GÜVENLIGI SAGLAMAK IÇIN TEMEL ÖNERILER
Güvenlik her bir birey için oldugu kadar kurumsal ve kurumsallasmakta olan sirketler için en önemli prosedürlerden biridir. Gerek içinde yasadigimiz yüzyilda, gerekse önceki yillarda çesitli eksik güvenlik yanlisliklari sebebiyle bunun faturasini sirketler, kurumlar ve daha birçok kurulus agir ödemislerdir. Bunlardan herkesin çok iyi bildigi FBI dahi önceki yillarda çesitli saldirilara ugramis ve halende ugramaktadir. Bunu kendi uzman çalisanlarina güvenlik egitimleri aldirarak içerden çözümleme yoluna gitmistir.
Size bilmeniz ve bunlari uygularken her zaman aklinizdan çikarmamaniz gereken önemli olan temel önerilerimi sunacagim;
1- Güvenligi saglarken genel olarak baktiginizda, bunu saglarken sizin network kullanicilarinin söz konusu durumlarini göz önünde bulundurmak zorunda ve kullanicilarin uygulamalari için ayri hesaba katmak zorundasiniz.
2- Network üzerinden internete ya da uzaktan network baglantisi yapildiginda kullanicilarin LAN (Local Area Network) ‘e direk olarak bagli olup olmadigini farkli Authentication metotlarini kullanarak ögrenebilirsiniz.
3- Local Area Network kullanicilarinin uzaktan direk olarak Network baglantisi ya da network üzerinden internete çikisini saglayabilirsiniz. Bunu gerçeklestirirken yukaridaki örnek sekilde oldugu gibi güvenlik senaryosu gerçeklestirebilirsiniz. Bunun yaninda sirketinizin mali durumunu ve güvenlik konusuna hasiyetini degerlendirerek, farkli çok daha gelismis çözümler üretebilirsiniz.
Simdi hepinizin aklina yukaridakileri okuduktan sonra su soru gelebilir;
Güvenlik dogrulamasi ve dizayni niçin bu kadar önemlidir?
Ben size bunu gerçek hayattan bazi örneklerle açiklayarak daha iyi anlamaniza yardimci olacagim.
Disardan Gelen Saldiri Durumunda:
a ) Evde Bilgisayarinizi kullaniyorsunuz ve disaridan biri uzaktan erisim(Ras) saglayarak bilgisayarin üzerine israrla saldirisini yapmayi sürdürüyor. Ama bunlar bilgisayarinda depo edildiginde, eger güvenlik saglanmis ise saldiriya karsi gerekli delilleri kullanarak buna engel olabilirsiniz.
Içeriden Gelen Saldiri Durumunda:
a ) Içeriden yapilan saldirilari izlemek için “Network Monitor” yazilimini kullanarak giden ve gelen paketlere bakarak gerekli önlemleri alip, uygulayabilirsiniz.
b ) Genel olarak içerden yapilan saldirilar, brute force ve dictionary attack saldirilariyla sifreler deneme yanilma yöntemiyle bulunabilir.
Peki simdi siz kolay yoldan ve temel olarak ne yapmalisiniz ki buna engel olabilesiniz;
En temel bilindik yöntemlerden biri, bu ve buna benzer saldiri yöntemlerini önlemek için complex sifreleme ve administrator hesabi yerine farkli bir isimde yönetici ismi kullanilmalidir.
Fakat yukarida belirttigim “complex sifreleme” kavramini yeni duyan arkadaslarimiz için bunu açmamiz gerekmektedir.
Complex sifreleme : Hepinizin günlük hayatta çok fazla kullanmaya ihtiyaç duymadigi bir kavramdir. Günlük yasantinizda sifrelerinizi dogum günü, önemli tarihler veya isminiz olarak vererek kullanirsiniz. Fakat isletim sistemlerinin güvenligi ve kurumsal düzeyde bunu dogrulamak için sayi, harf ve çesitli karakterler bütününü karistirarak bunu saglayabilirsiniz.
Bu complex sifrelemeyi tutturmak içinde bir o kadar ugras vermek gerekmektedir. Yeni sistem mühendisligi egitimi alacak olan arkadaslar, ilk gün egitmen sinifa girdiginde bilgisayarlariniza complex sifre verin dediginde herkes bir anda önce birbirine bakarak “nasil” diye düsünmeye baslayacaktir. Siz bunu kolay yoldan “Passw0rd” seklinde yazarak complex sifrelemeyi gerçeklestirebilirsiniz.
Konuyu dagitmadan devam edersek, saldiriyi gerçeklestirecek kisi network’e sizip giris için deneme tesebbüslerinde bulunacaktir. Siz stratejimizi belirleyip sifrelerin kötüye kullanilmasina maruz kalmamasi için, uyumlu yazilimlar ve sifrelerle bunu minimize hale getirebilirsiniz.
Burada bunun için dikkat etmeniz gereken 3 önemli nokta vardir;
o Sifreleme Stratejisi
o Uyumluluk
o Veri Sifreleme
Tüm bunlari okuduktan sonra son olarak hepinizin aklinda “Güvenligi saglamak için bize neleri önerirsiniz?” seklinde bir soru belirecektir.
Bunu 3 ayirirsak;
a. Is Analizi ve Güvenligi Saglarken Yapilan Öneriler
b. Eski Isletim Sistemlerini Uyumlulugunu Saglarken Öneriler
c. Uygulamalar Için Uyumlulugu saglarken Öneriler
d. Güvenlik Politikasinin dogru adimlarla hazirlanmasi için öneriler
A ) Is Analizi ve Güvenligi Saglarken Yapilan Öneriler
- Siz önerilen sekilde farkli güvenlik yollarina sahip olmali, buna benzer uygun düzenlemeleri idare etmelisiniz.
- Düsman olarak nitelendirilenlere karsi essiz korumalarimizi tehditlere karsi uygulamalisiniz.
- Sürekli kesfeden ve çok fikirlilige açik birey gruplari içinde yer almalisiniz.
- Güvenlik politikasinin, uygulanabilir olmasina dikkat etmelisiniz. Alacaginiz Politika kullanicilarin ve sistem yöneticilerinin sahip olduklari olanaklarla uyabilecekleri kurallardan, izinlerden olusmalidir.
- Güvenlik Politikaniz yeterli düzeyde “yaptirim gücüne” sahip olmali ve alinan güvenlik önlemleri, bunu saglarken yetkililer yaptirimlari uygulayabilecek güçle donatilmalidir.
- Alacaginiz Politika kapsaminda herkesin sahip olacagi sorumluluk ve yetkileri anlasilir sekilde tanimlanmalidir. Iç ve dis kullanicilar, sistem yöneticileri ve diger ilgililerin sisteme yönelik olan sorumluluklari ve sahip olduklari yetkileri kusku ve çeliskilere hiçbir sekilde kafa karistirmayacak sekilde açiklanmalidir.
- Gerekli durumlarda istisnalar ve alternatif uygulamalar belirtilmeli ve çesitli sunumlar düzenleyerek bunun önemine parmak basilmalidir.
B ) Eski Isletim Sistemlerini Uyumlulugunu Saglarken Öneriler
- Eger siz eski bir isletim sistemi kullaniyorsaniz, Ms-Dos,Win 95/98 ve bunlar gibi eski isletim sistemleri kullanildiginda güvenlik protokollerinin açik olup olmadigini,yeni isletim sistemiyle uyusup uyusmadigini kontrol etmelisiniz.
- Siz önerilen sekilde yeni güvenlik protokolleri uygulayarak bunlari kullanabilirsiniz.
C ) Uygulamalar için önerilen uyumlulugu belirmek
- Enterprise uygulamalar ve diger baglantili is uygulamalarinin üzerine farkli güvenlik protokollerini uygulayabilirsiniz.
- Bunlari uygularken güvenligini sagladiginiz sistemin uyumlulugunu tehdit edecek ya da bozacak bir unsur tasiyip tasimadigini kontrol etmelisiniz.
- Uygulamanin üzerine güvenlik protokollerini uyguladiginiz zaman, diger ayni programi kullanacak olan kullanicilarin isletim sistemleri için uyusup uyusmadigini kontrol etmelisiniz.
D ) Güvenlik Politikasinin dogru adimlarla hazirlanmasi için öneriler
- Eldeki kaynaklar arastirilip tespit edilmesi gerekmektedir.
- Muhtemel sorun ve saldiri kaynaklari önceden tespit edilmelidir.
- Sorun ve saldirilarin gerçeklesme olasiligi tespit edilmeli, önlem anlinmalidir.
- Sistemlerin korunmasi için maliyet ve buna bagli olarak etkin önlemler belirlenmelidir.
- Sistemin zayif noktalarini tespit edici ve sistemin optimizasyonunu uygulamalar için tespit edilip onarilmalidir.
Yazimi bitirirken size son sunu tavsiye edebilirim. Görülen o ki, içerisinde bulundugumuz siber yüzyilda teknolojiler gittikçe hizli gelismekte ve artmaktadir. Insanoglu buna bagli olarak ögrenebilecekleri seyler ve bununla birlikte verebilecekleri zararlar gün geçtikçe artmaktadir. Bunlari hepsini göz önüne alarak verebilecekleri zararlar her gün geçtikçe, yukaridaki verdigim örnek ve önerilerden de anlasilacagi gibi bu 1. ve 2. dünya savaslarinda olusan toplam mal ve can kayiplarina oranla daha fazla olma ihtimalinin söz konusu oldugu durumdur.
Saldirinin Nereden ve Nasil Gelecegini Bilmeyen Hiç Kimse Savunma Yapamaz.
