Tehdit, zafiyet, risk

Önceki ders "neyi koruyoruz" sorusunu cevapladı ve son cümlesi şuydu: güvenlik, kabul edilebilir riske karşılık gelen dengeyi bilinçli seçmektir. Bu ders o cümleyi ölçülebilir hâle getirir. 13-01'de "risk = olasılık × etki" formülünü yazılım tarafında görmüştük; burada tam metodolojiyi kuruyoruz: tehdit ile zafiyetin farkı, nitel ve nicel risk analizi (ALE hesabı dâhil), riskin dört işlenme yolu, artık risk, risk iştahı ve kontrol türleri. Bu ders yazılı sınavın en tanım yoğun konusudur; aynı zamanda mülakatta "bir açık buldun, ne yaparsın?" sorusunun arkasındaki düşünme biçimidir.

01Ne öğreneceksin

02Beş terim, tek cümlelik ayrımlar

Bu bölümdeki ayrımlar sınavda doğrudan sorulur ve günlük dilde en çok karıştırılan şeylerdir. Tek bir örnek üzerinden yürüyelim: kurumun personel bilgilerini tutan bir web uygulaması.

Üç sonuç bu tablodan çıkar ve ezberlenmeye değer:

• Tehdit dışsaldır, zafiyet içseldir. Tehdidi ortadan kaldıramazsın — deprem olmasını, saldırgan olmamasını sağlayamazsın. Zafiyeti kapatabilirsin; risk yönetiminin asıl kaldıracı budur.
• Tehdit varsa ama zafiyet yoksa risk (neredeyse) yoktur; zafiyet varsa ama onu kullanacak bir tehdit yoksa risk düşüktür. Risk ikisinin kesişimindedir.
• Tehdit ≠ saldırgan. Yangın, elektrik kesintisi, personelin yanlış tuşa basması ve tedarikçinin iflası da tehdittir. Güvenliği yalnız kötü niyetle eşleştirmek, erişilebilirlik risklerinin gözden kaçmasının en yaygın sebebidir.

Bir de istismar (exploit) terimi vardır: zafiyeti fiilen kullanan teknik yöntem ya da kod. "Zafiyet var" ile "istismarı var" arasındaki fark, önceliklendirmede belirleyicidir — 9. bölümde KEV listesinde göreceğiz.

03Saldırı yüzeyi ve saldırı vektörü

Saldırı yüzeyi, bir sisteme dışarıdan girdi verilebilen ya da etkileşilebilen tüm noktaların toplamıdır. 13-01'de yazılım tarafında tanımlamıştık; kurum ölçeğinde kapsam genişler:

• Ağ yüzeyi — açık portlar, internete bakan servisler, VPN uçları, yönetim arayüzleri.
• Yazılım yüzeyi — API uçları, form alanları, dosya yükleme, üçüncü taraf bağımlılıklar (12-03'teki tedarik zinciri).
• İnsan yüzeyi — kimlik avına açık her personel, telefonla arayana bilgi verebilecek her destek masası (7. ders).
• Fiziksel yüzey — otoparka bırakılmış USB, kartlı kapıdan birinin peşine takılarak girme (tailgating).

Saldırı vektörü ise saldırganın bu yüzeyden içeri girmek için kullandığı yoldur: kimlik avı e-postası, açık RDP portu, ele geçirilmiş tedarikçi güncellemesi. Yüzey bir alan, vektör bir güzergâhtır.

Yüzeyi küçültmek (attack surface reduction) en ucuz güvenlik önlemidir çünkü var olmayan şey saldırılamaz: kullanılmayan servisi kapatmak, gereksiz portu kapatmak, kullanılmayan hesabı silmek, ihtiyaç duyulmayan veriyi hiç toplamamak. Bu son madde 13-10'daki "en iyi sır var olmayan sırdır" cümlesinin veri tarafındaki karşılığıdır ve KVKK'daki veri minimizasyonu ilkesiyle birebir örtüşür (12. ders).

04Risk analizi — nitel yaklaşım

Risk yönetimi dört adımdır: tanımla → analiz et → işle → izle. Analiz iki biçimde yapılır: nitel (qualitative) ve nicel (quantitative). Kurumların çoğu nitel ile başlar, çünkü sayı bulmak zordur ve karşılaştırma çoğu zaman yeterlidir.

Nitel analizde olasılık ve etki, sayı yerine seviyelerle ifade edilir (ör. 1-5 arası: çok düşük → çok yüksek) ve bir risk matrisinde çarpılır:

Matrisin faydası, tartışmayı ortak bir dile oturtmasıdır: "bu bana tehlikeli geliyor" yerine "olasılık 3, etki 5, skor 15 — yüksek" denir ve kararlar karşılaştırılabilir hâle gelir. Ancak nitel analizin bilinmesi gereken üç tuzağı vardır:

• Seviyeler tanımlanmazsa matris işe yaramaz. "Yüksek olasılık" ne demek? Ciddi kurumlar bunu yazılı tanımlar: "yılda birden fazla beklenir" = yüksek, "beş yılda bir" = düşük. Etki için de aynısı: "1 milyon TL üzeri" ya da "hizmetin 4 saatten uzun durması" gibi.
• Çarpım her zaman anlamlı değildir. Olasılığı çok düşük ama etkisi felaket olan riskler (veri merkezinin tamamen yanması) matriste orta çıkabilir; oysa bu tür riskler ayrı ele alınır — iş sürekliliği planı bu yüzden vardır.
• Skorlar öznedir. Aynı riske iki uzman farklı seviye verir. Çözüm: değerlendirmeyi tek kişiye bırakmamak ve gerekçeyi yazmak.

05Nicel analiz: SLE, ARO, ALE

Nicel analiz riski para ile ifade eder. Yatırım kararını savunmanın en güçlü yoludur çünkü yönetimin dilinden konuşur. Dört büyüklük ve iki formül yeterlidir — sınavda formüller doğrudan sorulur:

Somut bir hesap. Kurumun müşteri veritabanının değeri 2.000.000 TL olarak belirlenmiş olsun (veri kaybı + itibar + yeniden oluşturma maliyeti). Fidye yazılımı senaryosunda verinin %60'ının kullanılamaz hâle geleceği öngörülüyor ve bu olayın beş yılda bir yaşanması bekleniyor:

AV  = 2.000.000 TL
EF  = 0,60
SLE = AV × EF = 2.000.000 × 0,60 = 1.200.000 TL
ARO = 1 / 5 = 0,20   (beş yılda bir)
ALE = SLE × ARO = 1.200.000 × 0,20 = 240.000 TL / yıl

Şimdi asıl karar: bir yedekleme ve uç nokta koruma çözümünün yıllık maliyeti 90.000 TL ve bu çözüm ARO'yu 0,20'den 0,05'e düşürüyor (yirmi yılda bire). Kontrol sonrası ALE:

ALE(sonra) = 1.200.000 × 0,05 = 60.000 TL / yıl

Kontrolün yıllık faydası = ALE(önce) − ALE(sonra) = 240.000 − 60.000 = 180.000 TL
Kontrolün yıllık maliyeti = 90.000 TL
Net kazanç = 180.000 − 90.000 = 90.000 TL / yıl   → kontrol alınır

Bu karşılaştırmanın adı maliyet-fayda analizidir ve tek bir kuralı vardır: kontrolün maliyeti, azalttığı riskten büyükse o kontrol alınmaz. Aynı gerekçe ters yönde de çalışır — "bu güvenlik yatırımını neden yapmıyoruz" sorusunun cevabı duygu değil, hesaptır.

06Riskin işlenmesi: dört seçenek ve artık risk

Risk analiz edildikten sonra bir karar verilir. Standartlar (ISO 27005, NIST) dört seçenek tanımlar — sınavda sık sorulur, sırasıyla:

Dört seçenekten sonra geriye kalan şeyin adı artık risktir (residual risk): kontroller uygulandıktan sonra hâlâ var olan risk. İki gerçeği ifade eder: (1) risk asla sıfır olmaz; (2) artık riskin de bilinip kabul edilmesi gerekir. Denetimde en sık sorulan soru budur — "bu riski kim, ne zaman, hangi gerekçeyle kabul etti?"

Kabul edilebilir seviyeyi belirleyen iki kavram:

• Risk iştahı (risk appetite) — kurumun hedeflerine ulaşmak için almaya istekli olduğu genel risk düzeyi. Stratejik ve niteldir: "kritik altyapı işlettiğimiz için erişilebilirlik risklerinde iştahımız düşüktür."
• Risk toleransı — belirli bir risk için kabul edilen sapma aralığı; ölçülebilir ve dardır: "yıllık plansız kesinti 4 saati aşamaz."

Risk kaydı (risk register) bunların tutulduğu yerdir ve her satırında şunlar bulunur: risk tanımı, ilgili varlık, tehdit/zafiyet, mevcut kontroller, olasılık ve etki skoru, işleme kararı, risk sahibi, hedef tarih, artık risk. Kaydın en önemli sütunu skor değil sahiptir: adı olmayan risk yönetilmez.

07Kontrol türleri: iki eksenli matris

"Kontrol", riski azaltmak için konan her önleme verilen addır. İki eksende sınıflandırılır ve sınav sorusu genellikle "aşağıdakilerden hangisi tespit edici kontroldür" biçiminde gelir.

Birinci eksen — işleve göre:

• Caydırıcı (deterrent) — girişimi baştan cesaretsizleştirir: uyarı levhası, "bu oturum kaydedilmektedir" bildirimi, disiplin yönetmeliği.
• Önleyici (preventive) — olayın olmasını engeller: güvenlik duvarı, erişim kontrolü, şifreleme, girdi doğrulama, kartlı geçiş.
• Tespit edici (detective) — olduğunu fark eder: log/SIEM, IDS, kamera, dosya bütünlük izleme, denetim.
• Düzeltici (corrective) — olaydan sonra durumu düzeltir: yedekten dönüş, yama uygulama, zararlıyı temizleme.
• Telafi edici (compensating) — asıl kontrol uygulanamıyorken yerine konan alternatif: eski sistemde MFA desteklenmiyorsa erişimi tek bir sıkı denetlenen atlama sunucusuyla sınırlamak.
• Kurtarıcı (recovery) — hizmeti sürdürür: felaket kurtarma merkezi, yedek hat.

İkinci eksen — uygulanış biçimine göre: idari (politika, prosedür, eğitim, işe alım kontrolü), teknik/mantıksal (yazılım ve donanımla uygulanan), fiziksel (kilit, kamera, bariyer, yangın söndürme).

Matrisin öğrettiği asıl şey şudur: bir riski yalnız tek kutudan kapatmaya çalışmak zayıf tasarımdır. Önleyici kontroller er geç aşılır; tespit edici kontrol yoksa aşıldığını hiç öğrenemezsin. Sektörde bir olayın ortalama fark edilme süresinin aylarla ölçülmesinin sebebi tam olarak budur: kurumlar önleyici kontrole yatırım yapar, tespit edici kontrole yapmaz.

08Tehdit modelleme — riski sistematik bulmak

Risk analizi "bulduğun riskleri" değerlendirir; peki riskleri nasıl bulursun? Cevap tehdit modellemedir. 13-01'de yazılım için görmüştük; dört sorusu burada da geçerlidir: Ne inşa ediyoruz? Ne ters gidebilir? Ne yapacağız? Yeterli mi?

Sistematikleştirmek için kontrol listeleri kullanılır:

• STRIDE — Spoofing (kimlik taklidi), Tampering (kurcalama), Repudiation (inkâr), Information disclosure (bilgi ifşası), Denial of service (hizmet engelleme), Elevation of privilege (yetki yükseltme). Her bileşen için altı harf tek tek sorulur. STRIDE'ın CIA ile eşlemesi sınavda güzel bir cevaptır: S→özgünlük, T→bütünlük, R→inkâr edilemezlik, I→gizlilik, D→erişilebilirlik, E→yetkilendirme.
• Saldırı ağacı — hedefi köke koyup ona ulaşan yolları dallandırmak.
• MITRE ATT&CK — gerçek saldırganların kullandığı taktik ve tekniklerin kataloğu; "hangi tespit kuralına ihtiyacım var" sorusunu somutlaştırır (10. ders).

Bir de tarihsel bir uyarı: DREAD (Damage, Reproducibility, Exploitability, Affected users, Discoverability) eskiden puanlama için kullanılırdı; öznelliği nedeniyle büyük ölçüde terk edildi — aynı açığa iki kişi çok farklı puan verir. Sınavda adı geçerse tanımını bil, ama "günümüzde tercih edilmez" notunu ekle.

09Zafiyet skorlaması: CVE, CVSS, KEV

Zafiyetlerin ortak bir dili vardır ve bu dil pratikte her gün kullanılır:

• CVE (Common Vulnerabilities and Exposures) — her bilinen zafiyete verilen benzersiz kimlik: CVE-2021-44228. Bir tanımlayıcıdır, ciddiyet bilgisi taşımaz.
• CVSS (Common Vulnerability Scoring System) — 0-10 arası ciddiyet skoru. Üç grup ölçüt vardır: temel (saldırı vektörü, karmaşıklık, gereken yetki, kullanıcı etkileşimi, CIA etkisi), zamansal (istismarın olgunluğu, yama durumu), çevresel (senin ortamındaki varlık değeri ve mevcut kontroller).
• KEV (Known Exploited Vulnerabilities) — fiilen istismar edildiği gözlenen zafiyetlerin listesi.

Son bir ayrım: sıfırıncı gün (zero-day), üreticinin henüz bilmediği ya da yamasının olmadığı zafiyettir. Buna karşı yama yoktur; savunma derinlemesine savunma, tespit ve etki alanını sınırlamadır (segmentasyon, en az yetki). Yani sıfırıncı gün korkusu, temel hijyeni atlamanın gerekçesi olamaz — ihlallerin ezici çoğunluğu yaması aylardır yayımlanmış bilinen zafiyetlerden gelir.

10Mini alıştırma — bir riski uçtan uca işle

11Kendini sına

Tehdit, zafiyet ve risk arasındaki farkı örnekle açıkla. Hangisini ortadan kaldırabilirsin, hangisini kaldıramazsın?

Tehdit, varlığa zarar verme potansiyeli taşıyan olay ya da aktördür (saldırgan, yangın, disk arızası, personel hatası) ve dışsaldır — ortadan kaldıramazsın. Zafiyet, varlıktaki zayıflıktır (yamanmamış kütüphane, parametresiz SQL sorgusu, kapatılmamış eski hesap) ve içseldir — kapatabilirsin; risk yönetiminin asıl kaldıracı budur. Risk, bir tehdidin bir zafiyeti kullanma olasılığı ile doğuracağı etkinin bileşimidir; ikisinin kesişiminde doğar. Örnek: personel veritabanı (varlık) + veri hırsızı (tehdit) + parametresiz sorgu (zafiyet) = "enjeksiyonla kişisel verilerin sızması" (risk); etki KVKK cezası, itibar kaybı, adli süreçtir. Tehdit varsa ama zafiyet yoksa risk neredeyse yoktur. Ek olarak tehdit ≠ saldırgan: yangın, elektrik kesintisi ve insan hatası da tehdittir — bunu atlamak erişilebilirlik risklerinin gözden kaçmasının en yaygın sebebidir. İstismar ise zafiyeti fiilen kullanan koddur ve önceliklendirmede belirleyicidir.

ALE nasıl hesaplanır? Bir kontrolün alınıp alınmayacağına nasıl karar verilir? Nicel analizin zayıf noktaları nelerdir?

SLE = AV × EF (varlık değeri × maruziyet faktörü) ve ALE = SLE × ARO (yıllık gerçekleşme sıklığı). Örnek: AV 2.000.000 TL, EF 0,60 → SLE 1.200.000 TL; olay beş yılda bir bekleniyorsa ARO 0,20 → ALE 240.000 TL/yıl. Karar: kontrolün yıllık maliyeti ile sağladığı ALE azalmasını karşılaştırırsın — kontrol ARO'yu 0,05'e düşürüyorsa yeni ALE 60.000 TL, fayda 180.000 TL/yıl; kontrol 90.000 TL/yıl ise net kazanç 90.000 TL, kontrol alınır. Kural: kontrolün maliyeti azalttığı riskten büyükse alınmaz. Zayıf noktalar: (1) AV'yi bulmak zordur — itibar ve kişisel veri fiyatlanamaz; (2) ARO bir tahmindir, hiç yaşanmamış olayda sayı uydurmaya döner ve sayı olduğu için hak etmediği güveni kazanır; (3) ALE nadir ama felaket etkili riskleri gizler — yüz yılda bir olan ama kurumu bitiren olayın ALE'si düşüktür. Pratik yaklaşım karmadır: geneli nitel matrisle tara, büyük yatırımlarda nicel hesap yap, nadir-yüksek etkili riskleri iş sürekliliği planına ayrı taşı.

Riskin dört işlenme seçeneği nedir? Artık risk, risk iştahı ve risk toleransı ne demektir?

Azaltma — kontrol koyarak olasılığı veya etkiyi düşürmek (yama, yedekleme, şifreleme, eğitim); en yaygın seçenektir ve riski sıfırlamaz. Aktarma — finansal sonucu devretmek (siber sigorta, dış kaynak); ama sorumluluk devredilmez, hukuki yükümlülük ve itibar kurumda kalır. Kaçınma — riski doğuran faaliyeti hiç yapmamak (veriyi toplamamak, özelliği iptal etmek); bazen en doğru cevaptır, iş değerinden de vazgeçilir. Kabul — riski bilerek üstlenmek; yazılı olmalı ve risk sahibi imzalamalıdır. Artık risk, kontroller uygulandıktan sonra geriye kalan risktir: risk asla sıfırlanmaz ve artık riskin de bilinip kabul edilmesi gerekir — denetimin ilk sorusu "bu riski kim, ne zaman, hangi gerekçeyle kabul etti?" olur. Risk iştahı kurumun almaya istekli olduğu genel risk düzeyidir (stratejik, nitel); risk toleransı belirli bir riskteki kabul edilen ölçülebilir sapmadır ("yıllık plansız kesinti 4 saati aşamaz"). Bunların tutulduğu yer risk kaydıdır ve en önemli sütunu skor değil sahiptir: adı olmayan risk yönetilmez.

Kontrol türlerini iki eksende sınıflandır. "Yalnız önleyici kontrol koymak" neden yetersizdir? CVSS skoru neden tek başına yamalama sırası belirlemez?

İşleve göre: caydırıcı (uyarı levhası, kayıt bildirimi), önleyici (erişim kontrolü, şifreleme, güvenlik duvarı, kartlı kapı), tespit edici (SIEM, IDS, kamera, dosya bütünlük izleme, iç denetim), düzeltici (yedekten dönüş, yama, karantina), telafi edici (asıl kontrol uygulanamıyorken konan alternatif) ve kurtarıcı (felaket kurtarma merkezi). Uygulanışa göre: idari (politika, prosedür, eğitim, görevler ayrılığı), teknik/mantıksal, fiziksel. Yalnız önleyici yetersizdir çünkü her önleyici kontrol er geç aşılır; tespit edici kontrol yoksa aşıldığını hiç öğrenemezsin — olayların aylarca fark edilmemesinin sebebi budur. Doğru tasarım derinlemesine savunmadır: her riski birden çok kutudan kapatmak. CVSS temel skoru evrenseldir, senin ortamını bilmez: 9.8'lik bir zafiyet iç ağda ve kullanılmayan bir özellikteyse gerçek riskin altındadır; 6.5'lik bir zafiyet internete açık ana uygulamada ve istismar kodu dolaşımdaysa çok daha aciller. Doğru önceliklendirme skor × istismar edilebilirlik (KEV/kamuya açık istismar) × varlık kritikliği ve maruziyet üçlüsüdür — buna risk temelli yama yönetimi denir. Ayrıca CVE yalnız bir tanımlayıcıdır, ciddiyet bilgisi taşımaz; sıfırıncı gün ise yaması olmayan zafiyettir ve savunması derinlemesine savunma, tespit ve etki alanını sınırlamadır.

12Sınav köşesi