Temel Güvenlik Kavramları

Nizam-ı Alem · 5 Nis 2026

CCNA sınavını geçmek için öğrenilmesi gereken temel güvenlik kavramlarını ele alacağız. En yaygın olanları güvenlik açıkları, tehditler, istismarlar ve azaltma yöntemleridir. Bunlar nedir ve ağ güvenliği bağlamında nasıl bir yere sahiptirler? Bu konumuzda bunlara değinicem arkadaşlar.

Güvenlik Açıkları Nedir?

Herkesin anlayabileceği basit bir örnekle güvenlik açıklarının ne olduğunu açıklayalım. Aşağıda gösterilen gibi bir eviniz olduğunu hayal edin. Eviniz bağlamında, güvenlik açıkları, birinin (örneğin bir hırsızın) içeri girip bir şeyler çalmasını kolaylaştıran zayıf noktalardır.

Yukarıdaki şemada gösterildiği gibi, evin her fiziksel açıklığı potansiyel bir giriş noktasıdır (örneğin, bir güvenlik açığı).

Ön kapının kilidi zayıfsa veya açık bırakılmışsa, bu bir güvenlik açığıdır.

Garaj kapısı tamamen kapanmıyorsa, bu da bir başka güvenlik açığıdır.
Açık bırakılmış bir oturma odası penceresi bir güvenlik açığıdır.
Çalıların arkasına gizlenmiş bir bodrum penceresi bile bir güvenlik açığı olabilir, çünkü hırsıza sessiz bir yerden içeri girme imkanı sağlar.
Baca biraz abartılı, ancak yeterince genişse o da bir güvenlik açığı olabilir.
Temelde, birinin girebileceği her yer bir güvenlik açığıdır. Ancak bu, soyulduğunuz anlamına gelmez; sadece bir hırsızın kullanabileceği bir zayıflık olduğu anlamına gelir. Her güvenlik açığı, birinin sizi soymaya çalışmasını kolaylaştırır.

Ağ Güvenlik Açıkları

Aynı şekilde, ağlarda, saldırganların istismar edebileceği zayıflıklara güvenlik açıkları denir. Her ağın bazı güvenlik açıkları vardır. Bunlar teknik, insan kaynaklı veya hatta fiziksel olabilir. Aşağıdaki diyagram, birçok ağda bulunabilen (ağ yöneticileri bunu kabul etmek istemese bile) en yaygın güvenlik açıklarının bir listesini göstermektedir.

Tüm bu zayıf noktalar, dijital bir evde açık kilitler, açık pencereler veya unutulmuş garaj kapıları gibidir; uygun şekilde önlem alınmadığı takdirde sorunlara davetiye çıkarırlar.

Tehditler ve İstismarlar Nedir?

Tehdit, bir zayıflıktan yararlanıp zarar verebilecek her şeydir. Bu bir bilgisayar korsanı, kötü amaçlı yazılım, virüs, fidye yazılımı veya hatta kızgın bir çalışan olabilir.

İstismar ise tehlikenin gerçek hale gelme şeklidir. Bu, güvenlik açığını kullanan araç, komut dosyası veya yöntemdir.

Güvenlik açıkları, tehditler ve istismarlar nasıl bağlantılıdır?

Evinizle ilgili gerçek dünya örneğimizi kullanarak bu üç terimin nasıl bir araya geldiğini görelim.

Garaj kapısı açık bırakılırsa (güvenlik açığı) ve bir hırsız oradan geçerse (tehdit), kapıyı açıp içeri girdiği an, aşağıdaki diyagramda gösterildiği gibi, istismardır.

Aynı mantık ağ iletişiminde de geçerlidir. Bir ağ cihazının SSH kimlik bilgileri "admin/admin" ise ve internet üzerinden erişilebilir ise, güvenlik açığı zayıf kimlik doğrulamadır. Tehdit, açık SSH portlarını tarayan bir bottur. Saldırı ise, aşağıdaki şemada gösterildiği gibi, botun/hacker'ın şifreyi tahmin edip oturum açmasıdır.

Risk azaltma yöntemleri nelerdir?

Risk azaltma, riski düşürmek anlamına gelir. Bir riski nadiren tamamen ortadan kaldırırsınız, ancak aşağıdaki diyagramda gösterildiği gibi, onu daha karmaşık hale getirebilir veya hatta saldırgan için değersiz hale getirebilirsiniz.

Önlemler teknik olabilir; örneğin güvenlik duvarları, erişim kontrol listeleri (ACL'ler), VPN'ler veya şifreleme. Fiziksel de olabilir; örneğin sunucu raflarını kilitlemek veya insani olabilir; örneğin kullanıcı eğitimi. Örneğin,

Güçlü bir WiFi şifresi kullanmak, rastgele kişilerin şifreyi tahmin etmeye çalışmasını engeller.

DHCP izleme özelliğini etkinleştirmek, sahte DHCP sunucularını engeller.
Çok faktörlü kimlik doğrulama kullanmak, temel kaba kuvvet saldırılarını tamamen ortadan kaldırır.

Aşağıdaki diyagram, ağ bağlamındaki önlemleri göstermektedir. Yukarıdaki Şekil 4'te gösterilen zayıf noktalar ve riskler, aşağıdaki karşı önlemler uygulanarak azaltılır.

Unutmayın ki, risk azaltma mükemmellik değil, denge ile ilgilidir. Riski yaşayabileceğiniz bir seviyede tutmak için yeterli koruma uygularsınız.

Ev örneğine geri dönersek, her kapıyı ve pencereyi kilitleseniz ve video gözetimi kursanız bile, birisi yine de duvarı bir tankla yıkabilir. Her zaman bir risk vardır, ancak bunun olma olasılığı o kadar küçüktür ki, bununla yaşayabilirsiniz. Ağ güvenliğinde asla %100 korunamazsınız. Sadece sizi hacklemek için gereken çaba seviyesini yükseltirsiniz - üst sınır yoktur.

Güvenlik Açıklarının Sınıflandırılması

Şimdiye kadar gördüğümüz örnekler çok basit ve anlaşılır. Ancak gerçek dünyada, güvenlik açıkları ve istismarlar çok daha karmaşıktır ve ağ ve güvenlik ekiplerinin anlaması ve takip etmesi genellikle daha zordur. Bu nedenle, güvenlik açıklarını sınıflandırmaya ve izlemeye yardımcı olmak için çeşitli kamu kaynakları sunulmuştur.

Ortak Güvenlik Açıkları ve Maruz Kalmalar (CVE):
Ortak Güvenlik Açıkları ve Maruz Kalmalar (CVE), yazılım ve donanımdaki bilinen güvenlik sorunlarını takip eden halka açık bir listedir. Her soruna, CVE Kimliği adı verilen benzersiz bir kimlik numarası verilir; bu da insanların ve şirketlerin aynı sorun hakkında aynı adı kullanarak konuşmasını kolaylaştırır.

Örneğin, Windows veya Cisco yazılımında bir hata bulunursa, bu hata CVE veritabanında ne olduğu ve ne kadar ciddi olabileceğiyle ilgili ayrıntılarla birlikte listelenir. Güvenlik araçları ve araştırmacılar, bilgi paylaşmak, sonuçları karşılaştırmak ve hepsinin aynı sorunları düzelttiğinden veya kontrol ettiğinden emin olmak için CVE kimliklerini kullanırlar.

Ortak Güvenlik Açığı Puanlama Sistemi (CVSS):

Ortak Güvenlik Açığı Puanlama Sistemi (CVSS), bir güvenlik sorununun ne kadar ciddi olduğunu ölçmenin standart bir yoludur. Her güvenlik açığına 0 ile 10 arasında bir puan verir; sayı ne kadar yüksekse, sorun o kadar tehlikelidir.

CVSS, güvenlik açığının ne kadar kolay istismar edilebileceği, ne tür hasara neden olabileceği ve bir saldırganın özel erişime ihtiyaç duyup duymadığı gibi şeylere bakar.

Ulusal Güvenlik Açığı Veritabanı (NVD):

Ulusal Güvenlik Açığı Veritabanı (NVD), bilinen güvenlik zafiyetleri hakkında ayrıntılı bilgileri depolayan resmi bir ABD hükümeti veritabanıdır. CVE listesinin üzerine inşa edilmiştir ve bir güvenlik açığının ne kadar ciddi olduğu, nasıl istismar edilebileceği ve hangi yazılım veya sistemlerin etkilendiği gibi ek ayrıntılar ekler.

NVD, güvenlik ekiplerinin ve şirketlerin riskleri otomatik olarak izlemesine, ölçmesine ve yönetmesine yardımcı olur. Ayrıca sistemleri uyumluluk ve güvenlik sorunları açısından kontrol eden araçları da destekler.

CVE, CVSS ve NVD nasıl bir araya geliyor?

Şimdi bu terimlerin nasıl bir araya geldiğine bakalım. Diyelim ki Cisco IOS-XE'de bir saldırganın uzaktan komut çalıştırmasına izin veren ciddi bir hata var.

CVE: Hata, CVE veritabanında CVE-2023-20109 olarak listelenir. Bu benzersiz giriş, kısa bir açıklama sağlar; örneğin, "Cisco IOS XE Yazılımının web arayüzündeki bir güvenlik açığı, bir saldırganın rastgele kod çalıştırmasına izin verebilir."

CVSS: Güvenlik açığı, CVSS puanlama sistemi kullanılarak derecelendirilir. Bu durumda, puan 9,8 (Kritik) olabilir; bu da istismar edilmesinin çok kolay olduğu ve ciddi hasara neden olabileceği anlamına gelir.
NVD: Ulusal Güvenlik Açığı Veritabanı (NVD), aşağıdakiler gibi daha fazla teknik ayrıntı ekler:
Hangi Cisco sürümlerinin etkilendiği;
Yama veya düzeltmelere bağlantılar;
Etki ölçütleri (gizlilik, bütünlük ve kullanılabilirlik gibi).

Yani, CVE sorunu tanımlar, CVSS ne kadar kötü olduğunu ölçer ve NVD tüm ayrıntıları ve bağlamı sağlar.

Önemli Noktalar

Bu dersin ana amacı, ağ ve ağ güvenliği belgelerinde sık sık karşılaşacağınız temel güvenlik terimlerini size tanıtmaktır.

Unutmayın, her ağın bazı güvenlik açıkları vardır - bu teknolojinin gerçeğidir.

Şunu merak edebilirsiniz - ama neden? Çünkü çoğu güvenlik açığı kuruluşunuzdan değil, kullandığınız sistemleri ve protokolleri geliştiren, satan ve tedarik eden firmalardan kaynaklanır. Yine de, kuruluşunuzun doğrudan sorumlu olduğu bazı yaygın güvenlik açığı türleri vardır, örneğin:

Tasarım hataları
Yanlış yapılandırmalar
İnsan hatası
Ancak diğer güvenlik açıkları kuruluşunuzun kontrolü dışındadır. Bunların oluşmasını engelleyemezsiniz, ancak etkilerini yönetebilir ve azaltabilirsiniz. Bunlar şunları içerir:

Protokol zayıflıkları
Yazılım hataları
Kötü amaçlı kod
Şimdi, derste gördüğümüz temel güvenlik terimlerini ve kavramlarını özetleyelim.

Varlık: Bir şirket için değerli olan her şey.
Güvenlik açığı: Bir varlıktaki zayıflık.
Tehdit: Bir saldırının kaynağı veya yöntemi.
Risk: Bir saldırı olasılığı. Hem tehdit hem de güvenlik açığı olduğunda risk vardır.
İstismar: Saldırganların bir güvenlik açığından yararlanmak için kullandığı bir araç veya yöntem.
Azaltma (Karşı önlem): Güvenlik açıklarını düzelterek veya en aza indirerek riskleri azaltmak veya ortadan kaldırmak için atılan adımlar.

Unutmayın ki gerçek dünyadaki güvenlik (evinizi güvence altına almak gibi) ve ağ güvenliği aynı şekilde çalışır; aynı mantık, aynı model, farklı araçlar. Her zaman gerçek dünyadaki güvenlikle benzetmeler yapın, böylece ağ güvenliğinin temelini anlayacaksınız.