GÜVENLİK SİSTEMLERİ - Deneme Sınavı - 16

GİRİŞ
Kapalı Devre Görüntü ve Kayıt Sistemi, temel olarak bir bölgenin veya mekânın çeşitli kameralarla görüntüsünün alınmasına, elde edilen görüntülerin kayıt altına alınmasına ve söz konusu görüntülerin eşzamanlı/eşzamansız olarak izlenebilmesine olanak tanıyan yapı şeklinde açıklanabilir.

CCTV Sisteminin Kullanım Amaçları
CCTV sistemleri temel olarak güvenlik, gözetleme ve denetleme amacıyla kullanılmaktadır.

CCTV Sistemi İçeriği
Bir CCTV sistemi temel olarak beş bileşenden oluşmaktadır. Bu bileşenler kamera(lar), video iletim ortamı, video kayıt ünitesi, görüntüleme ünitesi (monitör) ve video yönetim yazılımı şeklinde sıralanabilir.

Video sinyali, analog veya dijital (sayısal) formatta olabilir. Analog sinyal sürekli bir sinyal olup teoride sonsuz farklı değere sahiptir. Buna karşılık, dijital sinyal ise süreksiz yani kesiklidir. Dolayısıyla, dijital bir sinyalin alabileceği değerler sınırlıdır. Bununla birlikte, analog sinyaller sinyalin işlenmesi veya iletilmesi gibi süreçlerde elektronik gürültüden çok fazla etkilenmekte ve bozulmaya uğrayabilmektedir. Dijital sinyaller ise gürültü veya bozulmaya maruz kalmadan işlenebilmekte ve iletişim kanalları üzerinden iletilebilmektedir.

Lensler
Lens (mercek), ortamdan yansıyan ışığı kameranın görüntüleme ünitesine uygun şekilde ileterek görüntünün oluşmasını sağlayan optik bileşendir.

Hassasiyet, kameranın düşük ışık seviyesindeki ortamlarda gürültüsüz çekim yapabilme yeteneğinin bir göstergesidir. Başka bir ifadeyle, kameranın ışığa karşı ham tepkisidir.

PTZ Kamera
İsmini, İngilizce “Pan-Tilt-Zoom” kelimelerinin baş harflerinden alan PTZ kameralar, diğer kameraların aksine sabit bir yöne bakmakla sınırlı kalmayıp, bir kumanda ünitesi yardımıyla sağa/ sola, yukarı/aşağı hareket edebilmekte ve uzaktaki nesneleri yakından görebilmek için zum yapabilmektedir.

Monitörler
CCTV sistemlerinde, kameralar vasıtasıyla alınan görüntülerin eşzamanlı veya eşzamansız olarak izlenebilmesi için monitöre ihtiyaç duyulmaktadır.

Örneğin, 26.02.2016 tarihli ve 29636 sayılı Resmi Gazetede yayımlanan “Alışveriş Merkezleri Hakkında Yönetmelik” ile alışveriş merkezlerinde CCTV sistemlerinin kullanımına yönelik kurallar tanımlanmıştır. Söz konusu yönetmeliğin “Güvenlik hizmeti” başlıklı 19. maddesinin 2. fıkrasında “Alışveriş merkezinde bebek bakım odası ve tuvalet gibi niteliği itibarıyla kayıt altına alınması uygun olmayan alanlar dışındaki ortak kullanım alanları kamera ile kayıt altına alınır ve bu kayıtlar en az otuz gün süreyle saklanır.

“Çocuk Destek Merkezleri Yönetmeliği”nin 52. maddesinin 6. fıkrasında “Çocukların güvenliğinin sağlanması amacıyla, yaşam ünitelerinin iç mekânı hariç, merkezin diğer iç ve dış mekânları güvenlik kamerası ile izlenir. Güvenlik kamerasının en az altı ay süreyle kayıt yapabilecek hafızası olmalıdır.

Siber Suç, bir bilişim sisteminin güvenliğini ve/veya kullanıcısını hedef alan ve bilişim sistemi kullanılarak işlenen suçlardır.

Avrupa Ekonomik Topluluğu 1983’te Bilişim Suçları konusunda şu tanımlamayı yapmış ve günümüzde birçok ülke bu tanımlamayı esas almıştır. Bilişim suçu; bilgileri otomatik olarak işleme tabi tutan veya verilerin nakline yarayan bir sisteme karşı veya sistem ile gayri kanuni, ahlak dışı ve yetkisiz gerçekleştirilen he türlü davranıştır

Phreaker: Telefon ağları üzerinde çalışan, telefon sistemlerini hackleyerek bedava görüşme yapmaya çalışan kişilerdir.

BİLİŞİM SALDIRILARI
Bilişim sistemlerine karşı gerçekleştirilebilecek saldırılar değişik parametrelere göre sınıflandırıp açıklanabilir. Tehditleri genel özelliklerine göre aşağıdaki gibi dört ana gruba ayırabiliriz.
• Ele geçirme: Kötü niyetli kişilerin veya yetkisiz kişilerin erişim yetkisi hakkı olmadıkları her türlü bilgi, belge ve varlığı değişik yöntemler kullanarak elde etmeleridir.
• Sekteye uğratma: Kötü niyetli kişiler bilişim sistemine ait herhangi bir parçayı sekteye uğratırlar. Ele geçirme saldırılarında belgelerin kopyası yapılır veya haberleşme dinlenir. Sekteye uğratma saldırılarında ise belgenin aslı çalınır veya haberleşme kesilir. Belge veya mesajın karşı tarafa ulaşması engellenir.
• Değişiklik: Herhangi bir değerli varlığın içeriğinin değiştirilmesidir. Örneğin elektronik posta yoluyla haberleşen iki kişi arasındaki mesajın içeriğinin değiştirilerek karşı tarafa gönderilmesi bu tür bir saldırıdır. Özellikle yazılım parçalarının içeriğinin değiştirilmesi için yapılan saldırılar bu gruba dâhildir.
• Fabrikasyon: Sahte nesnelerin yapılmasıdır. Güvenlik odalarına girerken yetkili kişilerin kimlik doğrulama için kullandıkları kimlik kartlarının sahtelerinin yapılması bu tür saldırıdır. Bunun yanında sahte internet sitelerine yönlendirerek şifre bilgilerinin çalınması da olabilmektedir.

Sosyal mühendislikte güvenlik sistemleri açısından kötü niyetli kişilerin uyguladıkları yöntemlerden bazıları aşağıdaki gibidir (Canbek & Sağıroğlu, 2007):
• Taklit ve inandırma
• Yetkisiz fiziksel erişim
• Klavye ile yazı yazarken çevredeki birinin sizi gözlemlemesi
• Yardım masası aramalarının taklit edilmesi
• Kimsenin olmadığı açık odalar bulabilmek için koridorda dolaşma

• Telefon hattının başka bir telefona izinsiz aktarılması
• Çöplük karıştırma
• Şifre çalmak için sahte iletişim kanalları kullanılması

BİLİŞİM GÜVENLİĞİ TEDBİRLERİ
Bilişim güvenliğinde uygulamalarda yol gösterecek dört temel ilke vardır. Bu ilkeleri kısaca şöyle açıklayabiliriz.
• En kolay nüfuz etme ilkesi: Herhangi bir güvenlik sistemine saldırı gerçekleştirmek isteyen kötü niyetli kişi gerçekleştirilebilecek en kolay saldırıyı yapacaktır. Bu nedenle yapılabilecek saldırılara karşı alınacak tedbirler planlanırken, saldırganların en kolay yolu deneyecekleri unutulmamalıdır.
• Yeterli süre koruma ilkesi: İnsanlar değerli her türlü varlığı korumak isterler. Herhangi bir şey değerini kaybetmediği sürece korunur. Zamanla değerini yitirmiş her nesne çöpe atılır. Yeterli süre koruma ilkesi değerli varlıkların değerlerini kaybetmedikleri sürece korunmalarını söyleyen ilkedir.
• Tesirlilik ilkesi: Bu ilke güvenlik sistemlerinde kullandığımız kontrol tekniklerinin
kullanılabilir ve beklenen amaçları gerçekleştirebilir olmalarını gerektiren ilkedir. Herhangi bir kontrol metodunun sağlaması gereken üç temel amaç yeterli güvenlik, kolay kullanılabilirlik ve performanstır. Ama bu üç amaç genellikle birbiriyle çelişen amaçlardır. Bir başka ifadeyle bu üç amaçtan herhangi birisini veya ikisini gerçekleştirmek istersek, diğer iki veya bir amacın belli miktarlarda fedakârlıkta bulunması gerekir. Eğer çok güvenli bir sistem oluşturmak istersek, ya sisteminin performansı düşecektir, ya kullanılabilirliği zorlaşacaktır ya da hem performans hem de kolay kullanılabilirlik kötüleşecektir. Bu nedenle bu üç amaç arasında bir denge oluşturacak şekilde kontrol mekanizmaları kullanmak gerekir. Burada dikkat etmemiz gereken bir başka nokta ise, güvenlik derecesinin, performansın ve kolay kullanılabilirlik derecesinin kişiden kişiye farklılık gösterebileceğidir. Bir kişi için performans en önemli iken başka bir kişi için güvenlik en önemli amaçtır. Bu nedenle istenen amaçlar ve bu amaçların hangi derecede başarılmak istenmesine göre güvenlik sistemi geliştirilir.
• En zayıf halka ilkesi: Bir sistemin güvenliği bu sistemin en zayıf noktasından daha güvenli olamaz. Yani bir sistemin güvenlik derecesini o sistemin en zayıf noktası belirler. Çünkü kötü niyetli kişiler sistemdeki en zayıf noktayı tespit edip o noktadan saldırı gerçekleştirirler. Birinci ilkede bahsettiğimiz gibi saldırganlar en kolay atağı deneyecektir. En kolay saldırı da en zayıf noktadan gerçekleştirilebilir. Güvenlik sistemi tasarlarken zayıf noktaları tespit edip bütün noktaların mümkün olduğunca aynı seviyede güvenli olması sağlanmalıdır.

Bal küpü (honeypot): Bilişim sistemlerinde hedef saptırmak için kullanılan
yöntemlerin genel adına bal küpü (honeypot) adı verilir.

Bilgil ve belge güvenliğinin sağlanmasında ISO 27001 kullanılmaktadır. ISO 27001 bilgi varlıklarını korumaya ve ilgili taraflara, özellikle de müşterilere güven vermeye yardımcı olur. ISO 27001 kurumların tüm faaliyetleri için bilgi güvenliği politikası yayınlamasını ve kurum personellerini bilgi güvenliği ve tehditler hakkında bilinçlendirmeyi hedeflemektedir.

USOM vasıtasıyla gerçekleştirilmektedir. USOM siber güvenlik olaylarına yönelik alarm, uyarı, duyuru faaliyetleri yapmakta, kritik sektörlere yönelik siber saldırıların önlenmesinde ulusal ve uluslararası koordinasyonu sağlamaktadır (Bilgi Teknolojileri ve İletişim Kurumu, 2017).

Bilgi Varlıkları: Kurumun tüm bilgi sistemlerinde, çalışanlarında, kütüphanelerinde tutulan ve kurumun iş süreçlerinde değişik formlarda işlenen veridir.