Savunma bir süreçtir

Açılış

Selin'in çalıştığı e-ticaret şirketi geçen yıl kapsamlı bir güvenlik denetiminden geçmişti. Rapor temizdi, yönetim memnundu, denetim belgesi toplantı odasının duvarına asılmıştı. Bu yıl mart ayında ekibe yeni bir geliştirici katıldı. İkinci haftasında bir deneme projesini kendi açık kod deposuna yükledi ve dosyalardan birinde şirketin ödeme altyapısına bağlanmak için kullanılan gizli bir anahtar duruyordu.

Anahtar üç gün orada kaldı. Dördüncü gün, şirketin kod barındırma hizmetinin açık depoları tarayan özelliği bir uyarı gönderdi. Selin uyarıyı gördü, anahtarı hemen geçersiz kıldı, yerine yenisini üretti, o üç günde anahtarla yapılmış işlemleri kayıtlardan tek tek kontrol etti. Kötüye kullanım yoktu. Ertesi hafta ekip, kod gönderilmeden önce gizli bilgi arayan bir denetimi bütün projelere ekledi.

Toplantıda yöneticilerden biri sordu: Geçen yıl denetimden geçmemiş miydik? Selin'in cevabı bu dersin konusu: denetim geçen yılın fotoğrafıydı. O fotoğraf çekildiğinde yeni geliştirici yoktu, açık depo yoktu, anahtar orada değildi. Şirketi kurtaran denetim belgesi değil, dört gün süren küçük bir döngüydü.

Tek fikir

Güvenlik bir kez kurulup bırakılan bir durum değil, sürekli dönen bir döngüdür: önle, fark et, müdahale et, toparlan. Önleme ne kadar iyi olursa olsun bir gün delinir; o gün olgun bir kurumu ayıran, döngünün öbür adımlarına hazır olmasıdır.

Nasıl çalışır

Bir önceki derste saldırganların yöntem değiştirdiğini, kurumların da yerinde durmadığını söyledik. Yeni çalışan gelir, yeni yazılım alınır, eski bir ayar unutulur, yeni bir zafiyet duyurulur. Dün güvenli olan bir sistem, hiçbir şeyine dokunulmadığı hâlde bugün güvensiz olabilir, çünkü etrafındaki dünya değişmiştir.

Savunmayı o hâlde bir ürün listesi olarak değil, sürekli işleyen bir dizi iş olarak düşünmek gerekir. Bu fikir güvenlik alanında yirmi beş yılı aşkın bir süredir aynı cümleyle söyleniyor.

Selin'in hikâyesinde üçü de vardı. Ekip sonradan eklediği, kod gönderilmeden önce gizli bilgi arayan denetimle olayın tekrar olmasını önlemeye çalıştı. Kod barındırma hizmetinin uyarısı tespit ediciydi. Anahtarı geçersiz kılıp yenisini üretmek ise düzelticiydi. Olaydan önce şirkette yalnız ikinci tür kontrol vardı ve o bile ekibin kendi kurduğu bir şey değil, hizmetin varsayılan bir özelliğiydi.

Döngünün dört adımı bu kontrollerin sırasını izler.

Önlemek, olayın hiç yaşanmamasını hedefler: güncel yazılım, güçlü kimlik doğrulama, en az yetki, kod gönderilmeden önce yapılan denetimler. Bu adım en ucuz ve en etkili olanıdır, ama hiçbir zaman eksiksiz değildir.

Fark etmek, önleme delindiğinde bunu mümkün olan en kısa sürede görmektir: kayıtlar, uyarılar, izleme ve dikkatli insanlar. Fark edilmeyen bir olay büyümeye devam eder. Selin'in ekibi anahtarı dört günde fark etti; aynı anahtar aylarca orada kalabilirdi.

Müdahale etmek, fark edilen olayın zararını sınırlamaktır: ele geçirilmiş bir hesabı kapatmak, sızan bir anahtarı geçersiz kılmak, bulaşmış bir bilgisayarı ağdan ayırmak. Müdahalenin hızını, önceden ne kadar hazırlandığın belirler.

Toparlanmak, işleri normale döndürmek ve olaydan ders çıkarmaktır: yedekten geri dönmek, yeni anahtar üretmek, ve olayın tekrar etmemesi için önleme adımına yeni bir kontrol eklemek. Döngüyü kapatan ve yeniden başlatan bu son adımdır. Selin'in ekibinin eklediği yeni denetim, toparlanmadan önlemeye geri dönen oktu.

Bu son nokta önemli bir yanılgıyı düzeltir. Döngünün adımları bir sıra gibi anlatılır ama aynı anda yürür. Bir kurum bugün önlemeye yatırım yapıp tespiti gelecek yıla bırakırsa, gelecek yıla kadar delinen her önlemi göremeyecek demektir.

Sahada

Savunma

Bu dersin savunması, döngünün her adımına bir sahip ve bir takvim vermektir. Güvenlik işlerinin çoğu, kötü niyetten ya da bilgisizlikten değil, kimsenin işi olmadığı için yapılmaz. Defne Hanım'ın güvenlik duvarının kayıtları okunmuyordu çünkü sözleşmede okumak kimsenin işi değildi.

Önleme adımı için düzenli bakım takvimi kurulur: güncellemeler, yetki gözden geçirmeleri, kullanılmayan hesapların kapatılması. Bunlar bir kez değil, belirli aralıklarla yapılır ve her birinin kimin işi olduğu yazılıdır.

Fark etme adımı için kimin neye bakacağı belirlenir. Küçük bir büroda bu bir aylık kayıt özetidir; büyük bir kurumda yirmi dört saat çalışan bir izleme ekibi olabilir. Ölçek değişir, soru değişmez: bir şey ters gittiğinde bunu kim, ne kadar sürede fark eder?

Müdahale adımı için olay olmadan önce kısa bir plan yazılır: kim aranır, ilk ne yapılır, hangi hesaplar nasıl kapatılır. Plan uzun olmak zorunda değildir; Nilüfer Hanım'ın cüzdanındaki tek satırlık kâğıt da bir müdahale planıdır. Önemli olan, panik anında düşünmek zorunda kalmamaktır.

Toparlanma adımı için yedekler denenir ve her olaydan sonra kısa bir değerlendirme yapılır. Değerlendirmenin sorusu "kim hata yaptı" değil, "hangi kontrol eksikti ve onu nasıl ekleriz" olmalıdır; Selin'in ekibi yeni geliştiriciyi suçlamadı, kod gönderilmeden önce çalışan bir denetim ekledi. Bu soru döngüyü önleme adımına geri bağlar.

Son olarak döngünün kendisi gözden geçirilir. Kurum değiştikçe, yeni sistem ve yeni insanlar geldikçe, adımların hâlâ doğru şeylere baktığı sorulur. Gülay Hanım'ın aylık kural incelemesi tam olarak budur.

Uygulama

Bugün defterindeki varlıklar için kendi savunma döngünü kuracaksın ve ona bir takvim vereceksin.

Son olarak takviminde ayda bir kez on beş dakikalık bir hatırlatıcı kur ve adını "güvenlik turu" koy. O on beş dakikada defterini açacak, güncellemelere, bildirimlere ve yedeğe bakacaksın. Bu akademi boyunca o tur her ay biraz daha zenginleşecek.

Defter: İki varlık için "Önle · Fark et · Müdahale et · Toparlan" tablosu, boş kalan başlıkların daire içinde işaretlenmiş hâli ve ilk aylık güvenlik turunun tarihi.

Hata köşesi

Etik ve sınırlar

Fark etme adımı izlemeyi gerektirir ve izlemenin bir sınırı vardır. Kendi cihazlarını ve hesaplarını izlemek senin işindir. Bir kurumda kayıt toplamak ve çalışanların sistem kullanımını izlemek ise ancak kurumun yetkilendirdiği kişilerce, amacı belirli ve çalışanlara önceden bildirilmiş biçimde yapılabilir; kişisel verilerin korunması mevzuatı aydınlatma yükümlülüğü ve ölçülülük ister. Aile içinde de aynı ilke geçerlidir: bir yetişkinin telefonunu onun izni olmadan izlemek güvenlik değil, mahremiyet ihlalidir, iyi niyetle yapılsa bile. Çocuklar için kurulan denetim ise yaşa uygun olmalı ve çocukla konuşularak kurulmalıdır; bunu Modül 10'da ayrıca konuşacağız. İzlemenin amacı tehdidi görmektir, insanları gözetlemek değil.

Kapanış

1. Güvenlik bir kez kurulan bir durum değil, önlemek, fark etmek, müdahale etmek ve toparlanmaktan oluşan ve sürekli dönen bir süreçtir.
2. Kontroller önleyici, tespit edici ve düzeltici olarak ayrılır; olgun bir savunma üçünü birlikte ve eşzamanlı yürütür.
3. Döngünün her adımına bir sahip ve bir takvim verilir; her olaydan sonra eksik kontrol bulunup önleme adımına eklenir.

Üç soru

1. Bir şirketin güvenlik duvarı her gün engellenen bağlantıları kaydediyor ama kayıtları kimse okumuyor. Döngünün hangi adımı eksik ve bu nasıl düzeltilir?
2. Bir dosya her gece "başarıyla" yedekleniyor ama geri yükleme hiç denenmemiş. Bu kurumun toparlanma adımı hakkında ne söylenebilir?
3. Sızan bir gizli anahtar fark edilip geçersiz kılındıktan sonra yapılması gereken toparlanma işi nedir ve bu iş döngünün hangi adımına geri bağlanır?

Yanıtlar

1. Fark etme adımı eksiktir. Kayıt tutmak tespit için gereklidir ama yeterli değildir; birinin o kayıtlara düzenli bakması ya da olağandışı durumlarda uyarı üreten bir düzen kurulması gerekir. Küçük bir kurumda bu, sorumlusu ve sıklığı yazılı bir aylık özet ve acil durumda aynı gün aranacak kişinin belirlenmesiyle çözülebilir.
2. Toparlanma adımı kâğıt üzerindedir. Yedek almak gereklidir ama yedeğin işe yaradığı ancak geri yükleme denendiğinde bilinir; yedek yanlış ya da eksik veriyi kopyalıyor olabilir. Düzenli aralıklarla gerçek bir geri yükleme yapılmalı ve sonucu kaydedilmelidir.
3. Yeni bir anahtar üretilir, anahtarın açıkta kaldığı süredeki kullanım kayıtları incelenir ve olayın neden olduğu suçlama yapmadan değerlendirilir. Bu değerlendirmeden çıkan yeni kontrol, örneğin kod gönderilmeden önce gizli bilgi arayan bir denetim, önleme adımına eklenir ve döngü kapanır.

Sonraki derse köprü

Bu derste döngünün her adımına bir sahip vermekten söz ettik. Selin'in hikâyesinde de olay bir ürünle değil, insanların davranışıyla başladı ve bir kuralın eklenmesiyle kapandı; teknoloji, uyarıyı göndermekle yetindi. İnsan, süreç ve teknoloji: sıradaki ders bu parçaları ayrı ayrı adlandırıyor. Güvenliğin üç ayağından biri eksik kaldığında diğer ikisinin nasıl boşa çıktığını göreceksin.