilir; bunlara "sıfırıncı gün" açığı denir. Bu durumlarda üreticinin geçici önlem önerilerini takip etmek ve yama çıktığında hızla uygulamak daha da önem kazanır.
Kapsam yalnızca bilgisayarlar değildir
İşletim sistemleri
Kullanıcı bilgisayarları, sunucular, telefon ve tabletler bu grupta yer alır. Otomatik güncelleme açık olsa bile, güncelleme indirildiği hâlde cihaz yeniden başlatılmadığı için uygulanmamış olabilir. Kapatılmadan haftalarca çalışan bilgisayarlar ve uzun süre ofis ağına bağlanmayan dizüstü bilgisayarlar bu açıdan ayrıca izlenmelidir.
Uygulamalar
Tarayıcılar, ofis uygulamaları, PDF okuyucular, dosya sıkıştırma araçları, uzaktan erişim programları ve muhasebe ya da ERP istemcileri de düzenli güncelleme ister. Bu uygulamaların çoğu işletim sistemi güncellemesiyle birlikte güncellenmez; kendi güncelleme mekanizmaları vardır ve ayrıca takip edilmelidir. Tarayıcı eklentileri de bu listeye dahildir. Kullanılmayan uygulamaları kaldırmak, güncellenmesi gereken yazılım sayısını azaltmanın kolay bir yoludur.
Ağ cihazları ve donanım yazılımı
Donanım yazılımı (firmware), bir cihazın içinde gömülü olarak çalışan ve onu yöneten yazılımdır. Güvenlik duvarı, modem, anahtar, kablosuz erişim noktası, ağ depolama cihazı (NAS), yazıcı, IP kamera, kesintisiz güç kaynağının yönetim kartı ve sunucuların BIOS/UEFI yazılımı bu gruptadır. Bu cihazlar çoğu zaman kendiliğinden güncellenmez ve yıllarca ilk kurulduğu sürümle çalışabilir.
İnternete açık yönetim arayüzü olan ya da uzaktan erişim (VPN) sağlayan cihazlar en öncelikli gruptur; saldırganlar bu cihazlardaki bilinen açıkları sık hedef alır. Donanım yazılımı güncellemesinden önce cihazın yapılandırmasını yedekleyin ve sürüm notlarını okuyun. Güncelleme sırasında elektrik kesilmesi bazı cihazları kullanılamaz hâle getirebilir; bu yüzden işlemi kesintisiz güç kaynağına bağlı bir ortamda ve planlı bir zamanda yapın.
Neyi önce uygulamalı?
Her güncellemeyi aynı aciliyetle ele almak hem gerçekçi değildir hem de gereksiz kesintiye yol açar. Önceliği belirlerken şu sorulara bakın: Etkilenen sistem internete açık mı? Üretici veya güvenlik kuruluşlarının duyurularında açığın aktif olarak kötüye kullanıldığı belirtiliyor mu? Sistem kritik veya kişisel veri barındırıyor mu? Açığın önem derecesi ne? (Önem derecesi çoğunlukla 0–10 arası bir puanla ifade edilir.)
| Öncelik | Örnek durum | Örnek yaklaşım |
|---|---|---|
| Acil | İnternete açık güvenlik duvarı, VPN veya e-posta sunucusunda aktif olarak kötüye kullanılan açık | Birkaç gün içinde, gerekirse plan dışı bakımla |
| Yüksek | Kullanıcı bilgisayarlarında işletim sistemi, tarayıcı ve ofis uygulaması güvenlik yamaları | Olağan aylık döngüde, kısa bir pilot sonrasında |
| Normal | Özellik güncellemeleri, kritik olmayan hata düzeltmeleri | Planlı bakımda, test edildikten sonra |
Tablodaki süreler örnektir; kendi risklerinize ve kaynaklarınıza göre belirleyip yazılı hâle getirin. Önemli olan, her önceliğin bir hedef süresinin olması ve bu sürenin aşıldığı durumların görünür kalmasıdır.
Test, kademeli dağıtım ve geri dönüş
Güncellemeyi herkese aynı anda dağıtmak yerine kademeli ilerleyin. İlk aşamada farklı işleri temsil eden birkaç kullanıcıdan oluşan bir pilot grup seçin: muhasebeden, üretimden, satıştan birer kişi gibi. Pilot grupta iş uygulamaları, yazıcılar ve özel donanımlar sorunsuz çalışıyorsa güncellemeyi geri kalan kullanıcılara, ardından bakım penceresinde sunuculara uygulayın.
Sunucularda güncellemeden önce güncel bir yedek olduğundan emin olun. Sanal sunucularda işlem öncesi anlık görüntü (snapshot) almak hızlı geri dönüş sağlar; ancak anlık görüntü yedeğin yerini tutmaz ve işlem bitince silinmelidir. Etkilenecek kullanıcılara bakım saatini önceden duyurun. Birbirini yedekleyen sistemlerde güncellemeyi aynı anda değil, sırayla yapın.
Geri dönüş planını güncellemeden önce düşünün: Bu güncelleme kaldırılabiliyor mu? Donanım yazılımında önceki sürüme dönmek her cihazda mümkün olmayabilir. Sorun çıktığında kimin hangi noktada geri dönme kararı vereceği de belli olsun.
Son adım doğrulamadır. Yönetim aracında "dağıtıldı" görünmesi, güncellemenin her cihazda kurulduğu anlamına gelmez. Başarısız kurulumları, yeniden başlatma bekleyen cihazları ve uzun süredir rapor vermeyen bilgisayarları ayrıca kontrol edin.
Test, güncellemeyi süresiz ertelemenin gerekçesine dönüşmemelidir. Pilot grupta belirgin bir sorun görülmezse geniş dağıtım için baştan bir tarih belirleyin; sorun görülürse üreticinin bilinen sorunlar listesini ve önerilen geçici çözümleri kontrol edin.
Destek süresi biten yazılım ve cihazlar
Her yazılım ve cihazın bir destek bitiş tarihi vardır. Bu tarihten sonra üretici yeni güvenlik yaması yayımlamaz. Cihaz ya da program çalışmaya devam eder, ama yeni bulunan açıklar artık kapanmaz; yama yönetimi ne kadar iyi olursa olsun bu sistemler zamanla en zayıf halka hâline gelir.
Destek bitiş tarihlerini önceden bilin ve değişimi bütçeye yansıtın. Eski bir muhasebe uygulaması ya da bir üretim makinesine bağlı bilgisayar gibi hemen değiştirilemeyen sistemler için riski sınırlayın: ayrı bir ağ bölümüne alın, internet erişimini kapatın, yalnızca gereken kişi ve cihazların erişmesine izin verin. Bazı üreticiler belirli ürünler için ücretli uzatılmış destek sunar; bu seçenek geçiş için zaman kazandırabilir ama kalıcı bir çözüm değildir.
Benzer bir tuzak da uyumluluk gerekçesiyle güncellemeleri durdurmaktır. Bir iş uygulaması yeni sürümle çalışmadığı için bilgisayarların güncellenmemesi, sorunu yalnızca erteler. Uygulamanın üreticisinden uyumlu sürüm takvimini isteyin ve bu bağımlılığı bilinen bir risk olarak kayda geçirin.
Düzeni kolaylaştıran pratikler
Güncellemeler için ayın belirli bir haftasını sabitlemek, hem kullanıcıların hem de BT tarafının hazırlıklı olmasını sağlar. Kullanıcıların yeniden başlatmayı sınırsız erteleyememesi, uzaktan çalışan dizüstü bilgisayarların VPN'e bağlanmadan da güncelleme alabilmesi ve cihazların güncelleme durumunu tek ekranda gösteren merkezi bir yönetim aracı kullanılması, harcanan emeği azaltır. Aylık kısa bir rapor da yeterlidir: kaç cihaz güncel, hangileri geride, hangi istisna neden var?
Kontrol listesi
- Bilgisayar, sunucu, mobil cihaz, uygulama ve ağ cihazlarının tamamı güncelleme takibine dahil mi?
- Güvenlik yamaları için öncelik seviyeleri ve hedef süreler yazılı mı?
- İnternete açık cihaz ve hizmetlerdeki kritik açıklar öncelikli olarak ele alınıyor mu?
- Güncellemeler önce bir pilot grupta deneniyor, ardından kademeli olarak dağıtılıyor mu?
- Sunucu ve ağ cihazı güncellemelerinden önce yedek ve yapılandırma kopyası alınıyor mu?
- Başarısız kurulumlar ve yeniden başlatma bekleyen cihazlar düzenli olarak kontrol ediliyor mu?
- Destek süresi biten yazılım ve cihazlar biliniyor, değiştirme planı ya da ek önlemleri var mı?