İlkeleri bir ofise uygulamak

Açılış

Kaan'ın çalıştığı lojistik şirketi, İzmir limanının yakınında yirmi kişilik bir gümrük müşavirliği ofisini satın aldı. Satın almanın ertesi haftası Gülay Hanım, Kaan'la birlikte ofise gitti. Görevleri basit görünüyordu: ofisin bilgisayar düzenini şirketin düzenine bağlamadan önce, onu bir kez baştan sona görmek.

İlk gün bir kâğıda gördüklerini yazdılar. Ofisin tek bir kablosuz ağı vardı; çalışanlar, misafirler, toplantı odasındaki televizyon ve mutfaktaki kahve makinesi aynı ağdaydı. Bütün çalışanlar kendi bilgisayarlarında yöneticiydi. Dosya sunucusundaki her klasörü herkes açabiliyordu, gümrük beyannamelerinin taranmış kopyaları dahil. Sunucuya ve yedek cihazına aynı parolayla giriliyordu; o parola ofis müdürünün masasındaki bir not kâğıdındaydı. Evden çalışanlar bir uzaktan erişim bağlantısıyla bağlanıyor ve bağlandıkları anda bütün ağı görüyorlardı. Yazıcının yönetim sayfası, kutudan çıktığı parolayla açılıyordu.

Kaan listeyi okuyunca bir an ne diyeceğini bilemedi. "Nereden başlayacağız?"

Gülay Hanım kâğıdı çevirdi ve arka yüzüne modülün yedi ilkesini alt alta yazdı; en üste sıfır güveni, en alta katmanlı savunmayı koydu, aralarına dar yetkiyi, güvenli kutu ayarını, ayrılmış görevleri, dar yüzeyi ve arızada kapanan kapıyı. "Her bulguyu bir satırın yanına koyacağız," dedi. "Sonra hangi satırın en çok bulgusu olduğuna bakacağız. Bir haftada hepsini düzeltmeyeceğiz. Ama bir haftada hepsini nereye koyacağımızı bileceğiz."

Tek fikir

Mimari ilkeler tek tek değil, birlikte uygulanır ve en iyi bir haritayla uygulanır: ofisin bugünkü hâli çıkarılır, her bulgu ihlal ettiği ilkenin yanına yazılır, hedef hâl çizilir ve ikisi arasındaki yol, en yüksek riskten başlayan küçük ve kalıcı adımlara bölünür.

Nasıl çalışır

Bu modülde yedi mimari ilkeyi ayrı ayrı gördük. Bu atölye onları tek bir yerde, gerçek bir ofisin karmaşasında bir araya getiriyor.

Bir kurumun mimarisinin bu ilkelerle nasıl düşünülebileceğini, Birleşik Krallık'ın siber güvenlik merkezinin kurumlar için hazırladığı on adımlık bir rehberin bir bölümü toplu olarak anlatır.

NCSC'nin metninde bir kavram bu atölyenin merkezindedir.

Gümrük ofisinin bulguları, bu yolun ne kadar kısa olduğunu gösteriyordu. Bir çalışanın bilgisayarı ele geçirilse, o bilgisayar yöneticiydi; aynı ağdaki sunucuyu görüyordu; sunucunun parolası yedeğin de parolasıydı. Tek bir hata, yedekler dahil her şeye götürebilirdi. Bu modülün yedi ilkesinin hepsi, bu yolu farklı bir yerinden uzatmanın yollarıdır.

Bir ilke ise ötekilerin işe yarayıp yaramayacağını belirler.

Bu iki kaynak birlikte atölyenin yöntemini verir. NCSC neyin yapılacağını söyler; Saltzer ve Schroeder, yapılanın yaşaması için kullanıcıların onu kabul etmesi gerektiğini hatırlatır.

Sahada

Savunma

Bir ofise ilkeleri uygulamanın savunmaya katkısı, dağınık bir önlemler listesini bir yön duygusuna çevirmesidir. Hangi önlemin hangi riski kapattığı ve hangisinin önce gelmesi gerektiği görünür olur.

Önce bugünkü hâli dürüstçe çıkar. Ofisin ağını, hesaplarını, cihazlarını, sunucularını, yedeklerini ve uzaktan erişim yollarını gerçekte olduğu gibi yaz. Kâğıt üzerindeki düzen değil, not kâğıdındaki parola dahil gerçek düzen.

Sonra her bulguyu bir ilkenin yanına koy. Bu eşleme, sorunların dağınık olmadığını, birkaç kök nedenden çıktığını gösterir. Gümrük ofisinde bulguların çoğu iki kökten geliyordu: her şeyin tek bir hesapta toplanması ve ağın düz olması.

Sonra en kısa saldırı yolunu bul. Bir çalışanın bilgisayarından yedeklere kadar kaç adım var? Yanal hareketi uzatan önlemler, yani bağımsız yedekler, ayrı yönetici hesapları ve bölünmüş ağ, genellikle önce gelir.

Sonra adımları küçük ve kalıcı tut. Erdem Bey'in otuz günlük planı her dalgada geri alınmayacak bir değişiklik yaptı. Büyük ve tek seferlik bir dönüşüm yerine, her biri kalıcı olan küçük adımlar.

Kullanıcıları önlemin içine al. Psikolojik kabul edilebilirlik bir lüks değil, önlemin yaşamasının koşuludur. Donanım anahtarları ikinci adımı ortadan kaldırmadı; onu çalışanların işine uyacak biçime soktu.

Tespit tarafında yeni mimari daha net bir resim verir: ayrılmış ağlar ve sınırlı iletişim yolları sayesinde, NCSC'nin dediği gibi, kötü niyetli davranış normal işleyişten daha kolay ayrışır.

Uygulama

Bu atölyede kendi küçük çevrenin, bir ofisin, bir derneğin ya da genişçe bir hanenin mimarisini yedi ilkeyle yeniden çizeceksin.

Tablodaki örnek satırlar gümrük ofisinden alınmıştır; kendi tablonu kendi çevrenin gerçek hâliyle doldur.

Defter: Seçilen çevre ve sahibi, bugünkü hâlin çizimi, yedi satırlık ilke tablosu, bir cihazdan yedeklere en kısa yolun adım sayısı, hedef hâl cümleleri, üç dalgalık plan, kullanıcılar için yapılan kolaylaştırmalar ve ilk dalganın onay tarihi.

Hata köşesi

Etik ve sınırlar

Bir ofisin mimarisini çıkarmak, o ofisin bütün zayıf noktalarını tek sayfada toplamaktır; bu çalışma yalnız sahibinin ya da yöneticisinin daveti ve yetkisiyle yapılır, ve ortaya çıkan harita ofisin güvenliğinden sorumlu birkaç kişinin dışında kimsenin göremeyeceği bir yerde durur. Gülay Hanım ve Kaan gümrük ofisine şirketin satın alma kararından sonra, ofis müdürünün bilgisiyle gittiler; not kâğıdındaki parolayı gördüklerinde onu kullanmadılar, yalnız kaldırılması gerektiğini yazdılar. Gümrük beyannameleri gibi belgeler müşterilerin kişisel ve ticari verilerini içerir; mimari değişiklikler sırasında bu verilerin kopyalanmaması, gereksiz yere açılmaması ve taşınırken korunması da bu işin bir parçasıdır. Çalışanların yetkileri azaltılırken onlara nedeni anlatılır; yetki kaybı, onlara güvenilmediği şeklinde değil, ofisi ve onları koruyan bir düzen olarak açıklanır.

Kapanış

1. Mimari ilkeler birlikte uygulanır: ofisin bugünkü hâli çıkarılır, her bulgu ihlal ettiği ilkenin yanına yazılır ve bulguların hangi kök nedenlerden çıktığı görülür.
2. Önce en kısa saldırı yolu uzatılır: bağımsız yedekler, ayrı yönetici hesapları ve bölünmüş ağ, yanal hareketi zorlaştıran ilk adımlardır.
3. Değişiklikler küçük, kalıcı ve dalgalar hâlinde yapılır; psikolojik kabul edilebilirlik gözetilmezse kullanıcılar önlemin etrafından dolaşır.

Üç soru

1. Gümrük ofisindeki en tehlikeli satır neden derinlemesine savunmaydı, en kalabalık satır en az ayrıcalık olduğu hâlde?
2. İkinci doğrulama adımına gelen şikâyet nasıl çözüldü ve bu hangi ilkeyi gösterir?
3. Kaan otuz günlük planı neden üç dalgaya böldü?

Yanıtlar

1. Sunucu ve yedek cihazı aynı parolayla açılıyordu; bir fidye yazılımı ya da tek bir ele geçirilmiş hesap, hem verileri hem de onları kurtaracak yedekleri birlikte götürebilirdi. En az ayrıcalık bulguları daha çoktu, ama derinlemesine savunmadaki tek açık, kurtarma imkânını tamamen ortadan kaldırabilecek olandı.
2. Çalışanlar günde onlarca kez kod girmekten şikâyet etti ve bazıları telefonlarını kilitsiz bırakmaya başladı. Gülay Hanım donanım güvenlik anahtarları ve ortak kimlik girişi getirdi; çalışanlar sabah bir dokunuşla giriyordu. Bu, Saltzer ve Schroeder'in psikolojik kabul edilebilirlik ilkesini gösterir: önlem kullanıcının işine uyduğunda, etrafından dolaşılmaz.
3. Her şeyi bir anda değiştirmek geri dönüşü zorlaştırır ve bir şey bozulduğunda nedeni bulmayı güçleştirir. Dalgalar, en kısa saldırı yolunu uzatan adımları başa aldı ve her dalgada kalıcı, ölçülebilir bir değişiklik yaptı; müdür de ilk dalgayı hemen onaylayabildi.

Sonraki derse köprü

Bu modülde savunmanın mimarisini kurduk. Saldırı zinciri kavramı dersi aynı ofise karşı taraftan bakıyor: bir saldırının hangi aşamalardan geçtiğini ve savunmacının her aşamada onu nerede durdurabileceğini.