İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

Güvenlik Açığı Nedir?

İngilizce: Security Vulnerability

Yayın: · Son güncelleme:

Güvenlik Açığı Nedir? Kısaca

Güvenlik açığı (zafiyet), bir yazılımda, donanımda, ağ yapılandırmasında ya da iş sürecinde bulunan ve saldırganın izinsiz erişim veya zarar için kullanabileceği zayıf noktadır.

Güvenlik Açığı nedir?
İçindekiler
  1. Güvenlik açığı nedir?
  2. Güvenlik açıkları nasıl oluşur?
  3. Açıklar nasıl takip edilir ve kapatılır?

Güvenlik açığı nedir?

Güvenlik açığı, bir sistemin korunması gereken yerinde bırakılmış boşluktur. Türkçe güvenlik metinlerinde "zafiyet" kelimesi de aynı anlamda kullanılır. Bu boşluk bir programlama hatası, yanlış ayarlanmış bir sunucu, değiştirilmemiş varsayılan şifre ya da eksik bir kontrol adımı olabilir.

Açığın kendisi tek başına zarar vermez. Saldırgan onu bir exploit ile kullandığında gerçek bir olaya dönüşür.

Güvenlik açıkları nasıl oluşur?

Açıkların kaynağı genellikle şu gruplardan birine girer:

  • Kod hataları: Kullanıcıdan gelen veriyi denetlemeyen bir form.
  • Yapılandırma hataları: Herkese açık bırakılmış bir bulut depolama klasörü.
  • Eski yazılım: Üreticinin artık güncelleme yayımlamadığı programlar.
  • İnsan ve süreç: Ayrılan çalışanın hesabının kapatılmaması.

Örneğin bir e-ticaret sitesinde sipariş numarasını adres çubuğunda bir artırınca başka bir müşterinin faturası görünüyorsa bu bir güvenlik açığıdır. Kod yazılırken "bu fatura bu kullanıcıya mı ait?" kontrolü unutulmuştur.

Açıklar nasıl takip edilir ve kapatılır?

Kamuya duyurulan açıklara CVE numarası verilir ve ciddiyetleri CVSS puanıyla derecelendirilir. Üretici açığı düzelten bir güvenlik yaması yayımlar, kullanıcılar da güncelleme yaparak açığı kapatır.

Kurumlar bu süreci zafiyet taraması ve zafiyet yönetimiyle düzenli hâle getirir. Bireysel kullanıcı için en pratik adım, cihazlarda otomatik güncellemeyi açık tutmak ve artık desteklenmeyen eski yazılımları kullanmayı bırakmaktır.

Sıkça Sorulan Sorular

Güvenlik açığı ile zafiyet aynı şey mi?

Evet, ikisi de İngilizce vulnerability karşılığı olarak kullanılır. Zafiyet daha çok teknik metinlerde, güvenlik açığı ise gündelik dilde tercih edilir.

Bir sitede güvenlik açığı bulursam ne yapmalıyım?

Daha fazla deneme yapmayın ve verileri indirmeyin. Sitenin güvenlik bildirim sayfası ya da iletişim adresi üzerinden açığı sorumlu biçimde bildirin.

İlgili terimler

ExploitExploit, bir yazılımdaki, işletim sistemindeki ya da cihazdaki güvenlik açığını kullanarak saldırganın izinsiz erişim, kod çalıştırma veya yetki yükseltme gibi sonuçlar elde etmesini sağlayan kod ya da yöntemdir.CVECVE (Common Vulnerabilities and Exposures), kamuya açıklanmış siber güvenlik açıklarına benzersiz bir kimlik numarası veren uluslararası bir listedir. Her açık CVE-yıl-sıra numarası biçiminde kodlanır.Zafiyet Yönetimi(Vulnerability Management)Zafiyet yönetimi, bir kurumdaki güvenlik açıklarının sürekli olarak tespit edildiği, risk düzeyine göre önceliklendirildiği, giderildiği ve giderildiğinin doğrulandığı döngüsel güvenlik sürecidir.Güvenlik Yaması(Security Patch)Güvenlik yaması, bir yazılımda, işletim sisteminde ya da cihaz yazılımında bulunan güvenlik açığını kapatmak için üreticinin yayımladığı kod düzeltmesidir. Genellikle güncelleme yoluyla yüklenir.Yazılım(Software)Yazılım, bir bilgisayarın ya da akıllı cihazın ne yapacağını adım adım tarif eden programların, verilerin ve talimatların bütünüdür. Donanım fiziksel parçaları, yazılım ise bu parçaları çalıştıran mantığı ifade eder.Fatura(Invoice)Fatura, satılan mal ya da yapılan hizmet karşılığında müşterinin borçlandığı tutarı göstermek üzere satıcı tarafından düzenlenip alıcıya verilen ticari ve vergisel belgedir. Vergi Usul Kanununda düzenlenir.