İçerik
- İnternet = Risk
- Hacker Çeşitleri
- Dış / İç Test
- Hata Yok, Stres Yok - Hayatınızı Yok Etmeden Hayat Değiştiren Yazılım Yaratma Adım Adım Kılavuzunuz
- Koruma Sağlayan Araçlar
- Kabul Edilebilir Risk Seviyeleri
Paket servisi:
Penetrasyon testi, sistem yöneticilerine sistemlerdeki ve ağlardaki kabul edilebilir risk seviyelerini belirlemek için ihtiyaç duydukları bilgileri sağlar.
Sunucunuzun ev dediğiniz eve benzer olduğunu hayal edin. Şimdi hackerlar hakkında hırsız olarak bir an düşünün. Ön kapınızdaki kilitlerin, çift camlı pencerelerinizin de dışarı çıkacağı bir davetsiz misafir tutmaya devam etmesine rağmen, işinize bahse girmeye istekli misiniz? Aynı şey BT için de geçerli: Hangi risklere maruz kaldıklarını bildiklerinden emin olmak için, her BT departmanının sistemleri ve ağları üzerinde kapsamlı ve sık sık sızma testlerine ihtiyacı var.
Güvenlik uzmanları, sistemlerindeki ve ağlarındaki riskleri daha iyi anlayabilmek için penetrasyon testlerini kullanır. İşte bu önemli test türünün neler içerdiğine ve kötü adamları uzak tutmaya nasıl yardımcı olabileceğine bir göz atın.
İnternet = Risk
En güvenli bilgisayarın bir bilgisayar kapalı olduğu ve bu nedenle bir ağa bağlı olmadığı söylenir. Bağlanan her şey bilgisayar korsanları için bir risk oluşturur. Ağa hazır bir bilgisayar gibi masum bir ekipman bile bir saldırganın tüm yerel ağa erişmesine neden olabilir; hacker'ın tek yapması gereken, yazılım hatalarından birini başarıyla kullanmak. Bugünlerde saldırganlar uzaktaki bilgisayarları bile uyandırabilir ve onlarla ne yapacaklarını yapabilir! Buna rağmen, ortalama bir kullanıcı veya deneyimli bir sistem yöneticisi olsanız da, internete maruz kaldığınızı dikkatlice düşünmeniz çok gerçek bir ihtiyaçtır.
Hacker Çeşitleri
Neyse ki yetenekli mühendislerin hepsi güvenlik önlemlerini almak istemiyor; Bunlardan bazıları, etik korsanları, onları iyileştirmeyi amaçlamaktadır. Sıklıkla "beyaz şapkalar" olarak adlandırılırlar ve bu tabirle zıtlığın öne sürdüğü gibi, "siyah şapkalar" tam tersidir. Güvenlik açıklarından yararlanmak için sistemlere ve ağlara kasıtlı olarak saldırırlar. Ya onları yok etmeyi ya da kendi avantajları için kullanmayı hedefliyorlar ve çeşitli ajandalar tarafından yönlendiriliyorlar. (Bilgisayar korsanlarının olumlu yönleri hakkında daha fazla bilgi için, bkz. Bilgisayar Korsanlarına Müteşekkir Olmanız Gereken 5 Neden.)
Dış / İç Test
Bir internet sunucusunu örnek olarak almak, bir sistem yöneticisinin güvenlik konusundaki zayıf yönlerini nasıl dikkate alması gerektiğini anlamak açısından kritik öneme sahiptir. Temel olarak ve en basit ifadeyle, sistemin içinde ve dışında bir saldırganın nasıl göründüğünü bilmenin anahtarı. Bunun nedeni, bir sunucunun dışarıdan ve içeriden nasıl göründüğünün tamamen farklı olmasıdır.
İnternete bir sunucu, bir web sitesi için SMTP ve HTTP gibi hizmetleri sağlamak üzere açık bırakılan bir avuç dolusu port ile güvenlik duvarına sahip olabilir. Bunlar ağa dönük hizmetlerdir. Sunucunun kendisi, onlarca ağ sunucusu ve onlarca yüzlerce yazılım hattı sayesinde söz konusu ağ servislerini çalıştıran ve hatta sunucuyu çalıştırmanın anahtarı olan sayısız potansiyel güvenlik açıklarını gizlemektedir. Bu güvenlik delikleri, yerel sömürüler olarak bilinir.
Hata Yok, Stres Yok - Hayatınızı Yok Etmeden Hayat Değiştiren Yazılım Yaratma Adım Adım Kılavuzunuz
Hiç kimse yazılım kalitesiyle ilgilenmediğinde programlama becerilerinizi geliştiremezsiniz.
Koruma Sağlayan Araçlar
Neyse ki, sistemler ve ağ yöneticileri için büyük miktarda çalışma yapan endüstri araçları var. Özel ve çok popüler bir araç, Tenable Network Security adlı bir firma tarafından yapılan Nessus'tur. Piyasadaki benzer araçlardan birkaçından biri olan Nessus doğrudan kovalamacayı keser ve ağa bakan servislerinizde gevşetilirse, sunucunuza güvenli bir şekilde saldırmak veya tüm silahları sunucuya neden olma olasılığıyla yakmak üzere derhal yapılandırılabilir sırasında başarısız simüle saldırırlar. Nessus'un ürettiği ayrıntılı raporlar o kadar ayrıntılıdır ki, bir yönetici hızlı bir şekilde tamir etmek amacıyla sunucuda keşfedilmiş olan tam olarak keşfedilmeyi bulabilir.
Nessus'un daha az kullanılan bir özelliği bir sunucuya yerel kurulumu. Bir Nessus kurulumu, birden fazla uzak sunucunun ağa bakan servislerini kolaylıkla tarayabilir. Bir adım ileri giderek ve Nessus'u her sunucuya kurarak, bir yönetici, kullanıcı hesabındaki istismarlardan, başka türlü güvenli yazılım sürümlerinin bilinen ödünlere tabi olabileceği çeşitli düzeylerde bir ayrıntı seviyesine ulaşabilir. İlgili yazılım satıcısı bu konuyu başarılı bir şekilde henüz düzeltmemiş olsa bile, Nessus sisteminizin risk altında olduğunu söyler. En deneyimli yöneticiler için bile göz alıcı bir egzersiz.
Güçlü Nessus'a saygı duyulan bir alternatif, tamamen BackTrack Linux adı verilen güvenliği geliştirmeye adanmış bir Linux dağıtımıdır. Dağıtımla birlikte verilen çok sayıda gelişmiş güvenlik aracıyla etkinliği tartışılmaz. Hem acemiler hem de ileri düzey kullanıcılar için uygun olan son derece kullanışlı araçları nedeniyle kalabalıktan sıyrılıyor. Hem kamu hem de özel sektör kuruluşları tarafından kullanıldığında, kendisini "dünyanın en gelişmiş açık kaynaklı güvenlik açığı tarayıcısı ve yöneticisi" olarak tanımlayan mükemmel OpenVAS yazılımını içerir. Kalkınan beyaz bir şapka, BackTrack Linux'u kurmak ve OpenVAS'ı tanımak için biraz zaman harcamaktan başlamaktan daha kötü bir şey yapabilir. (Daha fazla bilgi için, BackTrack Linux: Penetrasyon Testini Daha Kolay Yapın.)
Kabul Edilebilir Risk Seviyeleri
İnternet kesinlikle her zaman olduğu gibi keyifli bir ortam değildir. Sonuç olarak, sistem ve ağların sık sık ayrıntılı penetrasyon testlerine tabi tutulması kritik öneme sahiptir. Nessus gibi araçların sağladığı faydalı bilgilerle donanınca yöneticiler kabul edilebilir risk seviyeleri hakkında bilinçli bir seçim yapabilirler. Gerçek şu ki, tıpkı eviniz gibi, bir ağın hem işlevsel hem de pratik olabilmesi için, bir sızma riski olması gerekir. Bu riski, istenen işlevsellik ile her zaman ek güvenliğin ortaya çıkardığı gerekli genel masraflar arasında bir takas olarak düşünün.