Ağ Yönetimi Ve Bilgi Güvenliği Dersi 8. Ünite Özet

Giriş

Günümüzde elektronik cihazlar ve sistemler her yerde karşımıza çıkar ve iletişim, gizlilik, finans, bilim, sanat ve konuşma özgürlüğü gibi modern yaşamın önemli yönlerini etkiler. Elektronik sistemlerin ve altyapının güvenliği ve güvenilirliği her zaman yüksek seviyede endişe kaynağı olmuştur. Bu güvenliği sağlamak son derece zordur. Çünkü sisteme sızmak isteyen bir saldırganın kötü niyetli işlemlerini gerçekleştirmek için tek bir zayıflık bulması yeterliyken, sistemi savunan yapılar sistem güvenliğini sağlamak için sistemi sonsuz sayıda olası güvenlik açıklıklarına karşı korumak için çaba gösterirler. Saldırgan ve sistemi savunan mekanizma arasındaki bu ilişki düşünülürse, güvenlik mekanizmasının hedefi belirli bir tehdit modeli göz önüne alındığında bir güvenlik açığı sınıfının tespit edilmesi ve önlenmesidir. Tüm tehdit modelleri ve güvenlik açıklarını belirleme ve çözme görevi hiçbir zaman tamamen bitirilebilecek bir iş değildir. Bu yüzden her yeni çıkan ve çıkabilecek tehdit için sistem güvenlik politikası sürekli geliştirilmeli ve sistemin güvenlik boşlukları kapatılmalıdır.

Sistem güvenliği , bilgi sistemi kaynaklarının bütünlüğünü, erişilebilirliğini ve gizliliğini korumak amacıyla uygulanacak tedbirler bütünüdür. Sistem güvenliği tanımında verilen üç temel güvenlik kavramı kısaca şöyle açıklanabilir:

• Gizlilik: Bilginin yetkisiz kişilere ifşasının önlenmesi.
• Bütünlük: Bilginin yetkisiz kişiler tarafından değiştirilmesinin önlenmesi.
• Hazır Bulunma (Erişilebilirlik): Bilgi veya kaynakların yetkisiz bir şekilde alıkonulmasının önlenmesi.

Sistem güvenliğinde gizlilik, bütünlük ve erişilebilirlik olarak sıralanan bu üç unsur büyük önem arz etmektedir. Bilginin yalnızca erişim hakkı tanınmış kişiler tarafından ulaşılabilir olması, bilginin bütünlüğünün ve doğruluğunun temin edilmesi ve yetkili kullanıcıların ihtiyaç duydukları bilgiye her an erişebilmelerinin garanti altına alınması bilgi güvenliğinin temelini oluşturur. Sistem güvenliği uygulamalar, politikalar, yöntemler, yazılım ve donanım fonksiyonları ve organizasyon ile ilgili yapılar gibi birbiri ile ilişkili uygun denetim sağlama araçları ile temin edilebilir. Sisteme nüfuz etmeye çalışan bir saldırgan, sistemde istismar edebileceği mevcut herhangi bir açığı kullanarak sistemin içine izinsiz girebilir. Bundan korunmak için sistemin gizlilik, bütünlük ve hazır bulunma özelliklerinin korunması sağlanmalıdır. Sistemde bu özelliklere sahip olabilmek için erişimin kontrolü, denetimi ve hata kurtarma gibi birtakım teknik güvenlik önlemleri uygulanması gerekmektedir. Bunlara ek olarak sistem, gerçekliği (kimliği) ve hesap verebilirliği (mesuliyet) açısından da desteklenirse bütüncül güvenlik sağlanmış olur. Sistem, yazılım ve donanım bileşenleri ile birlikte bir bütün olarak düşünülmelidir.

Güvenlik açıklarından doğan güvenlik tehditleri, sistem üzerinde güvenlik riski oluşturur. Sistemin kaynakları, yani sistemin toplam değerinin büyüklüğü de güvenlik riskini arttıran bir etmendir. Bu riski minimum düzeye indirmek ve hatta ortadan kaldırmak için güvenlik politikası ile birtakım mekanizmalar geliştirilir. Güvenlik politikası sistemde ortaya çıkan tehditleri azaltan ve hatta bu tehditler karşısında sistemi kurtaran birtakım karşı önlemler alır. Temel anlamda sistem güvenliği, sistemde oluşan riskleri en düşük seviyeye indirmek için alınması gereken güvenlik politikası ve mekanizmaların bütünü olarak açıklanabilir.

Sistem Güvenliği ile İlgili Temel Terimler

Sistem güvenliği ile ilgili bilinmesi gereken temel terimler aşağıda kısaca tanımlanmıştır.

Güvenlik Açığı: Sistemin güvenlik politikasını ihlal etmek için kullanılabilecek, sistemin tasarımında veya gerçeklemesinde ortaya çıkan, tasarımcı tarafından düşünülmemiş zayıflıklar olarak tanımlanır.

Tehdit: Bir güvenlik açığından yararlanabilecek olası bir tehlike, tehdit kavramını ifade eder. Güvenliği ihlal etme potansiyeli olarak da ifade edilir.

Risk: Bilgi veya kaynak kaybı olasılığı, sistem güvenliğinde risk olarak tanımlanır. Belirli bir tehdidin sistemde bulunan bir güvenlik açığından yararlanarak sistemi zarara uğratma olasılığını ifade eder.

Saldırgan: Sisteme saldıran kişi ya da kuruluş olarak tanımlanır.

Saldırı: Sistem ve bilgi güvenliği önlemlerini aşmak için bir güvenlik açığından yararlanıp sisteme akıllı bir şekilde izinsiz girmeye denir. Sistemdeki güvenlik servislerini aşan ve güvenlik politikalarını ihlal eden kasıtlı bir girişimdir.

Karşı Önlem: Sistem üzerindeki tehdidi, saldırıya açıklığı veya saldırının neden olabileceği zararları öngörüp bunları azaltarak ortadan kaldırmaya ya da engellemeye yönelik bir eylemdir. Bu amaca yönelik uygulanan araç, yöntem veya teknikler karşı önlem olarak adlandırılır.

Sistem Kaynakları: Sistemin kendisi, sistem yetenekleri, sistem hizmetleri, donanım bileşenleri, iletişim hatları vb. varlıklar sistem kaynağı olarak kabul edilir.

Güvenlik Politikası: Gizli kalması gereken verileri ve kritik sistem kaynaklarını korumak için sistemin güvenlik hizmetlerini nasıl sağladığını belirten birtakım kural ve uygulamalardan oluşan prensipler bütünüdür.

Sistem Güvenliği İçin Tehditler

Uluslararası Standartlar Teşkilatının yayınladığı bilgi güvenliğinde risk yönetimi ile ilgili olan standartları içeren ISO 27005 standardında tehdit, sistemden oluşabilecek olası bir olay, sistemin ve/veya organizasyonun zarar görmesine neden olması olarak tanımlanmıştır. Gizlilik, bütünlük ve erişilebilirlik olarak bilinen üç önemli güvenlik servisi, bir sistemin güvenliğine yönelik tehditler karşısında koruma mekanizması olarak görev alır.

Shirey (1994) tehditleri dört ana sınıfta incelemiştir:

1. Ele geçirme: Gözetleme, ifşa etme veya yetkisiz bilgiye erişim,
2. Uydurma/Üretme: Aldatma veya sahte verilerin kabul edilmesi,
3. Kesinti: Bozulma, kesinti veya doğru çalışmayı engelleme,
4. Değişiklik: Zorla el koyma veya bir sistemin bir bölümünün yetkisiz kontrolü; sadece yetkisiz erişim elde etmekle kalmaz, aynı zamanda bilgiyi değiştirir.

Araya girme (Snooping), bilginin izinsiz bir şekilde ele geçirilmesidir ve bir gözetleme biçimi olarak değerlendirilir. Pasif bir tehdit biçimidir; tehdit eden varlığın sistemin bilgisini ve dosyalarını taraması veya iletişimini dinlemesi örnek olarak verilebilir. Pasif olarak “hatta girme”, hattı dinleyerek bir ağın izlendiği gözetleme biçimidir. Ağı oluşturan fiziksel kablo hatları nedeniyle “hatta girme” ya da “Telekulak” olarak adlandırılır. Ancak herhangi bir fiziksel kablolama söz konusu olmadığında bile bu terim kullanılır. Gizlilik hizmeti bu tehdide karşı koruma mekanizması olarak görev yapar. Böyle bir tehdidin oluşması durumunda gizlilik hizmeti tarafından sunulan bilgi güvenliği mekanizmaları ile hat dinlense bile içindeki veriye ulaşmak mümkün olmayacaktır.

Değişikliğe uğratma veya modifikasyon, yetkisiz olarak bilginin değiştirilmesidir. Yukarıda bahsedilen tehdit sınıflarından üçünü birden kapsar. Modifikasyon ile asıl hedeflenen, aldatma tehdidi oluşturmaktır. Çünkü bazı sistemler sistemdeki veriler üzerinde değişiklik yaparak hangi eylemi yapacağını belirler. Bu değişikliğe uğratılan veriler tehdit eden varlıklar tarafından değiştirilerek yapılacak eylemin kendi amaçlarına hizmet eden başka bir eylem olması sağlanır veya yanlış bir bilgiyi doğru olarak kabul ettirme durumunu oluştururlar. Gözetleme tehdidinin aksine modifikasyon aktif bir tehdit biçimidir. Bir varlığın bilgiyi değiştirmesinden kaynaklanır. Ağ üzerinde iletilen verinin değiştirilerek alıcı tarafa ulaşması, aktif olarak hattı dinleme ve hattaki bilgiyi değiştirme olduğundan modifikasyon tehdidi sınıfına girer. Buradaki “aktif” kelimesi, bu tehdidin gözetleme tehdidinden ayrılmasını sağlar. Bir saldırganın gönderenden gelen iletileri okuması ve bu iletileri değiştirerek, alıcı ve gönderici farkında olmadan alıcıya ulaşmasını sağlaması modifikasyon tehdididir. Saldırgan, gözetleme tehdidinde pasif modda verileri sadece dinlerken, modifikasyon tehdidinde ise aktif bir biçimde verileri değiştirerek sisteme saldırı gerçekleştirmektedir

Sahtecilik veya olduğundan başkası gibi görünmek, bir varlığın başkasının kimliğine bürünerek sistemde yetkisi olmayan servislerden faydalanması ya da sisteme erişerek sistemin doğru çalışmasını engellemek istemesidir. Aldatma ve zorla el koyma tehdit sınıfları içinde değerlendirilen bir tehdit çeşididir. Burada saldırıya maruz kalan sistemin iletişim kurduğu varlığın farklı bir varlık olduğuna inanması sağlanmıştır.

Güvenlik açıkları donanım, yazılım ve veri olmak üzere üç ana kısımda incelenebilir. Sistemin donanım bileşenlerinden kaynaklanan açıklara örnek olarak kasıtlı veya kasıtlı olmayan bir fiziksel hasar verilebilir. Sistemin kendisinde, kaynaklarında veya sistem ile ilgili ekipmanda hasar oluşma olasılığı, donanım güvenlik açığı olarak düşünülür. Ulaşılabilirlik özelliğine karşı en önemli tehditler, bu tip açıklar aracılığıyla oluşturulur. Gelişen teknoloji ile entegre devre içinde ve tespit edilmesi oldukça zor olan daha farklı donanım güvenlik açıkları oluşturma riski ortaya çıkmaktadır.

Yazılım güvenlik açıkları yazılım silme, yazılım değiştirme, yazılım hırsızlığı olmak üzere kendi içinde üç ayrı kısımda incelenebilir. Yazılım değiştirmeye örnek olarak Truva atı, virüs ve arka kapı uygulamaları verilebilir. Yazılım, herhangi bir aşamada kötü bir amaçla ya da kasıtsız bir şekilde değiştirilebilir, silinebilir veya yok edilebilir. Bu saldırı, yazılımdaki güvenlik açığı üzerinden yapılır. Kötü amaçlı bir yazılım aslında kendisinden bekleneni ve yapması gereken işleri yapmaya devam eder ancak aynı zamanda sistem arka planında fazladan kötü amaçlı işlemler yapar. Veri üzerinden ortaya çıkan güvenlik açıklarını engellemek için veri üzerinde güvenlik, bütünlük ve ulaşılabilirlik sağlanmalıdır. Buradaki temel ilke, bilgisayar üzerindeki bilgi değerini kaybedene kadar güçlü bir şekilde korunmasıdır.

Varsayımlar ve Güven

Kaba kuvvet saldırısı , bilgi güvenliği konusundaki en basit saldırı yöntemidir. Bir işin çok zeki olmayan ama güce dayalı çözümüdür ve her zaman en uzun çözüm yoludur. Olası bütün parola ihtimallerinin denenmesi ile doğru parolanın bulunmasına dayanır. Burada kaba kuvvetten kasıt, saldırı yapan varlığın elinde bulundurduğu kaynakları tanımlar. Eğer saldırı yapan varlık sahip olduğu bütün imkân ve kaynaklar ile makul bir zamanda bütün ihtimalleri deneyerek parolayı bulabiliyorsa, kaba kuvvet saldırısı başarılı olmuştur denir. Varsayımlar ile ilgili bir örnek şöyle olabilir: Sistem erişim kontrolü için kullanılan parolaların sistem içinde saklanıp, kullanıcılar sisteme giriş yaparken kontrol edildiği ve bu giriş kontrol mekanizmasının bir yönetim birimi tarafından kontrol edildiğini düşünelim. Bu durumda varsayım, parola yönetim biriminin güvenilir olmasına dayanır. Eğer bu birim güvenilir ise varsayım doğrudur. Güvenilirlik terimi ise sisteme giriş yapmak isteyen kullanıcının, sistem kendisinden parolasını istemediği sürece kullanıcın parolasını kullanmaması, güvenli bir şekilde saklaması ve herhangi başka üçüncü bir şahıs ile paylaşmaması anlamına gelir. Burada üzerinde durulan güven ilişkisi, güven rolü ile ilgili bir diğer örnektir. Sistemin güvenlik kuralları içinde tanımlanmış bir istisna, sisteme girişte güvenlik mekanizmalarının atlanabildiği bir arka kapı sağlar. Buradaki güven ise güvenlik politikası içinde tanımlanmış olan bu istisnanın bir arka kapı olarak kullanılmayacağı varsayımı üzerine dayanır. Eğer bu kapı kullanılırsa, güven yanlış yerleştirilmiş demektir ve güvenlik mekanizması hiçbir güvenlik sağlamayacaktır.

Sistemlerde ortaya çıkan birçok güvenlik açığı, pratikte bir karşılığı bulunmayan veya yanlış değerlendirilen varsayımların sonucunda meydana gelir. Bu bağlamda düşünüldüğünde bir sömürme (exploit), kullanılan varsayımın yanlış olduğunu ispatlamanın bir yoludur. Exploit kelimesinin Türkçe anlamı kendi çıkarı için kullanmak, istismar etmek ve faydalanmaktır. Bilişim dünyasında ise “exploit” yani sömürme, bir sistem üzerinde var olan sistem açıklarından, kod hatalarından veya hatalı varsayımlardan faydalanarak istenmeyen veya planlanmamış hatalar oluşturmak için tasarlanmış küçük kod veya programlardır. Bir sisteme yetkisiz bir şekilde erişmeye çalışma, yetkili sahte kullanıcı kimliği oluşturma ve sistemi devre dışı bırakma amacıyla yazılmış programları örnek olarak verilebilir.

Bilgi Güvenliği Politikası ve Mekanizması

Güvenlik politikası ve mekanizmasının Bishop tarafından verilen tanımlarına göz atalım: Güvenlik politikası, nelere izin verilip verilmeyeceğini belirleyen kurallar bütünüdür. Güvenlik mekanizması, bir güvenlik ilkesinin uygulanması için kullanılan yöntem, araç veya izlektir.

Mekanizmalar, şifre değiştirmeden önce kimlik belgesi istemek gibi teknik olmayan şekillerde de olabilir. Aslında politikalar, teknolojinin uygulayamayacağı bazı mekanizmaları da gerektirebilir. Sistemde bilgi güvenliğini sağlayan güvenlik politikasını örnekler üzerinden açıklamaya çalışalım. Bir üniversitenin bilgisayar laboratuvarında herhangi bir öğrencinin başka bir öğrencinin hazırlamış olduğu laboratuvar sonuçlarını kopyalamasını yasaklayan bir politikası olduğunu varsayalım. Bu tip bir güvenlik politikasını oluşturabilmek için, bilgisayar sistemi her kullanıcı için diğer kullanıcıların ilgili dosyalara erişimini engelleyecek mekanizmalar sunar.

İki farklı sistem veya kuruluş birbirleriyle iletişim kurduğunda veya işbirliği yaptığında, bu kuruluşlar birbirleriyle yapacakları iletişimi tanımlayan ve iki tarafın güvenlik politikalarına dayanan bir güvenlik politikası tanımlarlar. Eğer bu politikalar tutarsızsa, taraflardan biri kendi başına veya ikisi birlikte bu ortak güvenlik politikasının ne olması gerektiğine karar vermelidir. Tutarsızlık genellikle güvenlik ihlali olarak kendini gösterir. Örneğin, bir şirket fikri mülkiyet belgelerini bir üniversiteye verirse, şirketin gizlilik politikası çoğu üniversitenin açık politikaları ile uyuşmayacaktır. Üniversite ve şirket, tutarlı bir politika üretmek için ihtiyaçlarına cevap veren karşılıklı bir güvenlik politikası geliştirmelidir. Aksi halde bir güvenlik ihlali olasılığı doğacaktır. Ayrıca, bu iki kuruluşun, bir İnternet servis sağlayıcısı gibi bağımsız bir üçüncü taraf aracılığıyla iletişim kurması söz konusu olduğunda, durumun karmaşıklığının hızla büyüyeceği de göz önünde bulundurulmalıdır.

Güvenliğin Hedefleri: Bir güvenlik politikasının “güvenli” ve “güvenli olmayan” eylemlerinin tanımları göz önüne alındığında, bu güvenlik mekanizmaları sisteme karşı oluşabilecek saldırıyı önleyebilir, bu saldırıyı tespit edebilir veya saldırıdan kurtarabilir. Güvenlik politikası içindeki stratejiler birlikte veya ayrı olarak kullanılabilir.

Saldırıları Önleme: Saldırıları önleme, bir saldırının başarısız olma durumu anlamına gelir.

Saldırıları Tespit Etme: Saldırı tespiti, bir saldırının önlenemediği durumlarda en kullanışlı seçenektir. Ayrıca önleyici tedbirlerin etkinliğini de gösterebilir. Sisteme karşı yapılan saldırıların tespit edilmesi söz konusudur. Tespit mekanizmaları bir saldırının gerçekleştiğini kabul eder. Buradaki amaç ise bir saldırının devam ettiğini veya oluştuğunu belirlemek ve rapor etmektir. Bununla birlikte tespit, saldırının doğası, şiddeti ve sonuçları hakkında veri sağlamak için izlenebilir. Yaygın olarak görülen tespit mekanizmaları, bir saldırıyı belirten eylemleri veya bilgileri arayacak şekilde sistemin çeşitli yönlerini devamlı izler.

Saldırılardan Kurtarma: Saldırılardan kurtulma iki biçimde ortaya çıkabilir. İlki, yapılan saldırıyı durdurmak ve bu saldırının yol açtığı hasarları değerlendirip onarmaktır. Örneğin, bir saldırı sistem üzerinde saklanan bir dosyayı hedef alıp sildiyse, bu saldırının kurtarma mekanizması, o dosyanın yedekleme yapılan hafızadan tekrar geri yüklemesi şeklinde olabilir.

İkinci bir kurtarma biçimi ise sistem saldırı altındayken, sistemin çalışmasına devam etmesidir. Fakat bu tür bir kurtarma mekanizması sistemlerin karmaşıklığını düşününce oldukça zor bir hedeftir. Böyle bir mekanizma hataya dayanıklılık ve güvenlik tekniklerinin birleşmesi neticesinde mümkün olabilir. Kritik görev barındıran sistemler için ise bu tip kurtarma mekanizmaları mutlaka sağlanmalıdır. Bu kurtarma yöntemi, ilk kurtarma yönteminden oldukça farklıdır. Çünkü sistem saldırı altındayken hiçbir noktada hata yapmaz. Fakat bazı önemli olmayan bileşenlerini devre dışı bırakabilir. Sistem, kurtarma mekanizması olarak hatayı tespit ettikten sonra hatayı düzeltme işlemlerini devreye alabilir.

Güvenilir Sistem Değerlendirme Kriterleri: Güvenlik değerlendirmeleri, objektif ve iyi tanımlanmış değerlendirme kriterleri ve yöntemleri gerektirir.

Bilgi Güvenliği Yaşam Döngüsü

Her sistem için öncelikli olarak yapılması gereken sistem varlıklarının ve kaynaklarının değerinin tespit edilmesi işlemidir. Sistemde oluşabilecek olası tehditler sistemin toplam değeri ölçeğinde analiz edilip sistemdeki güvenlik riski belirlenir. Sistem için belirlenen güvenlik tehditlerini ortadan kaldırmak veya hafifletmek için uygulanabilecek önlemler belirlenip bir güvenlik politikası oluşturulur. Sistemin güvenliğini sağlamak için öncelikle kabul edilen varsayımların doğruluğunu yüksek tutarak güvenlik seviyesini de yükseltiriz. Bu varsayımlar ve garanti edilen güven üzerine, sisteme yapılan saldırılara karşı oluşturulan güvenlik politikasını işletecek korunma mekanizması geliştirilir. Bundan sonraki aşama bu belirlenen mekanizmanın sistem içinde tasarlanıp uygulanması aşamasıdır. Sistem güvenliği belirlenen hedefler kapsamında sürekli izlenmeli ve takip edilmelidir.

Yazılım ve Donanım Güvenliği

Yazılım Güvenliği: Virüsler, bilgisayarlar ilk çıktığı zamanlardan beri var olan, kendini diğer dosyalar içinde gizleyerek kullanıcının izni ya da bilgisi dışında bilgisayarın planlanan çalışma şeklini bozan bir tür bilgisayar programıdır. İlk zamanlarda disketler ve CD gibi araçlar yoluyla bulaşan virüsler, İnternetin yaygınlaşmasıyla bilgisayarları daha fazla etkilemeye başlamıştır. Virüslerin en tehlikeli ve yayılması nispeten daha kolay olan türleri olan solucanlar daha yaygın bir etkiye sahiptir. Mesela, bir solucan, bir elektronik posta içine yerleştirilerek birçok bilgisayara gönderilmekte, kurban olarak adlandırılan bilgisayarların adres rehberinde bulunan diğer elektronik posta adreslerine otomatik olarak kendi kendini göndermekte ve bunun yanında ağları ve kurbanın bilgisayarını kullanılamaz duruma getirmektedirler. Solucanlar, kendilerini bir bilgisayardan diğerine otomatik olarak kopyalamak için tasarlanan, yerel sürücüde ya da ağda bant genişliğini tüketerek bilgisayar hızını etkileyip bilgisayarın çökmesine kadar etkilere yol açabilen zararlı yazılımlardır. Virüslere karşı en iyi korunma yöntemi bir anti virüs yazılımı kullanmak ve güncellemelerini zamanında edinmektir. Ayrıca, kimden geldiği bilinmeyen veya şüpheli e-postaları açmadan silerek muhtemel virüs bulaşması durumlarını önleyebilirsiniz.

Casus Yazılım , kullanıcılara ait önemli kişisel bilgileri ve kullanıcının bilgisayar üzerinde yaptığı işlemleri, kullanıcının bilgisi dışında kötü niyetli kişilere gönderen kötü amaçlı yazılımlardır. Casus yazılımları virüs ve solucanlardan ayıran en önemli fark hedef sisteme bir kez bulaştıktan sonra daha fazla yayılmaya ihtiyaç duymamalarıdır. Asıl amacı kurban olarak seçilen sistem üzerinde gizli bir şekilde istenen bilgileri toplayarak bunları kötü amaçlı kullanmasıdır. Kişisel gizliliğe karşı yapılmış en önemli saldırıların aracı olarak kullanılır. Bilgisayar sistemlerini yama ve güncellemelerle sürekli güncel tutmak bu tür yazılımlara karşı sistemi korumada önem arz eder. Ayrıca, İnternet üzerinde bilinmeyen programlardan uzak durulması bunların sistem üzerinde çalıştırılmaması gibi önlemler de karşı koruma da etkin rol oynar.

Truva Atları, bir tür casus yazılımı olarak düşünülebilirler. Truva atlarının bilgisayara bulaşma yöntemi virüslerin bulaşma metoduna benzer. Elektronik posta ile gelen zararlı bir eklentiyi açmak ya da İnternetten kaynağının güvenliğinden emin olunmayan bir dosyayı indirip çalıştırmak bir Truva atını bilgisayar sistemine bulaştırabilir. Fakat virüslerin aksine Truva atlarının sistem üzerinde görünür bir zararı olmayabilir. Truva atlarının bilgisayarda yaptığı en belirgin iş, bir TCP ya da UDP portu açarak, bu portlar aracılığıyla kötü amaçlı başka bir varlığın sisteme ulaşmasını sağlamaktır. Truva atlarının sunucu ve istemci olarak isimlendirilen iki bileşeni vardır. Sunucu, Truva atının bilgisayara bulaşan ve o bilgisayar üzerinde bir port açan parçasıdır. İstemci ise saldırganın sunucu ile iletişime girdiği ve saldırgan bilgisayarın üzerinde bulunduğu parçasıdır.

Antivirüs programı olarak adlandırılan güvenlik yazılımları ise yukarıda açıklanan zararlı programlardan korunmak için yazılmış programlara denir. İnternette yaygın olarak görülen birçok kötü amaçlı yazılım için korunma imkânları sunarken, sistemi her türlü saldırılardan tamamen koruması beklenmemelidir.

Güvenlik duvarı yazılımı daha önceden tanımlanmış kurallar ışığında ağa gelen ve giden trafiği izleyen ve ağdan gelebilecek olası tehditleri durduran bir ağ güvenliği sistemidir.

Yedekleme programları, sistem üzerinde oluşacak bir saldırı ya da bir güç kaybı neticesinde olası veri kayıplarının önüne geçmek için kullanılan yazılımlardır.

Donanım Güvenliği: Entegre devre tasarımı sırasında entegre devre yongasının içine yerleştirilen ve amacı devrenin yerine getirmesi gereken işlevselliğinin dışında zararlı işlemler yapmak olan donanım değişikliklerine “donanımsal Truva atı” denir. Donanım Truva atı, yazılımsal Truva atı gibi programcısına sisteme erişebilme imkânı sunar.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi

ISO 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS), bilgi güvenliği ile ilgili gereksinimleri tanımlayan ISO 27000 standartlar ailesinin en iyi bilinen standardıdır. Bir kuruluşun hassas bilgilerini yönetmek için sistematik bir yaklaşım sunarak bilginin güvenli kalmasını sağlayan kuralları içerir. Bir risk yönetimi süreci uygulayarak kişi, süreç ve sistemleri de içererek herhangi bir sektördeki küçük, orta ve büyük ölçekli işletmelerin bilgi varlıklarını güvende tutmasına yardımcı olur. ISO 27001 standardı ticari işletmeler, devlet kurumları, kâr amacı gütmeyen kuruluşlar gibi her türlü organizasyonu kapsar. İlgili kuruluşun genel ticari riskleri bağlamında belgelenmiş bir bilgi güvenliği yönetim sisteminin oluşturulması, uygulanması, işletilmesi, izlenmesi, gözden geçirilmesi, sürdürülmesi ve sürekli iyileştirilmesi için gerekli şartları tanımlar. Aynı zamanda, organizasyonun ihtiyaçlarına göre hazırlanmış bilgi güvenliği risklerinin değerlendirilmesi ve uygulanması ile ilgili gereklilikleri de içerir.

Sistem Güvenliği İçin İpuçları

Bilgisayar tabanlı bir sistemin zararlı yazılımlardan korunması amacıyla şu önlemlerin alınması gerekir:

• Sistem üzerinde kurulu uygulamaları düzenli aralıklarla denetleyin, artık kullanılmayan programları sistem üzerinden kaldırın.
• Sistem üzerindeki programların son güncellemelerini yükleyin.
• Sisteme giriş yapan kullanıcıların girişlerini denetleyin ve parola politikanızı güçlü parola kullanımını zorunlu kılacak şekilde değiştirin.
• Sistemdeki trafiği izleyip müdahale edin ve izinsiz sistem girişlerini engelleyin.
• Sisteme yapılan uzaktan erişimi denetleyin ve güçlü bir erişim altyapısı kullanın.
• Bilgisayarınıza çok yönlü ve güvenlik duvarı içeren güçlü bir güvenlik yazılımı yükleyin.
• Özellikle işletim sisteminizi ve İnternet tarayıcılarınızı güncel tutun.
• Kimden geldiğini bilmediğiniz e-postaları açmayın.
• Kaynağını bilmediğiniz programları bilgisayarınıza yüklemeyin, çalıştırmayın.
• Ücretsiz yazılımlara dikkat edin, güvenlik açıkları barındırabilirler.
• Lisanslı yazılım kullanmaya özen gösterin.
• Önemli verilerinizin başka bir bellekte yedeklemesini mutlaka yapın.