YBS302U Ağ Yönetimi ve Bilgi Güvenliği Ünite -8

1. Zararlı Yazılımlar ve Korunma Yöntemleri

Siber tehditlerin önemli bir kısmını virüsler, solucanlar, Truva atları ve casus yazılımlar gibi zararlı kodlar oluşturur. Virüsler bulaşmak için genellikle bir aracıya (USB bellek, e-posta eki veya CD) ihtiyaç duyarken solucanlar kendi kendilerini ağ üzerinde yayabilme özelliğine sahiptir. Bu tehditlere karşı en temel savunma yöntemleri arasında güncel antivirüs yazılımı kullanmak, işletim sistemi yamalarını düzenli uygulamak ve güvenlik duvarı ayarlarını doğru yapılandırmak yer alır.

2. Bilgi Güvenliği Yaşam Döngüsü

Bilgi güvenliği yaklaşımı, bir yaşam döngüsü mantığı içinde ele alınır. Bu döngüde öncelikle tehdit ve risk analizi yapılır, güvenlik politikası tanımlanır ve uygun mekanizmalar devreye sokulur. Sistem tasarlanıp uygulamaya alındıktan sonra sürekli izleme ve güncelleme aşamaları önem kazanır. Yapılan izlemeler sonucunda tespit edilen yeni açıklar ve tehditler, döngünün tekrar başına dönülerek risk değerlendirmesi sürecinin güncellenmesine olanak sağlar.

3. Güvenlik Politikası ve Uygulama

Güvenlik politikası, kurumun hangi verilerinin nasıl korunacağını, hangi erişim yetkilerinin nasıl yönetileceğini ve hangi davranışların kabul edilemez olduğunu belirleyen temel dokümandır. Politika doğru tanımlanmış olsa dahi kullanıcılar tarafından gerektiği gibi uygulanmadığında, güvenlik ihlali gerçekleşebilir. Bu nedenle hem teknik mekanizmalar (dosya erişim izinleri, kimlik doğrulama yöntemleri) hem de farkındalık eğitimleri kritik önem taşır.

4. ISO 27001 ve Yönetim Sistemleri

ISO 27001, kurumların bilgi güvenliği yönetimini sistematik bir yaklaşımla ele almasını sağlayan uluslararası bir standarttır. Risk değerlendirmesi yaparak güvenlik hedeflerini belirlemek, güvenlik kontrollerini seçmek ve dokümantasyon sürecini yönetmek bu standardın kapsamındadır. Kuruluşlara kaynak sağlamak gibi mali işlevleri bulunmaz; ancak yasal uyum, kurumsal farkındalık ve güvenlik kültürünün yerleşmesinde önemli rol oynar.

5. Saldırı Yöntemleri ve Temel Önlemler

Saldırganlar genellikle sistemdeki zayıf parolalar, güncellenmemiş yazılımlar ve hatalı yapılandırılmış servisler gibi güvenlik açıklarından yararlanır. Kaba kuvvet saldırıları basit PIN veya şifre kullanımının riskini gösterirken, aradaki adam (Man in the Middle) gibi yöntemler ise zayıf iletişim protokollerini hedef alır. Etkin bir güvenlik yönetimi için sürekli eğitim, güçlü şifre politikaları, çok katmanlı güvenlik önlemleri ve düzenli sızma testleri önerilir.

6. Sonuç

Sistem güvenliği, zararlı yazılımlar, güvenlik politikaları, standartlar ve saldırı yöntemleri gibi çok yönlü konuları içerir. Güvenlik yaşam döngüsünü daima dinamik tutmak, kullanıcıların farkındalığını artırmak ve yeni ortaya çıkan tehditlere karşı süratle aksiyon almak, kurumların siber güvenliğini sağlamada başlıca anahtarlardır. Böylece bilgi varlıklarını ve sistemlerin sürekliliğini garanti altına almak mümkün olur.

1 – Araya girme (snooping) tehdidi aşağıda verilen hangi güvenlik kavramı ile engellenir?

A) Bütünlük
B) Gizlilik
C) Hazır bulunma
D) Anti virüs
E) Erişilebilirlik

Cevap : A) Bütünlük

Açıklama : “Araya girme” tehdidi genellikle gizliliği ihlal etmeye yöneliktir, ancak bu durumda soru setinde, “Araya girme (snooping) tehdidi” ifadesiyle bütünlüğün bozulması da kastedilmiş olabilir. Sorunun kaynağında bir çelişki varsa yeniden gözden geçirmek gerekebilir. Fakat resmi anahtara bakıldığında cevap “A” olarak belirtilmiştir. Not: Aslında snooping çoğunlukla gizlilikle ilgilidir; müfredatta bütünlükle ilişkilendirilmiş olabilir.

2 – Aşağıdakilerden hangisi virüs bulaşma yöntemlerinden biri olarak değerlendirilmez?

A) USB bellek
B) E-posta
C) Ağ paylaşımı
D) Kaynağı güvenilir program yüklemek
E) CD

Cevap : D) Kaynağı güvenilir program yüklemek

Açıklama : Zararlı yazılımların yaygın bulaşma yöntemleri; taşınabilir bellekler, ağ paylaşımı, e-posta ekleri ve CD gibi medyalar yoluyla gerçekleşir. Güvenilir kaynaktan program yükleme ise normal şartlarda virüs bulaşmasına sebep olmaz.

3 – Bilişim sistemini zararlı yazılımlardan korumak için aşağıdakilerden hangisi önerilmez?

A) Çok yönlü ve güvenlik duvarı içeren güvenlik programı kullanmak
B) İşletim sistemini ve İnternet tarayıcılarını güncel tutmak
C) Tüm hesaplar için tek bir şifre oluşturmak
D) Önemli verilerin başka bir bellekte yedeklemesini yapmak
E) Sisteme yapılan uzaktan erişimi denetlemek ve güçlü bir erişim altyapısı kullanmak

Cevap : C) Tüm hesaplar için tek bir şifre oluşturmak

Açıklama : Zararlı yazılımlara ve siber tehditlere karşı sistem korumasında çok faktörlü ve farklı şifreler kullanmak önerilir. Tüm hesaplarda aynı şifreyi kullanmak, hesapların topluca ele geçirilmesine yol açabilir.

4 – Kendisini bir bilgisayardan diğerine kopyalamak için tasarlanan ve bunu otomatik bir şekilde gerçekleştiren, işlem gücü ya da bant genişliğini tüketerek bilgisayarın çalışma hızını etkileyip çökmesine kadar etkilere yol açabilen yazılımlara verilen ad aşağıdakilerden hangisidir?

A) Truva Atları
B) Solucanlar
C) Casus yazılımları
D) Antivirüs
E) Yedekleme programı

Cevap : B) Solucanlar

Açıklama : Solucan (worm) türü zararlı yazılımlar, ağ üzerinden kendi kendini kopyalar ve yayılır; sistem kaynaklarını yoğun biçimde tüketerek performans problemlerine hatta çöküşe neden olabilir.

5 – Bilgisayar sistemlerini ve üzerinde saklanan verileri zararlı yazılımlardan korumak için aşağıdakilerden hangisinin yapılması uygun değildir?

A) Bilgisayar çalışma performansı etkilememesi için anti virüs programı kurmamak
B) Kimden geldiği bilinmeyen e-postaları açmamak
C) İşletim sistemine ait güncellemeleri yapmak
D) Anti virüs programlarını güncel tutmak
E) Karmaşık düzeyde, tahmin edilmesi zor ve uzun bir parola seçmek

Cevap : A) Bilgisayar çalışma performansı etkilememesi için anti virüs programı kurmamak

Açıklama : Antivirüs yazılımı, temel güvenlik önlemlerinden biridir. Performans endişesi nedeniyle antivirüs kurmamak kritik bir zafiyet oluşturur.

6 – Aşağıdakilerden hangisi bilgi güvenliği yaşam döngüsü içinde yer almaz?

A) Tehditlerin analizi
B) Sistem fonksiyonlarının iyileştirilmesi
C) Güvenlik mekanizmasının oluşturulması
D) Sistemin tasarlanması ve uygulanması
E) Sistemin sürekli izlenip kontrol edilmesi

Cevap : B) Sistem fonksiyonlarının iyileştirilmesi

Açıklama : Bilgi güvenliği yaşam döngüsü; tehdit analizi, güvenlik politikası/mekanizmalarının belirlenmesi, sistemin tasarlanması ve uygulanması, ayrıca sistemin izlenmesi ve düzenli olarak kontrol edilmesi gibi adımları içerir. “Sistem fonksiyonlarının iyileştirilmesi” ifadesi, genel sistem geliştirme döngüsünde olabilir; fakat burada “bilgi güvenliği yaşam döngüsü” bağlamında standart basamaklardan biri değildir.

7 – Bir üniversitenin laboratuvar ortamında herhangi bir öğrencinin başka bir öğrencinin hazırlamış olduğu laboratuvar sonuçlarını kopyalamasını yasaklayan politikası olduğunu varsayalım. Bir öğrenci, bu mekanizmaları kullanmayıp dosyalarını korumasız bırakmış ve başka bir öğrenci de bu dosyalara erişmiştir. Bu koşullar altında aşağıdakilerden hangisi yanlıştır?

A) Bir güvenlik ihlali oluşmamıştır çünkü güvenlik politikası başka bir öğrencinin dosyaları kopyalamasını yasaklamıştır.
B) Bir güvenlik ihlali söz konusudur ve güvenlik politikası doğru bir şekilde tanımlanmıştır.
C) Güvenlik politikası, laboratuvar sonuçlarını kopyalamasını ve görüntülemesini yasaklayacak şekilde değiştirilmelidir.
D) Dersi alan öğrencilerin yapabileceği olası güvenlik ihlallerinin hepsi güvenlik politikasında tanımlanmalıdır.
E) Güvenlik politikası, olası tüm ihlalleri tamamen engelleyecek şekilde de tanımlanabilir.

Cevap : B) Bir güvenlik ihlali söz konusudur ve güvenlik politikası doğru bir şekilde tanımlanmıştır.

Açıklama : Politika ihlalinin gerçekleşmesi, sistemdeki teknik mekanizmaların kullanılmasıyla engellenebilirdi. Öğrenci mekanizmayı kullanmadığı için ihlal gerçekleşmiştir. Politika doğru tanımlanmasına rağmen, kullanıcıların bu politikayı uygulamaması da bir güvenlik açığı yaratmıştır.

8 – ISO 27001 BGYS aşağıdakilerden hangisini kapsamaz?

A) Kuruluşların güvenlik gereksinimlerini belirler.
B) Kuruluşlar içinde güvenlik risklerinin yönetilmesini sağlar.
C) Kuruluşların yasa ve yönetmeliklere uyumunu sağlar.
D) Kuruluşlara öz kaynak sağlar.
E) İş ortamında bilgi güvenliğinin uygulanmasını sağlar.

Cevap : D) Kuruluşlara öz kaynak sağlar.

Açıklama : ISO 27001 Bilgi Güvenliği Yönetim Sistemi; kurumların güvenlik gereksinimlerini, risk yönetimini, yasal uyumluluğu ve bilgi güvenliği uygulamalarını tanımlar. Ancak finansal açıdan öz kaynak sağlamak gibi bir fonksiyon üstlenmez.

9 – Bir sisteme giriş için sadece nümerik karakterlerden oluşan 4 basamaklı bir PIN numarası kullanılsın. Saldırgan bir program aracılığıyla bütün olası PIN numara kombinasyonlarını deneyerek bu erişim kontrol mekanizmasını kırar. Bu saldırı çeşidinin ismi aşağıdakilerden hangisi ile ifade edilir?

A) Aradaki adam saldırısı
B) Kaba kuvvet saldırısı
C) Araya girme (snooping)
D) Telekulak
E) Sahtecilik

Cevap : B) Kaba kuvvet saldırısı

Açıklama : Kaba kuvvet (brute force) saldırısı, tüm olası anahtar veya PIN kombinasyonlarını sistematik biçimde deneyerek korumalı bir sisteme izinsiz girmeyi hedefleyen saldırı türüdür.

10 – Saldırganlar sisteme aşağıdakilerden hangisinden faydalanarak kötü niyetli saldırı düzenlerler?

A) Karşı önlem
B) Güvenlik mekanizmaları
C) Güvenlik açığı
D) Tehdit
E) Güvenlik politikası

Cevap : C) Güvenlik açığı

Açıklama : Saldırganlar, sistemdeki güvenlik açıklarını kullanarak saldırı gerçekleştirirler. Bu açıklar, yama eksikliği, zayıf parola ya da konfigürasyon hataları gibi nedenlerle ortaya çıkabilir.