İbrahim Ali METİN

BULUT BİLİŞİMDE GÜVENLİK

TEHDİTLERİ

ÖZET

Bulut bilişimi internet üzerinden sunulan hizmetleri ve kaynakları ayarlar. Bulut merkezleri dünya çapında yer alan veri merkezlerinden iletilir. Bulut bilişimleri internet üzerinden sanal kaynaklar sağlayarak tüketicilerin işini kolaylaştırır. Bulut hizmetlerine genel örneği Google ve Microsoft Sharepoint tarafından sağlanan Google Apps'tir.

"Bulut Bilişimleri" alanındaki hızlı büyümeyle birlikte güvenlik kaygıları da ciddi derecede artar. Güvenlik, açık sistemler ve internet için sabit bir sorun olarak kalmıştır. Güvenlik bulutu bu konudan dertlidir .Güvenlik eksikliği bulut bilişiminin yaygın hale gelmesinde tek engeldir. Bulut bilişimi veri güvenliği gibi birçok güvenlik sorunuyla çevrilidir

Geniş bir kabul kitlesi olan www sayılamayacak yararıyla birlikte güvenlik risklerini yükseltti. Bu bulut bilişim ile ilgili bir durumdur. Bulut bilişimindeki çıkış, patlama servis sağlayıcı ve kullanıcılar için birçok güvenlik sorununu beraberinde getirdi. Bulut bilişiminin son kullanıcılarının güvenlik sorunları ve kullanılabilirlik konusunda herhangi bir bilgiye neden sahip olmadığını biliyor musunuz?

Bu çalışmanın amacı bulut bilişiminde en savunmasız güvenlik tehditlerini belirlemektir. Bulut bilişimiyle ilişkili olarak temel güvenlik tehditleri hakkında son kullanıcı ve satıcıların her ikisinin de bilmelerini sağlayacaktır. Çalışmalarımızda güvenlik uzmanları ve araştırmacılar önerilen ayarlar ve farklı güvenlik modelleri hakkında satıcıları kaygı ve eleştirel analizleri konusunda bilgi sahibi olmalarını sağlayacaktır.

GİRİŞ

Bulut bilişimi basit anlamıyla 'İnternet Bilişim' olarak adlandırılır. Genellikle internet bulutların koleksiyonu olarak görülür. Bulut bilişimi kelimesi kişi ve kurumlara etkin bir teknoloji hizmeti sağlamak için interneti kullanan olarak tanımlanabilir. Bulut bilişimi orijinal kaynakların bakımı konusunda ve teknik / fiziki yönetimleri hakkında herhangi bir zamanda herhangi bir yerden kullanıcıların internet üzerinden çevrimiçi kaynaklara erişimini sağlar. Ayrıca bulut bilişiminin kaynakları dinamiktir ve büyütülebilir. Bulut bilişimi yararlı bilişim ve şebekelerden tamamen farklıdır kendi başına bağımsızdır. Google Apps bulut bilişiminin en güzel örneğidir.

Tarayıcı üzerinden hizmetlere erişilebilir ve internet üzerinden milyonlarca makineye dağıtılır. Kaynaklar internet kullanılarak dünya genelinde herhangi bir yerden herhangi bir zamanda erişilebilirdir.

Bulut bilişimi diğer bilişim modellerine göre daha ucuzdur. Müşteriler kaynak makinelerinin bakım ve yönetim problemlerinden arınmış ve servis sağlayıcı servislerin kullanılabilirliğinden sorumlu olduğu için sıfır bakım maliyeti içermektedir. Bu özelliği nedeniyle, bulut bilişimi yararlı bilişim olarak bilinmektedir. Ölçeklenebilirlik bulut bilişiminin temel niteliğidir ve sunucu sanallaştırma yoluyla elde edilir.

Bilişimin web tabanlı kuşağı verileri depolamak için son derece güvenli uzak sunuculara yerleştirilen veri merkezlerinde kullanılır. Böylece organizasyonlar kendi IT (bilgi teknoloji ) çözümleri için para ödemek zorunda kalmazlar.

Bir bulut oluşturulduktan sonra, bulut bilişim dağıtımı gereksinimlerden farklıdır ve bu amaç için kullanılacaktır. Başlıca servis modellerinin dağılımı:

Hizmet Olarak Yazılım (Saas) :

Yazılım müşterilerin kendi ihtiyaçlarına göre bir hizmet olarak sunulmaktadır ve müşterilere bulut sunucusu üzerinde barındırılan hizmetleri kullanmaya olanak sağlar.

Hizmet Olarak Platform (PaaS) :

Müşterilerin platformlara erişimi sağlanır ve diğer uygulamalarını ve kendi özel yazılımlarını koymalarına olanak sağlar. 

Hizmet Olarak Altyapı (IaaS) :

İşleme, depolama, ağ kapasitesi ve diğer temel bilişim kaynakları işletim sistemleri, uygulamalar, depolama ve ağ bağlantısını yönetmek için müşterilere izin verilmiştir.

LİTERATÜR İNCELEMESİ

Rongxing et al:

Bu yazıda bulut bilişiminde sonradan kontrol ve adli tıp verileri için kaynak teklif ve yeni bir güvenlik verir. Onlara göre önerilen sistem tipiktir. Önerilen sistem bulut içinde yığılı gizli belgeleri / dosyaları üzerinde gizlilik ve güvenlik sağlayabilir. Ayrıca yetkisiz kullanıcı erişimini denetlemek için güvenli bir kimlik doğrulama mekanizması sağlar. Kanıtlanabilir güvenlik teknikleri kullanarak önerilen şemanın standart modelde güvenilir ve sağlıklı olduğunu resmen doğrular.

La‘Quata Sumter et al :

Bulut bilişimi kapsamındaki yükseliş güvenli internet ile ilgili korku getirdi ve bulut bilişimindeki güvenlik tehdidi sürekli olarak artmaktadır. Kullanıcıların bulut bilişim ortamında erişim mekanizması ve güvenliği hakkında sunucu endişesi var. Yaptıkları işin avantajı bulutun son kullanıcılara verdiği güvenlik güvencesidir. Bu çalışmanın sınırlaması büyük ölçekli bulut bilişim ortamları için uygun değildir.

Mladen :

Bulut bilişimi yeni bir alandır. Bilişimin farklı tipleri ve ağ kurma konusunda araştırmalar yıllar sonra meydana geldi. Bilgi teknoloji işlemleri ve müşteriler için bakım maliyeti SOA kullanılarak küçültülmüştür ,daha birçok özelliğiyle birlikte sermaye maliyetlerini azaltır ve daha fazla esneklik sunar. Araştırma ve güvenlik konuları ayrıntılı incelenmiş ve temel kaygılar tespit edilmiştir. Çalışmada bulut bilişimiyle ilgili birincil sırada güvenlik sorunu yer aldı. Bulut bilişimindeki mevcut güvenlik mekanizmasından bulut bilişim hizmeti kullanıcılarının memnun olmadığı gözlemlendi. Servis sağlayıcıları her zaman her yerde internet kullanarak mevcut müşterilere hizmetlerin güvenilirliğini sağlaması gerekir ve ayrıca güvenlik, emniyet, veri koruma ve gizlilikte uygulanır.

SOA nedir?

SOA (Service Oriented Architecture) birbirlerinden farklı servislerin daha karmaşık yapılar oluşturabilmesi için bir harmoni içerisinde beraber çalışabilmesi yaklaşımıdır. Dolayısıyla servis tabanlı mimari yaklaşımı ile tasarlanmış bir sistemin alt sistemi ise doğal olarak servisin ta kendisidir. Servisler ise birbirleri ile iletişime geçebilen yapılardır. Bir diğer deyişle servis bir bağlantının diğer tarafındaki dinleyicidir 

Wenchao et al :

Bu yazıda bulut bilişimi alternatif bir bakış açısı kazanmış ve veri merkezli bir görünüm almıştır. Bulutlar üzerinden yapılan uygulamalar arasında güvenli veri paylaşımı ve güvenlik özellikleri incelenmiştir. Sorgu düzeltme güvencesi, adli ve sistem analizi ,sorgu işleme konularındaki hataları ele almıştır. Onlar bulut bilişimi için yeni bir güvenlik platformu önerdi ki onun adı Declarative Secure Distributed Systems (Bildirime dayanan güvenli dağıtılmış sistem ). Yaptıkları işin gücü güvenli sorgu işlemeyi sağlarlar ki veri merkezli güvenlik için önerilen bir araçtır. Sınırlamalar kayda değer değildir. Bu işte bulut bilişim kullanıcılarının doğrulamasına ihtiyaç vardır.

Soren et al :

Bu yazıda adı geçen bulutların faydaları güvenlik, emniyet ve gizlilik zorlukları ile gölgelenmiştir ve bu zorluklar nedeniyle bulut bilişim adaptasyonunu büyük ölçüde engellemiştir. Oldukça esnek ama çok karmaşık olan bulut bilişim hizmetleri kullanıcılar tarafından web arayüzü kullanılarak projelendirilmiştir ancak kullanıcıların bulut bilişimi yanlış yapılandırması güvenlik tehditlerine yol açabilir ve güvenlik olaylarına neden olabilir. Bu yazıda müşteri ve sunucu tarafında güvenli analiz için bir yaklaşım sunulmuştur. Amazon‘s Elastic Compute Cloud (Amazon'un Elastik Hesap Bilişimi)(EC2) bu değerlendirme için seçilmiştir. Asıl amaç tüm bulut altyapılarında zayıf noktalara odaklanmaktır. Onlar güvenli analiz modeli ve gerçekçi ortam için ölçüp tartarlar.

RDP ( Remote Desktop Protokol ) – Uzak Masaüstü Bağlantısı

Bir bilgisayardan diğer bir bilgisayara bağlanarak bağlandığınız bilgiyasarın masaüstünü kendi bilgisayarınız gibi kullanabilmenizdir.   

Flavi and Roberto :

Bulutlar günden güne giderek hedef olmuştur. Bu yazıda bulutlarda bütünlüğü koruma problemi, yeni bir mimarlık taslağı ve Transparent Cloud Protection System (TCPS) (Şeffaf Bulut Koruma Sistemi ) bulut sistemlerinin güvenliği için tartışılmıştır. Onlar bulutlarda güvenlik problemi olduğunu iddia etmişlerdir. Bütünlük sorunlarını gidermek için, bir sistem önerdiler ve bulut kaynaklarının güvenliğini artırmak için TCPS olarak adlandırılan sistemi kullandılar. Yaptıkları işin gücü gelişmiş güvenlik, şeffaflık ve saldırı tespit mekanizmasıdır.

Lombardi ve Di Pietro, yaptıkları çalışmada şeffaflık üzerinde durmuşlar ve bulut içerisinde bütünlüğün sağlanması için Şeffaf Bulut Koruma Sistemi (TCPS) adlı güvenlik mimarisini öne sürmüşlerdir(2010). Şeffaflık konusu veri paylaşım ve güvenliği noktasında üzerinde durulması gereklidir. Güvenli bir şekilde verilerin kamuoyu ve diğer veri ihtiyacı olan kesimlerle paylaşımında şeffaflık yasallık taşıması adına önemli bir faktördür.

Wayne :

Bu yazıda bulut bilişiminin yararları bulut servisleriyle ilişkili temel güvenlik sorunlarıyla vurgulanmıştır. Kritik sistemlerin güvenlik şekillendirmesi çok önemlidir. Araştırmacılar ve profesyoneller bulut bilişimiyle ilişkili güvenlik sorunları üzerine çalışmaları gerekir. Güçlü güvenlik politikaları verinin güvenli olduğundan emin olmak için tasarlanmalıdır ve bulut sunucularıyla veri merkezlerinin her ikisinden de yetkisiz erişimi engellemelidir.

As per Jinpeng et al :

Bulut bilişimi birçok yeni güvenlik tehditi oluşturmaktadır. Bir görüntü yönetim sistem tasarımı ilişkili riskleri gidermek için tasarlanmıştır. İlk aşamada sistem filtreleri zararlı şeyleri bulur sonraki aşamada şifre gibi hassas bilgiler kaldırılır. Kullanıcılar gerekli görüntülerini bulabilirler. Depo bakım hizmetleri savunmasız ya da yasa dışı yazılımların çalışmasının riskini azaltır. Yaptıkları işin gücü resim filtreleri ve tarayıcıların zararları görüntüleri algılamasını sağlayan görüntü yönetim sistemi öngörmektir.

Miranda and Siani :

Bu yazıda bulut bilişiminin yaygın hale gelmesinde en büyük engel bulut bilişimi güvenlik servisleri ve bulut bilişiminde gizlilik hatalarıdır.Kullanıcıların gizli veri sızıntısı konusunda büyük endişeleri vardır.Kritik veri engelsiz bulutta erişildiğinde gizlilik kuralına uyulmaz. Bu sorunu gidermek için, bu yazıda istemci tabanlı gizlilik yöneticisi öne sürülmüştür. Önerilen güvenlik sorunlarını azaltır daha fazla mahremiyet sağlar. Gelişmiş gizlilik yöneticisinin bütün özellikleri aşağıdaki şekilde verilmiştir: 

Rituik et al :

İşi doğrulama ve ölçüm hatalarına odaklanılmıştır. Farklı tipte güvenlik saldırıları ele alınmış ve her türlü saldırı için çözüm üretilmiştir. Bulut hizmetleri kullanıcılarının karşılaştığı çok sayıda ciddi güvenlik sorunu derinlemesine incelenmiş ve kullanıcı verileri yedeklenmiştir. Her bir sorun için çözümler üretilmiştir. Bir simülasyon programı eBay modeli için geliştirilmiştir. Simülasyon sonunda ucuz işletme maliyetiyle mantıklı yakalama oranı elde edildi. Yaptıkları işin gücü çerçevede ölçüm sorununu gidermektir. Zayıflığı ise satış uygulamaları için geçerlidir.

According to Dan and Anna :

Bulut bilişim yüksek ölçekli kaynakları internet yoluyla sağlar. Bulut bilişim dünya çapında bireyler ve şirketler tarafından kullanıldığından hızla büyümektedir. Bulut bilişiminde veri koruma işlemleri henüz ele alınmamıştır. Kullanıcıların veri gizliliği sorunlarını çözmek için veri koruma çerçevesini önerdi. Onlara göre önerilen veri koruma çerçevesi bulut hizmetleri yaşam döngüsü boyunca zorlukları vardır. Sistemler çerçevesinde genel ilkeler üzerine tartışmalar içerir. Ayrıca birçok veri koruma modellerini sundu ve maliyet fonksiyonlarını tanımlamıştır.

GÜVENLİ BULUT BİLİŞİM

Bulut bilişim güvenliğini sağlaması adına ülkemizde geliştirilmiş herhangi bir standart yer almamıştır. Bulut güvenliğinin sağlanması genelde verilerin korunması noktasında karşımıza çıkmaktadır. Yapılan çalışmalarda bankacılık sektöründe veri güvenliğini sağlamak amacıyla düzenlenen 5411 Sayılı Bankacılık Kanununun bilişim sistemleri üzerinde veri güvenliğini sağlamak için başvurulabilecek bir kaynak olduğu öne sürülmektedir (Henkoğlu ve Külcü, 2013).

Bulut bilişimde güvenliği sağlamak birtakım gereksinimleri ön plana çıkarmaktadır. Genel anlamıyla güvenli bir bulut bilişim sağlanması aşağıdaki koşulların gerçekleştirilmesiyle meydana gelmektedir (Svantesson ve Clarke, 2010):

Bulut servisi telekomünikasyon ağları üzerinden sağlanan bir hizmet olması;

Kullanıcıların, veri erişimlerinde ve veri girişlerinde güvenilebilen bir servis sağlaması;

Verilerin kullanıcılar tarafından uygun prosedürler içerisinde kontrol edilmesi;

Kullanıcıların, teknik farkındalığı gerektirmeyen, hangi hizmet sağlayıcı tarafından servisin yapıldığını veya sanal makinelerin nerede olduğunun bilinmesine ihtiyaç duyulmaksızın kaynakların sanallaştırılmış olması;

Hizmet sözleşmesinin nispeten de olsa esnek bir yapı içerisinde hazırlanması.

KRİTİK DEĞERLENDİRME

Bu yazıda araçlar ve modeller bulut bilişiminin güvenlik ve gizlilik konularını ele almıştır ve diğerlerine göre biraz daha fazla güvenlik ve gizlilik problemleri belirlenmiştir. Bulut bilişiminin hala çok araştırılması gerekmektedir. Mevcut çalışmalar sonucunda bulut bilişimi kullanıcıları için en önemli sorunun güvenlik olduğu tespit edilmiştir. Farklı modeller ve araçlar ortaya atılmıştır ama hiçbiri verimli bulunmamıştır. Gelecekteki çalışmalarda bulut bilişiminin güvenliği üzerine daha fazla çalışmalar yapılacaktır

SONUÇ

Bu çalışmada farklı güvenlik ve gizlilik ile ilgili araştırma makaleleri kısaca incelenmiştir. Bulut hizmetleri hem büyük hem de küçük ölçekli kuruluşlar tarafından kullanılmaktadır. Bulut bilişiminin avantajları çok büyüktür ama her avantajın yanı sıra dezavantajıda vardır. Bulut bilişim kullanıcıları ciddi güvenlik tehdidi sorunundan mustariptir. Bulut bilişiminin en önemli dezavantajının güvenlik eksiği olduğu söylenebilir. Servis sağlayıcıların ve kullanıcıların her ikisinin de bu güvenlik sorunu üzerinde çalışmalar yapması gerekmektedir.

KAYNAKLAR