AUZEF Siber Güvenlik Çıkmış Sorular

Siber Güvenlik dersi; bilgi güvenliğinin temel ilkelerini, saldırı ve zararlı yazılım türlerini, kimlik doğrulama ile şifreleme yöntemlerini, kablosuz ağ güvenliğini ve ilgili hukuki düzenlemeleri ele alır.

Temel kavramlar ve güvenlik ilkeleri

• Bilgi güvenliği çatı kavramdır; gizlilik, bütünlük ve erişilebilirlik (CIA) olmak üzere üç ilkeye dayanır.
• Verinin yetkisiz kişilerce değiştirilmesi bütünlük ilkesinin ihlalidir.
• Kullanılabilirlik oranı: çalışma süresi / (çalışma süresi + kesinti süresi).
• Siber uzaya girişte engel olmaması ve asimetrik yapı, güvenlik açıklarının ortaya çıkış nedenlerindendir.
• Saldırgan güdüleri politik, ekonomik veya kişiseldir; coğrafi konum bir güdü sayılmaz.
• Veri şifreleme siber güvenliği oluşturan unsurlardandır; veri boyutunu küçültme ise ilgi alanı dışındadır.

Zararlı yazılımlar

• Casus yazılım, kullanıcının izni olmadan tarama alışkanlıklarını ve kişisel verileri toplayıp uzak sunuculara iletir.
• Melez zararlılar birden fazla zararlı türünün özelliğini tek yazılımda toplar.
• Virüsler çoğunlukla düşük seviyeli Assembly diliyle hazırlanır.
• Solucan, yerleştikten sonra çalışmak için tetiklemeye ihtiyaç duymaz.
• Rootkit, işletim sistemine giden talepleri engelleyip sahte cevap döndürür; saldırı yöntemi değil zararlı yazılım türüdür.

Saldırı türleri

• DoS saldırıları hedefi aşırı yükleyip hizmet dışı bırakır: ping, UDP fırtınası, SYN, e-posta bombardımanı.
• Ping saldırısında hedefe çok büyük ICMP yankı isteği paketi gönderilir.
• Tampon bellek taşması ve SQL komut dosyası DoS grubuna girmez; SQL enjeksiyonu veritabanı sunucusunu hedefler.
• Oltalama hassas bilgi elde etmeyi amaçlar; hizmeti aksatmak DoS amacıdır.
• Sözlük ve FTP-Write saldırıları yanlış yapılandırma saldırılarıdır.
• Sıfırıncı gün açıkları için sistemleri güncel tutmak ve düzenli sızma testi yapmak etkilidir.

Kimlik doğrulama ve parola güvenliği

• Doğrulama; bilinen (parola), sahip olunan (token, SMS kodu) ve kişiye ait özellik (biyometri) esasına dayanır.
• İnternette alışılmış ikili kullanıcı adı ve paroladır; ek önlem olarak biyometri ve tek kullanımlık parola kullanılır.
• Statik şifreler sunucuda kayıtlıdır ve her girişte aynen yeniden kullanılır.
• Güçlü parolada büyük-küçük harf ve özel karakter bulunur; düz metin ve aynı parolanın çok hesapta kullanımı yanlıştır.
• Parola yöneticisi güçlü parola üretir ve hepsini şifreli saklar.
• Çırpı fonksiyonu verinin değişmediğini doğrulayan özet üretir.

Şifreleme yöntemleri

• Klasik yöntemler: Sezar, Vijener, çok alfabeli şifreleme; DES, AES ve RSA modern yöntemlerdir.
• Sezar en zayıf yöntemdir; Türk alfabesinde 29 harf olduğundan E(k,P)=(P+k) mod 29 kullanılır.
• Sezar'da anahtar sayısı alfabedeki harf sayısına eşittir; BULUT anahtar 2 ile ÇVNVÜ olur.
• DES'te 56 bitlik anahtardan 48 bitlik alt anahtarlar türetilir ve işlem 16 raunt yinelenir.
• 3DES'te üç anahtar aynı seçilirse klasik DES elde edilir.
• Asimetrik şifrelemede gönderen, alıcının açık anahtarıyla şifreler; alıcı gizli anahtarıyla çözer. RSA örnektir.
• Kriptanaliz, anahtarsız olarak şifreli metinden özgün metne ulaşma çalışmasıdır.

Ağ ve kablosuz güvenlik

• Güvenlik duvarı trafiği kurallara göre süzer; yük dengeleyici istekleri sunucular arasında paylaştırır.
• Saldırı tespitinde anomali tespiti, olağan davranıştan sapmayı arar.
• Kablosuz ağda uPnP ve WPS kapatılmalı, güvenlik duvarı bulundurulmalı, yönlendirici gizli moda alınmalıdır.
• WPA3 en yeni kablosuz şifreleme protokolüdür.
• Pasif saldırıda korsan trafiğe karışmadan dinler; Bluetooth geçici ağ kurar ve buna piconet denir.
• Tarayıcı korsanlığına karşı güvenlik duvarı düzeyini düşürmek önlem değildir.

Sosyal mühendislik, sızma testi ve adli bilişim

• Sosyal mühendislik insanı hedefler: çağrı merkezini arayıp kullanıcı gibi davranmak, çöp karıştırmak.
• Sızma testinden önce sistem yöneticisinin beklentileri saptanır.
• Beyaz kutu testinde test eden ağı ayrıntılı bilir ve test kurum çalışanlarınca da yapılabilir.
• Şüpheli kimlik ve IP adreslerini engellemek saldırı sonrası düzeltici önlemdir.
• Adli bilişim süreci raporlama adımıyla tamamlanır.

Hukuk ve etik

• KVKK'nın esas amacı verilerden çok kişileri korumaktır.
• 5070 sayılı Kanun elektronik sertifikalarda sahtekârlığı, 5846 sayılı Kanun manevi, mali ve bağlantılı haklara tecavüzü düzenler.
• Avrupa Siber Suç Sözleşmesi'nde sahtekârlık bilgisayarla ilgili suçlar grubundadır.
• Bedeli ödenmemiş yazılım kullanılamaz ve kopyalanamaz; asılsız bilgi yaymak etik ihlalidir.
• İnternet hukuku internet etkileşimlerinden doğan uyuşmazlıkları, bilgi teknolojisi hukuku e-ticaret ve yazılım dağıtımını kapsar.

CIA üçlüsü

Gizlilik, bütünlük ve erişilebilirlikten oluşan bilgi güvenliği ilkeleri.

Güvenlik açığı

Tehditlerin gerçekleşmesine imkân veren eksiklik veya zayıf noktadır.

Saldırı

Bilgiyi veya sistemleri zarara uğratabilecek, bilerek ya da bilmeden yapılan eylemdir.

Casus yazılım

İzinsiz bilgi toplayıp uzak sunuculara ileten zararlıdır.

Rootkit

İşletim sistemi taleplerini engelleyip sahte cevap veren zararlı yazılım türüdür.

DoS saldırısı

Sistemi aşırı yükleyerek erişilemez veya çok yavaş hâle getirme saldırısıdır.

SQL enjeksiyonu

Veritabanı sunucusundaki verileri ele geçirmeyi hedefleyen saldırıdır.

Çırpı (hash) fonksiyonu

Veriden benzersiz özet üreterek bütünlüğü ve doğrulamayı sağlar.

Kriptanaliz

Şifreli metni anahtarsız çözmeye çalışma, yani şifre kırmadır.

Asimetrik şifreleme

Biri açık, biri gizli iki anahtar kullanan yöntemdir; örneği RSA.

Piconet

Bluetooth cihazlarının kurduğu geçici küçük ağdır.

Yük dengeleyici

Gelen istekleri sunucular arasında paylaştıran ağ bileşenidir.

• Rootkit saldırı çeşidi değil zararlı yazılım türüdür; soru 'saldırı sayılmaz' derse bu seçenek aranır.
• SQL enjeksiyonu veritabanını hedefler; DoS ve MITM gruplarına dahil değildir.
• Klasik (Sezar, Vijener, çok alfabeli) ile modern (DES, AES, RSA) yöntemleri karıştırmamak gerekir.
• Sezar sorularında alfabe 29 harftir; şifrelemede ileri, çözmede geri kaydırılır.
• Kablosuz ağda uPnP ve WPS açık bırakılmaz; güvenlik duvarı düzeyi düşürülmez.