Kurumsal Ağ Güvenliği
Sistem ve ağ güvenliği politikaları, kurum ağında ve sistemlerde oluşabilecek hadiseleri yetkili/güvenli ve yetkisiz/güvensiz olarak ikiye ayıran yazılı kurallara denir. Güvenlik politikalarında gizlilik, bütünlük
ve erişebilirlik prensipleri bütün halinde ele alınmaktadır. Kurumsal güvenlik politikalarının amaç ve esasına gelecek olursak,
kurum bünyesindeki, bilişim kaynaklarının güvenli bir şekilde nasıl kullanılması gerektiğini belirten bir plan sunmakta ve kurumun
veri güvenliğini tehdit edebilecek durumlara karşı geçebilmek için izlenmesi gereken kuralları belirlemektedir.
Bu ağ güvenlik politikalarında, yalnızca kurum haricinde gelebilecek güvenlik tehditlerinden değil, kurumun içinden gelebilecek hertürlü
güvenlik tehditleri de ele alınmalı ve güvenliği bütün halinde değerlendirmeye alınmalıdır.
Günümüz teknolojisinde bilişimin yaygınlaşması, gelişmesi ve internet kullanımının yaygınlaşması, kurumlar için sistem ağlarının ve sunucularının
güvenliğinin sağlanabilmesi önemli bir husus haline gelmiştir. Üniversiteler, kampüs ağlarını daha güvenli ve kararlı bir duruma getirebilmek için
yüksek meblada yatırımlar yapmaktadır. Bu amaçla alınan güvenlik cihazları, genellikle kurum dışından gelen saldırıları engellemek maksadıyla kullanılmakta ve kurum içi ağ güvenlik koruması ve kontrolü dikkate alınmalıdır. Dolayısıyla ağ güvenliğini topluca ele alan bütünleşik bir kalkan sistemi oluşturulmalıdır. Güvenlik politikalarının oluşturulması, ağ güvenliğinin sağlanması, hazırlanmış olan politikaların uygulamaya konulması ve güvenlik duvarı politika yönetimi sistemlerinin kullanımı gibi konularda yapılan testlerde, ağ güvenliğini sağlamasında güvenlik politikalarının merkezi ve önemli bir rol oynadığı aşikardır.
Şimdi güvenlik ile ilgili temel kavramların tanımlarına göz atacağız, temel kavramların açıklanmasından sonra güvenlik politikasına değineceğiz.
Kavramlar
Bunları üç temel prensibe ayırabiliriz, gizlilik, bütünlük ve erişilebilirlik kavramları ile ağ ve sistem güvenliğinde yaygın olarak kullanılan kimlik denetimi, inkâr edememe, günlük kayıtları ve izlenebilirlik, şimdi kavramların tanımına geçelim.
- Erişilebilirlik (Availability): Bilginin sürekli ulaşılabilir ve kullanılabilir olması içindir. Verilere erişim yetkisi olan kullanıcıların, ağlara, sunuculara, veritabanı gibi uygulamalara güvenilir bir şekilde erişim sağlayıp işlemlerini gerçekleştirmeleri gerekmektedir.
- Gizlilik (Confidentiality): Veriye veya kaynağa sadece yetkili kişiler tarafından erişilmesi, yetkisi olmayan kişilerin bilgiye ya da kaynağa erişiminin engellenmesi olarak adlandırılmaktadır.
- Bütünlük (Integrity): Verinin yetkilendirilmemiş bir şekilde değişimine engel olur. Verinin bozulması, değiştirilmesi ya da silinmesi gibi durumların önüne geçebilmek içindir.
- Kimlik Denetimi (Authentication): Bilgiye, sisteme veya ağa erişim sağlamak isteyen kullanıcının gerçekten iddia ettiği kişi olduğunun teyit edilmesi gerekmektedir. Kullanıcıların kişisel bilgisayarlarında kullandıkları parolalar, bir sisteme erişilmek istendiğinde kullanılan kullanıcı adı ve şifre, günümüzde kullanımı giderek yaygınlaşan biyometrik sistemler de birer kimlik denetim mekanizmasıdır.
- İnkâr Edememe (Non-Repudiation): Veri iletişiminde mesajı gönderenin yada mesajı alanın, gönderdiği yada aldığı mesajı inkâr edememesi durumudur. Bu durumda, mesajın gönderilmiş ve alınmış olduğu garantiye alınmaktadır.
- İzlenebilirlik (Accountability): Ağ üzerinde veya herhangi bir sistem üzerinde gerçekleşen her türlü hadisenin, sonrasında incelenmek üzere kayıt altına alınmasıdır. Herhangi bir web sayfasına bağlanılması gibi bir durumda, sunucuya erişim, e-posta gönderimi gibi durumlar izlenebilirlik örneği olarak gözlemlenebilir. Aygıta depolanan kayıtların, ağa veya sisteme yönelik saldırı desenlerinin çıkartılmasında, saldırganların tespit edilmesinde ve alınması gereken önlemlerin belirlenmesinde önemli bir rol oynamaktadır.
Güvenlik Politikaları
Politikalara kurallar bütünü diyebiliriz, sistemin davranış seklini belirten bir durumdur. Bir servisi, kimin ve hangi durumlarda kullanabileceğini, verinin servise nasıl sağlanacağını ve sağlanan bilginin nasıl kullanılacağını belirtir. Kurumun sahip olduğu güvenlik politikası, kurumun teknoloji altyapısına ve bilgi varlıklarına erişmesine izin verilen kişilerin uyma zorunluluğu olduğu kuralların resmi olarak beyanıdır. Bir sistem için veya sistemlerin oluşturduğu küme için ?güvenli? tanımını yapan yazılı ifadelerdir. Sağlam ve güvenli olan bir sistem, yetkilendirilmiş bir durumda çalışmaya başlayan ve yetkilendirilmemiş duruma girmeyen sistemdir.