Güncelleme ve yama düzeni

Açılış

Duru, tezini yazarken bilgisayarının gece kendiliğinden yeniden başlamasından sonra bir karar vermişti: bir daha asla. Ayarlara girip güncellemeleri ertelemiş, yeniden başlatma bildirimini de her gördüğünde "yarın" demişti. Üç hafta sonra ekranın köşesindeki küçük simge hâlâ oradaydı: güncellemeler hazır, yeniden başlatma bekleniyor.

Ece bunu fark ettiğinde evin bütün cihazlarına bir tur atmaya karar verdi. Mutfak masasında çizdikleri harita hâlâ duvardaydı; on dört satır vardı. Her cihaza tek tek baktılar. Ece'nin ve Barış'ın telefonları günceldi. Duru'nun dizüstüsü üç haftadır bekliyordu. Barış'ın oyun bilgisayarında güncellemeler açıktı ama bir uygulama otomatik güncellemeyi kapatmıştı. Modemin yazılımı iki yıl önceki sürümdeydi. Akıllı televizyon kendi kendine güncelleniyordu. Kapının üstündeki ucuz güvenlik kamerasının ise üreticisinin sitesinde hiç güncelleme yoktu; firma, kamerayı satmayı bırakmıştı.

On dört cihazın her biri ayrı bir dünyaydı: kimi kendiliğinden güncelleniyor, kimi bir dokunuş bekliyor, kimi hiç güncellenmeyecekti. Ece haritanın yanına yeni bir sütun ekledi. Bu ders, güncellemeyi bir kerelik bir iş olmaktan çıkarıp evin ve işin düzenli bir parçası yapmayı anlatıyor.

Tek fikir

Güncelleme tek seferlik bir iş değil, bir düzendir: kendiliğinden olanı açık tut, elle yapılması gerekeni takvime bağla, güncellenemeyeni bil ve değiştirmeyi planla.

Nasıl çalışır

Güncelleme neden önemli dersinde yamanın bir açığı kapattığını, desteği biten bir ürünün ise artık yama almadığını gördük. Bu modül cihazlarını güvenli tutmanın gündelik pratiğine ayrılmış; ilk adımı da o bilgiyi bir düzene çevirmek.

Bir evde ya da küçük bir işyerinde güncelleme üç türlü gerçekleşir. Birincisi kendiliğinden olandır: telefonlar, tarayıcılar ve işletim sistemlerinin çoğu, ayar açık olduğunda güncellemeleri kendileri indirir ve kurar.

Duru'nun bilgisayarında olan tam buydu: güncelleme gelmiş, ama yeniden başlatma ertelendiği için kapatması gereken açıklar üç hafta açık kalmıştı. Otomatik güncellemenin işe yaraması için yeniden başlatmanın da bir yeri olmalıdır: işin bölünmeyeceği bir saatte, ama ertelenmeden.

İkinci tür, elle yapılması gerekendir. Modemler, ağ cihazları, bazı yazıcılar, kameralar ve akıllı ev cihazları çoğu zaman kendiliğinden güncellenmez; üreticinin uygulamasından ya da cihazın yönetim sayfasından bir kişinin güncellemeyi başlatması gerekir. Bu cihazlar unutulmaya en yatkın olanlardır, çünkü gözle görülmezler ve her gün kullanılmazlar.

Üçüncü tür, hiç güncellenmeyecek olandır: desteği bitmiş ya da üreticisi hiçbir zaman güncelleme yayımlamamış cihazlar. Bunlar için tek seçenek, onları neyin ne zamana kadar desteklendiğini bilerek kullanmak ve değiştirmeyi planlamaktır. Bu bilgiyi satın alırken öğrenmek, sonradan keşfetmekten çok daha kolaydır.

Düzenin bir parçası da sürüm takibidir. Bir cihazın hangi sürümde olduğunu bilmek, bir uyarı yayımlandığında o uyarının seni ilgilendirip ilgilendirmediğini birkaç saniyede anlamanı sağlar. Bir üretici bir açığın belirli bir sürümde kapatıldığını duyurduğunda, envanterindeki sürüm numarasına bakmak, cihazın güvende olup olmadığını tahmin etmek yerine bilmektir.

Güncelleme düzeninin son parçası önceliktir. Her ay onlarca yama yayımlanır ve her birini aynı aciliyetle uygulamak, özellikle kurumlarda, mümkün değildir. Bir açığın gerçekten saldırılarda kullanılıyor olması, onu sıranın en başına taşır.

Sahada

Savunma

Güncelleme düzeninin savunmadaki işi, bilinen açıkların cihazlarında olabildiğince kısa süre açık kalmasıdır.

İlk savunma, kendiliğinden güncellenebilen her şeyde otomatik güncellemeyi açık tutmaktır: işletim sistemleri, tarayıcılar, telefon uygulamaları, oyun platformları. Kapatılmış ya da ertelenmiş otomatik güncelleme, Duru'nun yaptığı gibi bir rahatsızlıktan kaçmak için kapanır ve sonra unutulur. Rahatsızlığın çözümü güncellemeyi kapatmak değil, yeniden başlatma için uygun bir saat seçmektir.

İkinci savunma, elle güncellenen cihazlar için bir takvimdir. Modem, ağ cihazları, kameralar, yazıcılar ve akıllı ev cihazları ayda bir kez, örneğin ayın ilk pazarındaki güvenlik turunda, kontrol edilir. Envanterde her cihazın yanında, nasıl güncellendiği ve son güncellemenin tarihi yazılıdır.

Üçüncü savunma, destek süresini bilmektir. Her cihaz için güncellemelerin ne zamana kadar geleceği öğrenilir ve envantere yazılır; süresi dolmuş cihazlar, Modül 2'de Kaan'ın şirketinde gördüğümüz gibi, daha az önemli görevlere çekilir, ağdan ayrılır ya da değiştirilir. Yeni bir cihaz alınırken, Bora'nın şartnamesindeki gibi, üreticiye kaç yıl güncelleme vereceği sorulur.

Kurumlar için dördüncü savunma, önceliklendirmedir. Bütün yamalar aynı hızda uygulanamaz; gerçek saldırılarda kullanılan açıklar, internete açık sistemlerdeki açıklar ve yetkili hesaplara ulaşan açıklar önce kapatılır. Güncellemeler bir test grubunda denenir, sonra geniş kitleye uygulanır; bir güncelleme sorun çıkarırsa geri alma yolu önceden bellidir. Bu düzen, Seviye 2'deki zafiyetler ve yama yönetimi modülünde ayrıntılı ele alınacak.

Son olarak, güncelleme yalnız cihazlarla sınırlı değildir: bir cihazın içindeki uygulamalar, tarayıcı eklentileri ve oyun platformları da ayrı ayrı güncellenir. Bir cihazın kendisi güncel olsa bile, içinde aylardır güncellenmemiş bir uygulama durabilir.

Uygulama

Evindeki ya da işindeki cihazların güncelleme durumunu tek bir tabloda toplayacak ve cihaz cihaz bir düzen kuracaksın.

İlk tur bir akşam sürer; sonraki turlar, tablo hazır olduğu için on beş dakikayı geçmez.

Defter: Cihaz envanterinde dört yeni sütun. Destek süresi dolmuş cihazlar için yazılı karar ve tarih. Aylık güvenlik turuna bir satır: elle güncellenen cihazları kontrol et, bekleyen yeniden başlatmaları yap.

Hata köşesi

Etik ve sınırlar

Bu dersteki tur, senin ve evinde yaşayanların cihazları içindir; başka birinin telefonuna ya da bilgisayarına güncelleme kurmak, onun izni ve bilgisiyle yapılır, çünkü yeniden başlatma onun işini bölebilir ve bazı güncellemeler alışkanlıklarını değiştirir. Kurumlarda güncellemeleri kimin, hangi sistemlerde, hangi bakım pencerelerinde uygulayacağı yetkiyle belirlenir; bir çalışanın kendi başına bir sunucuyu ya da tıbbi bir cihazı güncellemesi, hizmeti kesintiye uğratabilir. Desteği bitmiş bir cihazı başkasına verirken de durumunu söylemek gerekir; güncelleme almayan bir telefonu bir yakına "çalışıyor" diye vermek, riski haber vermeden devretmektir.

Kapanış

1. Güncelleme bir düzendir: otomatik güncellemeyi açık tut ve yeniden başlatmayı ertelemeden uygun bir saate bağla, elle güncellenen cihazları takvime koy, güncellenemeyen cihazları bil.
2. Tanımlı destek süresi bir cihazın kaç yıl güvenlik güncellemesi alacağını gösterir; satın almadan önce sorulmalı, envantere yazılmalı ve süresi dolan cihaz için bir karar verilmelidir.
3. Bütün yamalar aynı aciliyette değildir; gerçek saldırılarda kullanılan bilinen istismar edilen açıklar önce kapatılır ve kurumlarda güncellemeler test edilip geri alma yolu hazırlanarak uygulanır.

Üç soru

1. Duru'nun bilgisayarında güncelleme indirildiği hâlde açıklar neden kapanmamıştı?
2. Gülay Hanım yüzlerce yama arasından hangisini neden aynı gece uyguladı?
3. Bora neden kamera teklifi veren firmalardan birini eledi?

Yanıtlar

1. Güncellemenin etkinleşmesi için bilgisayarın yeniden başlatılması gerekiyordu ve Duru yeniden başlatmayı üç hafta boyunca erteledi. İndirilmiş ama uygulanmamış bir güncelleme, açığı kapatmaz. Çözüm güncellemeyi kapatmak değil, yeniden başlatmayı işini bölmeyecek bir saate bağlamaktı.
2. Şirketteki bir ağ cihazındaki açığı, bilinen istismar edilen açıklar kataloğunda buldu; yani o açık gerçek saldırılarda kullanılıyordu. Teorik bir açıktan farklı olarak bu açık beklemeye dayanamazdı. Geri kalan güncellemeler test grubundan geçerek olağan takvimle uygulandı.
3. Firma, kameraların kaç yıl güvenlik güncellemesi alacağını yazılı olarak bildiremedi. Destek süresi bilinmeyen bir cihaz, ne zaman açıklarla baş başa kalacağı bilinmeyen bir cihazdır. Bora bu bilgiyi şartnamede şart koştu ve diğer kameraların destek bitiş tarihini envantere yazdı.

Sonraki derse köprü

Güncel bir telefon, bilinen açıklara karşı korunur. Ama güncel bir telefonda bile, bir el feneri uygulamasının rehbere, bir oyunun mikrofona, bir alışveriş uygulamasının her an konuma erişmesine kim izin verdi? Güncellemeler cihazın kapılarını onarır; izinler ise o kapıların kime açık olduğunu belirler. Ders 8.2 telefon ve uygulama izinlerini ele alıyor: konum, mikrofon ve rehber izinlerini okumayı ve gereksiz olanları geri almayı.