bilgi güvenliği – temel kavramlar · pdf fileağa sızma testleri kurum dışı...

Bilgi Güvenliği - Temel Kavramlar – Eylül 2002Bilgi Güvenliği - Temel Kavramlar – Eylül 2002

Bilgi Güvenliği – Temel KavramlarBilgi Güvenliği – Temel Kavramlar

Fatih ÖzavcıFatih Özavcı

IT Security ConsultantIT Security Consultant

[email protected]@siyahsapka.com

[email protected]@frontsite.com.tr


Sunu İçeriğiSunu İçeriği

Bilgi Güvenliği Kavramı ve Kapsamı Bilgi Güvenliği Kavramı ve Kapsamı

Risk ve TehditlerRisk ve Tehditler

Hareket Planı ve BileşenleriHareket Planı ve BileşenleriGüvenlik PolitikalarıGüvenlik Politikaları

Güvenlik UygulamalarıGüvenlik Uygulamaları

Denetleme ve İzlemeDenetleme ve İzleme

Sistem Yöneticilerinin Genel HatalarıSistem Yöneticilerinin Genel Hataları


Bilgi Güvenliği KavramıBilgi Güvenliği Kavramı

Bilişim ürünleri/cihazları ile bu cihazlarda işlenmekte Bilişim ürünleri/cihazları ile bu cihazlarda işlenmekte olan verilerin bütünlüğü ve sürekliliğini korumayı olan verilerin bütünlüğü ve sürekliliğini korumayı amaçlayan çalışma alanıdır.amaçlayan çalışma alanıdır.


Bilgi Güvenliğinin AmacıBilgi Güvenliğinin Amacı

Veri Bütünlüğünün KorunmasıVeri Bütünlüğünün Korunması

Erişim DenetimiErişim Denetimi

Mahremiyet ve Gizliliğin KorunmasıMahremiyet ve Gizliliğin Korunması

Sistem Devamlılığının SağlanmasıSistem Devamlılığının Sağlanması


6 132 252 406 773 1334 2340 2412 2573 2134 3734

9859

21756

52658

0

10000

20000

30000

40000

50000

60000

1988 1989 1990 1991 1992 1993 1994 1995 1996 1997 1998 1999 2000 2001

Cert/CC Yıllara Göre Rapor Edilen Olay SayısıCert/CC Yıllara Göre Rapor Edilen Olay Sayısı


Tehdit TürleriTehdit Türleri

Dahili Tehdit UnsurlarıDahili Tehdit Unsurları

Bilgisiz ve Bilinçsiz KullanımBilgisiz ve Bilinçsiz Kullanım

Kötü Niyetli HareketlerKötü Niyetli Hareketler

~ % 80~ % 80

Harici Tehdit UnsurlarıHarici Tehdit Unsurları

Hedefe Yönelmiş SaldırılarHedefe Yönelmiş Saldırılar

Hedef Gözetmeyen SaldırılarHedef Gözetmeyen Saldırılar

~ % 20~ % 20


Dahili Tehdit UnsurlarıDahili Tehdit Unsurları

Bilgisiz ve Bilinçsiz KullanımBilgisiz ve Bilinçsiz KullanımTemizlik Görevlisinin Sunucunun Fişini ÇekmesiTemizlik Görevlisinin Sunucunun Fişini Çekmesi

Eğitilmemiş Çalışanın Veritabanını SilmesiEğitilmemiş Çalışanın Veritabanını Silmesi

Kötü Niyetli HareketlerKötü Niyetli Hareketlerİşten Çıkarılan Çalışanın, Kuruma Ait Web Sitesini Değiştirmesiİşten Çıkarılan Çalışanın, Kuruma Ait Web Sitesini Değiştirmesi

Bir Çalışanının, Ağda “Sniffer” Çalıştırarak E-postaları OkumasıBir Çalışanının, Ağda “Sniffer” Çalıştırarak E-postaları Okuması

Bir Yöneticinin, Geliştirilen Ürünün Planını Rakip Kurumlara SatmasıBir Yöneticinin, Geliştirilen Ürünün Planını Rakip Kurumlara Satması


Harici Tehdit UnsurlarıHarici Tehdit Unsurları

Hedefe Yönelmiş SaldırılarHedefe Yönelmiş SaldırılarBir Saldırganın Kurum Web Sitesini DeğiştirmesiBir Saldırganın Kurum Web Sitesini Değiştirmesi

Bir Saldırganın Kurum Muhasebe Kayıtlarını DeğiştirmesiBir Saldırganın Kurum Muhasebe Kayıtlarını Değiştirmesi

Birçok Saldırganın Kurum Web Sunucusuna Hizmet Birçok Saldırganın Kurum Web Sunucusuna Hizmet Aksatma Saldırısı YapmasıAksatma Saldırısı Yapması

Hedef Gözetmeyen SaldırılarHedef Gözetmeyen SaldırılarVirüs Saldırıları (Melissa, CIH – Çernobil, Vote)Virüs Saldırıları (Melissa, CIH – Çernobil, Vote)

Worm Saldırıları (Code Red, Nimda)Worm Saldırıları (Code Red, Nimda)

Trojan Arka Kapıları (Netbus, Subseven, Black Orifice)Trojan Arka Kapıları (Netbus, Subseven, Black Orifice)


Saldırı KavramıSaldırı Kavramı

Kurum ve şahısların sahip oldukları tüm değer ve Kurum ve şahısların sahip oldukları tüm değer ve bilgilere izinsiz erişmek, zarar vermek, bilgilere izinsiz erişmek, zarar vermek, maddi/manevi kazanç sağlamak için bilişim maddi/manevi kazanç sağlamak için bilişim sistemleri kullanılarak yapılan her türlü hareket sistemleri kullanılarak yapılan her türlü hareket dijital saldırı olarak tanımlanabilir. dijital saldırı olarak tanımlanabilir.


Saldırgan TürleriSaldırgan Türleri

Profesyonel SuçlularProfesyonel Suçlular

Genç Kuşak SaldırganlarGenç Kuşak Saldırganlar

Kurum ÇalışanlarıKurum Çalışanları

Endüstri ve Teknoloji Endüstri ve Teknoloji CasuslarıCasusları

Dış Ülke yönetimleriDış Ülke yönetimleri


Saldırı YöntemleriSaldırı Yöntemleri

Hizmet Aksatma SaldırılarıHizmet Aksatma Saldırıları

Dağıtık Hizmet Aksatma SaldırılarıDağıtık Hizmet Aksatma Saldırıları

Ticari Bilgi ve Teknoloji HırsızlıklarıTicari Bilgi ve Teknoloji Hırsızlıkları

Web Sayfası İçeriği Değiştirme SaldırılarıWeb Sayfası İçeriği Değiştirme Saldırıları

Kurum Üzerinden Farklı Bir Hedefe SaldırmakKurum Üzerinden Farklı Bir Hedefe Saldırmak

Virüs , Worm , Trojan SaldırılarıVirüs , Worm , Trojan Saldırıları

İzinsiz Kaynak Kullanımıİzinsiz Kaynak Kullanımı


Saldırıya Uğrayabilecek DeğerlerSaldırıya Uğrayabilecek Değerler

Kurum İsmi, Güvenilirliği ve MarkalarıKurum İsmi, Güvenilirliği ve Markaları

Kuruma Ait Özel / Mahrem / Gizli BilgilerKuruma Ait Özel / Mahrem / Gizli Bilgiler

İşin Devamlılığını Sağlayan Bilgi ve Süreçlerİşin Devamlılığını Sağlayan Bilgi ve Süreçler

Üçüncü Şahıslar Tarafından Emanet Edilen BilgilerÜçüncü Şahıslar Tarafından Emanet Edilen Bilgiler

Kuruma Ait Adli, Ticari Teknolojik BilgilerKuruma Ait Adli, Ticari Teknolojik Bilgiler


Görülebilecek Zararın BoyutuGörülebilecek Zararın Boyutu

Müşteri MağduriyetiMüşteri Mağduriyeti

Kaynakların TüketimiKaynakların Tüketimi

İş Yavaşlaması veya Durmasıİş Yavaşlaması veya Durması

Kurumsal İmaj KaybıKurumsal İmaj Kaybı

Üçüncü Şahıslara Karşı Yapılacak Saldırı MesuliyetiÜçüncü Şahıslara Karşı Yapılacak Saldırı Mesuliyeti


Güvenlik İhtiyacının SınırlarıGüvenlik İhtiyacının Sınırları

Saldırıya Uğrayabilecek Değerlerin, Kurum Saldırıya Uğrayabilecek Değerlerin, Kurum İçin Arzettiği Önem Seviyesi Güvenlik İçin Arzettiği Önem Seviyesi Güvenlik İhtiyacının Sınırlarını Belirlemektedir.İhtiyacının Sınırlarını Belirlemektedir.


Hareket Planı BileşenleriHareket Planı Bileşenleri

Güvenlik Politikası OluşturulmasıGüvenlik Politikası OluşturulmasıSunulacak Hizmet Planının OluşturulmasıSunulacak Hizmet Planının OluşturulmasıErişim Seviyelerinin BelirlenmesiErişim Seviyelerinin BelirlenmesiBilgilendirme ve Eğitim PlanıBilgilendirme ve Eğitim PlanıSavunma Bileşenlerini BelirlemeSavunma Bileşenlerini BelirlemeYedekleme ve Kurtarma Stratejisi BelirlemeYedekleme ve Kurtarma Stratejisi Belirleme

Güvenlik Politikasının UygulamasıGüvenlik Politikasının UygulamasıKullanılacak Uygulamaların BelirlenmesiKullanılacak Uygulamaların BelirlenmesiUygulamaların Planlanan Biçimde YapılandırılmasıUygulamaların Planlanan Biçimde YapılandırılmasıBilgilendirme ve Eğitim SeminerleriBilgilendirme ve Eğitim Seminerleri

Denetleme ve İzlemeDenetleme ve İzlemeSistemin Politikaya Uygunluğunun DenetlenmesiSistemin Politikaya Uygunluğunun DenetlenmesiOturumların ve Hareketlerin İzlenmesiOturumların ve Hareketlerin İzlenmesiAğa Sızma TestleriAğa Sızma Testleri


Güvenlik PolitikasıGüvenlik Politikası

Kurumsal güvenliğin sağlanması sürecinde önemli Kurumsal güvenliğin sağlanması sürecinde önemli olan her bileşenin seçimi, yapılandırılması, izlenmesi olan her bileşenin seçimi, yapılandırılması, izlenmesi için oluşturulan ve yazılı ortama aktarılan kural ve için oluşturulan ve yazılı ortama aktarılan kural ve yöntemler listesidir.yöntemler listesidir.


Güvenlik Politikasının BileşenleriGüvenlik Politikasının Bileşenleri

Sunulacak Hizmet Planının OluşturulmasıSunulacak Hizmet Planının Oluşturulması

Erişim Seviyelerinin BelirlenmesiErişim Seviyelerinin Belirlenmesi

Bilgilendirme ve Eğitim PlanıBilgilendirme ve Eğitim Planı

Savunma Bileşenlerini BelirlemeSavunma Bileşenlerini Belirleme

Yedekleme ve Kurtarma Stratejisi BelirlemeYedekleme ve Kurtarma Stratejisi Belirleme


Güvenlik UygulamalarıGüvenlik Uygulamaları

Güvenlik DuvarlarıGüvenlik Duvarları Saldırı Tespit SistemleriSaldırı Tespit Sistemleri Anti-Virüs SistemleriAnti-Virüs Sistemleri Sanal Özel Ağ SistemleriSanal Özel Ağ Sistemleri Şifreleme SistemleriŞifreleme Sistemleri Sistem Güçlendirme (Hardening)Sistem Güçlendirme (Hardening) Doğrulama ve Yetkilendirme SistemleriDoğrulama ve Yetkilendirme Sistemleri İçerik Kontrol Yazılımlarıİçerik Kontrol Yazılımları Yedekleme SistemleriYedekleme Sistemleri


Güvenlik DuvarıGüvenlik DuvarıAğlar arası erişimleri düzenlerlerAğlar arası erişimleri düzenlerler

MimarileriMimarileri

Statik Paket FiltrelemeStatik Paket Filtreleme

Dinamik Paket Filtreleme (Stateful Inspection)Dinamik Paket Filtreleme (Stateful Inspection)

Uygulama Seviyesinde Koruma (Proxy)Uygulama Seviyesinde Koruma (Proxy)

Erişimleri kural tabanlı belirlerlerErişimleri kural tabanlı belirlerler

Donanım ve Yazılım olarak sunulabilirlerDonanım ve Yazılım olarak sunulabilirler

Amaca özel işletim sisteminde bulunmalıdırlarAmaca özel işletim sisteminde bulunmalıdırlar

Her türlü formatta kayıt ve uyarı sunabilirlerHer türlü formatta kayıt ve uyarı sunabilirler


Güvenlik Duvarı / Neler Yapabilir – YapamazGüvenlik Duvarı / Neler Yapabilir – Yapamaz

Erişim Denetimi YapabilirErişim Denetimi Yapabilir

NAT YapabilirNAT Yapabilir

Bridge (Köprü) Moda GeçebilirBridge (Köprü) Moda Geçebilir

Paket İçeriği Kontrol EdebilirPaket İçeriği Kontrol Edebilir

Trafik Yönetimi YapabilirTrafik Yönetimi Yapabilir

Üçüncü Parti Yazılımlar İle Üçüncü Parti Yazılımlar İle Beraber ÇalışabilirBeraber Çalışabilir

Saldırıları EngelleyemezSaldırıları Engelleyemez

Virüsleri EngelleyemezVirüsleri Engelleyemez

Zayıflıkları Saptayamaz, Zayıflıkları Saptayamaz, YamalayamazYamalayamaz

Ağlar Arası İletişimde Şifreleme Ağlar Arası İletişimde Şifreleme YapamazYapamaz


Güvenlik Duvarı Örnek YerleşimiGüvenlik Duvarı Örnek Yerleşimi

Güvenlik Duvarı

DMZ

Diğer Ağlar

Yerel Ağ

Router


Saldırı Tespit SistemleriSaldırı Tespit Sistemleri

Ağ TemelliAğ Temelli

Sunucu TemelliSunucu Temelli

Uygulama TemelliUygulama Temelli

Anormallik Saptama Anormallik Saptama TemelliTemelli

Saldırı İmzası Arama Saldırı İmzası Arama TemelliTemelli


Saldırı Tespit Sistemleri (Ağ Temelli ve Saldırı İmzası Arama)Saldırı Tespit Sistemleri (Ağ Temelli ve Saldırı İmzası Arama)

Belirli bir ağ parçasını dinleyerek saldırıları tespit etmeye çalışırlarBelirli bir ağ parçasını dinleyerek saldırıları tespit etmeye çalışırlar

Tanımlı olan imzalar ile saldırıları belirler ve engelleyebilirler (Worm Tanımlı olan imzalar ile saldırıları belirler ve engelleyebilirler (Worm

saldırıları dahildir)saldırıları dahildir)

Birden fazla yardımcı ile çalışarak, merkezi yönetim ve raporlama Birden fazla yardımcı ile çalışarak, merkezi yönetim ve raporlama

sağlayabilirlersağlayabilirler

Güvenlik Duvarı ve Yönlendirici üzerine, saldırı sonucu dinamik kurallar Güvenlik Duvarı ve Yönlendirici üzerine, saldırı sonucu dinamik kurallar

koyabilirlerkoyabilirler

Köprü (Bridge) modunda çalışarak kendilerini gizleyebilirlerKöprü (Bridge) modunda çalışarak kendilerini gizleyebilirler

SMS, Pager, WinPopup, Sistem Kaydı, XML ve Veritabanı gibi uyarı ve SMS, Pager, WinPopup, Sistem Kaydı, XML ve Veritabanı gibi uyarı ve

kayıt çıktıları sağlayabilirlerkayıt çıktıları sağlayabilirler


Saldırı Tespit Sistemleri (Sunucu Temelli ve Saldırı İmzası Arama)Saldırı Tespit Sistemleri (Sunucu Temelli ve Saldırı İmzası Arama)

Özel dosyaları, sistem kayıtlarını ve sürücülerini izleyerek, değişiklikleri Özel dosyaları, sistem kayıtlarını ve sürücülerini izleyerek, değişiklikleri

rapor edebilirlerrapor edebilirler

Tanımlı olan imzalar ile saldırıları belirlerlerTanımlı olan imzalar ile saldırıları belirlerler

Sistemde aktif bulunan işlemleri takip edebilirlerSistemde aktif bulunan işlemleri takip edebilirler

Gerekli görüldüğü durumlarda erişimleri engelleyebilir, servis durdurabilir Gerekli görüldüğü durumlarda erişimleri engelleyebilir, servis durdurabilir

ve başlatabilirlerve başlatabilirler

SMS, Pager, WinPopup, Sistem Kaydı, XML ve Veritabanı gibi uyarı ve SMS, Pager, WinPopup, Sistem Kaydı, XML ve Veritabanı gibi uyarı ve

kayıt çıktıları sağlayabilirlerkayıt çıktıları sağlayabilirler


Saldırı Tespit Sistemleri Neler YapamazSaldırı Tespit Sistemleri Neler Yapamaz

Erişim Denetimi YapamazErişim Denetimi Yapamaz

Tanımlanmamış Saldırıları SaptayamazTanımlanmamış Saldırıları Saptayamaz

Virüsleri SaptayamazVirüsleri Saptayamaz

Zayıflıkları Saptayamaz, YamalayamazZayıflıkları Saptayamaz, Yamalayamaz

Ağlar Arası İletişimde Şifreleme YapamazAğlar Arası İletişimde Şifreleme Yapamaz

Yoğun Ağ Trafiğinde Performansları DüşerYoğun Ağ Trafiğinde Performansları Düşer

Şifrelenmiş Veriyi İnceleyemezŞifrelenmiş Veriyi İnceleyemez


Ağ Temelli Saldırı Tespit Sistemi Örnek YerleşimiAğ Temelli Saldırı Tespit Sistemi Örnek Yerleşimi

DMZ

Yerel Ağ

Güvenlik Duvarı

Ağ Temelli Saldırı Tespit Sistemi

Diğer Ağlar

Router


Sunucu Temelli Saldırı Tespit Sistemi Örnek YerleşimiSunucu Temelli Saldırı Tespit Sistemi Örnek Yerleşimi

Sunucu Temelli Saldırı Tespit Sistemi

Pine ile e-posta okuma

/etc/shadow Dosyasını Okuma

Kernel’da Bellek Taşırmaya Çalışma


Anti-Virüs SistemleriAnti-Virüs Sistemleri

Virüs, Worm ve Trojanları tanımlı imzaları ile saptarlarVirüs, Worm ve Trojanları tanımlı imzaları ile saptarlar

İmzaları tanımlanmanmış virüsleride çeşitli yöntemler ile saptayabilen İmzaları tanımlanmanmış virüsleride çeşitli yöntemler ile saptayabilen

örnekleri mevcutturörnekleri mevcuttur

Virüs imzaları bir veritabanında tutulur ve İnternet aracılığıyla düzenli Virüs imzaları bir veritabanında tutulur ve İnternet aracılığıyla düzenli

olarak güncellenirolarak güncellenir

Ağdaki tüm sistemleri korumadıkça anlamlı değillerdirAğdaki tüm sistemleri korumadıkça anlamlı değillerdir

Bir ağ parçasını, belirli bir trafiği, bir sunucu yada bir istemciyi Bir ağ parçasını, belirli bir trafiği, bir sunucu yada bir istemciyi

koruyabilirlerkoruyabilirler


Tanımlanmamış Virüsleri Tanımlanmamış Virüsleri SaptayabilirSaptayabilir

Tek Merkezden Tek Merkezden YönetilebilirYönetilebilir

Ağ Geçidi OlabilirAğ Geçidi Olabilir

Bridge (Köprü) Moda Bridge (Köprü) Moda GeçebilirGeçebilir

Güvenlik Duvarları İle Güvenlik Duvarları İle Beraber ÇalışabilirBeraber Çalışabilir

Worm Saldırılarını Worm Saldırılarını EngelleyemezEngelleyemez

Şifrelenmiş Dosyalarda Şifrelenmiş Dosyalarda Virüs SaptayamazVirüs Saptayamaz

Erişim Denetimi YapamazErişim Denetimi Yapamaz

Saldırıları SaptayamazSaldırıları Saptayamaz

Zayıflıkları Saptayamaz / Zayıflıkları Saptayamaz / YamalayamazYamalayamaz

Anti-Virüs Sistemleri Neler Yapabilir - YapamazAnti-Virüs Sistemleri Neler Yapabilir - Yapamaz


Anti-Virüs Sistemleri Örnek YerleşimiAnti-Virüs Sistemleri Örnek Yerleşimi

Yönetim Konsolu

CVP Uyumlu Anti-Virüs Sistemi

Ağ Geçidi Anti-Virüs Sistemi

Güvenlik Duvarı

DMZ

Yerel Ağ

Diğer Ağlar

Router


Sanal Özel Ağ SistemleriSanal Özel Ağ Sistemleri

Birden fazla sistem veya ağın, güvensiz ağlar üzerinden, Birden fazla sistem veya ağın, güvensiz ağlar üzerinden,

güvenli iletişimini sağlayan ağ bileşenleridirgüvenli iletişimini sağlayan ağ bileşenleridir

Donanım ve yazılım olarak bulunabilirlerDonanım ve yazılım olarak bulunabilirler

IPSec, PPTP, LIPSec, PPTP, L22TP, SSH gibi protokolleri kullanarak TP, SSH gibi protokolleri kullanarak

iletişimin şifrelenmesini sağlarlariletişimin şifrelenmesini sağlarlar

Harici onaylama sistemleri ile beraber kullanılmaları Harici onaylama sistemleri ile beraber kullanılmaları

önerilmektedirönerilmektedir


Sanal Özel Ağ Sistemleri Neler Yapabilir – Yapamaz Sanal Özel Ağ Sistemleri Neler Yapabilir – Yapamaz

Erişim Denetimi Erişim Denetimi YapabilirYapabilir

Veri Trafiğini Farklı Veri Trafiğini Farklı Algoritmalarla Algoritmalarla Şifreleyebilir Şifreleyebilir

Üçüncü Parti Yazılımlar Üçüncü Parti Yazılımlar İle Beraber Çalışabilirİle Beraber Çalışabilir

Saldırıları Saldırıları EngelleyemezEngelleyemez

Virüsleri EngelleyemezVirüsleri Engelleyemez

Zayıflıkları Saptayamaz, Zayıflıkları Saptayamaz, YamalayamazYamalayamaz


Şifreleme SistemleriŞifreleme Sistemleri

İnternet ortamında verilerin güvenli şekilde aktarımını, İnternet ortamında verilerin güvenli şekilde aktarımını,

bütünlüğünü ve gönderenin doğruluğunu sağlamaktadırlarbütünlüğünü ve gönderenin doğruluğunu sağlamaktadırlar

Mail, Dosya, Disk ve Veri trafiğini şifreleyebilmektedirlerMail, Dosya, Disk ve Veri trafiğini şifreleyebilmektedirler

Des, MDDes, MD55, , 33Des, Sha-Des, Sha-11 gibi çeşitli algoritmalar gibi çeşitli algoritmalar

kullanmaktadırlarkullanmaktadırlar


Sistem Güçlendirme (Hardening)Sistem Güçlendirme (Hardening)

Sunucuların Ele Geçirilme İhtimallerini Azaltmak veya Ele Geçirildiğinde Sunucuların Ele Geçirilme İhtimallerini Azaltmak veya Ele Geçirildiğinde Saldırganın Hareket Alanını Kısıtlamak İçin YapılırSaldırganın Hareket Alanını Kısıtlamak İçin Yapılır

Kritik Dosyalara ve Donanımlara Erişim KısıtlanırKritik Dosyalara ve Donanımlara Erişim Kısıtlanır

Kullanıcı ve Grupların Yetkileri ve Şifre Politikaları DüzenlenirKullanıcı ve Grupların Yetkileri ve Şifre Politikaları Düzenlenir

Sisteme Var Olan Tüm Yamalar UygulanırSisteme Var Olan Tüm Yamalar Uygulanır

Gerekli Olmayan Yazılımlar ve Servisler Sistemden ÇıkarılırGerekli Olmayan Yazılımlar ve Servisler Sistemden Çıkarılır

Sistem İzleme Politikaları Belirlenir ve Uygun Kayıt Tutma Mekanizması Sistem İzleme Politikaları Belirlenir ve Uygun Kayıt Tutma Mekanizması SeçilirSeçilir


Tek Merkezden Doğrulama ve Yetkilendirme Yapılması Tek Merkezden Doğrulama ve Yetkilendirme Yapılması HedeflenmektedirHedeflenmektedir

Kullanıcı ve Yetki Doğrulaması YapılırKullanıcı ve Yetki Doğrulaması Yapılır

Sertifika, Biometrik Cihazlar, Tek Kullanımlık Şifreler, Sertifika, Biometrik Cihazlar, Tek Kullanımlık Şifreler, Doğrulama ve Yetkilendirme Sistemleri Tarafından Doğrulama ve Yetkilendirme Sistemleri Tarafından KullanılabilirKullanılabilir

Güvenlik Duvarları ve Sanal Özel Ağ Sistemleri İle Güvenlik Duvarları ve Sanal Özel Ağ Sistemleri İle Bütünleşik ÇalışabilirlerBütünleşik Çalışabilirler

Doğrulama ve Yetkilendirme SistemleriDoğrulama ve Yetkilendirme Sistemleri


İçerik Kontrol Yazılımlarıİçerik Kontrol Yazılımları

Web Sayfalarının İçeriğinin Kontrol Edilmesini HedeflerlerWeb Sayfalarının İçeriğinin Kontrol Edilmesini Hedeflerler

Porno, Oyun, Siyasi ve Tehdit İçerebilecek Siteleri Porno, Oyun, Siyasi ve Tehdit İçerebilecek Siteleri FiltrelemektedirlerFiltrelemektedirler

Bir Veritabanı Aracılığıyla Düzenli Olarak Site Adresleri Bir Veritabanı Aracılığıyla Düzenli Olarak Site Adresleri GüncellenirGüncellenir

Güvenlik Duvarları veya Proxy Yazılımları İle Bütünleşik Güvenlik Duvarları veya Proxy Yazılımları İle Bütünleşik ÇalışabilirlerÇalışabilirler


Yedekleme SistemleriYedekleme Sistemleri

Merkezi Olarak Veri ve Sistem Yedeklemesi Merkezi Olarak Veri ve Sistem Yedeklemesi HedeflenmektedirHedeflenmektedir

Artımlı Yedekleme, Toplam Yedekleme Gibi Farklı Artımlı Yedekleme, Toplam Yedekleme Gibi Farklı Politikalarla Yedekleme YapılmaktadırPolitikalarla Yedekleme Yapılmaktadır

Özel Donanımlar İle Ağ Üzerindeki Tüm Sistemlerinin Özel Donanımlar İle Ağ Üzerindeki Tüm Sistemlerinin Yedeklenmesi SağlanabilmektedirYedeklenmesi Sağlanabilmektedir

Yedekler Düzenli Olarak Kontrol Edilmeli ve Kayıt Ortamı Yedekler Düzenli Olarak Kontrol Edilmeli ve Kayıt Ortamı Sürekli Olarak DeğiştirilmelidirSürekli Olarak Değiştirilmelidir

Yedeklerin Fiziksel Güvenliği SağlanmalıdırYedeklerin Fiziksel Güvenliği Sağlanmalıdır


Denetleme ve İzlemeDenetleme ve İzleme

Ağın, Belirlenen Güvenlik Politikalarına Uygunluğu Test Ağın, Belirlenen Güvenlik Politikalarına Uygunluğu Test Edilmeli ve Düzenli Olarak Erişimler İzlenmelidirEdilmeli ve Düzenli Olarak Erişimler İzlenmelidir

Merkezi Kayıt Sistemleri KurulmalıdırMerkezi Kayıt Sistemleri Kurulmalıdır

Güvenlik Uygulamaları Tarafından Tutulan Kayıtlar Düzenli Güvenlik Uygulamaları Tarafından Tutulan Kayıtlar Düzenli Olarak İzlenmelidirOlarak İzlenmelidir

Denetleme ve İzleme İşlemleri Düzenli Olarak Raporlanmalı Denetleme ve İzleme İşlemleri Düzenli Olarak Raporlanmalı ve Geçmişe Dönük Karşılaştırmalar Yapılmalıdırve Geçmişe Dönük Karşılaştırmalar Yapılmalıdır


Denetleme ve İzleme UygulamalarıDenetleme ve İzleme Uygulamaları

Ağ İzleme YazılımlarıAğ İzleme Yazılımları

Zayıflık Tarama SistemleriZayıflık Tarama SistemleriAğ Temelli Zayıflık Tarama SistemleriAğ Temelli Zayıflık Tarama SistemleriSunucu Temelli Zayıflık Tarama SistemleriSunucu Temelli Zayıflık Tarama SistemleriUygulama Temelli Zayıflık Tarama SistemleriUygulama Temelli Zayıflık Tarama Sistemleri

Kayıt Tutma ve Raporlama YazılımlarıKayıt Tutma ve Raporlama Yazılımları

Ağa Sızma TestleriAğa Sızma Testleri


Ağ İzleme YazılımlarıAğ İzleme Yazılımları

Ağ üzerinde Sniffer gibi çalışarak aktif olan Ağ üzerinde Sniffer gibi çalışarak aktif olan protokollere dair istatistikler tutmaktadırlarprotokollere dair istatistikler tutmaktadırlar

Ağda Sorun Gidermeyi ve Performans Arttırıcı Ağda Sorun Gidermeyi ve Performans Arttırıcı İpuçlarını Sistem Yöneticisine Vermeyi Hedeflerlerİpuçlarını Sistem Yöneticisine Vermeyi Hedeflerler

Ayrıca ağ üzerindeki şifrelenmemiş verileri ve Ayrıca ağ üzerindeki şifrelenmemiş verileri ve protokolleri yakalamayı ve incelemeyi sağlarlarprotokolleri yakalamayı ve incelemeyi sağlarlar


Zayıflık Tarama SistemleriZayıflık Tarama Sistemleri

Yayınlanmış, bilinen uygulama ve sistem zayıflıklarını test eden araçlardırYayınlanmış, bilinen uygulama ve sistem zayıflıklarını test eden araçlardır

Veritabanlarında bulunan zayıflıkları hiçbir özel yöntem uygulamadan test Veritabanlarında bulunan zayıflıkları hiçbir özel yöntem uygulamadan test

etmektedirleretmektedirler

Zaman içerisinde oluşabilecek zayıflıkları düzenli takip etmeyi sağlarlarZaman içerisinde oluşabilecek zayıflıkları düzenli takip etmeyi sağlarlar

Script dilleri sayesinde yeni zayıflıklar kolayca tanımlanabilirScript dilleri sayesinde yeni zayıflıklar kolayca tanımlanabilir

33 farklı mimaride çalışabilirler : Ağ Temelli, Uygulamaya özel ve Sunucu farklı mimaride çalışabilirler : Ağ Temelli, Uygulamaya özel ve Sunucu

TemelliTemelli


Zayıflık Tarama Sistemi Çalışma PrensibiZayıflık Tarama Sistemi Çalışma Prensibi

Güvenlik Duvarı

DMZ

Diğer Ağlar

Yerel Ağ

Zayıflık Tarama Sistemi

saldırı

tepkiSaldırı başarılı, zayıflık varSaldırı başarısız, zayıflık yok

Router


Kayıt Tutma ve Raporlama YazılımlarıKayıt Tutma ve Raporlama Yazılımları

Merkezi Kayıt Sunucusu Oluşturmayı Merkezi Kayıt Sunucusu Oluşturmayı HedeflemektedirlerHedeflemektedirler

Ağ Üzerinde Kayıt Aktarımını Şifreli Olarak Ağ Üzerinde Kayıt Aktarımını Şifreli Olarak SağlayabilirlerSağlayabilirler

Farklı Sistemlerde Tutulan Kayıtları Özelleştirebilir Farklı Sistemlerde Tutulan Kayıtları Özelleştirebilir ve Gruplayabilirlerve Gruplayabilirler

Raporları Belirli Özelliklerine Göre Grafiklerle İfade Raporları Belirli Özelliklerine Göre Grafiklerle İfade EdebilirlerEdebilirler


Ağa Sızma TestleriAğa Sızma Testleri

Kurum Dışı Kişiler Tarafından, Bir Saldırganın Kurum Dışı Kişiler Tarafından, Bir Saldırganın Uyguladığı Yöntemler İle Ağa Saldırılması Anlamına Uyguladığı Yöntemler İle Ağa Saldırılması Anlamına GelmektedirGelmektedir

Denetleme ve İzleme İşlemlerinin Son AdımıdırDenetleme ve İzleme İşlemlerinin Son Adımıdır

Tüm Ağ ve Servis Yerleşimi Tamamlandıktan Sonra Tüm Ağ ve Servis Yerleşimi Tamamlandıktan Sonra YapılmalıdırYapılmalıdır

Çeşitli Yazılımların Kullanımına Ek Olarak İnsan Çeşitli Yazılımların Kullanımına Ek Olarak İnsan Unsuru Öne ÇıkmaktadırUnsuru Öne Çıkmaktadır


Sistem Yöneticilerinin Yaptığı En Büyük HatalarSistem Yöneticilerinin Yaptığı En Büyük Hatalar

Sistemde gerekli önlemleri uygulamadan ve yapılandırmayı tamamlamadan, sistemi internete Sistemde gerekli önlemleri uygulamadan ve yapılandırmayı tamamlamadan, sistemi internete bağlamakbağlamakSisteme kurulan uygulamaları varsayılan yapılandırmaları ve varsayılan şifreleri ile kullanmakSisteme kurulan uygulamaları varsayılan yapılandırmaları ve varsayılan şifreleri ile kullanmakSisteme gerekli güncelleme ve yamaları (yayınlandığı halde) uygulamamak ve eski sürümlerle Sisteme gerekli güncelleme ve yamaları (yayınlandığı halde) uygulamamak ve eski sürümlerle çalışmakçalışmakSistemi yönetirken güvensiz protokoller kullanmak (telnet, nfs vb.)Sistemi yönetirken güvensiz protokoller kullanmak (telnet, nfs vb.)Kullanıcıdan emin olmadan şifresini vermekKullanıcıdan emin olmadan şifresini vermekSistemde yapılması gerekli olan yedeklemeleri yapmamak, alınan yedekleri kontrol etmemekSistemde yapılması gerekli olan yedeklemeleri yapmamak, alınan yedekleri kontrol etmemekSistemin hizmeti sırasında gerekli olmayan servisleri çalıştırmak (nfs, telnet, ftp, portmap, Sistemin hizmeti sırasında gerekli olmayan servisleri çalıştırmak (nfs, telnet, ftp, portmap, finger vb.)finger vb.)Güvenlik duvarı yapılandırırken tüm paketlere izin vermekGüvenlik duvarı yapılandırırken tüm paketlere izin vermekAnti-Virüs Yazılımlarının, İçerik Kontrol Yazılımlarının ve Saldırı Tespit Sistemlerinin Anti-Virüs Yazılımlarının, İçerik Kontrol Yazılımlarının ve Saldırı Tespit Sistemlerinin veritabanlarını güncellememek veya bu yazılımları kullanmamakveritabanlarını güncellememek veya bu yazılımları kullanmamakÇalışanları güvenlik politikası konusunda bilinçlendirmemek, tehlikeli durumlarda ne Çalışanları güvenlik politikası konusunda bilinçlendirmemek, tehlikeli durumlarda ne yapabileceği konusunda eğitmemekyapabileceği konusunda eğitmemekSistemi, eğitimini tamamlamamış çalışanlara emanet etmekSistemi, eğitimini tamamlamamış çalışanlara emanet etmek


Sorular ?Sorular ?


Teşekkürler.....Teşekkürler.....

bilgi güvenliği – temel kavramlar · pdf fileağa sızma testleri kurum dışı...

Documents