Router Güvenliği

Yönlendiricinin görevleri aşağıdaki gibi sınıflandırılabilir: 

•  Yol Seçmek(Routing): Yönlendirici, kendine bağlı olan bilgisayarların network adreslerini  tuttuğu gibi, kendisine bağlı veya kullanılan protokole göre bağımsız yönlendiricilerin network adreslerini de routing tablolarında tutmaktadır. Yönlendirici kendisine gelen paketlerin nereye gideceğini öğrendikten sonra bu adresi routing tablolarıyla karşılaştırarak hangi port’undan yollayacağına karar vermektedir.

•  Paket Filtreleme: Paket filtreleme, network adresi(IP), servisi ve protokolüne göre bilgi transferini kontrol etmektir. Yönlendirici bu kontrolleri ACL’ler (Access-Control List – Erişim Listesi) yardımı ile sağlar. ACL’ler kendisine gelen verinin kaynak, hedef ip adreslerine, bilginin gideceği port adresine veya kullanılmak istenen protokole göre kısıtlamalar yapabilmektedir. Bu  kısıtlamalar yapılırken iki şekilde yapılabilir. Birincisi sadece izin verilen servisler ve protokoller yazılarak servise  açılmakta ve geri kalanı

kapatılmaktadır. İkincisinde ise sadece kapatılan servisler yazılmakta ve diğerleri açılmaktadır. ACL yazarken komutların yukarıdan aşağıya doğru işleneceği ve gelen paketin yazdığımız herhangi bir kuralla takıldığı anda işlemin  bitirilip alttaki kurallara bakılmayacağıda akıldan çıkartılmamalıdır. Aşağıdaki ACL’de bütün bilgisayarlara 80. port (http) erişimi serbest bırakılmış ve diğer bütün servisler kısıtlanmıştır. 

access-list 101 permit ip any any eq 80

access-list 101 deny any any

Erişim listeleri, yönlendiricinin belirli bir arayüze uygulanmadan aktif olmazlar. Erişim listeleri uygulandıkları yön açısından iki türlü olmaktadır. Arayüzün içten gelen trafiğine (“in” - inbound) ya da dıştan gelen trafiğine (“out” - outbound) uygulanabilir. Örneğin aşağıdaki örnekte 101 numaralı erişim listesi, “ethernet 0” arayüzünün inbound’una uygulanmıştır.

Interface ethernet 0

access-group 101 in

YÖNLENDİRİCİ CİHAZININ GÜVENLİĞİ

 Yönlendiricinin, ağa bağlı bir cihaz olarak kendisinin güvenliğinin sağlanması gerekmektedir.

Yönlendirici cihazının güvenliği şu alt başlıklarda işlenebilir:

1. Fiziksel Güvenlik

2.Yönlendiriciye Erişim Hakları

3.Şifrelerin Güvenliği, 

4.Erişim Protokolleri  Güvenliği

5.Gereksiz Servisleri Kapatmak

6.İşletim Sistemi Güvenliği

 1.Fiziksel Güvenlik

 Fiziksel güvenliği saglamanın birkac yolu vardır. Bunlardan biri yönlendiricilerin bulunduğu odaların kapılarını kilitli tutarak yetkisiz kişilerin girişilerine izin vermemektir. Ayrıca bu odalarda cok fazla elektrik ve manyetik alan olmamasına; sıcaklık ve nemin de kontrol altında tutulmasına özen gösterilmelidir. Yönlendiriciler için ayrı bir oda ayırılamıyorsa en azından kilitli dolaplar (kabinet) içine koyulmalıdır. İkincisi bu odaya gelen elektriğin hiç kesilmemesidir . Bu UPS (Uninterupted power supply) kullanarak  sağlabilmektedir. Bir üçüncüsü; yönlendirici yakınlarına şifre veya ip bilgileri gibi bilgileri yazmaktan  kaçınmaktır.

2.Yönlendiriciye Erişim Hakları  

Yönlendiriciye kimlerin erişeceğinin bir politikayla belirlenmesi ve erişimlerin loglanması gerekmektedir. Bu politikada; kimin konfigürasyon yedeklerini alacağının, kimin yeni bir parça alımında yönlendiriciye yerleştireceğinin, kimin logları düzenli takip edileceğinin açık bir şekilde belirtilmesi gerekmektedir.

Temelde yönlendiricilere, kullanıcı (user) ve yönetici (enable) olarak iki çeşit erişim hakkı vardır. Kullanıcı modunda sadece kontroller yapılabilirken, yönetici modda ek olarak cihaz konfigürasyonu da yapılabilmektedir. Bu iki erişim hakkı, 15 seviyeli erişim mekanizmasıyla desteklenmiştir ve varsayılan (default) olarak üç adet erişim seviyesi vardır. Seviye 0’da sadece disable, enable ,help ,logout komutlarını; seviye 1’de kullanıcı modundaki komutları (router>); seviye 15’de exec modu (router#) diye tabir ettiğimiz yönetici komutlarını kullanma hakkına sahiptirler.Bu erişim seviyeleri, kişiler ve komutlar bazında yöneticinin isteğine göre ayarlanabilir. Mesela yönetici  kullanıcının  ping komutunu kullanmasını fakat snmp-server community  komutunu kullanmamasını isterse buna göre ayarlama yapabilmektedir. Bu seviyeler  yönlendiricide komut bazında veya TACACS+, RADIUS doğrulama(authentication) sunucuları bazında ayarlanabilmektedir.

3.Şifrelerin Güvenliği

Günümüzde büyük oranda kırma(hacking) işlemi “password quessing” (parola tahmin etme) yöntemiyle yapılmaktadır bu sebepten şifre seçimine gerektiği önem verilmelidir.Cisco yönlendiricilerde kullanıcı adı ve parolasının konfigürasyon dosyasında gözükmemesi için “service password-encription” komutu kullanılmalı. Zayıf şifreleme algoritması kullanan “enable password” kaldırılmalı, MD5-tabanlı algoritmayla şifreyi koruyan “enable secret” komutu kullanılmalıdır. “no enable password” komutu kullanılarak enable password’ler silinmeli yerine “enable secret yeni_şifreniz” ile yeniden şifreler girilmelidir.

4.Erişim Protokollerinin Güvenliği

 Yönlendiricilere fiziksel erişim konsol portundan yapılmaktadır. Bunun için fiziksel  güvenliğin sağlanması gerekmektedir. Diğer erişim yöntemleri olan HTTP, Telnet, SSH, TFTP, ve FTP kullanıldığında TCP/IP protokolünün zayıflıklarına karşı önlem alınması gerekmektedir. Alınması gereken önlemler aşağıdaki gibidir.

Belirli IP’lerin Cihaza Erişimine İzin Vermek:

Cihazlara sadece belirli IP adreslerinin ulaşmasına izin verilmelidir. Bu da erişim listesi (access-list) yazılarak sağlanır. Örneğin Cisco IOS’de sadece 200.100.17.2 ve 200.100.17.3 IP’lerin erişimine izin verilmesi ve diğer ip’lerin engellenmesi ve bu erişimlerin kaydının tutulması aşağıdaki erişim listesi ile sağlanmaktadır 

access-list 7 permit 200.100.17.2

access-list 7 permit 200.100.17.3

access-list 7 deny any log

Örnekte verilen 7 numaralı erişim listesinin devreye girmesi için erişimin geleceği arayüzlerde etkin hale getirilmesi gerekmektedir. Telnet (veya  ssh) için uygulanması da aşağıdaki gibi olmaktadır:

 line vty 0 4

 access-class 7 in

Http erişimi için kısıtlanması da aşağıdaki gibi olmaktadır:

ip http access-class 7

SNMP erişimine belirtilen IP’lerin izin verilmesi ise aşağıdaki gibi olmaktadır:

snmp-server host 200.100.17.2 snmp_şifresi

snmp-server host 200.100.17.3 snmp_şifresi

HTTP Erişimi: 

HTTP protokolü ile web arayüzünden erişim, cihaza interaktif bağlantı demektir. Yönetilebilir  cihazlarının birçoğunun üzerinde web sunucusu çalışır. Bu da 80 nolu portta bir web sunucunun kurulu beklediğini gösterir. Daha önceden de belirtildiği gibi HTTP servisi verilecekse bu ağ yönetimini sağlayan belirli IP’lere kısıtlı olarak verilmelidir. Cihaz güvenliği nedeniyle mümkün olduğunca bu tür web üzerinden yönetimin kullanılmaması gerektiği önerilmektedir. Ama web üzerinden yönetim gerekiyorsa web sunucusu sadece sistem yöneticisinin bileceği başka bir port üzerinden, örneğin  “ip http server port 500” komutuyla 500 nolu portta çalıştırılabilecek şekilde ayarlanmalıdır.

Şifrenin Ağda Düz Metin Olarak İletilmesini Engellemek:

HTTP, Telnet, SNMP protokolleri ile cihaza erişimde, doğrulama mekanizması ağda şifrenin düz metin (clear text) şeklinde gönderimi ile sağlandığı için güvenlik açığı oluşmaktadır. Özellikle hub bulunan ortamlarda saldırganın ağ üzerinden dinleme (sniff) yoluyla iletilen bilgiyi elde etmesi mümkün olabilmektedir. Bunu engellemek için aşağıdaki önlemler alınabilir :

-  Konsol Kablosunu Yönetim Bilgisayarına Çekmek: Eğer cihaz tek bir makinadan yönetiliyorsa, o makinanın com portundaki arabirime çekilen bir utp kablo ile konsol erişimi sağlanabilir. Böylece erişim tek bir kablo üzerinden sağlanacaktır. -  Telnet yerine Secure Shell (SSH) Erişimi Vermek:  İletilen veriyi şifreleyen SSH protokolü mümkün olduğunca kullanılmalıdır. SSH’i desteklemek için cihazın işletim sisteminin güncellenmesi gerekebilmektedir. SSH, şu anda bütün cihazlar ve cihaz işletim sistemleri tarafından desteklenmemektedir. Bu konuda üretici firmanın cihaz dökümantasyonu incelenmelidir.

-  Güncel SNMP Versiyonlarını Kullanmak:  SNMP Versiyon 1, düz metin doğrulama dizileri (string) kullandığından bu doğrulama dizilerinin spoof edilmesi söz konusu olabilmektedir. Bu yüzden MD5’a dayanan öz (digest) doğrulama şeması kullanan ve çeşitli yönetim verilerine kısıtlı erişim sağlayan SNMP Versiyon 2 veya 3’ün kullanılması gerekmektedir. Mümkünse her cihaz için ayrı bir MD5 gizli (secret) değeri kullanılmalıdır.

-  Hub olan ortamlardan cihaza erişim yapmamak: Hub olan ortamlardan yönlendiriciye  erişim yapılmamalıdır. Böyle erişimin zorunlu olduğu durumlarda, daha güvenli bir ortamda bulunan ve ssh’i destekleyen bir linux/unix sunucu varsa, o sunucuya bağlanarak onun üzerinden yönlendiriciye telnet erişimi yapılmalıdır.

-  Doğrulama Mekanizmaları Sağlamak : HTTP protokolünde doğrulama mekanizması ağda şifrenin düz metin şeklinde gönderimi ile sağlandığı için efektif değildir ama farklı üreticilerin değişik çözümleri bulunmaktadır. Doğrulama mekanizması, onay sunucuları (Tacacs+, Radius …vb) kullanılarak  yapılabilir. Cisco IOS’de doğrulama mekanizması “ip http authentication” komutuyla sağlanmaktadır.

Acil Durum Erişimini Ayarlamak:

Yönlendiricilere erişimin sağlanamadığı acil durumlarda telefon hatları üzerinden modem kullanılarak erişmek için “Auxiliary port” bulunmaktadır. Bu tür bir erişim için PPP (Point to Point Protocol) üzerinde PAP (Password Authentication Protocol) yerine CHAP (Challenge Handshake Authentication Protocol) doğrulama methodu kullanılmalıdır. CHAP, dial-up ve uçtan uca (point to point) bağlantılarda uç noktayı engelleyerek izinsiz erişimleri engellemektedir. 

Bütün bu önlemlere karşı saldırganlar yönlendiriciyi ele geçirebilmektedir. Bu sebeble en azından yönlendirici açılışına yasal haklarla erişebilinecek bir cihaza erişildiğini izinsiz erişimlere kanuni işlem yapılacağını belirten  yazı yazılmalıdır. Cihaza erişim yapıldığında bir uyarı gözükmesi için, “banner motd” komutu kullanılmaktadır. Örneğin aşağıdaki şekilde bir uyarı cihaza eklenebilir:

 banner motd ^C

Bu cihaza yetkisiz erisim yasaktir. Erisim bilgileriniz kayitlanmistir.

Unauthorized access to this device is prohibited. All access has been logged.

  

5.Gereksiz Servisleri Kapatmak

 Yönlendiricide kullanılmayan servisler kapatılmalıdır. Örneğin  kullanılmayan ve güvenlik açığı oluşturabilecek TCP/UDP services echo, chargen ve discard kapatılmalıdır:

no service tcp-small-servers

no service udp-small-servers

Bu cihaza bağlı kişiler hakkında saldırgana bilgiler sağlayabilecek “finger” servisi de kapatılmalıdır:

no service finger

Daha önceden de belirtildiği üzere yönlendiricide web sunucusu da çalıştırılmamalıdır:

 no ip http server 

6.İşletim Sistemi

Yönlendirici için işletim sistemi (Operating System) seçilirken ağın ihtiyaclarına uygun ve aynı zamanda donanımın desteklediği bir versiyon olmasına dikkat edilmelidir. Her ne kadar işletim sistemleri güvenlik testlerine tabi tutulup daha sonra  piyasaya sürülüyorsa da daha sonradan güvenlik açıkları bulunabilmektedir. Bu nedenden dolayı çıkan yamaları takip edip upgrade yapmak gerekebilmektedir. Şuda unutulmamalıdır ki; işletim sisteminin en son versiyonu  her zaman en iyi versiyon olmayabilmektedir. Bu nedenlerden dolayı, düzgün calıştıgı denenmiş en son versiyon tercih edilmeli ve kesinlikle eski versiyon yedeklenmelidir.

Cisco yönlendirici cihazlarının IOS larının güvenliği için referansından ayrıntılı olarak yararlanabilirsiniz. Eğer başka marka yönlendirici kullanıyorsanız en son işletim versiyonlarını üretici sitelerinden bulabilirsiniz. 

AĞI YÖNLENDİRİCİLERLE KORUMAK

Yönlendirici,  bazı ağlarda yönlendirici görevinin yanı sıra güvenlik duvarı gibi çalışacak şekilde de ayarlanabilmektedir. Bu güvenlik duvarı işlevi, basit bir paket filtreleme fonksiyonundan oluşmaktadır ve günümüzdeki güvenlik duvarlarına oranla oldukça ilkel kalmaktadır. Yönlendiricinin temel görevinin yönlendirme (routing) olduğu unutulmamalı, bu tür bir güvenlik duvarı işlevinin cihazın performansını düşüreceği dikkate alınmalıdır. Cihazda alınacak bu tür önlemler mümkün olduğunca en az oranda tutulmalı, bu tür güvenlik önlemleri için ayrı güvenlik duvarı (firewall) sistemleri kurulmalıdır. Yönlendiriciyi aynı zamanda detaylı paket filtreleme özellikleri ile kullanmak, sadece küçük ağlarda veya güçlü omurga cihazlarının bulunduğu kampüs ağlarındaki iç yönlendiricilerde tercih edilmelidir.

 Bu bölümde yönlendirici ile ağdaki bilgisayarlara gelebilecek saldırıların engellenmesi için bazı ipuçları verilecektir.

1. Riskli portları  kapatmak: 

İnternet üzerindeki servisler, kullanıcılara hizmet götürebilmek için bazı sanal port numaraları kullanırlar (örn: http için 80 numaralı port kullanılmaktadır). Saldırganlar veya  kötü yazılımlar servislerin açıklarını kullanarak hizmet verilen port numarası üzerinden bilgisayar ağına sızabilirler. Bunu önlemenin bir yolu riskli portları yönlendirici ile kısıtlamaktır. Riskli portların listesi [17] nolu referansının 38 ve 39 sayfalarında  listelenmiştir. Bu liste, ağ yöneticisi tarafından çeşitli güvenlik sitelerini takip ederek  sürekli olarak güncellenmelidir. Aşağıdaki örnekte 445 nolu UDP portu ile finger servisi bloklanmaktadır:

access-list 101 deny udp any any eq 445

access-list 101 deny tcp any any eq finger

access-list 101 permit ip any any

Yönlendiriciye fazla yük getirmediği sürece bu erişim listesini genişletmek mümkündür. Tanımlı mail ve web sunucularını belirlemek ve bu sunucular dışında bu tür protokolleri engellemek de mümkündür. Erişim listesi ne kadar kapsamlı olursa o kadar fazla işlemci gücü gerektirecek ve performans azalacaktır. O yüzden sık gelen paket türlerini erişim listesinde daha önde tutmak performansı arttıracaktır.

2.Bazı saldırı tekniklerine karşı önlemler

IP spoofing : IP kandırmacası anlamına gelmektedir. Kötü niyeli kişi hattı dinler giden paketlerin kaynak ve hedef adresini alır. Hedef adresini kendi  ip’si yaparak kaynak adrese cevap verir. Böylece erişim listesine takılmadan bilgisayar ağına sızmış olur. Bunu önlemenin yolu, yönlendiricinin kaynak adresi hedef makinaya varmadan kimseye göstermemesidir.Cisco cihazlarda “no ip source-route” komutuyla yapılabilmektedir.

Routing Protokole olan saldırılar: Bilindiği üzere yönlendiriciler kendi aralarında interior veya exterior routing protokollere göre haberleşmektedirler. Saldırgan  yönlendiricinin routing protokolünü bozmadan yollanan paketlerin bir kopyasının kendine de yollanmasını sağlayabilir(kredi kart numaraları gibi verileri almak için) veya protokolleri kaldırarak yönlendiricinin diğer yönlendiricilerle haberleşmesini kesebilir. Haberleşmenin yok olması, yönlendiricinin aldığı paketleri nereye göndereceğini bilmemesi ve servis dışı kalması(DoS) anlamını taşımaktadır. Bunu önlemenin yolu ise gönderilen ve alınan routing protokolu paketlerini de filtrelemektir.  Örneğin IGRP routing protokolünü filtrelemek için yazılmış ACL aşağıda verilmiştir. 

router eigrp 

network 200.100.17.0

distribute list 20 out ethernet 0

distance 255

distance 90 200.100.17.0 0.0.0.255

 access-list 20 permit 200.100.17.0 0.0.0.255

Çıkış (Egress) ve Giriş (Ingress) Erişim Listeleri 

Bu erişim listeleriyle yönlendiriciye gelen paketlerdeki kaynak IP adresleri kontrol edilmektedir. Dış ağdan iç ağa gelen paketlerde, gelen paketlerdeki kaynak ip’lerin kontrolüne  giriş (ingress) filtreleme denmektedir. Bu kontrolde gelen paketlerdeki ip’lerde internet ortamında kullanılmayan (rezerve edilmiş) adresler bulunduğunda bu paketler kabul edilmeyecektir. Ağ adresimiz 200.100.17.0/24 ise, dış dünyadan böyle bir IP aralığına ait bir paket gelmemesi gerekmektedir. O zaman ingress kısıtlamaları aşagıdaki gibi olacaktır:

access-list 101 deny ip 10.0.0.0  0.255.255.255 any

access-list 101 deny ip 172.16.0.0 0.15.255.255 any

access-list 101 deny ip 192.168.0.0 0.0.255.255 any

access-list 102 deny ip 200.100.17.0 0.0.0.255 any

access-list 101 permit ip any any

İç ağdan dış ağa giden paketlerde, gelen paketlerdeki kaynak ip’lerin kontrolüne çıkış (egress) filtreleme denmektedir. Kendi ağ ip adresi aralığında olmayıp da internete çıkmak isteyen ip’ler kısıtlanmalıdır. Böylece kurumun ağı kullanılarak başka kurumlara yapılabilecek kaynak IP adresi değiştirme tabanlı saldırılar engellenecektir. Bazı reserve edilmiş IP lerin kısıtlanması aşağıdaki gibidir:

access-list 102 permit ip 200.100.17.0 0.0.0.255 any

access-list 102 deny ip any any

Örnekte dışardan gelen trafik ingress erişim listesi ile seri arayüzde, içeriden gelen trafik de egress erişim listesi ile ethernet arayüzünde tanımlanmıştır.

interface serial 0

ip access-group 101 in 

interface ethernet 0

ip access-group 102 in 

“Reverse Path” Kontrolü: Gönderdiğimiz paket “ethernet 0” arayüzünden gönderiliyor fakat cevabı “ethernet 1” arayüzünden geliyorsa bu işte bir yanlışlık var demektir. Bunu önlemek için geliş gidiş istatiğini tutan CEF routing tablolarından yararlanmak gerekmektedir. Bu sağlamak için de seri arayüzde bu komutun uygulanması gerekmektedir.

İp cef disributed

interface serial 0

ip verify unicast reverse-path

“CAR Rate”i Güvenlik için Kısıtlamak:  Bir çeşit QOS(“Quality of Service” – Servis Kalitesi) sağlayarak belli protokoldeki verilerin belli ip adresleri veya mac adresleri için politikaya göre belirlenmiş belli oran ve miktarlarda kurumsal  ağa gelmesini veya kurumsal ağdan gitmesi sağlanabilir. Bu da kurum trafiğini boşu boşuna işgal eden ve kurumsal ağın yavaşlamasına yol açan paketlerden kurtulunmasını sağlar.  Mesela örnekte xy arayüzündeki TCP SYN paketlerini 8 Kbps’a indirilmesi gösterilmiştir.

interface xy

rate-limit output access-group 102 256000 8000 8000

conform-action transmit exceed-action drop [ikisi bir satırda]

access-list 102 permit icmp any any echo

access-list 102 permit icmp any any echo-reply

SYN saldırılarından korunmak: Eğer kötü kullanıcı belli bir sunucuya (server) belli sayıdan daha fazla bağlantı kurma isteğini gönderir fakat nerden bağlanmak istediğini göndermeyerek bağlantıları boşa açarsa buna “SYN flooding attack” denmektedir. Böylece o sunucunun iş görmesini engelliyerek servis dışı bırakmaktadır. Çözümü için referansı incelenebilir.

Smurf attack: IP adresi kandırmacası ve broadcast (aynı subnetteki herkese yollama) ilkelerine dayanır. Saldırgan, saldırmayı hedeflediği bilgisayarın IP’sinden paket geldiğinin sanılması için, kaynak adresi bu  IP olan “broadcast ping” paketleri oluşturur ve gönderir.

Gönderilen ping paketlerinin cevabı gerçekte bu IP’ye sahip olan bilgisayara gider ve orada gereksiz trafik yaratarak bilgisayarın ağa ulaşması engellenir. Bu olayı yönlendiriciden önlemenin bir yolu da yönlendiricideki arayüzlere “no ip directed-broadcast”  komutunu girmektir.

3. Gelişmiş Ayarlar

IOS’in bazı gelişmiş versiyonlarında ek güvenlik kontrolleri bulunmakta ve çeşitli güvenlik protokolleri desteklenmektedir. Örneğin  IOS Firewall Feature Set (güvenlik duvarı özelliği) bunlardan bir tanesidir. Bu tür gelişmiş ayarlarla VPN uygulamaları gerçekleştirmek, gelen http paketleri içinde belirli örüntüleri (pattern) aramak mümkündür. Bu tür özellikleri çalıştırabilmek için yönlendiricide daha güçlü donanım özellikleri bulunması gerekmektedir. Bu fonksiyonlar yönlendiricinin genel performansını eksi olarak etkilemektedir.

SİSTEMİ TAKİP ETMEK

 Ağ cihazlarını takip etmek için kullanılan bir veya birden fazla bilgisayar olabilir. Bu bilgisayarlara Ağ Yönetim İstasyonu - Merkezi (AYM) denmektedir. AYM, ağdaki cihazlara ait SNMP şifre dizileri gibi doğrulama bilgileri ve saldırı girişimi kayıtlarını bulundurdukları için doğal bir saldırı hedefi durumuna gelmektedir. Bu yüzden bu makinaların fiziksel, yazılımsal ve ağ güvenlikleri sağlanmalıdır. Sistemi takip etme (monitor) aşağıdaki yöntemlerle gerçekleştirilebilir:

-  Kayıtlama (logging)

-  SNMP

Kayıtlama (Logging)

Ağ cihazları çeşitli hadiseler (event) hakkında kayıtlama özelliğine sahiptir. Bu kayıtlar, güvenlik hadiselerinin belirlenmesinden ve önlem alınmasında kritik önem taşıyabilmektedir. Arayüzlerin durum değişikliği,  sistem konfigürasyon değişikliği, erişim listelerine takılan(match) bağlantılar gibi güvenlik açısından önemli olan bilgilerin kayıtı tutulabilmektedir. Cihazda kayıtlama aşağıdaki şekillerde yapılabilmektedir:

•  SNMP Trap Logging: Sistem durumunda (status) karakteristik (significant) değişikliklerde Ağ Yönetim İstasyonuna uyarı (notification) göndermektedir. Bu işlem cisco cihazlarda aşagıdaki gibi yapılmaktadır.

   snmp-server community community_kelimesi ro 10

 SNMP yi göreceklere izin verilir

  access-list 10 permit host snmp_mgmt_ip

  access-list 10 deny any

 “community” adlarıyla “trap”lar gönderilir. 

  snmp-server trap-authentication

 Bütün “trap”lar içerdeki arayüzde bulunan yönetim cihazına gönderilir. 

  snmp-server trap-source Ethernet0

  snmp-server host snmp_mgmt_ip community_kelimesi

   interface Ethernet0

   ip access-group e0-in in

   ip access-list extended e0-in

İçerdeki belirli bir makinanın erişimine izin verilir

  permit udp host snmp_mgmt_ip host 200.100.17.2 eq snmp 

 •  Sistem Kayıtlaması: Sistem konfigürasyonuna bağlı olarak hadiselerin kayıdını tutmaktadır. Sistem kayıtlaması farklı yerlere yapılabilmektedir:

o  Sistem konsoluna bağlı ekrana “logging console” komutuyla,

o  Üzerinde UNIX’in syslog protokolü çalışan ağdaki bir sunucuya “logging ip-address”, “logging trap” komutlarıyla,

Ör: logging 200.100.17.2

o  Telnet veya benzeri protokolle açılan VTY remote oturumlara (session) “logging monitor”, “terminal monitor” komutlarıyla,

o  Yerel buffer olan RAM’ine “logging buffered” komutuyla yapılabilmektedir.

Kayıtlar düzenli olarak takip edilmeli ve sistemin düzgün çalışıp çalışmadığı kontrol edilmeldir. Farklı cihazlardan Ağ Yönetim İstasyonu’na gönderilen mesajların zamana göre senkronize olması için cihazlarda Network Time Protokol (NTP) çalıştırılmalıdır.

SNMP

Simple Network Management Protokol (SNMP), cihaz ve yönlendirici için vazgeçilmez bir protokoldür. Trafik istatistiklerinden bellek ve CPU kullanımına kadar bir cihaz hakkında çok detaylı bilgiler edinilebilmektedir. 

Bir veya daha fazla AYM, üzerlerinde çalışan yazılımlarla belirli aralıklarla ağ cihazları ve sunuculardan (server) bu istatistikleri toparlayacak (poll) şekilde ayarlanmalıdır. Cihazda gözlenen CPU, bellek veya hat kullanımının fazla olması bir saldırı tespiti olabilmektedir.

Toplanan verileri grafiksel olarak görüntüleyen Multi Router Traffic Grapher (MRTG) gibi programlar bulunmaktadır.

SNMP kullanılırken dikkat edilmesi gerekenler aşağıdaki gibi özetlenebilir:

•  SNMP protokolünün, özellikle SNMP Version 1’in birçok uygulamasında zayıflık (vulnerability) olduğu CERT1 ‘in raporlarında belirtilmiştir[12] . Versiyon 2 veya 3’ün kullanılması önerilmektedir. Daha detaylı bilgi için [13] incelenebilir.

•  Sadece Oku (Read only) ve Oku-Yaz (Read-Write) erişimleri için kullanılan varsayılan SNMP şifre (community) adları değiştirilmeli ve bu iki parametre birbirinden farklı olmalıdır.

•  SNMP şifrelerine kritik bir UNIX makinasındaki root şifresi gibi davranılmaldır.

•  SNMP erişimi hakkı sadece belirli güvenilir IP’lere  sağlanmalıdır.

•  AYM tarafından SNMP erişimi yapılırken “Sadece Oku” parametresi kullanılmalıdır.

Mümkünse cihazlarda “Oku-Yaz” parametresi iptal edilmelidir.

•  Ağ Yönetimi için yerel ağda ayrı bir alt ağ (subnet), mümkünse VLAN2  yaratılmalıdır.

Erişim listesi ve Ateş Duvarı (firewall) kullanılarak bu ağa dış  ağlardan gelen trafik kısıtlanmalıdır.

SİSTEMDE GÜVENLİK TESTLERİ UYGULAMAK

Kurumun sisteminin ne kadar güvenli olup olmadığının test edilmesi gereklidir. Bunun için sistemde yapılan güvenlik geliştirmelerinin düzgün çalışıp çalışmadığını kontrol eden ve güvenlik açıklarını size belirten bazı araçlara gereksinim duyulmaktadır. Aşağıda bu araçların bazılarından kısaca bahsedilecektir:.

•  RAT (Router Audit Tool): CIS (the Center for Internet Security) tarafından geliştirilmiş ve http://www.cisecurity.org/bench_cisco.html adresinden ücretsiz olarak temin edilebilen bir kontrol ve karşılaştırma (benchmark) aracıdır. Kullanılan Cisco marka yönlendiricinin işletim sistemi ve üzerindeki konfigürasyonunu çeşitli güvenlik özelliklerine göre karşılaştırmaya, eksik olan yanlarını bir rapor olarak düzeltebilmeye olanak sağlayan bir araçtır [16]. Web sitesindeki dökümanlarda kullanımı hakkında detaylı bilgi bulunmaktadır.

•  Tarayıcılarla Ağı Denetlemek:  Nessus (http://www.nessus.org) gibi tarayıcılarla kurum dışından bağlantılar yaparak, örneğin bir ISP’den internet erişiminde kurumun ağına ulaşma ve erişim listelerinin çalışıp çalışmadığını kontrol etme aşamaları yerine getirilmektedir.

•  Yönlendiricide IOS tabanlı kontrol: Tablo1’deki komutlar kullanılarak sistemin düzgün çalışıp çalışmadığı kontrol edilebilir. 

Komut Açıklaması

show processes cpu CPU kullanımı kontrol

show processes memory Bellek kullanımı kontrol

show interfaces ...  Arayüz kontrol

show stack Yığıt (stack) kontrol

show ip access-list Erişim listesi kontrolü

show tech-support ... Cisco’daki teknik personele daha detaylı analiz

yapabilmeleri için kullanabilecekleri detaylı bilgi sağlar.

•  Doğruluk – Bütünlük (Integrity) Kontrolleri:  Cihazın konfigürasyon dosyası ve işletim sistemi imgesinin değişip değişmediği kontrol edilmelidir. Bu ise sorunsuz çalışan konfigürasyon ve imgenin güvenli bir yerde tutularak belirli aralıklarla çalışan versiyonla karşılaştırılması ile gerçekleştirilir.

SONUÇ

Yönlendirici, kurumun dış bağlantılarında kilit bir cihazdır. Cihazın güvenliğini sağlamak ve yapılacak ayarlarla ağın güvenliğini sağlamak çok önemlidir.