- Katılım
- 21 May 2023
- Mesajlar
- 753
- Tepki
- 17
- Puan
- 18
Bir cihazda çalışan her şeye "yazılım" deniyor ama hepsi aynı katmanda durmuyor. Standart belgeler yazılımı çalıştığı yere ve kime hizmet ettiğine göre ayırıyor; bu ayrım güncelleme ve sorumluluk kararlarını da belirliyor.
Aşağıda yazılım türlerinin standartlarda nasıl ayrıldığını, uygulama ile sistem tarafının farkını, ürün yazılımının nereye düştüğünü ve bu ayrımın bakım tarafındaki karşılığını iki kaynağa bakarak topluyoruz.
Üç katman
NIST SP 800-40 bakım gerektiren yazılımı sayarken üç kategori veriyor: ürün yazılımı, işletim sistemleri ve uygulamalar.
Aynı cümlede yamalamanın tanımı da yapılıyor: kurulu yazılıma, güvenlik ya da işlevsellik sorunlarını düzelten veya yeni yetenekler ekleyen bir değişikliğin uygulanması.
Belge bakımın neden zorunlu olduğunu da yazıyor: dünyada yazılımdaki kusurları sürekli arayan ve sömüren çok sayıda kişi bulunuyor.
- Ürün yazılımı: Donanıma gömülü katman.
- İşletim sistemi: Kaynakları yöneten katman.
- Uygulama: Kullanıcının işini yapan katman.
Uygulama programı nedir?
IETF'in güvenlik terimleri sözlüğü uygulama programını tanımlarken karşıtıyla birlikte anlatıyor: kullanıcı için doğrudan belirli bir işlevi yerine getiren bilgisayar programı.
Karşıtı da parantez içinde veriliyor: işletim sisteminin parçası olan ve uygulama programlarını desteklemek üzere işlev gören programlar.
Bu ikili ayrım katmanların işini netleştiriyor. Uygulama kullanıcıya bakıyor, sistem tarafı ise uygulamaya bakıyor.
Püf nokta' Alıntı:
Ürün yazılımı neden ayrı?
Sözlük üçüncü katmanı ayrı bir madde olarak ele alıyor. Bu katmanda program ve veri donanımın kendi belleğinde duruyor; sözlüğün verdiği tipik örnek salt okunur bellek. Belirleyici nitelik ise programlar çalışırken bu içeriğin üzerine yazılamaması.
Aynı sözlük yazılımı ise çalışma sırasında yazılabilen veya değiştirilebilen program ve veri olarak tanımlıyor. Fark tam burada: değiştirilebilirlik.
Bu ayrımın pratik sonucu güncelleme tarafında görülüyor. Uygulama güncellemesi çalışırken uygulanabiliyor; ürün yazılımı güncellemesi ise cihazın yeniden başlatılmasını ve kesintiyi gerektirebiliyor.
Katmanlar birbirine nasıl bağlanıyor?
Üç katman birbirinin üstüne biniyor. Uygulama, işini yapmak için işletim sisteminin sunduğu hizmetlere başvuruyor; işletim sistemi de donanımla konuşurken gömülü katmanın sunduğu arayüzü kullanıyor.
Bu bağımlılık zinciri sorun teşhisinde işe yarıyor. Bir uygulama beklenmedik biçimde davrandığında sorun kendi kodunda olabileceği gibi, altındaki katmandaki bir değişiklikten de kaynaklanabiliyor.
Aynı zincir uyumluluk sorularını da açıklıyor: bir uygulamanın belirli bir işletim sistemi sürümünü şart koşması, o sürümün sunduğu hizmetlere dayandığı anlamına geliyor.
Hangi katman ne sıklıkta değişiyor?
Değişim hızı yukarıdan aşağıya azalıyor. Uygulamalar en sık güncellenen katman; işletim sistemleri daha seyrek ama daha büyük paketlerle geliyor; gömülü katman ise çoğu cihazda yıllarca aynı kalabiliyor.
Bu fark risk dağılımını da belirliyor. Nadiren güncellenen bir katmandaki kusur, uzun süre açık kalabiliyor.
Standardın bakım çerçevesi bu yüzden üç katmanı birlikte ele alıyor; envanterde yalnız uygulamaların bulunması, tablonun eksik görülmesine yol açıyor.
Bakım tarafında ne değişiyor?
SP 800-40 üç kategoriyi aynı bakım çerçevesine alıyor ama her birinin işletim yükü farklı.
Uygulamalar genellikle en sık güncellenen katman; işletim sistemleri planlı bakım pencereleri gerektiriyor; ürün yazılımı ise çoğu kurumda en çok ihmal edilen katman.
Belge yamalamayı önleyici bakım olarak çerçeveliyor ve bunun kurumların misyonlarını gerçekleştirmesi için gerekli bir parça olduğunu söylüyor.
Envanter sorusu da buradan doğuyor. Üç katmanın her birinde kaç bileşen bulunduğu bilinmiyorsa, hangi güncellemenin önce uygulanacağı kararı da veriye değil sezgiye dayanıyor.
Sınıflandırma neden işe yarıyor?
Kategoriler, sorumluluk dağılımını netleştiriyor. Uygulama tarafında sorumlu genelde onu kuran ekip; işletim sistemi tarafında sistem yöneticisi; ürün yazılımı tarafında ise cihaz üreticisinin yayımladığı sürümler belirleyici.
Aynı ayrım güvenlik değerlendirmesinde de kullanılıyor. Bir zafiyetin hangi katmanda olduğu, kapatma yolunu ve aciliyetini değiştiriyor.
Kavramın tanımını yazılım yazımızda, güncelleme sürecinin adımlarını yazılım güncellemesi yazımızda ele almıştık.
Fiziksel katmanın karşılığını ise donanım yazımızda anlatmıştık.
Sık Sorulan Sorular
Yazılım türleri nelerdir?
Standart bakım kapsamında ürün yazılımı, işletim sistemleri ve uygulamalar olarak üç kategori sayılıyor.
Uygulama programı ne demek?
Kullanıcı için doğrudan belirli bir işlevi yerine getiren program.
Sistem tarafındaki programlar ne yapıyor?
İşletim sisteminin parçası olarak uygulama programlarını destekleyen işlevleri yürütüyor.
Ürün yazılımı neden ayrı sayılıyor?
Donanımda saklanıyor ve çalışma sırasında değiştirilemiyor.
Hepsi güncelleniyor mu?
Evet. Yamalama tanımı ürün yazılımı, işletim sistemi ve uygulamaları birlikte kapsıyor.
Özetle
Yazılım tek bir yığın değil, üç katman: donanıma gömülü ürün yazılımı, kaynakları yöneten işletim sistemi ve kullanıcının işini yapan uygulamalar. Ayrımı belirleyen, kime hizmet ettikleri ve çalışma sırasında değiştirilebilir olup olmadıkları. Bakım çerçevesi üçünü de kapsıyor ama her katmanın sorumlusu ve güncelleme ritmi farklı.
Envanterinizde ürün yazılımı sürümleri de kayıtlı mı?
Güncelleme: 3 Eylül 2026. NIST SP 800-40 Rev. 4 ve RFC 4949 kontrol edildi.
Dijital Dünyanıza Yön Veren Pusula
