Kendi yasanızı oluşturun !

[SiRRounD]

sistem yönetimi ve yasalar
İnternetin sınırsız bir dalgalanma içinde oldugu düsünüldügünde, belirlenen ölçütlerde kullanım ve kullanıcı haklarının olustugu, bununla birlikte istenilmeyen durumların gözlemlendigi su götürmez bir gerçektir. İnternet ve Ag kullanıcılarına saglanan hizmetlerden faydalanmamak, bu islemler esnasında yapılması gereken sınırlandırmaların bilinmemesi, sistem kullanıcıları için büyük risk olusturmaktadır.

İnternet ortamında denetlemelerin zorlastıgı, bazı durumlarda imkansız oldugu bu dönemde, kullanıcı haklarıyla beraber gelen, gerek sahsi kullanım gerekse kurumların kendi kurmus oldukları ve İnternet’e uyarladıgı ag yapısı ve ag üzerinde bulunan bilgilerin, sorunsuz paylasımı için belli ölçülerde kendi yasalarını olusturmaları zorunlu hale gelmistir. Bu yazımda, belirlenmesi gereken yasalardan bahsedecegim.



Olusturulması gereken yasaların ilk haliyle sistemin yahut ta agın kurulması öncesi yapılandırılmasının saglıklı olacagı asinadır. Sisteminizi kurmadan önce sistemin nasıl bir yapıda ve ne gibi özellikler ihtiva edecegini belirlemeli, ardından da kullanım esnasında karsılasılacak tehlikeleri ve sorunları göz önünde bulundurmalı, buna göre de sistem veya sistemler için belli yasalar olusturmalısınız. Aksi taktirde yasaların belirlenmemesi sonucunda sistemde problemlerin ve hataların olusacagı kesindir.

Dünyada milyonlarca ev ve sirket kullanıcısı oldugu düsünüldügünde bir veya birkaç kullanım yasası olusturulup buna göre adım atılması yanlıs bir uygulama olacaktır. Birçok kisinin kendi kullanım tarzına göre belirlenen yöntem ve yasalar, diger kullanıcı için büyük dezavantajlar getirir. Bu nedenle ev ve sirket kullanıcıları kendi istemleri veyahut ta uzman kisilerin ag yapısına göre belirleyecegi kuralları uygulamak yerinde bir karar olacaktır.

Sistemin olusturulmasının ardından kisi ve kisilere verilmesi gereken haklarında kesin ve net olması önemli bir unsurdur. Bir ag ortamında oldugunuzu düsünürsek, ag yapısını iyi bilen ve bu iste uzman olan sâhısa yetki vermek yerine, güvenilen ve bu isi basarabilecek kisilere yetkinin verilmesi dogru bir adım olacaktır. Özellikle bu olay ülkemizde es, dost, yakın arkadas gibi kavramların çok olmasından dolayı, bilgi güvenliginizin tehlikeye düsmesi yüksek bir ihtimaldir. Bu nedenle kurumunuzda ve evinizde kullandıgınız sistemlerde belirli kademeler olusturulmalı, bu kademeler dahilinde sahıslara sınırlı yetkinin verilmesi söz konusu olmalıdır. Bu uygulamalar sadece local degil, remote uygulamalar içinde uygulanmalıdır. Unutmayın ki es ve dostlarınız sistemde olusacak hatadan dolayı zararınızı karsılamaz. Bununla beraber bu yükümlülük yine size ait olacaktır.

Sistemlerin korunması esnasında belirli kademelerde leveller olusturulmalıdır. İllaki asırı korunaklı bir sistem olması, sart degildir. simdi burada bir çeliski oldugu göreceksiniz. Madem amaç korunmak neden en yüksek seyide korunmayalım? Bu sorunun cevabı basit, her bir seviye belli kural ve protokollere izin vermeyecektir. Misal maksimum güvenlik için tüm uygulamaları yasakladıgımızı düsünelim. Sonuç olarak sadece internette bazı sayfalara girebileceksiniz, hatta bunların çogu açılmayacak ardından gelen uyarı ve block’lamalar sizleri içinden çıkılmaz bir dar bogaza sürükleyecektir. İnternette gezinirken karsılasacagınız ve sizinle baglantıya geçmek isteyen her bilginin zararlı olacagı kesin degildir. ActiveX gibi bilinmeyen uygulamalarda zarar ihtiva edecek paketlerin olacagı %80 ihtimaldir. Ancak bunun geri kalan bölümü zarar ihtiva edecek denemez. Ancak yinede internet ortamı içinde ActiveX ve Java gibi uygulamalar için belirli sınırlamalar koymak yerinde bir karar olacaktır. Bu küçük hatırlatmayı yaptıgımıza göre sistemimizde olmazsa olmazlara bakabiliriz.

Adı geçen sistemi olusturan sahıs, kurmus oldugu sistemin tüm yenilikleri takip edecek yapıda olmayabilir. Bu durum karsısında sistemin güvenilirligini test etmek zorunda kalır. Bunun içinse zayıflık inceleme teknolojisinden faydalanır. Birçogunuzun bildigi scanner ve benzeri uygulamalar normalde admin ve root seviyesinde olan kisiler için hazırlanmıs uygulamalardır. Bunun amacı basit; sisteminizi tarayacaksınız eger risk seviyesi yüksek bir açık bulursanız bu açıga göre gerekli önlemi alacaksınız. Ancak bu scanner’lar herkesin kullanımına açık oldugu için sisteminize sızmak isteyenler için birebir nimet degerindedir. Bu yönde sizlerde sisteminizi ve portlarınızı bu scanner’lar aracılıgıyla tarayabilir. Durumun gösterdigi yönde sisteminiz update edebilirsiniz. Sisteminizde çözümlenmesi zor bir durum karsısında ise, yazılımsal degil de fiziksel önlemlerin (tapping) alınması uygun olacaktır. Bu sayede fiziksel sartlara karsı agınızı izleyebilir, olusabilecek tehlikeler karsısında önlemlerinizi alabilirsiniz.

Bir sistemin güvenlik yapılanmasa geçmeden önce yukarıda sözünü ettigim gibi sisteminiz ve sizin ihtiyaçlarınızı gözden geçirmek gerekir. Bunun için cevaplanması gereken bazı sorular bulunmaktadır.



1- Sisteminin hangi yapısını korunacak? Fiziksel yapımı? Kimyasal mı?

2- Sistemde hangi uygulamalar kullanılacak?

3- Network ve İnternet ortamında neler yapılacak?

4- sifreleme ve hizmetlerine ihtiyaç varmı?

5- Kimlere veya nelere karsı korunulmalı?

6- Sistem için ayrılacak bütçe neleri karsılar?

7- Kime hangi hakları verecegim?

8- İs ortaklarının ve kullanıcıların istekleri neler olacak?

9- Bilgilerin paylastırılması nasıl olmalı?

10- Acil durumlarda neler yapılmalı?



Bazılarınıza bu sıkları karısık ve anlamsız olarak gözükebilir. Nihayetinde ev ve network uygulamaları için atılması gereken adımlar birebir yakındır. Sonuçta internette bir network ortamıdır. Beynimizde olusturacagımız yasalar yavas yavas belirmeye basladı.

Sistemi korumanın en iyi yolu bir isi dogru ve hakkıyla yapmaktır. Bu cümleyi zayıf sifre kullanan yada hiç kullanmayan kisilere hitam ediyorum Özellikle bir ag ortamında iseniz kesin ve kesin uygun bir sifreleme yapısı kullanmalısınız. Özellikle devreye ciddi kavramlar girmeye basladıgında sertifika ve yazılım destegi alınması zorunludur. Diger bir yandan çok degerli bilgilerimizi paylastıgımız karsı tarafında bilgilerinizi koruma yönünde izledigi politikaları da iyi gözlemlemek önemlidir. İnternet ortamında bir kullanıcı olarak kredi kartı, telefon numarası, banka hesap numarası vs… gibi bilgileri size verilen hizmetten yararlanmak makatıyla karsı tarafa verirsiniz. Karsıdaki kisi eger üstüne düsen görevi yerine getirmezse, bilgileriniz beklide ismini hiç duymadıgınız bir kisi tarafından illegal bir islem için kullanılabilecegi ihtimali yüksektir. Bunun için istemcilere verilmis ve saglanmıs hakların gözlenmesi önemlidir. Bu boyutta bulunan birçok site SSL adı verilen bir sifreleme hizmeti kullanmaktadır. Burada bilgilerinizi ilk önce karsı tarafa encode ardındanda decode olarak çevrilir. Bununla beraber sisteme sızan kisilerin aldıgı bilgiler manasız bir anlam tasır. Bunun ag ortamındaki örnek türevi de VPN adı verilen genel/özel ( public/private ) anahtar kullanımı sunan yapıdır. Küçük ölçekli sistemlerde ise bu hizmetleri almak zor olacagından, piyasada gönüllü programcıların yapmıs oldugu Freeware yazılımları kullanmak yerinde bir alternatif olacaktır. Sözün sonuna geldigimizde kullanıcı sifrelerinin önemini altını çizmek gerekiyor. Zayıf ve Tekrarlı sifreler her zaman kolay hedefler olmustur. Bu baglamda kullandıgınız sifrelerin 8 haneden yüksek ve kullandıgınız alanlara göre farklı olmasına özen gösterilmesi önemli bir yasadır. Ag ortamında kullanılması gereken sifreler içinse sınırlı kullanım alanı verilmesi yerinde bir karar olacaktır.

Sisteminizde koymus oldugunuz yasaların dâhilinde hangi ag ortamına nasıl bir yol ve hak verilecegini, bu yolların hangi fiziksel ve kimyasal yapılarla korunacagını gözlemlemek çok önemlidir. Kurumların kendi içinde çalıstıgını düsünürsek, hangi IP/IPX ve Subnet kullanıldıgını bilinmesi, bununla beraber gelen güvenlik duvarlarının ve fiziksel etkenlerin hangi yapılara ve paketlere izin verdigini belirlenmesi önemlidir. Router gibi bir uygulamada konfigürasyon için verilmesi gereken degerlere yakın degerler çoklu kullanıcılara da verilirse o sistemi hiç çalıstırmamak daha iyidir. Zararın neresinden dönerseniz kardır mantıgı, misal bir firewall’u kullanırken ben bu isten anlamam, firewall’ı kurduk artık o kafasına göre bizi nasıl korursa, mantıgına saklanmak ve saldırı gelebilecek kaynaklara block koymamak diger bir yanlıs olacaktır.

Durum karsısında alınması gereken mesaj apaçık ortadadır. “ Bir isi layık oldugu gibi yapmak ve her defasında ikinci bir çözüm önerisi aramak “. Sizlerde kendi kullanım yapınıza göre belli amaç ve uygulamalar için belirli politikalar ( yasalar ) olusturun, bu sayede hem çok degerli olan zamanınızı kaybetmeyecek hem de is ve özel yasamınızda verimliligi kazanacaksınız!