Kanıt toplama ve örnekleme
- Kanıtı gücüne göre tartar, örneği kontrolün sıklığına ve riskine göre seçer, komutla topladığın kanıtı SHA-256 özetiyle mühürlersin.
- Altay Kargo'nun sunucularında chage, lastlog, aureport ve auditpol çıktısını okur, her satırı bir kontrole bağlarsın.
Puan bütün etkinlikleri cevaplayınca hesaba yazılır. Bu dersi tamamlayınca +50 XP alacaksın. Giriş yapmadan ilerlersen puan yalnız bu tarayıcıda durur.
Altay Kargo'nun iç denetiminde sıra erişim yönetimine geldi. Kapsamda iki yüz on sunucu, bin dört yüz kullanıcı hesabı ve bir yıllık oturum kaydı var.
Denetçinin bunların hepsini okumaya ne zamanı ne de ihtiyacı var. Onun işi, doğru kanıtı doğru miktarda toplamak ve sonradan kimsenin itiraz edemeyeceği biçimde saklamaktır. Bu derste önce kanıt türlerini ve kanıtın gücünü göreceksin. Sonra örnek büyüklüğünün nasıl seçildiğini öğreneceksin.
Ardından Linux ve Windows sunucularında salt okunur komutlarla kanıt toplayacaksın. Topladığın kanıtı özet değeriyle mühürleyeceksin. En sonda riskin kanıt derinliğini nasıl belirlediğini ve otomatik araçların ürettiği kanıtı göreceksin.
Kanıt türleri ve kanıtın gücü
Denetim kanıtı dört türe ayrılır. Belgesel kanıt yazılı bir kaydın kendisidir: imzalı politika, sözleşme, değişiklik talebi. Gözlemsel kanıt denetçinin kendi gözüyle gördüğüdür: resepsiyonda tutulan ziyaretçi kaydı ya da kilitli sunucu odası.
Sözlü kanıt görüşmede alınan açıklamadır. Teknik kanıt iddiayı doğrudan sınayan bir test, tarama ya da komut çıktısıdır. Türler birbirinin yerine geçmez, birbirini tamamlar.
Güçlü bir bulgu genelde en az iki türü birlikte taşır. Sistem sahibi "Bütün yönetici hesaplarında çok faktörlü doğrulama açık" der. Denetçi bunu seçtiği hesaplarda ayarı okuyarak ve bir test girişi deneyerek doğrular. Sözlü kanıt yalnız nereye bakılacağını gösterir.
Kanıtların hepsi aynı ağırlıkta değildir. Denetçi kanıtın gücünü üç soruyla tartar. Birincisi kaynaktır: bağımsız bir kaynaktan gelen kanıt kurum içinden gelenden güçlüdür.
Bankanın gönderdiği hesap dökümü, muhasebenin hazırladığı tablodan daha güvenilirdir. İkincisi üretim biçimidir: sistemin kendi ürettiği kayıt, elle hazırlanmış bir listeden güçlüdür. Etki alanından alınan hesap dökümü, BT ekibinin tablolama programında tuttuğu listeden daha az yanılır.
Üçüncüsü erişim yoludur: doğrudan gözlem dolaylı anlatımdan güçlüdür. Denetçinin kendi gözüyle izlediği komut, ona e-postayla gelen çıktıdan daha sağlamdır. Zayıf kanıt da işe yarar ama tek başına bulgu taşımaz. Denetçi onu güçlü bir kanıtla destekler.
Etkinlik 1 / 6
Kanıtı türüne göre ayır.
Önce bir seçeneğe, sonra aşağıdaki uygun kutuya bas. İstersen seçeneği kutuya sürükleyip bırak. Yerini değiştirmek için aynı işlemi tekrarla.
0/4 seçenek yerleşti.
Örnekleme: popülasyon, büyüklük, sapma
Bin satırlık bir kaydı baştan sona okumak gerekmez. Denetçi örnekleme yapar. Popülasyondan, yani incelenen kayıtların tamamından, onu temsil eden bir alt küme seçer.
Sonucu tüm popülasyona genelleştirir. İki temel yöntem vardır. Rastgele örneklemede her kaydın seçilme şansı eşittir ve bu önyargıyı azaltır.
Riske dayalı örneklemede yüksek riskli kayıtlar ağırlık alır. Altay Kargo'nun denetçisi müşteri veritabanına erişen elli hesaptan yönetici yetkisi olan onunun hepsini inceler. Kalan kırk hesaptan rastgele on tanesini seçer.
Üçüncü bir yol sistematik seçimdir. Liste sıralanır, rastgele bir başlangıç noktası seçilir ve oradan itibaren her dördüncü kayıt alınır.
Liste belli bir düzenle, örneğin vardiya sırasıyla, dizilmişse bu yöntem o düzeni tekrar eder ve yanıltabilir. Yöntem ve gerekçesi denetim planına önceden yazılır. Sahada kolaylığa göre karar verilmez.
Örnek büyüklüğü iki şeye bağlıdır: kontrolün ne sıklıkla çalıştığı ve risk düzeyi. Siber Güvenlik Başkanlığı'nın Bilgi ve İletişim Güvenliği Denetim Rehberi, istatistiksel olmayan örnekleme için bir tablo verir. Tablo aşağıdadır. Yılda bir çalışan kontrolde tek örnek yeterlidir, çünkü popülasyon zaten tek kayıttır.
İşlem bazında, yani her olayda çalışan bir kontrolde düşük riskte 25, yüksek riskte 40 örnek alınır. Rehber aynı yerde bir ilke daha koyar: Denetçinin kabul edebileceği risk azaldıkça örnek büyür. Denetim uygulamasında iki kural daha yerleşmiştir.
Popülasyon büyüdükçe örnek aynı oranda büyümez; belli bir noktadan sonra eklenen kayıt güveni pek yükseltmez. Yüksek riskli ve az sayıda gerçekleşen kontrolde ise örnek alınmaz, popülasyonun tamamı incelenir. Buna tam kapsama denir.
KONTROLÜN SIKLIĞINA BAĞLI ÖRNEK BÜYÜKLÜĞÜ (Bilgi ve İletişim Güvenliği Denetim Rehberi, Tablo 3) Kontrol sıklığı Düşük risk Yüksek risk --------------- ---------- ----------- Yıllık 1 1 Aylık 2 3 Haftalık 5 8 Günlük 15 25 İşlem bazında 25 40
Örnekleme bir beklentiyle başlar. Denetçi örnekte kaç hataya göz yumacağını önceden belirler; buna tolere edilebilir sapma denir. Erişim gözden geçirmesi gibi kritik kontrollerde beklenti sıfır hatadır. Günlük çalışan bir yedekleme kontrolünden 25 kayıt seçildi diyelim.
Bir kayıtta yedeğin başarısız olduğu ve kimsenin fark etmediği görüldü. Denetçi hemen sonuca atlamaz. Örneği genişletir ve 25 kayıt daha seçer.
İkinci turda hata çıkmazsa bulgu izole bir sapma olarak yazılır. İkinci turda da hata çıkarsa sorun sistemiktir ve kontrol işlemiyor sayılır. Rehber de aynı yolu tarif eder: makul güvence veren kanıt bulunamazsa örnek büyütülür.
Derinleş:İstatistiksel ve istatistiksel olmayan örnekleme
Denetim Rehberi iki örnekleme ailesini ayırır. İstatistiksel örneklemede her kaydın seçilme olasılığı bilinir. Sonuç bir güven düzeyiyle söylenir; örneğin yüzde 95 güvenle sapma oranının yüzde 5'in altında olduğu yazılır. Bunun için örnek büyüklüğü bir formülle hesaplanır ve seçim gerçekten rastgele yapılır.
İstatistiksel olmayan örneklemede seçim denetçinin mesleki yargısına dayanır. Tablo 3 bu ikinci aile için yazılmıştır. Rehber önemli bir uyarı da yapar: örnek büyüklüğü tek başına iki yaklaşımı ayırmaya yetmez. Yirmi beş kayıt seçmek örneklemeyi istatistiksel yapmaz.
Fark, seçimin nasıl yapıldığında ve sonucun nasıl genelleştirildiğindedir. Bilgi güvenliği denetimlerinde istatistiksel olmayan yol yaygındır. Denetçi bu durumda sonucu bir yüzdeyle değil, gerekçeli bir yargıyla raporlar.
Etkinlik 2 / 6
Yılda yalnız dört kez yapılan, yüksek riskli bir üst yönetim erişim gözden geçirmesi denetleniyor. Doğru yaklaşım hangisidir?
Çözümlü örnek: Linux ve Windows kanıt komutları
Teknik kanıtın büyük kısmı komut satırından gelir. Altay Kargo'nun denetçisi sunucularda yönetici hakkı istemez. Komutları sistem yöneticisi çalıştırır, denetçi ekranı izler ve çıktıyı kaydeder.
Bütün komutlar salt okunurdur; hiçbir ayarı değiştirmez. Aşağıdaki oturum, sürücülerin kullandığı rota planlama sunucusundan 22 Eylül'de alındı. Dört komut dört ayrı kontrolü sınar.
chage -l bir hesabın parola yaşlandırma ayarını gösterir. lastlog -b 90 son doksan günde hiç oturum açmamış hesapları listeler. aureport bu ayki başarısız oturum açma denemelerini raporlar. getent group sudo ise yönetici yetkisi taşıyan grubun üyelerini döker.
$ sudo chage -l surucu01 Last password change : Aug 20, 2026 Password expires : Oct 19, 2026 Password inactive : never Account expires : never Minimum number of days between password change : 1 Maximum number of days between password change : 60 Number of days of warning before password expires : 7 $ lastlog -b 90 Username Port From Latest depo11 pts/2 10.20.4.31 Mon May 18 07:55:02 +0300 2026 yedek-svc **Never logged in** $ sudo aureport --login --failed --start this-month Login Report ============================================ # date time auid host term exe success event ============================================ 1. 09/14/2026 02:11:47 surucu01 198.51.100.23 ssh /usr/sbin/sshd no 41873 2. 09/14/2026 02:11:52 surucu01 198.51.100.23 ssh /usr/sbin/sshd no 41879 3. 09/14/2026 02:11:58 surucu01 198.51.100.23 ssh /usr/sbin/sshd no 41886 $ getent group sudo sudo:x:27:altayadmin,surucu01
Çıktıyı kontrol kontrol oku. chage satırlarında en uzun parola ömrü 60 gün görünür; parola standardı bu sunucuda uygulanıyor. lastlog kısaltılmış çıktıda iki hesap gösterir.
Tam çıktıda daemon ve bin gibi hiç oturum açmayan sistem hesapları da listelenir; denetçi bunları ayıklar. depo11 mayıstan beri oturum açmamış. Erişim standardı doksan gün kullanılmayan hesabın kilitlenmesini ister, ama bu hesap açık kalmış.
yedek-svc hiç oturum açmamış bir hizmet hesabıdır. Etkileşimli girişe kapalıysa sorun yoktur; denetçi bunu getent passwd yedek-svc çıktısındaki kabuk alanından doğrular. aureport, gece ikide aynı dış adresten surucu01 hesabına üç başarısız deneme gösterir. Bu tek başına bulgu değildir, ama izleme ekibinin olayı görüp görmediği sorulur.
En ciddi satır sonuncusudur. getent çıktısına göre surucu01, yani bir sürücü hesabı, sudo grubundadır. Rota sunucusunda yönetici yetkisi taşıyan bir sürücü hesabı en az yetki ilkesine aykırıdır.
Windows sunucularında aynı mantık yerleşik araçlarla kurulur. auditpol /get /category:* komutu denetim ilkesini, yani hangi olayların güvenlik günlüğüne yazılacağını gösterir. Search-ADAccount komutu -AccountInactive ve -TimeSpan parametreleriyle belli bir süredir oturum açmamış hesapları bulur.
Aşağıdaki kısaltılmış çıktıda Logon satırı Success and Failure gösterir; başarılı ve başarısız girişler kayda geçer. Account Lockout satırı ise No Auditing gösterir. Bu alt kategori, kilitli bir hesapla yapılan oturum açma denemelerini 4625 olayıyla yazar.
Hesabın kilitlendiği anı kaydeden 4740 olayı ise User Account Management altındadır ve o satır açıktır. Altay Kargo'nun log standardı kilitli hesaba yapılan denemeleri de izlemeyi istiyor, bu yüzden satır bir bulgu adayıdır. Search-ADAccount çıktısında depo11 yeniden görünür. Aynı kişinin hem Linux hem etki alanı hesabı açık kalmış.
PS C:\> auditpol /get /category:* System audit policy Category/Subcategory Setting Logon/Logoff Logon Success and Failure Logoff Success Account Lockout No Auditing Account Management User Account Management Success and Failure Security Group Management Success PS C:\> Search-ADAccount -AccountInactive -UsersOnly -TimeSpan 90.00:00:00 | >> Select-Object Name, LastLogonDate Name LastLogonDate ---- ------------- depo11 18.05.2026 07:55:02 stajyer04 02.04.2026 10:12:40
Etkinlik 3 / 6
Depo sunucuları müşteri verisi taşıdığı için erişim standardı orada daha sıkı: altmış gün kullanılmayan hesap kilitlenir. Bu süreyi aşan hesapları listeleyen komutu yaz.
Kanıt bütünlüğü ve izlenebilirlik
Toplanan kanıt, toplandığı haliyle korunur. Denetçi gün sonunda bütün çıktıları tek bir arşivde toplar. Ardından arşivin SHA-256 özetini alır. Özet, dosyanın parmak izidir; tek bir bayt değişse bile bambaşka bir değer çıkar.
Özet değeri ve alındığı zaman kanıt kaydına yazılır. Aylar sonra bir bulguya itiraz gelirse denetçi özeti yeniden hesaplar. İki değer aynıysa arşiv o günden beri değişmemiştir. Linux'ta sha256sum, Windows'ta Get-FileHash aynı işi yapar.
Kanıtın kendi içinde iz taşıması da işe yarar. Sistem yöneticisi her oturumun başında hostname ve date komutlarını çalıştırır. Böylece çıktı, hangi sunucudan ve hangi saatte alındığını kendisi gösterir. Kanıt kaydı ayrıca kanıt numarasını, kaynak sistemi, alındığı tarihi ve saati, kanıtı alan denetçiyi ve komutu çalıştıran kişiyi taşır.
$ sha256sum kanit-2026Q3.zip | tee kanit-2026Q3.sha256 b2a473bd9fe57779282560aa03308971e7df5787d81b393d4718cc210f8b32ab kanit-2026Q3.zip PS C:\Arsiv> Get-FileHash .\kanit-2026Q3.zip -Algorithm SHA256 | Format-List Algorithm : SHA256 Hash : B2A473BD9FE57779282560AA03308971E7DF5787D81B393D4718CC210F8B32AB Path : C:\Arsiv\kanit-2026Q3.zip
İlk komut arşivin özetini hem ekrana hem kanit-2026Q3.sha256 dosyasına yazar. Arşiv ertesi gün kanıt sunucusuna taşındı. Windows tarafındaki Get-FileHash aynı değeri büyük harfle verir.
Harf büyüklüğü fark etmez. Altmış dört karakterin hepsi aynıysa dosya taşınırken değişmemiştir. Tek bir karakter farkı, arşivin yolda bozulduğunu ya da değiştirildiğini gösterir.
Denetçi o durumda kanıtı kullanmaz, kaynaktan yeniden toplar. Özet dosyası da arşivle aynı yerde durduğu için tek başına güvence değildir. Bu yüzden denetçi özet değerini kanıt kaydına ayrıca yazar ve kaydı imzalar. Arşivi değiştiren biri özet dosyasını da değiştirebilir, ama imzalı kaydı değiştiremez.
Etkinlik 4 / 6
Doğru mu, yanlış mı?
Kaynağı ve tarihi belirtilmemiş bir ekran görüntüsü, denetim raporunda tek başına güçlü bir kanıttır.
Riske göre ölçeklenen ve otomatik kanıt
Risk yalnız örnek büyüklüğünü değil, kanıtın derinliğini de belirler. Altay Kargo elli tedarikçisinin hepsini aynı derinlikte denetlemez. Müşteri verisine erişen tedarikçileri tam kapsama alır ve her birinin sözleşmesini, sertifikasını ve son denetim raporunu okur.
Yalnız ofis malzemesi satan tedarikçiyi kısa bir anketle değerlendirir. Aynı ilke iç kontrollerde de geçerlidir. Yılda dört kez yapılan üst yönetim erişim gözden geçirmesi az sayıdadır ve yüksek risklidir, bu yüzden dört kaydın hepsi incelenir.
Günlük binlerce kez çalışan yedekleme kaydı ise tablodaki sayıya göre örneklenir. Düşük riskli işe ayrılan zaman, yüksek riskli işe kalan zamanı korur.
Etkinlik 5 / 6
Yüksek riskli ama az sayıda gerçekleşen bir kontrolde, denetçi örnek almak yerine popülasyonun ____ inceler.
Otomatik araçlar bu dengeyi değiştirir. Bir tarayıcı bin sunucunun ayarını dakikalar içinde okur, yani örnek almak yerine popülasyonun tamamına bakar. OpenSCAP bir güvenlik profilini sunucuya karşı değerlendirir ve her kural için pass, fail ya da notapplicable sonucu yazar. Raporu hem insanın okuyacağı HTML hem makinenin okuyacağı XML olarak üretir.
Prowler bulut hesaplarını ve Kubernetes kümelerini tarar, bulguları uyum çerçevelerine bağlar. NIST'in OSCAL dili de denetim sonucunu XML, JSON ya da YAML gibi makine okunur bir biçime döker. Otomatik kanıt yine de denetçinin yargısının yerini tutmaz. Aracın sürümü, profili ve çalıştığı hesap kanıt kaydına yazılır.
Araç çıktısı teknik kanıttır; aracın göremediği alanlar öteki türlerle tamamlanır. Fiziksel güvenlik gözlemle, politika belgeyle, süreç görüşmeyle incelenir. Bir tuzak daha var.
Tarama profili kurumun standardıyla birebir örtüşmeyebilir. Profil on dört karakter isterken standart on iki istiyorsa araç gereksiz bir fail yazar. Denetçi bu yüzden profili önce standarda göre uyarlar, sonra sonucu kanıt sayar.
Etkinlik 6 / 6
Kanıt türünü örneğe eşle.
Okumayı istediğin sırayla sürdürebilirsin. Ders, bütün etkinlikleri cevapladığında tamamlanır.