ISC2 CISSP

Doğru cevap: C) İşverenin kârını kamu yararından üstün tutmak

İlk iki kanon toplumu, ortak yararı ve altyapıyı korumayı; onurlu, dürüst, adil, sorumlu ve yasal davranmayı ister. Diğer ikisi, hizmet verdiğin taraflara (principals) özenli ve yetkin hizmet sunmayı ve mesleği ilerletip korumayı ister. Kurallarda işverenin kârını kamu yararından üstün tutan bir madde yoktur. Tersine, kamu güvenini korumak ilk kanonun konusudur.

Doğru cevap: A) Kurumun iş hedefleri, misyonu ve risk iştahı

Güvenlik işlevi işi desteklemek için vardır; strateji kurumun hedeflerinden, misyonundan ve kabul edebileceği risk düzeyinden türetilir. Ürün listesi ve test bulguları stratejiyi uygularken kullanılan girdilerdir. Personel sayısı bir kısıttır, yön belirlemez.

Doğru cevap: B) Bilginin kurum için değeri ve hassasiyeti

Sınıflandırma, bilginin ifşası, değişmesi ya da kaybolması durumunda kuruma vereceği zarara, yani değerine ve hassasiyetine dayanır. Yasal yükümlülükler de bu değerlendirmeye girer. Dosya boyutu, biçimi, üreten yazılım ya da sunucu konumu bilginin önemini göstermez.

Doğru cevap: B) Veri sahibi (data owner)

Veri sahibi, genellikle verinin ait olduğu iş biriminin yöneticisidir; sınıflandırmayı belirler ve kimlerin erişeceğine karar verir. Emanetçi ve yedekleme operatörü sahibin kararlarını teknik olarak uygular. Kullanıcı ise veriyi kurallara uyarak kullanır.

Doğru cevap: D) Güvenilir platform modülü (TPM)

TPM, anahtarları donanımda korur ve önyüklemedeki her bileşenin ölçümünü kayıtlarına (PCR) yazar. Ölçümler beklenen değerle eşleşmezse anahtar serbest bırakılmaz. BIOS parolası ayarlara erişimi kısıtlar; NIC ve GPU anahtar saklamaz.

Doğru cevap: B) Müşteri kurum

IaaS'te sağlayıcı fiziksel altyapıyı, ağı ve sanallaştırma katmanını yönetir. Konuk işletim sistemi, uygulamalar ve veri müşterinin sorumluluğundadır. PaaS ve SaaS'e geçtikçe sağlayıcının payı artar, ama verinin ve erişimin sorumluluğu müşteride kalır.

Doğru cevap: D) Veri bağlantı katmanı (katman 2)

ARP, IP adreslerini MAC adreslerine eşler; saldırgan sahte ARP yanıtlarıyla bu eşlemeyi yerel ağda bozar ve trafiği kendi üzerinden geçirir. Saldırı yerel yayın alanında, veri bağlantı katmanında gerçekleşir. Anahtarlardaki dinamik ARP denetimi (DAI) sahte yanıtları bu katmanda engeller.

Doğru cevap: D) Genel yayın (broadcast)

IPv6'da genel yayın (broadcast) yoktur; bu işlev, örneğin tüm düğümler grubu gibi çoklu yayın adresleriyle karşılanır. Tekil, çoklu ve anycast adresler IPv6'da kullanılır. Anycast'te aynı adres birden çok düğümde tanımlıdır ve paket en yakın olana gider.

Doğru cevap: D) Parola ve ardından donanım anahtarına dokunma

MFA farklı türden faktörleri birleştirir: bildiğin bir şey (parola) ve sahip olduğun bir şey (donanım anahtarı). Parola ile güvenlik soruları ikisi de bilgi faktörüdür; parmak izi ile yüz tanıma ikisi de biyometriktir. Kullanıcı adı ise kimlik beyanıdır, doğrulama faktörü değildir.

Doğru cevap: C) Parola kasası (password vault)

Parola kasası (credential management system), ayrıcalıklı parolaları şifreli saklar, erişimi onaya bağlar ve her kullanımı kaydeder. Kullanımdan sonra parolayı döndürerek paylaşılan parolanın ömrünü kısaltır. Diğer seçenekler kimlik bilgisi yönetimi yapmaz.

Doğru cevap: D) Sızma testi zafiyetleri istismar ederek gerçek etkiyi gösterir

Zafiyet taraması bilinen zayıflıkları tespit edip listeler. Sızma testi ise bu zayıflıkları kontrollü biçimde istismar eder ve saldırganın ne kadar ilerleyebileceğini gösterir. Taramalar çoğunlukla otomatiktir ve iki etkinlik de yazılı yetki ister.

Doğru cevap: C) Testi yalnız imzalı kapsam ve kurallar belgesiyle başlatmak

Sızma testi, kapsamı, zamanı ve kuralları belirleyen yazılı yetki olmadan başlamaz; bu belge testi saldırıdan ayırır. Sözlü onay hukuken yetersizdir ve sonradan tartışmaya açıktır. Mesai dışı test ya da sorumluluk paylaşımı yetki eksikliğini gidermez.

Doğru cevap: C) Delil zinciri (chain of custody) formu

Delil zinciri (chain of custody), delilin toplandığı andan mahkemeye kadar her el değiştirmesini, tarihini ve amacını kaydeder. Zincirde bir kopukluk olursa delilin değiştirilmediği kanıtlanamaz ve delil geçersiz sayılabilir. SLA, BIA ve kullanım politikası bu işlevi görmez.

Doğru cevap: C) Taban çizgisi (baseline)

Taban çizgisi (baseline), bir sistemin onaylı ve belgelenmiş güvenli yapılandırmasıdır. Yapılandırma yönetimi, sistemleri bu referansla karşılaştırarak onaysız değişikliği (drift) yakalar. Kök neden, kırpma düzeyi ve artık risk başka süreçlere ait kavramlardır.

Doğru cevap: D) Statik uygulama güvenlik testi (SAST)

SAST kaynak kodu ya da derlenmiş kodu çalıştırmadan inceler; bu yüzden geliştirme hattının en başında çalışabilir. DAST ve sızma testi çalışan uygulamaya dışarıdan istek gönderir. IAST ise çalışan uygulamanın içine yerleşen bir ajanla test sırasında gözlem yapar.

Doğru cevap: A) Yazılım bileşen analizi (SCA)

SCA, bağımlılıkları ve sürümlerini çıkarır, bunları zafiyet veri tabanları ve lisans bilgileriyle karşılaştırır; çıktısı çoğu zaman bir SBOM ile gelir. WAF çalışma anında trafiği süzer. DAST bağımlılık listesi çıkarmaz; kod karartma ise kodu okunmaz kılar.