BT Varlıklarının Güvenlik Testi Adımları

Bilgi Teknolojileri (BT) varlıklarının güvenlik testleri son yılların popüler, bir o kadar da kalitesinden şüphe edilen konuları arasında yer almaktadır. Farklı varlıklar için hazırlanan güvenlik kontrol listelerinin derinliğinin ölçülebilmesi için genel bir iskeletin üzerine bina edilmesi bir ihtiyaçtır. Bu makalede BT varlıklarının güvenlik testlerinde kullanılabilecek genel test adımlarından bahsedilecek, bu test adımlarının nasıl algılanması ve uygulanması gerektiği konularına ışık tutulmaya çalışılacaktır.

Giriş

Güvenlik açıklıklarının son yıllarda hızla artması, kurumların bu açıklıklara karşı önlem almasına ve yeni bilgi sistemi pozisyonları oluşmalarına yol açmıştır. Kurumun güvenlik anlamında daha kararlı bir noktaya ulaşabilmesi için çalışan bu kişiler, genellikle sağlıklı bir Bilgi Güvenliği Yönetim Sistemi (BGYS) kurulması ve bilgi güvenliği denetimi; orta ölçekli firmalarda ise güvenlik yazılım ve donanımlarının yönetilmesi amaçlı çalışmalar yürütmektedirler.

Bilgi güvenliği denetlemelerini gerçekleştirmekle sorumlu denetçiler çalışmalarında çoğunlukla Internet ortamında ya da literatürde var olan kontrol listelerini kullanmayı tercih etmektedirler. BT güvenliği konusunda pek çok kaynağın erişilebilir olması bu yönelimi haklı çıkarmaktadır. Fakat bu yönelim, yapılan testler hakkında bazı soru işaretlerinin oluşmasına sebep olmaktadır. Bu sorular şöyle sıralanabilir:

• Denetimlerde kullanılan kontrol listeleri yeterince detaylı mıdır? Farklı kontrol listeleri ile karşılaştırılarak sağlaması gerçekleştirilmiş midir?
• Kullanılan hazır kontrol listelerinde geçen maddeler net olarak anlaşılmış mıdır? Denetleme sonucunda oluşturulacak tavsiyelerin güvenliğe, performansa ve verilen servise olan etkileri net olarak bilinmekte midir?
• Kontrol listesi var olmayan BT varlıklarının denetimi ne şekilde gerçekleşmektedir?

Özetleyecek olursak, tüm BT varlıkları için hazır kontrol listelerinin olması mümkün değildir. Var olan kontrol listelerinin yeterliliği ise uzman gözler tarafından değerlendirilmelidir. Bu iki konu BT varlıkları için hazırlanacak kontrol listelerinin içeriği konusunda bazı ön bilgilerimizin olmasını zorunlu kılmaktadır.

İlerleyen bölümde tüm BT varlıklarının güvenlik testlerinde uygulanabilecek genel test adımlarından bahsedilecektir.

ASQ Teknolojisi

Download

Windows 2000 güvenliği

Bu metinde genelinde win2000’nın ilk kurulumundan sonra sisteminizi daha güvenli hale getirmek için yapabileceğiniz işlemlerden bahsedeceğim. Öncelikle herhangi bir işletim sistemi üstünde güvenlikle ilgili çalışmalara başlamadan bilgisayarınıza yapmanız gereken ufak düzenlemelerden bahsedip, ardından win2000 sisteminizi daha güvenli hale getirmek için gerekli olan işlemleri anlatıcağım. Bunlar arasında gereksiz servislerin kapatılması, “system policy”nin ayarlanması, TCP/IP bağlantılarını filitrelendirmesi, hotfix ve SP’lerin önemi, korunması gerekli önemli dosyalar ve bunlara ek olabilecek ufak tefek bir kaç konu daha var. Başlıklar halinde sıralamak gerekirse:

• Fiziksel güvenlik
• Gerekli servisler
• Hotfix ve SP’lerin(Service Pack) önemi
• System policy ayarları
• Gereksiz altsistemlerin kaldırılması
• Önemli dosyaların korunması
• TCP/IP süzgeçlenmesi
• Ufak tefek işler

Fiziksel güvenlik:

Bilgisayarına kurlu olan herhangi bir işletim sistemin güvende olmasını ve dosyalarının kendisi ve izin verdiği kişiler dışınızdaki birileri tarafından değiştirilmemesi veya silinmemesini istemek her kulanıcının hakkıdır. Ama bunu gerçekleştrimek için bilgisayarı işletim sistemini aktif hale geçirmeden önce ve işletim sistemine giriş yaparken yapması gereken bazı işlemler var.
Bilgisayarınız açılırken eğer sizin dışınızda birileri BIOS’unuza kolayca girebiliyorsa ve burada yaptığı değişiklikleri aktif hale getirebiliyorsa bazı sorunlarla karşılaşma olasılığınız artıyor. Her ne kadar yeni bilgisayarların çoğunda BIOS’a nasıl girileceği başlangıçta gözükmese de bilen bir insan rahatlıkla BIOS içinde yapıcağı değişikliklerle ister bilgilerinizi çalma (öğrencilerin notlerını çalınması), ister biligilerinizi yok etme (tezinizin veya projenizin bulunduğu sabit diskin silnmesi) başarılı olabilir. Bu tür bir riski engellemek için BIOS’a girip sadece sizin aklınızda kalıcak biraz karmaşık bir şifre koyun (bu işlemi adım adım anlatamıyorum çünkü bir çok çeşit BIOS ekranı var ama hepsinde bir “password” seçeneği var.). Ama şifrenizi “sevdiğiniz bir arkadaşınızın adı, doğum tarihiniz, kedinizin adı, vb” gibi kolay tahmin edilicek kelimeler arasından atamayın. Biraz harf ve sayılar birlikte olsun.

IPsec ile sanal özel ağ oluşturma

Saklama, yönlendirme ve yeniden saklama işlemlerinin tümüne tünel oluşturma adı verilir. Tünel oluşturma, özgün paketi yeni bir paket içine gizler veya saklar. Bu yeni paketin, ağlar arasında dolaşmasını sağlayan yeni adresleme ve yönlendirme bilgileri olabilir. Tünel oluşturma gizlilikle birleştirildiği zaman, özgün paket verisi mesela özgün kaynak ve hedef gibi… ağdaki trafiği dinleyenlere gösterilmez. Ağ herhangi bir iç ağ olabilir: özel bir intranet veya Internet. Saklı alınan paketler hedeflerine ulaştığında, saklama üstbilgisi kaldırılır ve paketi son hedefe yönlendirmek için özgün paket üstbilgisi kullanılır. Tünelin kendisi, içinden saklı paketlerin geçtiği mantıksal veri yoludur. Tünel genellikle özgün kaynak ve hedef çiftine saydamdır ve ağ yolunda başka bir noktadan noktaya bağlantı olarak görünür. Çiftler, tünelin başlangıç ve bitiş noktaları arasındaki yönlendiricilerden, anahtarlardan, proxy sunucularından veya diğer güvenlik ağ geçitlerinden haberdar değillerdir. Tünel oluşturma gizlilikle birleştirildiğinde, Sanal özel ağ sağlamak için kullanılabilir.

Windows 2000`de, IPSec kullanan iki tünel türü sağlanır.
L2TP`nin her türlü ağ trafiği ve aktarım modundaki IPSec için saklama ve tünel yönetimi sağladığı katman 2 Tünel iletişim Kuralı (L2TP/IPSec) L2TP tünel paketlerinin güvenliğini sağlar.
IPSec`in kendisinin yalnızca IP akışı için sakladığı tünel modundaki IPSec
Bu tünelleri kullanmadan önce işlevsel özelliklerinin tam olarak kavranması gerekir.
Saklı paketler tünel içinde ağda gezinir.Bendeki anlatımda, ağ Internet`tir:) Ağ geçidi, Internet dünyası ile özel ağ (yönlendirici, koruma duvarı, proxy sunucusu veya diğer güvenlik ağ geçitleri) arasında bir sınır geçidi olabilir. Ayrıca ağın az güvenilir olduğu kısımlarındaki veri akışını korumak için özel ağ içerisinde iki ağ geçidi kullanılabilir.

Windows 2000`de IP güvenliği (Adım Adım IPSec)

IPSec tanımı
Internet Protocol Security (IPSec) güvenli haberleşmeler sağlamak ve IP ağları üzerinde kişisel gizliliği korumak için standartlar üzerine kurulmuş bir yapıdır. IPSec RFC (Requests for Comments) 2401-2411 de tanımlanmış olan bir IETF (Internet Engineering Task Force) standartıdır. Çoğu ağların güvensiz olduğu ve kablo üzerinde seyahat ederken verileri korumak için ek komponentler gerektirdiği düşüncesinden yola çıkarak IPSec kaynak kimlik tanılama, bütünlük kontrolü ve içerik gizliliği sağlamaktadır.

Kimlik Tanılama
IPSec`in kullandığı protokollerden biri “Kimlik Tanılaması Başlığı”dır (AH-Authentication Header). AH tüm datagram`ın bir “sağlama toplamını” (checksum) içermektedir ve IPSec datagram`ındaki orjinal IP başlığından sonraya yerleştirilir. AH aşağıdakilerden oluşur:
Sonraki başlığı (Next Header) Orjinal IP başlığının protokol numarası.
Yük boyutu (Payload Length) Kimlik tanılaması başlığının uzunluğu.
Güvenlik Parametre İndeksi (Security Parameter Index – SPI) Kimlik tanılama başlığı bağlantılarını diğerlerinden ayırmayı mümkün kılan 32-bitlik bir seri numara
Sıra Numarası (Sequence Number) Replay koruması için Kimlik Tanılaması datagram`ının seri numarası
Bütünlük Kontrol Değeri (Integrity Check Value-ICV) AH datagram`ının kriptografik bir bütünlük sağlama toplamı (checksum).

IPSec Nedir? Ne değildir

Veri şifreleme

Veri şifreleme basit veya karışık kripto sistemlerinin kullanımı sonucu oluşturulmuştur. Sistemler arasında oluşturulan bir bağlantı sonrası gönderilmek istenen veri kabaca, ilk haliyle decode edilir. Decode edilen veri karşı sisteme ulaştığı anda encode edilir. Her şifrelenen veri, herhangi bir sistem ile çözümlenemez. Bunu evinizin dış kapısı olarak düşününüz. Balkon kapısı ile evinizin dış kapısının kilit yapısı ve anahtarları farklıdır. Kripto ile şifrelenen verilerde buna benzemektedir. Bununla beraber ortak yöntemler kullanılarak veya zorlama unsurları kullanılarak yapılan şifre çözümlemelerinde bulunmaktadır. Web ortamında sıkça rastladığınız MD5′ler buna en iyi örnek olabilir. Şifrelenen her veri bünyesinde karşı çözümleyicinin yani anahtarın bilgisini taşımaktadır. Gelişmiş sistemlerde ise şifreleme hizmeti veren firmaların sunduğu sertifikalar aracılığıyla kurumsal veya şahsi şifreleme teknikleri kullanılmaktadır. Buna en iyi örnek ise birçok online satış yapan şirketin kullanmış olduğu SSL sistemleri ve RSA kripto sistemleridir.

A Security Primer

Pretty Good Privacy (PGP)
Security at Application Layer
Secure Sockets Layer
Transport Layer Security (TLS)
Security at Transport Layer (SSL)
IPSec
Security at IP Level
Certificates
Key Management
Cryptography
Digital Signatures

Download : network-security-primer-9544