Kurumsal Ağlarda Web Sistem Güvenliği

Ebat: px

Şu sayfadan göstermeyi başlat:

Download "Kurumsal Ağlarda Web Sistem Güvenliği"

Gülbahar Odabaşı
8 yıl önce
İzleme sayısı:

1 Kurumsal Ağlarda Web Sistem Güvenliği Ar. Gör. Enis Karaarslan Ege Ü. Kampüs Network Yöneticisi ULAK CSIRT

2 İÇERİK 1. Neden Web Güvenliği 2. Kurumsal Web Güvenliği Modeli Standartları Oluşturma/Uygulama Sistem Farkındalığı Eğitim / Sınama Saldırı Saptama Engelleme 3. Ulak Csirt Web Güvenliği Grubu 4. Sonuç

3 NEDEN WEB GÜVENLİĞİ?

4 Web Kullanımı Artıyor Doğru bilgiyi zamanında ulaştırmak E ticaret ve bankacılık E öğrenme...vb Kurumların vitrini Uzaktan program çalıştırmak Cihaz yönetimi

5 Artan Web Saldırıları Zone H in incelemesi 2004 yılında web sunucu saldırıları 2003 yılına göre 400,000 (%36) artmıştır. CSI/FBI Bilgisayar Suç ve Güvenlik Anketi, ankete katılanların %95 i 2005 yılı içinde güvenlikle ilgili 10 dan fazla web sitesi olayı

CSI/FBI Bilgisayar Suç ve Güvenlik Anketi, ankete katılanların

6 Başlıca Nedenler... Web güvenliğinin yeterince ciddiye alınmaması. Geleksel güvenlik duvarları yetersiz Yetersiz sunucu güvenliği Güvenli kodlama eksikliği (Örn. Yazılımlarda girdi/çıktı kontrolünün yapılmaması)

7 Kurumsal Web Güvenliği Modeli

8 Kurumsal Web Güvenliği Modeli Standartların Oluşturulması Web Sistem Farkındalığı Eğitim / Sınama Saldırı Saptama Engelleme

9 Standartların Oluşturulması Kurum dışına açılacak web sunucu sistemlerinin uyması gereken özellikler belirlenmeli ve uygulanmalıdır Kurumun web sayfaları belirli bir yapıda ve şablonda olmalıdır.

10 Standartların Oluşturulması(devam) Hazır web portalları (phpnuke, joomla...vb) yerine kuruma özgü bir şablon hazırlanmalı ve uygulanmalıdır. Kurumsal web uygulamaları test edilmeli ve dökümantasyonu bulunmalıdır...

11 Sistem Farkındalığı Eğer saldırgan, sistemler hakkında sizden daha fazla bilgiye sahipse, o sistemi koruyamazsınız!

12 Sistem Farkındalığı Web Altyapısı Farkındalığı Zayıflık Testleri Ör: Nessus, Nikto, Wapiti Sistemin Takip Edilmesi Ör: Cacti

13 Web Altyapısı Farkındalığı Web sunucu IP adresleri Kullanılan protokoller (https, http) Alan adı (örn. socrates.ege.edu.tr) Kullanılan port'lar (80, 8080 vb) İşletim Sistemi (Linux, Windows vb) Web sunucu yazılımı ve sürümü (Apache 2.0, IIS 6.0 vb)

tr) Kullanılan port'lar (80, 8080 vb) İşletim Sistemi (Linux,

14 Web Altyapısı Farkındalığı (devam) Hazır portal yazılımı (Joomla, Phpnuke vb) Web uygulamaları için kullanılan programlama dilleri (cgi, php, asp vb) Web uygulaması dosya adı ve hangi dizin altında bulunduğu (path) Uygulamaya iletilen parametreler ve tipleri

programlama dilleri (cgi, php, asp vb) Web uygulaması dosya adı

15 Eğitim / Test Çalıştay Eğitim Portal Ör: Test Sunucusu

16 Eğitim(devam) Web yazılımlarının girdi/çıktı kontrolünün yapılması gerektiği anlatılmalı Sunuculardaki hata sayfaları yerine varsayılan sabit bir sayfa döndürülmesi gerektiği anlatılmalıdır.

Sunuculardaki hata sayfaları yerine varsayılan

17 Saldırı Saptama Saldırı Saptama Sistemleri Ör: Snort Log Takibi Bal Küpü (Honeypot) uygulamaları

18 Saldırı Engelleme Erişimin Kontrolü/Kısıtlanması Ör: ağ güvenlik duvarı, ACL Web Sunucu Güvenliği Ör: Apache Mod Security Reverse Proxy Web Güvenlik Duvarı Ör:Mod Security Mod Rewrite

19 Ulak Csirt Web Güvenliği konusunda bilinçlendirme Web Güvenliği Belgeleri /dokumanlar İTU Ninova E öğrenme içeriği hazırlanıyor

22 SONUÇ Kurumsal Ağlarda web güvenliğini sağlamak için öncelikle gerekenler: Web Sisteminizin farkında olmalısınız Sunucu Yöneticilerini ve programcıları bilinçlendirmeli Saldırı Tespiti için sistem takip edilmeli Mümkünse web güvenlik duvarı çözümlerine gidilmelidir.

23 SONUÇ (devam) Belgeleme çalışmalarımız devam etmektedir. Desteğinizi bekliyoruz: /dokumanlar

24 İlginiz için teşekkürler... Sorularınızı bekliyoruz. İletişim için: ULAK CSIRT

Benzer belgeler

WEB SUNUCU GÜVENLİĞİ: Web Siteleri Neden Hacklenir?

WEB SUNUCU GÜVENLİĞİ: Web Siteleri Neden Hacklenir? Gereksiz yedek dosyaları Default ayarlarla gelen konfigürasyon dosyaları Yetkisi tam olarak verilmiş dosyalar ya da dosya izni kontrolü yapılmadan sunucuda