BilgiGüvenliği

Bilkent Üniversitesi'nde kriptoloji bölümü bulunmamaktadır. Ancak, kriptoloji alanında eğitim ve araştırma faaliyetleri yürüten bazı birimler mevcuttur: 1. Uygulamalı Matematik Enstitüsü Kriptoloji Laboratuarı: Ankara'nın Çankaya ilçesinde yer almakta olup, kriptografi ve bilgi güvenliği konularında eğitim ve etkinlikler düzenlemektedir. 2. Bilkent SSRS Blockchain ve Finans Topluluğu: Bilkent Üniversitesi öğrencileri tarafından kurulan bu topluluk, Blockchain ve kripto para ekosistemine dahil olmaktadır.

Simetrik ve asimetrik şifreleme yöntemleri, verileri şifrelemek ve çözmek için kullanılan iki ana şifreleme türüdür. Simetrik şifreleme yönteminde, hem şifreleme hem de şifre çözme işlemleri için aynı anahtar kullanılır. Örnek simetrik şifreleme algoritmaları: - AES (Advanced Encryption Standard): Günümüzde en yaygın kullanılan simetrik şifreleme algoritmasıdır. - DES (Data Encryption Standard): Eski bir şifreleme standardıdır, ancak artık güvenli kabul edilmemektedir. - 3DES (Triple DES): DES'in daha güvenli bir versiyonudur. Asimetrik şifreleme yönteminde ise, şifreleme ve şifre çözme işlemleri için farklı anahtarlar kullanılır. Örnek asimetrik şifreleme algoritmaları: - RSA (Rivest-Shamir-Adleman): En yaygın kullanılan asimetrik şifreleme algoritmasıdır. - ECC (Elliptic Curve Cryptography): RSA'ya göre daha küçük anahtar boyutlarıyla benzer güvenlik seviyeleri sunar. - ElGamal: Açık anahtar şifrelemesi için kullanılan ve güvenli anahtar değişimi sağlamak için kullanılan bir algoritmadır.

Bilgi Güvenliği Yönetim Sistemi (BGYS), bir organizasyonun bilgi varlıklarını korumak için geliştirdiği politikalar, prosedürler, süreçler ve kontrollerden oluşan bir çerçevedir. BGYS'nin temel bileşenleri: 1. Politika ve Prosedürler: Bilgi güvenliği hedeflerini ve standartlarını belirler. 2. Risk Yönetimi: Potansiyel güvenlik tehditlerini tanımlama, değerlendirme ve bunlarla başa çıkma sürecidir. 3. Eğitim ve Farkındalık: Çalışanların bilgi güvenliği konusunda eğitilmesi, güvenlik kültürünün geliştirilmesi açısından önemlidir. 4. İzleme ve Gözden Geçirme: BGYS'nin etkinliğinin düzenli olarak izlenmesi ve gözden geçirilmesi gereklidir. 5. Süreç İyileştirme: Sistemin sürekli iyileştirilmesi için yapılan düzenli denetimler ve güncellemeler içerir. BGYS, genellikle ISO/IEC 27001 standardına dayanır ve bu standarda uygunluk sertifikasyon ile belgelendirilir.

Bilgisayar ağları yönetim sistemi ve bilgi güvenliği sınav soruları genellikle aşağıdaki konuları kapsar: 1. Bilgisayar Ağları: Ağların temel amacı, türleri (LAN, WAN) ve bileşenleri (yönlendirici, anahtar, sunucu). 2. Ağ Protokolleri: TCP/IP, OSI modeli, HTTP, FTP gibi protokollerin işleyişi ve karşılaştırılması. 3. Ağ Güvenliği: Güvenlik duvarları, antivirüs yazılımları, şifreleme teknikleri, sosyal mühendislik ve DDoS saldırıları gibi tehditler. 4. Ağ Tasarımı ve Yönetimi: Topoloji, bant genişliği, ağ performansı ve yönetim araçları. 5. Pratik Uygulamalar: Ağ kurulumu, sorun giderme ve güvenlik açıklarını kapatma senaryoları. Ayrıca, çıkmış sınav soruları ve deneme sınavları için aşağıdaki kaynaklar da kullanılabilir: - aof.sorular.net: Ağ yönetimi ve bilgi güvenliği dersi çıkmış sorular ve denemeler. - quizgecko.com: Bilgi güvenliği bilinçlendirme modülü test soruları.

Code caving, bir hackerın meşru bir uygulamanın içine kötü amaçlı kod gizlemesi sürecidir. Özellikleri: - Görünüş: Kullanıcı için iyi yazılım gibi görünür ve geleneksel güvenlik uygulamalarını da kandırabilir. - Tespit: Tespit edilmesi zordur ve robust bir uç nokta çözümü gerektirir. - Amaçlar: Genellikle veri hırsızlığı, malware dağıtımı, sistem sabotajı gibi çeşitli saldırılar için kullanılır.

Malware türleri şu şekilde sınıflandırılabilir: 1. Virüsler: Diğer dosyalara bulaşarak kendini yayabilen ve zararlı kodları çalıştıran yazılımlardır. 2. Solucanlar: Kendi kendine yayılan, ağlar arası bulaşabilen ve genellikle ağda ciddi hasara neden olan yazılımlardır. 3. Truva Atları: Zararlı veya istenmeyen etkilere neden olmak için kullanıcıların güvenini kazanmak için gizlenmiş yazılımlardır. 4. Casus Yazılımlar: Kullanıcıların bilgisayarlarını veya bilgi sistemlerini izleyen ve hassas bilgileri çalan yazılımlardır. 5. Ransomware: Dosyaları veya bilgisayar sistemini kilitleyen ve fidye talep eden yazılımlardır. 6. Keylogger: Kullanıcının klavye girişlerini kaydeden yazılımlardır. 7. Adware: İstenmeyen reklamları gösteren ve genellikle kullanıcı deneyimini bozan yazılımlardır. Bu liste kapsamlı değildir ve malware türleri zamanla değişebilir.

Certified Ethical Hacker (CEH) eğitimi genellikle 5 gün sürer.

Farkındalık eğitimini aşağıdaki kişiler alabilir: Bilgi güvenliği alanında kariyer hedefleyenler. Psikoloji ve ruh sağlığı alanında çalışanlar. Kendini geliştirmek isteyen herkes. Ayrıca, otizm spektrum bozukluğu hakkında bilgi edinmek ve bu konuda farkındalık kazanmak isteyen kişiler de otizm farkındalık eğitimlerine katılabilirler.

Bilgi Güvenliği Yönetim Sistemi (BGYS) hazırlamak için aşağıdaki adımlar izlenmelidir: 1. Üst Yönetimin Taahhüdü ve Katılımı: Üst yönetim, BGYS'nin önemine inanmalı ve bu sürece tam destek vermelidir. 2. Mevcut Durum Analizi ve Risk Değerlendirmesi: Şirketin mevcut bilgi güvenliği politikaları, süreçleri, teknolojileri ve altyapısı detaylı bir şekilde değerlendirilmeli, bilgi varlıkları ve bunlara yönelik tehditler belirlenmelidir. 3. BGYS Politikalarının ve Amaçlarının Belirlenmesi: Bilgi güvenliği hedefleri net bir şekilde ortaya konulmalı ve tüm çalışanların anlayabileceği politikalar oluşturulmalıdır. 4. Bilgi Güvenliği Organizasyonunun Oluşturulması: Bilgi güvenliği sorumlulukları ve rolleri belirlenmeli, bilgi güvenliği ekipleri oluşturulmalıdır. 5. Risk Yönetimi ve Kontrol Önlemlerinin Belirlenmesi: Riskler değerlendirilmeli ve bu riskleri azaltmak için teknik ve idari kontroller belirlenmelidir. 6. Eğitim ve Farkındalık Programları: Çalışanların bilgi güvenliği konusunda bilinçli olmaları için düzenli eğitimler ve farkındalık programları düzenlenmelidir. 7. BGYS'nin Dokümantasyonu ve İzlenmesi: Tüm süreçler yazılı hale getirilmeli, dokümantasyon şeffaf ve anlaşılır olmalı, performans düzenli olarak izlenmeli ve değerlendirilmelidir. 8. İç Denetim ve Yönetimin Gözden Geçirmesi: BGYS'nin etkinliği ve uygunluğu düzenli iç denetimlerle kontrol edilmeli, yönetimin sistemi gözden geçirmesi ve iyileştirmesi sağlanmalıdır. Bu süreç, sürekli iyileştirme ve güncelleme gerektiren dinamik bir yapıdadır.

Penetrasyon testi raporu genellikle 2 ila 4 sayfa arasında olur.

Taşınabilir medya tehditleri şunlardır: 1. Kötü Amaçlı Yazılımlar: USB bellekler ve diğer taşınabilir cihazlar aracılığıyla yayılan virüsler, solucanlar ve truva atları gibi zararlı yazılımlar. 2. Veri Kaybı ve Sızıntısı: Cihazın kaybolması veya bozulması sonucu kritik verilerin geri döndürülemez şekilde kaybedilmesi veya yetkisiz kişilerin hassas bilgilere erişim sağlaması. 3. Fiziksel Hırsızlık: Cihazın çalınması durumunda içindeki verilerin kötü niyetli kişilerin eline geçmesi riski. 4. Sosyal Mühendislik: Kullanıcıların güvenini kazanarak bilgiye erişim sağlama yöntemleri. 5. USB Cihazları Üzerinden Yayılan Zararlı Yazılımlar: Saldırganların, klavye ve fare aygıtlarına takılı küçük devre kartları kullanarak kötü niyetli kod başlatması.

TRM'nin amacı, farklı bağlamlara göre değişiklik gösterebilir: 1. SAP TRM (Treasury and Risk Management): İşletmelerin finansal risklerini yönetmek, nakit akışlarını optimize etmek ve hazine süreçlerini daha verimli hale getirmek için kullanılır. 2. Teknoloji Risk Yönetimi (TRM): Dijital varlıklar ve bilgi güvenliği için potansiyel riskleri ve tehditleri belirlemek, değerlendirmek ve mitigasyon stratejileri geliştirmektir. 3. Eğitim Kaynak Yönetimi (TRM): Eğitim kaynaklarının etkin bir şekilde planlanması, organize edilmesi ve yönetilmesidir.

Evet, log kaydı tutmak zorunludur. Bu zorunluluk, çeşitli yasal düzenlemeler ve standartlar tarafından belirlenmiştir. 5651 Sayılı Kanun: Türkiye'de her kurum, internet erişim kayıtlarını 2 yıl boyunca tutmakla yükümlüdür. ISO 27001 Bilgi Güvenliği Yönetim Sistemi Standardı: Log kaydı tutmayı zorunlu kılar. KVKK (Kişisel Verileri Koruma Kanunu): Log kaydı tutmayı gerektirir. Ayrıca, log kayıtlarının doğru şekilde saklanması ve yönetilmesi de profesyonel yöntemler ve ek maliyetler gerektirebilir.

Yetki kontrolü için kullanılan yöntemler şunlardır: 1. Erişim Kontrol Listeleri (ACL): Dosyalara ve dizinlere erişim haklarını tanımlayan listelerdir. 2. İsteğe Bağlı Erişim Kontrolü (DAC): Dosya sahiplerine dosyaları üzerindeki erişim haklarını kontrol etme yetkisi verir. 3. Zorunlu Erişim Kontrolü (MAC): Sistem yöneticileri tarafından belirlenen katı kurallara dayanır. 4. Rol Tabanlı Erişim Kontrolü (RBAC): Kullanıcıların rollerine göre erişim hakları atanır. 5. Öznitelik Tabanlı Erişim Kontrolü (ABAC): Erişim kararları, kullanıcı ve kaynak özniteliklerine göre verilir. Ayrıca, iç kontrol sistemleri kapsamında yetki kontrolü için aşağıdaki yöntemler de kullanılır: - Görevler Ayrılığı: Karar verme, kontrol, uygulama ve onaylama yetkilerinin aynı kişide bırakılmaması. - Çift İmza: Önemli belgelerin birden fazla kişi tarafından kontrol edilmesi. - Veri Mutabakatı: Bilgilerin karşılıklı olarak kontrol edilmesi ve doğrulanması.

Zararlı yazılım çeşitleri şunlardır: 1. Virüsler: Kendilerini diğer program veya dosyalara ekleyerek yayılan zararlı yazılımlardır. 2. Solucanlar (Worms): Ağlar üzerinden kendi kendine yayılan, başka bir dosyaya ihtiyaç duymayan zararlı yazılımlardır. 3. Truva Atları (Trojans): Meşru bir yazılım gibi görünen ancak arka planda zararlı faaliyetler yürüten yazılımlardır. 4. Fidye Yazılımları (Ransomware): Kullanıcıların dosyalarını şifreleyerek erişilemez hale getirir ve şifreyi çözmek için fidye talep eder. 5. Reklam Yazılımları (Adware): Kullanıcılara istenmeyen reklamlar gösteren yazılımlardır. 6. Casus Yazılımlar (Spyware): Kullanıcıların etkinliklerini izleyen ve bu bilgileri saldırganlara ileten yazılımlardır. 7. Rootkit'ler: Saldırganların sistemde yönetici yetkilerine sahip olmasını sağlayan ve tespit edilmesi zor yazılımlardır. 8. Dosyasız Zararlı Yazılımlar (Fileless Malware): Sistem belleğinde çalışan ve tespit edilmesi zor olan yazılımlardır. 9. Botlar ve Botnetler: Birden fazla bilgisayarın bir araya gelmesiyle oluşan ve zararlı faaliyetlerde bulunan yazılımlardır.

ASV farklı alanlarda farklı işlevlere sahiptir: Onaylı Tarama Hizmet Sağlayıcıları (ASV). Adaptif Servo Ventilasyon (ASV) cihazı. ASV Panel. Adaptif Destek Ventilasyonu (IntelliVent – ASV).

Sabotajı önleme planı, kurumları ve tesisleri sabotaj risklerine karşı korumak için uygulanan stratejiler ve tedbirlerden oluşur. Bu plan, aşağıdaki unsurları içerir: 1. Risk Analizi: Sabotaj riski yüksek olan bölgelerin belirlenmesi ve önceliklerin saptanması. 2. Fiziksel Güvenlik Önlemleri: Tel örgü, duvar, aydınlatma, bekçi ve alarm sistemleri gibi aktif ve pasif tedbirlerin alınması. 3. Bilgi Güvenliği: Fiziksel ve dijital veri koruma yöntemlerinin uygulanması, güvenlik yazılımlarının kullanılması. 4. Personel Güvenliği: Personel güvenlik soruşturmaları, geçmiş taraması ve şüpheli davranışların izlenmesi. 5. Eğitim ve Tatbikatlar: Personelin sabotajlara karşı korunma konularında eğitilmesi ve düzenli tatbikatların yapılması. Bu tedbirler, sabotaj faaliyetlerini ortadan kaldırmayı ve tesislerin güvenliğini sağlamayı amaçlar.

ISO 27001 denetim planı, işletmelerin bilgi güvenliği yönetim sisteminin (BGYS) etkinliğini ve uyumunu sağlamak için çeşitli aşamaları kapsar. Bu plan genellikle aşağıdaki adımları içerir: 1. Denetim Kapsamının Belirlenmesi: Hangi süreçlerin ve işlevlerin denetleneceğinin belirlenmesi. 2. Denetim Sıklığının ve Zamanlamasının Belirlenmesi: Denetimlerin yıllık döngülerde mi yoksa daha sık aralıklarla mı yapılacağının planlanması. 3. Denetim Ekibinin ve Kaynakların Planlanması: Denetimi gerçekleştirecek kişilerin yeterliliği ve uzmanlığının sağlanması. 4. Denetim Kriterlerinin ve Yöntemlerinin Belirlenmesi: ISO 27001 gereksinimleri, işletmenin güvenlik politikaları ve yasal düzenlemeler gibi referansların belirlenmesi. 5. Denetim Planının Belgelendirilmesi ve Onay Alınması: Planın resmi olarak belgelendirilmesi ve üst yönetimden onay alınması. 6. Denetim Sürecinin Yürütülmesi ve Bulguların Raporlanması: Yapılan gözlemlerin ve tespit edilen bulguların ayrıntılı bir rapor halinde üst yönetime sunulması.

YARA aracı, malware analizi ve tespiti amacıyla yazılmıştır. Bu aracın geliştirilme nedeni, zararlı yazılımların kodlarını hızlı ve etkili bir şekilde sınıflandırmak ve tanımlamaktır.

ERY Bilişim aşağıdaki hizmetleri sunan bir bilişim şirketidir: 1. Ağ Çözümleri: Mevcut ağ yapılarını değerlendirerek kablosuz, fiber, WAN ve LAN çözümleri sunar. 2. Bilgi Güvenliği: Yetkisiz erişim, kullanım, ifşa, kesinti, değişiklik gibi tehditlere karşı bilgi güvenliği hizmetleri sağlar. 3. Bilişim Danışmanlığı: Kuruluşların iş hedeflerine ulaşmak için bilgi teknolojisini nasıl kullanabilecekleri konusunda danışmanlık hizmeti sunar. 4. Sistem Entegrasyonu: Birden fazla sistemi birleştirerek etkili bir şekilde çalışmalarını sağlar. 5. Son Kullanıcı Çözümleri: Uç nokta koruma teknolojisi ile geleneksel antivirüs çözümlerinin ötesinde güvenlik sağlar. Şirket, 2016 yılında Ankara'da kurulmuştur.