Herkese selamlar, bugünkü konumuz da serili bir şekilde gittiğimiz Ağ güvenliğine giriş konusunun #6 konusu kaldığımız Ağ erişim kontrolu//Network access control nedir? yerden serili şekilde gideceğim demiştim bu seriden beşinci konum elimden geldiğince anlatacağım. Eleştiriye her zaman açık biri olarak her insan gibi bende hata yapabilirim. Konu altından saygı çerçevesinde dile getirirseniz bilgi alış-verişi/beyin fırtınası yapabilirim. :͛)͛
Ağ erişim kontrolu//Network access control nedir?
Ağ Erişim Kontrolü "NAC" çözümleri, iki temel ve birbiriyle bağlantılı görevi yerine getirmekle yükümlüdür. Daha önce söylediğim gibi bu sistemler hem genel ağ güvenliğini sağlar hem de ağa bağlanmak isteyen bireysel cihazların güvenliğini denetlerler. Bu denetim sırasında cihazın üzerinde zararlı uygulamalar veya enfeksiyonlar olup olmadığını sürekli olarak kontrol edip ve cihazın kendi güvenlik duruşunu da inceler. Kısacası cihazdaki anti-virüs yazılımı veya kişisel güvenlik duvarı gibi temel koruma önlemlerinin hem aktif hem de güncel olup olmadığını kontrol eder ama diyelim ki bir cihaz bu temel güvenlik standartlarını karşılamıyorsa ne olur tabii ki ağa erişimi kısıtlanabilir veya tamamen engellenebilir.
Anti-virus: Ağ genelinde çalışan anti-virüs araçlarına ek her bir cihazın kendine özgü host yani kendi üzerine kurulan özel anti-virüs yazılımları da o cihazın savunması için temel bir unsurdur ve cihaz bazında kritik bir koruma katmanı sağlarlar.
Access control/authentication//Erişim Kontrol/Kimlik Doğrulama
Cihaz düzeyinde uygulanan erişim kontrolü ve kimlik doğrulama tedbirleri bir cihaza sadece yetkili kullanıcıların erişmesini garanti altına alan en temel ve en iyi güvenlik uygulamasıdır. Bu sayede, erişim yalnızca doğrulanmış kullanıcılarla sınırlandırılarak cihaz için yüksek düzeyde bir güvenlik sağlanmış olur.
Level3- Host Güvenliği seviyesinin pozitifleri nedir?
Host tabanlı güvenlik teknolojilerinin en önemli avantajlarından biri ise doğrudan tek bir cihazın kendine özgü işlevlerine ve ihtiyaçlarına göre özel olarak yapılandırılabilmeleridir ve bu sayede özelleştirme oldukça etkin bir koruma sağlar.
Bunlar yöneticilere sistemin hem güvenli hem de verimli çalışmasını garanti altına almak için geniş bir kontrol imkanı tanır ve bu güvenlik araçlarının hassasiyetini, tepki hızını düzenleyebilir ve cihaz ayarlarını sürekli olarak güncelleyerek en uygun koruma seviyesini sağlayabilirler.
Dikkat edilecek hususlar neler derseniz?
Cihaz (Host) tabanlı güvenlik teknolojilerinin hem kendi satın alma hem de işletme maliyetleri olduğundan dolayı bu çözümlerin dağıtımı mantıklı ve stratejik bir şekilde yapılır.
Genel bir kural olarak kuruluşlar bu tür yoğun önlemleri tüm ağa yaymadan önce ilk olarak en kritik ve değerli varlıklarını barındıran özel ağ yapıları veya sistemleri üzerinde uygulamaktalar.
Bu kuralın önemli bir istisnası vardır; O da Ağ Erişim Kontrolü "NAC" çözümüdür. NAC, genellikle ağa bağlanan her bir masaüstü ve mobil dizüstü bilgisayarın erişimini denetlemek için geniş bir kapsamda çalıştırılır ve bu yönüyle daha bütünsel bir dağıtım gerektirir.
Level 4: Applıcatıon Security "Uygulama seviyesi güvenliği" nedir?
Uygulama düzeyinde güvenlik günümüzün en kritik odak noktalarından biridir bunu daha önceki konularımda da belirtmiştim. Bunun sebebi yetersiz korunan bir uygulama hassas verilere ve kayıtlara ulaşmak için en doğru yollardan biridir. Sorunun temelinde ise genellikle insan faktörü yatar ve pek çok yazılımcı, geliştirme sürecinde güvenlik odaklı kodlama alışkanlıklarına sahip değiller ve hatta yazılımın saldırılara karşı zayıf olduğu bilinse bile, gerekli önlemler zamanında alınmayabilir.
İşletmeler, satış ile müşteri ilişkileri yönetimini veya diğer süreçleri kolaylaştırmak amacıyla uygulamalarını internet üzerinden müşteri erişimine açarlar. Bu durum büyük kolaylık sağlarken aynı uygulamaları siber saldırganlar için de doğrudan ve cazip bir hedef haline getirirler.
Bu nedenle, her bir uygulama için özel ve kapsamlı bir güvenlik stratejisi geliştirmek ve bunu taviz vermeden uygulamak, modern güvenlik anlayışının en temel gerekliliklerinden biridir.
Uygulama zırhı (Application shield), Erişim kontrol/Kimlik denetlemesi, Giriş Doğrulama (Input validation) gibi teknolojiler bu katmanda koruma sağlamak için etkin rol oynarlar.
Application shield (Uygulama Zırhı) nedir?
Bu teknolojiler, uygulama seviyesinde çalışan bir güvenlik duvarı olarak düşünülebilir ve bu yüzden temel işlevleri uygulamaya gelen ve uygulamadan giden isteklerin meşruiyetini denetleyerek yalnızca geçerli ve güvenli trafiğe geçiş izni vermektir.
Bu koruma katmanı genellikle Web sunucuları, e-posta sunucuları ve veritabanı sunucuları gibi üzerinde kritik uygulamalar barındıran makinelerde konumlandırılırlar. Buradaki amaç son kullanıcıdan veya diğer sistemlerden gelen trafiği analiz ederek doğrudan uygulamanın kendisini korumaktır.
Bir uygulama kalkanı'nın temel prensibi koruduğu uygulamanın normal ve beklenen işlevlerine göre hassas bir şekilde ayarlanmasıyla birlikte uygulamanın ne yapmaya izni olduğunu ve ne yapmaya izni olmadığını net bir şekilde tanımlamak anlamına gelir.
Örneğin, bir e-posta sunucusunu düşünecek olursak bu sunucunun ana görevi e-posta alıp göndermektir değil mi? Dolayısıyla, uygulama kalkanı bu temel işlevi yerine getirmesini engelleyecek şekilde yapılandırılmaz diyebiliriz ama gelen bir e-postanın bir e-posta için tipik olmayan bir eylemde bulunmaya çalışması "örneğin, otomatik olarak çalıştırılabilir bir dosyayı başlatmaya çalışması" durumunda ise kalkan devreye girer. Bu, normal e-posta işlevinin dışında kalan anormal bir davranış olduğu için uygulama kalkanı bu tehlikeli eylemi anında engeller. Kısacası demek isteidğim uygulamanın kendisini değil uygulama üzerinden yapılmaya çalışılan anormal ve tehlikeli işlemleri durdurur.
Access control / authentication nedir?
Uygulama seviyesinde kullanılan erişim kontrolü ve kimlik doğrulama teknolojileri de ağ ve cihaz yani "host" katmanlarında gördüğümüzle aynı temel prensiplere dayanırlar.
Buradaki nihai amaçları şudur kimlik doğrulama sürecini işleterek, uygulamanın kendisine yalnızca yetkili kullanıcıların erişebilmesini garanti altına almaktır.
Input Validation (Giriş Doğrulama) nedir?
Giriş doğrulama "Input Validation" önlemlerinin amacı bir uygulamaya gönderilen kullanıcı girdilerini ağ üzerinde ilerlerken denetlemek ve belirli kurallara göre doğrulamaktır ve bu süreçte ise özellikle web tabanlı uygulamalar için hayati bir öneme sahiptir. Temel prensipleri, bir web sunucusuna gelen hiçbir kullanıcı girdisine varsayılan olarak güvenilmemesi ve her girdinin belirli kurallara uygun kontrol edilmesidir.
Örneklendirerek gidelim şimdi üzerinde posta kodu alanı bulunan bir web formu olduğunu düşünelim burda yalnızca beş karakter uzunluğunda ve sadece rakamlardan oluşan bir girişi kabul edecek şekilde yapılandırılmalıdır ancak bunun dışındaki tüm giriş denemeleri engellenmeli ve kullanıcıya bir hata mesajı gösterilmelidir.
Giriş doğrulama, genellikle birden fazla seviyede sağlanabilir; Örneğin hem kullanıcının tarayıcısında "client-side" yani anlık bir kontrolle hem de asıl güvenlik katmanı olarak sunucu tarafında "server-side" ile bu denetim gerçekleştirilir.
Uygulama güvenlik düzeyinin pozitifleri nelerdir?
Uygulama düzeyindeki güvenlik önlemleri doğrudan uygulamalar üzerinde çok daha hassas bir kontrol imkanı tanıyarak bir kurumun genel güvenlik duruşunu önemli ölçüde güçlendirir ve bu önlemler sayesinde uygulama içinde gerçekleştirilen pek çok eylemin detaylı bir şekilde izlenmesine ve kaydedilmesine olanak tanır eğer ki olası bir sorunun kaynağını bulmayı kolaylaştırarak çok daha yüksek bir hesap verebilirlik seviyesi sunulur.
Uygulama güvenlik düzeyinde dikkat edilecekler neler?
Etkin bir güvenlik stratejisi öncelikle kritik uygulamaların belirlenerek önceliklendirilmesini ve bu doğrultuda uzun vadeli bir planlama yapılmasını gerektirir çünkü uzun vadeli bir plan güvenlik önlemlerinin reaktif ve aceleci bir şekilde değil, kontrollü ve aşamalı olarak hayata geçirilmesini sağlar.
Ağınız zamanla geliştikçe mevcut güvenlik yapısının da bu büyümeye paralel olarak yeniden değerlendirilmesi ve güçlendirilmesi kaçınılmaz olur ve bu süreçte doğal olarak ek yatırımları ve planlamayı da beraberinde getirir.
Bugünkü konumuz bu kadardı bu konuyu altıncı seri olarak foruma aktardım yedinci seriyi bekleyiniz. Okuyan herkese teşekkür ederim. Bir başka konuda görüşmek üzere saygıyla ve sevgiyle kalın....
