Internet/Intranet Web Uygulamaları Altyapısı için NIST ölçütlerine göre Risk Yönetim ve Değerlendirme Dokümanı

1. Internet/Intranet Web Uygulamaları Altyapısı için Risk Yönetim ve Değerlendirme Dokümanı NIST (Amerikan ölçüm ve değerlendirme standartları kurumu) prensiplerine göre hazırlanmıştır.

2. NIST Risk Assessment Guide Risk Değerlendirme Sistem Yapısı ve Bilgileri Tehditleri Tanımlama Zaafiyetleri Tanımlama Kontrol Analizi Olasılık Tespit ve Tanımlamaları Etki Analizi Risk Tespiti Risk Azaltma Seçenekler Strateji Tedbirler

3. Örnek Sistem - Donanım SUNUCU : Sun X4600 X4270 , Dell 815 STORAGE : Sun ,Netapp ,Emc SWITCH : Cisco 3550 ,Cisco 3560 Serisi FIREWALL : Juniper Netscreen NS5400 ,Juniper SSG 140 ROUTER : Juniper M10i (DC ortamında shared main router) IPS : DataCenter ortamında Türk Telekom tarafından sağlanan shared IPS

4. Örnek Sistem - Yazılım Sanallaştırma : Vmware Vsphere 4.0 İşletim Sistemi : Linux Centos 5.4,Windows 2003 ve 2008 Server Standart&Enterprise Edition Yazılım : Veritabanı (Microsoft SQL 2005) ,DNS (Windows 2003 DNS) ,IIS (Windows 2003 IIS 6.0) ,Active Directory (Windows 2003) ,DHCP (Windows 2003 DHCP) Uygulamalar : Çeşitli Web uygulamaları ve servisleri Kullanıcılar : Microsoft Windows 7 & Mobil cihazlar

5. Sistem Arayüz ve Veri Erişimi İnternet ve Mobil cihazlar ile web arayüzü kullanarak girilen veriler firewall (port 80) port kontrolü yapıldıktan sonra Web Sunucusundan, Veritabanı sunucularındaki veri tabanınlarına giriş yapılmaktadır.

6. Uygulama güvenliği

7. Uygulama Mimarisi Uygulamalar web sunucusu katmanındadır. Kullanıcılar web tarayıcıları ile web sunucusuna bağlanmaktadır. Bu yapı ile kullanıcı bilgisayarlarının veritabanı sunucusuna direk bağlantı kurmasının önüne geçilmiştir. Katmanlar arasında güvenlik duvarları bulunup dış dünyaya sadece web servisleri ile açılmaktadır.

8. Uygulama Erişim Yetkilendirmeleri IP Bağlantı kontrolü Veritabanına web uygulaması ya da servisleri ile bağlanan kullanıcıların statik IP bilgileri sistem tarafında kontrol edilmektelidir. Edilemediği durumlarda VPN kullanılmalıdır. Veritabanı kullanıcıları Veritabanlarında her uygulama kullanıcısı için bir hesap açılmalı ve bu hesaba sadece kullanıcının işlemlerini gerçekleştirebilmek için ihtiyaç duyduğu yetkiler verilmelidir.

9. Veritabanı Erişimi

10. Topoloji ve Altyapı Çevresel Faktör Yapılandırmaları Veritabanları sertifikalı DataCenter'larda tutulmalıdır. Her türlü çevresel faktörlere karşı koruması sağlanmış olmalıdır. Güvenlik Duvarı Koruması Veritabanlarına dışarıdan erişim bulunmamalıdır. Sadece uygulamalar veritabanlarına dışarıdan erişim sağlayabilir. Dışarıdan erişimin zorunlu olduğu durumlar da veritabanlarına erişim VPN ile sağlanmalıdır. Yazılım Geliştirme Ortamı Test ve üretim ortamları birbirinden tamamen izole edilmelidir. Altyapıda MAC Kontrolü Uygulaması Altyapıya izinsiz girişlerin önlenmesi, belirlenemeyecek yerden kaynaklardan gelecek saldırıların engellenmesi amacıyla kullanılmayan portlar devre dışı bırakılmalı ve LAN'da kablosuz erişimler için MAC filtrelemesi yapılmalıdır.

11. Yönetimsel Araç ve Kontroller Sistemde kaynak kullanımı düzenli olarak kontrol edilmeli (monitoring) anormal durumlarda müdahale gerekmektedir. Sistem aktiviteleri (disk ve diğer kaynakların kullanımı,sunucu tabanlı güvenlik duvarı kayıtları) günlük e-posta yolu ile ilgili yöneticilere ulaştırılmalıdır. Veritabanı servisi ve işletim sistemi güvenlik yamalarının takibi yapılıp test ortamında denendikten sonra üretim ortamına uygulanması yapılmaldır.

12. Yapılandırma IP Tabanlı Ağ Erişim Kontrolü Sürüm ve Yama Denetimi Kimlik Doğrulama Yapılandırmaları Veritabanına Giriş ve Çıkışların (log) tutulması

13. Yedekleme Tek Sunucu Yedekleme Merkezi Yedekleme Yerel Ağ Üzerinden Yedekleme Depolama Alan Ağı Üzerinden Yedekleme Yedekleme Sıklığı Veri Koruma Zamanını Belirleme Yedekleme Medyalarının Yönetimi Yedekleme Testi

14. IIS Güvenliği Sadece Gerekli IIS servislerinin seçimi Kurulumla Gelen varsayılan ayarları değiştirmek NTFS Yetkilendirme Metabase Ayarları Kimlik Doğrulama Destekleyici Güvenlik Ayarları

15. Sistem Kullanıcıları Yöneticiler : Ağ kaynaklarını yönetme sorumluluğundaki iç kullanıcılar. Sistem Yöneticisi Ağ Yöneticisi Öncelikliler : Kullanıcılardan daha fazla erişim hakkına sahip iç kullanıcılar. Departman Yöneticileri Satış, Muhasebe, Finans vb. Departmanları Kullanıcılar : Genel erişime sahip iç kullanıcılar Müşteri hizmetleri Acenteler, bölge müdürlükleri, şubeler, mağazalar İş ortakları : Bazı kaynaklara erişim gereksinimi olan dış kullanıcılar. Bankalar, Tedarikçiler vb.

16. Sistem Güvenlik Politikaları Ağ yöneticisi ve kaynak kullanımı Ağ kaynaklarına kısıtlı erişim Kullanıcıların internete çıkışları Sistem Güvenlik Mimarisi dahilinde olmalıdır.

17. Sistem Güvenlik Mimarisi 1.Katman. Router Yönlendirici 2.Katman. Firewall Güvenlik duvarı 3.Katman . Firewall DMZ Güvenlik duvarı 4.Katman. (IPS) Ağ tabanlı saldırı engelleme 5.Katman . Antivirüs Sistemi

18. Tehditleri Tanımlama Tehdit Kaynaklarını Belirleme Doğal tehditler: Sel, yangın, deprem, yıldırım vb. İnsan tehditleri: Kasti veya kazara; yazılım veya beceri ile veya iş gereği yanlışlıkla Çevresel tehditler: Elektrik, kimyasal, haberleşme vb Tehdit Motivasyonları ve Sebeplerini Belirleme Hacker (ün, ego, mesaj) Bilgisayar suçluları (veri yok etme, parasal amaç vb) Teroristler (zarar, şantaj vb) Endüstri hırsızları Çalışanlar

19. Zaafiyetleri Tanımlama Audit / test / review çalışma sonuçları Sistem karakteri çalışmasında öngörülen sonuçlar icat.nist.gov daki gibi zaafiyet liste kaynaklarından bize uyanlar fedcirc gibi kurumların bülten kaynakları (güncel zaafiyetler) Danışman firmaların görüşleri Sistemden alınan veriler http://en.wikipedia.org/wiki/Vulnerability_scanner kapsamında yazılımlar kullanmak ile alınan veriler Penetrasyon testleri sonuçları

20. Kontrol Analizi Denetim/kontrol metodları Teknik (güvenlik yazılım ve donanımları, şifreleme, otorizasyon geliştirmeleri vb) Teknik olmayan (Yönetimsel kararlar, süreçler, çevresel değişiklikler, güvenlik politikaları vb.) Denetim/kontrol kategorileri Önleyici Tespit edici

21. Olasılık Tespiti ve Tanımlaması Olay Etki Olay Etki Doğal Felaket Doğal felaketler sonucu sistemin kullanım dışı kalması ve/veya servisin ulaşım dışı olması (örneğin deprem, sel, vb.) Deprem, sel gibi doğal felaketler İşlemlerde kesinti yaşanabilir İnsan Hatası Personel hatası yüzünden meydana gelebilecek herhangi bir olay (yanlış konfigürasyon, işlemsel hatalar, kazalar vb.) Güvenlik araçlarının yanlış konfigürasyonu Kurumsal yerel ağına, kurumsal verilere ve sistemlere yetkisiz erişim. Gizlilik ihlali, bütünlüğün bozulması, erişilememe durumları. Veri/işlem güvenliğini tehlikeye sokacak kötü niyet/sabotaj (Daha önceki) çalışanlar ve/veya harici kişiler tarafından yapılan kasıtlı hareketlerden kaynaklanan kayıplar. Örneğin gizlice dinleme, hırsızlık, belgeleri ele geçirme. - Kritik kurumsal verilere kötü niyetli erişim - Ağ trafiğinin dinlenmesi - Saklanan kritik kurumsal bilgilerinin gizliliğinin bozulması - Şifre veya diğer gizli bilgiler ağ üzerinde dinlenebilir

22. Olasılık Tespiti ve Tanımlaması Olay Etki Olay Etki Veri/işlem bütünlüğünü tehlikeye sokacak kötü niyet/sabotaj Şirket içindeki veya dışındaki kişiler tarafından yapılan veri/işlem bütünlüğünü tehlikeye düşürmeye yönelik sahtekârlık, işlemlerin değiştirilmesi gibi kasıtlı hareketler Saklanan kritik kurumsal verilere kötü niyetli erişim Kurumsal verilerin silinmesi. Veri/işlem erişilebilirliğini tehlikeye sokacak kötü niyet/sabotaj Şirket içindeki veya dışındaki kişiler tarafından yapılan veri/işlem/servis erişilebilirliğini tehlikeye düşürmeye yönelik kasıtlı hareketler Saklanan kritik kurumsal verilere kötü niyetli erişim Verilere erişilememe durumu Dahili fiziksel olay (kablolama, yangın vb.) Potansiyel işletim sorunlarıyla (erişilebilirlik, bütünlük) sonuçlanan fiziksel altyapı olayları Tesis ve ekipmanları etkileyen zararlar Veri ve donanıma kalıcı zarar

23. Etki Analizi

24. Risk Azaltma Stratejisi Zaafiyet var ise Zaafiyet kullanılırsa Saldırganın (tehdit kaynağı) kazancı maliyetinden düşük ise Kayıp büyük ise

25. Risk Azaltma Tedbirleri Adım 1 - Önceliklendirme Adım 2 - Tedbir seçeneklerini değerlendir Adım 3 - Fayda Maliyet analizi yap Tedbir kontrol işlemini seç Uygula Denetle Dokümante et Raporla