Güvenlik konusunda.

Arkadaşlar hafta sonu yaşadığımız sıkıntı konusunda fikirlerinizi almak istiyorum.

Pazar öğle saatlerinde çalışanlardan bazıları sisteme giremediklerini belirterek aradılar kontrol edelim dedik ve biz de sisteme bağlanamadık. Şirkete gittiğimizde ise tüm verilerin cyrpt edildiğini asıllarının ise geri dönülemeyecek şekilde disk üzerinden silindiklerini gördük ve ayrıca backuplarımızı da bulup silmiş üzerine tabi 50.000$ para istendiği belirten bir text dökümanı bırakmış. 🙂 Şanslı olduğumuz tek nokta arkadaşlarımızdan biri c.tesi öğleden sonra backupları harici bir disk üzerine kopyalayıp diski sistemden ayırmış olması oldu, bu bizi büyük bir felaketten kurtardı.

Tahmin yürütebilmek için sistemin yapısından biraz bahsetmek isterim. Sistemde dış dünyaya 2 port açık, 1'i 3389 diğeri ise 1433. Admin passwordleri gayet karmaşık user passları ise bir o kadar basit olanlar varmış örneğin 123 gibi. Adam sistemde at koşturmuş resmen, admin olarak her istediğini gayet güzel yapmış. Sisteme login olunmaya çalışıldığını bazı arkadaşlar farkedip o ip.leri block ediyorlarmış zaman zaman, lakin amcam sonunda olayı başarmış ve sızmış. 3389'un natlandığı server 2008R2  1433'ün ise server2003.

Sizce bu adam hangi yöntemleri kullanmış olabilir?

Kullanıcı üzerinden sisteme sızıp RPD üzerinden devam ettiğini tahmin ediyorum. Diğer arkadaşlar gibi bende VPN önereceğim. Windows update'leri her bilgisayarın düzenli yapılmalı. Bilgisayar sayısı fazla ise Windows update server olmalı. Anti-virüs yazılımları, firewall ve güncel işletim sistemi geçişi önemli konular.

Birde SQL databaseyi kontrol edin. sisteme daha önce girip spam amaçlı kullanmış, database'ye zarar vermiş olabilir. Clientların birisinde hala erişim hakkı da olabilir. Bu arada hacker'ı bir kenara bırakalım sistem odasında yangında çıkabilirdi. Disaster recovery planınız mutlaka olmalı.