2 Mart 2012 Cuma

Güvenlik Felsefesi Üzerine


% 100 güvenligin mümkün olmadigi, güvenlikle ugrasan herkesin kabul ettigi bir gerçektir. Makul kaynak (zaman/para) kullanimi ile en etkin güvenlik çözümleri elde edilmeye çalisilmalidir. Saldirganin isi zorlastirilarak, harcamasi gereken zaman ve çaba artirilmalidir. Böylece saldiri saptama süreçleri ile saldirganin saptanmasi mümkün olabilecek, saldirganin bu zorluklar karsisinda vazgeçmesi ve baska yerlere yönelmesi saglanabilecektir. Bunla ilgili bir fikra anlatalim:
Iki arkadas dagda yürüyüs yaparken, ansizin bir ayi onlari kovalamaya baslar. Arkadaslardan biri, “Biz deli miyiz? Bu ayidan hizli kosamayiz ki” der.
Ikincisi de söyle cevap verir. “Ayidan hizli kosmama gerek yok … Senden daha hizli kosayim yeter.”
Güvenlik önlemleri, hiçbir zaman mükemmel degildir ve her güvenlik önleminin bazi zayifliklari bulunabilmektedir.


“Bir zincir ancak en zayif halkasi kadar güçlüdür.”


sözünün de belirttigi üzere, güvenligin saglanmasi için zayif noktalardan dogacak sorunlarin olabildigince çözülmesi gerekmektedir. Bu da birbirini tamamlayan ve birlikte etkilesimli çalisan farkli güvenlik sistemleri ile olasidir. Bu tür bir yapiya çok katmanli güvenlik (multi layer security) ve savunma derinligi (defense in depth) denilmektedir. Sel suyunu engelleyen ardisik bentler gibi; her katman, bir sonraki katmana geçilmeden önce sorunun bir kismini çözmüs olacaktir

Güvenligi ürünlere indirgememek gerekir. Bruce Schneier’in belirttigi üzere,

“Güvenlik bir ürün degil, bir süreçtir”


Saldirgan, ag üzerindeki hedefler hakkinda saldiri saptama sisteminden daha fazla bilgiye sahipse, bu bilgiyi kullanarak güvenlik sistemine yakalanmadan saldiriyi gerçeklestirebilmektedir. Sistemleri savunabilmek için, en az saldirgan kadar sistem hakkinda bilgi sahibi olunmalidir. Korunmasi gereken degerler tanimlanmalidir. Kurumdaki sunucular ve üzerlerinde çalisan yazilimlara iliskin güncel ve ayrintili bilgi edinilmeli ve güvenlik sistemleri buna göre etkinlestirilmelidir. Bu kavram, sistem farkindaligi ve ag farkindaligi (network awareness) olarak tanimlanabilir

Neyi bildigimizin, neyi bilmedigimizin farkinda miyiz?

“Bilinen bilinenler vardir.
Bunlar bildigimizin farkinda oldugumuz seylerdir.
Bilinen bilinmeyenler vardir.
Söyle de denebilir; bilmedigimizi bildigimiz seyler de vardir.
Ancak, bir de bilmedigimiz bilinmeyenler vardir.
Bunlari bilmedigimizin bile farkinda olmayiz.”

Donald Rumsfeld’in de belirttigi üzere; asil sorun, bilmedigimizin bile farkinda olmadigimiz seylerdir. Gelecekte yeni saldiri türleri/tehditleri karsimiza çikacaktir. Günümüzde, farkinda olmadigimiz saldiri türleri de olabilir. Bu tehditleri kesfetmek için sürekli yeni yöntemler bulmamiz gerekecektir. Bu durumda, sistem/ag farkindaligi süreçleri en büyük yardimcimiz olacaktir.

Hiç yorum yok:

Yorum Gönder