|
Online alýþveriþ yaparken, web bankacýlýðýnda ya da kullanýcý adý ve þifre girdiðiniz sayfalarda gözünüze iliþmiþtir: “güvenli alýþveriþ”, “secure site”, “secured by xxx”. Bunlar kýsmen doðru olsa da güvenlidir diyemeyiz. Burada bahsedilen güvenlik SSL güvenliðidir. Https protokolü ile web sunucusu ve istemci arasýnda gidip gelen trafiði þifreleyerek að üzerinde herhangi bir noktadan sniff edilmesini (dinlenmesini) engellemektir amacý. Özellikle kredi kartý bilgileri veya web bankacýlýðý giriþ þifrelerini korumak için elbette zorunlu bir yöntem. Ancak oldukça büyük riskler de getiriyor web sunucusu barýndýran þirketler için.
Günümüzde güvenlik duvarý kullanmayan sistem kalmadý. Birçok büyük þirkette de ya bir atak engelleme sistemi çalýþýyor ya da proje aþamasýnda. Bu güvenlik ürünleri artýk olmazsa olmazlardan. Ancak þimdi iþin farklý bir boyutuna bakacaðýz.
Standart Intrusion Detection (IDS) ürünleri að üzerinde konumlandýrýlýr ve tüm trafiði yakalayýp atak arar. IDS’ler akýllý cihazlar deðildir, yakaladýðý ataða karþý iki korumasý vardýr. Tcp reset komutu gönderebilir atak yapan ip adresine ve güvenlik duvarýna baðlanýp ilgili ip adresini blok listesine yazdýrtabilir. Ancak bu yöntemler oldukça yetersiz hatta risklidir.
Udp ataklarýnda reset diye bir imkan olmadýðýndan IDS’ler udp ataklarýný izlemekle yetinir. Bazý IDS’ler icmp ataklarýna karþý unreachable cevabý dönebilir ama birçoðu bunu da yapamaz. Firewall’a kural yazdýrmak ise bir atak tipi ortaya çýkarmýþtýr. Örneðin IDS çalýþtýran sisteme bir atak yapýp, atak sýrasýnda source ip adreslerini mask edip bilinen büyük dns sunucularýnýn ip’sini yerleþtirelim (odtu ve büyük isp’ler mesela). IDS’de gitsin bu ip’leri firewall blok listesine eklesin. Bu durumda kurban sistem dns çözümleyemez hale gelir. Ýntihar gibi bir þey olsa gerek IDS’lerin firewall ürünlerine blok yazdýrmasý.
IDS iþi böyle biraz karýþýk ve amaçsýzca giderken Intrusion Prevention (IPS) sistemleri çýktý. Bunlar in-line ve transparan olarak çalýþýyor ve yapýlan ataðý kendi üzerinde gerçek zamanlý olarak engelliyor. Zaten birçoðumuz IDS’lerimizi IPS’ler ile deðiþtirmiþ durumdayýz.
Tüm bu ürünleri neden alýyoruz? Güvenlik saðlamak için. Bu ürünler https güvenliði saðlýyor mu? Hayýr. Neden? Çünkü https þifrelenmiþtir ve að üzerinde çalýþan güvenlik cihazlarý þifrelenmiþ bu trafiði açýp içine bakamazlar. Öyleyse bir https sunucumuza atak yapýldýðýnda ids veya ips cihazýmýzýn olaydan haberi olmayacak.
Birçok büyük kurumda https sunucularý içler acýsý durumda çalýþýyor. Güvenlik danýþmanlýðý bu yüzden önemli. Düzenli olarak danýþmanlýk hizmeti alarak zayýf noktalarý bir uzmana tespit ettirmenizi öneririm.
Https üzerindeki bu tehdidi gören üreticiler önlem almaya çalýþýyorlar. Ancak bunlarýn hiçbiri sektörde henüz standart haline gelmiþ deðil. Örneðin McAfee, IPS ürünü olan IntruShield’e https tarayabilen bir özellik getirdi. IntruShield’e web sunucusunun SSL anahtarýný yükleyip þifreli paketleri kontrol ettirebiliyorsunuz. Üstelik IPS cihazý bu durumda SSL end-point olmuyor. Sadece trafiði kontrol ediyor, atak bulursa engelliyor, legal trafiði ise yine þifreli biçimde web sunucusuna yolluyor. Þifreleme performansýný düþürmemek için de SSL Accelerator kartý cihazda mevcut. Yeterli mi? Deðil.
Biliyoruz ki IPS ürünleri genellikle 2 teknolojiye sahiptir. Pattern-matching ve Protocol-anomaly. Pattern-matching’de yapýlan iþ gelen paketlerde bilinen bir ataðýn taranmasýdýr. Protocol-anomaly’de ise RFC standartlarý kontrol ediliyor ve standart dýþý paketler engelleniyor.
Þimdi þu isimlere dikkat edelim: Sql injection, Cross-site scripting, Command Injection, Cookie/session poisoning, Parameter/form Tampering, Error Message Interception, Application Platform Exploits. Tüm bu isimlerdeki ortak nokta, tamamýnýn uygulama açýðý olmasý. IPS ürünleri web uygulamalarý da dahil olmak üzere, uygulamalarý çok iyi tanýmazlar.
Bir çoðumuzun gözden kaçýrdýðý farklý bir pencere açmýþ olduk bu noktada, uygulama güvenliði.
Beyaz Þapka’nýn diðer yazýlarýnda da görebileceðiniz gibi artýk eskisi kadar çok iþletim sistemi açýðý çýkmýyor. Üreticiler bu konuda çok daha hassas ve tecrübeli. Özellikle otomatik güncelleme mekanizmalarý ile yama eksiði bulunan bir kurban yakalamak çok zor internet üzerinde. Dolayýsý ile artýk ataklar uygulamalara çevrildi. Hatta birkaç tane olan uygulama güvenliði tarama yazýlýmý üreten þirket sayýsý 50’ye yaklaþtý. Buna paralel olarak ücretsiz yazýlýmlar da her geçen gün artýyor. Bütün bu ürünlerin performanslarý tartýþýlýr. Ancak 10 tane uygulama güvenliði tarama yazýlýmý kullandýðýnýz zaman hemen hemen her web sitesinde açýk bulmanýz muhtemeldir. Yapmanýz gereken tek þey yazýlýmlarýn deneme sürümlerini temin etmek. Þahsen uygulama güvenliði tarama yazýlýmlarýnda Top 10 listem þöyle: McAfee FoundStone, Syhunt, MaxPatrol, AppDetective, Kavado, SPI Dynamics, Acunetix, VForce, N-Stealth, WHCC.
Tekrar üzerinden geçmek istiyorum. Yukarýda saydýðým uygulama güvenlik tarama yazýlýmlarý, web tabanlý her uygulamayý tarar. Asp yada php sayfalarýnda bulunan en küçük kod hatasýný bulur ve sonuçlarýný gösterir. Üstelik bu taramayý https üzerinden yaparsanýz, atak yaptýðýnýz sistemde bulunan Firewall, að tabanlý atak tespit ve engelleme sistemleri (NIDS/NIPS) gibi güvenlik ürünleri SSL þifrelemesini bilmediðinden ve uygulama güvenliðinden anlamadýðýndan etkisiz kalýr.
Saygýlar..
|