Bilkent Üniversitesi'nde İstenmeyen Trafikle Mücadele Ahmet Göktaş Can Uğur Ayfer

İstenmeyen Trafik Akademik amaçlarla bağdaşmayan, kaynak israfına (band genişliği, disk sığası, ek donanım gibi) yol açan ve güvenliği tehdit eden İnternet trafiği: ● Müzik-filim-oyun vs. dosya trafiği ● SPAM ● Worm

İlk yapılacak iş Kullanım politikasını – ilkelerini belirlemek ve deklare etmek: Üniversitelerce sağlanan İnternet olanakları hak değil, ayrıcalıktır. İnternet olanakları; laboratuvarlar gibi, derslikler gibi akademik çalışmalar içindir.

İstenmeyen trafiğin denetimi IP adreslerinin dağıtımı izlenmeli ( Statik mi? Dinamik mi?) Trafik istatistikleri izlenmeli (MRTG) Kim hangi IP adresini kullanıyor? MAC Adresi (Ethernet fiziksel adresi) önemli bir araç.

Bilkent Üniversitesi'ndeki İ.T Önleme Yapılanması

Switch - Router UlakNET Meteksan-Net Uydu iptables FIREWALL Router zebra (BGP) Bilkent Üniversitesi'ndeki İ.T Önleme Yapılanması

Switch - Router UlakNET Meteksan-Net Uydu NeTraMet snort Log Analizi k a n g a l iptables FIREWALL Router zebra (BGP) Bilkent Üniversitesi'ndeki İ.T Önleme Yapılanması

Switch - Router UlakNET Meteksan-Net Uydu NeTraMet snort Log Analizi k a n g a l veri tabanı MySQL iptables FIREWALL Router zebra (BGP) Bilkent Üniversitesi'ndeki İ.T Önleme Yapılanması ARP Tabloları (SNMP ile) – 03:02:1b:2e:3e:1d

Switch - Router UlakNET Meteksan-Net Uydu NeTraMet snort Log Analizi k a n g a l veri tabanı MySQL iptables komutları iptables FIREWALL Router zebra (BGP) Bilkent Üniversitesi'ndeki İ.T Önleme Yapılanması ARP Tabloları (SNMP ile) – 03:02:1b:2e:3e:1d

Switch - Router UlakNET Meteksan-Net Uydu NeTraMet snort Log Analizi k a n g a l veri tabanı MySQL iptables komutları Yönetici http Yönetici http Yönetici http iptables FIREWALL Router zebra (BGP) Bilkent Üniversitesi'ndeki İ.T Önleme Yapılanması ARP Tabloları (SNMP ile) – 03:02:1b:2e:3e:1d

İstenmeyen Trafiğin Önlenmesi Denetim NeTraMet Log kayıtları Kim, ne kadar trafik oluşturuyor? # Source Port Destination Port Size

İstenmeyen Trafiğin Önlenmesi NeTraMet log analizi Her yüksek trafik istenmeyen trafik değildir!

İstenmeyen Trafiğin Önlenmesi Trafik noktalarının listesi P2P

WEB Arabirimi ile Açma/Kapama/Raporlama

Hasan Hüseyin

Yaptırım ve cezalarımız ● Personel için bölüm başkanlıklarına, dekanlıklara verilen raporlar çok etkili. ● Sahtekarlık, ''sniff'', şifre kırma/çalma olaylarında tartışmasız disiplin kuruluna sevk. ● Önce uyarı, sonra 15 gün, sonra dönem/yıl boyunca kesinti. ● İstenmeyen trafik kaynaklarının İnternet erişimini kesmek, alternatif olarak laboratuvarları sunmak (yurtlarda çok etkili oluyor).

Öğrendiklerimiz ● Kullanıcı eğitimi ''çok zor''. ● Sürekli bir mücadele gerekiyor. ● Tam otomatik çözüm yok! Her yüksek trafik istenmeyen trafik değil. ● Hakların ve ayrıcalıkların iyi anlatılması gerekiyor.

Yeni Sorunlarımız ● ''sniff'' olayları ve IP/MAC sahtekarlıkları başladı. ● Kullanıcı eğitimi gerçekten ''çok zor''. ● Windows 2000 ve XP, MAC adresinin değiştirilmesine doğal bir ayarmış gibi olanak veriyor. ● Windows 2000 ve XP yüzünden ''worm'' yayılımı çılgın boyutlara ulaştı. Yurtlar açıldığında büyük sorun yaşadık.

Yeni Çarelerimiz ● İnternet erişimi için ''login'' uygulamasına yönelik çalışıyoruz. ''İnternet şifresi'' ● Belirli bir süre aktivite göstermeyen kullanıcılar tekrar ''login'' edecekler. ● IP/MAC sahtekarlıklarını önleyebileceğimizi düşünüyoruz.

SPAM ile savaşımızda... ● postfix kullanıyoruz ● kullanımı ve ayarları kolay ● filtreleme esnek, başarılı ve kolay ● Kendi geliştirdiğimiz ''frekans filtreleme'' yazılımını kullanıyoruz

postfix filtreleri Filtre sayısı: ~ 600 headercheck: /filename=.*\.pif/ REJECT /filename=.*\.scr/ REJECT /^From:.*optonline.net/ REJECT REJECT REJECT REJECT bodycheck: /iSTE OLAY ViDEO/ REJECT /\.cleansweeper.net/ REJECT /\.offroad23.com/ REJECT /\.allroadname2.com/ REJECT REJECT /filename=.*\.exe\b/ REJECT /filename=.*\.com\b/ REJECT

postfix filtrelerinin dezavantajları ● mesaj alımını yavaşlatıyor ● filtre hataları mesaj kaybına yol açabiliyor ● SPAM mesajın tamamı alındıktan sonra geri çevriliyor. Gereksiz trafik önlenemiyor.

Frekans Filtreleme ● ''Temiz Liste'' dışındaki yerlerden 5 dakika içinde 3 kez SMTP bağlantısı gelirse, bir sonraki 5 dakika bu sunucudan e-posta kabul edilmiyor (450 please try again). ● Her IP'den günlük 100 mesaj limiti var (temiz liste dışında). 100'ü geçince ''Try again'' deniyor. ● Tek bağlantıda 100 den fazla mesaj bırakmaya çalışan sunuculardan gelen paketler iptables ile atılıyor. ● Bir SMTP bağlantısında 50 den fazla mesaj kabul etmiyoruz. ● Günde bir kez tüm sayaçlar sıfırlanıyor.

Frekans Filtreleme ● Mesaj daha gelmeden bağlantı kesildiği için band genişliğinden tasarruf sağlıyor. ● Yeni kriterlerle geliştirilebilir; örneğin yanlış adres oranı dikkate alınabilir. ● Mesajlar reddedilmiyor; geçici olarak erteleniyor. Ciddi göndericiler tekrar deneyecektir. SPAM kaynakları denemeyeceklerdir. Denerlerse de, sistemleri yavaşlayacaktır.

teşekkür ederiz...

Elde Ettiğimiz Sonuç Öğrencilerin yurtlara gelmeye başlaması Derslerin başlaması Denetim olduğunun bilinmesi çok etkili oldu. Tipik olarak öğrenci, 3-5 personel hattı kesik.