Siber Güvenlikte Saldırı ve Savunma

İşletmenin sanal yapısının güvenliğini artırmak için ne yapabiliriz? Gerçek dünyada güvenliği sağlamak için ne yapılabilir? Güvenlik protokollerini geliştirmek mi? Savunma mı? Saldırı mı? Sanal dünyada nasıl? Güvenlik dünyasında, internet işletmelerinin siber olaylar ve saldırılara karşı güvenliğini artırmak için ne gibi önlemler alınabilir?

Güvenlik Nedir?

Güvenliğin bir tanımı, her türlü tehdit ve saldırıdan uzak olma hali ve her tehdit ve saldırıya karşı hazırlıklı olma durumu" olarak ifade edilir. Mevcut tehlikelerden korunmamız gerekir. Siber dünyada da siber olaylar ve saldırılardan korunmak istiyoruz.

Güvenlik çözümleri ve önlemleri çeşitleri nelerdir?

Siber dünyada güvenliğe ulaşmak için ne yapılabilir? Cevap basit :) Gerçek dünyada güvenliği artırmak için ne yapılabiliyorsa, aynı şeyler yapılabilir; güvenlik sağlamak için duvarları mümkün olduğunca yükseltmek ve bir ordu hazırlamak, gelen saldırılar karşısında savunma yapmak, güvenliği test etmek, zayıf noktaları öğrenmek ve başkalarının saldırılarından korunmak. Bazen kendimize karşı bir saldırı senaryosu düzenlemek veya öngörmek...

Güvenlik önlemleri ve çözümleri genellikle iki kategoriye ayrılır:

• Savunma Önlemleri veya Defensive

• Saldırı Önlemleri veya Offensive

Siber güvenlikte saldırı ve savunma nasıl tanımlanır?

Dünya çapında anlık siber saldırı haritasına bir göz atarsak, her an gerçekleşen saldırıların büyük bir hacmiyle karşı karşıya kalırız. Bu rakamlar bize, kendimizi korumanın ve güvenliğimizi artırmanın zorunlu olduğunu gösteriyor. Bu temelde, her potansiyel veya gerçek saldırı kuvvetine karşı, iç kaleyi korumak için savunma duvarına ihtiyaç vardır. Savunma duvarı ne kadar sağlam olursa, saldırganların işletme kalelerine sızması o kadar zorlaşır. Ancak saldırganlar ne kadar hızlı ve becerikli olurlarsa, savunma duvarları da onların sızmasını önlemede o kadar zayıf olur.

Siber güvenlikte, savunma görevini üstlenen güçler, tehditlere karşı savunma ve güçlendirme görevini üstlenen uzmanlar olarak Defensive veya Savunma uzmanları olarak bilinirler. Saldırı güçleri ise Offensive veya Saldırı uzmanları olarak bilinirler ve işletme kalelerine sızma için saldırılar düzenlerler. Her iki grup da yaptıkları operasyonlar için Offensive veya Saldırı ve Defensive veya Savunma operasyonları olarak adlandırılırlar.

Defensive veya Savunma operasyonu nedir?

Sistemlerin korunması için nöbet tutma işlemine Defensive veya Savunma operasyonu denir. Güvenlik uzmanları, işletmelerin sistemlerini, ağlarını ve güvenlik politikalarını tasarlayarak işletme verilerinin güvenliğini sağlamak için çalışırlar.

Defensive uzmanları, sistemlerin güvenliğini artırmak için aşağıdaki işlemleri gerçekleştirirler:

• Güvenliği bir öncelik haline getirerek ve sızmalara karşı önlem alarak sistemleri yapılandırırlar.

• Gelecekteki olası saldırıları tespit etmek için sistemleri izlerler

• Olası saldırıların etkilerini azaltmak ve sızdırılan sistemleri yeniden sağlamlaştırmak için güvenlik protokolleri uygularlar

• Zararlı yazılımları ve saldırganları sistemin içinde izlemek için honey-potlar gibi araçlar kurarlar

• Fiziksel ve dijital güvenliği bir arada kullanarak işletme sistemlerine zarar riskini en aza indirmek için karma güvenlik manevraları tasarlar ve uygularlar.

Farklı defansif eylemleri ile daha çok tanışalım:

Mavi Takım veya Blue Team:

Mavi takım stratejisi, bir grup güvenlik uzmanının işbirliğiyle işletme ağının altyapı trafiğini izleme araçlarını devreye sokmak veya sistemlerin olası gelecekteki saldırılara karşı hazırlıklı olma düzeyini değerlendirmek gibi faaliyetlerle ilgilidir. Bu şekilde, kırmızı takım güçlerinin olası saldırılarından önce, savunma güçlerinin hazırlıklı olması sağlanır.

Güvenli Kodlama veya Secure Coding:

Bir çevrimiçi sistem üzerindeki temel yapı, kaynak kodudur. Bu nedenle, kodlama sırasında güvenlik standartlarının dikkate alınması, birçok yazılım hatası ve güvenlik açığından otomatik olarak korunmayı sağlar.

Düzenli Kütüphane Güncellemeleri:

Günümüz çevrimiçi sistemlerinde genellikle çeşitli ve yaygın olarak kullanılan açık kaynaklı kütüphaneler bulunmaktadır. Bu kütüphaneler genellikle güvenlik sorunlarının ortaya çıkmasını önlemek için düzenli olarak güncellenir ve hatta bir güvenlik açığı keşfedildiğinde hemen güncelleme sağlanır. Teknik yöneticiler, mevcut kütüphane eksikliklerini gidermek için bu güncellemeleri zamanında sistemlerine yüklemelidirler. Ancak, bahsettiğimiz tüm durumlar, savunma önlemleri olarak kabul edilebilecek her şey değildir. Bu sadece, uygulandığında işletme güvenliğini artıran belirgin önlemlerdir.

Offensive veya Saldırı Operasyonu Nedir?

Sistemlere erişim sağlamak ve zayıflıkları tespit etmek amacıyla hizmetlere saldırmak veya açıkları sömürmek girişimi Offensive veya Saldırı operasyonu olarak adlandırılır.

Herhangi bir kişi, bir sisteme sızma girişiminde bulunursa, ona "Offensive" uzmanı denir mi?

Evet, saldırı izleri taşıyan her eylem, "Offensive" bir eylem olarak kabul edilir ve bunun failleri "Offensive" uzmanı olarak kabul edilir. Bu sınıflandırmanın temelinde, işlevselliğin doğası yatar. Saldırganın kim olduğu veya amacı fark etmez, kullanıcı verilerini çalmak veya işletme sistemlerine zarar vermek amacıyla yapılan her türlü eylem "Offensive" olarak kabul edilir.

Offensive uzmanları, sistemlerin güvenliğini artırmak için neler yaparlar?

• Sistemlerin güvenlik değerlendirmelerini yaparlar, zayıflıkları, hataları ve güvenlik açıklarını bulurlar ve işletmeye bunları giderme için öneriler sunarlar.

• Siyah şapkalı hackerların olası sızma yollarını bulmaya çalışır ve bu yolların kapatılmasına yardımcı olur.

• Bu saldırıları işletmenin güvenliğini artırmak için gerçekleştirirler.

Saldırı türünden olan güvenlik önlemlerini daha yakından tanıyalım:

Sızma Testi veya Penetrasyon Testi:

Sızma testi çözümünde, güvenlik uzmanlarından oluşan bir ekip, gerekli araçlar kullanarak ve manuel olarak sistemlerin güvenlik değerlendirmesini yapar ve keşfedilen güvenlik açıklarının sonuçlarını bir rapor halinde sunar.

Kırmızı Takım ya da Red Team:

Kırmızı Takım çözümünde, güvenlik uzmanlarından oluşan bir ekip, genel bir hedef belirleyerek, bu hedefe ulaşmak için tüm araçlarını ve yeteneklerini kullanır ve sonunda operasyon sürecini bir rapor halinde detaylandırarak var olan zafiyetlerin giderilmesi için çözümler önerir. Örneğin, sistem veritabanına erişim sağlama veya sosyal mühendislik yöntemlerini kullanarak işletme personelini bir eylem yapmak için zorlama ve sistemlere sızma gibi.

Zafiyet Açıklama Politikası veya VDP:

VDP çözümünde, bir işletme, herhangi bir güvenlik uzmanının işletme sistemlerindeki güvenlik açıklarını fark etmesi durumunda, bunu işletmeye iletebilmesi için bir mekanizma sağlar.

BugBounty veya Ödül Avcılığı:

BugBounty çözümünde, bir işletme, bir dizi güvenlik uzmanını, işletme tarafından belirlenen bir sistemdeki hedeflere ayrı ayrı değerlendirme yapmaları için görevlendirir ve her bulunan zafiyetin raporunu sunar. Tabii ki, belirttiğimiz hususlar sadece Offensive adı altında sınıflandırılabilecek eylemler değildir. Bu, işletme güvenliği zayıflıklarının tespit edilmesine ve işletme güvenliğinin artırılmasına yardımcı olabilecek temel önlemlerdir.

VDP: Güvenlik öneri ve eleştiri kutusu, Blog yazısında daha detaylı bilgiye sahip olabilirsiniz.

Küçük bir güvenlik oyunu örneği: Kırmızı Takım ve Mavi Takım

Kırmızı Takım ve Mavi Takım'ın hikayesi, iki farklı cephe ve birbirlerine karşı savaşmaları gibi gerçek bir savaş gibidir, ancak ortak bir hedef için; bir sistemdeki zafiyetleri bulmak ve güvenliğini artırmak. Her askeri birlik, kendi hazırlıklarını sürdürmek ve savaş egzersizi yapmak için askeri manevralar düzenler; bu manevralarda bir grup savunma yaparken, diğer grup saldırır. Siber güvenlik dünyasında, Kırmızı Takım saldırgan rolünü üstlenirken, Mavi Takım savunmacı rolünü üstlenir. Bu süreçte, bir işletmenin teknik veya insani zafiyetleri değerlendirilir ve giderilir.

Bu hikayenin başlangıcı nerededir? İlk Saldırı mı yoksa Savunma mı yaşandı?

Bu soruya cevap vermek biraz "Önce tavuk mu yoksa yumurta mı?" sorusuna benzer ve zor cevaplanır gibi durur :) Ancak her savunma eylemi, potansiyel tehlikeler ve saldırıları önleme amacıyla bir hareket olarak kabul edilebilir. Bu tehlikeler, saldırı (Offensive) uzmanları tarafından bildirilebilir, veya bir şekilde bu tehlikelerden haberdar olunmuştur, bu durumda savunma uzmanları bu bildirimlere istinaden kurumların daha güvende kalmaları için gereken eylemleri gerçekleştirirler.

Güvenliği sağlamak için buradayız...

Kırmızı Takım ve Mavi Takım örneklemesi yaptık, çünkü bu süreç, mevcut dünyada "güvenlik oyunu"nun açık bir örneğidir. Diğer güvenlik iyileştirme çözümlerinde de, güvenlik uzmanları bu iki cephenin birinde yer alır ve "güvenliği artırma" gibi bir hedef için mücadele ederler. Onların yaklaşımında veya eylem tarzlarında farklılıklar olabilir, ancak hepsi işletmenin daha güvenli hale gelmesi yolunda çalışır.

Son söz

Hem saldırı tabanlı hem de savunma tabanlı eylemler sistem güvenliğini artırmak için kullanılabilecek stratejilerdir. Saldırı eylemleri saldırgan bir düşünceye dayanırken, savunma eylemleri savunmacı bir düşünceye dayanır. Ancak hangi düşünce daha kapsamlı? Hiçbiri! Bu eylemlerin ikisi bir arada, daha kapsamlı bir model oluştururlar. Bu nedenle, güvenlik konularında çeşitli yöntemlerin kullanılması, güvenliğin artırılması için tavsiye edilir.

Peki siz işletmenizin güvenliğini artırmak için neler yaptınız?