Yeni Başlayanlar ve Bilmeyenler için Bilgi Güvenliği ve Bilişim Güvenliği

Uzun zamandır yazdığım teknik yazılara sadece yurdumun değil dünyanın kanayan yaralarından birine parmak basmak için ara veriyorum :) Bu yazı bilgi güvenliği uzmanı ile bilişim güvenliği uzmanı arasındaki farkı bilmeyenler ya da ayırd edemeyenler için. Başımdan geçen ve daha önce bahsettiğim bir mülakatı tekrar hatırlatarak başlamak istiyorum yazıya; memleketimin GSM operatörlerinden biriyle "Bilgi Güvenliği Uzmanı" başlıklı bir pozisyon için görüşmeye gittim. Görüşme Checkpoint Firewall üzerine kuruluydu ne yazık ki. Hatırladığım son şey de görüştüğüm kişinin "Bize Checpoint'te her yıl en az 2-3 bug bulacak biri lazım" demesi, ondan sonra bende deyim yerindeyse film koptu o saniye mülakat benim için bitti.
Bilgi güvenliği adından anlaşılabileceği gibi her nerede olursa olsun - yazılı,basılı,dijital ve hatta insanın kafasındaki - bilginin korunmasını kendine düstur edinmiş bir disiplin. Fiziksel güvenlik ( evet evet bildiğiniz güvenlik kameraları, projektörler, yangın söndürme sistemleri vb), Personel Güvenliği, Risk Yönetimi, Erişim Kontrolü, Kriptografi, İş Sürekliliği ve Felaketten Kurtarma, İletişim ve Ağ Güvenliği, Uygulama Güvenliği, Hukuki Yaptırımlar ve Mevzuatlara Uyum, Denetim ve yazmayı unutmuş olabileceğim birkaç alan daha bilgi güvenliği şemsiyesi ya da çatısı altında toplanan ve ele alınması gereken konulardır.

IIS 7 ve 7.5'i Slow Loris DOS Saldırısına Karşı Koruma - Nass oluyor da oluyor?

Türkçe

OSI modelinin yedinci seviyesine yönelik saldırılarla ilgilendiyseniz Slow Loris saldırı aracını da duymuşsunuz ya da kullanmışsınızdır mutlaka. Blogun düsturu "az bilineni,anlatılmayanı anlatmak" olduğu için bu yazıda aracın nasıl kullanılacağı ile ilgili çok az bilgi bulacaksınız. Benim anlatacaklarım aracın çalışma prensibi ve IIS 7-7.5 web sunucularda savunmayı artırıcı yöntemler olacak. Bu yazıda okuyacaklarınızın bir bölümü nette hiç bir yerde bulamayacağınız türden.

RFC 2616'da tanımlanan HTTP 1.1 protokolüne göre HTTP Request headerlar birbirinden CR ( Carriage Return ) ve LF (Linefeed) karakterleriyle ayrılır (kafanız karışmasın satır sonlarında alt satıra geçişi gösteren karakterler). Headerlar ile asıl verinin iletildiği Body kısmını ise boş bir satır birbirinden ayırır. Hernekadar GET Requestlerin body kısmı boş olsa da isteğin web sunucu tarafından alınması ve değerlendirilmesi için yine de headerların bitişini simgeleyen boş satıra ( CR + LF ) ihtiyaç duyulur. Sunucu bu karakterleri görmezse rahat edemez ve Request headerların tamamlanmadığını düşünür ,istemciden Request headerların tamamı gelene kadar beklemeye devam eder, bağlantıyı da işletim sistemine ve web sunucusuna göre farklılık gösteren zamanaşımı süresi (timeout) dolana kadar açık tutar. Olması gereken, iyi niyetli insanların tasarladığı şekliyle protokol bu şekilde çalışıyor. 

HTTP DDos - HTTP Get Flood saldırıları ve NGINX ile savunma

Nginx dünya genelinde popülerliği gittikçe artan ama güzel ülkemde hakettiği ilgiliyi pek görememiş açık kaynak kodlu bir web sunucu platformu.

Yazının devamı yakında...

İlgili Yazılarım
HTTP DoS'a Karşı Javascript'le Mücadele - Nass oluyor da oluyor?
Low Orbit Ion Cannon ( LOIC ) ve Http Redirection Yanılsaması - Nass oluyor da oluyor?

Windows 2008'de Servis Başlatma/Durdurma Denetimi - Nass oluyor da oluyor?

Windows 7 ve sonrası işletim sistemlerinde,Microsoft sağolsun, bir servisi hangi kullanıcı hesabının durdurduğu ya da başlattığı bilgisini vermemek için elinden geleni yapmış.Varsayılan kurulumda herhangi bir Windows servisini durdurduğunuzda ya da başlattığınızda event log'da görüp görebileceğiniz kayıt aşağıdaki ekran görüntüsündeki gibi;

Event log kaydından görüleceği gibi servisi kimin,hangi kullanıcı hesabının başlattığı ya da durdurduğu bilgisi yok.Bu bilgiyi kayıtlara düşürebilmek için servisin güvenlik tanımında (Security Descriptor) ve yine Windows 7 ve sonrası işletim sistemleriyle gelen Advanced Audit Policy Configuration ayarlarında bir takım değişiklikler yapmalısınız. Ne yazık ki işletim sisteminin tüm servisleri için denetim kayıtlarını etkinleştirmeye imkan sağlayan bir sihirbaz vs yok. Hangi servislerin audit kayıtlarını görmek istiyorsanız tek tek o servislerin güvenlik tanımlarını değiştirmelisiniz.

Syn Proxy'nin bilinmeyenleri - Nass oluyor da oluyor?

Bu blog yazısında Syn Flood saldırılarına karşı kullanılan savunma mekanizmalarından Syn Proxy'yi anlatacağım. İnternet servis sağlayıcılarından Superonline'da katıldığım görüşmede açıldı bu konu,soruyu soran garibanın da detayları bilmediği anlaşılıyordu. Blogun teması az bilineni anlatmak olduğu için ana fikirden kısaca aşağıdaki grafikle bahsedeceğim.Bizi ilgilendiren,syn-proxy bahsinin geçtiği her yerde gördüğünüz bu grafikte anlatılmayanlar;

Resim 1. Güvenlik çözümü ( FW / IPS ) hedef sunucu imiş gibi istemciden gelen iletişim isteklerini karşılar. İletişim isteği spoofed yani sahte bir kaynaktan gelmiyorsa şayet ve güvenlik çözümü istemciyle 3 yollu el sıkışmayı (3-way-handshake) tamamlayabildiyse bu isteği bu defa istemci imiş gibi sunucuya iletir, bir başka deyişle 3-way-handshake i tekrar eder (replay). Daha sonra istemci ve sunucu arasındaki veri iletişmi, kurulan bu bağlantı üzerinden devam eder.İstek spoofed Ip adresinden geliyorsa güvenlik çözümünün SYN-ACK bayraklı paketi ACK bayraklı paketle cevaplanmayacaktır,dolayısıyla istek sunucuya iletilmeyecektir. Sunucu da olan bitenden habersiz mutlu mesut çalışmaya devam eder.

Windows 2008 ve Syn Flood saldırıları - Nass oluyor da oluyor?

Türkçe

DDOS saldırılarını önleyebildiğini iddia eden firmalardan Prolexic'in 2012 ikinci çeyrek raporuna baktığımızda infrastructure denen OSI modelinin 3. ve 4. seviyelerini hedef alan SYN saldırılarının popülaritesini koruduğunu görüyoruz.

Bloğun teması az bilinenden bahsetmek olduğu için SYN saldırısı hangi prensiplere dayanır, nasıl gerçekleştirilir gibi kolayca ulaşabileceğiniz bilgilere pek fazla girmeyeceğim. Bu yazının konusu Windows 2008 ( Aslına bakarsanız Windows Vista'dan itibaren Windows 7, Windows 2008, Windows 2008 R2 ) işletim sistemlerinde SYN  ( flood ya da attack ) saldırısına karşı savunma mekanizmasının nasıl işlediği.

Hping ile Syn saldırısı yapmak veya yapamamak

Türkçe

Saldırı araçlarını kullanmayı pek sevmem ama Windows 2008'in Syn Flood ( ya da Syn Attack ) saldırısına ne derece dayanıklı olduğunu test etmek için bu aracı kullanmayı uygun buldum. Port tarama, firewall kurallarının testi gibi farklı amaçlar için de kullanılabilen aracın an itibariyle en güncel 3. versiyonu bulunuyor -ki Backtrack 5 ile birlikte gelen versiyon da bu.Yazının konusu Syn saldırısının temelleri,saldırı nasıl yapılır nasıl engellenir değil.Bu yazıda syn saldırısı yapmaya niyetli dimağlar için hpingin nasıl kullanılacağından ziyade nasıl kullanılmaması gerektiğinden bahsedeceğim.

Google ve benzeri arama motorlarında hping'in Syn saldırısı için kullanımıyla ilgili kaynak aradığınızda hep benzer tek satırlık komutları görürsünüz.

hping3 -p <hedef_port_numaras> -S <hedef_ip_adresi>

PCI DSS - Nass oluyor da oluyor? A'dan Z'ye PCI-DSS

Yandaki tablo VerizonBusiness'ın 2011 raporundan alınma,ödeme kartları bilgileri rapora konu olan olayların %78'inde çalınmış, toplam çalılan veri sayısının %96'sını oluşturuyor, daha önceki raporlarda da durum çok farklı değil, yalnız firmanın 2012 raporu gösteriyor ki kişisel verilere rağbet bu sene artmış ama ödeme kartları bilgileri yine revaçta. PCI DSS (Payment Card Industry Data Security Standard) hakkında yazacaklarımı okumaya başlamadan önce incelemeniz için bu tabloyu en başa koydum.
Bu konuyu tek blog yazısında ele alacağım,bu yüzden uzuun bir yazı olacak (tamamlanması da uzun sürebilir,fırsat buldukça yazabiliyorum) ama yazının sonuna gelip de başınızı kaldırdığınızda PCI DSS nedir,ne değildir,kimi bağlar,uyumlu olmak için yapılması gerekenler nelerdir gibi sorularınızın yanıt bulduğunu göreceksiniz.
PCI (Payment Card Industry) aslında Ödeme Kartları Endüstrisi demek ama bu terim genellikle PCI Security Standards Council (PCI SSC) denen ve sektördeki 5 dünya devinin (Visa, MasterCard, American Express, Discover,JCB) üyeliğiyle - "yaw kart sahtekarlıkları aldı başını gidiyor,önüne gelen kredi kartıyla ödeme kabul ediyor sonra canımız ciğerimiz müşterilerimizin bilgileri çalınıyor kartları kopyalanıyor.Böyle giderse kimse kart kullanmaz, müşterilerimizden ve paracıklarımızdan oluruz" gibi kaygılarla - 2006 yılında oluşturulmuş konseyi ifade ediyor.

IIS 7 - 7.5 Request Filtering - Nass oluyor da oluyor ? Rules & Headers

IIS 7 ve 7.5 ile birlikte gelen (rol servisi olarak yüklerseniz tabi) Request Filtering güvenlik özelliği ile yapılabileceklere devam edelim.

"Rules" sekmesi web sunucunuza gönderilen HTTP isteklerinde URL,Header,Query string gibi metinlerde kelime bazlı filtreleme yapmaya imkan verir. Örnek olması bakımından "User-Agent" Header değeri "Attack" ( piyasada kolaylıkla bulunabilecek acunetix gibi güvenlik tarayıcıları varsayılan olarak User-Agent header'ına belli değerler atarlar,benzer şekilde http saldırı araçları da öyle, bu tip basit saldırıları bu özelliği kullanarak engelleyebilirsiniz) ise web sunucumuzun erişilmek istenen sayfayı engellemesi için kullanılacak kural ekran görüntüsündeki gibi olmalı;

Kural tanımında "Scan URL","Scan Query String" işaretlenmediği için request-filtering modülü URL ve Query Stringi taramayacak.Benzer şekilde "Applies To" hanesinde "html,htm,asp,aspx" gibi dosya uzantısı da belirtmediğimiz için kural tüm dosya uzantılarına erişim isteklerine etki edecek.

"Header" hanesinde kontrol edilmesini istediğimiz header değerini yani "User-Agent" satırını ekledikten sonra, bu header değerinde reddedilecek kelimeyi "Deny Strings" alanında satır olarak ekliyoruz. Özetle kural, kendisine gelen isteklerin Header değerlerini kontrol edecek, "User-Agent: Attack" header'ı ile gelen istekleri reddedecek yani isteği 404 kodu ile cevaplayacak, daha kesin konuşmak gerekirse bu istek ve akabinde gönderilen cevap kayıt dosyasına 404.19 koduyla kaydedilecek. Daha önceki yazıdan hatırlarsanız 404.19 "Denied by filtering rule" anlamına geliyor.

IIS 7 - 7.5 Request Filtering - Nass oluyor da oluyor ? File Name Extension & HTTP Verb filtreleme

URLScan eklentisini bilirsiniz, IIS 6 ve öncesi versiyonlarda bir eklenti olarak kurulur kullanılırdı. Microsoft IIS 7 ile birlikte bu fonksiyonu "Request Filtering" rol servisi ile web sunucusuna entegre etmeye başladı. Request filtering bir güvenlik servisi ve kurulduğunda IIS'e dosya uzantısına,URL'e,HTTP request metoduna, içerik uzunluğuna,URL uzunluğuna,query string uzunluğuna göre filtreleme, double-escaping önleme gibi yetenekler kazandırır. Bu özellikleri kullanarak web sunucunuza yapılan bir çok saldırıyı engelleyebilirsiniz. Request Filtering IIS rolüne ait bir servis.

Ve kurulduktan sonra IIS Manager arayüzünden konfigüre edilebileceği gibi