|
Penetrasyon Testlerinin Eksiklikleri
Günümüzde bilgi güvenliði konusunda hassasiyeti olan ve gerekli bütçeyi ayýrabilen kurumlar bilgi güvenliði danýþmanlýðý yapan firmalarla çalýþmalar yapmaktadýrlar. Bu çalýþmalar, penetrasyon testleri (penetration test), bilgi sistemlerinin güvenlik denetimi (security audit), geliþtirilen programlarýn kaynak kodlarýnýn güvenlik açýsýndan incelenmesi ve bilgi güvenliði yönetim standardlarýnýn (ISO27001, COBIT vs) kurumda uygulanmasý gibi konularý içermektedir. Ülkemizde ise bu çalýþmalarýn çoðunluðunu penetrasyon testleri oluþturmaktadýr. Diðer taraftan son zamanlarda bilgi güvenliði yönetim sistemi standardlarýnýn kurumda uygulanmasý konusunda da geliþtirilen projelerin sayýsý artmaktadýr.
Bu yazýda ele almak istenilen konu bilgi sistemlerinin güvenlik açýklýklarýnýn tespit edilmesine yönelik projelerde tercih edilen yöntem olan penetrasyon testlerinin eksiklikleri ve bu testleri de içerisinde barýndýran “detaylý güvenlik denetim”lerinin (security audit) tercih edilmesi gerekliliðidir.
Bir çok penetrasyon testi çoðu kiþinin bildiði gibi deðerlendiricilere sadece IP bilgisi verilerek (ki bazen bu bilgi de verilmeyebiliyor) Ýnternet?e açýk bilgi sistemlerindeki açýklýklarýn Ýnternet üzerinden sýnýrlý bir zaman aralýðýnda test edilmesi þeklinde gerçekleþtirilmektedir. Bu çalýþmalarda temel mantýk ?Acaba Ýnternet üzerinden bir saldýrgan veya saldýrganlar sistemlerimize neler yapabilir?? sorusuna cevap aramaktýr.
Bazen iç tehditlerin de tespit edilmesi amacýyla kurum içerisinde herhangi bir hakký olmayan, sadece deðerlendiricilere baðlanabilecekleri bir IP numarasýnýn verildiði penetrasyon testleri de gerçekleþtirilmektedir. Yukarýda ifade edilen “detaylý güvenlik denetimi”nden kasýt ise deðerlendiricilerin hem sistemleri uzaktan test etme yetkisine sahip olarak çalýþabilmesi (mesela, gerekli kullanýcý profillerinin saðlanmasý), hem de sistemlerin konfigürasyonlarýný inceleyebilecekleri bir ortamýn oluþturulmasýdýr.
Kurumlarca penetrasyon testlerinin tercih edilmesinin bir kaç sebebi vardýr. Ýlk sebep, kurumlarýn öðrenmek istedikleri noktanýn “Acaba Ýnternet üzerinden bir saldýrgan veya saldýrganlar bizim sistemimize ne yapabilir?” sorusuna cevap aramakla sýnýrlý olmasýdýr. Bu soru bilgi güvenliði ile ilgili duyarlýlýðýn ilk seviyesini oluþturmaktadýr. Bu seviyede iç tehditler, ki deðiþik çalýþmalar iç tehditlerden dolayý ortaya çýkan güvenlik olaylarýnýn önemli bir yer tuttuðunu göstermektedir [1, 2], göz ardý edilmektedir. Ýç tehditler kapsamýnda, sistem üzerinde deðiþik seviyede yetkisi olan kiþilerin bilinçli ya da bilinçsiz olarak gerçekleþtirebilecekleri davranýþlarýn etkileri incelenir.
Özellikle bilinçsiz davranýþlarýn etkilerinin gerçekten çok fazla olduðu gözlenmekte ama bu etkilerin kayýt altýna alýnmamasý ve bilinçli davranýþlar kadar çok yanký uyandýrmamasý nedeniyle çoðunlukla göz ardý edilmektedir. Penetrasyon testleri, ifade edilen kapsamdaki iç tehditleri tespit etmezler. Deðerlendiricilere kurum içinden baðlanma haklarý verilmesi durumunda bile penetrasyon testleri yetersiz kalmaktadýr. Aslýnda yapýlan penetrasyon testleri sonuçlarý “Acaba Ýnternet üzerinden bir saldýrgan veya saldýrganlar bizim sistemimize ne yapabilir?” sorusuna da tam cevap veremeyebilirler.
Çoðunlukla deðerlendiriciler, sýnýrlý zamanda bir çok IP numarasýný kara kutu (black box) mantýðýyla ele alarak test ederler. Oysa bir saldýrganýn (çoðunlukla) zamaný sýnýrlý deðildir ve hedefinde bir çok IP numarasý olmayabilir. Hedefini tam belirlemek için bir çok IP arasýndan seçme iþlemi yapabilir ama nitelikli bir saldýrganýn bu iþlemin sonunda odaklandýðý bir ya da bir kaç IP olacaktýr. Dolayýsýyla penetrasyon testleri söz konusu kýsýtlar altýnda beklentilerin ancak belli bir bölümünü karþýlayabilirler.
Penetrasyon testlerinin tercih edilmesindeki sebeplerden birisi test eden firmaya tam olarak güvenememektir. Kurumlar arasý güvenin az olduðu ülkemizde kurumlar karþý tarafa mümkün olan en az bilgiyi (sadece IP bilgileri ki zaten bu bilgiler de rahatlýkla bulunabilir) vererek bir güvenlik testi yaptýrmak istemektedirler ki bu amaç için penetrasyon testleri uygundur. Ama gerçekten kurumlar kendi güvenlik eksikliklerini tam tespit ettirmek istiyorlarsa güvenebilecekleri bir kuruma sistemlerin konfigürasyonlarýnýn da inceletebilecekleri bir güvenlik denetimi yaptýrmalýdýrlar. Söz konusu denetimde bazý kurallar konarak ek tedbirler alýnabilir. Örneðin deðerlendiricilere sistem yöneticisi hakkýyla deðil sadece okuma hakkýyla sistemlere baðlanma hakký verilebilir.
Bazý kritik konfigürasyon bilgileri anonim hale getirilerek deðerlendiricilere farklý ortamlarda (kaðýt ortamýnda, konfigürasyonlarýn enstantane resimleri (snapshot) halinde vs..) verilebilir. Hatta söz konusu kayýtlarýn incelenmesinin sadece kurum ortamýnda yapýlmasý ve incelemeden sonra deðerlendiricilere herhangi bir bulgunun verilmemesi saðlanabilir.
Penetrasyon testlerinin tercih edilmesindeki baþka bir sebep kurumun kendi sistemlerine tam güvenememesidir. Eðer söz konusu güvenlik test projesi üst yöneticilerin zorlamasý ile yapýlýyorsa bilgi sistemini yöneten kiþiler ya da bilgi sistemlerin güvenliðinden sorumlu kiþiler güvenlik projesinin kapsamýný mümkün olduðunca daraltmaya çalýþabilmektedirler. Penetrasyon testi de bu durumda tercih sebebi olabilmektedir.
Güvenlik test projesi fikrinin üst yönetimden gelmediði bizzat bilgi güvenliðinden sorumlu kiþilerin teklifi ile oluþtuðu durumlarda da ilgili kiþiler kendi sistemlerine güvenmeme ama ayný zamanda eksikliklerini de tespit ettirme ikileminde kalarak nispeten dar kapsamlý olan penetrasyon testlerini tercih etmektedirler. Aslýnda bu durum bilgi sistem organizasyon yapýsýndan kaynaklanan bir problemdir. Ülkemizde kurumlardaki bilgi güvenliði departmanlarý çoðu zaman operasyonel hizmetler de (güvenlik duvarlarý, IPS yönetimi, kayýt alma mekanizmalarýnýn kurulmasý) görebilmektedirler.
Bu durumda güvenlik testi projesini yaptýran birimler ayný zamanda kendi eksikliklerinin de bulunmasýný talep etmiþ bulunmaktadýrlar. Her birimin kendi eksikliklerinin bulunmasýný talep etme özgüvenine sahip olmasý beklenmemelidir. “Görevler ayrýlýðý” ilkesi bu durumlarý ortadan kaldýrmak için vardýr. Söz konusu operasyonel hizmetler diðer operasyonel birimlerinin iþi olmalý ve bilgi güvenliði departmanlarý sadece izleme ve denetleme fonksiyonunu icra etmelidir. Danýþmanlýk firmalarýndan alýnan güvenlik testi projesini de yöneten söz konusu bilgi güvenliði departmanlarý olmalýdýr. Ayrýca bilgi güvenliði departmanlarýnýn “denetleme” konusunda baðýmsýzlýðý saðlanmýþ olmalýdýr.
Böyle bir ortamda bilgi güvenliði departmaný bilgi güvenliði testini mümkün olan en geniþ kapsamda ele almaya çalýþacaktýr.
Yukarýda penetrasyon testlerinin tercih sebeplerine ve bu sebeplere kaynaklýk eden problemlerin nasýl çözümlenebileceðine deðinmeye çalýþtým. Þimdi de penetrasyon testlerinin genel eksikliklerine deðinmek istiyorum.
Güvenlik testlerinde hedeflenen temel üç nokta sistemde herhangi bir açýklýðýn tespit edilmesi, bu açýklýðýn tam olarak var olduðunun belirlenmesi ve söz konusu açýklýðýn sisteme etkisinin gözlenmesidir. Güvenlik testlerinin temel çýktýlarý ise açýklýklar ve açýklýklarýn kritiklik dereceleridir. Yapýlan çalýþmanýn bir açýklýk deðerlendirilmesi (vulnerability analysis) olduðu varsayýlýrsa bu çalýþmalarda kritiklik derecesi, açýklýðýn sisteme olan etkisine göre belirlenir.
Güvenlik testlerinin baþarýsý, gerçekte açýklýk olmadýðý halde açýklýk olarak tespit edilen bulgularýn azlýðý (hatalý pozitif – false positive) ve gerçekte var olan ama deðerlendirici tarafýndan tespit edilemeyen açýklýklarýn azlýðý (hatalý negatif-false negative) ile ölçülebilir. Ayrýca bulunan açýklýklarýn kritiklik derecesini saðlýklý olarak tahmin edebilmek de testlerin baþarýsýndaki diðer önemli etkendir.
Penetrasyon testlerinin açýklýk tespit edilmesi aþamasýnda baþtan tam kapsayamadýðý ana açýklýk grubu lokal açýklýklardýr. Deðerlendiriciler, test ettikleri servislerin ya da iþletim sistemlerinin ne olduklarýný ve versiyonlarýný tespit ettiler ise bazý lokal açýklýklarýn olabileceðini tahmin edebilirler. Fakat bu açýklýklarýn tam olarak var olduðunu ve sisteme olan etkisini tespit edemezler. Ancak uzaktan sistemde kýsýtlý bir hak elde etmiþler ise söz konusu lokal açýklýklarý teyit etme ve etkilerini inceleme imkanýna sahiptirler. Bu imkana ulaþamadýlarsa ki ulaþamama ihtimali yüksektir, olabileceðini düþündükleri lokal açýklýklar sadece tahmin aþamasýnda kalmaktadýr. Tahmin edilen bir bulgunun da test raporuna yazýlmasý konusunda deðerlendiriciler ikileme düþerler.
Eðer söz konusu bulgu rapora yazýlýrsa karþý tarafa hatalý pozitif (false positive) bir bulgu verme olasýlýðý çok yüksektir. Eðer yazmazlar ise test çalýþmasýnýn hatalý negatif (false negative) oranýnýn artma ihtimali söz konusudur. Gerçekten söz konusu açýklýk sistemde varsa ve deðerlendiriciler bu açýklýðý rapora yazacaklar ise bu sefer açýklýðýn etkisini tam ölçemediklerinden açýklýða yanlýþ kritiklik derecesi verme olasýlýklarý çok yüksektir.
Yukarýda bahsettiðim lokal açýklýklar için geçerli olan açýklýðýn tam olarak varolduðunun onaylanamamasý ve etkisinin belirlenememesi aslýnda çoðu uzaktan kullanýlan açýklýklar için de geçerlidir. Dolayýsýyla penetrasyon testi yapan kiþiler ne kadar uðraþýrlarsa uðraþsýnlar, çalýþmalarýndaki hatalý pozitif bulgu bulma, hatalý negatifleri tespit edememe ve hatalý kritiklik seviyesi belirleme problemlerini aþamayacaklardýr. Bu problemler de çalýþmanýn kalitesini düþürecektir. Oysa sistemlere ve sistem bilgilerine eriþilerek yapýlan güvenlik denetimlerinde ifade edilen problemlerin minimum hale getirilebilme þansý vardýr.
Bilgi güvenliði saðlamada aslýnda iç içe geçen korunma mekanizmalarýndan faydalanýlmaktadýr. Örneðin, güvenlik duvarlarý sistemler üzerinde eriþilebilecek portlarý kýsýtlayarak saldýrganlarýn kullanabilecekleri saldýrý yüzeyini azaltýrlar. Saldýrý önleme sistemleri, güvenlik duvarý tarafýndan izin verilen að trafiði içerisinde bulunabilecek saldýrýlarý engellemeye çalýþýrlar.
Host tabanlý saldýrý tespit sistemleri lokalden veya uzaktan üzerinde yüklenmiþ olduklarý sistemlere olan saldýrýlarý tespit ederler. Öbür taraftan sistemlerin yamalarý güncellenerek güvenlik duvarýný ve saldýrý önleme sistemlerini atlayabilen saldýrýlara karþý korunma saðlanýr. Sistem konfigürasyonlarýnda yapýlan ayarlarla saldýrgan sisteme kýsýtlý bir hakla eriþse bile sistem üzerinde tam yetkili bir kullanýcý olmasý engellenir. Bu tür bir konfigürasyona örnek web sunucu servislerinin sýnýrlý yetkiye sahip (sadece html dosyalarýný okuyan, çalýþtýrýlabilir dosyalarý sadece çalýþtýrma hakkýna sahip olan) bir kullanýcý hesabýyla çalýþtýrýlmasýdýr. Penetrasyon testlerinde test edilen nokta, tüm bu mekanizmalarýn hepsinin birden çökertilip çökertilemeyeceðidir.
Oysa güvenlik testlerinde her bir mekanizmanýn kuvvetliliði ayrý ayrý test edilebilmelidir. Bu da ancak sistem bilgilerine de eriþilebilen, istenilen güvenlik mekanizmasýna eriþme hakký verilen detaylý bir güvenlik denetimi ile mümkündür.
Penetrasyon testi gerçekleþtirenlerin karþýlaþtýðý problemlerden birisi de karþý sistemlere önemli zararlar verme olasýlýðýdýr. Çoðunlukla danýþman firmalar ile yapýlan sözleþmelerde danýþman firmalardan penetrasyon testi yapýlmasý fakat sistemlere zarar verilmemesi istenmektedir.
Deðerlendiriciler bu durumda yine büyük bir ikilemde kalmaktadýrlar. Var olduðu konusunda þüphelendikleri ama sisteme zarar verme ihtimali olan saldýrýlarý deneyip denememe konusunda karar verememekte ve çoðunlukla risk almayýp ya söz konusu açýklýðý raporlarýna yazmamakta ya da hatalý pozitif olma ihtimali olan bu açýklýða raporlarýnda yer vermektedirler. Sistem konfigürasyon bilgilerine ulaþýlarak yapýlan testlerde açýklýklarýn var olma bilgisinin garanti edilmesi daha kolay gerçekleþtirilebilmekte ve etkilerinin tahmin edilebilirliði daha fazla olmaktadýr.
Penetrasyon testlerinin sistem güvenliðinin kontrol edilmesinde önemli bir yeri vardýr ama yukarýda ifade edilen eksiklikleri nedeniyle detaylý güvenlik denetimleri tercih edilmelidir.
Hatta son yýllarda geliþmiþ ülkelerde detaylý güvenlik denetimlerinin daha da ilerisinde açýklarýn çoðunun geliþtirilen uygulamalarda (özellikle web uygulamalarýnda) olduðu gerçeðine dayanýlarak uygulamalarýn kaynak kodlarýnýn güvenlik açýsýndan deðerlendirilmesi de önemli bir unsur haline gelmiþtir.
Kredi kartý bilgisi iþleyen kuruluþlar için oluþturulan PCI (Payment Card Industry) standardýnýn yeni versiyonunda (versiyon 1.1) web uygulama yazýlýmlarýnýn kaynak kodunun incelenmesinin gerekliliði ile ilgili madde konmuþtur. Dünyada trend kaynak kodlarýnýn incelenmesine kayarken yapýlan güvenlik testleri penetrasyon testleri ile sýnýrlandýrýlmamalýdýr.
Saygýlar..
|