Teknik Açıklıklar Nasıl Yönetilmeli? Hayretdin Bahşi Uzman Araştırmacı

Transkript

1 Teknik Açıklıklar Nasıl Yönetilmeli? Hayretdin Bahşi Uzman Araştırmacı 15 Mart 2007, İstanbul

2 Gündem Teknik Açıklık Yönetimi Nedir, Ne Değildir Teknik Açıklık Yönetimi İçin Varlık Envanteri Yönetimi Teknik Açıklık Yönetimi Süreci 2

3 Teknik Açıklık Yönetimi Nedir? Teknik açıklıkların Tespit edilmesi Önlem alternatiflerinin ortaya konması En uygun önlemlerin seçilmesi Seçilen önlemlerin uygulanması Sürecin belirlenmesi Kim, ne zaman, nasıl? 3

4 Teknik Açıklıklar Yayınlanmış açıklıklar Kurum tarafından kullanılan özel uygulamalardaki açıklıklar Güvenlik sistemlerindeki hatalı konfigürasyon ayarları Katmanlı koruma (defence in depth) eksiklikleri En iyi yöntemler (best practices) konusunda eksiklikler 4

5 Teknik Açıklık Yönetimi Ne Değildir? Sadece yama yönetimi değildir! Sadece danışman şirketlere penetrasyon testi ya da güvenlik denetimi yaptırmak değildir! Sadece açıklık tarayıcılarla sistemi tarama ve açıklıkları tespit etmek değildir! 5

6 Kurumlarda Teknik Açıklıkların Sebepleri Nelerdir? Deneyimlerimize göre Önemli güvenlik sistemleri kullanılmakta Güvenlik duvarı, VPN, virüs tespit ve temizleme, vb Teknik açıklıkların sebebi Güvenlik sistemlerindeki konfigürasyon eksiklikleri Sıkılaştırma eksiklikleri Yama yönetimi yetersizlikleri Gereksiz servisler, fazla verilen erişim yetkileri vb. Çoğu önemli teknik açıklıkların kapatılması için Ek güvenlik sistemi satın alma ihtiyacının olmaması Büyük bir iş gücü gereksinimine ihtiyaç olmaması Kritik sistemler için test ortamı kurulması 6

7 Kurumlarda Teknik Açıklıkların Sebepleri Nelerdir? (2) Az bir çabayla önemli ilerleme Yeter ki Etkin olarak teknik açıklıkların riskleri tespit edilsin Açıklıkların kapatılması için uygun önlemler belirlensin Önlemler uygulansın Önlemlerin uygulanıp uygulanmadığı kontrol edilsin 7

8 Ülkemizde Teknik Açıklık Yönetiminin Durumu Ülkemizde durum Açıklık tespiti, danışman şirketlere yaptırılan denetimler ile sınırlı kalmakta Açıklık tespiti ve önleme çalışmaları çoğunlukla kurumsal olarak yapılmamakta İç denetim departmanları teknik olmayan bilgi güvenliği yönetim süreçleri ile ilgili eksikliklere odaklanmakta 8

9 Varlık Envanteri Yönetimi Nelerin teknik açıklıklarını yöneteceğiz? Varlıkların kritiklik derecelerini içeren varlık envanteri Varlıkların kritiklik dereceleri Açıklıkların oluşturduğu riskin hesaplanması için girdi Teknik açıklık yönetimi çalışmalarını belirleme Örneğin; Kritiklik varlıkları üç ayda bir denetleme Kritiklik derecesi düşük varlıkları yılda bir denetleme Varlıkların kritiklik dereceleri için ortak bir ölçüt 9

10 Varlık Envanteri Yönetimi (2) Varlık envanteri tutma sorumluluğu Büyük kurumlarda varlık yönetimi kolay değil! Farklı birimler arasında koordinasyon ihtiyacı Varlıklardaki değişikliklerin zamanında envantere yansıtılması Hizmet vermeyen ama sistemde yer alan varlıkların tespit edilmesi 10 Varlık envanterinin periyodik olarak denetlenmesi

11 Teknik Açıklık Yönetim Süreci En Uygun Önlemlerin Belirlenmesi Önlem Alternatiflerinin Ortaya Konması Önlemlerin Uygulanması Teknik Açıklıkların Tespiti ve Kritiklik Derecelerinin Belirlenmesi 11 Uygulanan Önlemlerin Denetlenmesi

12 Teknik Açıklıkların Tespiti Kurumun açıklıklarını tespit edebilmesi Açıklık tespiti ile ilgili politika ve prosedür Sorumluluk Tespit adına yapılması gerekenler Tespit çalışmalarının zamanı Tespit çalışmalarının raporlanması Daha önceki çalışmalarla karşılaştırma 12

13 Teknik Açıklıkların Tespiti (2) Teknik Açıklık Tespiti Kurumun Kendisi Tarafından Yapılabilecek Çalışmalar Bağımsız Kurumlarca Yapılabilecek Çalışmalar Yayınlanan Açıklıkların Takip Edilmesi Penetrasyon Testleri Güvenlik Araçları ile Varlıkların Test Edilmesi Güvenlik Denetimleri Güvenlik Kontrol Listeleri 13

14 Kurumun Kendisi Tarafından Yapılabilecek Açıklık Tespit Çalışmaları Yayınlanmış açıklıkların takip edilmesi e-posta listeleri web siteleri BT ürününün desteğini veren firmaların uyarıları Varlık envanterindeki varlıkları kapsama Açıklıkları hızlı bertaraf etme 14

15 Kurumun Kendisi Tarafından Yapılabilecek Açıklık Tespit Çalışmaları (2) Güvenlik tarayıcıları ile tarama Hangi varlıklar ne zaman taranacak? Periyodik Sistem değişiklikleri Hatalı pozitif (false positive) bulguları ayıklamak Bir bulguyu detaylı olarak incelemek Sistem üzerinde yapılan taramalar Konu spesifik araçların kullanılması Web, veritabanı tarayıcıları v.b 15

16 Kurumun Kendisi Tarafından Yapılabilecek Açıklık Tespit Çalışmaları (3) Kontrol listeleri oluşturma Erişim yetkilerinin kontrolü Kayıtların yeterliliği Uygulamalardaki güvenli konfigürasyon eksiklikleri Detaylı koruma mekanizmaları (defence in depth) En iyi yöntemlerin uygulanmasının (best practices) kontrolü 16

17 Bağımsız Kurumlara Yaptırılan Açıklık Tespit Çalışmaları Bağımsız kurumların açıklık tespitleri Penetrasyon testleri veya güvenlik denetimleri Deneyimli ve uzman çalışanlar Objektif ve bağımsız 17

18 Bağımsız Kurumlara Yaptırılan Açıklık Tespit Çalışmaları (2) Kritik varlıkların denetlenmesi Kısıtlı yetkilere sahip kullanıcıların gerçekleştirebileceği tehditler Açıklıkların kritiklik derecelendirmesi konusunda mutabakat Varlıkların kritiklik derecesinin belirlenmesi 18

19 Kurumun Kendi Açıklık Tespit Çalışmaları & Bağımsız Kurumların Açıklık Tespit Çalışmaları Değerlendirme Kurumun Kendi Çalışmaları Bağımsız Kurumların Çalışmaları Daha bağımsız ve objektif değerlendirme Daha deneyimli ve alanında uzman personel Denetlenen kurum için daha az iş gücü Daha etkin açıklık doğrulama Açıklık kapatma sürecine katılım Yeni varlık ekleme ve varlık güncellemelerinde ekstra denetim yapma kolaylığı Yeni yayınlanan açıklıkların daha yakın takibi 19

20 Teknik Açıklıkların Değerlendirilmesi Tespit edilen açıklıkların doğrulanması Açıklığın varlığı Açıklığın oluşturduğu riskin derecesi Önlem alternatiflerinin belirlenmesi Test ortamlarında denenmesi Maliyetlerin tespiti Alternatiflerin sıralanması 20

21 Teknik Açıklıkların Değerlendirilmesi (2) En iyi önlem alternatifinin seçilmesi Resmi onay Zaman planı oluşturma Önlemi ne zaman, kim uygulayacak? Alınan önlemi ne zaman, kim denetleyecek? 21

22 Teknik Açıklıkların Kapatılması Yapılan çalışmaların kayıtları Başarılı/Başarısız olma durumları Karşılaşılan problemler ve çözüm yöntemleri Önlemler ile ilgili rapor Çalışmaların takip ve koordine edilmesi Tekrar denetleme 22

23 Teknik Açıklık Yönetiminin Genel İzlenmesi Periyodik yapılan çalışmaların karşılaştırılması Kritiklik derecelerine göre açıklık sayıları Varlık bazında Departman bazında Tüm kurum bazında Yapılan önleme çalışmalarının maliyeti Genel izleme raporlarının üst yönetimce takip edilmesi 23

24 Sonuç Teknik Açıklık Yönetimi Tespit Önlem Belirleme Uygulama Az çabayla çok ilerleme sağlanabilir Etkin bir varlık yönetimi gereklidir Açıklık tespiti kurumun kendisi tarafından da yapılmalıdır Açıklık yönetiminin koordine ve takip edilmesi sağlanmalıdır 24