Sızma testi, bir saldırganın saldırısını simüle ederek bilgisayar sistemlerinin veya ağlarının güvenliğini değerlendirme yöntemidir. Kimine göre hobi, kimine göre iş, kimine göre yaşam tarzıdır.
Genel olarak bilgi sistemlerinin ve özel olarak güvenlik araçlarının tipik açıkları ve yapılandırma hataları, etik bir hacker’ı aynı eylemleri tekrar tekrar yapmaya, aynı hareketleri tanımlamaya ve müşterilerine aynı tavsiyeleri vermeye zorlar. Her bir firmanın bilgi sistemleri mimari açıdan benzersizdir, ancak özünde bileşen kümesi aynıdır ve hatalar kümesi de çok benzerdir. Herkes çeşitli tehditlere aşinadır, ancak çok az kişi pratikte nasıl uygulandıklarını hayal eder bunu pratikte bilgi güvenliğinin temellerini düzenleyenlerin anlamaması ise üzücüdür.
Bu yüzden Bilgi güvenliği departmanı olan büyük kuruluşların kesinlikle gelişimine yatırım yapması gerektiğine inanıyoruz. Örneğin, Saldırı Güvenliği kurslarında zorunlu eğitim aldırma ve ardından sınavları geçme gibi. Üç çalışanın hazırlıksız senaryolara karşı eğitimi ve zamanlarını bir organizasyonun ilk sızma testini yapmak için ayırması eğitici olacağı gibi canlı deneyimi olmayan çalışanlar tarafından penetrasyon testi ve sonuçların analizi sipariş etmekten biraz daha ucuza mal olabilir. Sonuçta, bu, etik bir bilgisayar korsanı için penetrasyon testinin bir rutin haline gelmeyeceği ve her müşterinin yeni bir meydan okuma olacağı gerçeğine yol açacaktır. Her zaman senden bir adım daha önde isteyen bir rakiple oynamak çok daha ilginçtir. Rahatlamanıza izin vermez, sizi teşvik eder, sizi bu konuda daha iyi yapar, gelişmenize yardımcı olur.
Bugün, çoğu Bilgi Güvenliği çalışanı için tipik olan ve dahili sızma testi sırasında etik bilgisayar korsanları tarafından aktif olarak kullanılan bazı güvenlik açıklarına bakacağız. Yine mühendislerin kritik güvenlik açıklarını kapatmak için kullanabilecekleri yönergeler sunacağız, bu da yalnızca etik korsanların değil, gerçek saldırganların da işini zorlaştırıyor. Şimdi bu hatalara ve önerilere bakalım.
1- Zayıf şifre politikası
Basit parolalar, etik bir bilgisayar korsanının çoğu kurumsal kaynağa, genellikle ayrıcalıklı olanlara erişmesine izin verir. Sıradan bir kullanıcının haklarıyla sunucuya erişim, cihazını iyi tanımayı mümkün kılar. Çoğu durumda, dizin hizmetine bağlı hizmetlerde daha kritik güvenlik açıklarından yararlanmak için sıradan bir kullanıcı hesabı gerekli verilerdir.
Hassas bileşenler
Dizin hizmeti (Active Directory, Lotus Domino, LDAP, Novell ve diğerleri).
Alınabilecek önlemler
Şifre değişikliklerinin minimum uzunluğu, karmaşıklığı ve sıklığı için kurallar oluşturulmalıdır. Sözlük kombinasyonlarını kullanma ihtimali ortadan kaldırılmalıdır. Örneğin minimum uzunluk sekiz karakter, büyük ve küçük harf, sayı, özel karakter kullanımı zorunlu olmalıdır. Şifre geçmişini tutmak ve en az son üç şifrenin kullanımını yasaklamak gerekirken, minimum şifre süresi en az bir gün ve maksimum 60 günden fazla olmamalıdır.
Not: Konu yazı dizisi şeklinde devam edecektir.
