Derinlemesine savunma

Açılış

Salı sabahı Bora'nın masasına bir olay notu düştü. Laboratuvardaki bir bilgisayarda, sahte bir kargo bildirimi taşıyan e-postanın ekini açan bir çalışanın ekranında kısa bir uyarı belirmiş, ek çalışmadan kapanmıştı. Kimse zarar görmemişti.

Bora olayı geriye doğru izledi. E-posta filtresi mesajı geçirmişti; gönderen adres yeniydi ve henüz hiçbir listede yoktu. Çalışan eki açmıştı; geçen ayki oltalama eğitimine yoğunluktan katılamamıştı. Bilgisayardaki uç nokta koruma yazılımı ise eki çalıştırmadan durdurmuştu.

Üç katmandan ikisi delinmişti. Üçüncüsü tutmuştu.

Bora notu kapatmadan önce bir şey daha düşündü. Uç nokta yazılımı da tutmasaydı ne olacaktı? Bilgisayar arşiv sunucusuna bağlıydı. Arşiv sunucusunun yedekleri vardı. Ama yedekleme sunucusu, arşiv sunucusuyla aynı yönetici hesabıyla yönetiliyordu. O hesabı ele geçiren biri, arşivi de yedekleri de aynı anahtarla açabilirdi.

Kâğıt üstünde beş katman vardı. Bora o akşam, kaç tanesinin gerçekten birbirinden bağımsız olduğunu saymaya başladı.

Tek fikir

Derinlemesine savunma, birbirinden bağımsız birçok önlemi üst üste koyarak tek bir önlemin çökmesini felaket olmaktan çıkarır. Katmanların değeri sayısından değil, birbirinden farklı biçimlerde başarısız olmalarından gelir; aynı zayıflığı paylaşan katmanlar, tek bir katman gibi davranır.

Nasıl çalışır

Modül 3'te ağ katmanlarını gördüğümüzde derinlemesine savunmadan kısaca söz etmiştik. Bu modül, bir kurumun güvenlik mimarisini kuran ilkeleri tek tek ele alıyor ve ilki bu.

Kavramın resmî tanımları, ABD'nin güvenlik standartlarını yayımlayan kurumun sözlüğünde yan yana durur.

Bu iki tanımdaki üç sözcük dersin geri kalanını taşır.

Birincisi, insan, teknoloji ve işleyiş. Katmanlar yalnız yazılım değildir. Bora'nın olayında bir katman teknik bir filtre, bir katman bir çalışanın dikkati, bir katman bir yazılımdı. Bir eğitim, bir onay prosedürü, bir kilitli kapı da katmandır.

İkincisi, birbirini tamamlayan. Katmanların amacı aynı işi iki kez yapmak değil, birbirinin boşluğunu kapatmaktır. Önleyen bir katmanın arkasına, önleme başarısız olursa olayı fark eden bir tespit katmanı ve fark edildikten sonra zararı sınırlayan bir toparlanma katmanı konur.

Üçüncüsü, farklı türde. Endüstriyel standardın tanımı açıkça farklı teknolojilerden söz eder, çünkü aynı türden iki katman çoğu zaman aynı şeyi kaçırır. Bora'nın sorunu buradaydı.

Arşiv sunucusu ile yedekleme sunucusu iki ayrı katman gibi görünüyordu. Ama aynı yönetici hesabını paylaştıkları için, o hesap bir arada ikisinin de anahtarıydı. Derinlemesine savunmanın en sık yanılsaması budur: katman sayılır, ama bağımlılıklar sayılmaz.

Katmanların neden tek tek mükemmel olmak zorunda olmadığını en iyi anlatan modellerden biri güvenlik mühendisliğinden değil, hasta güvenliğinden gelir.

Reason'ın modelinden savunma için iki sonuç çıkar. Birincisi, hiçbir katmanın kusursuz olması beklenmez; beklenen, deliklerin aynı yere denk gelmemesidir. İkincisi, en tehlikeli delikler anlık hatalar değil, kimsenin bakmadığı gizli koşullardır: Bora'nın yönetici hesabı gibi, yıllar önce kolaylık için verilmiş bir karar.

Sahada

Savunma

Derinlemesine savunma bir ürün değil, bir düzendir. Uygulamasının dört alışkanlığı vardır.

Önce katmanları türüne göre çeşitlendir. Önleme, tespit ve toparlanma katmanlarının her birinden en az biri olsun; teknik katmanların yanında insan ve prosedür katmanları da bulunsun. Bora'nın olayında üçüncü katman bir yazılımdı; ama bir başka gün bunu dikkatli bir çalışan ya da onay isteyen bir prosedür yapabilirdi.

Sonra her katmanın neye dayandığını yaz. Bir katman tablosu, katmanları değil bağımlılıkları sayar: hangi hesap, hangi ağ, hangi kişi, hangi yazılım. Aynı satırı paylaşan iki katman, ortak bağımlılık adayıdır. Kaan'ın üç kapısı tek bir parolaya dayanıyordu.

Sonra en kritik varlığa en yakın katmanı en bağımsız yap. Yedekler, saldırganın ulaşmak isteyeceği son katman olduğu için, öteki sistemlerin hesaplarından ve ağlarından en uzak duran katman olmalıdır.

Son olarak gizli koşulları ara. Reason'ın uyardığı gibi en tehlikeli delikler yıllardır orada duranlardır: eski bir hesap, yanlış adrese giden bir uyarı, kolaylık için verilmiş bir yetki. Bunları bulmanın yolu katmanları ara ara sınamaktır: yedek geri yüklenebiliyor mu, uyarı gerçekten birine ulaşıyor mu, ikinci adım gerçekten soruluyor mu?

Tespit tarafında derinlemesine savunma ayrı bir kazanç da sağlar: bir katmanın yakaladığı her olay, ötekilerin neden kaçırdığını gösteren bir ipucudur. Bora'nın olay notu, filtrenin ve eğitimin deliklerini görünür kıldı.

Uygulama

Kendi önemli bir varlığın için katmanları sayacak ve ortak bağımlılıkları bulacaksın.

Tabloyu bitirdiğinde, kâğıt üstündeki katman sayısını ve ortak bağımlılıkları çıkardıktan sonra kalan gerçek katman sayısını yan yana yaz.

Defter: Seçilen varlık, katman tablosu (önlem, tür, dayandığı şey), işaretlenen ortak bağımlılıklar, bulunan gizli koşul, yapılan değişiklik, kâğıt üstündeki ve gerçek katman sayısı.

Hata köşesi

Etik ve sınırlar

Bir kurumun katmanlarını ve ortak bağımlılıklarını çıkarmak, o kurumun en zayıf noktalarının haritasını çıkarmaktır; bu çalışma ancak sahibinin görevlendirmesi ve yetkisiyle yapılır, ve haritanın kendisi yalnız onu korumakla görevli kişilerin erişebileceği bir yerde durur. Katmanların "ara ara sınanması" da izinle yapılır: kendi yedeğini geri yüklemek serbesttir, ama bir kurumun filtresini ya da uç nokta yazılımını denemek için gerçek bir zararlı göndermek, sahibinin yazılı onayı ve önceden çizilmiş sınırlar gerektirir. Bora'nın olay notu bir çalışanın hatasından doğdu, ama Reason'ın modelinin asıl dersi suçlamanın işe yaramadığıdır: eğitimi kaçıran çalışan bir delikti, ama o deliği açan yoğunluk ve takvim de sistemin parçasıydı. Olay incelemeleri kişileri cezalandırmak için değil, katmanları güçlendirmek için yapılır.

Kapanış

1. Derinlemesine savunma, insan, teknoloji ve işleyişten oluşan, birbirini tamamlayan katmanlar kurar; bir katmanın kaçırdığını bir başkası yakalar.
2. Katmanların değeri bağımsızlıklarından gelir: aynı hesaba, cihaza ya da kişiye dayanan katmanlar ortak bağımlılık taşır ve birlikte çöker.
3. Her katmanın delikleri vardır; zarar delikler hizalandığında oluşur, ve en tehlikeli delikler yıllardır uykuda duran gizli koşullardır; bu yüzden katmanlar ara ara sınanır.

Üç soru

1. Bora'nın olayında hangi katmanlar delindi, hangisi tuttu ve bu neyi gösterir?
2. Kaan'ın saydığı üç katman neden gerçekte üç katman değildi?
3. Defne Hanım'ın bürosundaki yedek uyarıları neden bir gizli koşuldu?

Yanıtlar

1. E-posta filtresi yeni gönderen adresi tanımadığı için mesajı geçirdi, eğitimi kaçırmış çalışan eki açtı, bilgisayardaki uç nokta yazılımı ise eki çalıştırmadan durdurdu. İki katmandaki delikler hizalanmıştı ama üçüncü katman tuttu; tek katmanın deliği zarara yol açmadı.
2. Şirket ağına bağlantı, yönetim paneli ve sunucu aynı dizin hesabıyla açılıyordu ve ikinci adım yalnız ilk kapıdaydı. Tek bir parola üç kapının da anahtarıydı; bu ortak bağımlılık üç katmanı gerçekte bir katmana indiriyordu.
3. Yedek cihazı her gece çalışıyor ve uyarı gönderiyordu, ama uyarılar ayrılmış teknisyenin adresine gitmeye devam ediyordu. Bu, geçmişte verilmiş ve kimsenin fark etmediği bir yapılandırma kararıydı; bir gün yedek başarısız olsa kimse bilmeyecekti. Reason'ın tarif ettiği gibi uykuda bekleyen bir delikti.

Sonraki derse köprü

Bora'nın yönetici hesabı iki katmanı birden açabiliyordu, çünkü gerektiğinden fazla şeye erişebiliyordu. En az ayrıcalık dersi bu sorunun kendisine bakıyor: her hesabın ve her kişinin yalnız işi kadar yetkiye sahip olması, ve yetkilerin zamanla nasıl sessizce biriktiği.