Computer & Network Security

... konulu sunumlar: "Computer & Network Security"— Sunum transkripti:

1 Computer & Network Security
Computer Network Vulnerabilities Bilgisayar ve Network Güvenlik Açıkları Dr.Yuksel Celik

2 Computer Network Vulnerabilities
Computer & Network Security Definition Tanım Sistem açıkları, bir sunucuda veya istemcide, bir ağa erişmek veya kapatmak için belirli bir saldırgan tarafından istismar edilebilen yazılımdaki veya donanımdaki zayıf yönlerdir. Güvenlik açıkları yalnızca bir bilgisayar sistemi oluşturan donanım ve yazılımlarda değil, aynı zamanda bir bilgisayar ağı sisteminde ve bilgisayar ağı sistemlerinin kullanıcılarında ve çalışanlarında kullanılan politikalar ve prosedürlerde, özellikle de güvenlik politikaları ve prosedürlerinde bulunur. Güvenlik açıkları, bir ağ sistemindeki pek çok alanda bulunabileceğinden, bir güvenlik açığının aslında bir bilgisayar ağında bir avantaja neden olma veya bir avantaj için yararlanılabilecek bir şey olduğunu söyleyebiliriz. Artık zayıf noktaların ne olduğunu bildiğimizden, bunların olası kaynaklarına göz atalım. System vulnerabilities are weaknesses in the software or hardware on a server or a client that can be exploited by a determined intruder to gain access to or shut down a network. Vulnerabilities do not only exist in hardware and software that constitute a computer system but also in policies and procedures, especially security policies and procedures, that are used in a computer network system and in users and employees of the computer network systems. Since vulnerabilities can be found in so many areas in a network system, one can say that a security vulnerability is indeed anything in a computer network that has the potential to cause or be exploited for an advantage.

3 Computer Network Vulnerabilities
Computer & Network Security Vulnerabilities possible sources: Design Flaws Güvenlik Açıklarının olası Kaynakları : Tasarım Hataları Bir bilgisayar sisteminin, donanımın ve yazılımın iki önemli bileşeni, genelde tasarım hatalarına sahiptir. Donanım sistemleri, daha kolay karmaşıklığa sahip oldukları için, test etmeyi kolaylaştıran yazılımlarla karşılaştırıldığında tasarım kusurlarına daha az maruz kalır; Sınırlı sayıda olası girdi ve beklenen sonuç, yine test etmeyi ve doğrulamayı kolaylaştırıyor. Ancak, donanım mühendisliğini destekleyen bu faktörlerin hepsine rağmen, yeni bilgisayar sistemlerinde karmaşıklık yüzünden tasarım kusurları hala yaygın. Bununla birlikte, üç önemli faktör yazılım tasarımındaki kusurlara büyük katkıda bulunur: İnsan faktörleri, Yazılım karmaşıklığı Güvenilir yazılım kaynakları The two major components of a computer system, hardware and software, quite often have design flaws. Hardware systems are less susceptible to design flaws than their software counterparts owing to less complexity, which makes them easier to test; limited number of possible inputs and expected outcomes, again making it easy to test and verify. But even with all these factors backing up hardware engineering, because of complexity in the new computer systems, design flaws are still common. However, three major factors contribute a great deal to software design flaws: Human factors, Software complexity Trustworthy software sources

4 Computer Network Vulnerabilities
Computer & Network Security Design Flaws : Human Factors Tasarım Hataları : İnsan Faktörleri Unutkanlık ve dikkat eksikliği: Örneğin, birisinin kod satırını eklediği veya eklediği, test edildiği veya doğrulanması gerekiyordu, ancak unutkanlıktan dolayı değildi. Bitirmek için acele etme: Ürünü piyasaya sürmek için ya geliştirme maliyetlerini düşürmek için ya da bir müşteri son teslim tarihini karşılamak için yapılan baskıdan, çoğu kez yönetimden gelen bu baskılar sonuçta sorunlara neden olabilir. Aşırı güven ve standart olmayan veya test edilmemiş algoritmaların kullanımı: Algoritmalar emsalleri ile tamamen test edilmeden önce, birkaç test çalışmasında çalışmış gibi görünen ürün grubuna dahil edilir. Kötü Niyet: Yazılım geliştiricileri, diğer profesyoneller gibi kötü niyetli kişilere de sahiptirler. Zamanında bir yerde kendisini açan Truva atı yazılımında olduğu gibi, hatalar, virüsler ve solucanlar yazılım içine yerleştirilmiş ve indirilmiştir.  Rahatlık: Bir birey veya bir yazılım üreticisi yazılım geliştirme konusunda önemli tecrübeye sahip olduğunda, daha önce benzer veya ilgili bir üründe test edilmiş olan bu yazılım parçalarında belirli testleri ve diğer hata kontrol önlemlerini göz ardı etmektedir. Unutmamak gerekir ki hiçbir yazılım ürünü, tüm ortamlarda tüm gereksinimlere uyamaz Memory lapses and attentional failures: For example, someone was supposed to have removed or added line of code, tested, or verified, but did not because of simple forgetfulness. Rush to finish: The result of pressure, most often from management, to get the product on the market either to cut development costs or to meet a client deadline can cause problems. Overconfidence and use of nonstandard or untested algorithms: Before algorithms are fully tested by peers, they are put into the product line because they seem to have worked on a few test runs. Malice: Software developers, like any other professionals, have malicious people in their ranks. Bugs, viruses, and worms have been known to be embedded and downloaded in software, as is the case with Trojan horse software, which boots itself at a timed location. Complacency: When either an individual or a software producer has significant experience in software development, it is easy to overlook certain testing and other error control measures in those parts of software that were tested previously in a similar or related product, forgetting that no one software product can conform to all requirements in all environments

5 Computer Network Vulnerabilities
Computer & Network Security Design Flaws : Software Complexity Tasarım Hataları: Yazılım Karmaşıklığı Complexity: Unlike hardwired programming and design in which it is easy to exhaust the possible outcomes on a given set of input sequences, in software programming, a similar program may present billions of possible outcomes on the same input sequence. Therefore, in software programming, one can never be sure of all the possibilities on any given input sequence. Difficult testing: There will never be a complete set of test data set to check software exhaustively for all bugs for a given input sequence. Ease of programming: The fact that software programming is easy to learn encourages many people with little formal training and education in the field to start developing programs, but many are not knowledgeable enough about good programming practices or able to check for errors. Misunderstanding of basic design specifications: This affects the subsequent design phases including coding, documenting, and testing. It also results in improper and ambiguous specifications of major components of the software and in ill-chosen and poorly defined internal program structures. Karmaşıklık: Yazılım programlamasında belirli girdi dizileri dizisindeki olası sonuçları tüketmenin kolay olduğu donanımsal programlama ve tasarımdan farklı olarak, benzer bir program, aynı girdi dizisi üzerinde milyarlarca olası çıktıyı sunabilir. Bu nedenle, yazılım programlamasında, herhangi bir girdi dizisi üzerindeki tüm olasılıklardan asla emin olamazsınız. Zor test: Belirli bir girdi dizisi için tüm hatalar için yazılımın kontrol edilmesi için eksiksiz bir test veri seti asla olmayacaktır. Programlama kolaylığı: Yazılım programlamanın öğrenilmesinin kolay olması, alanda pek az sağlıklı eğitime ve eğitime sahip birçok insanı, programları geliştirmeye başlamasına cesaretlendirir; ancak birçoğu, iyi programlama uygulamaları hakkında yeterince bilgili değildir veya hataları kontrol edebilme yetenekleri yoktur. Temel tasarım özelliklerinin yanlış anlaşılması: Bu, kodlama, belgeleme ve test etme gibi sonraki tasarım aşamalarını etkiler. Ayrıca, yazılımın ana bileşenleri ve yanlış seçilmiş ve yetersiz tanımlanmış iç program yapılarında uygunsuz ve belirsiz özellikler ortaya çıkarmaktadır.

6 Computer Network Vulnerabilities
Computer & Network Security Design Flaws : Trustworthy Software Sources Tasarım Hataları: Güvenilir Yazılım Kaynakları There are thousands of software sources for the millions of software products on the market today. We buy software products every day without even ever minding their sources. Most importantly, we do not care about the quality of that software, the honesty of the anonymous programmer, and of course its reliability as long as it does what we want it to do. In the last several years, we have witnessed the growth of the open-source movement. It has been praised as a novel idea to break the monopoly and price gauging by big software producers and most important as a timely solution to poor software testing. Those opposed to the movement have criticized it for being a source of untrusted and many times untested software. There has been a rise recently in Trojan horses inserted into open-source code. Bugün piyasada milyonlarca yazılım ürünü için binlerce yazılım kaynağı var. Yazılım kaynaklarını hiç düşünmeden her gün yazılım ürünleri satın alıyoruz. En önemlisi, o yazılımın kalitesini, anonim programcının dürüstlüğünü ve tabii ki bunu yapmak istediğimizi yaptığımız sürece güvenilirliğini umursamıyoruz. Son birkaç yılda, açık kaynak hareketinin büyümesine tanık olduk. Büyük yazılım üreticilerinin koyduğu tekel ve fiyatı kırmak ve en önemlisi yoksul yazılım testlerine zamanında çözüm olarak yeni bir fikir olarak övüldü. Harekete karşı olanlar, onu güvenilmeyen ve pek çok kez test edilmemiş bir yazılım kaynağı olarak eleştirdiler. Yakın zamanda Truva atlarında açık kaynak koduna eklenen bir artış oldu.

7 Computer Network Vulnerabilities
Computer & Network Security Poor Security Management: Güvenlik Yönetimi : Security management is both a technical and an administrative security process that involves security policies and controls that the organization decides to put in place to provide the required level of protection. In addition, it also involves security monitoring and evaluation of the effectiveness of those policies. Poor security management is a result of little control over security implementation, administration, and monitoring. It is a failure in having solid control of the security situation of the organization when the security administrator does not know who is setting the organization’s security policy, who is administering security compliance, and who manages system security configurations and who is in charge of security event and incident handling. Good security management is made up of a number of implementable security components that include risk management, information security policies and procedures, standards, guidelines, information classification, security monitoring, and security education. Güvenlik yönetimi hem güvenlik politikalarını içeren, hem de kuruluşun gerekli koruma düzeyini sağlamak için uygulamaya koyduğu denetimler içeren bir teknik ve idari güvenlik sürecidir. Buna ek olarak, güvenlik izleme ve bu politikaların etkinliğinin değerlendirilmesini de içerir. Zayıf güvenlik yönetimi, güvenlik uygulaması, yönetimi ve denetimi üzerinde çok az bir kontrolün bir sonucudur. Güvenlik yöneticisi, kuruluşun güvenlik ilkesini kimin ayarladığını bilmediği, güvenlik uyumluluğunu kim yönettiği ve sistem güvenlik yapılandırmalarını kim yönettiği ve güvenlik olayından kimin sorumlu olduğu konusunda kuruluşun güvenlik durumunun sağlam bir şekilde denetlenmesinde başarısızlıktır. Ve olay işleme. İyi güvenlik yönetimi, risk yönetimi, bilgi güvenliği politikaları ve prosedürleri, standartlar, yönergeler, bilgi sınıflandırması, güvenlik izleme ve güvenlik eğitimini içeren bir dizi uygulanabilir güvenlik bileşenden oluşur.

8 Computer Network Vulnerabilities
Computer & Network Security Good Security Management: İyi Güvenlik Yönetimi: The following core components serve to protect the organization’s resources A risk analysis to identify assets, discover the threats that put these assets at risk, and estimate the possible damage and potential loss a company could endure if any threats become real. The results of the risk analysis help management construct a budget with the necessary funds to protect the recognized assets from their identified threats and develop applicable security policies that provide direction for security activities. Security policies and procedures to create, implement, and enforce security issues that may include people and technology. Standards and guidelines to find ways, including automated solution for creating, updating, and tracking compliance of security policies across the organization. Information classification to manage the search, identification, and reduction of system vulnerabilities by establishing security configurations. Security monitoring to prevent and detect intrusions, consolidate event logs for future log and trend analysis, manage security events in real time, manage parameter security including multiple firewall reporting systems, and analyze security events enterprise-wide. Security education to bring security awareness to every employee of the organization and teach them their individual security responsibility. Aşağıdaki temel bileşenler, kuruluşun kaynaklarını korumaya hizmet eder Varlıkları tespit etmek, bu varlıkları risk altına sokan tehditleri keşfetmek ve herhangi bir tehdit gerçek olursa bir şirketin tahrip olabileceği muhtemel zararı ve olası zararı hesaplamak için bir risk analizi. Risk analizinin sonuçları, tanımlanan tehditlerden tanınan varlıkları korumak ve güvenlik faaliyetlerine yön veren geçerli güvenlik politikaları geliştirmek için gerekli fonlarla bir bütçe oluşturmasına yardımcı olur. İnsanlar ve teknoloji içerebilecek güvenlik konularını oluşturmak, uygulamak ve uygulamak için güvenlik politikaları ve prosedürleri. Güvenlik politikalarının kuruluş genelinde uyumu oluşturmak, güncellemek ve izlemek için otomatik çözüm de dahil olmak üzere yollar bulmak için standartlar ve yönergeler. Güvenlik sınıflandırmaları kurarak sistem açıklarının taranmasını, tanımlanmasını ve azaltılmasını yöneten bilgi sınıflandırması. Saldırıları önlemek ve tespit etmek, gelecekteki günlüğe ve trend analizinde olay günlüklerini birleştirmek, güvenlik olaylarını gerçek zamanlı olarak yönetmek, birden fazla güvenlik duvarı raporlama sistemi de dahil olmak üzere parametre güvenliğini yönetmek ve kurum çapında güvenlik olaylarını analiz etmek için güvenlik izlemesi. Kurumun her çalışanı için güvenlik bilincini kazandırmak ve onlara bireysel güvenlik sorumluluğunu öğretmek için güvenlik eğitimi.

9 Computer Network Vulnerabilities
Computer & Network Security Uygunsuz implantasyon: Incorrect Implementation: Incorrect implantation very often is a result of incompatible interfaces. Two product modules can be deployed and work together only if they are compatible. Incompatibility in system interfaces may be cause by a variety of conditions usually created by things such as: Too much detail Not enough understanding of the underlying parameters Poor communication during design Selecting the software or hardware modules before understanding the receiving software Ignoring integration issues Error in manual entry Many security problems result from the incorrect implementation of both hardware and software systems. In fact, system reliability in both software and hardware is based on correct implementation, as is the security of the system. Yanlış implantasyon sıklıkla uyumsuz arayüzlerin bir sonucudur. İki ürün modülü yalnızca beraber konuşlanabilir ve uyumluysa birlikte çalışabilir. Sistem arabirimlerinde uyumsuzluk, genellikle aşağıdakiler gibi şeyler tarafından yaratılmış olan çeşitli koşullar yüzünden olabilir: Çok fazla ayrıntı Altta yatan parametrelerin yeterince anlaşılmaması Tasarım sırasında zayıf iletişim Alınan yazılımı anlamadan önce yazılım veya donanım modüllerini seçme Entegrasyon sorunlarını yok sayılması Manuel giriş hatası Pek çok güvenlik sorunu, donanım ve yazılım sistemlerinin yanlış uygulanmasından kaynaklanmaktadır. Aslında, hem yazılım hem de donanımdaki sistem güvenilirliği, sistemin güvenliği gibi doğru uygulanmaya dayanmaktadır.

10 Computer Network Vulnerabilities
Computer & Network Security Internet Technology Vulnerability: İnternette Güvenlik Açığı: The fact that computer and telecommunication technologies have developed at such an amazing and frightening speed and people have overwhelmingly embraced both of them has caused security experts to worry about the side effects of these booming technologies. There were reasons to worry. Internet technology has been and continues to be vulnerable. Although the list spans both hardware and software, the problem is more prevalent with software. In fact, software vulnerabilities can be put into four categories: Operating system vulnerabilities: Operating systems are the main sources of all reported system vulnerabilities. Port-based vulnerabilities: Besides operating systems, network service ports take second place as sourcing system vulnerabilities. Application software-based errors. System protocol software such as client and server browser. Bilgisayar ve telekomünikasyon teknolojilerinin böylesine şaşırtıcı ve korkutucu bir hızda geliştiğini ve insanların her ikisini de ezici bir biçimde kucakladığı gerçeği, güvenlik uzmanlarının bu patlayan teknolojilerin yan etkileri hakkında endişe etmesine neden oldu. Endişelenmek için nedenler vardı. İnternet teknolojisi güvenlik açığı ile devam ediyor. Liste donanım ve yazılımı kapsa da, sorun yazılımla daha yaygın. Aslında, yazılım açıkları dört kategoriye ayrılabilir: İşletim sistemi açıkları: İşletim sistemleri tüm bildirilen sistem açıklarının ana kaynağıdır. Port tabanlı güvenlik açıkları: İşletim sistemlerinin yanı sıra, ağ hizmet portları kaynak güvenlik açıkları olarak ikinci sırada yer alır. Uygulama yazılımı tabanlı hatalar.   İstemci ve sunucu tarayıcı gibi sistem protokol yazılımı.

11 Computer Network Vulnerabilities
Computer & Network Security Changing Nature of Hacker Technologies and Activities: Computer and telecommunication technologies have developed at such an amazing and frightening speed and people have overwhelmingly embraced both of them has caused security experts to worry about the side effects of these booming technologies. Internet technology has been and continues to be vulnerable. There have been reports of all sorts of loopholes, weaknesses, and gaping holes in both software and hardware technologies. Bilgisayar ve telekomünikasyon teknolojileri böylesine şaşırtıcı ve korkutucu bir hızda gelişti ve insanlar her ikisini de ezici bir biçimde kabul etti, güvenlik uzmanlarının bu patlayan teknolojilerin yan etkileri hakkında endişe yaratmasına neden oldu. İnternet teknolojisi savunmasız ve devam ediyor. Hem yazılım hem de donanım teknolojilerinde her türlü boşluk, zayıflık ve delik delikleri ile ilgili raporlar bulunmaktadır.

12 Computer Network Vulnerabilities
Computer & Network Security Siber Suçlar Cyber Crimes : • Unlawful access to information • Illegal interception of information • Unlawful use of telecommunication equipment • Forgery with use of computer measures • Intrusions of the public switched and packet network • Network integrity violations • Privacy violations • Industrial espionage • Pirated computer software • Fraud using a computing system • Internet/ abuse • Using computers or computer technology to commit murder, terrorism, pornography, and hacking • Yasalara aykırı bilgi erişimi • Yasadışı bilgi kesme • Telekomünikasyon ekipmanlarının yasadışı kullanımı • Bilgisayar gereçleri kullanarak sahteciliği • Kamusal anahtarlamalı ve paket ağlarına izinsiz girişler • Ağ bütünlüğü ihlalleri • Gizlilik ihlalleri • Endüstriyel casusluk • Korsan bilgisayar yazılımı • Bir bilgi işlem sistemi kullanarak sahtekarlık • İnternet / e-posta kötüye kullanımı • Bilgisayarları veya bilgisayar teknolojisini kullanarak cinayet, terör, pornografi ve korsanlıkla yapmak

13 Computer Network Vulnerabilities
Computer & Network Security Ways of Executing Cyber Crimes : Penetration Siber Suçları Yürütmenin Yolları: Sızma- Nüfuz etme A penetration cyber attack is a successful unauthorized access to a protected system resource. A penetration cyber attack can also be de fined as any attack that violates the integrity and confidentiality of a computing system’s host. However defined, a penetration cyber attack involves breaking into a computing system and using known security vulnerabilities to gain access to any cyberspace resource. With full penetration, an intruder has full access to all that computing system’s resources. Full penetration, therefore, allows an intruder to alter data fi les, change data, plant viruses, or install damaging Trojan horse programs into the computing system. Bir sızma siber saldırısı, korunan bir sistem kaynağına başarıyla yetkisiz bir şekilde erişilebilmesidir. Bir bilgi işlem sistemi ana bilgisayarının bütünlüğünü ve gizliliğini ihlal eden herhangi bir saldırı olarak bir sızma siberi saldırısı da cezalandırılabilir. Bununla birlikte, bir sızma siberi saldırısı bir bilgi işlem sistemine girmeyi ve herhangi bir siber kaynağa erişmek için bilinen güvenlik açıklarını kullanmayı içerir. Tam nüfuz eden bir saldırgan, bilgi işlem sisteminin kaynaklarına tam erişime sahiptir. Dolayısıyla, tam sızma, bir saldırganın veri dosyalarını değiştirmesine, verileri değiştirmesine, virüsleri yayması veya zararlı Truva atı programlarını bilgisayar sistemine yüklemesine izin verir.

14 Computer Network Vulnerabilities
Computer & Network Security Ways of Executing Cyber Crimes : Distributed Denial of Service (DDoS) Dağıtılmış Hizmet Reddi A denial of service is an interruption of service resulting from system unavailability or destruction. It prevents any part of a target system from functioning as planned. This includes any action that causes unauthorized destruction, modification, or delay of service. Denial of service attacks can also be caused by intentional degradation or blocking of computer or network resources. These denial-of-service attacks, commonly known as distributed denial-of-service (DDoS) attacks, are a new form of cyber attacks. They target computers connected to the Internet. They are not penetration attacks, and therefore, they do not change, alter, destroy, or modify system resources. SYN flooding Smurf attack Buffer overflow Ping of death Land.c attack Teardrop.c Sequence number sniffing: Bir hizmet reddi, sistemin kullanılamaması ya da imha edilmesinden kaynaklanan bir hizmet kesintisidir. Hedef sistemin herhangi bir bölümünün planlandığı gibi çalışmasını önler. Buna yetkisiz imha, değişiklik veya hizmetin gecikmesine neden olan herhangi bir işlem dahildir. Hizmet reddi saldırılarına, bilgisayar veya ağ kaynaklarının kasten bozulması veya engellenmesi neden olabilir. Genel olarak dağıtılmış hizmet reddi (DDoS) saldırıları olarak bilinen bu hizmet reddi saldırıları Yeni türden siber saldırılar. İnternet'e bağlı bilgisayarları hedef alıyorlar. Bunlar penetrasyon saldırıları değildir ve bu nedenle sistem kaynaklarını değiştirmez, değiştirmez, yok etmez veya değiştirmez. SYN sel Şirinler saldırısı Arabellek taşması Ölüm ping Land.c saldırısı Teardrop.c Sıra numarası koklama:

15 Computer Network Vulnerabilities
Computer & Network Security Siber Suçlular: Cyber Criminals : A number of studies have identified the following groups as the most likely sources of cyber crimes Insiders: For a long time, system attacks were limited to in-house employee generated attacks to systems and theft of company property. Hackers: Hackers are actually computer enthusiasts who know a lot about computers and computer networks and use this knowledge with a criminal intent. Criminal groups: A number of cyber crimes are carried out by criminal groups for different motives ranging from settling scores to pure thievery. Disgruntled ex-employees: Many studies have shown that disgruntled ex-employees also pose a serious threat to organizations as sources of cyber crimes targeting their former employers for a number of employee–employer issues that led to the separation. Economic espionage spies: The growth of cyberspace and e-commerce and the forces of globalization have created a new source of crime syndicates, the organized economic spies that plow the Internet looking for company secrets. Bir dizi çalışma, aşağıdaki grupları siber suçların en olası kaynağı olarak tespit etmiştir İçerdikler: Uzun süredir sistem saldırıları, şirket içi çalışanların sistemlere saldırıları ve şirket mülkiyetinin çalınması ile sınırlıydı. Hackerlar: Bilgisayar korsanları aslında bilgisayar meraklılarıdır ve bilgisayarlar ve bilgisayar ağları hakkında çok şey bilen ve bu bilgiyi cezai bir amaçla kullanmaktadırlar. Suç grupları: cürümleri bir dizi saf hırsızlık için yerleşme puanları kadar farklı amaçlar için ceza grubu ile gerçekleştirilmektedir. Hoşnutsuz eski çalışanlar: Birçok çalışmada mutsuz eski çalışanları da ayrılık neden işçi-işveren bir takım konularda onların eski işverenleri hedef alan siber suçların kaynağı olarak organizasyonlar için ciddi bir tehdit oluşturduğunu göstermiştir. Ekonomik casusluk casusları: Siber ve e-ticaretin ve küreselleşmenin güçlerinin artması, örgütlü ekonomik casusların, şirket sırlarını aramak için internete giren yeni bir suç kaynağı sendikası yarattı.