| sistem yönetimi ve yasalar |
| İnternetin sınırsız bir dalgalanma içinde olduğu düşünüldüğünde, belirlenen ölçütlerde kullanım ve kullanıcı haklarının oluştuğu, bununla birlikte istenilmeyen durumların gözlemlendiği su götürmez bir gerçektir. İnternet ve Ağ kullanıcılarına sağlanan hizmetlerden faydalanmamak, bu işlemler esnasında yapılması gereken sınırlandırmaların bilinmemesi, sistem kullanıcıları için büyük risk oluşturmaktadır. İnternet ortamında denetlemelerin zorlaştığı, bazı durumlarda imkansız olduğu bu dönemde, kullanıcı haklarıyla beraber gelen, gerek şahsi kullanım gerekse kurumların kendi kurmuş oldukları ve İnternet’e uyarladığı ağ yapısı ve ağ üzerinde bulunan bilgilerin, sorunsuz paylaşımı için belli ölçülerde kendi yasalarını oluşturmaları zorunlu hale gelmiştir. Bu yazımda, belirlenmesi gereken yasalardan bahsedeceğim. Oluşturulması gereken yasaların ilk haliyle sistemin yahut ta ağın kurulması öncesi yapılandırılmasının sağlıklı olacağı aşinadır. Sisteminizi kurmadan önce sistemin nasıl bir yapıda ve ne gibi özellikler ihtiva edeceğini belirlemeli, ardından da kullanım esnasında karşılaşılacak tehlikeleri ve sorunları göz önünde bulundurmalı, buna göre de sistem veya sistemler için belli yasalar oluşturmalısınız. Aksi taktirde yasaların belirlenmemesi sonucunda sistemde problemlerin ve hataların oluşacağı kesindir. Dünyada milyonlarca ev ve şirket kullanıcısı olduğu düşünüldüğünde bir veya birkaç kullanım yasası oluşturulup buna göre adım atılması yanlış bir uygulama olacaktır. Birçok kişinin kendi kullanım tarzına göre belirlenen yöntem ve yasalar, diğer kullanıcı için büyük dezavantajlar getirir. Bu nedenle ev ve şirket kullanıcıları kendi istemleri veyahut ta uzman kişilerin ağ yapısına göre belirleyeceği kuralları uygulamak yerinde bir karar olacaktır. Sistemin oluşturulmasının ardından kişi ve kişilere verilmesi gereken haklarında kesin ve net olması önemli bir unsurdur. Bir ağ ortamında olduğunuzu düşünürsek, ağ yapısını iyi bilen ve bu işte uzman olan şâhısa yetki vermek yerine, güvenilen ve bu işi başarabilecek kişilere yetkinin verilmesi doğru bir adım olacaktır. Özellikle bu olay ülkemizde eş, dost, yakın arkadaş gibi kavramların çok olmasından dolayı, bilgi güvenliğinizin tehlikeye düşmesi yüksek bir ihtimaldir. Bu nedenle kurumunuzda ve evinizde kullandığınız sistemlerde belirli kademeler oluşturulmalı, bu kademeler dahilinde şahıslara sınırlı yetkinin verilmesi söz konusu olmalıdır. Bu uygulamalar sadece local değil, remote uygulamalar içinde uygulanmalıdır. Unutmayın ki eş ve dostlarınız sistemde oluşacak hatadan dolayı zararınızı karşılamaz. Bununla beraber bu yükümlülük yine size ait olacaktır. Sistemlerin korunması esnasında belirli kademelerde leveller oluşturulmalıdır. İllaki aşırı korunaklı bir sistem olması, şart değildir. Şimdi burada bir çelişki olduğu göreceksiniz. Madem amaç korunmak neden en yüksek seyide korunmayalım? Bu sorunun cevabı basit, her bir seviye belli kural ve protokollere izin vermeyecektir. Misal maksimum güvenlik için tüm uygulamaları yasakladığımızı düşünelim. Sonuç olarak sadece internette bazı sayfalara girebileceksiniz, hatta bunların çoğu açılmayacak ardından gelen uyarı ve block’lamalar sizleri içinden çıkılmaz bir dar boğaza sürükleyecektir. İnternette gezinirken karşılaşacağınız ve sizinle bağlantıya geçmek isteyen her bilginin zararlı olacağı kesin değildir. ActiveX gibi bilinmeyen uygulamalarda zarar ihtiva edecek paketlerin olacağı %80 ihtimaldir. Ancak bunun geri kalan bölümü zarar ihtiva edecek denemez. Ancak yinede internet ortamı içinde ActiveX ve Java gibi uygulamalar için belirli sınırlamalar koymak yerinde bir karar olacaktır. Bu küçük hatırlatmayı yaptığımıza göre sistemimizde olmazsa olmazlara bakabiliriz. Adı geçen sistemi oluşturan şahıs, kurmuş olduğu sistemin tüm yenilikleri takip edecek yapıda olmayabilir. Bu durum karşısında sistemin güvenilirliğini test etmek zorunda kalır. Bunun içinse zayıflık inceleme teknolojisinden faydalanır. Birçoğunuzun bildiği scanner ve benzeri uygulamalar normalde admin ve root seviyesinde olan kişiler için hazırlanmış uygulamalardır. Bunun amacı basit; sisteminizi tarayacaksınız eğer risk seviyesi yüksek bir açık bulursanız bu açığa göre gerekli önlemi alacaksınız. Ancak bu scanner’lar herkesin kullanımına açık olduğu için sisteminize sızmak isteyenler için birebir nimet değerindedir. Bu yönde sizlerde sisteminizi ve portlarınızı bu scanner’lar aracılığıyla tarayabilir. Durumun gösterdiği yönde sisteminiz update edebilirsiniz. Sisteminizde çözümlenmesi zor bir durum karşısında ise, yazılımsal değil de fiziksel önlemlerin (tapping) alınması uygun olacaktır. Bu sayede fiziksel şartlara karşı ağınızı izleyebilir, oluşabilecek tehlikeler karşısında önlemlerinizi alabilirsiniz. Bir sistemin güvenlik yapılanmasa geçmeden önce yukarıda sözünü ettiğim gibi sisteminiz ve sizin ihtiyaçlarınızı gözden geçirmek gerekir. Bunun için cevaplanması gereken bazı sorular bulunmaktadır. 1- Sisteminin hangi yapısını korunacak? Fiziksel yapımı? Kimyasal mı? 2- Sistemde hangi uygulamalar kullanılacak? 3- Network ve İnternet ortamında neler yapılacak? 4- Şifreleme ve hizmetlerine ihtiyaç varmı? 5- Kimlere veya nelere karşı korunulmalı? 6- Sistem için ayrılacak bütçe neleri karşılar? 7- Kime hangi hakları vereceğim? 8- İş ortaklarının ve kullanıcıların istekleri neler olacak? 9- Bilgilerin paylaştırılması nasıl olmalı? 10- Acil durumlarda neler yapılmalı? Bazılarınıza bu şıkları karışık ve anlamsız olarak gözükebilir. Nihayetinde ev ve network uygulamaları için atılması gereken adımlar birebir yakındır. Sonuçta internette bir network ortamıdır. Beynimizde oluşturacağımız yasalar yavaş yavaş belirmeye başladı. Sistemi korumanın en iyi yolu bir işi doğru ve hakkıyla yapmaktır. Bu cümleyi zayıf şifre kullanan yada hiç kullanmayan kişilere hitam ediyorum 😀 Özellikle bir ağ ortamında iseniz kesin ve kesin uygun bir şifreleme yapısı kullanmalısınız. Özellikle devreye ciddi kavramlar girmeye başladığında sertifika ve yazılım desteği alınması zorunludur. Diğer bir yandan çok değerli bilgilerimizi paylaştığımız karşı tarafında bilgilerinizi koruma yönünde izlediği politikaları da iyi gözlemlemek önemlidir. İnternet ortamında bir kullanıcı olarak kredi kartı, telefon numarası, banka hesap numarası vs… gibi bilgileri size verilen hizmetten yararlanmak makatıyla karşı tarafa verirsiniz. Karşıdaki kişi eğer üstüne düşen görevi yerine getirmezse, bilgileriniz beklide ismini hiç duymadığınız bir kişi tarafından illegal bir işlem için kullanılabileceği ihtimali yüksektir. Bunun için istemcilere verilmiş ve sağlanmış hakların gözlenmesi önemlidir. Bu boyutta bulunan birçok site SSL adı verilen bir şifreleme hizmeti kullanmaktadır. Burada bilgilerinizi ilk önce karşı tarafa encode ardındanda decode olarak çevrilir. Bununla beraber sisteme sızan kişilerin aldığı bilgiler manasız bir anlam taşır. Bunun ağ ortamındaki örnek türevi de VPN adı verilen genel/özel ( public/private ) anahtar kullanımı sunan yapıdır. Küçük ölçekli sistemlerde ise bu hizmetleri almak zor olacağından, piyasada gönüllü programcıların yapmış olduğu Freeware yazılımları kullanmak yerinde bir alternatif olacaktır. Sözün sonuna geldiğimizde kullanıcı şifrelerinin önemini altını çizmek gerekiyor. Zayıf ve Tekrarlı şifreler her zaman kolay hedefler olmuştur. Bu bağlamda kullandığınız şifrelerin 8 haneden yüksek ve kullandığınız alanlara göre farklı olmasına özen gösterilmesi önemli bir yasadır. Ağ ortamında kullanılması gereken şifreler içinse sınırlı kullanım alanı verilmesi yerinde bir karar olacaktır. Sisteminizde koymuş olduğunuz yasaların dâhilinde hangi ağ ortamına nasıl bir yol ve hak verileceğini, bu yolların hangi fiziksel ve kimyasal yapılarla korunacağını gözlemlemek çok önemlidir. Kurumların kendi içinde çalıştığını düşünürsek, hangi IP/IPX ve Subnet kullanıldığını bilinmesi, bununla beraber gelen güvenlik duvarlarının ve fiziksel etkenlerin hangi yapılara ve paketlere izin verdiğini belirlenmesi önemlidir. Router gibi bir uygulamada konfigürasyon için verilmesi gereken değerlere yakın değerler çoklu kullanıcılara da verilirse o sistemi hiç çalıştırmamak daha iyidir. Zararın neresinden dönerseniz kardır mantığı, misal bir firewall’u kullanırken ben bu işten anlamam, firewall’ı kurduk artık o kafasına göre bizi nasıl korursa, mantığına saklanmak ve saldırı gelebilecek kaynaklara block koymamak diğer bir yanlış olacaktır. Durum karşısında alınması gereken mesaj apaçık ortadadır. “ Bir işi layık olduğu gibi yapmak ve her defasında ikinci bir çözüm önerisi aramak “. Sizlerde kendi kullanım yapınıza göre belli amaç ve uygulamalar için belirli politikalar ( yasalar ) oluşturun, bu sayede hem çok değerli olan zamanınızı kaybetmeyecek hem de iş ve özel yaşamınızda verimliliği kazanacaksınız! |
Kaynak: olympos.org
belgesi-405
