Web Güvenliği Uz. ErİNÇ ERÇAĞ

"Yıkılacakmış gibi duran bir binaya girer misiniz "Yıkılacakmış gibi duran bir binaya girer misiniz?" "Gitmek istediğiniz yer değil de oraya ulaşmak için izleyeceğiniz yol tehlikeli olsa ne yaparsınız?" Bir başka deyişle      "Tehlikeli internet sitelerini ziyaret eder misiniz?"      "Hangi iletişim yolları tehlikeli olabilir?"

Güvenlik Duvarı Nedir ? Ne İşe Yarar? Güvenlik duvarı kurulduğu konumda gelen ve giden ağ trafiğini kontrol ederek bilgisayarınıza ya da bigisayar ağınıza yetkisiz veya istemediğiniz kişilerin çeşitli yollardan erişim sağlamasını engellemeye yarayan yazılım veya donanımdır. Eğer evinizi bir bilgisayara benzetecek olsak bilgisayarınızın parolası evinizin kapısı anlamına gelirdi. Bu durumda, bilgisayarınızdaki güvenlik duvarı ise normalde kilitli duran bir bahçe kapısına ya da apartman kapısına benzetilebilir.

Güvenlik duvarı Ev ve küçük ofislerde internet güvenliğini sağlamak amacı ile kullanılırken, Kurumsal olarak da genelde bilgisayar ağına erişim kontrolü amacı ile kullanılır.

Güvenlik Duvarı Nasıl Çalışır? Güvenlik duvarı, İnternet'ten gelen bilgileri denetleyen ve ardından güvenlik duvarı ayarlarınıza göre engelleyen veya geçişine izin veren bir yazılım veya donanımdır. Güvenlik duvarı, saldırganlar veya zararlı yazılımlar'ın (solucanlar gibi) ağ veya Internet üzerinden bilgisayarınıza erişmelerini engellemeye yardımcı olur. Ayrıca, güvenlik duvarı bilgisayarınızın diğer bilgisayarlara zararlı yazılım göndermesine de engel olur.

Güvenlik Duvarı Bizi Hangi Tehlikelerden Korur? Güvenlik duvarı etkinleştirildiği bağlantılar üzerindeki tüm trafiği izler ve istenmeyen trafiğin bilgisayarımıza erişmesine engel olur. Bilgisayar solucanlarına karşı koruma sağlar. Bilgisayarınızı dış kullanıcılardan gizler ve Yetkisiz kişilerin bilgisayarınıza erişim yapmasını engeller. Bilgisayara bulunan saldırı sırasında güvenlik duvarının verdiği rapor

Güvenlik Duvarı Bizi Hangi Tehlikelerden Korumaz? Duvarın dışından gelen tehlikelere karşı bilgisayarı korur, ancak duvarın iç kısmından gelen tehlikelere karşı bir koruma sağlamaz. Kendisini faydalı bir yazılım gibi gösteren truva atlarına ve e-postalarla yayılan virüslere karşı herhangi bir güvenlik sağlayamaz. Bilgisayara zaten bulaşmış kötü amaçlı yazılımlara karşı herhangi bir koruma sağlayamamaktadır.

Güvenliği Üst Düzeylere Çıkarabilmek İçin Neler Yapılmalıdır? Güvenlik duvarı ile birlikte zararlı programlara karşı korunma (anti virüs) yazılımları da kullanmak gerekir. Kullanılan anti virüs yazılımlarının güncel tutulması gerekir. Kullanılan güvenlik duvarı programının güncellenmesi gerekir. Kullanılan güvenlik duvarı üzerinde tanımlanan kuralların kontrol edilmesi ve ihtiyaç halinde güncellenmesi gerekir.

Güvenlik Duvarı İçin Tavsiye Edilen Programlar

Web’de İşlem Yaparken Dikkat Edilmesi Gereken Hususlar Nelerdir? Bankacılık işlemleri, vergi ödeme, trafik cezası ödeme, alışveriş yapma, iş başvurusunda bulunma, sosyal ağlara kaydolma, okul ve ders kaydı, ders notları ve bunun gibi bir çok işlem internetten yapılabiliyor. Web’de ziyaret edilen herhangi bir sitenin güvenliğini anlayabilmek için dikkat edilmesi gereken noktalar şu şekilde sıralanabilir: Başkalarının görmesini/dinlemesini engellemek amacı ile güvenli iletişim yolları (Secure Socket Layer - SSL) kullanılır. Bu protokol ile transfer edilen bilgiler şifrelenerek gönderilir ve sitenin bir güvenlik sertifikası bulunur. Normal bir siteye girdiğimizde adres çubuğunda gördüğümüz HTTP başlığı interaktif bankacılık gibi kritik işlem yapılan bir siteye girdiğimizde yerini HTTPS olarak değiştirir. Buradaki “S” güvenli (secure) anlamına gelmektedir.

Güvenliği Üst Düzeylere Çıkarabilmek İçin Neler Yapılmalıdır? Tarayıcınızın altında bulunan çubukta da kilit ikonu ( ) çıkacaktır. Bunların yanı sıra şifreli iletişimlerde (SSL- Secure Socket Layer) sitenin sahip olduğu sertifika ve sertifikanın geçerliliği kontrol edilmelidir. İyi bilinen, güvenilir sitelerde işlem yapılmalıdır. Başka bir internet sayfası üzerindeki ya da e-posta ile gelen bağlantılardan değil de doğrudan internet adresi yazılarak ilgili siteye bağlanılmalıdır. Her türlü sahte site tehdidine karşı dikkatli olunmalıdır. Örneğin bankalardan geldiğini iddia eden şüpheli e-postalar aldığınızda hemen bankanızın çağrı merkezini arayıp durumu bildirmelisiniz.

Güvenilmeyen (zararlı) web ve ftp sitelerini ziyaret etmemek Yapılan çalışmaların sonuçlarında, Internet sitelerinde gezinti yaparken bilgisayarımıza virüs ve tehlikeli yazılım bulaştırma ihtimali yüksek olan siteler genellikle şunlardır: çok fazla bilinmeyen siteler, bahis siteleri, pornografik siteler, korsan yazılım indirilen siteler Bu siteleri ziyaret etmek bilgisayar virüsü ve tehlikeli yazılımları davet etmektir.

Açılır Pencere Engelleyicisi Kullanılmalıdır Otomatik açılan pencereler ile bilgisayarlara virüs bulaştırılması mümkündür. Internet tarayıcınızda “Açılır Pencere Engelleyicisi” kullanarak bilgisayarınıza olası zararlı yazılım bulaşmasına engel olabilirsiniz.

Tuzaklı sitelere ve tuzaklı mesajlara dikkat Şifrenizin değişmesi gerektiğini belirten web sayfaları ya da e-posta mesajlarının kaynağı ilgili birimlere danışarak kontrol edilmelidir. Taklit web sayfaları yaparak ve sonrasında da eposta göndererek sizi bir tuzağa çekiyor olabilirler. Tuzak site olmasa da yeni bir hizmeti sunmak için başka sitede kullandığınız hesabınızı isteyebilirler.

Çocuklar İçin Güvenli İnternet Çocuğunuz, yeğeniniz, ya da kardeşiniz internette tanıştığı bir arkadaşını çok seviyor olsa. Acaba kaç yaşında ve nasıl biri? Gelişim dönemleri açısından sakıncalı olabilse de internetteki herhangi bir bilgiye ulaşabilmeli mi?

Çocuklar İçin Güvenli İnternet Herşeyden çok önem verdiğimiz çocuklarımızı tabii ki sanal dünyada da korumalıyız. Internet çocuklar için hem eğlence, hem paylaşım, hem de bir öğrenme aracıdır. Onların masumiyetlerinden ve bilgi düzeylerinden yararlanmak isteyen kötü niyetli kişiler çocukları kandırmak, zarar vermek ve taciz etmek amacı ile internet siteleri kuruyor ya da iletişim teknolojilerinden faydalanabiliyorlar. Çocuklarımıza istemeden de olsa sakıncalı durumlarla karşılaştıklarında ailelerinden yardım istemeleri öğretilmelidir.

Çocuklarımızı internetten gelebilecek tehlikelere karşı korumak için neler yapabiliriz: Çocuklarınızın gezindiği sitelere siz de göz atıp sakıncalı olup olmadığını düzenli olarak kontrol edin. Internetteki sakıncalı siteler ve kötü niyetli kişilerden gelebilecek tehlikelere karşı çocuklarınızı bilgilendirin. Çocuklarınızla internetteki sohbetlere siz de katılın, kimlerle sohbet ettiklerine ve kimlerle arkadaşlık kurduklarını gözlemleyin. Çocuklarınızın internet üzeriden oynadığı oyunlar konusunda bilgi sahibi olun.

Çocuklarımızı internetten gelebilecek tehlikelere karşı korumak için neler yapabiliriz: Çocuklarınızın sizin gözetiminizde ve bilginizde interneti kullandığından emin olun. Onlara tanımadıkları kişilerle internette iletişim kurmanın olası tehlikelerinden bahsedin. Güçlü şifreler belirlemelerine yardımcı olun ve şifrelerini nasıl korumaları gerektiğin anlatın. Zararlı içerikleri filtreleyen ve sakıncalı sitelere girmeyi önleyen aile koruma yazılımları kullanın. Bu tip yazılımlar aynı zamanda çocuklarınızın ziyaret ettiği siteleri de izlemenize imkan verir. Çocuklarınızın internetteki sohbet odalarında veya paylaşım sitelerinde paylaşmamaları gereken kişisel bilgileri konusunda bilgilendirin.

ALIŞVERİŞ VE İNTERAKTİF BANKACILIK GÜVENLİĞİ İnternet cafe gibi internetin ortak kullanıldığı alanlar yerine kendi bilgisayarınızı kullanın. Ödeme sayfasının güvenli (https’li) site olduğunu mutlaka kontrol ediniz. Ödeme yaparken kişisel bilgilerinizi (Kullanıcı adı, hesap numarası veya şifre gibi) veya kredi kartı bilgilerinizi girerken sanal klavye kullanın.

ALIŞVERİŞ VE İNTERAKTİF BANKACILIK GÜVENLİĞİ Internetten yaptığınız ödemeleri mutlaka kredi kartı ekstrenizden kontrol ediniz. Alışverişlerinizde sanal kredi kartı kullanmaya çalışın ve bu kartın limitini kontrol ediniz. İnternet bankacılığı için kullandığınız parolanızı, banka çalışanları dahil kimseyle paylaşmayınız.

E-POSTA GÜVENLİĞİ E-Posta Saldırı Yöntemi a)İstenmeyen E-Posta (Spam)Nedir? Ve Nasıl Korunulur? Bir e-postanın talepte bulunmamış, birçok kişiye birden, zorla gönderilmesi durumunda, bu e-postaya istenmeyen e-posta denir.

İstenmeyen e-postalardan büyük oranda korunmak için; E-posta adresini herkese açık yerlerde yayınlamamak; açıktan yayınlamak gerekirse, adresi maskeleyerek yayınlamak, Örneğin deneme@posta.com adresini, deneme(at)posta[nokta]com olarak veya (metin yerine resim) kullanarak yayınlamak, Birden çok kişiye veya bir gruba e-posta gönderirken kişilerin e-posta adreslerini gizli karbon kopya (BCC) bölümüne yazmak, Bir web sitesinde yapılan işlem gereği e-posta adresi istendiğinde, sitenin gizlilik politikasını kontrol etmek, İstenmeyen e-postalara hiç bir şekilde cevap yazmamak, Kullanım amacına göre farklı e-posta adresleri kullanmak gerekmektedir. deneme@posta.com

b)Taklit / Oltalama e-postası (Phishing) Nedir? Nasıl Korunulur? Taklit (oltalama) e-postası, kimlik bilgilerini çalmak amacı ile, istenmeyen e- posta veya açılır pencere yoluyla yapılan bir aldatma yöntemidir. Taklit (oltalama) e-postası, kimlik bilgilerini çalmak amacı ile, istenmeyen e-posta veya açılır pencere yoluyla yapılan bir aldatma yöntemidir.

Örnek bir oltalama e-posta’sı

Taklit (oltalama) e-postalarından korunmak için öneriler; Kişisel ve mali bilgileri tanıdığınız kişiler dâhil hiç kimseye e-posta yoluyla göndermemek, E-posta mesajlarındaki internet bağlantılarına tıklamamak, bunun yerine internet bağlantı adresini(linki) kopyalayıp internet tarayıcısına yazarak oradan çalıştırmak, E-posta ile gelen kredi kartı veya banka bildirimlerinizin doğruluğunu teyit etmek için düzenli olarak bankanızdan kredi kartı hesap özetini ve banka bildirimleri gibi bilgilendirme dökümanlarınızı gözden geçirmek, Zararlı programlara karşı korunma programları (Anti-virus, anti-spyware, güvenlik duvarı) gibi güvenlik yazılımları kullanmak ve bu programları sık sık güncellemek.

c) Aldatmaca e-posta (Hoax) Nedir? Nasıl Korunulur? Gelen e-postayı başkalarına göndermeni ya da herhangi başka bir eylemde bulunmanı sağlamak amacı ile, içinde aldatmaya ve kandırmaya yönelik ilginç bir konu (ölümcül hastalık, hediye, acil haber, uyarı, komplo teorisi) geçen e- postalardır. Örneğin “Bilgisayarınızda ... dosyası varsa o bir virüstür. Hemen silmelisiniz.” gibi bir mesaj “... havayolunun bu mesaji yolladığınız her 5 kişi için size bedava bir uçuş bileti sağlayacağı" gibi bir mesaj Yardım talebinde bulunan bir kişiden gönderilmiş mesaj olabilir.

Bir başka bir oltalama e-posta örneği

Aldatmaca (Hoax) e-postalarını nasıl tanıyacaksınız? Gelen e-postada aşağıdakilerden birçoğu birden bulunuyorsa büyük ihtimalle aldatmaca e-postası aldınız anlamına gelmektedir. Mesajın sonunda ad soyad belirtilmemiş ise veya verilen ismi araştırdığınızda anlatılanlara uyan somut bilgi bulunamıyorsa, İçerisinde aşağıdaki gibi ifadeler geçiyorsa, “Bu e-postayı bütün tanıdıklarına gönder” “Anlatılanlar aldatmaca değildir' veya “bu bir şehir efsanesi değildir”

Aldatmaca (Hoax) e-postalarını nasıl tanıyacaksınız? Gelen e-postada aşağıdakilerden birçoğu birden bulunuyorsa büyük ihtimalle aldatmaca e-postası aldınız anlamına gelmektedir. Sıklıkla büyük harfle yazılmış kelimeler ve birden çok ünlem işareti (!!!) birlikte kullanılıyorsa, Anlatılanlarda mantıksal olarak çelişen noktalar varsa, Size ulaşana kadar birçok defa başkalarına iletildiğini (forward) gösteren adres listeleri varsa, Mesaj içerisinde başka hiçbir yerde duymadığınız çok önemli bilgiler içeriyorsa.

Kurum içerisinde neler yapılabilir? Bireysel olarak yapılabilecekler: Taklit (yemleme) veya aldatmaca e-postası olduğundan şüphelendiğiniz bir e- posta gördüğünüzde, sistem yöneticisi ile görüşüp kurum genelinde gerekli uyarının yapılması sağlanabilir. Kurum içerisinde komik resimler, ilginç olaylar ve bilgilendirici yazıların toplu olarak gönderilmemesi veya gönderilecekse “gizli karbon kopya” (bcc) olarak gönderilmesi gerekir. Aksi takdirde bir kişi bu e-postayı kurum dışından bir kişiye gönderdiğinde, birçok kurumsal e-posta adresine ulaşılabilir.

Kurum içinde yaşanması mümkün bir oltalama e-posta örneği

Kurumsal olarak yapılabilecekler: Kurum içinde istenmeyen e-postaların bildirilmesi ve gerekli iletişimin yapılabilmesi için, spam@kurumadi.com benzeri bir e-posta hesabı oluşturulabilir. Kurumunuzun kullanım sözleşmesine istenmeyen e-postaların yasaklandığı bilgisi ve varsa yaptırımları yazılabilir. Kurum sitesinde ya da varsa kurumun dışarıya açık tartışma listesinde kurum çalışanlarının e-posta adreslerini yayınlamama konusunda özen gösterilmelidir. Kullanıcıların konuya ilgisini çekmek amacı ile ara sıra hatırlatıcı mesajlar gönderilebilir.

Kişisel açıdan neler yapılabilir? Tanımadığınız kişilerden gelen e-postaları açmayarak, Tanıdığınız kişilerden gelen e-postalarda kredi kartı numarası, banka hesap numarası para yatırma, .exe özelliği olan dosyaları eklenti olarak görüldüğünde açmayarak, E-posta adresinizi güvenilir olduğuna emin olmadığınız web sitelerine vermeyerek, Tanıdığınız kişilerden gelen maillerin doğruluğunu diğer iletişim araçlarını kullanarak onlardan teyit aldıktan sonra cevaplamalı veya e-posta’yı açıp kabul etmelisiniz.

ADSL Modemlerde Güvenlik Bilgisayar ile ADSL modem arasındaki iletişim dinlenebilir. Bu iletişimi dinleyen bir saldırganın internette yaptığınız işlemleri görmesi, bilgileri ele geçirmesi ve hatta değiştirmesi mümkündür. ADSL Modem’e erişen saldırganlar, hiç farkettirmeden ele geçirdikleri modem üzerinden sakıncalı sitelere ulaşabilir ya da diğer sistemlere yönelik zararlı olabilecek eylemlerde bulunabilirler. Normalde bilgisayarınıza ulaşılamazken, modem üzerindeki açıklıklardan yararlanarak bilgisayarınıza ve bilgilerinize ulaşılabilinir.

ADSL Modemlerde Güvenlik Bu nedenle modem ve bağlantı güvenliği önemlidir. Modemi korumanın yanı sıra kablosuz bağlantı kullanıyorsanız yapılan kablosuz yayın için de güvenlik tedbirleri alınmalıdır. Modeminizden dolayı sizi bekleyen tehlikelerden bazıları şu şekilde sıralanabilir: Size saldırıda bulunulabilinir Saldırganlar aldığınız tedbirlerden dolayı bilgisayarınıza erişemedikleri halde modeminizdeki açıklıklardan faydalanarak bu engelleri aşıp bilgilerinize erişilebilirler. Kişisel bilgileriniz komşularınız ya da yabancılar tarafından çoktan öğrenilmiş olabilir. Sizin adınıza suç işlenebilinir

ADSL Modemlerde Güvenlik Sizin modeminiz üzerinden başka sistemlere, diğer bilgisayarlara saldırılabilir ve suç olarak kabul edilen eylemlerden sorumlu tutulabilirsiniz. Kanunen kapatılmış, ya da zararlı içerik barındıran yasak sitelere (pornografik siteler gibi) girilebilir. Bu sitelere siz girmiş sayılırsınız ve suçlu durumunda kalabilirsiniz. Bir saldırı sözkonusu değilse İnternet erişiminiz kotalı ise davetsiz misafir sizin internetinizi kullanarak istediği kadar mp3, film gibi dosyalar indirerek kota aşımına ve ekstra para ödemenize sebep olurlar. İnternetiniz sınırsız bir hesap olsa dahi hesabınızı kullandığı için hızınızı azaltacak ve siz interneti verimli kullanamamış olacaksınız.

Tehlikelerden Korunmak İçin Yapılabilecekler Kullanmadığımız zaman modeminizi kapatınız. Web yönetim arayüzüne parola koyunuz.

ADSL Modeminde Güvenlik Ayarları Kullanıcı kılavuzundan aşağıdaki bilgiler bulunur (daha önce değiştirmediyseniz). Kullanıcı adı ve parolası. (Kullanıcı adı “admin”; parolası ise modeline göre değişmekle birlikte genelde “password”, “admin” gibi kelimelerdir) Modemin IP adresi (örneğin “192.168.1.1”. veya “10.0.0.1” gibi). İnternete girmek için kullandığımız tarayıcıya bulduğunuz IP adresi yazılır. Gelen kimlik doğrulama ekranına kullanıcı kılavuzundan bulduğunuz kullanıcı adı ve parolası girilir. ADSL modem ayarlarınıza girmek için gereken bilgiler giriş kısmı

ADSL Modeminde Güvenlik Ayarları Bütün bu işlemlerden sonra yönetme ekranı açılacaktır. Bu ekrandaki işlem menüsünden birçok ayar değiştirilebilir. Web yönetim arayüzü parolası değiştirmek için ilgili ekrana (modeme erişim ve benzeri ifadeler kullanılmış olabilir) gelinerek belirleyeceğiniz güçlü bir şifre tanımlanır.

Modeme kablosuz bağlantı parolası koyunuz. Bağlantı parolası belirlenmemiş ise bu yayından faydanarak çevredeki herkes sizin modeminiz üzerinden internete bağlanabilir.

d)Bilgisayar ile ADSL modem arasındaki iletişimi şifreleyiniz (WPA / WPA2) Kablosuz modemler her yöne yayın yaparlar ve herkes bu yayını dinleyebilir. Bağlantı parolası verilmiş olsa da eğer bilgiler şifrelenerek gönderilmezse örneğin sohbet ederken (chat) konuşmalarımızı dinleyebilirler, parolalarımızı görebilirler, yolladığımız e-posta mesajlarını okuyabilirler. Bu nedenle şifreleme ayarı belirlenmelidir. Şifreleme için üç seçenek (WEP, WPA, WPA2) sunulmaktadır. Bu seçenekler web yönetim arayüzünden belirlenebilir. WEP eskiden kullanılan bir yöntem olarak WPA kadar güvenli değildir ve artık pek kullanılmamaktadır. WEP şifreleme yöntemi kullanırsanız bu işlerden anlayan bir komşunuz ya da onlara gelen bir misafir kolaylıkla şifrenizi çözebilir. Modem ayarlarınızda şifreleme yöntemi olarak WEP yerine WPA veya WPA2 seçilmelidir. Örnek ekranlar aşağıda görülmektedir.

ADSL Modem ayarlarınızda bulunan şifreleme sistemi

ADSL Modeminize zor bir şifre koymak

e)Güvenlik duvarını aktif hale getiriniz e)Güvenlik duvarını aktif hale getiriniz. ADSL modemlerin bir çoğunda sınırlı yetenekte de olsa istenmeyen kişilerin, davetsiz misafirlerin modeme ulaşmasını engelleyen bir güvenlik duvarı bulunur. Güvenlik duvarını aktif hale getirmek için web yönetim ekranına girilip “güvenlik duvarı etkin” olarak işaretlenmesi ve kaydedilmesi gerekir. f)Gereksiz servisleri (ftp, snmp, telnet, icmp gibi) kapatınız. ADSL modeme internet üzerinden erişim için kullanılan tüm dış ağ servisleri kapatılmalıdır. Örnek: Bilgisayarlarımızda kullandığımız programlar çalışırken arka planda çalışan ve belirli işler yapan servislerden yararlanırlar. Bu servisler hem dışarıya (WAN), hem de bize içeriye (“İç ağ”) servis sağlarlar. Bazı servisler ihtiyaç halinde kullanılmak üzere açık olarak sistemlerimizde bulunurlar. Kullanılmayan tüm servisler gereksiz servis olarak adlandırılır ve tehlike arz edebilirler. Bu nedenle, bu servisler kullanılmıyor ise kapatılmalı, kullanılıyor ise de erişimi denetim altına alınmalıdır.

Hangi servisler kapatılmalı? Dışarıya (WAN) sağlanan TÜM servisleri kapatınız. İçeriye (“İç ağ” ya da “local ağ”) sağlanan servislerden HTTP servisi dışındakileri kapatınız (sadece HTTP servisi açık kalmalı).

  Bu servislere dikkat FTP Telnet ICMP (ping) SNMP Özellikle yanda listelenen servisler kapatılmalı, sadece HTTP yerel ağa açık olmalı, geniş alan ağına (WAN) yani internete kapalı olmalıdır. Bu sayede sadece biz kendi bilgisayarımızdan yönetim ekranına ulaşırken dışarıdan ulaşım kapanacaktır.

Bir servis nasıl kapatılır? Gereksiz servisleri kapatmak için aşağıdaki adımları izleyiniz: Modem web yönetici ekranına girerek servisler kısmını bulunuz. İlgili servisleri kapatmak için yandaki resimde gösterildiği gibi ya “etkin değil” seçeneğini seçiniz ya da servisin yanındaki kutucuktan işareti kaldırınız. Yapılan seçimleri kaydedin ve uygulanmaya başlayın. Şekil 16: ADSL modem ayarlarınızı doğru bir şekilde ayarlarsanız dışarıdan gelen saldırıları bir nebze olsun engellemiş oluyorsunuz. g)MAC adres filtrelemesi. ADSL modem üzerinden sadece önceden belirlenen bilgisayarların İnternet’e çıkabilmesi için alınan bir güvenlik önlemidir.

TEŞEKKÜRLER