Bilgi Sistemleri Güvenliği Ders Notları

Temel Kavramlar

• Bilgi Güvenliği: Bilginin gizliliği, bütünlüğü ve erişilebilirliği ilkelerini korumak amacıyla uygulanan idari, teknik ve fiziksel kontrollerin tamamını kapsayan yönetim disiplinidir.
• Siber Güvenlik: İnternet üzerinden gelen tehditlere karşı siber uzaydaki varlıkların, ağların ve dijital altyapıların bütünsel güvenliğini ve korunmasını esas alan süreçtir.
• Gizlilik (Confidentiality): Bilgiye yetkisiz veya izinsiz erişimlerin engellenmesi ilkesidir; bilginin sadece erişim yetkisi verilmiş taraflarca görülmesini garanti altına almayı hedefler.
• Bütünlük (Integrity): Bilginin tam, doğru ve değiştirilmemiş olması halidir; verinin yetkisiz kişilerce bozulmasını, silinmesini veya manipüle edilmesini engellemeyi amaçlar.
• Erişilebilirlik (Availability): Bilginin ve ilgili sistemlerin, ihtiyaç duyulduğu her an yetkili taraflarca ulaşılabilir ve kullanılabilir durumda olması özelliğidir.
• Siber Uzay: İnternet, ağlar, sistemler ve dijital ortamdaki tüm etkileşimlerin oluşturduğu, fiziksel sınırları aşan küresel ve birbirine bağlı dijital bilgi ortamıdır.
• Zafiyet (Vulnerability): Bilgi sistemlerinde bulunan ve tehdit unsurları tarafından istismar edilerek sisteme zarar verilmesine yol açabilecek yapısal eksiklik veya güvenlik açıklarıdır.
• İstismar (Exploit): Bir sistemdeki mevcut zafiyetin, bir tehdit tarafından kullanılarak sisteme yetkisiz erişim sağlanması veya zarar verilmesi eyleminin gerçekleştirilmesidir.
• Risk Yönetimi: Bilgi sistemleri kullanımından kaynaklanan risklerin tespiti, analizi ve makul bir güvence sağlamak amacıyla kabul edilebilir seviyeye indirilmesi sürecidir.
• Sızma Testi (Pentest): Sistemlerdeki açıklıkların ve zafiyetlerin önceden tespit edilip düzeltilmesi amacıyla gerçekleştirilen, farklı yöntem ve araçların kullanıldığı güvenlik testidir.
• Siyah Kutu Testi (Black Box): Sızma testini gerçekleştirecek tarafa hedef sistemlere ilişkin önceden hiçbir bilginin verilmediği, dışarıdan bir saldırgan gözüyle yapılan test yöntemidir.
• Beyaz Kutu Testi (White Box): Test edilecek sistemlere yönelik mimari, kod ve altyapı gibi tüm teknik bilgilerin test ekibiyle paylaşıldığı kapsamlı güvenlik denetimi uygulamasıdır.
• Gri Kutu Testi (Gray Box): Sızma testi ekibine sistemler hakkında kısmi bilgi sağlandığı, hem iç hem de dış tehdit senaryolarının birlikte değerlendirildiği şeffaf kutu uygulamasıdır.
• Bilgi Güvenliği Politikası: Üst yönetimce onaylanan, kurumun güvenlik hedeflerini, rollerini ve risk yaklaşımını belirleyen, tüm çalışan ve paydaşlara duyurulan temel rehber belgedir.
• CIA Üçlüsü: Bilgi güvenliğinin üç temel unsuru: Gizlilik (Confidentiality), Bütünlük (Integrity), Erişilebilirlik (Availability).
• Siber Uzay: Ağların, sistemlerin, insanların ve dijital ortamların birbirine bağlı olduğu küresel alan.
• Zafiyet (Vulnerability): Bir varlıkta bulunan ve tehditler tarafından istismar edilebilecek zayıf nokta.
• İstismar (Exploit): Bir zafiyetten yararlanarak sisteme sızma veya zarar verme eylemi.
• Sızma Testi (Pentest): Sistemlerdeki açıklıkları önceden tespit etmek amacıyla yapılan kontrollü saldırı testi.

Temel Kavramlar

• Sızma Testi (Penetration Test): Sermaye Piyasası Kurulu BSY Tebliği uyarınca, muaf olanlar hariç yılda en az bir kez yapılması zorunlu olan, sistemdeki açıklık ve zafiyetlerin önceden tespiti faaliyetidir.
• Siyah Kutu (Black Box): Sızma testini gerçekleştirecek tarafa test edilecek sistemlere ilişkin hiçbir ön bilginin verilmediği, dışarıdan bir saldırgan gözüyle yapılan test yöntemidir.
• Beyaz Kutu (White Box): Testi gerçekleştirecek tarafa hedef sistemlere yönelik tüm teknik detayların ve iç bilgilerin sağlandığı, kapsamlı bir güvenlik değerlendirmesi sunan sızma testi türüdür.
• Bilgi Güvenliği İhlali: Bilgi sistemlerinde sonucu itibariyle bilgi veya ortamlarda zarara sebep olmuş veya olma ihtimali çok yüksek olan arıza, yanlış kullanım veya dış saldırı gibi olaylardır.
• Bilmesi Gereken İlkesi (Need to Know): Bilgi güvenliği ihlali gerçekleştiğinde, iç ve dış bilgilendirmelerin sadece konuyla doğrudan ilgili ve yetkili kişilerle kısıtlı tutulması prensibidir.
• Varlık (Asset): Kurum için potansiyel veya gerçek değeri olan, fiziksel veya dijital nitelikteki, sayılabilir veya sayılamayan her türlü unsuru ifade eden geniş kapsamlı terimdir.
• Varlık Sahibi: Varlığın envantere kaydından imhasına kadar geçen tüm yaşam döngüsü boyunca risk yönetimi, korunması ve bakımından sorumlu olan onaylı kişi veya birimdir.
• Varlık Yaşam Döngüsü: Bir varlığın ihtiyaç olarak planlanmasıyla başlayan; alım, izleme, bakım süreçlerinden geçerek güvenli imha veya kullanımdan kaldırma ile sona eren aşamalar bütünüdür.
• Kritik Bilgi: Güvenlik zafiyeti oluşması durumunda yasal yaptırımlara veya kurumda çok ciddi maddi/manevi zarara yol açabilecek, yetkisiz erişimi engellenmesi gereken hassas veridir.
• Bilgi İşleme Tesisi: Bilgi işlem faaliyetlerinde kullanılan sistem, servis, altyapı ve bu bileşenlerin konuşlandırıldığı fiziksel mekanları kapsayan maddi veya maddi olmayan olanaklardır.
• Statik Sistemler: Bina gibi sabit ortamlarda kurulan ve yer değiştirmeden çalıştırılan, fiziksel ve çevresel tehditlere karşı sabit koruma gerektiren bilgi sistemi bileşenleridir.
• USB 3.0 Standardı: Saniyede 5 Gigabit (Gbps) veri aktarım hızına ulaşabilen, harici güç kaynağı gerektirmeyen ve tak-çalıştır özelliği sunan yüksek hızlı iletişim standardıdır.
• Sızma Testi (Pen Test): Sistemlerdeki açıklıkların önceden tespiti için yapılan, yılda en az bir kez zorunlu olan teknik test.
• Varlık (Asset): Kurum için değeri olan maddi veya gayrimaddi her türlü unsurdur (donanım, yazılım, veri vb.).
• Varlık Sahibi (Asset Owner): Varlığın yaşam döngüsü boyunca (envanter, sınıflandırma, risk, imha) sorumluluğunu taşıyan kişi veya birim.
• Siyah Kutu Testi: Sistem hakkında hiçbir ön bilgi verilmeden yapılan sızma testi türü.
• İhlal Yönetimi: Güvenlik olaylarının tespiti, analizi, müdahalesi ve kanıt toplanması süreçlerinin bütünü.

Önemli Formüller

Temel Kavramlar

• Bilgi İşleme Tesisi: Bilgi işlem faaliyetlerinde kullanılan her türlü sistem, servis, altyapı ve bu bileşenlerin konuşlandırıldığı fiziksel mekanları kapsayan maddi veya maddi olmayan varlıklardır.
• Statik Sistemler: Bina gibi sabit ortamlarda kurulan ve çalıştırılan, yer değişikliği öngörülmeyen bilgi sistemleri sınıfıdır.
• Mobil Sistemler: Sabit bir yapının işlevini yerine getiren ancak araç gibi sabit olmayan ortamlarda çalışan hareketli sistemlerdir.
• Taşınabilir Sistemler: Herhangi bir mekana bağlı kalmaksızın açıkta veya farklı konumlarda çalışabilen, dizüstü bilgisayar gibi cihazları kapsayan sistemlerdir.
• Emniyet Kapısı (Deadman Door): İki kapılı bir mekanizma ile yetkili tek bir kişinin geçişine izin veren, yancı geçiş (piggybacking) riskini azaltan yüksek güvenlikli giriş sistemidir.
• Yancı Geçiş (Piggybacking/Tailgating): Yetkisiz bir kişinin, yetkili bir kişiyi fiziksel olarak takip ederek güvenli alana izinsiz giriş yapması riskini ifade eder.
• Islak Borulu Yağmurlama: Borularında her an su bulunan, yangına anında tepki veren ancak sızıntı durumunda teçhizata zarar verme riski taşıyan söndürme sistemidir.
• Kuru Borulu Yağmurlama: Normalde borularında su bulunmayan, yangın anında su pompalanan ve sızıntı riskini ortadan kaldıran ancak su verilememe riski olan sistemdir.
• FM-200 Gazı: Halon gazına alternatif olarak geliştirilen, ozon tabakasına zarar vermeyen ve insanlar için zararsız olması nedeniyle en çok tercih edilen temiz söndürücü gazdır.
• Tam Arıza (Blackout): Doğal afetler veya şebeke kaynaklı olarak geniş bir bölgeyi veya binayı etkileyen tam elektrik kesintisi durumudur.
• Düşük Gerilim (Brownout): Elektrik dağıtım şirketinin kabul edilebilir seviyelerin altında güç sağlaması sonucu teçhizatın zorlanmasına ve hasar görmesine neden olan durumdur.
• Elektromanyetik Enterferans (EMI): Elektrikli aletlerin veya fırtınaların oluşturduğu gürültü nedeniyle sistemlerin çökmesine veya gerilim dalgalanmalarına yol açan girişim türüdür.
• Ağ (Network): Paylaşılan bir ortam aracılığıyla bilgi paylaşımı ve donanım kullanımı amacıyla birbirine bağlı iki veya daha fazla uç nokta cihazı kümesidir.
• Ağ Protokolü: Uç nokta cihazların birbiriyle iletişim kurabilmesi için uyması gereken standartlar ve kurallar dizisidir.
• Bilgi İşleme Tesisi: Bilgi işlem faaliyetlerinde kullanılan sistem, servis, altyapı ve mekanların genel tanımı.
• Mantrap (Emniyet Kapısı): Yetkisiz kişilerin yetkili birini takip ederek içeri sızmasını önleyen iki kapılı güvenlik mekanizması.
• EMI (Elektromanyetik Girişim): Elektrikli aletlerin veya dış kaynakların oluşturduğu parazit nedeniyle sistemlerin çökmesine yol açan gürültü.
• Hassas Kontrollü Klima: Sistem odalarında sıcaklık ve nemi çok dar aralıklarda sabit tutan özel iklimlendirme ünitesi.
• UPS (Kesintisiz Güç Kaynağı): Enerji kesintilerinde anlık güç sağlayan ve voltaj dalgalanmalarını düzenleyen cihaz.

Temel Kavramlar

• Ağ (Network): İki veya daha fazla uç nokta cihazının bilgi paylaşımı ve donanım kullanımı amacıyla bir iletişim ortamı üzerinden birbirine bağlanmasıdır.
• İnternet (Büyük Harf): IAB protokollerini ve ICANN adres alanlarını paylaşan, dünya çapında birbirine bağlı ticari ve resmi ağlardan oluşan en büyük sistemdir.
• Surface Web (Yüzey Ağ): Arama motorları tarafından dizinlenebilen ve herhangi bir web tarayıcısı ile herkesin erişebildiği web dünyasının görünen kısmıdır.
• Deep Web (Derin Ağ): Parola korumalı veya özel sunucularda olduğu için arama motorlarınca dizinlenemeyen; bankacılık ve e-posta gibi yasal ama kapalı içeriklerdir.
• Dark Web (Karanlık Ağ): Sadece TOR gibi özel yazılımlarla erişilebilen, anonimlik sağlayan ve genellikle yasadışı faaliyetlerin yürütüldüğü şifreli ağ katmanıdır.
• Intranet: İnternet standartlarını kullanan ancak güvenlik duvarları ile dış dünyadan izole edilmiş, sadece kurum içi yetkili kullanıcılara açık özel ağdır.
• Extranet: İş ortakları ve tedarikçiler gibi belirli dış paydaşlara, kurumun iç ağındaki sınırlı kaynaklara güvenli erişim imkanı tanıyan özel ağ yapısıdır.
• Fiziksel Topoloji: Bir ağdaki cihazların konumunu, kabloların kurulumunu ve bileşenlerin fiziksel yerleşim düzenini tanımlayan ağ tasarım şemasıdır.
• Mantıksal Topoloji: Fiziksel yapıdan bağımsız olarak, bilginin ağ içindeki akış yolunu ve cihazlar arası iletişim mantığını ifade eden kavramdır.
• Ortak Yol (Bus) Topolojisi: Tüm düğümlerin tek bir ana hat üzerinden bağlandığı, merkezi hiyerarşisi olmayan ve ağ kapasitesinin tüm cihazlarca paylaşıldığı yapıdır.
• Örgü (Mesh) Topolojisi: Düğümlerin birbirine noktadan noktaya bağlı olduğu, hatalı düğümlere karşı alternatif yollar sunarak yüksek yedeklilik sağlayan ağ yapısıdır.
• Yıldız (Star) Topolojisi: Tüm düğümlerin merkezi bir dağıtıcıya (switch/AP) direkt bağlı olduğu, günümüzde en yaygın kullanılan ve performansı merkeze bağlı olan yapıdır.
• OSI Referans Modeli: Ağ iletişimini 7 katmana ayıran, işlevlerin nasıl yapılacağından ziyade ne yapılması gerektiğini tanımlayan kavramsal ve standart bir modeldir.
• PDU (Protokol Veri Birimi): OSI modelinde her katmanın işlediği veriye verilen isimdir; katman 3'te paket, katman 2'de çerçeve (frame), katman 1'de ise bit adını alır.
• Ağ (Network): İki veya daha fazla uç nokta cihazın bilgi ve donanım paylaşımı amacıyla birbirine bağlanması.
• Intranet: Güvenlik duvarı ile dış dünyadan izole edilmiş özel kurumsal iç ağ.
• Extranet: İş ortakları ve tedarikçiler gibi yetkili dış unsurlara sınırlı erişim sağlayan özel ağ.
• OSI Modeli: Ağ iletişimini 7 katmana ayıran kavramsal referans modeli.
• Deep Web: Arama motorları tarafından dizinlenemeyen, parola korumalı içeriklerin bulunduğu web katmanı.
• Dallanma Faktörü: Ağaç topolojisinde bir ebeveyn düğüme bağlı alt düğüm sayısı.

Temel Kavramlar

• OSI Referans Modeli: Ağ iletişimini yedi ayrı katmana ayıran, IBM'in SNA mimarisinden esinlenerek geliştirilen ve günümüzde ağ iletişimini anlamak için teorik bir soyutlama olarak kullanılan modeldir.
• TCP/IP Modeli: İnternet'in temelini oluşturan, dört katmanlı bir yapıya sahip olan ve gerçek dünya ürünlerinde baskın standart olarak kullanılan pratik uygulama modelidir.
• Üç Yollu El Sıkışma (Three-way Handshake): TCP protokolünde veri iletimi başlamadan önce istemci ve sunucu arasında senkronizasyon ve onay mesajlarıyla bağlantının kurulmasını sağlayan güvenli yöntemdir.
• UDP (Kullanıcı Veri Bloğu Protokolü): Bağlantısız ve onay mekanizması içermeyen, hızın kritik olduğu ses akışı ve VoIP gibi uygulamalarda tercih edilen 'en iyi çabalı' aktarım protokolüdür.
• DNS (Alan Adı Sistemi): Kullanıcıların IP adresleri yerine alan adlarını kullanmasına imkan tanıyan, 53 numaralı port üzerinden çalışan hiyerarşik ve dağıtılmış bir ad çözümleme sistemidir.
• İyi Bilinen Bağlantı Noktaları (Well-known Ports): 1 ile 1023 aralığında yer alan ve IANA tarafından HTTP, SMTP gibi yaygın ağ uygulamalarına ayrılmış olan standart bağlantı noktalarıdır.
• DHCP (Dinamik Ana Bilgisayar Konfigürasyon Protokolü): Ağdaki cihazlara IP adresi, alt ağ maskesi ve varsayılan ağ geçidi gibi yapılandırma bilgilerini otomatik olarak atayarak manuel yapılandırma ihtiyacını ortadan kaldıran protokoldür.
• Soket (Socket): Bir IP adresi ile bir bağlantı noktası (port) numarasının birleşimiyle oluşan, ağ üzerindeki spesifik bir uygulama sürecini tanımlayan benzersiz uç noktadır.
• HTTP (Hiper Metin Transfer Protokolü): Web istemcileri ile sunucuları arasında 80 numaralı port üzerinden iletişim kuran, web sayfalarının ve kaynaklarının iletilmesini sağlayan uygulama katmanı protokolüdür.
• SSH (Güvenli Kabuk): Uzaktaki bir bilgisayara 22 numaralı port üzerinden şifreli ve güvenli bir kanal aracılığıyla erişim sağlayarak komut yürütülmesine imkan tanıyan kriptografik protokoldür.
• IPv4: Cihazları tanımlamak için kullanılan, 32 bit uzunluğunda, dört sekizliden oluşan ve noktalı ondalık formatta gösterilen mantıksal adresleme sistemidir.
• ICMP (İnternet Kontrol Mesajı Protokolü): Ağdaki cihazların birbirlerine hata bildirimleri ve kontrol mesajları göndermesi için kullanılan, ana bilgisayarın veya ağın erişilebilirliğini denetleyen protokoldür.
• OSI Modeli: 7 katmanlı teorik ağ referans modeli (Fiziksel, Veri Bağlantısı, Ağ, Taşıma, Oturum, Sunum, Uygulama).
• TCP/IP Modeli: 4 katmanlı pratik ağ modeli (Ağ Erişimi, İnternet, Taşıma, Uygulama).
• TCP: Bağlantı odaklı, güvenilir, üç yollu el sıkışma kullanan taşıma protokolü.
• UDP: Bağlantısız, hızlı, onay mekanizması olmayan 'en iyi çabalı' taşıma protokolü.
• DNS: Alan adlarını IP adreslerine çözümleyen hiyerarşik sistem (Port 53).
• DHCP: Cihazlara otomatik IP ve yapılandırma atayan protokol.

Önemli Formüller