|
Teknik açýklýk yönetimini kýsaca, bilgi sistemlerinde var olan teknik açýklýklarýn tespit edilmesi, açýklýklarýn deðerlendirilip önlemlerin ortaya konmasý, uygun önlemlerin seçilerek uygulanmasý ve uygulama sonuçlarýnýn gözlenmesi olarak tanýmlayabiliriz. Teknik açýklýk yönetimi bir kurumdaki temel bilgi güvenliði süreçlerinden birisidir ve sürekli iþlemesi gereken bir süreçtir.
Teknik açýklýk yönetimini kýsaca, bilgi sistemlerinde var olan teknik açýklýklarýn tespit edilmesi, açýklýklarýn deðerlendirilip önlemlerin ortaya konmasý, uygun önlemlerin seçilerek uygulanmasý ve uygulama sonuçlarýnýn gözlenmesi olarak tanýmlayabiliriz. Teknik açýklýk yönetimi bir kurumdaki temel bilgi güvenliði süreçlerinden birisidir ve sürekli iþlemesi gereken bir süreçtir. ISO 17799’ un en güncel hali olan ISO 17799:2005’te [1] bu süreç ‘Bilgi Sistem Edinim, Geliþtirme ve Bakýmý’ kontrol grubu içerisinde ayrý bir güvenlik kategorisi olarak ele alýnmýþtýr.
Teknik açýklýk yönetimi aslýnda kimi zaman sadece yama yönetiminden ibaret zannedilmekte [2], kimi zaman açýklýk tarayýcý araçlarla sistemlerin taranmasý ve sonuçlarýn deðerlendirilmesi olarak düþünülmektedir, kimi zaman ise güvenlik danýþmanlýðý veren þirketlere yaptýrýlan periyodik içeri sýzma testlerinin veya güvenlik denetimlerinin sonuçlarýný deðerlendirmek olarak algýlanmaktadýr. Yama yönetimi, teknik açýklýk yönetimi sürecinde açýklýklarýn önlenmesindef önemli bir korunma mekanizmalarýndan birisidir. Açýklýk tarama iþlemi ve danýþmanlara yaptýrýlan penetrasyon testleri teknik açýklýklarýn tespitinde kullanýlabilecek yöntemlerdendir. Fakat tüm bu çalýþmalar söz konusu sürecin sadece belirli parçalarýdýr.
Yaptýðýmýz çalýþmalarda gözlemliyoruz ki aslýnda kurumlarýn büyük bir kýsmý güvenlik duvarlarý, virüs tespit sistemleri, sanal özel aðlar, saldýrý tespit sistemleri gibi temel bilgi sistemi güvenliði mekanizmalarýný sistemlerinde kurmuþ durumdalar. Hatta kamu kurumlarý gibi kaynaklarý çoðu zaman kýsýtlý olabilen kurumlar dahi aslýnda önemli güvenlik mekanizmalarýna sahipler [3]. Çoðunlukla güvenlik açýklýklarýnýn kaynaðý, bu mekanizmalarýn eksik veya yanlýþ konfigürasyonlarý, uygulama geliþtirmede güvenliðin dikkate alýnmamasý, yama eksikliði, sistemlerin güvenlik ile ilgili konfigürasyonlarýnýn iyi ayarlanamamýþ olmasý ve að topolojisindeki eksikliklerdir. Bu açýklýk kaynaklarýndan büyük bir çoðunluðu aslýnda az bir çabayla önlenebilecek unsurlardýr. Fakat çoðunlukla en önemli problemler, bu açýklýklarýn ortaya çýkarýlmamasý, çýkarýlmýþsa önlemlerin belirlenmemesi, önlemler belirlenmiþse dahi bu önlemlerin uygulanýp uygulanmadýðýnýn bir zaman planý dahilinde kontrol edilmemesidir. Yani temel problem tam bir teknik açýklýk yönetimi sürecinin oluþturulmamasýdýr.
Son zamanlarda, kurumlar, bilgi güvenliði yönetim sistemlerini (BGYS) oluþturma çabasý içerisine girmiþlerdir. Bu çaba içerisine girmeyenler de aslýnda bu yapýnýn eksikliðini hissetmektedirler ama iþ gücü eksikliði gibi sebeplerle gerekli çalýþmalara baþlayamamaktadýrlar. ISO 17799 gibi standartlar okunduðunda ise yapýlacak bir çok iþin olduðu farkedilmekte ve bu kadar iþle baþa çýkma konusunda karamsarlýða düþülmektedir. Sistemin kýsa ile orta vadede etkin sonuçlar doðuracak iki temel ayaðý teknik açýklýk yönetimi ve kullanýcý bilinçlendirilmesidir. Bu iki konu ilk olarak ele alýnabilir. Kurumda etkin bir teknik açýklýk yönetimi oluþturmak ve kullanýcý güvenlik politikasý oluþturarak bu politikayý kullanýcýlara birebir anlatmak BGYS çalýþmalarý için iyi bir baþlangýç olacaktýr. Tabi bu iki unsur da devam eden süreçler olarak ele alýnmalý ve buna göre kurumda uygulanmalýdýr. BGYS çalýþmalarýnda önemli bir yol kateden kurumlar ise risk yönetimi departmanlarý oluþturmuþtur. Bu departmanlar özellikle bilgi güvenliði süreçleri ile ilgili riskleri ortaya k****ktadýrlar. Ama çoðunlukla bu departmanlar süreçler üzerine yoðunlaþmakta, teknik açýklýklardan kaynaklanan riskleri yönetmede çok etkin rol oynayamamaktadýrlar.
Teknik açýklýk yönetimi, korunmasý gereken sistem ve bilgi varlýklarýnýn envanterinin çýkarýlmasý ile baþlar. Ýlk planda kolay gibi gözüken bu ilk adýmý bile çoðu büyük kurumda gerçekleþtirmek gerçekten çok zordur. Büyük kurumlarda operasyonel hizmetler farklý organizasyon birimleri altýnda yürütülmektedir ve varlýklarýn envanterinin tutulmasý ile ilgili koordinasyon bu birimler arasýnda saðlanamamaktadýr. Dolayýsýyla korunmasý gereken varlýklarýn bile bilinememesi, teknik açýklýk yönetimi sürecinin daha baþýnda önemli bir eksiklik oluþturmaktadýr. Bir kurumda, varlýk envanterini tutmak bir birimin görevi olmalý, varlýklarda verilen servislerdeki deðiþiklikler, bu servisleri saðlayan uygulamalardaki deðiþiklikler, topoloji deðiþiklikleri ve önemli konfigürasyon deðiþiklikleri söz konusu birime zamanýnda iletilmelidir. Yeni hizmete giren varlýklar envantere zamanýnda kaydedilmeli, hizmeti biten varlýklar sistemden çýkarýlarak envanterden fsilinmelidir. Çoðu kurumda hizmet vermeyen ama sistemde yer alan ve bir çok güvenlik açýklýðý içeren varlýklar tespit edilebilmektedir. Bu varlýklar her ne kadar aktif bir hizmet vermeseler dahi üzerlerinde önemli bilgiler barýndýrabilirler ya da saldýrganlar söz konusu varlýklarý içerdikleri muhtemel güvenlik açýklýklarýný kullanarak aktif olarak hizmet veren varlýklara geçiþ yapmak için kullanabilirler. Dolayýsýyla varlýk envanterini tutan birim, periyodik olarak tüm varlýklarý kontrol etmeli ve hizmeti sona ermiþ olan ama hala sistemde yer alan varlýklarý bu kontrollerde tespit etmelidir. Varlýk envanteri çýkarýlmasý aþamasýnýn önemli bir adýmý da varlýklarýn sýnýflandýrýlmasýdýr. Varlýklar gizlilik, bütünlük ve sürekliliklerinin önem derecelerine göre varlýk sahipleri tarafýndan sýnýflandýrýlmalýdýr. Elbette bu sýnýflandýrma iþlemi, kurumca ortaya konmuþ açýk, herkes tarafýndan ayný þekilde anlaþýlan, kurumun iþ hedeflerini yansýtan ortak bir sýnýflandýrma metodolojisine dayanarak yapýlmalýdýr. Varlýk sýnýflandýrma çalýþmasýnýn sonuçlarý üst yönetim tarafýndan onaylanmalýdýr. Varlýklarýn sýnýflandýrýlmasý, ileride bize içerdikleri açýklýklardan kaynaklanabilecek riskleri derecelendirmede yardýmcý olacaktýr.
Varlýklardaki güvenlik açýklýklarýnýn tespiti, güvenlik tarayýcý araçlarla sistem varlýklarýnýn taranmasý, oluþturulan kontrol listelerine göre varlýklarýn kontrol edilmesi ve danýþman kurumlara güvenlik testleri yaptýrýlmasý ile gerçekleþtirilebilir.
Güvenlik tarayýcý araçlar, bazý yetersizliklerine raðmen, açýklýklarýn hýzlý bir þekilde tespit edilmesinde çok faydalýdýrlar. Özellikle, ürettikleri hatalý pozitif (false positive) sonuçlarý ayýklayabilecek teknik yeterliliðe sahip kiþiler tarafýndan kullanýlmasý durumunda etkili sonuçlar verirler. Hangi varlýðýn hangi tarama profili dahilinde taranacaðý ortaya konmalýdýr ve bu profillere göre varlýklar periyodik olarak taranmalýdýr. Tarama iþlemi kritik sistem varlýklarý için daha sýklýkla yapýlabilir. Ayrýca üzerinde deðiþiklik yapýlan veya sisteme yeni ilave edilen varlýklar da tarama iþlemine tabi tutulabilirler. Web uygulamalarýna ya da veritabanlarýna özel tarama araçlarý da, ilgili sistemlerin güvenlik taramalarýnda tercih edilmelidir. Ayrýca bazý tarama araçlarýnýn sistemler üzerinde lokal olarak tarama yapan ajanlarý da mevcuttur. Bu ajanlar yardýmýyla uzaktan yapýlamayacak bazý önemli testler de gerçekleþtirilebilir. Tarama iþlemleri, varlýklarýn yoðun olarak çalýþmadýklarý zamanlarda açýklýk veritabanlarý güncellenmiþ tarama araçlarý ile varlýklara mümkün olduðunca zarar vermeyecek þekilde gerçekleþtirilmelidir. Tarama sonuçlarýnýn, varlýklarýn sahipleri veya varlýklarý yöneten kiþilerle birlikte gözden geçirilmesi ve gerektiðinde taranan varlýðýn konfigürasyonun kontrol edilmesi, özellikle araçlarýn ürettiði sonuçlardan hatalý pozitif olanlarý elemede çok yararlý olacaktýr.
Kontrol listeleri oluþturma, kontrol listelerindeki maddelerinin operasyonel birimlerce uygulanmasý ve maddelerin periyodik olarak denetlenmesi teknik açýklýk yönetiminde önemli yer tutar. Özellikle tarama araçlarý ile kontrol edilemeyen iþletim sistemi ya da uygulamalarýn güvenlik ile ilgili parametreleri oluþturulan kontrol listeleri ile denetlenebilir. Kontrol listeleri ile detaylý koruma (defence in depth) mekanizmalarýnýn ve en iyi yöntemlerin (best practices) sistemde uygulanýp uygulanmadýðý ortaya konabilir. Sistemlerdeki tanýmlý kullanýcýlarýn varlýðý ve söz konusu kullanýcýlarýn eriþim haklarýnýn gözden geçirilmesi de kontrol listesinin önemli maddeleri arasýnda yer alabilir. Teknik açýdan basit gözüken bu gözden geçirmelerin aslýnda ne kadar önemli olduðu herkes tarafýndan bilinir. Kurumdan ayrýlan ya da kurumda pozisyonu deðiþen kiþilerin eriþim haklarýnýn geri alýnmasý veya deðiþtirilmesi çoðu kez zamanýnda yapýlamaz. Aslýnda kurumun deðiþik departmanlarý arasýnda tanýmlý olabilecek basit süreçlerle önlenebilecek bu güvenlik problemi, güvenlik kontrol listelerinin gözden geçirilmesi durumunda ortaya çýkacaktýr. Kontrol listelerinde, varlýklarda tutulmasý gereken kayýtlarýn gerçekte tutulup tutulmadýðýnýn denetlenmesi ile ilgili maddelerin de yer almasý çok faydalý olacaktýr.
Kontrol listeleri oluþturma, listelerin güncellenmesi gibi iþlemler ilk planda zor ve çok zaman gerektiren iþlemler gibi gözükse de uygun yöntemler kullanýlarak iþleyen bir kontrol listesi oluþturma sistemi ortaya konabilir. Kontrol listeleri oluþturmak için literatürde birçok kaynak mevcuttur hatta bazý kontrol listeleri Ýnternet’ten eriþilerek doðrudan kullanýlabilir. Ýlk olarak iþletim sistemleri ve uygulamalar ile ilgili genel kontrol listeleri oluþturulmalýdýr (Windows 2003, MSSQL 2000, IIS 6.0 kontrol listeleri gibi). Bu genel kontrol listelerinin tüm maddeleri deðiþik fonksiyonel gereklilikler sebebiyle uygulanamayabilir ya da bu genel kontrol listelerine ek olarak spesifik bir varlýk için ilave maddeler gerekebilir. Uygulanamayacak maddeler veya eklenmesi gereken maddeler varlýk bazýnda belirlenmelidir. Kontrol listeleri bu þekilde bir çeþit nesne yönelim (object-oriented) mantýðýyla oluþturulabilir. Kontrol listeleri zamanla güncellenmelidir. Uygulamalarda veya iþletim sistemlerinde önemli deðiþiklikler olmasý (örneðin IIS 5.0’dan IIS 6.0’a geçiþ) durumunda veya yeni saldýrý tipleri ortaya çýktýðýnda söz konusu güncellemeler yapýlmalýdýr. Kontrol listeleri oluþturmada en önemli noktalardan biri yeni bir sistemin devreye alýnmadan önce kesinlikle bir güvenlik kontrol listesinin hazýrlanmýþ olmasýdýr. Bu durum ilk planda, sistemlerin devreye alýnmasýný geciktirebilecek bir durum gibi gözükse de aslýnda yeni bir sistemin kabul edilmesi evrelerinin (alternatif sistemlerin denenmesi, uygun olana karar verme, satýn alma süreci, sistemlerin kabul testleri v.b) uzunluðu dikkate alýnýrsa güvenlik kontrol listesi oluþturmanýn bu uzun süreç içerisinde çok önemli bir zaman tutmayacaðý tahmin edilebilir. Yine de tüm sistemlerin güvenlik kontrol listesi yönetimine dahil edilmesinin gerek zaman gerekse iþ gücü açýsýndan uygun olmayacaðý düþünülüyorsa söz konusu süreç en azýndan kritik sistemler için yapýlabilir. Ayrýca kontrol listelerine göre sistemlerin denetlenmesi iþlemi de kritik sistemler için daha sýk, kritik olmayan sistemler için daha uzun aralýklarla yapýlabilir. Tabi bu kararý alabilmek için, teknik açýklýk yönetimin ilk adýmý olan varlýk envanterini çýkarma ve varlýklarýn kritiklik derecelerini belirleme iþleminin ne kadar önemli olduðunu tamamlanmýþ olmasýný belirtmekte yarar var.
Bir çok kurum, güvenlik danýþmanlýðý yapan þirketlere, güvenlik taramasý, sýzma testi veya güvenlik denetimi yaptýrmaktadýr. Bu çalýþmalar, teknik açýklýklarýn tespit edilmesinde önemli yer tutar. Söz konusu çalýþmalarýn önemli olmasýnýn ilk sebebi kurum dýþýndan farklý bir gözle objektif olarak sistemlerin denetlenmesidir. Kurum ne kadar teknik bilgi ve beceriye sahip olursa olsun, farklý bir göz farklý açýklýklar tespit edebilir. Hatta kurumlar, çalýþtýklarý danýþman firmalarý zamanla deðiþtirerek daha farklý gözleri tercih etmektedirler. Ýkinci olarak üst yönetim, kurum içinde yapýlan açýklýk tespit etme faaliyetlerinin sonuçlarýný danýþman firmalarýn yaptýðý çalýþmalarýn sonuçlarý ile karþýlaþtýrarak kurum içi faaliyetlerin eksik taraflarýný ortaya koyabilir, yeterliliði hakkýnda bilgi edinebilir. Üçüncüsü danýþman firmalarýn birçoðu konularýnda uzman kiþileri çalýþtýrdýklarý için bu firmalar farklý gözden de öte sistemlerde tespit edilmesi zor açýklýklarý belirleyebilirler.
Çoðunlukla kurumlar kendi içlerinde açýklýk tespit etme fonksiyonlarýný oluþturamadýklarý için danýþman firmalara yaptýrýlan çalýþmalarýn sonuçlarýný tek bilgi kaynaðý olarak kullanmaktadýrlar. Bu tür çalýþmalarýn süresi arttýkça maliyeti de arttýðýndan danýþman firmalara kýsýtlý zamanda geniþ kapsamlý çalýþmalar yaptýrýlmaktadýr. Bu durumda da firmalar sistemleri tarayýcý araçlarla güvenlik taramasýndan geçirip sonuçlarýn içerisindeki hatalý pozitifleri elemine etmek ve bazý bariz açýklýklarý kullanarak sistemleri ele geçirmeye çalýþmaktan öte bir þey yapamamaktadýrlar. Çoðu zaman bütçe nedenleri ile söz konusu çalýþmalarýn süresini uzatmak mümkün olmadýðýna göre, danýþman firmalarýn uzmanlýklarýndan tam yararlanmak için güvenlik çalýþmasýnýn kapsamýný sadece kritik sistemleri dahil edecek þekilde daraltmak ve onlarýn bu dar kapsamdaki sistemler üzerinde konsantre olmalarýný saðlamak daha iyi bir seçim olacaktýr. Böylelikle güvenlik deðerlendiricileri mümkün olan tüm test adýmlarýný rahatlýkla uygulayabileceklerdir.
Teknik açýklýklarýn tespit edilmesi iþlemi sadece sistemde hangi açýklýklarýn bulunduðunun belirlenmesini deðil ayný zamanda bu açýklýklarýn oluþturduðu risklerin de derecelendirilmesini içermelidir. Açýklýk tespiti, kurumda elbette birden çok kiþinin katýldýðý bir çalýþmanýn sonucudur. Hatta bu çalýþmada yukarýda anlatýldýðý gibi danýþman firmalar da yer alabilir. Farklý kiþilerin katýldýðý farklý çalýþmalar sonucu ortaya çýkan açýklýklarýn ortak bir risk ölçütü diliyle derecelendirilmesi gerekmektedir. Böylelikle kurum daha çok risk oluþturan açýklýklara odaklanabilir. Bu hedefi tutturabilmek için anlaþýlýr, karmaþýk olmayan ama kurumun iþ hedeflerini de yansýtan bir risk deðerlendirme ölçütü belirlenmelidir. Oluþturulan risk ölçütü danýþman firmalarla da paylaþýlmalý ve firmalarýn bulduklarý açýklýklarý söz konusu ölçütlere göre derecelendirmeleri istenmelidir. Söz konusu çalýþmalar sýrasýnda danýþman firmalardan, oluþturulmuþ risk ölçütleri hakkýnda deðerlendirmelerini almak faydalý olacaktýr.
Tespit edilen açýklýklar doðrulanmalýdýr. Doðrulamanýn en iyi yöntemi, elde edilen açýklýklarý varlýklarýn yöneticileriyle tartýþmaktýr. Böylelikle hatalý pozitif bulgularýn süzülmesi saðlanabilir. Karþýlýklý mutabakat saðlanamayan durumlar varlýklar üzerinde daha detaylý incelemeler sonucunda açýklýða kavuþturulmalýdýr.
Elbette teknik açýklýk yönetimi açýklýklarýn tespit edilmesi ile sona ermez. Tespit aþamasýndan sonra açýklýklarý kapatma ya da açýklýklarýn etkilerini azaltma yöntemleri ortaya konmalýdýr. Söz konusu yöntemler içerisinden uygun olaný seçilmeli ve bu yöntemin uygulanmasý ile ilgili zaman planlamasý yapýlmalýdýr. Açýklýklarýn kapatýlmasý ile ilgili plan dahilinde, yapýlmasý gereken çalýþmalar kontrol edilmelidir. Aslýnda periyodik açýklýk tespiti çalýþmalarý bu kontrolü saðlamada etkin bir rol oynar. Ama yüksek dereceli risk oluþturan açýklýklarýn kapatýlýp kapatýlmadýðý ek denetim çalýþmalarý ile ortaya konmalýdýr.
Peki, üst yönetimin teknik açýklýk yönetiminde üzerine düþen görevler nelerdir? Ýlk olarak üst yönetim, teknik açýklýklarýn tespit edilmesi ve gerekli önlem belirleme ile bu önlemlerin uygulanmasý fonksiyonlarýný kurumda kimin yapacaðýna karar vermelidir. Teknik açýklýk yönetimi kurumdaki farklý departmanlar arasýnda koordinasyon gerektirmektedir. Üst yönetim söz konusu koordinasyonu saðlamalýdýr. Ýkinci olarak da açýklýk yönetiminin temel evreleri ile ilgili çalýþmalarý baþlatmalý, bu evrelerin sonunda bilgilendirici raporlar talep etmeli ve söz konusu raporlarý onaylamalýdýr. Varlýk envanteri raporunu, periyodik açýklýk tespiti çalýþmalarýnýn özet raporlarýný, periyodik yapýlan bu çalýþmalarýn karþýlaþtýrma raporlarýný talep etmelidir. Özellikle karþýlaþtýrma raporlarý sistemlerin iyileþme sürecinin gözlenmesinde önemli bir bilgi kaynaðýdýr. Ayrýca üst yönetim tespit edilen çalýþmalarýn kapatýlmasý ile ilgili bir plan talep etmeli, bu planý onaylamalý ve planýn gerçekleþmesi için gerekli iþ gücünü ayýrmalýdýr. Planýn uygulanýp uygulanmadýðýný da denetlemelidir.
Bir sistemin açýklýk içermemesi beklenemeyeceði gibi tespit edilen açýklýklarýn tümünün kýsa zaman içerisinde kapatýlmasý da pratikte mümkün deðildir. Ama beklenen kurumun devamlý olarak iyiye gitmesidir.
Saygýlar..
|