Riskin Değişen Yüzü: Y eni Milen y um’da Güvenlilk

1. Riskin Değişen Yüzü:Yeni Milenyum’da Güvenlilk Tarkan Kadıoğlu

2. Ajanda • Bilişim Suçları Tarihçesi • Tehdit Sınıflandırılması • 2001 Bilişim Suçları • Yeni Milenyumda Güçlenen Tehditler • Güven ve Kişiye Özellik • Politika Temelli Erişim Kontrolü • ‘Toplam’ Güvenlik • Türkiye?

3. Bilişim Suçları Tarihçesi: İLK’ler • 1973 – Trojan tekniği: Stryker, Shore & Wilson-Deniz Kuvvetleri’ne ait Univac 1108 • 1982 – Worm: Xerox Palo Alto Araştırma Merkezi • 1983 – Virüs: Fred Cohen • 1983 – Hacker Grubu: Milwaukee 414’s • 1986 – Kanun: Federal Computer Fraud and Abuse Act

4. Bilişim Suçları Tarihçesi: İLK’ler • 1986 – Yaygın Virüs: Pakistan çıkışlı BRAIN • 1988 – Bomba Yazılım: Burleson 168,000 muhasebe kayıdını ayrılışından 6 ay sonra silmek için • 1988 – DoS ve Bilgi İşlem Suçlusu: Robert Morris 6,200 Net bağlantılı UNIX bilgisayarı 1 haftaya kadar durdurdu, $100 milyondan fazla zarar verdi ve $10,000 ceza aldı • 1990-92 – İlk Hacker savaşları: LOD/MOD

5. BM tarafından tehditlerin sınıflandırılması

6. Bilişim suçluları sınıflandırılması • Amatör Hacker’lar • Sınırlı zararlı Hacker’lar • Bilgisayar ‘dahi’leri • Anarşistler • Finansal kazanç avcıları • Ticari zararlı kiralık Hacker’lar • Politik anarşistler • Internet teröristleri

7. 2002’deki Bilişim Suçları ve Bazı Gerçekler • Şirketlerin %90’ı yaşadıkları ataklar sonucu son 12 ayda sistemlerinde güvenlik açığı tespit etmişler • Saldırıların %80’i parasal kayba uğruyor ve ortalama kayıp sürekli artıyor • Dışarıdan atağa uğrayanların oranı %40 • DoS atağına uğrayanların oranı %40 Kaynak: CSI/FBI Survey, 2002

8. 2002’deki Bilişim Suçları ve Bazı Gerçekler • Kullanıcılarının yanlış Internet kullanımı gerçekleşenlerin oranı %78 • Virüs saldırısına uğrayanların oranı %85 • Web sitesinde yetkisiz erişim ve kullanıma rastlayanlar %35 • Ancak bu ataklar için yasal işlem başlatan sadece %34 Kaynak: CSI/FBI Survey, 2002

9. Birçok Atak Noktası • Web saldırıları/politikiçerik değiştirme • Distributed Denial of Service (DDOS) • Bilgi hırsızlığı • Finansal tehdit • Virus ve diğerzararlı kodenfeksiyonları

10. 2002’deki Bilgi İşlem Suçları ve Bazı Gerçekler Kaynak: CSI/FBI Survey, 2002

11. Yeni Milenyumda Güçlenen Tehditler: Otomasyon, Atak Araçlarının Hızı • İleri teknikler • Açıkları bulduğu anda faydalanmak • Kendini tetikleyebilme ve yayılma • Koordinasyon

12. Güçlenen Tehditler: Atak Araçlarının Artan Karmaşıklığı • Hızla değişen teknikler • Reverse engineering yapılma gerekliliği • Dinamik davranış • Modüler yapı • Farklı işletim sistemlerinde bacaklar

13. Güçlenen Tehditler: Güvenlik Açıklarının Daha Hızlı Keşfi • Yeni açıklar • Patch sayısı • Yeni güvenlik açığı sınıfları • Korsanların hızı

14. Güçlenen Tehditler: Firewall Ürünlerinde Esneklik • Bypass teknolojisi • ‘Firewall friendly’ • ActiveX, Java ve JavaScript

15. Güçlenen Tehditler: Artan Oranda Asimetrik Ataklar • Güvenlik zinciri • Asimetrik ataklar

16. Güçlenen Tehditler: Altyapı Ataklarının Artması • Yüksek bağlantı – Düşük güvenlik • Solucanlar • Top Level DNS Sunucularına Ataklar - Cache zehirlemesi (TLD’lerin %80’i açık) - Veri değiştirilmesi/BIND (%20 açık) - DoS - Domain hijacking • Router’lar

17. İnsan Kaynaklı İç Tehditler • Kulak misafirliği • Bilgi değiştirme • Sistem çökertme veya kırma • Hacking yazılımları, örn. Trojan Horse • Hırsızlık • Saklama ortamlarının yetkisiz erişimi • Trafik ayrıştırması • Sosyal Mühendislik • Kullanıcıların basit hataları • İşten ayrılan kişilerin kötü niyetli davranışları

18. Yüksek Yeni teknolojilerin satın alınması Düşük Zaman Teknoloji/Güvenlik Gecikmesi Tehlike Bölgesi Yeni teknolojiyi güvenli kılabilme yetisinin kazanılması

19. Kritik Güvenlik Maddeleri - Devameden • Güven • İşortaklarının kimlik bilgileri • İnkar edilememezlik • Kişiye Özellik • Veri yakalanması ve spoofing’in önlenmesi

20. Kritik Güvenlik Maddeleri - Yeni • Yönetim • Birçok farklı ortamdaki çok sayıda kullanıcının yönetimi • Tutarlılık • Teftiş • Güvenlik politikasının güncel tutulması

21. Gerçek Güvenlik Nasıl Olmalı • Güvenlik sadece ürün satın almak değildir • Fiziksel, İşlemsel, Personel • eİş yönetimi için güvenlik anahtardır • Gizlilik, Entegrasyon • Güvenlik hazırlığı işakışı devamlılık planının bir parçasıdır • Erişilebilirlik

22. eİş Güvenlik Denetimi

23. Yöneticiler artıkişlerine uygun güvenlik politikalarını hayata geçirebilir Yöneticiler • Kurumsal güvenlik görüntülemesi ve kontrol yöneticilere kolay karar verme şansı tanır Güvenlik Görüntülemesi Entegrasyon • Varolan güvenlik ve yönetim altyapısıyla tam uyumluluk Güvenlik Çözümleri Güvenlikte En İyi Deneyimler Metodu • Şirketlerin güvenlik uzmanlığına ve süregiden güvenlik açığı takibine ihtiyacı var

24. Kapsamlı Entegre Güvenlik Çözümü

25. eİş Güvenlik Çözümleri

26. Savunma Eğilimleri Tüketiciler Demiliterize Bölge Kurum Firewall VPN Intrusion Detection Web Usage Control Mail Scanning ISP Router Antivirus

27. eİş Güvenlik Çözümleri

28. Güvenli Erişim - Bugün İç Kullanıcı Erişimi Web Erişimi İşortakları/Müşteriler Çalışanlar İşkolu grupları Alıcılar Bilgi İşlem Yönetimi

29. Güvenli Erişim - Gelecek İşortakları Müşteriler Çalışanlar Web Erişimi İç Kullanıcı Erişimi eİş Yönetimi Extranet/Mobility Gereksinimleri Bilgi İşlem Yönetimi

30. Erişim Web Erişimi İç Erişim Intranet Sunucusu Kullanıcı Veritabanı Ve Erişim Kontrol Veritabanı Uygulama Sunucusu Kullanıcı Veritabanı Ve Erişim Kontrol Veritabanı Web Sunucuları LDAP Server PKI OCSP Responder Web Access Control Veritabanı Kullanıcı Veritabanı Ve Erişim Kontrol Veritabanı

31. eİş Güvenlik Çözümleri

32. Yönetim • Tüm sistem ve uygulamalara erişimin politika tabanlı yönetimi • Güvenlik politikası yönetimi • Kullanıcı gerekliliklerinin basitleştirilmesi, örn. Tek id-pwd, akıllı kartlar, vs. • Olay ve problemlerle ilgilenilmesi ve korele edilmesi • Sistemlerin politikaya uygunluğunun periyodik takibi

33. Antivirus Kullanıcı Yönetimi FirewallMonitoring Operational Teftiş Güvenlik Açığı Belirlenmesi Güvenlik Yönetimi Network IDS Log Teftişi Host IDS Yönetim

34. Güvenlik açığı belirlenir Çözüm belirlenir ve uygulanır Örnek Alarm sorumlu gruba iletilir

35. Genişletilmiş Yönetim

36. Yeni Nesil Mimarinin Faydaları • Kapsam • Benzersiz Entegrasyon • Genişletilmiş Kurumun Merkezi Yönetimi Daha İyi Risk Yönetimi Daha Düşük Sahip Olma Maliyeti

37. Güvenlik Yazılımı Pazar Payları Computer Associates Diğer 12% Symantec 44% 10% NetworkAssoc. 9% Checkpoint IBM 8% ISS RSASecurity TrendMicro 7% 3% 4% 4% Source: IDC, 2001 WWInternet Security

38. Bu suçlar Türkiye’ye uzak!!! • Bu işler daha çok Amerika’da, Avrupa’da olur. Bunlar Türkiye’ye gelene kadar, ooooo!!!

39. Yanlış!!!!!!! Kaynak: Riptech, Ocak 2002

40. Riskin Değişen Yüzü:Yeni Milenyum’da Güvenlilk Tarkan Kadıoğlu