Yazılım güvenliği, bilgi güvencesi ve güvenlik teknolojileri

Geçen hafta saldırıların dilini öğrendin. Bu hafta karşı tarafa geçiyoruz: güvenlik nasıl inşa edilir, hangi teknik ve teknik olmayan önlemler kullanılır. Sınavda iki hesap tipi kesin çıkar: firewall kural tablosunu satır satır okumak ve IDS alarmlarının ne kadarının gerçek olduğunu bulmak. Altın kurallar:

1. Firewall ilk eşleşen kuralı uygular. Yukarıdan aşağı oku; eşleşince dur.
2. Eşleşme için bütün alanlar tutmalı. Protokol, kaynak, hedef, port. Biri bile tutmazsa sonraki kurala geç.
3. Varsayılan reddet (default deny). Tablonun sonunda “her şeyi reddet” olur; izin verilmeyen her şey yasaktır.
4. Nadir olayda yanlış alarm baskındır. Kesinliği $TP / (TP + FP)$ ile hesapla, sezgiye güvenme.
5. Teknoloji tek başına yetmez. İnsanlar ve politikalar da güvenlik sisteminin parçasıdır.

Yazılım güvenliği

Yazılım güvenliği (software security), yazılımı kötü niyetli saldırı altında bile doğru çalışacak biçimde tasarlamak ve kurmaktır. Ağ güvenliği gibi “sonradan çevreye duvar örmek” değildir; güvenlik yazılımın bir özelliği olarak baştan kurulur (build security in). Gerekçesi basit: firewall arkasındaki uygulama SQL enjeksiyonuna açıksa, firewall 443 portuna izin verdiği anda saldırı içeri girer.

Yazılımdaki güvenlik sorunları iki türdür:

• Hata (bug): uygulamada, kod seviyesinde. Örnek: tampon boyutunu kontrol etmeyen bir strcpy.
• Kusur (flaw): tasarım seviyesinde. Örnek: oturum belirtecinin URL’de taşınması, yetki kontrolünün sadece istemcide yapılması.

Kod incelemesi ve statik analiz araçları hataları yakalar; kusurları bulmak için mimari risk analizi ve tehdit modellemesi gerekir (13. hafta). Ne kadar erken bulunursa düzeltmek o kadar ucuzdur: gereksinim aşamasında bir cümleyi değiştirmek, canlıdaki sistemi yamamaktan çok daha az maliyetlidir.

Bilgi güvencesi

Bilgi güvencesi (information assurance, IA) daha geniş bir çerçevedir: bilginin ve bilgi sistemlerinin güvenilir kullanılabilmesini sağlamak. Beş hedef sık sayılır: gizlilik, bütünlük, erişilebilirlik, kimlik doğrulama (authentication) ve inkâr edilemezlik (non-repudiation). IA üç kaynağı birlikte yönetir: insan, süreç, teknoloji. Risk yönetimi, yedekleme, felaket kurtarma planı, denetim ve eğitim IA’nın parçasıdır.

Erişilebilirlik hesabı

Erişilebilirlik genellikle yüzde ile verilir. Yıllık izin verilen kesinti:

$\text{kesinti} = (1 - A) \times 8760 \text{ saat}$

Arıza istatistiğinden de hesaplanır: $A = MTBF / (MTBF + MTTR)$. Ortalama 990 saat arızasız çalışan, arızada 10 saatte onarılan bir sistem için $A = 990 / 1000 = 0.99$.

Teknik olmayan güvenlik sorunları

Saldırıların büyük kısmı bir insan hatasıyla başlar. Bu yüzden ders planında “nontechnical issues” ayrıca yer alır.

Sosyal mühendislik (social engineering) insanların güvenine, korkusuna ya da yardımseverliğine oynar:

İçeriden tehdit (insider threat): yetkili erişimi olan çalışanın kasıtlı ya da dikkatsiz zararı. Dış firewall’u hiç geçmesi gerekmez. Önlem: en az yetki, görev ayrılığı (separation of duties), erişim kayıtlarının denetimi, işten ayrılanın hesabını hemen kapatmak.

Politika (security policy): kurumun neye izin verdiğini ve neyi yasakladığını yazılı hale getirir. Örnekler: kabul edilebilir kullanım politikası (acceptable use policy), parola politikası, veri sınıflandırma, olay müdahale prosedürü. Politika olmadan teknik kontrolün neyi koruduğu belirsizdir. Politikanın işe yaraması için eğitim, denetim ve yaptırım gerekir. Ayrıca yasal düzenlemeler (örneğin kişisel verilerin korunması kanunları) ve fiziksel güvenlik de bu başlığa girer.

Örnek güvenlik teknolojileri

Firewall

Firewall iki ağ arasında durur ve paketleri bir kural tablosuna göre geçirir ya da düşürür. Üç temel türü:

Kural tablosu okuma. Aşağıdaki tablo iç ağı (10.0.0.0/24) koruyor. 10.0.0.5 web sunucusu, 10.0.0.53 DNS sunucusu.

#  aksiyon  proto  kaynak            hedef          port
1  allow    tcp    any            -> 10.0.0.5       443
2  allow    tcp    any            -> 10.0.0.5       80
3  deny     tcp    203.0.113.0/24 -> any            22
4  allow    tcp    198.51.100.0/24-> 10.0.0.0/24    22
5  allow    udp    any            -> 10.0.0.53      53
6  deny     any    any            -> any            any

Örnek 1. tcp, 192.0.2.10 → 10.0.0.5, port 443. Kural 1’in bütün alanları tutar: izin. Değerlendirme orada biter.

Örnek 2. tcp, 203.0.113.9 → 10.0.0.7, port 22. Kural 1 ve 2’nin hedefi 10.0.0.5, tutmaz. Kural 3: kaynak 203.0.113.0/24 içinde, hedef any, port 22. Reddet. Kural 4’e hiç bakılmaz.

Örnek 3. udp, 192.0.2.10 → 10.0.0.53, port 53. Kural 1-4 tcp, tutmaz. Kural 5 tutar: izin.

CIDR kontrolü 5. haftadaki gibi: /24 demek ilk 24 bit, yani ilk üç oktet aynı olmalı. 10.0.1.9 adresi 10.0.0.0/24 ağına ait değildir.

TUZAK · gölgeleme (shadowing). Tablonun en üstüne “allow tcp any → 10.0.0.0/24 port 22” eklenirse, 203.0.113.0/24’ten gelen SSH artık kural 3’e ulaşamadan kabul edilir. Genel kural, alttaki özel kuralı öldürür. Kuralları özelden genele sırala.

IDS ve IPS

Saldırı tespit sistemi (intrusion detection system, IDS) trafiği ya da makine olaylarını izler ve şüpheli durumda uyarır. Saldırı önleme sistemi (IPS) trafiğin yolunda (inline) durur ve şüpheli paketi engeller. Ağı izleyen NIDS, tek bir makineyi izleyen HIDS olarak ayrılır.

İki tespit yaklaşımı:

• İmza tabanlı (signature-based, misuse): bilinen saldırı kalıplarını arar. Az yanlış alarm, ama yeni saldırıyı göremez.
• Anomali tabanlı (anomaly-based): normal davranış profilinden sapmayı arar. Yeni saldırıyı yakalayabilir, ama yanlış alarmı çoktur.

Dört sonuç: gerçek pozitif (TP, saldırı ve alarm), yanlış pozitif (FP, normal ama alarm), yanlış negatif (FN, saldırı ama alarm yok), gerçek negatif (TN).

Taban oranı örneği. Günde $10^6$ olay var, bunların %0.1’i saldırı. IDS saldırıların %99’unu yakalıyor, normal olayların %1’inde yanlış alarm veriyor.

saldırı     = 1 000 000 × 0.001 = 1 000      normal = 999 000
TP          = 1 000 × 0.99      = 990        FN = 10
FP          = 999 000 × 0.01    = 9 990
kesinlik    = 990 / (990 + 9 990) ≈ 0.090

“%99 doğru” bir sistemin alarmlarının sadece yaklaşık %9’u gerçek. Analist her 11 alarmdan 10’unu boşa inceler ve zamanla alarmları ciddiye almamaya başlar. Çözüm: yanlış alarm oranını düşürmek, kuralları ayarlamak, alarmları korelasyonla süzmek.

VPN

Sanal özel ağ (virtual private network, VPN) güvensiz bir ağ (internet) üzerinden şifreli bir tünel kurar. İki kullanım: siteden siteye (iki ofis ağını birleştirmek) ve uzaktan erişim (evdeki çalışanı şirket ağına bağlamak).

En yaygın teknolojiler IPsec ve TLS tabanlı VPN’lerdir. IPsec’te iki protokol vardır: AH (bütünlük ve kimlik doğrulama, şifreleme yok) ve ESP (şifreleme + bütünlük). İki mod vardır: transport mode orijinal IP başlığını açık bırakıp yükü korur; tunnel mode paketin tamamını şifreleyip yeni bir IP başlığıyla sarar. VPN gizliliği ve bütünlüğü sağlar ama uç noktadaki zararlı yazılımı durdurmaz.

Katmanlı savunma

Hiçbir kontrol mükemmel değildir. Katmanlı savunma (defense in depth) birden fazla bağımsız katman koyar: firewall, IDS, güncel yama, uygulama içi girdi doğrulama, yedekleme. Saldırının başarılı olması için hepsini geçmesi gerekir. Katmanlar bağımsızsa:

$P(\text{geçer}) = m_1 \times m_2 \times \dots \times m_k$

Kaçırma olasılıkları 0.1, 0.2 ve 0.3 olan üç katman için $0.1 \times 0.2 \times 0.3 = 0.006$; saldırıların %99.4’ü durur. Tek tek hiçbiri %90’ı geçmiyor.

İPUCU · olasılıkları çarp, yüzdeleri toplama. “%90 + %80 + %70” gibi toplamak anlamsızdır. Her katmanın kaçırma olasılığını çarp, sonra 1’den çıkar.

Sık yapılan hatalar

1 allow tcp  any             -> 10.0.0.5     port 443
2 allow tcp  any             -> 10.0.0.5     port 80
3 deny  tcp  203.0.113.0/24  -> any          port 22
4 allow tcp  198.51.100.0/24 -> 10.0.0.0/24  port 22
5 allow udp  any             -> 10.0.0.53    port 53
6 deny  any  any             -> any          any

1 allow tcp  any             -> 10.0.0.5     port 443
2 allow tcp  any             -> 10.0.0.5     port 80
3 deny  tcp  203.0.113.0/24  -> any          port 22
4 allow tcp  198.51.100.0/24 -> 10.0.0.0/24  port 22
5 allow udp  any             -> 10.0.0.53    port 53
6 deny  any  any             -> any          any

1 allow tcp  any             -> 10.0.0.5     port 443
2 allow tcp  any             -> 10.0.0.5     port 80
3 deny  tcp  203.0.113.0/24  -> any          port 22
4 allow tcp  198.51.100.0/24 -> 10.0.0.0/24  port 22
5 allow udp  any             -> 10.0.0.53    port 53
6 deny  any  any             -> any          any

1 allow tcp  any             -> 10.0.0.5     port 443
2 allow tcp  any             -> 10.0.0.5     port 80
3 deny  tcp  203.0.113.0/24  -> any          port 22
4 allow tcp  198.51.100.0/24 -> 10.0.0.0/24  port 22
5 allow udp  any             -> 10.0.0.53    port 53
6 deny  any  any             -> any          any

0 allow tcp  any             -> 10.0.0.0/24  port 22
1 allow tcp  any             -> 10.0.0.5     port 443
2 allow tcp  any             -> 10.0.0.5     port 80
3 deny  tcp  203.0.113.0/24  -> any          port 22
4 allow tcp  198.51.100.0/24 -> 10.0.0.0/24  port 22
5 allow udp  any             -> 10.0.0.53    port 53
6 deny  any  any             -> any          any