Sistem Güvenliği Nasıl Sağlanır? (Ağ Güvenliği)

Suk1y3n · 19-07-2006, 16:00

Sistem Güvenliği Nasıl Sağlanır?
Sistemimizin elektronik ortamda güvende olmasi ilk olarak sistemizin fiziksel olarak güvende olmasina baglidir. Sunucularimiz (Server) için düsünürsek, sunucularimiz kesinlikle erisimin yetkili kisiler disinda yasak oldugu kilitli bir odada tutulmalidir. Bu sayede fiziksel erisimin verdigi avantajlari sistem sorumlulari haricinde hiç kimse kullanamaz. Ayrica sunucumuzu, ne yaptigindan haberi olmayan bir kullanici kapatamaz. Konustugumuz sistem eger bir kullanici bilgisayari (workstation) ise, kullanicilarin direkt erisimi olan bir bilgisayar olarak, kasasinin kesinlikle açilmamasi için özel kilitlenebilir kasalardan alinmasini tavsiye ederim. Bu durumda ayrica BIOS sifresi atanmasi dogru olacaktir ki, kullanicilar istedikleri medyadan sistemi baslatamasinlar. Tahmin edilecegi gibi sistemin sadece diskimizinden baslatilmasina izin verecegiz. Kesinlikle sitemin tasinabilir medyalardan baslatilamayacagindan emin olmaliyiz. Yoksa bizim sistemimiz yerine tasinabilir bir medyadaki baska isletim sistemini baslatabilen bir kullanici, sistemimizdeki yetkilendirmeyi devre disi birakip, yerel sistemde istedigi islemi yapabilir.

Ikinci asamada sistemimizin kurulmasi sirasinda dikkat edilmesi gerekli noktalar vardir. Sistem kurulmadan önce ise bazi sorulara cevap bulmaliyiz:

1- Sistemimiz agimizda hangi görevleri yapacak?(DNS ,WWW,MAIL, etc)
2- Sistemimizin hangi protokolleri kullanmaya ihtiyaci var?
3- Sistemimiz kaç ethernet kartina sahip olacak ve bunlarin IP adresleri ne olacak?
4- Sistemimizin bu isleri yapmasi için minimum hangi servislere ihtiyaci var?

Eger bu sorulari cevapladiysak, sistemimizi kurmaya baslayabiliriz. Artik hangi bilesenleri nasil yükleyecegimizi bildigimize göre sistemin baslangiç kurulumunu yapabiliriz. Ilk kurulumun hemen ardindan baska bir bilgisayardan, sistemin üstündeki servis ve diger uygulamalarin resmi web sitelerinden son güncellemeleri ve güvenlik yamalarini indirip, bunlari uygulamaliyiz.

Üçüncü asamada ise güvenlik yapimiz olan Kullanici dogrulama (Authentication), Yetkilendirme (Authorization), Kullanici aktivitelerinin izlenmesi (Accounting) AAA olarak bilinen sistemi ayarlamak var. Bu yapi çok basit ve eger dogru kullanilirsa çok faydalidir. Ama dikkat edilmesi gereken noktalar vardir. Simdi bu islemi asama asama ele alalim.

Kullanici dogrulama (Authentication) islemi adindan da çok rahat anlasilabilecegi üzere, sisteme erismek isteyen kisinin verdigi kullanici isminin (account) sistemde olup olmadigini kontrol edip, bu kisiye bu kullanicinin sifresini soracaktir. Verilen bilgilerin, yani kullanici adi ve sifrenin, sistemde varligi ve dogrulugu onaylandiktan sonra sisteme giris için izin verilmektedir. Burada dikkat edilmesi gereken nokta sisteme anonim (anonymous) erisim için izin verilip verilmeyecegidir. Burada sadece web, ftp, telnet gibi hizmetleri düsünmeyip, sistem üzerinde açik her portu ve her servisi düsünmeliyiz. Tabii ki en basta belirttigim gibi sadece gerekli servisler var ve onlarin ayarlari da özenle yapiliyorsa bir sorun yok demektir. Sonuç olarak sisteme kimlerin erismesi gerektigi sorusuna cevap verdikten sonra bu kullanicilar disinda erisim olmamasi için gerekli düzenlemeleri yapmaliyiz. Ayrica erisimi olan kullanicilarimizin da sifrelerinin gerektigi kadar güvenli olduguna emin olmak için bir sifre politikasi izlemeliyiz ve kullanicilari buna uymaya zorlamaliyiz. Burada registry'de yapilmasi tavsiye edebilecegim degisiklikler:
Kaynak: Wardom http://www.wardom.com.tr/showthread.php?t=77296

Sifre Politikasi(Password Policy)
Enforce Password History 6
Maximum Password Age 40
Minimum Password Age 10
Minimum password length 8
Passwords Must Meet Complexity Requirements Enabled
Store Password Using Reversible Encryption Disabled

Kullaniciyi geçici iptal (Account Lockout Policies)
Account Lockout Threshold Enabled
4
Account Lockout Duration Enabled 90
Reset Account Lockout Threshold After Disabled

Bir de dikkat edilmesi gereken son nokta ise kullanici dogrulama islemi yapilirken, kullandigimiz ortamin güvenli olup olmadigidir. Eger sunucu ile kullanici arasindaki haberlesme üçüncü bir kisi tarafindan da izleniyorsa, ve yapilan haberlesme sifreli degilse kullanici bilgileri çok rahat çalinabilir.

Yetkilendirme (Authorization) islemi ise bilgileri önceden dogrulanan kullanicinin sistem içindeki yetkilerinin ne oldugunun belirtilmesidir. Kullanicilari gruplayarak bu yetkilendirmeyi daha kolay bir sekilde yapabiliriz. Her grubun yetkilerini belirleyip daha sonra bu yetkilere sahip olmasini istedigimiz kullanicilari bu gruplara ekleriz. Burada göz önünde bulundurulmasi gereken nokta, kullanicilar üyesi bulunduklari gruplarin tüm haklarina sahiptir ve kullanicilar her zaman üyesi bulunduklari gruplarin haklarinin birlesimine sahiptirler. Yani iki gruba üye bir kullanici, iki grubun haklarinin birlesim kümesi olan haklara sahip demektir. Burada size verebilecegim tavsiye hiçbir kullaniciya sahip olmasi gerekenden daha fazla yetki vermemenizdir. Bu sayede istenmeyen durumlardan büyük olçüde kurtulursunuz.
Kaynak: Wardom http://www.wardom.com.tr/showthread.php?t=77296

Kullanici aktivitelerinin izlenmesi (Accounting) islemi bir sorun çiktiginda sorunun nereden çiktigini anlamamiz için bize gerekli bilgiyi sunar. Bu islem sirasinda tüm kullanicilarin erisim saatleri ve yaptiklari islemlerle ilgili kayitlar tutuldugu için sorun çiktiktan sonra eger zarar görmediyse kayitlar bize olayin nasil gelistigini çok güzel bir sekilde açiklayacaktir.

Artik sistem güvenliginin saglanmasi için nelere dikkat edildigi, hangi asamalarda neler yapilmasi gerektigi gibi konulara hakim olduk diyebiliriz. Sonuç olarak fiziksel güvenlik, baslangiç sifreleri, yamalar ve guncellemeler, güvenlik yapisi (AAA) gibi konulara degindik. Sistem kurulumlarinda, sistemimizin güvenli olmasi bir ön sart ise tüm bu kurallara uymamiz gerektigini söylemek isterim
Not : alıntıdır..

SASE · 19-07-2006, 17:40

Tabii ki cok genel bir doküman olmus fakat IT Sirketlerinde Güvenlik politikalarinin belirlenmesinde kabaca izlenen yollarin tanimi icin faydali bir doküman olmus.

Tesekkürler Japon_hacker.

19-07-2006, 16:00	#1
Suk1y3n Forum Ustası Kayıt Tarihi: Aug 2005 Üye numarası: #31007 Yer: Marmaris ( Mugla ) Mesaj sayısı: 3,101 Karma etkisi: 2483 Karma: 247397	Sistem Güvenliği Nasıl Sağlanır? (Ağ Güvenliği) Sistem Güvenliği Nasıl Sağlanır? Sistemimizin elektronik ortamda güvende olmasi ilk olarak sistemizin fiziksel olarak güvende olmasina baglidir. Sunucularimiz (Server) için düsünürsek, sunucularimiz kesinlikle erisimin yetkili kisiler disinda yasak oldugu kilitli bir odada tutulmalidir. Bu sayede fiziksel erisimin verdigi avantajlari sistem sorumlulari haricinde hiç kimse kullanamaz. Ayrica sunucumuzu, ne yaptigindan haberi olmayan bir kullanici kapatamaz. Konustugumuz sistem eger bir kullanici bilgisayari (workstation) ise, kullanicilarin direkt erisimi olan bir bilgisayar olarak, kasasinin kesinlikle açilmamasi için özel kilitlenebilir kasalardan alinmasini tavsiye ederim. Bu durumda ayrica BIOS sifresi atanmasi dogru olacaktir ki, kullanicilar istedikleri medyadan sistemi baslatamasinlar. Tahmin edilecegi gibi sistemin sadece diskimizinden baslatilmasina izin verecegiz. Kesinlikle sitemin tasinabilir medyalardan baslatilamayacagindan emin olmaliyiz. Yoksa bizim sistemimiz yerine tasinabilir bir medyadaki baska isletim sistemini baslatabilen bir kullanici, sistemimizdeki yetkilendirmeyi devre disi birakip, yerel sistemde istedigi islemi yapabilir. Ikinci asamada sistemimizin kurulmasi sirasinda dikkat edilmesi gerekli noktalar vardir. Sistem kurulmadan önce ise bazi sorulara cevap bulmaliyiz: 1- Sistemimiz agimizda hangi görevleri yapacak?(DNS ,WWW,MAIL, etc) 2- Sistemimizin hangi protokolleri kullanmaya ihtiyaci var? 3- Sistemimiz kaç ethernet kartina sahip olacak ve bunlarin IP adresleri ne olacak? 4- Sistemimizin bu isleri yapmasi için minimum hangi servislere ihtiyaci var? Eger bu sorulari cevapladiysak, sistemimizi kurmaya baslayabiliriz. Artik hangi bilesenleri nasil yükleyecegimizi bildigimize göre sistemin baslangiç kurulumunu yapabiliriz. Ilk kurulumun hemen ardindan baska bir bilgisayardan, sistemin üstündeki servis ve diger uygulamalarin resmi web sitelerinden son güncellemeleri ve güvenlik yamalarini indirip, bunlari uygulamaliyiz. Üçüncü asamada ise güvenlik yapimiz olan Kullanici dogrulama (Authentication), Yetkilendirme (Authorization), Kullanici aktivitelerinin izlenmesi (Accounting) AAA olarak bilinen sistemi ayarlamak var. Bu yapi çok basit ve eger dogru kullanilirsa çok faydalidir. Ama dikkat edilmesi gereken noktalar vardir. Simdi bu islemi asama asama ele alalim. Kullanici dogrulama (Authentication) islemi adindan da çok rahat anlasilabilecegi üzere, sisteme erismek isteyen kisinin verdigi kullanici isminin (account) sistemde olup olmadigini kontrol edip, bu kisiye bu kullanicinin sifresini soracaktir. Verilen bilgilerin, yani kullanici adi ve sifrenin, sistemde varligi ve dogrulugu onaylandiktan sonra sisteme giris için izin verilmektedir. Burada dikkat edilmesi gereken nokta sisteme anonim (anonymous) erisim için izin verilip verilmeyecegidir. Burada sadece web, ftp, telnet gibi hizmetleri düsünmeyip, sistem üzerinde açik her portu ve her servisi düsünmeliyiz. Tabii ki en basta belirttigim gibi sadece gerekli servisler var ve onlarin ayarlari da özenle yapiliyorsa bir sorun yok demektir. Sonuç olarak sisteme kimlerin erismesi gerektigi sorusuna cevap verdikten sonra bu kullanicilar disinda erisim olmamasi için gerekli düzenlemeleri yapmaliyiz. Ayrica erisimi olan kullanicilarimizin da sifrelerinin gerektigi kadar güvenli olduguna emin olmak için bir sifre politikasi izlemeliyiz ve kullanicilari buna uymaya zorlamaliyiz. Burada registry'de yapilmasi tavsiye edebilecegim degisiklikler: Kaynak: Wardom http://www.wardom.com.tr/showthread.php?t=77296 Sifre Politikasi(Password Policy) Enforce Password History 6 Maximum Password Age 40 Minimum Password Age 10 Minimum password length 8 Passwords Must Meet Complexity Requirements Enabled Store Password Using Reversible Encryption Disabled Kullaniciyi geçici iptal (Account Lockout Policies) Account Lockout Threshold Enabled 4 Account Lockout Duration Enabled 90 Reset Account Lockout Threshold After Disabled Bir de dikkat edilmesi gereken son nokta ise kullanici dogrulama islemi yapilirken, kullandigimiz ortamin güvenli olup olmadigidir. Eger sunucu ile kullanici arasindaki haberlesme üçüncü bir kisi tarafindan da izleniyorsa, ve yapilan haberlesme sifreli degilse kullanici bilgileri çok rahat çalinabilir. Yetkilendirme (Authorization) islemi ise bilgileri önceden dogrulanan kullanicinin sistem içindeki yetkilerinin ne oldugunun belirtilmesidir. Kullanicilari gruplayarak bu yetkilendirmeyi daha kolay bir sekilde yapabiliriz. Her grubun yetkilerini belirleyip daha sonra bu yetkilere sahip olmasini istedigimiz kullanicilari bu gruplara ekleriz. Burada göz önünde bulundurulmasi gereken nokta, kullanicilar üyesi bulunduklari gruplarin tüm haklarina sahiptir ve kullanicilar her zaman üyesi bulunduklari gruplarin haklarinin birlesimine sahiptirler. Yani iki gruba üye bir kullanici, iki grubun haklarinin birlesim kümesi olan haklara sahip demektir. Burada size verebilecegim tavsiye hiçbir kullaniciya sahip olmasi gerekenden daha fazla yetki vermemenizdir. Bu sayede istenmeyen durumlardan büyük olçüde kurtulursunuz. Kaynak: Wardom http://www.wardom.com.tr/showthread.php?t=77296 Kullanici aktivitelerinin izlenmesi (Accounting) islemi bir sorun çiktiginda sorunun nereden çiktigini anlamamiz için bize gerekli bilgiyi sunar. Bu islem sirasinda tüm kullanicilarin erisim saatleri ve yaptiklari islemlerle ilgili kayitlar tutuldugu için sorun çiktiktan sonra eger zarar görmediyse kayitlar bize olayin nasil gelistigini çok güzel bir sekilde açiklayacaktir. Artik sistem güvenliginin saglanmasi için nelere dikkat edildigi, hangi asamalarda neler yapilmasi gerektigi gibi konulara hakim olduk diyebiliriz. Sonuç olarak fiziksel güvenlik, baslangiç sifreleri, yamalar ve guncellemeler, güvenlik yapisi (AAA) gibi konulara degindik. Sistem kurulumlarinda, sistemimizin güvenli olmasi bir ön sart ise tüm bu kurallara uymamiz gerektigini söylemek isterim Not : alıntıdır..

Konu Araçları	Bu Konuda Ara
Printer Çıktısını Göster Sayfayı Emaille Yolla	Bu Konuda Ara: Gelişmiş Arama

19-07-2006, 17:40	#2
SASE Forum Kalfası Kayıt Tarihi: Jun 2005 Üye numarası: #24728 Mesaj sayısı: 982 Karma etkisi: 14 Karma: 711	Tabii ki cok genel bir doküman olmus fakat IT Sirketlerinde Güvenlik politikalarinin belirlenmesinde kabaca izlenen yollarin tanimi icin faydali bir doküman olmus. Tesekkürler Japon_hacker.

Şu Anda Konuyu Görüntüleyenler: 1 (0 üye ve 1 misafir)