Ömür sonu (EOL), bir yazılım sürümünün üretici tarafından artık güncellenmediği tarihtir. CVE, kamuya açıklanmış bir güvenlik zafiyetinin standart kimliğidir. İkisinin de yönetilmesi tek bir ön koşula bağlıdır: hangi cihazda hangi yazılımın hangi sürümünün olduğunu bilmek.
Sorun: ham yazılım verisi güvenilmez
Aynı ürün cihazlarda farklı adlarla görünür: sürüm numarası ada gömülüdür, mimari ekleri değişir, dil paketleri ayrı satır açar. "Kaç makinede X var?" sorusu ham veriyle yanlış cevaplanır; on beş farklı satır aynı üründür.
Çözüm: normalizasyon ve katalog
Yazılım kataloğu ham satırı iki katmanda tek ürün kimliğine indirger: ad temizliği (sürüm ve mimari gürültüsünün kaldırılması) ve takma ad eşleştirme (üretici adlandırma varyantları). Önemli ayrıntı: sürüm bilgisi yalnız sondan atılır; ürün adının parçası olan yıl aralıkları korunur, aksi hâlde farklı ürünler yanlışlıkla birleşir. Ham veri hiçbir zaman ezilmez; katalog eşleşmesi yanına yazılır.
EOL eşleştirme
Normalize ürün ve sürüm, endoflife.date verisiyle eşleştirilir. Sonuç, varlık kartında "destek bitiş tarihi" ve raporda "90 gün içinde desteği bitecekler" listesidir. İşletim sistemleri için bu liste yenileme bütçesinin ilk girdisidir.
CVE eşleştirme
Ürün ve sürüm OSV veritabanına sorulur; dönen zafiyet kimlikleri cihazlara bağlanır. Sorguda cihaz kimliği gönderilmez, yalnız ürün ve sürüm sorulur. Yeni kritik eşleşme bir uyarı kuralına bağlanır: e-posta ya da otomatik ticket.
Zafiyet tarayıcı varken buna gerek var mı?
Zafiyet tarayıcı, taradığı cihazlar için derindir; ama hangi cihazları tarayacağını envanterden öğrenir. Envanter olmadan tarayıcı, bilmediği cihazı taramaz. İki araç rakip değil, sıralıdır: önce görünürlük, sonra derinlik.
Uygulama önerisi
Uygulama 4 adımdır: yazılım satırlarını normalize edin, EOL raporunu bütçe için yönetimle, zafiyetli cihaz raporunu servis masasıyla paylaşın ve bekleyen güncellemeleri hedef gruplara zamanlayın.
- Keşif ve katalogla tüm yazılım satırlarını normalize edin.
- EOL raporunu yönetimle paylaşın; bütçe kararı bu listeye dayanır.
- Zafiyetli cihaz raporunu servis masasıyla paylaşın; kritik eşleşmeler için ticket açın.
- Agent kurulu cihazlarda bekleyen güncellemeleri hedef gruba zamanlayarak uygulayın.
İlgili modül: yazılım kataloğu, EOL ve CVE.
Kaynaklar
Bu yazıda geçen protokol, standart ve veri kaynaklarının birincil belgeleri: