AĞ YÖNETİMİ VE BİLGİ GÜVENLİĞİ

Sistem güvenliği tanımında verilen üç temel güvenlik kavramını kısaca tekrar hatırlayalım. Gizlilik: Bilginin yetkisiz kişilere ifşasının önlenmesi. Bütünlük: Bilginin yetkisiz kişiler tarafından değiştirilmesinin önlenmesi. Hazır Bulunma (Erişilebilirlik): Bilgi veya kaynakların yetkisiz bir şekilde alıkonulmasının önlenmesi.

Güvenlik Açığı: Sistemin güvenlik politikasını ihlal etmek için kullanılabilecek, sistemin tasarımında veya gerçeklemesinde ortaya çıkan, tasarımcı tarafından düşünülmemiş zayıflıklar olarak tanımlanır.

Sistem Kaynakları: Sistemin kendisi, sistem yetenekleri, sistem hizmetleri, donanım bileşenleri, iletişim hatları vb. varlıklar sistem kaynağı olarak kabul edilir.

Shirey (1994) tehditleri dört ana sınıfla incelemiştir. Bunlar şöyle sıralanabilir: Bunlar şöyle sıralanabilir: 1. Ele geçirme: Gözetleme, ifşa etme veya yetkisiz bilgiye erişim, 2. Uydurma/Üretme: Aldatma veya sahte verilerin kabul edilmesi, 3. Kesinti: Bozulma, kesinti veya doğru çalışmayı engelleme, 4. Değişiklik: Zorla el koyma veya bir sistemin bir bölümünün yetkisiz kontrolü; sadece yetkisiz erişim elde etmekle kalmaz, aynı zamanda bilgiyi değiştirir.

Araya girme (Snooping), bilginin izinsiz bir şekilde ele geçirilmesidir ve bir gözetleme biçimi olarak değerlendirilir.

Pasif olarak “hatta girme”, hattı dinleyerek bir ağın izlendiği gözetleme biçimidir.

Sahtecilik veya olduğundan başkası gibi görünmek, bir varlığın başkasının kimliğine bürünerek sistemde yetkisi olmayan servislerden faydalanması ya da sisteme erişerek sistemin doğru çalışmasını engellemek istemesidir.

Yeni sürümde görülen en önemli fark, bilgi güvenliği hedeflerinin özelliklerinin ayrıntılı olarak verilmesidir. Bu özellikler:
- Bilgi güvenliği politikasına uyumlu olması,
- Kurum içinde yaygınlaştırılmış olması,
- Hedeflerin ölçülebilir olması,
- Bilgi güvenliği gereksinimlerini dikkate alması,
- Risk değerlendirme sonuçlarını göz önünde bulundurması ve
- Uygun aralıklarla revize edilerek güncellenmesi olarak sayılabilir.

Bilgisayar tabanlı bir sistemin zararlı yazılımlardan korunması amacıyla aşağıda sıralanan önlemlerin alınması gerekir.
- Sistem üzerinde kurulu uygulamaları düzenli aralıklarla denetleyin, artık kullanılmayan programları sistem üzerinden kaldırın.
- Sistem üzerindeki programların son güncellemelerini yükleyin.
- Sisteme giriş yapan kullanıcıların girişlerini denetleyin ve parola politikanızı güçlü parola kullanımını zorunlu kılacak şekilde değiştirin.
- Sistemdeki trafiği izleyip müdahale edin ve izinsiz sistem girişlerini engelleyin.
- Sisteme yapılan uzaktan erişimi denetleyin ve güçlü bir erişim altyapısı kullanın.
- Bilgisayarınıza çok yönlü ve güvenlik duvarı içeren güçlü bir güvenlik yazılımı yükleyin.
- Özellikle işletim sisteminizi ve İnternet tarayıcılarınızı güncel tutun.
- Kimden geldiğini bilmediğiniz e-postaları açmayın.
- Kaynağını bilmediğiniz programları bilgisayarınıza yüklemeyin, çalıştırmayın.
- Ücretsiz yazılımlara dikkat edin, güvenlik açıkları barındırabilirler.
- Lisanslı yazılım kullanmaya özen gösterin.
- Önemli verilerinizin başka bir bellekte yedeklemesini mutlaka yapın.

Risk: Bilgi veya kaynak kaybı olasılığı, sistem güvenliğinde risk olarak tanımlanır. Belirli bir tehdidin sistemde bulunan bir güvenlik açığından yararlanarak sistemi zarara uğratma olasılığını ifade eder. Saldırgan: Sisteme saldıran kişi ya da kuruluş olarak tanımlanır. Saldırı: Sistem ve bilgi güvenliği önlemlerini aşmak için bir güvenlik açığından yararlanıp sisteme akıllı bir şekilde izinsiz girmeye denir. Sistemdeki güvenlik servislerini aşan ve güvenlik politikalarını ihlal eden kasıtlı bir girişimdir. Karşı Önlem: Sistem üzerindeki tehdidi, saldırıya açıklığı veya saldırının neden olabileceği zararları öngörüp bunları azaltarak ortadan kaldırmaya ya da engellemeye yönelik bir eylemdir. Bu amaca yönelik uygulanan araç, yöntem veya teknikler karşı önlem olarak adlandırılır. Sistem Kaynakları: Sistemin kendisi, sistem yetenekleri, sistem hizmetleri, donanım bileşenleri, iletişim hatları vb. varlıklar sistem kaynağı olarak kabul edilir.

Sistem güvenliği, bilgi sistemi kaynaklarının bütünlüğünü, erişilebilirliğini ve gizliliğini korumak amacıyla uygulanacak tedbirler bütünüdür.

Güvenlik Açığı: Sistemin güvenlik politikasını ihlal etmek için kullanılabilecek, sistemin tasarımında veya gerçeklemesinde ortaya çıkan, tasarımcı tarafından düşünülmemiş zayıflıklar olarak tanımlanır. Risk: Bilgi veya kaynak kaybı olasılığı, sistem güvenliğinde risk olarak tanımlanır. Belirli bir tehdidin sistemde bulunan bir güvenlik açığından yararlanarak sistemi zarara uğratma olasılığını ifade eder. Karşı Önlem: Sistem üzerindeki tehdidi, saldırıya açıklığı veya saldırının neden olabileceği zararları öngörüp bunları azaltarak ortadan kaldırmaya ya da engellemeye yönelik bir eylemdir. Bu amaca yönelik uygulanan araç, yöntem veya teknikler karşı önlem olarak adlandırılır. Sistem Kaynakları: Sistemin kendisi, sistem yetenekleri, sistem hizmetleri, donanım bileşenleri, iletişim hatları vb. varlıklar sistem kaynağı olarak kabul edilir. Güvenlik Politikası: Gizli kalması gereken verileri ve kritik sistem kaynaklarını korumak için sistemin güvenlik hizmetlerini nasıl sağladığını belirten birtakım kural ve uygulamalardan oluşan prensipler bütünüdür.

Sistem için güvenli tehditleri dört ana sınıfta incelemiştir. Bunlar şöyle sıralanabilir: 1. Ele geçirme Gözetleme, ifşa etme veya yetkisiz bilgiye erişim, 2. Uydurma/Üretme: Aldatma veya sahte verilerin kabul edilmesi, 3. Kesinti: Bozulma, kesinti veya doğru çalışmayı engelleme, 4. Değişiklik: Zorla el koyma veya bir sistemin bir bölümünün yetkisiz kontrolü; sadece yetkisiz erişim elde etmekle kalmaz, aynı zamanda bilgiyi değiştirir.

Kaba kuvvet saldırısı, bilgi güvenliği konusundaki en basit saldırı yöntemidir. Olası bütün parola ihtimallerinin denenmesi ile doğru parolanın bulunmasına dayanır.

Araya girme (Snooping), bilginin izinsiz bir şekilde ele geçirilmesidir ve bir gözetleme biçimi olarak değerlendirilir. Pasif bir tehdit biçimidir; tehdit eden varlığın sistemin bilgisini ve dosyalarını taraması veya iletişimini dinlemesi örnek olarak verilebilir. Pasif olarak “hatta girme”, hattı dinleyerek bir ağın izlendiği gözetleme biçimidir. Ağı oluşturan fiziksel kablo hatları nedeniyle “hatta girme” ya da “Telekulak” olarak adlandırılır. Sahtecilik veya olduğundan başkası gibi görünmek, bir varlığın başkasının kimliğine bürünerek sistemde yetkisi olmayan servislerden faydalanması ya da sisteme erişerek sistemin doğru çalışmasını engellemek istemesidir. Aldatma ve zorla el koyma tehdit sınıfları içinde değerlendirilen bir tehdit çeşididir. Değişikliğe uğratma veya modifikasyon, yetkisiz olarak bilginin değiştirilmesidir. Yukarıda bahsedilen tehdit sınıflarından üçünü birden kapsar. Modifikasyon ile asıl hedeflenen, aldatma tehdidi oluşturmaktır.

Yazılım güvenlik açıkları yazılım silme, yazılım değiştirme, yazılım hırsızlığı olmak üzere kendi içinde üç ayrı kısımda incelenebilir. Yazılım değiştirmeye örnek olarak Truva atı, virüs ve arka kapı uygulamaları verilebilir. Sistemlerde ortaya çıkan birçok güvenlik açığı, pratikte bir karşılığı bulunmayan veya yanlış değerlendirilen varsayımların sonucunda meydana gelir. Bu bağlamda düşünüldüğünde bir sömürme (exploit), kullanılan varsayımın yanlış olduğunu ispatlamanın bir yoludur. Exploit kelimesinin Türkçe anlamı kendi çıkarı için kullanmak, istismar etmek ve faydalanmaktır. Bilişim dünyasında ise “exploit” yani sömürme, bir sistem üzerinde var olan sistem açıklarından, kod hatalarından veya hatalı varsayımlardan faydalanarak istenmeyen veya planlanmamış hatalar oluşturmak için tasarlanmış küçük kod veya programlardır.

A, B ve C seçeneklerinde verilenler çeldirici olarak verilmiştir. Ayrıca güvenlik politikası, nelere izin verilip verilmeyeceğini belirleyen kurallar bütünüdür. Güvenlik mekanizması, bir güvenlik ilkesinin uygulanması için kullanılan yöntem, araç veya izlektir.

Bir güvenlik politikasının “güvenli” ve “güvenli olmayan” eylemlerinin tanımları göz önüne alındığında, bu güvenlik mekanizmaları sisteme karsı oluşabilecek saldırıyı önleyebilir, bu saldırıyı tespit edebilir veya saldırıdan kurtarabilir. Saldırılara karsı oluşturulan güvenlik politikasının hedefleri; saldırıları önleme, saldırıları tespit etme, saldırılardan kurtarma (Saldırılardan kurtulma iki biçimde ortaya çıkabilir. İlki, yapılan saldırıyı durdurmak ve bu saldırının yol açtığı hasarları değerlendirip onarmaktır. İkinci bir kurtarma biçimi ise sistem saldırı altındayken, sistemin çalışmasına devam etmesidir.).

Güvenlik açığı: Sistemin güvenlik politikasını ihlal etmek için kullanılabilecek sistemin tasarımında veya gerçekleşmesinde ortaya çıkan tasarımcı tarafından düşünülmemiş zayıflıklardır.

Tehdiit: Bir güvenlik açığından yararlanabilecek olası bir tehlikedir.