Bilgi Güvenliği – Temel Kavramlar

Bilgi Güvenliği - Temel Kavramlar – Nisan 2002Bilgi Güvenliği - Temel Kavramlar – Nisan 2002

Siyah Şapka Güvenlik ÇözümleriSiyah Şapka Güvenlik Çözümleri

Bilgi Güvenliği – Temel KavramlarBilgi Güvenliği – Temel Kavramlar

Fatih ÖzavcıFatih Özavcı

Security AnalystSecurity Analyst

[email protected]@siyahsapka.com

http://www.siyahsapka.comhttp://www.siyahsapka.com

http://www.dikey8.comhttp://www.dikey8.com



Sunu İçeriğiSunu İçeriği

Bilgi Güvenliği Kavramı ve Kapsamı Bilgi Güvenliği Kavramı ve Kapsamı Risk ve TehditlerRisk ve Tehditler Hareket Planı ve BileşenleriHareket Planı ve Bileşenleri

Güvenlik PolitikalarıGüvenlik Politikaları Güvenlik UygulamalarıGüvenlik Uygulamaları Denetleme ve İzlemeDenetleme ve İzleme

Sistem Yöneticilerinin Genel HatalarıSistem Yöneticilerinin Genel Hataları



Bilgi Güvenliği KavramıBilgi Güvenliği Kavramı

Bilişim ürünleriBilişim ürünleri//cihazları ile bcihazları ile bu u cihazlarda işlenmektecihazlarda işlenmekte olan verileriolan verilerin bütünlüğü ve sürekliliğinin bütünlüğü ve sürekliliğini korumayı korumayı amaçlayan çalışma alanıdır.amaçlayan çalışma alanıdır.



Bilgi Güvenliğinin AmacıBilgi Güvenliğinin Amacı

Veri Bütünlüğünün KorunmasıVeri Bütünlüğünün Korunması

Erişim DenetimiErişim Denetimi

Mahremiyet ve Gizliliğin Mahremiyet ve Gizliliğin

KorunmasıKorunması

Sistem Devamlılığının SağlanmasıSistem Devamlılığının Sağlanması



Cert/CC Yıllara Göre Rapor Edilen Olay SayısıCert/CC Yıllara Göre Rapor Edilen Olay Sayısı

6 132 252 406 773 1334 2340 2412 2573 2134 3734

9859

21756

52658

0

10000

20000

30000

40000

50000

60000

1988 1989 1990 1991 1992 1993 1994 1995 1996 1997 1998 1999 2000 2001



Tehdit TürleriTehdit Türleri

Dahili Tehdit UnsurlarıDahili Tehdit Unsurları

Bilgisiz ve Bilinçsiz KullanımBilgisiz ve Bilinçsiz Kullanım

Kötü Niyetli HareketlerKötü Niyetli Hareketler

~ % 80~ % 80

Harici Tehdit UnsurlarıHarici Tehdit Unsurları

Hedefe Yönelmiş SaldırılarHedefe Yönelmiş Saldırılar

Hedef Gözetmeyen SaldırılarHedef Gözetmeyen Saldırılar

~ % 20~ % 20



Dahili Tehdit UnsurlarıDahili Tehdit Unsurları

Bilgisiz ve Bilinçsiz KullanımBilgisiz ve Bilinçsiz Kullanım Temizlik Görevlisinin Sunucunun Fişini ÇekmesiTemizlik Görevlisinin Sunucunun Fişini Çekmesi Eğitilmemiş Çalışanın Veritabanını SilmesiEğitilmemiş Çalışanın Veritabanını Silmesi

Kötü Niyetli HareketlerKötü Niyetli Hareketler İşten Çıkarılan Çalışanın, Kuruma Ait Web Sitesini Değiştirmesiİşten Çıkarılan Çalışanın, Kuruma Ait Web Sitesini Değiştirmesi Bir Çalışanının, Ağda “Sniffer” Çalıştırarak E-postaları OkumasıBir Çalışanının, Ağda “Sniffer” Çalıştırarak E-postaları Okuması Bir Yöneticinin, Geliştirilen Ürünün Planını Rakip Kurumlara SatmasıBir Yöneticinin, Geliştirilen Ürünün Planını Rakip Kurumlara Satması



Harici Tehdit UnsurlarıHarici Tehdit Unsurları

Hedefe Yönelmiş SaldırılarHedefe Yönelmiş Saldırılar Bir Saldırganın Kurum Web Sitesini DeğiştirmesiBir Saldırganın Kurum Web Sitesini Değiştirmesi Bir Saldırganın Kurum Muhasebe Kayıtlarını DeğiştirmesiBir Saldırganın Kurum Muhasebe Kayıtlarını Değiştirmesi Birçok Saldırganın Kurum Web Sunucusuna Hizmet Birçok Saldırganın Kurum Web Sunucusuna Hizmet

Aksatma Saldırısı YapmasıAksatma Saldırısı Yapması

Hedef Gözetmeyen SaldırılarHedef Gözetmeyen Saldırılar Virüs Saldırıları (Melissa, CIH – Çernobil, Vote)Virüs Saldırıları (Melissa, CIH – Çernobil, Vote) Worm Saldırıları (Code Red, Nimda)Worm Saldırıları (Code Red, Nimda) Trojan Arka Kapıları (Netbus, Subseven, Black Orifice)Trojan Arka Kapıları (Netbus, Subseven, Black Orifice)



Saldırı KavramıSaldırı Kavramı

Kurum ve şahısların sahip oldukları tüm değer ve Kurum ve şahısların sahip oldukları tüm değer ve bilgilere izinsiz erişmek, zarar vermek, bilgilere izinsiz erişmek, zarar vermek, maddi/manevi kazanç sağlamak için bilişim maddi/manevi kazanç sağlamak için bilişim sistemleri kullanılarak yapılan her türlü hareket sistemleri kullanılarak yapılan her türlü hareket dijital saldırı olarak tanımlanabilir. dijital saldırı olarak tanımlanabilir.



Saldırgan TürleriSaldırgan Türleri

Profesyonel SuçlularProfesyonel Suçlular

Genç Kuşak SaldırganlarGenç Kuşak Saldırganlar

Kurum ÇalışanlarıKurum Çalışanları

Endüstri ve Teknoloji Endüstri ve Teknoloji CasuslarıCasusları

Dış Ülke yönetimleriDış Ülke yönetimleri



Saldırı YöntemleriSaldırı Yöntemleri

Hizmet Aksatma SaldırılarıHizmet Aksatma Saldırıları

Dağıtık Hizmet Aksatma SaldırılarıDağıtık Hizmet Aksatma Saldırıları

Ticari Bilgi ve Teknoloji HırsızlıklarıTicari Bilgi ve Teknoloji Hırsızlıkları

Web Sayfası İçeriği Değiştirme SaldırılarıWeb Sayfası İçeriği Değiştirme Saldırıları

Kurum Üzerinden Farklı Bir Hedefe SaldırmakKurum Üzerinden Farklı Bir Hedefe Saldırmak

Virüs , Worm , Trojan SaldırılarıVirüs , Worm , Trojan Saldırıları

İzinsiz Kaynak Kullanımıİzinsiz Kaynak Kullanımı



Saldırıya Uğrayabilecek DeğerlerSaldırıya Uğrayabilecek Değerler

Kurum İsmi, Güvenilirliği ve MarkalarıKurum İsmi, Güvenilirliği ve Markaları

Kuruma Ait Özel / Mahrem / Gizli BilgilerKuruma Ait Özel / Mahrem / Gizli Bilgiler

İşin Devamlılığını Sağlayan Bilgi ve Süreçlerİşin Devamlılığını Sağlayan Bilgi ve Süreçler

Üçüncü Şahıslar Tarafından Emanet Edilen BilgilerÜçüncü Şahıslar Tarafından Emanet Edilen Bilgiler

Kuruma Ait Adli, Ticari Teknolojik BilgilerKuruma Ait Adli, Ticari Teknolojik Bilgiler



Görülebilecek Zararın BoyutuGörülebilecek Zararın Boyutu

Müşteri MağduriyetiMüşteri Mağduriyeti

Kaynakların TüketimiKaynakların Tüketimi

İş Yavaşlaması veya Durmasıİş Yavaşlaması veya Durması

Kurumsal İmaj KaybıKurumsal İmaj Kaybı

Üçüncü Şahıslara Karşı Yapılacak Saldırı MesuliyetiÜçüncü Şahıslara Karşı Yapılacak Saldırı Mesuliyeti



Güvenlik İhtiyacının SınırlarıGüvenlik İhtiyacının Sınırları

Saldırıya Uğrayabilecek Değerlerin, Kurum Saldırıya Uğrayabilecek Değerlerin, Kurum İçin Arzettiği Önem Seviyesi Güvenlik İçin Arzettiği Önem Seviyesi Güvenlik İhtiyacının Sınırlarını Belirlemektedir.İhtiyacının Sınırlarını Belirlemektedir.



Hareket Planı BileşenleriHareket Planı Bileşenleri

Güvenlik Politikası OluşturulmasıGüvenlik Politikası Oluşturulması Sunulacak Hizmet Planının OluşturulmasıSunulacak Hizmet Planının Oluşturulması Erişim Seviyelerinin BelirlenmesiErişim Seviyelerinin Belirlenmesi Bilgilendirme ve Eğitim PlanıBilgilendirme ve Eğitim Planı Savunma Bileşenlerini BelirlemeSavunma Bileşenlerini Belirleme Yedekleme ve Kurtarma Stratejisi BelirlemeYedekleme ve Kurtarma Stratejisi Belirleme

Güvenlik Politikasının UygulamasıGüvenlik Politikasının Uygulaması Kullanılacak Uygulamaların BelirlenmesiKullanılacak Uygulamaların Belirlenmesi Uygulamaların Planlanan Biçimde YapılandırılmasıUygulamaların Planlanan Biçimde Yapılandırılması Bilgilendirme ve Eğitim SeminerleriBilgilendirme ve Eğitim Seminerleri

Denetleme ve İzlemeDenetleme ve İzleme Sistemin Politikaya Uygunluğunun DenetlenmesiSistemin Politikaya Uygunluğunun Denetlenmesi Oturumların ve Hareketlerin İzlenmesiOturumların ve Hareketlerin İzlenmesi Ağa Sızma TestleriAğa Sızma Testleri



Güvenlik PolitikasıGüvenlik Politikası

Kurumsal güvenliğin sağlanması sürecinde önemli Kurumsal güvenliğin sağlanması sürecinde önemli olan her bileşenin seçimi, yapılandırılması, izlenmesi olan her bileşenin seçimi, yapılandırılması, izlenmesi için oluşturulan ve yazılı ortama aktarılan kural ve için oluşturulan ve yazılı ortama aktarılan kural ve yöntemler listesidir.yöntemler listesidir.



Güvenlik Politikasının BileşenleriGüvenlik Politikasının Bileşenleri

Sunulacak Hizmet Planının OluşturulmasıSunulacak Hizmet Planının Oluşturulması

Erişim Seviyelerinin BelirlenmesiErişim Seviyelerinin Belirlenmesi

Bilgilendirme ve Eğitim PlanıBilgilendirme ve Eğitim Planı

Savunma Bileşenlerini BelirlemeSavunma Bileşenlerini Belirleme

Yedekleme ve Kurtarma Stratejisi BelirlemeYedekleme ve Kurtarma Stratejisi Belirleme



Güvenlik UygulamalarıGüvenlik Uygulamaları

Güvenlik DuvarlarıGüvenlik Duvarları Saldırı Tespit SistemleriSaldırı Tespit Sistemleri Anti-Virüs SistemleriAnti-Virüs Sistemleri Sanal Özel Ağ SistemleriSanal Özel Ağ Sistemleri Şifreleme SistemleriŞifreleme Sistemleri Sistem Güçlendirme (Hardening)Sistem Güçlendirme (Hardening) Doğrulama ve Yetkilendirme SistemleriDoğrulama ve Yetkilendirme Sistemleri İçerik Kontrol Yazılımlarıİçerik Kontrol Yazılımları Yedekleme SistemleriYedekleme Sistemleri



Güvenlik DuvarıGüvenlik Duvarı

Ağlar arası erişimleri düzenlerlerAğlar arası erişimleri düzenlerler

MimarileriMimarileri

Statik Paket FiltrelemeStatik Paket Filtreleme

Dinamik Paket Filtreleme (Stateful Inspection)Dinamik Paket Filtreleme (Stateful Inspection)

Uygulama Seviyesinde Koruma (Proxy)Uygulama Seviyesinde Koruma (Proxy)

Erişimleri kural tabanlı belirlerlerErişimleri kural tabanlı belirlerler

Donanım ve Yazılım olarak sunulabilirlerDonanım ve Yazılım olarak sunulabilirler

Amaca özel işletim sisteminde bulunmalıdırlarAmaca özel işletim sisteminde bulunmalıdırlar

Her türlü formatta kayıt ve uyarı sunabilirlerHer türlü formatta kayıt ve uyarı sunabilirler



Güvenlik Duvarı / Neler Yapabilir – YapamazGüvenlik Duvarı / Neler Yapabilir – Yapamaz

Erişim Denetimi YapabilirErişim Denetimi Yapabilir

NAT YapabilirNAT Yapabilir

Bridge (Köprü) Moda GeçebilirBridge (Köprü) Moda Geçebilir

Paket İçeriği Kontrol EdebilirPaket İçeriği Kontrol Edebilir

Trafik Yönetimi YapabilirTrafik Yönetimi Yapabilir

Üçüncü Parti Yazılımlar İle Üçüncü Parti Yazılımlar İle Beraber ÇalışabilirBeraber Çalışabilir

Saldırıları EngelleyemezSaldırıları Engelleyemez

Virüsleri EngelleyemezVirüsleri Engelleyemez

Zayıflıkları Saptayamaz, Zayıflıkları Saptayamaz, YamalayamazYamalayamaz

Ağlar Arası İletişimde Şifreleme Ağlar Arası İletişimde Şifreleme YapamazYapamaz



Güvenlik Duvarı Örnek YerleşimiGüvenlik Duvarı Örnek Yerleşimi

İnternet

Güvenlik Duvarı

DMZ

Diğer Ağlar

Yerel Ağ

Router



Saldırı Tespit SistemleriSaldırı Tespit Sistemleri

Ağ TemelliAğ Temelli

Sunucu TemelliSunucu Temelli

Uygulama TemelliUygulama Temelli

Anormallik Saptama Anormallik Saptama TemelliTemelli

Saldırı İmzası Arama Saldırı İmzası Arama TemelliTemelli



Saldırı Tespit Sistemleri (Ağ Temelli ve Saldırı İmzası Arama)Saldırı Tespit Sistemleri (Ağ Temelli ve Saldırı İmzası Arama)

Belirli bir ağ parçasını dinleyerek saldırıları tespit etmeye çalışırlarBelirli bir ağ parçasını dinleyerek saldırıları tespit etmeye çalışırlar

Tanımlı olan imzalar ile saldırıları belirler ve engelleyebilirler (Worm Tanımlı olan imzalar ile saldırıları belirler ve engelleyebilirler (Worm

saldırıları dahildir)saldırıları dahildir)

Birden fazla yardımcı ile çalışarak, merkezi yönetim ve raporlama Birden fazla yardımcı ile çalışarak, merkezi yönetim ve raporlama

sağlayabilirlersağlayabilirler

Güvenlik Duvarı ve Yönlendirici üzerine, saldırı sonucu dinamik kurallar Güvenlik Duvarı ve Yönlendirici üzerine, saldırı sonucu dinamik kurallar

koyabilirlerkoyabilirler

Köprü (Bridge) modunda çalışarak kendilerini gizleyebilirlerKöprü (Bridge) modunda çalışarak kendilerini gizleyebilirler

SMS, Pager, WinPopup, Sistem Kaydı, XML ve Veritabanı gibi uyarı ve SMS, Pager, WinPopup, Sistem Kaydı, XML ve Veritabanı gibi uyarı ve

kayıt çıktıları sağlayabilirlerkayıt çıktıları sağlayabilirler



Saldırı Tespit Sistemleri (Sunucu Temelli ve Saldırı İmzası Arama)Saldırı Tespit Sistemleri (Sunucu Temelli ve Saldırı İmzası Arama)

Özel dosyaları, sistem kayıtlarını ve sürücülerini izleyerek, değişiklikleri Özel dosyaları, sistem kayıtlarını ve sürücülerini izleyerek, değişiklikleri

rapor edebilirlerrapor edebilirler

Tanımlı olan imzalar ile saldırıları belirlerlerTanımlı olan imzalar ile saldırıları belirlerler

Sistemde aktif bulunan işlemleri takip edebilirlerSistemde aktif bulunan işlemleri takip edebilirler

Gerekli görüldüğü durumlarda erişimleri engelleyebilir, servis durdurabilir Gerekli görüldüğü durumlarda erişimleri engelleyebilir, servis durdurabilir

ve başlatabilirlerve başlatabilirler

SMS, Pager, WinPopup, Sistem Kaydı, XML ve Veritabanı gibi uyarı ve SMS, Pager, WinPopup, Sistem Kaydı, XML ve Veritabanı gibi uyarı ve

kayıt çıktıları sağlayabilirlerkayıt çıktıları sağlayabilirler



Saldırı Tespit Sistemleri Neler YapamazSaldırı Tespit Sistemleri Neler Yapamaz

Erişim Denetimi YapamazErişim Denetimi Yapamaz

Tanımlanmamış Saldırıları SaptayamazTanımlanmamış Saldırıları Saptayamaz

Virüsleri SaptayamazVirüsleri Saptayamaz

Zayıflıkları Saptayamaz, YamalayamazZayıflıkları Saptayamaz, Yamalayamaz

Ağlar Arası İletişimde Şifreleme YapamazAğlar Arası İletişimde Şifreleme Yapamaz

Yoğun Ağ Trafiğinde Performansları DüşerYoğun Ağ Trafiğinde Performansları Düşer

Şifrelenmiş Veriyi İnceleyemezŞifrelenmiş Veriyi İnceleyemez



Ağ Temelli Saldırı Tespit Sistemi Örnek YerleşimiAğ Temelli Saldırı Tespit Sistemi Örnek Yerleşimi

DMZ

Yerel Ağ

Güvenlik Duvarı

Ağ Temelli Saldırı Tespit Sistemi

İnternet

Diğer Ağlar

Router



Sunucu Temelli Saldırı Tespit Sistemi Örnek YerleşimiSunucu Temelli Saldırı Tespit Sistemi Örnek Yerleşimi

Sunucu Temelli Saldırı Tespit Sistemi

Pine ile e-posta okuma

/etc/shadow Dosyasını Okuma

Kernel’da Bellek Taşırmaya Çalışma



Anti-Virüs SistemleriAnti-Virüs Sistemleri

Virüs, Worm ve Trojanları tanımlı imzaları ile saptarlarVirüs, Worm ve Trojanları tanımlı imzaları ile saptarlar

İmzaları tanımlanmanmış virüsleride çeşitli yöntemler ile saptayabilen İmzaları tanımlanmanmış virüsleride çeşitli yöntemler ile saptayabilen

örnekleri mevcutturörnekleri mevcuttur

Virüs imzaları bir veritabanında tutulur ve İnternet aracılığıyla düzenli Virüs imzaları bir veritabanında tutulur ve İnternet aracılığıyla düzenli

olarak güncellenirolarak güncellenir

Ağdaki tüm sistemleri korumadıkça anlamlı değillerdirAğdaki tüm sistemleri korumadıkça anlamlı değillerdir

Bir ağ parçasını, belirli bir trafiği, bir sunucu yada bir istemciyi Bir ağ parçasını, belirli bir trafiği, bir sunucu yada bir istemciyi

koruyabilirlerkoruyabilirler



Anti-Virüs Sistemi Neler Yapabilir – YapamazAnti-Virüs Sistemi Neler Yapabilir – Yapamaz

Tanımlanmamış Virüsleri Tanımlanmamış Virüsleri SaptayabilirSaptayabilir

Tek Merkezden Tek Merkezden YönetilebilirYönetilebilir

Ağ Geçidi OlabilirAğ Geçidi Olabilir

Bridge (Köprü) Moda Bridge (Köprü) Moda GeçebilirGeçebilir

Güvenlik Duvarları İle Güvenlik Duvarları İle Beraber ÇalışabilirBeraber Çalışabilir

Worm Saldırılarını Worm Saldırılarını EngelleyemezEngelleyemez

Şifrelenmiş Dosyalarda Şifrelenmiş Dosyalarda Virüs SaptayamazVirüs Saptayamaz

Erişim Denetimi YapamazErişim Denetimi Yapamaz

Saldırıları SaptayamazSaldırıları Saptayamaz

Zayıflıkları Saptayamaz / Zayıflıkları Saptayamaz / YamalayamazYamalayamaz



Anti-Virüs Sistemleri Örnek YerleşimiAnti-Virüs Sistemleri Örnek Yerleşimi

İnternet

Yönetim Konsolu

CVP Uyumlu Anti-Virüs Sistemi

Ağ Geçidi Anti-Virüs Sistemi

Güvenlik Duvarı

DMZ

Yerel Ağ

Diğer Ağlar

Router



Sanal Özel Ağ SistemleriSanal Özel Ağ Sistemleri

Birden fazla sistem veya ağın, güvensiz ağlar üzerinden, Birden fazla sistem veya ağın, güvensiz ağlar üzerinden,

güvenli iletişimini sağlayan ağ bileşenleridirgüvenli iletişimini sağlayan ağ bileşenleridir

Donanım ve yazılım olarak bulunabilirlerDonanım ve yazılım olarak bulunabilirler

IPSec, PPTP, LIPSec, PPTP, L22TP, SSH gibi protokolleri kullanarak TP, SSH gibi protokolleri kullanarak

iletişimin şifrelenmesini sağlarlariletişimin şifrelenmesini sağlarlar

Harici onaylama sistemleri ile beraber kullanılmaları Harici onaylama sistemleri ile beraber kullanılmaları

önerilmektedirönerilmektedir



Sanal Özel Ağ Sistemleri Neler Yapabilir – Yapamaz Sanal Özel Ağ Sistemleri Neler Yapabilir – Yapamaz

Erişim Denetimi Erişim Denetimi YapabilirYapabilir

Veri Trafiğini Farklı Veri Trafiğini Farklı Algoritmalarla Algoritmalarla Şifreleyebilir Şifreleyebilir

Üçüncü Parti Yazılımlar Üçüncü Parti Yazılımlar İle Beraber Çalışabilirİle Beraber Çalışabilir

Saldırıları Saldırıları EngelleyemezEngelleyemez

Virüsleri EngelleyemezVirüsleri Engelleyemez

Zayıflıkları Saptayamaz, Zayıflıkları Saptayamaz, YamalayamazYamalayamaz



Şifreleme SistemleriŞifreleme Sistemleri

İnternet ortamında verilerin güvenli şekilde aktarımını, İnternet ortamında verilerin güvenli şekilde aktarımını,

bütünlüğünü ve gönderenin doğruluğunu sağlamaktadırlarbütünlüğünü ve gönderenin doğruluğunu sağlamaktadırlar

Mail, Dosya, Disk ve Veri trafiğini şifreleyebilmektedirlerMail, Dosya, Disk ve Veri trafiğini şifreleyebilmektedirler

Des, MDDes, MD55, , 33Des, Sha-Des, Sha-11 gibi çeşitli algoritmalar gibi çeşitli algoritmalar

kullanmaktadırlarkullanmaktadırlar



Sistem Güçlendirme (Hardening)Sistem Güçlendirme (Hardening)

Sunucuların Ele Geçirilme İhtimallerini Azaltmak veya Ele Geçirildiğinde Sunucuların Ele Geçirilme İhtimallerini Azaltmak veya Ele Geçirildiğinde Saldırganın Hareket Alanını Kısıtlamak İçin YapılırSaldırganın Hareket Alanını Kısıtlamak İçin Yapılır

Kritik Dosyalara ve Donanımlara Erişim KısıtlanırKritik Dosyalara ve Donanımlara Erişim Kısıtlanır

Kullanıcı ve Grupların Yetkileri ve Şifre Politikaları DüzenlenirKullanıcı ve Grupların Yetkileri ve Şifre Politikaları Düzenlenir

Sisteme Var Olan Tüm Yamalar UygulanırSisteme Var Olan Tüm Yamalar Uygulanır

Gerekli Olmayan Yazılımlar ve Servisler Sistemden ÇıkarılırGerekli Olmayan Yazılımlar ve Servisler Sistemden Çıkarılır

Sistem İzleme Politikaları Belirlenir ve Uygun Kayıt Tutma Mekanizması Sistem İzleme Politikaları Belirlenir ve Uygun Kayıt Tutma Mekanizması SeçilirSeçilir



Doğrulama ve Yetkilendirme SistemleriDoğrulama ve Yetkilendirme Sistemleri

Tek Merkezden Doğrulama ve Yetkilendirme Tek Merkezden Doğrulama ve Yetkilendirme Yapılması HedeflenmektedirYapılması Hedeflenmektedir

Kullanıcı ve Yetki Doğrulaması YapılırKullanıcı ve Yetki Doğrulaması Yapılır

Sertifika, Biometrik Cihazlar, Tek Kullanımlık Sertifika, Biometrik Cihazlar, Tek Kullanımlık Şifreler, Doğrulama ve Yetkilendirme Sistemleri Şifreler, Doğrulama ve Yetkilendirme Sistemleri Tarafından KullanılabilirTarafından Kullanılabilir

Güvenlik Duvarları ve Sanal Özel Ağ Sistemleri İle Güvenlik Duvarları ve Sanal Özel Ağ Sistemleri İle Bütünleşik ÇalışabilirlerBütünleşik Çalışabilirler



İçerik Kontrol Yazılımlarıİçerik Kontrol Yazılımları

Web Sayfalarının İçeriğinin Kontrol Edilmesini HedeflerlerWeb Sayfalarının İçeriğinin Kontrol Edilmesini Hedeflerler

Porno, Oyun, Siyasi ve Tehdit İçerebilecek Siteleri Porno, Oyun, Siyasi ve Tehdit İçerebilecek Siteleri FiltrelemektedirlerFiltrelemektedirler

Bir Veritabanı Aracılığıyla Düzenli Olarak Site Adresleri Bir Veritabanı Aracılığıyla Düzenli Olarak Site Adresleri GüncellenirGüncellenir

Güvenlik Duvarları veya Proxy Yazılımları İle Bütünleşik Güvenlik Duvarları veya Proxy Yazılımları İle Bütünleşik ÇalışabilirlerÇalışabilirler



Yedekleme SistemleriYedekleme Sistemleri

Merkezi Olarak Veri ve Sistem Yedeklemesi Merkezi Olarak Veri ve Sistem Yedeklemesi HedeflenmektedirHedeflenmektedir

Artımlı Yedekleme, Toplam Yedekleme Gibi Farklı Artımlı Yedekleme, Toplam Yedekleme Gibi Farklı Politikalarla Yedekleme YapılmaktadırPolitikalarla Yedekleme Yapılmaktadır

Özel Donanımlar İle Ağ Üzerindeki Tüm Sistemlerinin Özel Donanımlar İle Ağ Üzerindeki Tüm Sistemlerinin Yedeklenmesi SağlanabilmektedirYedeklenmesi Sağlanabilmektedir

Yedekler Düzenli Olarak Kontrol Edilmeli ve Kayıt Ortamı Yedekler Düzenli Olarak Kontrol Edilmeli ve Kayıt Ortamı Sürekli Olarak DeğiştirilmelidirSürekli Olarak Değiştirilmelidir

Yedeklerin Fiziksel Güvenliği SağlanmalıdırYedeklerin Fiziksel Güvenliği Sağlanmalıdır



Denetleme ve İzlemeDenetleme ve İzleme

Ağın, Belirlenen Güvenlik Politikalarına Uygunluğu Test Ağın, Belirlenen Güvenlik Politikalarına Uygunluğu Test Edilmeli ve Düzenli Olarak Erişimler İzlenmelidirEdilmeli ve Düzenli Olarak Erişimler İzlenmelidir

Merkezi Kayıt Sistemleri KurulmalıdırMerkezi Kayıt Sistemleri Kurulmalıdır

Güvenlik Uygulamaları Tarafından Tutulan Kayıtlar Düzenli Güvenlik Uygulamaları Tarafından Tutulan Kayıtlar Düzenli Olarak İzlenmelidirOlarak İzlenmelidir

Denetleme ve İzleme İşlemleri Düzenli Olarak Raporlanmalı Denetleme ve İzleme İşlemleri Düzenli Olarak Raporlanmalı ve Geçmişe Dönük Karşılaştırmalar Yapılmalıdırve Geçmişe Dönük Karşılaştırmalar Yapılmalıdır



Denetleme ve İzleme UygulamalarıDenetleme ve İzleme Uygulamaları

Ağ İzleme YazılımlarıAğ İzleme Yazılımları

Zayıflık Tarama SistemleriZayıflık Tarama Sistemleri Ağ Temelli Zayıflık Tarama SistemleriAğ Temelli Zayıflık Tarama Sistemleri Sunucu Temelli Zayıflık Tarama SistemleriSunucu Temelli Zayıflık Tarama Sistemleri Uygulama Temelli Zayıflık Tarama SistemleriUygulama Temelli Zayıflık Tarama Sistemleri

Kayıt Tutma ve Raporlama YazılımlarıKayıt Tutma ve Raporlama Yazılımları

Ağa Sızma TestleriAğa Sızma Testleri



Ağ İzleme YazılımlarıAğ İzleme Yazılımları

Ağ üzerinde Sniffer gibi çalışarak aktif olan Ağ üzerinde Sniffer gibi çalışarak aktif olan protokollere dair istatistikler tutmaktadırlarprotokollere dair istatistikler tutmaktadırlar

Ağda Sorun Gidermeyi ve Performans Arttırıcı Ağda Sorun Gidermeyi ve Performans Arttırıcı İpuçlarını Sistem Yöneticisine Vermeyi Hedeflerlerİpuçlarını Sistem Yöneticisine Vermeyi Hedeflerler

Ayrıca ağ üzerindeki şifrelenmemiş verileri ve Ayrıca ağ üzerindeki şifrelenmemiş verileri ve protokolleri yakalamayı ve incelemeyi sağlarlarprotokolleri yakalamayı ve incelemeyi sağlarlar



Zayıflık Tarama SistemleriZayıflık Tarama Sistemleri

Yayınlanmış, bilinen uygulama ve sistem zayıflıklarını test eden araçlardırYayınlanmış, bilinen uygulama ve sistem zayıflıklarını test eden araçlardır

Veritabanlarında bulunan zayıflıkları hiçbir özel yöntem uygulamadan test Veritabanlarında bulunan zayıflıkları hiçbir özel yöntem uygulamadan test

etmektedirleretmektedirler

Zaman içerisinde oluşabilecek zayıflıkları düzenli takip etmeyi sağlarlarZaman içerisinde oluşabilecek zayıflıkları düzenli takip etmeyi sağlarlar

Script dilleri sayesinde yeni zayıflıklar kolayca tanımlanabilirScript dilleri sayesinde yeni zayıflıklar kolayca tanımlanabilir

33 farklı mimaride çalışabilirler : Ağ Temelli, Uygulamaya özel ve Sunucu farklı mimaride çalışabilirler : Ağ Temelli, Uygulamaya özel ve Sunucu

TemelliTemelli



Zayıflık Tarama Sistemi Çalışma PrensibiZayıflık Tarama Sistemi Çalışma Prensibi

İnternet

Güvenlik Duvarı

DMZ

Diğer Ağlar

Yerel Ağ

Zayıflık Tarama Sistemi

saldırı

tepkiSaldırı başarılı, zayıflık varSaldırı başarısız, zayıflık yok

Router



Kayıt Tutma ve Raporlama YazılımlarıKayıt Tutma ve Raporlama Yazılımları

Merkezi Kayıt Sunucusu Oluşturmayı Merkezi Kayıt Sunucusu Oluşturmayı HedeflemektedirlerHedeflemektedirler

Ağ Üzerinde Kayıt Aktarımını Şifreli Olarak Ağ Üzerinde Kayıt Aktarımını Şifreli Olarak SağlayabilirlerSağlayabilirler

Farklı Sistemlerde Tutulan Kayıtları Özelleştirebilir Farklı Sistemlerde Tutulan Kayıtları Özelleştirebilir ve Gruplayabilirlerve Gruplayabilirler

Raporları Belirli Özelliklerine Göre Grafiklerle İfade Raporları Belirli Özelliklerine Göre Grafiklerle İfade EdebilirlerEdebilirler



Ağa Sızma TestleriAğa Sızma Testleri

Kurum Dışı Kişiler Tarafından, Bir Saldırganın Kurum Dışı Kişiler Tarafından, Bir Saldırganın Uyguladığı Yöntemler İle Ağa Saldırılması Anlamına Uyguladığı Yöntemler İle Ağa Saldırılması Anlamına GelmektedirGelmektedir

Denetleme ve İzleme İşlemlerinin Son AdımıdırDenetleme ve İzleme İşlemlerinin Son Adımıdır

Tüm Ağ ve Servis Yerleşimi Tamamlandıktan Sonra Tüm Ağ ve Servis Yerleşimi Tamamlandıktan Sonra YapılmalıdırYapılmalıdır

Çeşitli Yazılımların Kullanımına Ek Olarak İnsan Çeşitli Yazılımların Kullanımına Ek Olarak İnsan Unsuru Öne ÇıkmaktadırUnsuru Öne Çıkmaktadır



Sistem Yöneticilerinin Yaptığı En Büyük HatalarSistem Yöneticilerinin Yaptığı En Büyük Hatalar

Sistemde gerekli önlemleri uygulamadan ve yapılandırmayı tamamlamadan, sistemi internete Sistemde gerekli önlemleri uygulamadan ve yapılandırmayı tamamlamadan, sistemi internete bağlamakbağlamak

Sisteme kurulan uygulamaları varsayılan yapılandırmaları ve varsayılan şifreleri ile kullanmakSisteme kurulan uygulamaları varsayılan yapılandırmaları ve varsayılan şifreleri ile kullanmak Sisteme gerekli güncelleme ve yamaları (yayınlandığı halde) uygulamamak ve eski sürümlerle Sisteme gerekli güncelleme ve yamaları (yayınlandığı halde) uygulamamak ve eski sürümlerle

çalışmakçalışmak Sistemi yönetirken güvensiz protokoller kullanmak (telnet, nfs vb.)Sistemi yönetirken güvensiz protokoller kullanmak (telnet, nfs vb.) Kullanıcıdan emin olmadan şifresini vermekKullanıcıdan emin olmadan şifresini vermek Sistemde yapılması gerekli olan yedeklemeleri yapmamak, alınan yedekleri kontrol etmemekSistemde yapılması gerekli olan yedeklemeleri yapmamak, alınan yedekleri kontrol etmemek Sistemin hizmeti sırasında gerekli olmayan servisleri çalıştırmak (nfs, telnet, ftp, portmap, Sistemin hizmeti sırasında gerekli olmayan servisleri çalıştırmak (nfs, telnet, ftp, portmap,

finger vb.)finger vb.) Güvenlik duvarı yapılandırırken tüm paketlere izin vermekGüvenlik duvarı yapılandırırken tüm paketlere izin vermek Anti-Virüs Yazılımlarının, İçerik Kontrol Yazılımlarının ve Saldırı Tespit Sistemlerinin Anti-Virüs Yazılımlarının, İçerik Kontrol Yazılımlarının ve Saldırı Tespit Sistemlerinin

veritabanlarını güncellememek veya bu yazılımları kullanmamakveritabanlarını güncellememek veya bu yazılımları kullanmamak Çalışanları güvenlik politikası konusunda bilinçlendirmemek, tehlikeli durumlarda ne Çalışanları güvenlik politikası konusunda bilinçlendirmemek, tehlikeli durumlarda ne

yapabileceği konusunda eğitmemekyapabileceği konusunda eğitmemek Sistemi, eğitimini tamamlamamış çalışanlara emanet etmekSistemi, eğitimini tamamlamamış çalışanlara emanet etmek



KaynaklarKaynaklar

CERTCERT – http://www.cert.org– http://www.cert.orgSANS SANS – http://www.sans.org– http://www.sans.orgSecurity Focus Security Focus – http://www.securityfocus.com– http://www.securityfocus.comSiyah ŞapkaSiyah Şapka – http://www.siyahsapka.com– http://www.siyahsapka.comDikey8Dikey8 – http://www.dikey8.com– http://www.dikey8.comOlymposOlympos – http://www.olympos.org– http://www.olympos.orgGüvenlik HaberGüvenlik Haber – http://www.guvenlikhaber.com– http://www.guvenlikhaber.com



Sorular ?Sorular ?



Teşekkürler ....

Documents

Bilgi Güvenliği – Temel Kavramlar