Riskin Değişen Yüzü: Yeni Milenyum’da Güvenlilk Tarkan Kadıoğlu.

... konulu sunumlar: "Riskin Değişen Yüzü: Yeni Milenyum’da Güvenlilk Tarkan Kadıoğlu."— Sunum transkripti:

1 Riskin Değişen Yüzü: Yeni Milenyum’da Güvenlilk Tarkan Kadıoğlu

2 Copyright 2001, Computer Associates International, Inc Ajanda  Bilişim Suçları Tarihçesi  Tehdit Sınıflandırılması  2001 Bilişim Suçları  Yeni Milenyumda Güçlenen Tehditler  Güven ve Kişiye Özellik  Politika Temelli Erişim Kontrolü  ‘Toplam’ Güvenlik  Türkiye?

3 Copyright 2001, Computer Associates International, Inc Bilişim Suçları Tarihçesi: İLK’ler  1973 – Trojan tekniği: Stryker, Shore & Wilson-Deniz Kuvvetleri’ne ait Univac 1108  1982 – Worm: Xerox Palo Alto Araştırma Merkezi  1983 – Virüs: Fred Cohen  1983 – Hacker Grubu: Milwaukee 414’s  1986 – Kanun: Federal Computer Fraud and Abuse Act

4 Copyright 2001, Computer Associates International, Inc Bilişim Suçları Tarihçesi: İLK’ler  1986 – Yaygın Virüs: Pakistan çıkışlı BRAIN  1988 – Bomba Yazılım: Burleson 168,000 muhasebe kayıdını ayrılışından 6 ay sonra silmek için  1988 – DoS ve Bilgi İşlem Suçlusu: Robert Morris 6,200 Net bağlantılı UNIX bilgisayarı 1 haftaya kadar durdurdu, $100 milyondan fazla zarar verdi ve $10,000 ceza aldı  1990-92 – İlk Hacker savaşları: LOD/MOD

5 Copyright 2001, Computer Associates International, Inc BM tarafından tehditlerin sınıflandırılması KİŞİLERORGANİZE SUÇLAR ARAŞTIRMACI GRUPLAR YABANCI BİLGİ Anarşistler Virus Yazıcıları Amatör Hacker’lar Uyuşturucu Üçkağıtçılık Para Aklama İllegal Bilgi Toplama İllegal Göçmenler Pornografi Bilgi Broker’ları Araştırmacı Gazeteciler Baskı Grupları Hükümet ve Askeri istihbaratın yanında şirketler arası istihbarat da artıyor

6 Copyright 2001, Computer Associates International, Inc Bilişim suçluları sınıflandırılması  Amatör Hacker’lar  Sınırlı zararlı Hacker’lar  Bilgisayar ‘dahi’leri  Anarşistler  Finansal kazanç avcıları  Ticari zararlı kiralık Hacker’lar  Politik anarşistler  Internet teröristleri

7 Copyright 2001, Computer Associates International, Inc 2002’deki Bilişim Suçları ve Bazı Gerçekler  Şirketlerin %90’ı yaşadıkları ataklar sonucu son 12 ayda sistemlerinde güvenlik açığı tespit etmişler  Saldırıların %80’i parasal kayba uğruyor ve ortalama kayıp sürekli artıyor  Dışarıdan atağa uğrayanların oranı %40  DoS atağına uğrayanların oranı %40 Kaynak: CSI/FBI Survey, 2002

8 Copyright 2001, Computer Associates International, Inc 2002’deki Bilişim Suçları ve Bazı Gerçekler  Kullanıcılarının yanlış Internet kullanımı gerçekleşenlerin oranı %78  Virüs saldırısına uğrayanların oranı %85  Web sitesinde yetkisiz erişim ve kullanıma rastlayanlar %35  Ancak bu ataklar için yasal işlem başlatan sadece %34 Kaynak: CSI/FBI Survey, 2002

9 Copyright 2001, Computer Associates International, Inc Birçok Atak Noktası  Web saldırıları/politik içerik değiştirme  Distributed Denial of Service (DDOS)  Bilgi hırsızlığı  Finansal tehdit  Virus ve diğer zararlı kod enfeksiyonları

10 Copyright 2001, Computer Associates International, Inc 2002’deki Bilgi İşlem Suçları ve Bazı Gerçekler Kaynak: CSI/FBI Survey, 2002

11 Copyright 2001, Computer Associates International, Inc Yeni Milenyumda Güçlenen Tehditler: Otomasyon, Atak Araçlarının Hızı  İleri teknikler  Açıkları bulduğu anda faydalanmak  Kendini tetikleyebilme ve yayılma  Koordinasyon

12 Copyright 2001, Computer Associates International, Inc Güçlenen Tehditler: Atak Araçlarının Artan Karmaşıklığı  Hızla değişen teknikler  Reverse engineering yapılma gerekliliği  Dinamik davranış  Modüler yapı  Farklı işletim sistemlerinde bacaklar

13 Copyright 2001, Computer Associates International, Inc Güçlenen Tehditler: Güvenlik Açıklarının Daha Hızlı Keşfi  Yeni açıklar  Patch sayısı  Yeni güvenlik açığı sınıfları  Korsanların hızı

14 Copyright 2001, Computer Associates International, Inc Güçlenen Tehditler: Firewall Ürünlerinde Esneklik  Bypass teknolojisi  ‘Firewall friendly’  ActiveX, Java ve JavaScript

15 Copyright 2001, Computer Associates International, Inc Güçlenen Tehditler: Artan Oranda Asimetrik Ataklar  Güvenlik zinciri  Asimetrik ataklar

16 Copyright 2001, Computer Associates International, Inc Güçlenen Tehditler: Altyapı Ataklarının Artması  Yüksek bağlantı – Düşük güvenlik  Solucanlar  Top Level DNS Sunucularına Ataklar -Cache zehirlemesi (TLD’lerin %80’i açık) -Veri değiştirilmesi/BIND (%20 açık) -DoS -Domain hijacking  Router’lar

17 Copyright 2001, Computer Associates International, Inc İnsan Kaynaklı İç Tehditler  Kulak misafirliği  Bilgi değiştirme  Sistem çökertme veya kırma  Hacking yazılımları, örn. Trojan Horse  Hırsızlık  Saklama ortamlarının yetkisiz erişimi  Trafik ayrıştırması  Sosyal Mühendislik  Kullanıcıların basit hataları  İşten ayrılan kişilerin kötü niyetli davranışları

18 Copyright 2001, Computer Associates International, Inc Zaman Yüksek Düşük Yeni teknolojileri n satın alınması Yeni teknolojiyi güvenli kılabilme yetisinin kazanılması Tehlike Bölgesi Teknoloji/Güvenlik Gecikmesi

19 Copyright 2001, Computer Associates International, Inc Kritik Güvenlik Maddeleri - Devameden  Güven  İşortaklarının kimlik bilgileri  İnkar edilememezlik  Kişiye Özellik  Veri yakalanması ve spoofing’in önlenmesi

20 Copyright 2001, Computer Associates International, Inc  Yönetim  Birçok farklı ortamdaki çok sayıda kullanıcının yönetimi  Tutarlılık  Teftiş  Güvenlik politikasının güncel tutulması Kritik Güvenlik Maddeleri - Yeni

21 Copyright 2001, Computer Associates International, Inc Gerçek Güvenlik Nasıl Olmalı  Güvenlik sadece ürün satın almak değildir  Fiziksel, İşlemsel, Personel  eİş yönetimi için güvenlik anahtardır  Gizlilik, Entegrasyon  Güvenlik hazırlığı işakışı devamlılık planının bir parçasıdır  Erişilebilirlik

22 Copyright 2001, Computer Associates International, Inc eİş Güvenlik Denetimi

23 Copyright 2001, Computer Associates International, Inc Güvenlikte En İyi Deneyimler Metodu Güvenlik Çözümleri  Şirketlerin güvenlik uzmanlığına ve süregiden güvenlik açığı takibine ihtiyacı var Entegrasyon  Varolan güvenlik ve yönetim altyapısıyla tam uyumluluk Güvenlik Görüntülemesi  Kurumsal güvenlik görüntülemesi ve kontrol yöneticilere kolay karar verme şansı tanır Yöneticiler  Yöneticiler artıkişlerine uygun güvenlik politikalarını hayata geçirebilir

24 Copyright 2001, Computer Associates International, Inc Kapsamlı Entegre Güvenlik Çözümü

25 Copyright 2001, Computer Associates International, Inc eİş Güvenlik Çözümleri

26 Copyright 2001, Computer Associates International, Inc Savunma Eğilimleri Firewall VPN Intrusion Detection Web Usage Control Mail Scanning Router TüketicilerKurumDemiliterize Bölge ISP Antivirus

27 Copyright 2001, Computer Associates International, Inc eİş Güvenlik Çözümleri

28 Copyright 2001, Computer Associates International, Inc Güvenli Erişim - Bugün Web Erişimi İç Kullanıcı Erişimi İşortakları/MüşterilerÇalışanlar İşkolu gruplarıBilgi İşlem YönetimiAlıcılar

29 Copyright 2001, Computer Associates International, Inc Güvenli Erişim - Gelecek eİş YönetimiExtranet/Mobility Gereksinimleri Bilgi İşlem Yönetimi Web Erişimiİç Kullanıcı Erişimi İşortakları Müşteriler Çalışanlar

30 Copyright 2001, Computer Associates International, Inc Erişim LDAP Server PKI OCSP Responder Web Access Control Intranet Sunucusu Kullanıcı Veritabanı Ve Erişim Kontrol Veritabanı Uygulama Sunucusu Kullanıcı Veritabanı Ve Erişim Kontrol Veritabanı Kullanıcı Veritabanı Ve Erişim Kontrol Veritabanı Web Sunucuları Web Erişimiİç Erişim

31 Copyright 2001, Computer Associates International, Inc eİş Güvenlik Çözümleri

32 Copyright 2001, Computer Associates International, Inc Yönetim  Tüm sistem ve uygulamalara erişimin politika tabanlı yönetimi  Güvenlik politikası yönetimi  Kullanıcı gerekliliklerinin basitleştirilmesi, örn. Tek id-pwd, akıllı kartlar, vs.  Olay ve problemlerle ilgilenilmesi ve korele edilmesi  Sistemlerin politikaya uygunluğunun periyodik takibi

33 Copyright 2001, Computer Associates International, Inc Yönetim Log TeftişiHost IDS Güvenlik Açığı Belirlenmesi Network IDS Kullanıcı Yönetimi Firewall Monitoring Antivirus Operational Teftiş Güvenlik Yönetimi

34 Copyright 2001, Computer Associates International, Inc Örnek Alarm sorumlu gruba iletilir Güvenlik açığı belirlenir Çözüm belirlenir ve uygulanır

35 Copyright 2001, Computer Associates International, Inc Genişletilmiş Yönetim

36 Copyright 2001, Computer Associates International, Inc Yeni Nesil Mimarinin Faydaları  Kapsam  Benzersiz Entegrasyon  Genişletilmiş Kurumun Merkezi Yönetimi Daha Düşük Sahip Olma Maliyeti Daha İyi Risk Yönetimi

37 Copyright 2001, Computer Associates International, Inc 12% Symantec 10% Network Assoc. 9% Checkpoint 8% IBM 7% Trend Micro 4% ISS 3% Diğer 44% Güvenlik Yazılımı Pazar Payları Source: IDC, 2001 WWInternet Security RSA Security 4% Computer Associates

38 Copyright 2001, Computer Associates International, Inc Bu suçlar Türkiye’ye uzak!!!  Bu işler daha çok Amerika’da, Avrupa’da olur. Bunlar Türkiye’ye gelene kadar, ooooo!!!

39 Copyright 2001, Computer Associates International, Inc Yanlış!!!!!!! Kaynak: Riptech, Ocak 2002

40 Riskin Değişen Yüzü: Yeni Milenyum’da Güvenlilk Tarkan Kadıoğlu