Anasayfa
tarafından 1. Hatalı Kablosuz Ağ Yapılandırması
Açıklama:
Günümüzde kullanımı oldukça artan kablosuz ağlar, birçok kurumun yerel ağının bir parçası olmuştur. Ancak kablosuz ağ erişim noktalarının, istemcilerin ve kablosuz ağ tasarımlarının yapılandırmasında güvenlik gereksinimleri gözönüne alınmamaktadır. İstemcilerin kimlik doğrulamasının yapılmaması, kriptolu erişim kullanılmaması, kablosuz ağların güvenlik duvarı aracılığıyla erişim denetimine tabi tutulmaması ve sinyal kalitesinde kısıtlama olmaması, saldırganların kablosuz ağlara sızmasını kolaylaştırmaktadır. Kablosuz ağlara sızabilen bir saldırgan, kurum yerel ağına girebilir, sunuculara erişim sağlayabilir, tüm ağ erişimlerini izleyebilir veya değiştirebilir.
Çözüm Önerileri:
Kablosuz ağ tasarımı yapılırken, kablosuz ağın Internet gibi güvensiz bir ağ olduğu göz önüne alınmalı, güvenlik duvarının DMZ bölümünden giriş yapılması sağlanmalı, tercihen sanal özel ağ (VPN) sistemleri kullanılmalı, sinyal kalitesinde kısıtlamalara gidilmeli ve istemciler harici doğrulama sistemleri tarafından kimlik kontrolüne tabi tutulmalıdır. Kurum güvenlik politikası dahilinde, gezgin kullanıcıların sistemlerinde kurumda kullanılmamasına rağmen kablosuz ağ kartı bulunması engellenmeli ve istemci kurumda iken ağ kartının devre dışı olması sağlanmalıdır.
Referanslar:
Security Guidelines for Wireless LAN Implementation
http://www.sans.org/rr/papers/index.php?id=1233
Corporate Wireless LAN: Know the Risks and Best Practices to Mitigate them
http://www.sans.org/rr/papers/index.php?id=1350
Wireless Firewall Gateway White Paper
2. Hatalı Yapılandırılmış Sanal Özel Ağ (VPN) Sunucuları
Açıklama:
Sanal özel ağ (VPN) sunucuları güvensiz ağlar üzerinde güvenli iletişim tünelleri oluşturmak için kullanılmaktadır. Genel kullanım alanları arasında; kurum bölgeleri arası bağlantıları, çözüm ortakları ile iletişim, veya gezgin istemcilerin yerel ağa güvenli bağlanabilmesi sayılabilmektedir. Sıkça karşılaşılan sanal özel ağ güvenlik açıkları arasında, sanal özel ağ sunucularında harici kimlik doğrulama sistemleri kullanılmaması, sunucunun yerel ağda bulunması sonucu yerel ağa doğrudan erişim, istemciler ile Internet arasında iletişim izolasyonu olmaması ve zayıf kriptolama algoritmalarının seçilmesi sayılabilmektedir. Güvenlik açığı barındıran sanal özel ağa sızabilen bir saldırgan, kurum ağına doğrudan erişim sağlayabilmekte ve yerel kullanıcı haklarına sahip olabilmektedir.
Çözüm Önerileri:
Sanal özel ağ sunucuları kendilerine ayrılmış bir DMZ bölümü ve güvenlik duvarı aracılığıyla yerel ağa bağlanmalıdır. Böylece güvenlik duvarına gelen iletişim kriptosuz olacak ve üzerinde erişim denetimi yapılabilecektir. Gezgin kullanıcıların bağlantısında ise sayısal sertifika veya tek seferlik şifre gibi kimlik doğrulama yöntemleri kullanılmalıdır. Kriptolama amaçlı kullanılacak algoritma mutlak suretle günümüzde kolayca kırılamayan algoritmalar (3DES, AES vb.) arasından seçilmelidir. Kullanılacak istemci yazılımları, Internet kullanımı ile sanal özel ağ kullanımı arasında izolasyon yapmalı ve istemcilerin Internette farklı kaynaklara erişimini kısıtlamalıdır. Ayrıca uzak erişimlerde sahip olunan yetkiler, yerel ağda sahip olunan yetkilerden çok daha az olacak şekilde yapılandırılmalıdır.
Referanslar:
Virtual Private Networks: A Broken Dream?
http://www.securityfocus.com/infocus/1461
Introduction to Encryption
http://www.securityfocus.com/infocus/1181
Intranets and Virtual Private Networks (VPNs) color=#ffffff ex.html
3. Web Uygulamalarında SQL Sorgularının Değiştirilebilmesi
Açıklama:
Web uygulamalarında bazı bilgilerin tutulabilmesi için SQL veritabanları kullanılmaktadır. Uygulama geliştiricileri, bazı durumlarda kullanıcılardan gelen verileri beklenen veri türü ile karşılaştırmayarak SQL sorguları içinde kullanmaktadırlar. Genel olarak problemler, uygulama geliştiricinin SQL sorgularında anlam ifade edebilecek ; UNION gibi kötü niyetli karakterlere karşı bir önlem almadığı zaman ortaya çıkmaktadır. Bu durum kullanıcıya önceden planlanmamış uygulama düzeyinde erişim sağlayabilir. İçinde SQL sorgulama barındıran bir çok ürün SQL sorguları değiştirilebilmesine (SQL Injection) karşı savunmasızdır. Saldırganlar SQL sorgularını değiştirme tekniklerini web sitelerine ve uygulamalara zarar vermek amaçlı kullanmaktadırlar. SQL enjeksiyon ile saldırgan tablo yaratabilir, değişiklikler yapabilir, veritabanı üzerinde erişim sağlayabilir veya veritabanı kullanıcısının hakları doğrultusunda sunucuda komut çalıştırabilir.
Çözüm Önerileri:
Uygulamanın tüm bileşenlerinde kullanılan değişkenler için kontroller oluşturulmalı ve değişkene atanması beklenen veri türü ile kullanıcı girdisi karşılaştırılmalıdır. Beklenen girdi türünden farklı karakterler saptanması durumunda, karakterler SQL sorgularında anlam ifade etmeyecek biçimde değiştirilmeli, silinmeli veya kullanıcıya uyarı mesajı döndürülmelidir. Tercihen uygulamanın tamamı için geçerli olacak, değişken türü ve atanabilecek girdi türünü parametre olarak alan ve kontrolleri yaptıktan sonra girdi kabul sonucu üreten sabit bir fonksiyon tercih edilmelidir.
Referanslar:
SQLSecurity.com
http://www.sqlsecurity.com/faq-inj.asp
OWASP
http://www.owasp.org/asac/input_validation/sql.shtml
Advanced SQL Injection In SQL Server Applications
4. Web Uygulamalarında Başka Siteden Kod Çalıştırma
Açıklama:
Başka siteden kod çalıştırma (Cross-Site Scripting) açıkları, bir saldırganın hedef web sitesi aracılığıyla site ziyaretçilerinin sisteminde komut çalıştırabilmesine olanak tanımaktadır. Saldırı sonucu olarak site ziyaretçilerinin browser'larında bulunabilecek güvenlik açıklarının kullanılması, JavaScript/ActiveX ve VBScript komutlarının çalıştırılmasını mümkün kılmaktadır. Bu tür komutlar ile kullanıcıya ait site çerezleri alınabilir, kaydedilmiş şifreler çalınabilir veya browser'da bulunabilecek güvenlik açıkları ile kullanıcı sistemi ele geçirilebilir. Ayrıca elektronik ticaret veya bankacılık uygulamaları için sahte giriş ekranları oluşturularak ziyaretçilerin yanıltılması ve sonucunda kullanıcıya ait önemli bilgilerin ele geçirilmesi mümkün olabilir.
Çözüm Önerileri:
Uygulamanın tüm bileşenlerinde kullanılan değişkenler için kontroller oluşturulmalı ve değişkene atanması beklenen veri türü ile kullanıcı girdisi karşılaştırılmalıdır. Beklenen girdi türünden farklı karakterler (örn. <>/; ()) saptanması durumunda, karakterler anlam ifade etmeyecek biçimde değiştirilmeli, silinmeli veya kullanıcıya uyarı mesajı döndürülmelidir. Tercihen uygulamanın tamamı için geçerli olacak, değişken türü ve atanabilecek girdi türünü parametre olarak alan ve kontrolleri yaptıktan sonra girdi kabul sonucu üreten sabit bir fonksiyon tercih edilmelidir.
Referanslar:
SPI Dynamics Cross-site Scripting Whitepaper cripting.pdf
OWASP Cross-site Scripting Information
5. Kolay Tahmin Edilebilir Şifrelere Sahip Kullanıcı Hesapları
Açıklama:
Ağda bulunan istemci, sistem yöneticisi veya servislere özel kullanıcı hesaplarının kolay tahmin edilebilir şifrelere sahip olması, bir saldırganın kurum ağına yönelik kullanabileceği en basit saldırı yöntemidir. Özellikle yönlendirici yönetim şifreleri veya sunucu servislerine ait kullanıcı hesaplarının şifreleri kolayca tahmin edilebilmektedir. Web temelli uygulamaların yaygınlaşması ile web temelli uygulamalar da şifre seçim hatalarından etkilenmektedir. Bir saldırganın, yönetim hesaplarını veya geçerli bir kullanıcıya ait şifreleri ele geçirmesi durumunda, kurum ağına sınırsız erişim sağlanabilmekte ve istenen ağ sistemi kolayca ele geçirilebilmektedir.
Çözüm Önerileri:
Şifre seçimi, kalitesi ve yönetimi konusunda kurum politikası oluşturulmalıdır. Başta sistem yöneticileri olmak üzere kullanıcıların şifre seçim kriterlerine uyumu, dizin hizmetleri veya alan denetçileri ile sağlanmalı ve kullanıcıların daha zor tahmin edilebilir şifre seçimleri yapmaları sağlanmalıdır. Özel uygulama alanlarında (sanal özel ağ, ERP yazılımları, bankacılık uygulamaları vb.) harici doğrulama sistemleri veya sayısal sertifikalar kullanılmalıdır. Web temelli uygulamaların tasarımında, kullanıcı hesap yönetimi ve şifre seçimi konusunda, beklenen kriterlerin uygulanması zorlayıcı olmalıdır.
Referanslar:
Passwords: the Weak Link in Network Security
Information Security: web applications
6. SNMP Servisi Kullanımı
Açıklama:
SNMP protokolü, ağ yönetim ve izleme amaçlı olarak kullanılmaktadır. Kurumsal ağlarda, birçok sunucu veya ağ bileşeninde SNMP servisi kullanılmaktadır. Kurumlar, Internet erişim ortamında güvenlik duvarı aracılığıyla sunucularda bulunan SNMP servisine erişimleri engellenmektedir. Ancak güvenlik duvarının önünde yer almakta olan birçok yönlendirici SNMP servisini ve SNMP servisinin yapısından kaynaklanan güvenlik sorunlarını içermektedir. UDP protokolü temelli olması, kullanıcı adı ve şifre doğrulamaları kullanmaması, SNMP protokolünün en zayıf yönlerindendir. Yönlendirici üzerinde bulunan SNMP servisini ele geçiren bir saldırgan, tüm kurumsal ağ trafiğini tünelleme ile kendisine aktarabilir, yönlendirme tablolarında değişiklik yapabilir ve kurum ağına geçiş için yönlendiriciyi atlama noktası olarak kullanabilir.
Çözüm Önerileri:
Internet erişimine açık sistemlerde SNMP servisinin kullanılmaması tavsiye edilir. SNMP protokolünün kullanılması gerekli ise yönlendirici/sunucu üzerinde bulunan paket filtreleme seçenekleri ve erişim denetim kuralları aracılığıyla sadece bağlanması istenen sistemlere izin verilmelidir. Ayrıca SNMP erişimi için zor bir iletişim kelimesi tanımlanmalı ve iletişim TCP protokolü temelli veya yönlendirici/sunucu destekliyor ise kriptolu veri trafiği üzerinden yapılmalıdır.
Referanslar:
CERT Advisory CA-2002-03,
"Multiple Vulnerabilities in Many Implementations of the Simple Network Management Protocol (SNMP)"
http://www.cert.org/advisories/CA-2002-03.html
CIAC Information Bulletin M-042,
"Multiple Vulnerabilities in Multiple Implementations of SNMP"
http://www.ciac.org/ciac/bulletins/m-042.shtml
7. Güncellemeleri Yapılmamış Web Sunucusu
Açıklama:
Birçok kurum, ağlarında bulunan web sunucu yazılımlarını düzenli olarak güncellememektedir. Microsoft IIS veya ASF Apache web sunucu yazılımların eski sürümleri birçok güvenlik açığı barındırmaktadır. Web sunucularının düzenli güncellenememesinin sebeplerinden en önemlisi, bu yazılımların parçası olduğu ticari ürünlerin kullanılıyor olmasıdır. Web sunucuda yapılacak sürüm değişikliği veya güncellemeler, ürün firması tarafından desteğin kesilmesine neden olabilmektedir. Her iki web sunucusunda da saptanan güvenlik açıkları, web sunucusunun servis dışı kalmasına veya tüm sunucunun ele geçirilmesine neden olmaktadır. Önceden belirlenmiş yapılandırma ile kurulan web sunucuları, gerekli olmayan birçok bileşeni bünyelerinde barındırmakta ve gelecekte bu bileşenlere ait ortaya çıkabilecek güvenlik açıklarından etkilenebilmektedir.
Çözüm Önerileri:
Web sunucu yazılımların düzenli güncellenmeleri oldukça önemlidir, ayrıca gerekli olmayan tüm bileşenler (WebDAV, HTTP Trace, Frontpage Uzantıları, Yazıcı desteği, Index oluşturma desteği ve örnek CGI uygulamaları) sistemden çıkarılmalıdır. Böylece gelecekte söz konusu bileşenler için duyurulacak güvenlik açıklarından etkilenilmeyecektir. Microsoft IIS web sunucusu için Microsoft URLScan aracı kullanılmalı ve tüm web istekleri içeriklerine göre süzülmelidir. Microsoft IIS veya ASF Apachenin parçası olduğu ticari ürünler kullanılıyor ve güncellemeler yapılması durumunda üretici firmanın desteğinin kesilmesi söz konusu ise alternatif yöntemler kullanılmalıdır. Bir ters proxy aracılığıyla güvenlik açığı barındıran web sunucusuna doğrudan erişimin kısıtlanması, uygulama katmanında kullanılabilecek içerik denetim sistemleri, uygulama güvenlik duvarları veya saldırı tespit sistemleri verimli sonuçlar üreten çözümlerdendir.
Referanslar:
Securing Apache: Step-by-Step
color=#0000ff http://www.securityfocus.com/infocus/1694
Apache HTTP Server: Security Tips
http://httpd.apache.org/docs/misc/security_tips.html
.
8. İşletim Sistemi ve Uygulamaların Standart Şekilde Kurulması
Açıklama:
İşletim sistemleri ve uygulamalar temel kullanım standartları doğrultusunda öntanımlı bir yapılandırma ile kurulmaktadırlar. Öntanımlı yapılandırma, etkin kullanımda gerekmeyecek birçok desteği içermekte ve ürünün kullanımının kolaylaştırılması için sunulmaktadır. İşletim sistemi ve uygulamaların öntanımlı kurulumlarında kolay tahmin edilebilir şifreler, güvenlik açığı içermekte olan bileşenler ve örnek uygulamalar kolay kurulum sebebiyle tercih edilmektedir. Bu şekilde kurulan işletim sistemi ve uygulamalar genel özelliklere sahip olmakta, yayınlanmış ve kullanılmayan bileşenlerinde içermekte olduğu güvenlik açıklarından etkilenmektedir. Yazılımlarda bulunan yayınlanmış güvenlik açıkları, kullanımlarının güvenlik tehditi içerebileceği öngörülmemiş uygulamalar ve gerekli olmayan servisler sonucu, sistemin tamamen ele geçirilmesi veya servis dışı bırakılması mümkün olmaktadır.
Çözüm Önerileri:
İşletim sistemi ve uygulama kurulumlarında, kurulum seçenekleri özelleştirilmeli, yönetim şifreleri zor tahmin edilebilir olmalı, gerekli olmayan servisler durdurulmalı ve örnek uygulamalar sistemden çıkarılmalıdır. Ürün geliştiricisi tarafından sağlanan tüm güvenlik yamaları ve yapılandırma önerileri yazılımlara uygulanmalıdır. Kurulumlarda minimalist bir yaklaşım belirlenmeli ve gerekli olmayan tüm erişim yetkileri kısıtlanmalıdır. Ayrıca düzenli olarak üretici tarafından yayınlanmış güvenlik duyuruları ve güncel güvenlik e-posta listeleri takip edilmeli, yönergeler izlenmelidir.
9. Hatalı Yapılandırılmış Saldırı Tespit Sistemleri
Açıklama:
Saldırı tespit sistemleri etkin güvenlik için vazgeçilmez uygulamalardır; ancak hatalı yapılandırılmaları durumunda saldırganların ağ iletişimini aksatabilmesi için en önemli araçlardandır.
Tespit edilen saldırılara kontrolsüz tepkiler verilmesi durumunda,
" saldırganlar saldırı tespit sisteminin türünü ve özelliklerini saptayabilir,
" çokça yapılan saldırı ile kayıt veritabanlarını doldurabilir,
" sunuculara yönelik servis engelleme saldırısı yapabilir,
" ağda gereksiz veri trafiği oluşturabilir,
" saldırılarını gizleyebilir,
" sahte saldırılar ile kritik görevdeki yönlendirici ve alan adı sunucularına erişimi kesebilir
" veya güvenlik duvarı aracılığıyla saldırgan engelleme yapılıyor ise güvenlik duvarının kural tablosunu taşırabilir.
Öntanımlı yapılandırmalarda, saldırı tespit sistemleri saldırı önleme yapmamaktadırlar, ancak optimizasyon yapılmamış birçok sistemde kontrolsüz olarak saldırı önleme yapılmaktadır. Güncelleme ve tanımlamaları doğru yapılmamış, güncel yamaları uygulanmamış sistemlerde, farklı veri ve iletişim türleri seçilmesi durumunda saldırı tespit edilememektedir.
Çözüm Önerileri:
Ağ üzerinde bir süre saldırı tespit sistemi izleme durumunda çalıştırılmalı ve gelen veri trafiği türüne bağlı olarak saldırı tespit sistemi kural ve tepki optimizasyonu yapılmalıdır. Saldırı tespit siteminin saldırı türlerine göre tepki vermesi sağlanmalı, zorunlu kalmadıkça tepki üretilmemelidir. Güvenilir sistemler tanımı oluşturulmalı, önemli yönlendiriciler ve alan adı sunucuları ile kritik güvenlik sistemleri güvenilir olarak tanımlanmalıdır. Tepkiler öncelikle ICMP/TCP/UDP paketleri ile üretilmeli, çok sayıda saldırı olması durumunda tek bir işlem olarak ele alınmalı ve sürekli saldırılarda saldırgan sistem güvenlik duvarı tarafından engellenmelidir. Paket ve iletişim analiz seçenekleri için önerilen yama ve yardımcı yazılımlar kullanılmalı, ürün geliştiricilerinin hazırlamış oldukları rehber dökümanlarla karşılaştırılarak yapılandırmalar gözden geçirilmelidir.
Referanslar:
IDS Evasion Techniques and Tactics
http://www.securityfocus.com/infocus/1577
Understanding IDS Active Response Mechanisms
http://www.securityfocus.com/infocus/1540
10. Güvenlik Duvarı Tarafından Korunmayan Sistemler
Açıklama:
Güvenlik duvarları, kurumların güvenlik sürecinde en önemli bileşenlerdendir. Doğru yapılandırılmamış veya tasarım hatası içermekte olan güvenlik duvarları, istenen güvenlik seviyesini sağlayamamaktadır. Özel istemci veya sunuculara verilmiş sınırsız erişim hakları, güvenlik duvarının önünde bulunan sunucu ve istemciler ile erişim denetim kuralları özelleştirilmemiş güvenlik duvarları, saldırganların kurum ağına sınırsız olarak erişimine imkan tanımaktadır. Yayınlanmış güvenlik açıklarının takip edilmemesi veya yapılandırma hatası sonucu güvenlik duvarı tarafından korunmayan bir sistem, saldırganın kurum ağına girebilmesi için atlama noktası olabilmektedir.
Çözüm Önerileri:
Güvenlik duvarı tasarımı yapılırken, kurum ağında bulunan ve Internet üzerinden hizmet sunacak sistemler DMZ bölümüne taşınmalı, yönlendirici ile güvenlik duvarı arasındaki ağa fiziksel giriş imkanları önlenmeli ve güvenlik duvarı üzerinde düzenli kontroller yapılarak, özel haklar sağlayan kurallar devre dışı bırakılmalıdır. Özel amaçlar için güvenlik duvarının dışına yerleştirilmesi gereken sistemlerin, yapılandırmaları özelleştirilmeli, gerekmeyen servisler durdurulmalı, güvenlik yamaları tamamlanmalı ve güvenlik duvarı üzerinden ağa erişimlerinde hiçbir özel erişim kuralı belirlenmemelidir
Internette dolaşabilmemiz için bir tarayıcı programa ihtiyaç vardır. Windows işletim sistemleriyle birlikte gelen Internet Explorer programı bu amaçla kullanılır. Şu an itibariyle bir takım rakipleri olsa da dünyanın tartışmasız en çok kullanılan Web tarayıcı programıdır.
Bu popüler olmanın getirdiği bir yan etki olsa gerek; en çok kullanılan olmak demek, en çok tehlikelere açık olmak demektir. Çünkü sanal korsanların üzerinde daha çok çalışacakları ortam, dolayısıyla Internet Explorer Web tarayıcı programı olmaktadır. İşletim sisteminde olduğu gibi nasıl üretici firmanın bir takım açıkları varsa, Internet Explorer’ın da bir takım açıkları olabilir. Bu açıklar sanal korsanlar için bir geçiş noktası, bilgisayara bulaşma, sızma imkanları tanır.
Burada temel mantık şudur; Internette dolaşırken herhangi bir siteyi ziyaret etmemiz; Web tarayıcı programımızın adres satırına yazdığımız yazı ile, Internet sayfasının bulunduğu karşıdaki bilgisayarı ziyaret ederek, sayfada gördüğümüz resim, yazı ve varsa programları kendi bilgisayarımıza çağırmamız anl***** gelir. Yani örnek olarak biz kendi web tarayıcımızın adres satırına SPAN style=COLOR: black">http://www.byte.com.tr/SPAN yazıp Enter tuşuna tıkladığımızda, SPAN style=COLOR: black">http://ww.byte.com.tr/SPAN adresinden yayın yapan sunucu bilgisayarımızdaki resim, yazı ve dokümanlar sizin bilgisayarınıza doğru Internetten yolculuğa çıkacaktır. Siz sayfa üzerindeki her tuşa dokunduğunuzda, ilgili tuşun barındırdığı bilgiler sizin bilgisayarınıza akacak ve sizin Internet Explorer (ya da kullandığınız diğer Web tarayıcı program aracılığıyla) şekillenerek görüntülenecektir. Dolayısıyla ziyaret ettiğiniz sayfadaki dokümanların bir kopyası sizin bilgisayarınızda da yer alır.
Bu çalışma mantığı tüm web tarayıcı programlar için geçerlidir. Bunu bilen sanal korsanlar kendi hazırladıkları Web sitelerinin arka planına bazı programlar yerleştirerek, ilgili sayfayı ziyaret eden kullanıcılarının bu programları kendi bilgisayarlarına farkında olmadan yükleyerek sistemlerine sızmaya ve varsa tarayıcı programlarındaki bir takım açıkları da kullanarak kötü niyetlerini gerçekleştirmeye çalışmaktadırlar.
Internet Explorer üzerinden gelen her türlü resim, yazı, film, müzik vb. dosya ve program kimi zaman oldukça zararsızmış gibi görünse de, aslında nasıl yolda yürürken her attığımız adıma dikkat ediyorsak, Internette de her yaptığımız tıklamaya dikkat etmek mecburiyetindeyiz. Yoksa kaybedebileceğimiz bilgilerin sebep olacağı zarar, yolda düşüp bir tarafımızı incitmemizin verebileceği acıdan, çok daha fazla hasara neden olabilir.
INTERNET EXPLORER’ DAKİ GÜVENLİK AYARLARI
Genel deyimle Internette sörf yaparken yani kullandığımız Internet Explorer gibi bir programın adres satırına yazdığımız bilgi doğrulusunda, dünya üzerindeki bilgisayar ağları arasında gezinirken, uğradığımız her sayfadaki yazı, resim vb. elemanlar, öncelikle kendi bilgisayarımıza yüklenir. Daha sonra da Internet Explorer gibi bir tarayıcı program eşliğinde açılarak, sayfa içerisindeki bilgileri görmemiz sağlanır.
Keşke her şey bu kadar basit olsa! Oysa bu gezintilere ne kadar dikkat etmemiz gerektiğini yukarıda “Internet Explorer’ın Güvenlik Açıkları” başlığında basitçe anlatmaya çalışmıştık. Bu bölümde de olası açıkları Internet Explorer açıklarını nasıl kapatacağımız ifade etmeye gayret edeceğiz.
Şimdi öncelikle şunu belirtmeliyiz, nasıl kullandığımız işletim sistemini güncelleyerek, açıklarını kapatıyorsak, aynı konu Internet Explorer programı için de geçerlidir. SPAN style=COLOR: black">http://www.microsoft.com/windows/ie/SPAN Web sitesinden Internet Explorer ile ilgili her türlü yama, güncelleme vs. yaparak genel güvenlik açıklarını kapatma imkanına sahipsiniz.
Tabi bunun yanında bilgisayar dergileri ekinde verilen Cd’lerden de faydalanılabilir, içerisinde verilen “Güncel sürümler” ile kendi Internet Explorer versiyonunu yükseltebilir, yamalarını yükleyebilirsiniz. Böylece Internette geçecek vakit kaybından da kurtulmuş olursunuz.
Ancak Internet Explorer için yapabileceğimiz ayarlamalar bu “Güncellemelerle” sınırlı değildir. Normalde Internette gezinirken uğradığımız sayfalardaki elemanlar, kendi bilgisayarımıza taşındığı gibi bunların bir kısmına “blok” koyabilir, sistemimiz içerisinde çalışmasına müsaade etmeyebilir yada kendi iznimize bağımlı tutabiliriz. Peki bunun anlamı nedir? Yani bazı sayfaları neden kısıtlamak isteyelim veya hangi sayfa, nasıl kısıtlanabilir ki ?
Internet Explorer’da Kısıtlanacak Çalışmalar:
Bu kısıtlama ziyaret edilen sitelerdeki “Çerezlere (Cookies), AktiveX’lere ve “Virüs Benzeri Yazılımlara” karşı olabilir. Öncelikle bu kısıtlamanın nedenini açıklamaya çalışalım. Daha sonra da bu kısıtlamanın ne şekilde yapılabileceğini izah etmeye devam edeceğiz.
Çerezler; Internetteki bazı sayfalar bilgisayarımız ve dolayısıyla bizim hakkımızda bir takım bilgileri otomatik olarak almaya çalışırlar “Çerez” yada orijinal ismiyle “Cookies” olarak adlandırılan bu uygulamalar ziyaret ettiğimiz sitenin yapısına göre masum da olabilir, art niyetli de!
Küçük bir örnekle ifade etmek gerekirse, Internette yer alan herhangi bir forumun üyesisiniz ve foruma girip çıkıyor, çeşitli zamanlar yazı yazıyor yazılanları okuyorsunuz. Internette yer alan bu forum sitesine, kendi kullanıcı adı ve parolanızla girdiğiniz düşünülürse, forumun sahip olduğu internet sitesi, sizinle ilgili bir kayıt tutmak isteyecektir. Bu kayıt için gerekli bilgileri de sizin bilgisayarınızdan almaktadır. Normal koşullarda siz farkında olmadan, ilgili Internet sitesine girdiğinizde bu çerez sizinle alakalı topladığı bilgileri sitenin bilgisayarına ulaştırır.Bunlar; ne kadar süre ile sitede dolaştığınızı, en son ne zaman bu siteyi ziyaret ettiğinizi içeren bilgiler olabilir. Bunlar masum bilgilerdir ve bize daha iyi hizmet sunabilmek için kendisini ayarlamasına yardım eder. Dolayısıyla bu noktada güvenlikle endişe edeceğimiz pek bir durum yoktur.
Ancak bir de art niyetli hazırlanmış olan “Çerezler” vardır ki; bizim işletim sistemimizin bilgilerinden, Internette dolaştığımız tüm sitelerin listelerine kadar, hatta bilgisayar sisteminde kayıtlı olan kullanıcı bilgileri de dahil olarak “ticari amaçlı” kullanmak üzere kendi bilgisayarına ulaştırır. Bizim bilgisayarımızdan öğrenebildiği tüm bilgileri alıp, kendi arşivine kaydedebilirler. Bu sayede bizim Internetteki eğilimimiz ölçüp, çıkar sağlamaya çalışırlar. Bunlardan kurtulmanın tek bir yolu yoktur. Tüm çerezleri iptal etmek kendi internet aktivitelerimizi kısıtlamak anl***** gelir. Ancak neler yapılabileceğini birazdan anlatacağım.
AktiveX’ler: Bunlar da ancak bizim izin verdiğimiz sitelerde çalıştırılmasına izin verebileceğimiz uygulamalar olmalıdır. Örneğin SPAN style=COLOR: black">www.ntvmsnbc.com/SPAN gibi bir haber portalı sayfasındaki yüklü içerikleri bize daha etkili sunabilmek için bir program hazırlamıştır ve bu etkinlikten faydalanabilmemiz için bu uygulamanın çalışmasına “izin verebiliriz.” Oysa hiç tanımadığımız bir sitenin kendi sayfasından otomatik olarak yüklenmek isteyen bir uygulamaya “dur!” dememiz lazımdır. En azından bize sormadan hiçbir uygulama sistemimize yüklenmeye çalışmamalıdır. Bunu nasıl etkinleştireceğimizi birazdan anlatmaya çalışacağım.
Virüs Benzeri Yazılımlar: Internet Explorer açıklarıyla ilgili üçüncü konu ise virüs benzeri yazılımlardır. Bu tip programlar, kötü niyetli “Çerezler” gibi sistem bilgilerini, kullanıcı ayarlarını çalmaya çalışırlar. Ayrıca Windows Kayıt Defterine (Registry) de müdahale ederek kimi zaman “Internet Explorer Başlangıç Sayfasını” da değiştirebilirler. Sistemin ilk açılışına kendilerini otomatik olarak ekleyip, içerisinde yer alan Windows komutlarını çalıştırabilir, çok kötü sonuçlar doğurabilirler. Bu virüs benzeri uygulamalar, Windows Kayıt Defterinden arama bulma yoluyla silinebileceği gibi, sırf bu tip uygulamaları zahmetsizce bulup temizlemek üzere tasarlanan programlar da bulunmaktadır. İlerideki sayfalarda “Bilgisayarda Güvenlik Çözümleri” başlığı altında bu programlardan örnekler verilerek detaylarıyla incelenecektir.
Internet Explorer’da Kısıtlama Yöntemleri:
Internet Explorer’ın kendi ayar menüsüne girmek için en üstteki “Araçlar” menüsü altında yer alan “Internet Seçenekleri” yazısına tıklarız. Açılan alt menüde çeşitli kartlar bulunur. Bu kartlardan “Güvenlik” ve “Gizlilik” yazılı olanlar, Internet Explorer’ın Web üzerindeki gezintilerinde bazı sayfalarda yer alan içerik ve programların çalıştırılması ile ilgili kısıtlamalar içerir.
Çerezlerin Kısıtlanması:
Internet Explorer üzerinden Araçlar > Internet Seçenekleri > Gizlilik bölümüne eriştiğimizde “Ayarlar” bölümü görüntülenir. Sistemdeki gizlilik içeren bilgilerin en düşük seviyeden en yüksek seviyeye kadar ayarlanabildiği bu bölüm aracılığıyla, “Çerezlerin” sahip olabilecekleri bilginin seviyesi ve Web siteleri tarafından bu bilgilerin ne kadar okunabileceği belirlenir.
Bu “Gizlilik” seviyesini yükselttiğimizde forum vb. Pek çok Web sayfası “Çerezlerin sistemimiz tarafından kabul edilmediğini” içeren hata mesajı vereceklerdir. Dolayısıyla istediğimiz Web sayfası için bu ayarı indirip, yükselterek kısmi bir engel koyabiliriz.
İstediğimiz bir Web sitesine ayrıcalık tanıyıp tanımlama bilgilerimizin gönderilmesini istersek altta yer alan “Düzenle” adımını kullanarak ilgili Web sitesinin adresini girer ve “İzin Ver” butonuna tıkla***** bu siteden gelecek tüm “Çerez” taleplerini otomatik olarak kabul edebiliriz.
AktiveX Denetimlerinin Kısıtlanması:
“Araçlar” menüsü altındaki “Internet Seçenekleri” adımından ulaşılan “Güvenlik” kısmındaki düşükten yükseğe sıralanan “Güvenlik” düzeyi, Web sitelerindeki içeriklerin otomatik olarak çalıştırılıp çalıştırılmamasını düzenler. Normal düzey “Orta” bölümdür, bu bölümde bizden onay alınmadan imzasız içerikler yüklenmez. Bu “Güvenlik” denetimlerinde alınan tedbir düzey göstergesinin yanında kullanıcılar için açıklamalar içermektedir. Bu düzeylerin nasıl olması gerektiği hakkında bir fikrimiz yoksa, ilgili pencerede yer alan “Varsayılan Düzey” tuşuna tıkla***** olması gereken normal güvenlik seviyesine dönüş sağlanır.
Internet Explorer içerisinde güvenlikle alakalı genel kısıtlama yöntemleri bunlardır. Bu iki yöntem haricinde “İçerik” adımından “İçerik Danışmanı” etkinleştirilerek istenilmeyen Web adreslerine girilmesi tamamen engellenebilir yada bir parola ata***** sadece parolayı bilenlerin o sayfaları görüntülemesine izin verilebilir.
Explorer Tut Sürükle Açığı
Microsoft Internet Explorer’da bir güvenlik açığı olduğu rapor edildi. Uzaktaki bir kullanıcının istediği kodu çalıştırabilmesine, varolan dosyaların üzerine yazılabilmesine izin veren bu açıktan yararlanılabilmesi için hedef kullanıcının müdahelesi gerekiyor.
Çözüm: Henüz bir yama çıkmadı. Microsoft bu açıkla ilgili düzeltmeyi Windows Server 2003 SP2 ve Windows XP SP3′e dahil etmeyi planlıyor. Windows 2000 için bir yama planlanmıyor.
http://blogs.technet.com/msrc/archive/2006/02/13/419 439.aspx
Açığı bulan Matthew Murphy aşağıdaki geçici çözümlerin uygulanabileceğini belirtiyor:
1) Active Scripting’i kapatın Internet Explorer “Tools” menüsünde, “Internet Options”ı seçin “Security” sekmesine tıklayın ve “Internet”i seçin “Custom Level”e tıklayın “Active scripting” seçeneğini “Disable” olacak şekilde ayarlayın.
2) Shell Explorer kontrolünde Kill Bit’i set edin http://support.microsoft.com/kb/240797http://student.missouristate.edu/m/m.../shellkill.zip PGP signature:
http://student.missouristate.edu/m/m...llkill.zip.asc
3) Local Intranet Zone’a otomatik geçişi engelleyin (Windows XP SP2, Windows Server 2003 SP1) Internet Explorer “Tools” menüsünde, “Internet Options”ı seçin “Security” sekmesine tıklayın ve “Local Intranet”i seçin “Custom Level”e tıklayın “Web sites in less privileged content zone can navigate into this zone” seçeneğini “Disable” olacak şekilde ayarlayın. Ok’e tıklayarak pencereleri kapatın ve Internet Explorer’ı kapatın.
PHP Nuke eklentisinde açık !
Ünlü portallardan PHP Nuke`nin Mobile eklentisinde LFI açığı bulundu...
BorN To K!LL tarafından bildirilen açığa göre;
Add-On`un kodlanması esnasında compatible.php sayfasında yapılan kodlama hataları nedeniyle, sisteme bu sayfanın kullandığı module_name parametresi üzerinden Local File Inclusion atakları düzenlenebilmektedir.
Vulnerability Code:
include ’modules/’.$module_name.’compatibility/data/marque .data.php’;
Microsoft’un internet explorer tarayıcısını kullananları etkileyen ve alelacele yaması çıkarılan .ani uzantısı ile bağlantılı açığın, Firefox için de tehdit oluşturduğu açıklandı. Mozilla’nın açıklamasında, imlece animasyon ekleyen bu dosyaları kullanan Firefox tarayıcı sahiplerinin tehdide bağışık olmadığını ancak şu ana kadar Firefox’u hedef alan herhangi bir .ani saldırısıyla karşılaşılmadığı belirtildi.
Bağışık olmasa da Firefox’un .ani dosyalarını Windows’taki kadar doğrudan kullanmıyor olması riski azaltıyor. Mozilla, Windows’un animasyonlu imleçlerinin internetten Firefox’a indirilmesini tamamen engellemeye yönelik bir çözüm üzerinde çalışıyor. Bu çalışmanın, kabul edilmesi durumunda Firefox’un bir sonraki versiyon güncellemesinde yer alması bekleniyor.
Ilginize duyurulur....
