Kurumsal Kaynak Planlama Yazılımı (ERP) güvenliği

İş hayatına ilk başladığım yıllarda ERP çok moda bir kelimeydi. Şirketler kurumsal kaynak planlama yazılımlarına yatırım yapıyor, fabrikalardaki süreçler bunlara aktarılıyor ve patronlar oturdukları yerden üretimi, satışları ve finansal durumu “anında” görüyorlardı. “Anında” diyorum çünkü bu şimdiki haliyle “anında” kavramından ziyade Müdürlerden birinin “kimse işlem yapmasın rapor çalıştıracağım” diye yaptığı bir uyarının ardından geçen 1-2 saatlik zaman dilimiydi.

Bugün geldiğimiz noktada “patron” durumu gerçekten anında görebiliyor. ERP yazılımlarının güvenliği ise, o yıllarda kimsenin umurunda olmayan bir konuyken, bugün güvenlik alanında çalışanların ciddi kafa yormasına neden olmaktadır.

ERP güvenliği neden zor?
Bütün yazılımlarda bulunan güvenlik zafiyetlerine ek olarak ERP yazılımlarının güvenlik açısından daha da zor bir konu haline gelmesine neden olan birkaç önemli nokta vardır;

1. ERP yazılımların karmaşık yapıları vardır
2. ERP yazılımları dış dünyadan yalıtılmıştır
3. Ağ katmanından uygulama katmanına kadar pek çok zafiyetten etkilenirler
4. Ya hiç ya da çok seyrek güncellenirler

KDBA 12 cilt tekmili birden 
Buna karşılık KDBA (Kulaktan Dolma Bilgiler Ansiklopedisi) kaynaklı bazı argümanlar ağ/sistem yöneticilerinin bir kısmının bu güvenlik sorunlarını görmezden gelmelerine neden olmaktadır.

1. Dış dünyayla bağlantısı olmadığı için ERP internet kaynaklı saldırılardan etkilenmez
2. ERP üreticisi firma güvenliği zaten sağlar
3. Kimse bize özel yazılmış bir modülde zafiyet aramakla uğraşmaz
4. Her kullanıcın yapabilecekleri zaten sınırlı

KDBA Cilt 1: Dış dünyayla bağlantısı yok
Kötü haberi hemen vereyim, aslında var. ERP yazılımınız doğrudan internete veya VPN ile başka bir ofise/fabrikaya bağlı olmayabilir, ama yazılımı kullandığınız ağ internete bağlı. 2015 yılında “o internete bağlı” değil demek, son derece özel bir kullanım şekliniz yoksa (örn: bütün sistem hiç bir yere bağlı olmayan tek bir bilgisayar üzerinde çalışmıyorsa) büyük ihtimalle ucundan/kıyısından internete bağlısınız. Bu durumda saldırganların ERP yazılımınıza giden bir yol bulması ve bunu kullanarak bu yazılımınızı hedef almaları pekala mümkün olacaktır.
Gelişen iş yapış biçimleri nedeniyle bazı durumlarda uygulamanın doğrudan internete açılması da gerekebilir. Bu durumda ERP yazılımı, internet uygulamalarına karşı gördüğümüz saldırıların tamamından etkilenecektir. İnternet üzerinden erişilebilir durumda olan bir ERP yazılımının kullanıcılarının sosyal mühendislik saldırılarının hedefi olacağını da burada belirtmekte fayda var.

KDBA Cilt 2: ERP Üreticisi firma güvenliği zaten sağlar
Kötü haber var, daha kötü haber var. Kötü haber; hayır ERP üreticisi güvenliği sağlamıyor. Daha kötü haber; çoğu lisans anlaşmasında ERP üreticisi firmanın böyle bir sorumluluğu da yok. Peki bu ERP yazılımı üreten firmanın bize istediğini satabileceği anlamına mı geliyor?
Tabii ki hayır. Yazılım üreticileri teknik aksaklıklar, yazılım ve mimari hataları düzeltmek ve bunlara karşı tedbir almak için çok sıkı çalışıyorlar zaten.
Ancak bunların dışında kalan aşağıdaki konular büyük ölçüde ERP yazılımını kullananların sorumluluğundadır:

• Kurulum sırasında yapılan mimari hatalar
• Fabrika ayarlarında bırakılan konfigürasyonlar / konfigürasyon hataları
• Kullanıcı hataları
• Yama ve güncellemelerin yapılması
• Eksik/yanlış politika ve süreçler

Kısaca ERP yazılımını üreten firma size güvenli bir yazılım teslim etse bile kurulum, konfigürasyon ve kullanım sırasında yapılabilecek hatalar güvenlik zafiyetlerine neden olabilir.

KDBA Cilt 3: Kimse bize özel yazılmış bir modülde zafiyet aramakla uğraşmaz
Öyle ya Windows işletim sisteminde bir zafiyet bulup şan, şöhret ve para kazanmak dururken kim bizim ABAP’ta haftalarca uğraşıp zar zor yazdığımız bu modülle uğraşsın? İşin gerçeği bir saldırganın kendi kullanımınız için geliştirdiğiniz bir modülde zafiyet bulması Windows gibi bir sistemde zafiyet bulmasından çok daha kolaydır. ERP yazılımlarının da kurumsal bütçeye yakın uygulamalar olmaları (dolayısıyla para çalmak isteyen bir saldırgan için cazip bir hedef) bu uğraşı haklı çıkartacaktır. Önceki iki varsayımın sonucu olarak çoğu ERP yazılımı ve modülü günümüz saldırganları tarafından kullanılan tekniklere karşı oldukça savunmasızdır. Windows, MAC OS, Linux, iOS gibi yaygın işletim sistemleri üzerinde binlerce kişi her gün zafiyetler ararken bu taramadan hiç geçmemiş, dolayısıyla hiç bir açığı tespit edilip kapatılmamış modülünüz büyük ihtimalle saldırgan karşısında fazla dayanamayacaktır.

KDBA Cilt 4: Her kullanıcın yapabilecekleri zaten sınırlı
Görevler ayrılığı ilkesi gereği her kullanıcının yetkilerini özel olarak ayarlamış olabilirsiniz. Bu zaten yapılması gereken birşey ve, ne yazık ki, tek başına bir güvenlik tedbiri sayılamaz. OWASP tarafından yayınlanan Kurumsal uygulama güvenlik zafiyetleri Top 10 listesi (OWASP Enterprise Application Security Project) tarafından ortaya konulan en yaygın olarak görülen güvenlik zafiyetleri listesinde kullanıcı hakları yönetiminden kaynaklı zafiyetler ancak üçüncü sırada yer almaktadır. Yama ve güncellemelerin yapılmaması ve fabrika çıkışı (default) parola kullanımı çok daha büyük sorunlardır.

ERP güvenliğinin zorlukları
Başta söylediğim gibi ERP yazılımları karmaşık yapılar üzerine kuruludur ve karmaşık olan herşeyin güvenliğinin sağlanması zordur. ERP güvenliği için yapılabilecek 5 basit şey sıralamak gerekirse aşağıdaki liste bize bir ölçüde yol gösterecektir.

1. Güvenli bir ERP yazılımı bulmak: Çoğu üreticinin yazılımları nispeten güvenlidir. Size özel gelişitirilen veya sizden başka çok az kullanıcısı olan yazılımlarının güvenliği konusunda endişeleriniz varsa yazılımı almadan önce tarafsız bir şirketten yazılım güvenliğine ve performansına ilişkin testlerin yapılmasını ve bulunan zafiyetlerin giderilmesini talep edebilirsiniz.

2. Güvenli bir kurulum yapmak
Yazılımın kurulacak ağ mimarisinin güvenli olması, yazılımın çalışacağı sunucuların işletim sistemlerinin güvenliği, fabrika çıkışı kullanıcı adları ve parolaların değiştirilmesi, üretici tarafından sunulan ek güvenlik seçenekleri/modülleri varsa bunların devreye alınması gibi konular titizlikle ele alınmalıdır.

3. Yazılımı yönetenlerin eğitimini sağlamak
ERP yazılımı üzerinde hangi değişikliklerin nasıl yapılacağının belirlenmesi, hangi kullanıcıların hangi yetkilerle bu yazılıma erişebileceği, uzaktan erişim şartlarının ne olduğu, kullanıcı davranışlarının ve veri tabanı hareketlerinin nasıl izleneceği gibi konular ele alınmalıdır.

4. Kullanıcı farkındalığının artırılması
Kullanıcıların oltalama saldırıları gibi sosyal mühendislik saldırılarına karşı bilinçlendirilmesi bu saldırılara karşı alınabilecek en etkili tedbirdir. Kullanıcı eğitimlerine güvenlik konusu mutlaka dahil edilmelidir.

5. Süreçlerin sürekli denetlenmesi
ERP yazılımının, kullanıcılarının ve veritabanının sürekli izlenmesi ve saldırgan veya alışılmışın dışında gözlemlenen hareketlerin hızlıca tespit edilip gerekli müdahalelerin yapılması hayati önem taşımaktadır.

Tıbbi Cihazların Hacklenmesi

Billy Rios adlı bir Bilgi Güvenliği Uzmanı geçtiğimiz yaz ölümcül bir durumla karşı karşıya kalmasına neden olan bir durumda hastanenin acil servisine girdiğinde kendi durumunun kritikliğine çok az odaklanabilmişti. Bunun nedeni ise, acil serviste gördüğü otomatik ilaç pompalarını daha önce yürüttüğü bir güvenlik araştırmasından hatırlamasıydı. Bilgi Güvenliği Uzmanının beyin omurilik sıvısın burnundan akıyor olmasından çok, onu bağlayacakları ilaç pompasının “hacklenmesi” konusunun endişelendirmesinin somut bir nedeni vardı.

Rios’un tespit ettiği zafiyet her hangi birinin internet üzerinden pompanın ilaçlar için belirlediği üst ve alt doz miktarlarını değiştirmesine imkan veriyordu. Bu güvenlik açığından faydalanan bir hacker pompaların ölümcül sınırların üstünde ilaç verip hastaların ölümüne neden olmalarını sağlayabilirdi.

Bu konuda araştırma yapan başka bilgi güvenliği uzmanları daha önce internet üzerinden erişilebilir ve yönetilebilir halde insülin pompaları, defribilatör ve çeşitli tıbbi cihaz tespit etmişlerdi. 2011 yılında Jerome Radcliffe adlı bir araştırmacı birkaç dolarlık basit bir düzenek kurarak otomatik insülin pompalarının dozlarının uzaktan değiştirilebileceğini göstermiş ve ondan beri her sene kalp pilinden, radyoloji cihazlarına kadar pek çok tıbbi cihaz için yeni “hacklenme” yöntemleri ortaya çıkmaktadır.

  Üzgünüz, böbreğinizi “hacklemişler” (temsili) 

İlaçları hastalara otomatik olarak veren bu pompaların üreticilerinin dokümanları cihazların yazılımlarında “insan hatasından kaynaklanan nedenlerle yanlış doz kullanımı” durumlarına karşı ek tedbirlerin bulunduğu açıkça belirtmektedir. Rios tarafında tespit edilen güvenlik zafiyeti ise, cihazın hastane yönetim sistemi ile kurduğu iletişime müdahale ederek, sistemden alması gereken güncelleme yerine saldırgan tarafından gönderilen sahte güncellemenin cihaza yüklenmesine imkan veriyor. Bu sayede hacker pompanın kendi üzerinde bulunan ve bu tür müdahalelere karşı bir miktar koruması bulunan yazılıma saldırmak yerine bu pompaları merkezi olarak yöneten yazılıma müdahale ederek amacına ulaşabilir.

Billy Rios, markasını burada vermeyeceğim ancak dünya genelinde 55,000’den fazla hastanede kullanılan bu ilaç pompalarını yöneten yazılımda 4 farklı güvenlik zafiyeti tespit etmiştir.

Tespit ettiği bu yazılım kaynaklı güvenlik zafiyetlerine ek olarak sistemlerin güncellemeleri için kullanılan işlemlerde de önemli bir zafiyet bulunmaktadır. Akıllı telefonlarımızın güncelleme indirirken güncellemenin kaynağını ve indirilen güncelleme dosyasının bütünlüğünü kontrol etmesini sağlayan bazı tedbirler vardır ve bu nedenle her hangi birinin size “uygulama güncellemesiymiş gibi” zararlı yazılım gönderme imkanı yoktur. Rios, yaptığı çalışmalarda, yazılımda tespit ettiği güvenlik zafiyetlerine ek olarak bu tür bir kontrolün de yapılmadığını görmüş. Bu zafiyet her hangi birinin “güncelleme” dosyası gibi görünen bir zararlı yazılımı pompaya yükleyerek pompanın yönetimini ele geçirmesine imkan verebilir.

Her geçen gün, kardiyolojiden onkolojiye kadar geniş bir yelpazede kullanılan başka cihazların da hastane yönetim sistemleri ile bağlantılı halde (güncelleme, doz, tedavi veya hasta bilgisi gibi verileri gönderip aldığı) çalışmaya başlaması tıbbi cihazların güvenliği konusunu gündemimize taşımaktadır. Nesnelerin interneti konusunun somutlaşmaya başladığı bu günlerde, özellikle acil servis gibi noktalarda cihazların gerçek zamanlı veri akışına imkan verecek biçimde birbirine veya bir sisteme bağlı olması hayat kurtarabilecek bir gelişmedir.

Geçtiğimiz senenin Ekim ayında A.B.D. İç Güvenlik Bakanlığı (U.S. Department of Homeland Security) 20’den fazla tıbbi cihazın hackerlar tarafından ele geçirilebileceği düşüncesiyle geniş çaplı bir araştırma başlatmıştı. Reuters haber ajansına kimliğini gizleyerek açıklamalarda bulunan bir bakanlık yetkilisi, araştırmaların siber saldırı şüphesi üzerine başlatıldığını söylemişti. Söz konusu tıbbi cihazların “hacklenmesi” olduğunda 2007 yılında, o dönemin A.B.D. Başkan Yardımcısı olan Dick Chenney’in kullandığı kalp pilinin kablosuz iletişim özelliğini devreden çıkarttığını hatırlamadan edemeyiz. Bu konu çok geniş yankılar bulmuş ve bazı dizilerin senaryolarına bile eklenmişti.

Tıbbi cihazların “hacklenmesi” konusunda tek felaket senaryosu birilerinin uzaktan öldürülmesi ile sınırlı değildir. Bu cihazların hasta kayıtlarını ve verileri gönderdiği ve depoladığı sunucuların da bu cihazlarla olan iletişiminin güvenlik seviyesinin yetersiz olduğunu gösteren araştırmalar vardır. Bu seviyedeki güvenlik zafiyetlerinin istismar edilmesi hasta kayıtlarının silinmesine veya değiştirilip yanlış teşhis ve tedavilere neden olunmasına imkan verebilir.

Tıbbi cihazlarının güvenliği konusunda karşılaşılan en büyük sorunlardan birisi de bu cihazların yönetildiği ara yüzlerin internet üzerinden erişilemez olduğu ve sadece hastane içerisindeki bir bilgisayardan çalıştığı varsayıldığı için asgari güvenlik tedbirlerinin de bir bölümünün alınmamasıdır. Örneğin, hemşire bilgisayarından yönetilen veya takip edilen bir cihazın kontrol paneline ulaşmak için ya hiç parola istenmemesi veya “1234” gibi çok basit parolaların kullanılması, tıbbi cihazların güvenliğini olumsuz yönde etkilemektedir. Yaptığım güvenlik testlerinden birinde 100’e yakın hemşirenin kullandığı bir yazılımda “test” adlı tek bir kullanıcı gördüğümde inanamamıştım, sonradan bu kullanıcının hastane henüz yazılımı almadan denerken açıldığı ortaya çıkmıştı. Hastane yazılımı satınaldıktan sonra da kimse yeni kullanıcılar eklemekle uğraşmamış, mevcut kullanıcı bilgilerini paylaşıp kullanmaya devam etmişlerdi.

İnternete doğrudan bağlı olmasa bile başka cihaz veya sistemlerle kablolu veya kablosuz olarak her hangi bir şekilde iletişim kuran bütün cihazların “hacklenebilir” olduğunu hatırlayıp gerekli güvenlik tedbirlerinin alınmasında her zaman fayda vardır.

Laptopumu kaybettim hükümsüzdür

“Laptopumu açabildiğim her yer ofisim” söyleminin devamı olarak bazı kafelerin birçok ofisten fazla iş ürettiğine inanıyorum. 

Ankara’yı bilenler için bu “ofis kafelere” verilebilecek en iyi örnek şüphesiz Kafes Fırın’dır. Üniversite yıllarımda limonatası için gittiğim ve benziliğin içinde bir ufak bir kafe olan, şimdilerde ise iki görüşme arasında çalışmak için gittiğim Kafes Fırın kendini geliştirip her anlamda Ankara’nın gurur duyması gereken markalardan biri haline geldi. Ankara’ya iş için geldiyseniz ve vaktiniz olursa Eskişehir yolundaki Kafes Fırın’a mutlaka uğrayın. Ankara’daysanız ve şimdiye kadar gitmediyseniz de bu eksiğinizi hızlıca tamamlamanızı öneririm.

Hayır, burası kafe-yiyecek-içecek blogu olmadı. Mobil ofis konseptine girmişken keyifli bir ortamı ve lezzetli tatları paylaşmak istedim sadece.

Laptoplar ve tabletler sayesinde işimizi gittiğimiz her yere götürme imkanımızın olması bizlere çalışma alanı konusunda esneklik sağlarken beraberinde de bazı riskleri hayatımıza soktu. Bunların başında laptopumuzu kaybetmek veya çaldırmak geliyor. Belki ikinci planda laptopların, sıvı dökülmesi veya düşmesi sonucu fiziksel olarak hasar görmelerini sayabiliriz. Laptoplardan bahsederken aslında işimizi yapabilmemizi sağlayan bütün taşınabilir cihazlardan söz ediyorum, tabletlerimizi ve kurumsal e-posta alıp gönderdiğimiz akıllı telefonlarımızı da düşünmeliyiz.

Laptop kaybının gerçek değeri nedir?

 Kimimiz pahalı laptoplar kullanırken kimimiz ise şirketin verdiği, zor açılan ve zor kapanan eski laptoplar kullanıyor olabiliriz ancak yaşanacak bir çalınma veya kaybolma olayında kaybımızın cihazın etiket fiyatıyla sınırlı olmayacağını şüphesiz hepimiz biliyoruz. Aşağıdaki fotoğrafı bu Cumartesi günü Ankara’da çektim. Gördüğünüz gibi laptopun kendisinden çok içindeki verilerin derdine düşülmüş ve olayın yaşandığı sokakta pek çok noktaya bu yazı yapıştırılmış.

Araştırma kuruluşu Ponemon Institute tarafından 138 laptop kaybı olayı üzerinde yapılan bir araştırma sonucunda ortalama bir laptop kaybı olayının 50,000 A.B.D. Dolarına mal olduğu belirtilmektedir. Raporda bu değere yeni laptop bedeli, kaybolan veriler, konuyla ilgili yaşanan iş kaybı ve hatta yeni laptop kurulumu için harcanan bilgi işlem personeli zamanı gibi pek çok konuda görünen veya görünmeyen giderler hesaplanarak ulaşılmış. Laptopun kurumsal merdivenin hangi basamağında kullanıldığına göre bu değer azalabilir (orta kademe yöneticilerde ortalama 28,000 A.B.D. Doları) veya artabilir (üst kademe yöneticilerde ortalama 61,000 A.B.D. Doları).

Laptopunuzu nerede çaldırırsınız?

Sizin de ilk aklınıza gelen yerlerdir; araba, ofis dışında çalıştığımız ortamlarda veya havaalanı gibi seyahat sırasında bulunduğumuz yerlerde. Prey Labs tarafından yayınlanan bir blog yazısında ise araştırmalarına göre, laptopunuzu çaldırma ihtimalinizin en yüksek olduğu yerler şunlar;

Arabanız: Yukarıda paylaştığım yazıda tarif edilen olay. Hırsız araba camını kırıp laptopu veya laptopun içinde bulunduğu çantayı çalar. Düşündüğümüzün aksine AVM veya havaalanı gibi halka açık otoparklarda bıraktığımız arabalar güvende değildir ve bunun sonucunda arabanın içerisinde bıraktığımız şeyler de aynı oranda güvensizdir. Yeri gelmişken; arabanın bagajından laptop çaldıran arkadaşlarım oldu (ve hayır laptopu arabanın bagajına AVM’ye park ettikten sonra koymamışlardı).

Halka açık alanlar: İnsanların toplandığı, oturduğu, bulunduğu kalabalık yerler laptop hırsızlıklarının yaygın olarak görüldüğü yerlerdir. Bu alanlarda bir de kablosuz internet hizmeti de varsa, hırsızlar buradaki taşınabilir cihaz yoğunluğuna uygun olarak oranın fırsatlarla dolu olacağının farkındadır. Havaalanları veya otobüs terminalleri, genel olarak hırsızlıkların sık görüldüğü yerler oldukları gibi taşınabilir cihaz özelinde de hırsızlık faaliyetlerinin yoğun olduğu yerlerdir.

Ofisiniz: AVM otoparkında bıraktığınız arabanız gibi, ofisiniz de aslında güvenli bir ortam değildir. Bundan birkaç yıl önce, Ankara’da bir Bakanlık binasına “çiçek getirdik” bahanesiyle ellerinde çiçekle giren 2 kişi en üst kata çıkmış ve aşağı her katta bulabildikleri laptopları, cüzdanları, çantaları ve diğer kıymetli eşyaları “toplayarak” inmişlerdir. Çalışma ortamınız satış ofisi, devlet dairesi veya mağaza gibi “halka açık” ise buraların güvenli olmadığını bilmekte fayda var.

Hangi tedbirleri almalıyız?

Laptop hırsızlıklarına karşı alabileceğimiz tedbirleri fiziksel ve bilgi güvenliğine yönelik olarak 2 gruba ayırabiliriz. Fiziksel olarak alınacak tedbirlerin başında aklınızı kullanmak ve içgüdülerini dinlemek gibi zaten başka eşyalarınızın çalınmasını engellemek için uyguladığınız tedbirler gelir. Biraz daha somutlaştırmak ve akılda kalmasını sağlamak için laptopunuzun çalınmasını önlemek için iki basit benzetme yapabiliriz.

En geçerli kural “laptopunuza nakit para gibi davranın” olacaktır. Bir kafede çalışırken tuvalete gidecek veya kahvenize biraz daha şeker alacak olsanız ve masanızda 10 adet 200 TL banknot olsa tahmin ediyorum onları yanınıza alıp öyle kalkarsınız. Aynı kuralı laptopumuza uygulamanın sonsuz faydası olacaktır. En kötüsü, benim başıma sıkça gelir, garson “ kalkıyor musunuz?” diye sorar, siz de benim gibi “yok, sadece tuvalete gidiyorum” dersiniz. Utanılacak bir şey yok. Benim genelde uyguladığım kural fiziksel teması kesmemektir. Örneğin yemek yerken laptop çantada ve yanında olsa bile kolumla veya bacağımla sürekli temas halinde dururum (özellikle güvenlik konularında “normal” olduğumu hiç iddia etmedim, siz isterseniz daha rahat davranabilirsiniz tabii ki)

İkinci kural ise “1 saniye bile olsa gözünüzü laptopunuzdan ayırmayın olacaktır”. Hırsızlık olayları dakikalarca sürmez, 1 en fazla 2 saniye içerisinde olur biter. Bu nedenle bir arkadaşlar sohbet etmek için kalkmanız gerekse bile ya masadan uzaklaşmayın, ya da laptopunuz görebileceğiniz bir yerde ve laptopunuza sık sık bakarak konuşun. Bu noktada sadece laptopa odaklanmanın ötesinde etrafta kimlerin olduğuna ve nereye doğru hareket ettiklerine de bakmanız gerekir. Özellikle birisi laptopunuzla sizin aranızdan geçerken daha da dikkatli olmanız gerekir. Bir kaç kez bir arkadaşımla konuşurken “özür dilerim, laptopumu göremediğim için tedirgin oldum, şurada konuşalım mı?” dedim ve sohbete laptopumu görebileceğim bir noktada devam ettik - “normal” mi? Bu kelimeyi anladığımdan emin değilim? :)

Laptop kayıplarında asıl canımızı yakan bilgi kaybını engellemek içinse aşağıdakileri uygulamakta fayda var.

Parola kullanın

BIOS seviyesinde bir parola belirleyin. Evet, bunlar atlatılabiliyor ve sıfırlanabiliyor ama laptopumuzu bulan kişiyi uğraştırmak önemli. Böyle bir önlemle birlikte laptopun altında bulunacak “bulana ödül verilecektir, şikayetçi olunmayacaktır” türünde bir yazı (ödül rakamını yazmak daha cazip olabilir) bu noktada hırsızın laptopunuzu size getirmesini bile sağlayabilir. BIOS parolasına ek olarak işletim sistemine de ulaşmak için kullanıcı ve parola belirleyin.

Verilerinizi şifreleyin

Dosyalarınızı ve verileriniz şifrelemek hırsızı bir miktar uğraştıracağı ve verilerinizi üçüncü taraflarca erişilemez hale getireceği için mutlaka kullanılması gereken bir çözümdür. Hırsızı uğraştırmanın ne kadar etkili olacağı konusunda şüpheniz varsa, bu insanların çalışmak yerine en kolay yoldan para kazanmaya çalıştıklarını hatırlamanızda fayda var. Şifreyi çözmeye uğraşacak sabrı olsa zaten o işi yapmazdı herhalde.

Verilerinizi yedekleyin

Tamam, olan oldu her şey gitti. Şifrelediğimiz ve parola kullandığımız için büyük ölçüde içimiz rahat ama dosyalarımıza ihtiyacımız var. Bu noktada dosyalarımızı yedeklemiş olmamız hayatımızı çok kolaylaştırabilir. Düzenli olarak ve sık aralıklarla yedek almak veri kaybınızı azaltacak en etkili çözümdür. Yedekleme işlemini satınalacağınız bir harici disk kullanarak da yapabileceğiniz gibi bulut yedekleme hizmetlerinden birisinden de faydalanabilirsiniz.

Diğer konular
İnternet tarayıcılarınızın hatırladığı bütün parolaların hırsızlar tarafından ele geçirileceğini düşünün. Bu nedenle “beni hatırla” seçeneğini günlük hayatınızdan çıkartmanız (ki zaten en başında yeri yoktu) faydalı olacaktır. Her ihtimale karşı bir kayıp/çalıntı olayından sonra bütün parolalarınızı değiştirmenizde fayda var.

Laptopunuzda mümkün olduğunca az veri tutun. 3 yıl öncenin fiyat tekliflerine arada bir ihtiyacınız olabilir (yoksa zaten silin) bu durumda bu dosyaları ofiste bir sunucu üzerinde tutmak daha mantıklı olacaktır. Laptopunuz çalındığında üzerinde ne kadar az veri olursa olayın etkisi o kadar az olacaktır.

Kurumsal olarak ne yapılmalı?

Genel olarak çalışanların ve özellikle de iş için seyahat edenlerin hırsızlıklar konusunda farkındalığının artırılması için çalışmalar yapılmalıdır.

Laptop hırsızlıklarının olması durumda çalışan sorumluluğun biliniyor olması önemlidir. Sorumluluğun ne kadarı yüklenir, tazminat süreci nasıl olur gibi konularda karar yönetimin olacaktır benim bir yorum yapmam doğru olmaz. Çalışana hiç sorumluluk da yüklenmeyebilir, önemli olan bunun biliniyor olmasıdır.

Kuruma ait laptopların detaylı ve güncel envanterinin tutulması çok önemlidir.

İş gereği seyahat eden çalışanların harici disk kullanma kurallarının belirlenmiş olması önemlidir. Bu senaryoda harici diskler veri kaybını azaltacak bir çözüm olarak görülebilir.

Laptoplarda bulunan verilerin düzenli olarak yedeklenmesi için bir yapı kurulmalı ve kullanılmalıdır.

Laptoplar üzerinde kurumun logosu (isteğe bağlı olarak daha önce belirttiğim ödül ve iletişim bilgilerinin) silinemeyecek şekilde bulunmasında fayda vardır.

Kurum genelinde yapılacak bir “önemli bilgi envanteri” çalışması kapmasında veya laptop özellerinde hangi çalışanın laptopunda hangi verilerin bulunduğunun listesinin çıkartılması önemlidir. Laptopla birlikte gerçekten ne çalındığını ancak bu sayede takip edebiliriz.

Çalışanların çalıntı/kayıp olaylarını raporlayabileceği bir sürecin oluşturulması ve yürütülmesi önemlidir.

Bu bir DNS yazısıdır

İnternet’i kullanılabilir hale getiren ve bir anlamda belkemiğini oluşturan DNS (Domain Name Server – Alanadı Sunucuları) saldırganlar için de önemli hedeflerdir.

Aşağıdaki ekran görüntüsünde görülebileceği gibi örnek olarak ele aldığım yerlerden birisi web sayfasını basit port taramalarına karşı korumaktadır. NMAP’in hiç bir parametre kullanılmadan yapılan taramalarda kullandığı 1000 port filtreli durumda ve sadece internet sayfasının hizmet verebilmesi için ihtiyaç duyduğu portlar görece açık.

Filmlerde gösterilenin aksine hackerlar kolay yolu ararlar, bu durumda bu portları filtreleyen güvenlik cihazını atlatmaya uğraşmaktansa daha kolay istismar edebilecekleri saldırı yüzeyleri arayacaklardır. Sistem yöneticisi olarak kapatamadığımız 3 ana nokta, doğal alarak saldırganların başlıca tercihleri olacaktır bunlar;

E-posta hizmeti: Sosyal mühendislik saldırıları için önemli vektörlerdir. E-posta sunucularının doğru konfigüre edilmediği durumlarda ise saldırganlar, kurum e-posta kaynaklarını kullanarak hem üçüncü şahıslara saldırabilir (istenmeyen e-posta gönderimi ve oltalama saldırıları), hem de kurumsal ağ, sistemler ve yapı hakkında bilgi elde edebilirler. 

Web sayfaları (web uygulamaları): Web sayfaları üzerindeki zafiyetleri istismar eden saldırganlar kurum bilgilerini ele geçirebilir, itibar ve para kaybına yol açabilir. 

DNS Tehditleri

Saldırganlar DNS sunucularını kullanarak 4 temel saldırı türünü gerçekleştirebilir.

Bilgi Toplama: Özünde bir saldırı olmasa da hedef hakkında bilgi toplamak geçerli saldırıları belirlemek, planlamak ve yürütmek için önemlidir. Saldırganlar hedefin dışarıya bakan ağını nasıl düzenlediği ve yönettiğini DNS üzerinden bilgi toplayarak anlayabilir.

Hizmet dışı bırakma: Alanadı sunucusuna kapasitesinin çok üstünde talep gönderen saldırganlar hedef DNS sunucusunun iş görmez hale gelmesine neden olabilir.

Sahte kaynaktan talep gönderme: Yanlış ayarlanmış bir alanadı sunucusu başka bir hedefe hizmet dışı bırakma saldırısı düzenlenmek için kullanılabilir. Saldırganların hedef ağdan geliyor gibi düzenleyip göndereceği paketlere cevap veren alanadı sunucusu istemeden karşıdaki sunucuyu hizmet veremez hale getirebilir.

Kayıt yönlendirme: Kurumdan çıkan DNS taleplerini kendi kontrolündeki bir sunucuya yönlendiren saldırgan bu sayede kullanıcıları zararlı içerik barındıran bir siteye veya sosyal mühendislik saldırılarına uygun olarak hazırladığı başka bir siteye yönlendirebilir.

Yukarıda portlarını koruduğunuz bildiğimiz hedefin Alanadı Sunucusuna saldırgan gözüyle bakacak olursak aşağıdaki bilgileri elde edebildiğimizi görebiliriz.

DNSSEC kurulu değil

DNSSEC kullanılmadığı durumlarda saldırganlar DNS trafiğini yakalayıp değiştirebilirler. Aşağıdaki 4 grafik DNSSEC kullanmayan bir sunucuya yönelik düzenlenebilecek etkili bir saldırıyı özetlemektedir.

Adım 1: Kurban tarayıcının adres çubuğuna gitmekistediğimsite.com yazar ve tarayıcı bu sitenin IP adresini tespit edebilmek için DNS sunucusuna bir sorgu gönderir.

Adım 2: DNS sunucusu gerekli bilgilendirmeyi yaparak kurbanı gitmek istediği siteye yönlendirir.

Adım 3: DNSSEC olmamasından faydalanan saldırgan DNS sorgularına müdahale eder.

Adım 4: Kurban gitmekistediğimsite.com adresini yazmasına rağmen farkında olmadan saldırgan tarafından hazırlanmış siteye yönlendirilir.

 Cisco ve Lync kullanımı

Aşağıdaki ekran görüntüsünde görüldüğü gibi örnek olarak ele aldığım şirket Cisco video konferans sistemi olduğunu tahmin ettiğim (vcse. İle başlayan alandı ve 5060/5061 portlarını ipucu olarak değerlendirerek yürüttüğüm bir tahmin) ve Microsoft LYNC’i haberleşme için kullanıyorlar.

İlginç altalanadları

Smtp., test. Vpn. Gibi saldırgan açısından ilgi çekici olabilecek bir kaç altalanadının yanında hedefin kullandığı IP adresleri aralıkları hakkında da bilgi sahibi olduk.

DNS güvenliği konusunda ülke olarak ne durumda olduğumuzu anlamak için 21 Bakanlık DNS sunucuları üzerinde yaptığım çalışmada gördüğüm şunlar oldu;

21 Bakanlık içerisinde;

20 tanesinde DNSSEC kullanılmadığını,

5 tanesinin DNS sunucusunun dışarıdan gelen isteklere cevap verdiği için başka hedeflere karşı hizmet dışı bırakma saldırılarında kullanılabileceğini,

3 tanesinde Microsoft Lync kullanıldığını,

8 tanesinin internet üzerinden telefon görüşmesi yaptığını sadece DNS sorguları aracılığıyla tespit etmek mümkün olmuştur.

DNS güvenliği için öneriler:

Alanadı sunucunuzun güvenliğini sağlamak için kullanabileceğiniz tek bir hap ne yazık ki yoktur. Bilgi güvenliğiyle ilgili diğer bütün konularda olduğu gibi gizlilik, bütünlük ve erişilebilirlik başlıkları ayrı olarak değerlendirilmelidir. Güvenlik seviyesini hızlıca arttırmanızı sağlayacak bazı öneriler şunlar olabilir;

DNS sunucunuz sadece kurumunuza hizmet etmelidir ve DNS sunucunuza sadece yetkisi olanlar erişebilmelidir.

DNS taleplerinin trafiğinin denetlenmesi gereklidir: Bu sayede hem DNS’e gelebilecek saldırıları fark eder hem de  saldırganların DNS tüneli benzeri yöntemlerle kurum dışına veri kaçırdığını tespit edebilirsiniz.

DNS sunucularınız güncel tutulmalıdır: Diğer bütün sistemlerde olduğu gibi DNS yazılımları için güvenlik güncellemeleri ve yamaları yayınlanır, bunların zamanında kurulması çok önemlidir.

DNS sunucunuz üzerinde çalışan servisleri sınırlayın: DNS sunucunuz üzerinde FTP, HTTP, SMTP gibi hizmetleri kaldırmakta fayda var.