Güncelleme neden önemli?

Açılış

Büronun en kıdemli çalışanının ekranının sağ alt köşesinde üç aydır aynı uyarı duruyordu: "Güncellemeler hazır, yeniden başlatın." Her seferinde "daha sonra" düğmesine basılıyordu. Önce beyanname dönemi vardı, sonra bir denetim, sonra yılsonu kapanışı. Bilgisayarı yeniden başlatmak yarım saat kaybettiriyordu ve o yarım saat hiçbir zaman uygun değildi.

Aylık kontrole gelen teknisyen bu bilgisayarı listenin başına yazdı ve Defne Hanım'a bir tarih anlattı. İki bin on yedi yılının Mart ayında Microsoft, Windows'un dosya paylaşım bileşenindeki ciddi bir açığı kapatan bir güncelleme yayımlamıştı. İki ay sonra, Mayıs ayında, bu açığı kullanarak bilgisayardan bilgisayara kendiliğinden yayılan bir fidye yazılımı pek çok ülkede hastaneleri, fabrikaları ve kamu kurumlarını vurdu. Güncellemeyi kurmuş olanlar korunmuştu. "Daha sonra" diyenler korunmamıştı.

Defne Hanım o akşam yarım saatin bedelini yeniden hesapladı. Bu ders o hesabı anlatıyor: bir güncellemenin neyi kapattığını, ertelemenin neden giderek pahalılaştığını ve bir cihaz artık hiç güncelleme almadığında ne yapılacağını.

Tek fikir

Bir güvenlik güncellemesi yayımlandığı anda kapattığı açık da herkesin bildiği bir sır olur. O andan sonra geçen her gün, saldırganların açığı kullanmayı öğrendiği ve güncellemeyi kurmayanların hedefe dönüştüğü bir gündür.

Nasıl çalışır

Yazılımın hatasız olmadığını ve hataların bir kısmının zafiyete dönüştüğünü artık biliyorsun. Bu derste düzeltmenin üreticiden senin cihazına uzanan yolculuğuna bakıyoruz.

Bir zafiyetin yaşam döngüsü kabaca şöyle ilerler. Biri açığı bulur ve, iyi durumda, üreticiye bildirir. Üretici açığı düzeltir ve bir yama yayımlar. Yamayla birlikte açığın varlığı, çoğu zaman bir CVE numarasıyla, kamuya duyurulur. İşte bu an bir dönüm noktasıdır. Yama yayımlanmadan önce açığı yalnız birkaç kişi bilir. Yama yayımlandıktan sonra herkes bilir ve dahası, yamanın kendisi neyin değiştiğini gösterdiği için, açığın nerede olduğunu arayan birine bir harita sunar. Yamayı kuranlar için açık kapanmıştır; kurmayanlar için ise açık artık herkesin bildiği, kullanılmayı bekleyen bir kapıdır.

İki bin on yedi olayı bu dönüm noktasının ders kitabı örneğidir.

Bültenden elli dokuz gün sonra, on iki Mayıs iki bin on yedide, WannaCry adlı fidye yazılımı tam olarak bu açığı kullanarak yayılmaya başladı. Yazılım bir kurumun ağına girdiğinde, güncellemesi kurulmamış diğer bilgisayarları kendiliğinden bulup onlara geçiyordu. Bir kullanıcının bir şeye tıklamasına gerek yoktu.

Bu kanıtın iki yarısı var ve ikisi de önemli: "yaması kurulmamış" ve "desteği bitmiş". İlki ertelemenin, ikincisi ise hiç güncelleme alamayan cihazların sorunudur.

Destek sonu, ürünün çalışmayı durdurduğu anlamına gelmez; bilgisayar açılır, programlar çalışır. Değişen, görünmeyen bir şeydir: o tarihten sonra keşfedilen her yeni açık, o cihaz için sonsuza dek açık kalır. Zaman geçtikçe bu açıkların sayısı artar ve cihaz, her ay biraz daha kolay bir hedefe dönüşür.

Sahada

Savunma

Güncellemeye dair savunma, ertelemenin bedelini görünür kılmak ve güncellemeyi bir alışkanlıktan bir sürece dönüştürmektir.

Kişisel cihazlarda en güçlü önlem otomatik güncellemeyi açık tutmaktır. İşletim sistemleri, tarayıcılar ve uygulama mağazaları güvenlik güncellemelerini kendiliğinden indirip kurabilir. Geriye kalan iş, yeniden başlatma uyarısını haftalarca ertelememektir; çoğu güncelleme ancak yeniden başlatıldığında gerçekten devreye girer. Defne Hanım'ın bürosunda bunun çözümü basitti: her cuma iş çıkışında bilgisayarlar yeniden başlatılacaktı ve bu, aylık güvenlik turu listesine eklendi.

Kurumlarda güncelleme bir süreçtir ve bu sürecin ayrıntısını Seviye 2'deki zafiyet yönetimi modülünde işleyeceğiz. Temel unsurları şimdiden sayılabilir: neyin kurulu olduğunu bilmek, yani envanter; güncellemeleri önce küçük bir grupta denemek; kritik güncellemeler için kısa bir hedef süre belirlemek; ve sürenin dolup dolmadığını takip etmek. Bora'nın kuralı tam olarak budur.

Bir güncelleme hemen kurulamıyorsa geçici önlemler devreye girer. MS17-010 bülteninin kendisi de böyle bir önlem öneriyordu: açığın bulunduğu eski protokol bileşenini kapatmak. Bir açığa giden yolu kapatmak, açığın kendisini kapatana kadar zaman kazandırır.

Destek sonuna gelmiş cihazlar için savunma üç seçenekten oluşur ve hangisinin seçileceğini cihazın ne iş yaptığı belirler. Cihaz yenilenir ya da desteklenen bir sürüme yükseltilir. Yenilenemiyorsa, Nilüfer Hanım'ın tabletinde olduğu gibi, hassas işlerden çekilir. Kritik bir iş yapıyorsa ve yenilenemiyorsa, Bora'nın eski görüntüleme istasyonunda olduğu gibi, ağdan ve dış dünyadan yalıtılır. Bu kararların her biri tarihiyle birlikte deftere yazılır, çünkü destek sonu bir kez gelir ve geri dönmez.

Uygulama

Bu uygulamada kendi cihazlarının güncelleme durumuna ve destek tarihlerine bakacaksın.

Kararını hemen uygulamak zorunda değilsin, ama yazmalısın. Yazılmamış bir karar, verilmemiş bir karardır.

Defter: Envanterde her cihaz için son güncelleme tarihi, otomatik güncellemenin açık olup olmadığı ve destek bitiş tarihi; desteği biten cihazlar için seçtiğin yol. Aylık güvenlik turu listesine "bekleyen güncelleme ve yeniden başlatma" maddesi zaten varsa, yanına "destek bitiş tarihleri" maddesini ekle.

Hata köşesi

Etik ve sınırlar

Bir kurumda güncellemeleri kurmak çoğu zaman bilgi işlem ekibinin yetkisindedir ve bir çalışanın kendi bilgisayarındaki güncellemeyi kurması teşvik edilir; ama bir sunucuya, bir tıbbi cihaza ya da bir üretim sistemine güncelleme kurmak, o sistemin sahibinin ve bakımından sorumlu kişinin onayıyla yapılır. İyi niyetle kurulan bir güncelleme, test edilmemişse kritik bir hizmeti durdurabilir. Tersi de bir sorumluluktur: bir kurumda kritik bir güncellemeyi kurmama ya da desteği bitmiş bir sistemi çalıştırmaya devam etme kararı, bu riski kabul etmeye yetkili kişi tarafından, yazılı olarak verilmelidir. Bunu Seviye 2'de artık risk konusunda konuşacağız. Son olarak, bir yamanın neyi değiştirdiğini inceleyip açığın nasıl kullanılacağını çıkarmak, savunma araştırmasında bile yalnız yetkili ve yalıtılmış ortamlarda yapılan bir iştir; bu akademinin konusu değildir.

Kapanış

1. Bir güvenlik yaması yayımlandığı anda kapattığı açık da kamuya duyurulur; o andan sonra yamayı kurmayanlar, herkesin bildiği bir açığı taşır.
2. Ertelemenin bedeli görünmezdir ama gerçektir: WannaCry, yaması iki ay önce yayımlanmış bir açığı kullanarak yamasız ve desteği bitmiş sistemleri vurdu.
3. Destek sonuna gelen bir cihaz çalışmaya devam eder ama yeni açıkları kalıcı olarak taşır; ya yenilenir, ya hassas işlerden çekilir, ya da yalıtılır ve bu karar deftere yazılır.

Üç soru

1. Bir güvenlik yamasının yayımlanması, yamayı kurmayanlar için riski neden artırır?
2. WannaCry'dan etkilenen kurumların ortak özelliği nedir ve bu iki ayrı soruna nasıl işaret eder?
3. Desteği bitmiş ama hâlâ kullanılan bir tablet için hangi seçenekler vardır ve Nilüfer Hanım'ın durumunda hangisi seçildi?

Yanıtlar

1. Yama yayımlanmadan önce açığı yalnız birkaç kişi bilir. Yama yayımlandığında açığın varlığı kamuya duyurulur ve yamanın kendisi neyin değiştiğini göstererek açığın yerini arayanlara ipucu verir. Bu andan sonra açık herkesin bildiği bir kapıdır; yamayı kuranlar için kapanmış, kurmayanlar için ise bilinen bir hedef olmuştur.
2. Ulusal Denetim Ofisi'ne göre enfekte olan kuruluşlar yaması kurulmamış ya da desteği bitmiş Windows sistemleri kullanıyordu. Bu iki ayrı soruna işaret eder: güncellemesi mümkün olduğu hâlde ertelenen sistemler ve hiç güncelleme alamayan, desteği bitmiş sistemler. İlki süreçle, ikincisi yenileme, kısıtlama ya da yalıtımla çözülür.
3. Üç seçenek vardır: cihazı yenilemek ya da desteklenen bir sürüme yükseltmek, hassas işlerden çekmek ya da ağdan ve dış dünyadan yalıtmak. Nilüfer Hanım'ın tableti hassas işlerden çekildi: banka uygulaması ve e-posta hesabı kaldırıldı, tablet yalnız video izlemek için kullanılmaya devam etti.

Sonraki derse köprü

Bu modülde bilgisayarın parçalarını, verinin biçimini, dosya sistemini, işletim sistemini, hesapları, yazılımı ve güncellemeyi gördük. Uygulamaların her birinde cihazlarına bir şey sordun ve cevabı deftere yazdın. Modülün son atölyesi bu cevapları bir araya getiriyor: kendi cihazının envanteri. Cihazlarını, işletim sistemlerini, sürümlerini ve destek tarihlerini tek bir tabloda toplayıp akademinin geri kalanı için sağlam bir başlangıç noktası kuracağız.