Merhabalar bu yazımızda yönetmekte olduğumu sistemlerin nasıl daha fazla güvenli hale getirebileceğimizi bunun için yardımcı bir program olan Secpoint hakkında bilgi vermeye çalışacağım.
Birçoğumuz farklı dallarda uzmanlaşmış kişileriz örnek olarak benim profesyonel olarak yaptığım iş kablolu kablosuz iletişim sistemleri üzerine network ağlarının oluşturulması olası sorunlarının tespitleri ve sorun çıkmasında müdahale edilmesi üzerinedir. Tabi network dediğiniz sistemin için tüm bileşenler girdiği için Linux/Windows/MacOsx/BSD gibi işletim sistemleri ve yapıları hakkında bilgi sahibi olmak VOIP/IPTV gibi sistemleri bilmek gerekiyor ama bu benim bu konularda profesyonel olduğum anlamına gelmez. Profesyonel kelimesi anlamca bir konuda uzman ( yapılandırabilen/Sorun tespiti yapan/Sorun çözen / Sürekliliğini sağlayan ) ve o konu üzerinde çalışmalar yapan kişi anlamına gelir yani profesyonel olduğum ve bilgi sahibi olduğum alanlar farklıdır. Bilgisayar sistemleri o kadar uçsuz bucaksız bir genişliğe sahiptir ki bu konuda hakkında her şeye hakim birisi zaten yoktur ve insan beyin ve yaşam süresi bakımından da zaten mümkün değildir. İşim iletişim olduğu için basitçe şunu çok iyi bilirim eğer açık bir kapı varsa o kapının önünde ne önlem alırsanız alın girmenin bir yolu mutlaka vardır! Durum bu olunca sadece iletişimin sağlanması tarafımca yetersiz bir işlemdir ve bu iletişimin amacı içinde kullanımı amacı dışında kullanılmaması sorumluluğu da doğmaktadır. Güvenlik işi tamamen farklı bir sektördür ve kendi içinde onlarca güvenlik uzmanlığı alanına dağılmaktadır buda benim hepsini bilmemi ve yönetmemi imkânsız kılar o zaman bir güvenlik uzmanından destek almalıyım, peki ama bu güvenlik uzmanının hangi konularda uzman olması gerekir, hani derler ya doğru cevabı almak için doğru soruyu sormak gerekir.
İş güvenlik uzmanına soru sormak yada destek alacak bir uzman bulmaksa ilk önce bu uzmana soracağımız soruları bilmeliyiz yada hangi yöne doğru ilerleyeceğimizi bilmeliyiz hali hazırda piyasaya bakınca onlarca farklı konuda hizmet veren insanları görmek mümkün.
Peki başlıkta adı geçen secpoint nedir? Secpoint bir güvenlik cihazı değildir ilk önce bunu kesinlikle anlamalıyız yani satın alınıp kullanılması size bir güvenlik sağlamaz yada sisteminizi daha güvenli hale getirmez. Secpoint üretim amacı ile güvenlik açıklarını tespit etmeye yarayan bir yazılımdır ve size bir güvenlik açık tespit uzmanınca sunulacak verileri en kolay yoldan ve basite indirgenmiş hali ile sunmayı hedefler.
Basite indirgenmiş? Bu kelime basitçe şu anlama geliyor Secpoint cihazı tarafından yapılan tüm işlemler testler ve süreçler piyasada bulunan Kali, BackTrack, Fedora gibi sistemlercede yapılabilir ama buradaki sorun şu çıkan sonuç nedir ve nasıl değerlendiririm ve sonucunda ne yapmalıyım. İşte Secpoint tam olarak buna çözüm bulmaktadır. Yani size şunu söyler,
1. Açıklarınız.
2. Olası sorunlar ve oluşabilecek durumlar.
3. Olası sorun düzeltme yolları.
Bu üç ana başlık size sisteminiz hakkında bilgi sahibi olmayı ve sisteminizi düzenli ve daha güvenli yapmak için izlemeniz gereken yol konusunda bilgi vermeyi hedefler. Şimdi buraya kadar akılda oluşan soru şu benim sistemimde nasıl bir güvenlik açığı olabilir hemen hemen her şeyi kontrol ediyorum bu imkansız. Ok bu soruya basitçe bir soru ile ve cevabı ile karşılık vereyim. İlk önce güvenlikte miyiz yoksa güvenmekte miyiz sorusunu soralım ve kendi durumumuzu anlatalım. Biz bilgi işlemciler olarak %99.9999 oranında güvenmekteyiz yani güvenlikte değiliz, konuyu özetleyelim basitçe bir eviniz var bu eve çelik kapı tattırdınız, bir güvenlik görevliniz var, kamera sisteminiz ve bu sürekli takip eden bir güvenlik görevliniz daha var bireysel korumanız var olası bir duruma karşı tüm giriş çıkışlarda evinize gelen giden herkesin bilgileri alınıyor ve olası bir durumda takip ediliyor. Şimdi durumunuz bu ise siz kamera sistemi üreticinize, çelik kapı üreticisine ve bireysel ve genel güvenlik personeline güvenmekte siniz yani güvenlikte değilsiniz hali hazırda olası bir durumda güvenlik görevlisi arkadaşların olay yerini terk etmeyeceğinizi çelik kapınızı üreten firmanın evinizi soyup soyamayacağını bilmiyorsunuz! Çözüm parkta bu soruya ilişkin bir başlık var “http://www.cozumpark.com/forums/thread/427869.aspx “ ilginizi çekerse bir bakın. Sorulan soru “ hiç Hacklendiniz mi? “ verdiğim cevap “ Hiç Hacklendiniz mi sorusuna, Hacklendiğimi fark edebilecek kadar bilgim olsa hali hazırda hacklanmezdim desem ne olur “. Sanırım konuyu özetliyor zaten birisinin sistemime sızdığını fark etsem yada fark edebilecek olsam gerekli önlemi tam olarak alırdım ve bu durum hiç oluşmazdı ama maalesef ben programcıların yazdığı yazılımlardan doğan açıkları başka güvenlik firmalarının yazdığı güvenlik programları ile kapatmaya çalışan bir iletişim uzmanıyım sonuç bu olunca eğer birisi beni hacklerse bu durum bir zarar olarak dönene kadar ben bunun farkında olmam yada olamam.
Ok, artık kendimizin dünyanın hakimi ve güvenlik güçlerinin başı olmadığımızı kabul ediyorsak devam edelim, hali hazırda bir sorunu düzeltmenin en kolay yolu bir sorun olduğunu kabul etmektir.
Secpoint sistemi basitçe sisteminizde çalışmakta olan printer cihazınızdan UTM cihazınıza arada kalan tüm sistemleri taramayı ve bu tarama sonucunda size basit anlaşılır sorun çözüm odaklı bir rapor verme üzerine çalışıyor, bu rapor sonucunda kendi sisteminizde kendi kabiliyet alanınızda olan kısımlarla alakalı olarak yapılandırma ve düzeltmeleri yapabileceğiniz gibi bir güvenlik firmasından destek alma yolunada gidebilirsiniz. Tabi Secpoint cihazının verdiği raporu anlayabilmek için ilk önce bir Hacker ın nasıl çalıştığını anlamamız gerekiyor. Bir hacker basitçe alttaki adımları izler.
1. Olası firmaya ait dış dünyaya açık haberleşme sistemlerinin tespiti ( WebSunucu / MailSunucu / FTP / VOIP GW vb.. diğer public hizmetler. )
2. Olası firmaya ait bu sistemlerin nerede tutulduğu.
3. Olası firmaya ait bu sistemlerde kullanılan alt yapı kullanılan programlar ve versiyonları.
4. Olayı firmaya ait bu sistemlerde açık olan ve servis veren yazılımların açıklarının bulunması.
5. Olası firmaya ait bu sistemlerde çalışmakta olan sistemlerin kırılması ve sızma işlemi için gerekli programların toplanması ve yazılması ( evet bilgisayarınıza kali yükleyince hacker olmuyorsunuz bir hacker muhtemel birden fazla programlama dilinde uzman aynı zamanda TCP/IP bilgisi cok ciddi olan kişilerdir ve bu iş başlı başına bir uzmanlık gerektirir ki bu gece gündüz çalışmak demektir. )
Secpoint te tam olarak raporlarını da bunu yapıyor olası firmaya ait sistemleri tarıyor, açık iletişim portlarını buluyor bunlara nasıl erişileceğini tespit ediyor ve bu portların arkasında çalışan programları bularak bunlara exploit yada farklı yollarla saldırmayı deniyor bir hackerden tek farkı bu exploit ve benzeri tarama saldırma yöntemlerinin fake olması yani exploit portundan göndermeye çalıştığı dosya sisteme zarar verme amaçlı değil sadece o yolun açık olup olmadığını kontrol eden bir yapı. Evet, basitçe birkaç tıklama ile bunu yapıyor ve sonucunu size bildiriyor tabi şunu unutmamak lazım bazı testler iletişim hızına karşıdaki cihazın yoğunluğuna göre günler sürebilir. Ayrıca unutulmamalıdır ki sistem canlı bir yapıdır sürekli olarak eklemeler ve çıkartmalar yapılmaktadır bunun sonucunda sistemde sürekli olarak açıklar oluşabilir ve sürekli kontrol etmek gerekir ama hangimizin buna tam olarak zamanı var? Bu nedenle secpoint cihazlarında sechedule yani zamanlamalı taramalar da mevcut bu sayede sistemi sürekli olarak başında beklenen ve rapor yolu gözlenen bir yapı yerine belirlene tarihlerde sistemi tarayarak olası açıklar konusunda ki rapor dosyasını sistem yöneticisine gönderebiliyor. İncelemek isterseniz bazı rapor linklerini altta veriyorum bu raporlar size sistem hakkında daha anlamlı bir bilgi sunacaktır.
http://www.secpoint.com/manual/Penetrator_Example_Audit_Summary.pdf
http://www.secpoint.com/manual/Penetrator_Example_Audit.pdf
Güvenlik kısmında unutulmaması gereken en temel sistem sunulan ve kullanılan yapının kendisinin basit olmasıdır, basit olmayan bir sistem kendi içinde karmaşaya neden olacak ve kullanıcının güvenlik testi yerine ilk önce bu konuda bir uzmanlık edinmesine gereksinim duyacaktır halbuki ne kadar basitse sonucu o kadar etkili olur.
Tüm bu yazının özünde şunu aklınızdan çıkartmayın kendi bünyesi içinde bu işlerde uzman ve çok ciddi araştırma ekipleri olan birçok firma hacklenmiştir. Ve bu dünya devleri bile hacklenirken bizim hacklenmiyeceğimizi düşünmek sadece hayal ürünüdür. Güvenlik psikopatlık anlamında sistemin kullanılamayacak kadar güvenli olması demek değildir rahat kullanım ve güvenlik aynı anda sunulamadığı sürece yapılan iş başarısız bir iştir bu iki sistem arasında denge çok iyi kurulmalıdır ve bu konuda ki uzmanlardan destek almak utanılacak bir durum değildir arabanızı bir motor uzmanına götürmek kadar doğaldır sonuçta sürmeyi bilmek motoru tamir etmeyi bilmek anlamına gelmez. Açık olan her kapıdan girmenin bir yolu vardır mühim ola bizim bilgilerimizin değerli olduğu kişiler yada ayak takımı için sistemi en güvenli hale getirmektir ve artık güvenmek yerine bir miktar güvenlikte olmayı istemektir.
Son olarak basit bir güvenlik önerisi ile yazıyı bitiriyorum, sanıldığının aksine bilgisayarınızda yada donanımlarınızda şifrenin güçlü olması yeterli değildir, güçlü bir şifre tanımı için büyük küçük harften oluşan içinde sayı barındıran ve mümkünse ve sistem elveriyorsa içinde yazılabilir şekiller olmasıdır, fakat bu yeterli değildir öncelikli olarak sisteminizde ki genel kullanıcı adları değiştirilmelidir mesela administrator adı değiştirilmeli ve sonrasında içinde A-Za-z1-9@!’^+%& şeklinde en az 8~10 haneli bir şifre oluşturulmalıdır basitçe bir brute force atağında administrator adı sabitken denenecek şifre sayısı söz gelimi bin adetse kullanıcı adı değiştiğinde bu sayı 1000*1000 kadar olacaktır. ( Sayılar atmasyondur normalde çok fazla olduğu için bin ile limitledim. ) ayrıca tüm bunları yaptınız fakat hala güvenlikte değilsiniz çünkü kullanılan erişim sistemi kendi içinde bir açığa neden olabilir bu nedenle sistemleri sürekli güncel tutmalı ve güncelleştirmeleri takip etmelisiniz hali hazırda sisteminize sızmak isteyenler sürekli olarak bunu yapmaktalar. Özellikle sisteminizdeki DVR/Ethernet Printer/VOIP vb… cihazlarda belli bir kullanıcı adı şifresi denemesinden sonra denemeyi yapan IP adresinin belli sürelerle bloklanmasını sağlayan yapıları arayınız tek başına UTM cihazınıza güvenmeyiniz. Güvenlik sorunları çoğunlukla içeride gerçekleşir bu nedenle dış dünya ile olan iletişiminizi güvenliğe alırken yerel yapılarınızı unutmayınız.
Güvenlik, bir ekibin işidir eğitimle ve bir sorun olduğunu kabul etme ve bu sorunun çözümüne istinaden çalışma yapma ile elde edilir.