Bilgisayar Sistemlerindeki Tehditler

Bu günlerde banka soygunlarını nadiren duyarsınız. Eskiden vahşi batıda bankalar büyük miktarda nakit para, altın ve gümüş bulundururdu. Nakit para, çeklere oranla daha sık kullanılırdı. Haberleşme ve taşımacılığın durumu kanun güçlerinin soygunu saatler sonra haber almasını ve suç mahalline günler sonra varabilmesine yetiyordu ve soyguncular da çoktan kaybolmuş oluyorlardı. Geceleri bir bekçi bulundurmanın
sınırlı bir etkisi vardı. Soygunculuk biraz içgüdü ve durumun bir kaç günlük analizini gerektiriyordu fakat komplike bir eğitim gerektirmiyordu. Bütün bu faktörler banka soygununu karlı bir hale getiriyordu.

Bugün, tam tersine, pek çok faktör potansiyel suçlunun aleyhine çalışıyor. Çok gelişmiş alarm sistemleri etrafta biri olsun yada olmasın bankaları sessizce koruyor.
Suç araştırma teknikleri bir suçlunun parmak izinden, sesinden, taslak resminden, balistik kanıtlardan yada diğer karakteristiklerinden yakalanabilmesini sağlayarak çok etkili hale geldi. Çoğu banka şubelerinde bankanın işlemleri çeklerle
gerçekleştirildiği için bazı büyük satış merkezlerinden daha az nakit para bulunuyor.
Büyük miktarda nakit para veya döviz bulunduran yerler çeşitli güvenlik katmanlarıyla korunuyorlar: Çeşitli fiziksel sistem katmanları, karmaşık kilitler, erişim için iki kişiye gerek duyan sistemler ve daha pek çok tasarım korumada kullanılıyor. Taşımacılık ve haberleşme polisin suç mahalline dakikalar içinde
varabilmesini ve diğer yetkilileri suç hakkında saniyeler içerisinde uyarabilmesini sağlayacak şekilde gelişti. Risk ve gereken uzmanlığın yüksek seviyede olması sıradan bir suçluyu bankalardan farklı hedefler seçmeye itiyor.

Yazımızın konusu bilgisayar sistemleri güvenliği, bankalar değil ama aradaki fark ve benzerlikleri zaman zaman belirteceğiz. İnsanların bilgisayar sistemlerini nasıl koruduğunu ve bankaların parayı nasıl koruduğunu düşünün:

Boyut ve taşınabilirlik. Bilgisayar sistemlerindeki fiziksel cihazlar o kadar küçüktürki binlerce dolar değerindeki bir sistem bir çantaya sığabilir ve 10binlerce dolarlık bir sistem iki el ile rahatça taşınabilir.
Fiziksel kontak gerektirmeme. Bankalar arası para transferlerinde hesaplara elektronik fon transferleri kullanılır. Örneğin, pek çok özel şirket çalışanlarına çek yerine direk olarak bilgisayar transferi ile öderler. Sigorta şirketleri ve benzeri firmalar müşterilerinin banka hesabından otomatik olarak kesinti yapabilirler. Müşteriler evlerinden bile bir bilgisayar ile hesapları arasında para transferi gibi bankacılık işlemleri yapabilirler.
Mülklerin değeri. Bir bilgisayarın içinde depolanan bilgilerin değeride yüksektir. Bazı bilgisayarlar birisinin vergiler, yatırımları, tıbbi bilgileri veya eğitim bilgileri gibi gizli bilgiler içerebilir. Yine bazı bilgisayarlar yeni ürünler hakkında, satış rakamları, pazarlama stratejisi gibi veya ordu hedefleri, askeri hareketler, silah özellikleri gibi önemli bilgiler içerebilir.


Güvenlik konusunda, bilgisayar sistemleri kullanımı eski vahşi batı günlerine benzerlik göstermektedir. Bazı kurulumlar bilgisayarları ve içerdiği verileri değerli ve hassas kaynaklar olarak değerlendirir ve uygun koruma işlemlerini uygular.
Diğer kurulumlar ise güvenlik önlemlerinde çok yetersizdir. Fakat 'vahşi batı' bankacılarından farklı olarak bazı bilgisayar sistemleri profesyonelleri ve yöneticileri kullandıkları yada yönettikleri kaynaklarının değerinin farkında değillerdir. Bu
korumadaki başarısızlığın ardında bilgisayar kullanımındaki bilinçsizlik yatmaktadır (telefon ağları veya bankacılık-finans servisleri komplekslerinde olduğu gibi).

Daha da kötüsü, suç olayında, bazı firmalar toplum içindeki imajlarının zarar göreceğini düşünerek araştırma yapmıyor veya suç duyurusunda bulunmuyor.
Örneğin, bilgisayar ile zimmete geçirme işlemi ile 5 milyon dolar kaybeden bir bankaya para yatırırken güvende hissedermiydiniz? Gerçekte banka zarar görererek güvenlik zayıflıklarının farkına varmıştır ve güvenliğini önemli ölçüde
arttırarak çabucak bu tip bir vaka yaşamamış bir bankadan çok daha güvenli hale gelecektir. Suç araştırma ve yargılamanın elektromanyetik sinyalleri mülk olarak tanımama gibi bir engeli vardır. Haber medyası da bazen genç bilgisayar
korsanlarının yaptıklarını muzip şakalar olarak değerlendirir.

Bilgisayar sistemlerinde güvenliğin çok önemli olduğu açıktır. Bilgisayar profesyonellerinin, yöneticilerin ve hatta kullanıcıların eğitilmesi gereken bir alandır. Bu yazı tüm bu kişiler için yazılmıştır. Bu yazıyı okuyarak bilgisayar sistemlerindeki güvenlik problemlerinin neler olduğunu ve bu problemlerin
üstesinden gelmek için hangi metodların mevcut olduğunu öğreneceksiniz.
Bu yazının amacı:

Bilgisayar sistemlerindeki riskleri inceleme
Mevcut önlem ve kontrollerin incelenmesi
Farkedilmemiş güvenlik açıkları hakkında düşünceler uyandırmak
Daha fazla işlem gerektiren alanların tanımlanması

Bu bölümde 'Ne' sorusu ile başlıyoruz: Bilgisayar sistemlerinin karşı karşıya olduğu güvenlik açığı tipleri. Sonra bu açıkların 'Nasıl' exploit edildiğini inceliyoruz:
mümkün olan farklı saldırı tipleri. Bu bölümde inceleyeciğimiz üçüncü alan 'Kim':
Bilgisayar sistemlerinde probleme sebep olan insan tipleri. Son olarak 'kontroller'i inceliyoruz: sistemlere yapılan saldırıları önleme yolları.

1.1 Bilgisayara izinsiz girme karakteristikleri
Bilgisayarlarla ilgili suçlarda hedef bilgisayar sisteminin herhangi bir parçası olabilir.
Bir bilgisayar sistemi donanım, yazılım, depolama medyası, veri ve bir organizasyonun hesaplama işlemlerinin yapılmasında kullandığı insanlardan oluşur.
Bir banka soygununun açıkça görülen hedefi nakit para olsa da, rakip bir banka için mudilerin isim ve adresleri listeside önemli olabilir. Liste bir kağıt üzerinde olabilir, manyetik medya üzerine kaydedilmiş olabilir, bilgisayarın iç hafızasına kayıtlı olabilir veya telefon hattı gibi bir medya üzerinden elektronik olarak transfer
ediliyor olabilir. Hedeflerin çeşidi bilgisayar güvenliğini zorlaştırır.
Her güvenlik sisteminde 'en zayıf nokta' en ciddi güvenlik açığıdır. Evinizden birşey çalmak isteyen bir hırsız pencereden daha kolay giriş yapabiliyorken 10 santim kalınlığındaki metal kapıyı denemeyecektir. Komplike çevrede bir fiziksel güvenlik
sistemi telefon hattı ve bir modem ile korunmasız erişimin karşılığını veremez. 'En zayıf nokta' felsefesi aşağıdaki ilkeye göre tanımlanabilir:
En kolay giriş ilkesi: Bir saldırganın sisteme girmek için mevcut herşeyi kullanacağı düşünülmeli. Bunun en açık yollarla ya da en katı savunma kurulu sisteme karşı olması gerekmiyor.
Bu ilkeye göre bilgisayar güvenliği uzmanlarının sistemlere izinsiz girişte tüm muhtemel yolların deneneceği düşüncesini akıllarından çıkarmaması gerekmektedir.
Bir yolu zorlaştırmak saldırgan için bir diğerini daha cazip hale getirecektir. Şimdi bu izinsiz giriş yollarının neler olduğunu göreceğiz.

1.2 Güvenlik aşımı tipleri
Güvenlikte 'korunmasızlık' (exposure) bilgisayar sistemindeki bir kayıp yada zarar şeklidir. Korunmasızlığa örnek olarak verinin yetkisiz görüntülenmesi, verinin değiştirilmesi veya yasal erişimin engellenmesi verilebilir. Bir 'Güvenlik Açığı' güvenlik sistemindeki, kayıp yada zarar vermek için kullanılabilecek (exploit edilebilecek) zayıflıkdır. Bir güvenlik açığından yararlanan birisi sisteme saldırı gerçekleştirir. Bilgisayar sistemlerine olan tehditler kayıp yada zarara yol
açabilecek durumlardır. İnsan saldırıları, doğal afetler, kasıtsız insan hataları ve dahili donanım ve yazılım kusurları tehditlere örnek olarak verilebilir. Son olarak, kontrol bir korunma önlemidir. Zayıflığı azaltan bir işlem, cihaz, prosedür veya
teknik buna örnek olarak verilebilir.
Bilgisayar sistemlerindeki başlıca mülkler donanım, yazılım ve veridir. Bir bilgisayar sisteminin güvenliğine 4 adet tehdit vardır: (yarıda) kesme (interruption), araya girme (intercept), değiştirme (modification) ve fabrikasyon (fabrication). Bu
dört tehdit bilgisayar sistemlerindeki tüm zayıflıklar için geçerlidir.

Kesme durumunda sistemin bir mülkü kaybolur veya kullanılamaz duruma gelir. Örnek olarak, bir donanım cihazının kötü amaçlı tahrip edilmesi, bir program yada veri dosyasının silinmesi veya işletim sistemi dosya yöneticisinin işlevini göremeyip belirli bir disk dosyasını bulamaması verilebilir.
Araya girme (interception), yetkisiz bir partinin bir mülke erişim kazanmasıdır. Bu harici parti bir kişi, program veya bilgisayar sistemi olabilir. Bu tip hatalara örnek olarak program yada veri dosyalarının yasadışı kopyalanması veya ağdaki bilgiyi elde etmek için kablo-dinleme (wiretapping) verilebilir. Bir kayıp çok çabuk farkedilecek olsa da sessiz bir araya girici arkasında hiçbir iz bırakmayabilir.

Yetkisiz bir parti sadece erişmekle kalmayıp bir mülkte değişiklik yaparsa bu tehdit değiştirme (modification) olarak adlandırılır. Örneğin birisi veritabanındaki değerlerde değişiklik yapabilir, bir programı ek işlemler yapacak şekilde değiştirebilir veya elektronik olarak transfer edilen bir veriyi değiştirebilir. Donanımı modifiye etmek dahi mümkündür. Bazı değişiklikler basit korunmalarla saptanabilir fakat bazı değişiklikleri saptamak nerdeyse imkansızdır.
Son olarak, yetkisiz bir parti bilgisayar sisteminde sahte objeler yaratabilir. Saldırgan bir ağ haberleşme sistemine sahte transferler yerleştirebilir veya varolan bir veritabanına kayıtlar ekleyebilir. Bazen bu eklentiler sahtekarlık olarak saptanır fakat ustaca yapıldığında gerçeğinden ayırmak sanal olarak mümkün olmayabilir.
4 tehdit sınıfı - Kesme, Araya girme, değiştirme ve fabrikasyon- olabilecek korunma eksikliği çeşitlerini tanımlar. Problemler sonraki bölümde tanımlanıyor.
1.3 Güvenliğin amaçları ve zayıflıkları

Bu bölümde güvenli bilgisayar işlemlerinin amaçlarını ve bilgisayar profesyonellerinin bu amaçlara ulaşmada karşılaştığı zayıflıkları inceyeleceğiz.
Güvenliğin amaçları
Bilgisayar güvenliği 3 karakteristiği sağlamakla gerçekleşir: gizlilik (confidentiality), bütünlük (integrity) ve mevcudiyet (availablity).
Gizlilik (Confidentiality) bir bilgisayar sisteminin mülklerine sadece yetkili tarafların erişebilmesidir. Erişim tipi okuma-tipi erişimdir: okuma, görüntüleme, yazdırma veya sadece nesnenin var olduğunu bilmek. İngilizce karşılığı olarak bazen 'secrecy' ve 'privacy' de kullanılır.
Bütünlük (Integrity) mülklerde sadece yetkili tarafların yada yetkili yollarla değişiklik yapılabilmesidir. Bu bağlamda değişiklik yapma, yazma, değiştirme, durumunu değiştirme, silme ve yaratmayı içerir.
Mevcudiyet (Availability) mülklerin yetkisi olanlar tarafından erişilebilir durumda olması demektir. Yetkisi olanların, erişim iznine sahip oldukları nesneye erişimleri engellenmemelidir. Örneğin, bir güvenlik sistemi herkesin belirli bir objeyi okumasını engelleyerek mükemmel gizliliği koruyabilirdi. Fakat bu sistem düzgün erişim için mevcudiyet gereksinimlerini karşılamıyor. Mevcudiyet bazen karşıtı olan DoS (denial of service - servis kullanımı engelleme) ile birlikte anılır.
Bu üç nitelik bazen örtüşebiliyor. Örneğin güçlü koruma ve gizlilik mevcudiyeti önemli derecede kısıtlayabilir. Bilgisayar güvenliği çoğunlukla figür 1-2 deki gibi gösterilir ve bu figürdede görüldüğü gibi bu üç nitelik birbirinde büyük ölçüde bağımsızdır fakat bazen örtüşmektedir.
fig 1-2
Gizlilik
Gizlilik adındanda kolayca anlaşıldığı gibi sadece yetkili kişilerin korunan veriyi görebilmesidir. Fakat, kimin 'yetkili' olduğuna kim karar veriyor? bir tek bit`i 'görmeyi' ne belirliyor? içerik dışındaki parçalar? gibi problemler söz konusu.
Gizlilik anlamı diğer ikisinden daha dar olduğu için ve gerçek dünyada gizliliği korumakla ilgili iyi örnekler olduğundan dolayı en iyi anlaşılan güvenlik niteliği.
Bütünlük
Bütünlüğün belirlenmesi daha zordur. Welke ve Mayfield [WEL90, MAY91, NCS91B] in belirttiği gibi, bütünlük farklı bağlamlarda farklı şeyler ifade eder. Bütünlüğün bazı anlamları
kesin, doğru
tam
değiştirilmemiş
sadece kabul edilir yollarla değiştirilebilir
sadece yetkili kişiler tarafından değiştirilebilir
sadece yetkili işlemler tarafından değiştirilebilir
tutarlı
dahili olarak tutarlı
anlamlı ve doğru sonuçlar
Aslında bütünlük kelimesini kullananlar bunların hepsini içermek istiyor.
Welke ve Mayfield bütünlüğün üç durumunu tanımlar: yetkili işlemler, kaynakların ayrılması ve korunması, hata saptama ve düzeltme. Bütünlükde tıpkı gizlilikde olduğu gibi uygulanabilir: Hangi kaynaklara kimlerin hangi yollarla eriştiğinin sıkı kontrolü. Bütünlüğün bazı tiplerinin gerçek hayatta karşılığı vardır ve bu karşılıklar bilgisayar ortamlarına uygulanabilir. Fakat bütünlüğün tüm yorumları bilgisayar ortamında iyi yansıtılamaz.

Mevcudiyet
Mevcudiyet benzer olarak karmaşıktır. Mevcudiyet hem veri için hemde servis (bilgisayar kaynaklarına erişim) için geçerlidir. Mevcudiyetin gereklilikleri:

nesne veya servisin kullanılabilir durumda varlığı
servis ihtiyaçlarını karşılayacak kapasite
ilerleme: sınırlı bekleme süresi
servisin yeterli zamana sahip oluşu

mevcudiyetin amaçları:

zamanında cevap
doğru/haklı paylaşım
hata toleransı
faydalanma ve kullanım (amaçlandığı gibi kullanım)
kontrollü uyumluluk: simultane erişim desteği, özel erişim.


Güvenlik toplumu mevcudiyetin ne anlama geldiğini ve nasıl garanti edileceğini anlamaya başladı. Gizliliğin ve bütünlüğün korunması için, erişimin küçük ve merkezi kontrolü temel fakat tek bir erişim kontrolü noktasının mevcudiyeti garantilemesi kesin değil. Bilgisayar güvenliğindeki başarıların çoğu gizlilik ve bütünlük alanlarındadır. Mevcudiyetin korunması ilerki bir tarihe kadar pek mümkün görünmüyor.

Zayıflıklar
Zayıflıkları düşündüğümüzde bu üç güvenlik amacını tersine çeviriyoruz. Zayıflıklar sistem kaynaklarının üç ana kategorisi (donanım, yazılım ve veri) ile ilgili. Figür 1-3 bu zayıflıkların donanım, yazılım ve veri ile alakasını görüntülüyor. Bu üç mülk ve aralarındaki bağlar güvenliğin potansiyel zayıf noktalarıdır.
Aşağıda bu üç bilgisayar sistemi mülkünün her birinin zayıflıkları anlatılıyor.

Donanımda karşılaşılan tehditler
Fiziksel bir cihaz açıkça görünür olduğu için saldırı için basit bir noktadır fakat genelde yeterli koruma önlemleri alınır. Bilgisayarlar su, ateş, gaz ve elektrik şoklarından etkilenir. İnsanlar bilgisayar cihazları üzerine içecek, mısır cipsi, ketçap, bira ve diğer yiyecek çeşitlerini dökerler. Fareler kabloları kemirir. Toz parçaları, özellikle sigara dumanındaki kül parçacıkları hareketli parçalar için bir tehdittir. Bilgisayarlara çarpılır, tekme atılır, vurulur. Tüm bu kötü kullanım 'isteksiz makine katliamı' kategorisine girer: donanıma ciddi hasar vermesi amaçlanmayan, kazara gerçekleşen olaylar.
Birisinin gerçekte bilgisayara zarar vermek istediği daha ciddi bir saldırıya 'gönüllü makina katliamı' veya 'machinicide' adı verilebilir. Bombalar, yangınlar ve patlamalar bilgisayar odalarını yokeder. Sıradan anahtarlar, kalemler ve tornavidalar makinenin kartlarında kısa devre yapmada kullanılır. Makineler hırsızlar tarafından çalınabilir. Bilgisayarlara insanların yaptıkları saldırıların listesi saymakla bitmez.
Her durumda insanlar mevcudiyeti sınırlamak için bilgisayar malzemelerine saldırırlar. Hırsızlık ve tahrip etme ana tekniklerdir. Bazı bilgisayar merkezlerinin yöneticileri uzun zaman önce makinelerinin zayıflığının farkına vardı ve onları korumak için fiziksel güvenlik sistemleri kurdular. Mikrobilgisayarların ofislere girmesi ile insanlar birkaç bin dolarlık malzemeyi masaları üzerinde buldular. (Malzeme dolabında ise meraklı olanların keşfettiği gibi birkaç yüz dolarlık kalem, ataç vs vardı ve genelde kilitliydi.) Bazen donanım güvenliği kilit ve koruyucular gibi basit önlemler ile büyük ölçüde artırılabilir.

Yazılımda karşılaşılan tehditler
Bilgisayar malzemeleri kullanıcılara gerekli olan yazılımlar (işletim sistemi, programlar, uygulamalar) olmadan değersizdir. Yazılım kötü amaçlı olarak tahrip edilebilir, değiştirilebilir, silinebilir veya kaza ile değişikliğe maruz kalabilir. Sonuç aynıdır, fakat, sebep ne olursa olsun: yazılımda bir kayıp birisi onu çalıştırmaya kalktığında anlaşılır. Bu saldırıların hepsi yazılım mevcudiyetindeki problemlerdir.
Çalışan fakat değişiklik yapılmış bir yazılım da tehlikelidir. Fiziksel malzemede genelde bir hasarın izleri gözle görülür fakat programın nesne veya kaynak kodundaki bir satırdaki değişiklik kolayca farkedilmeyebilir. Dahası, bir programı daha önceden yaptığı herşeyi yapacak ve ekstra işlemlerde yapacak şekilde değiştirmek mümkündür. Bu durumda yazılımın değiştiğini farketmek zor olabilir.

Yazılım silme Yazılımları silmek şaşırtıcı derecede kolaydır. Büyük ihtimalle her programcı kaza ile bir dosyayı silmiştir yada önceki düzgün kopyası üzerine programın kötü bir kopyasını kaydetmiştir. Ticari bir bilgisayar merkezinde yazılımın yüksek değeri sebebiyle yazılıma erişim 'konfigürasyon yönetimi' adı verilen bir işlem ile dikkatlice kontrol edilir ve böylece yazılım silinmez, yokedilmez veya kaza ile değiştirilmez.

Yazılımda değişiklik Bu saldırı çalışan bir programda, ya çalışma sırasında başarısız olması için yada normalde istenmeyen bir işlemi yapması için değişiklik yapılmasıdır. Yazılımda değişiklik yapmak kolaydır: tek bir bit`inde yapılan değişiklik programın çalışmasını durdurabilir. Hangi bit`in değiştirildiğine bağlı olarak program başladığında çökebilir yada hata verdikten sonra çalışabilir.

Küçük bir çalışma ile, değişiklik daha kurnazca olabilir ve programın çoğu zaman düzgün çalışması ve özel bazı durumlarda başarısızlığa uğraması sağlanabilir. Bu tip bir değişiklik 'logic bomb' (mantık bombası) adı verilen bir program etkisine yol açabilir. Örneğin, canı bazı şeylere sıkılan bir çalışan bir programın sistem tarihini düzenli kontrol edip 1 haziranda durmasını sağlayacak şekilde değişiklik yapabilir. İşçi 1 mayısda işten çıkıp 1 haziranda yeni işinde olmayı planlıyor olabilir.
Diğer bir tip değişiklikte programın çalışmasına eklenti yaparak zararsız programın gizli bir yan etkiye sahip olması sağlanabilir. Örneğin, görünürde bir kullanıcıya ait dosyaları listeleyen bir program aynı zamanda o dosyalara erişimde başka bir kullanıcıyada erişim sağlayacak şekilde değişiklik yapıyor olabilir.
Yazılım değişiklikleri kategorisi aşağıdakileri içerir:

bir truva atı (trojan horse) programı, görünürde bir işi yaparken gizlice başka işler yapan bir program.
bir virüs, truva atıın spesifik bir tipi, etkilemeyi bir bilgisayardan diğerine yaymada kullanılabilir.
bir arkakapı, gizli giriş noktası bulunan bir program.
bir programdaki bilgi sızması, bilgiye istenmeyen kişi veya programların erişmesini sağlar.


Tabiki yeni bir program keşfedip bunu bilgisayar sistemi üzerine kurmak mümkün. Kurulu olan ve çalışan programların düzgün yapılmayan kontrolü bu tip bir güvenlik açığınıda ortaya çıkarabilir.

Yazılım hırsızlığı Bu saldırı yazılımın yetkisiz kopyalanmasını içerir. Yazılımı hazırlayanlar, müzisyenler e kitap yazarları gibi, ürünlerinin karşılığını haklı bir şekilde almak isterler. Fakat yazılımların yetkisiz kopyalanması durdurulamadı.