Editörler Prof. Dr. Şeref Sağıroğlu Prof. Dr. Mustafa Alkan Sağıroğlu / Alkan grafik

Fidye yazılımı (ransomware), son dönemde gündemde olan en 
önemli zararlı yazılım türü olup, oldukça geniş kitleleri etkilemiştir. 
Bu yaklaşım içerisinde; büyük oranda oltalama veya sazan avlama 
gibi zararlı yazılımlar barındıran web siteleri aracılığı ile dağıtılırlar. 
BT sistemlerine ise gönderilen bir e-posta ekine sıkıştırılmış (ZIP) 
bir dosya, PDF veya Word dokümanı olarak sistemlere bulaştırılır-
lar. Bu sistemin çalışma mekanizması incelendiğinde; BT sistemine 
giriş yapılması ile başladığı, bu erişim ile bir şifreleme yaklaşımı 
kullanılarak girilen veya erişilen sistemde bulunan dokümanlar şif-
relenir. Şifreli doküman veya verilerin tekrar deşifre edilmesi için, 
fidyeci, kullanıcıya bir e-posta gönderir veya irtibat kurar. Gönde-
rilen e-postada durumdan kullanıcı haberdar edilir. Bu durumdan 
kurtulmak için belirlenen tutardaki fidyeyi belirtilen hesaba, verilen 
zaman kısıtı içerisinde transfer edilmesi istenilir. Transfer teyidi ya-
pıldığında ise fidyeci, şifreli dokümanı açmak için ihtiyaç duyula-
cak parolayı, ilgili kullanıcıya gönderir ve veriler deşifre edilir. Fid-
yecilerin kullandığı yöntem burada çok basit olarak veya en basit 
haliyle anlatılmıştır. Bunların farklı versiyonlarıda bulunmaktadır. 
WannaCry, Petya buna verilebilecek güncel örneklerdir.
Sızma (penetration) testi, BT sisteminin mevcut durumunu analiz 
etmek, varsa üzerinde barındırdığı zafiyetleri, tehditleri, açıklıkla-
rı veya zayıflıkları tespit etmek için yapılan ve son dönemlerde ise 
yapılması rutin haline gelen güvenlik testlerini içeren yaklaşımları-
nı ifade eder. Diğer bir ifade ile saldırganların sistem zafiyetlerini 
ve açıkıklarını öğrenmeden, BT sistemine sahip olan kişi veya ku-
rumların, sahip oldukları bilgi varlıklarının ne kadar güvende ol-
duğunu öğrenmeleri ve alınması gereken önlemleri önceden tespit 
etmek için yapılan testlere verilen isimdir. Son dönemde, kamu 
kurumlarının bu testleri yaptırmaya başlamaları, ulusal strateji ve 
eylem planı kapsamında bunun zorunlu hale getirilmesinin amacı 
ise güvenlik politikalarına ve standartlara uyumluluğu test etmek, 

---

Ş E R E F S A Ğ I R O Ğ L U
30
varsa zafiyet ve açıklıkları belirlemek ve önceden gidermek, riskle-
ri ve maliyetleri düşürmek, sistem performansını ve verimliliğini 
değerlendirmek, gelecekte karşılaşılabilecek olası saldırı, sızma ve 
istismar girişimlerini belirlemek ve önlemek, ve gelecek planları ya-
parak güvenliği daha etkin sağlamaktır.
Zafiyet, bir yazılım, donanım, sistem, süreç, tasarım ve üretim aşa-
malarında kaynaklanan algoritmik, mantık, tasarım, bakım veya 
test aşamalarında yapılan hatalardan kaynaklanabilecek ve istisma-
ra açık olan hususlara verilen addır. Zafiyetlerin, donanım, yazılım, 
tasarım ve işletimden kaynaklı olabileceği gibi insan faktöründen 
de kaynaklanabileceği de her zaman hatırda bulundurulmalıdır.