Geleneksel yaklaşımlar artık yetersiz kalıyor
Açık ağlar, sosyal paylaşım teknolojileri, mobilite ve bulut bilişim uygulamaları geleneksel güvenlik çemberi yaklaşımlarını yetersiz duruma getiriyor. Kötü amaçlı yazılımların sistemlere erişebilme seçeneklerini artırıyor. Güncel araştırmaların sistemlere yapılan saldırıların finansal amaçlarla, belirli bilgilere erişimi hedefleyen bilinçli girişimler olduğunu gösterdiğini kaydeden Proya İstanbul Bölge Müdürü Cenk Mola, “Bilinen güvenlik açıklarının önleyici yamaları yayınlanmadan yapılan saldırılar sıfırıncı gün saldırısı olarak isimlendirilir. Bu tür saldırılardan korunmak için beyaz liste yaklaşımıyla sadece yetkili uygulamaların sistemlerde çalışmasına olanak sağlayan güvenlik çözümleri kullanılmalı. Diğer bir risk alanı, günümüzün gözdesi mobil ürünlerin çalınması veya kaybı durumunda içerdikleri bilgilerin yasa dışı amaçlarla kullanılması. Bu nedenle elektronik bilginin mutlaka güçlü şifreleme teknikleri kullanılarak saklanması gerekli. Ayrıca bilgiye belli şartlarda erişim yetkisi olan bireylerin mobil ürünler ile yetkisiz şekilde bilgiyi taşımaları önlenmeli. Bu amaçla mobil cihazlara bilgi kopyalanmasını denetleyen ve güçlü şifreleme teknikleri sunan çözümler kullanılmalı. Sosyal mühendislik teknikleriyle bireylerin meşru bir tarafla iletişim kurduğu algısı yaratılması ile aldatılarak bilgi transferi yapılması yaygın olarak kullanılmaktadır. Bu tür eylemlerden korunmak için kurumsal güvenlik politikası ile desteklenen eğitim faaliyetleri düzenlenmeli” dedi.
Şirket olarak bilgi güvenliğini “şirketlerin kendi içinde sağladıkları bilgi güvenliği” ve “ticaret hacminin büyümesi için gerekli olan bilgi güvenliği” olmak üzere iki açıdan ele aldıklarına değinen E-Güven Genel Müdürü Can Orhun, hem şirketlerin hem de kamu kurum ve kuruluşlarının kendi içinde bilgi güvenliği sağlamalarının bu denli önemli olmasında, verilerin artık bir şirketin en değerli hazinesi olarak görülmesinin büyük rol oynadığını vurguladı. Orhun, özellikle elektronik ortamda hızla artan bilgi hırsızlığı, kritik bilgilerini her gün daha fazla elektronik ortamda tutan kurumlar için son derece önemli bir tehdit haline geldiğini kaydederken, “Bu açıdan bakıldığında bilgi güvenliğini sağlamaya yönelik önlemler yazılım, donanım, prosedür ve standartlar olarak gelişimini sürdürüyor. Özellikle kamusal alanda faaliyet gösteren kurumların sahip olduğu bilgileri uygun bir şekilde saklaması, ilgili kişilerle paylaşması ve bilgiye erişen kişinin kimliğinin doğruluğunu tespit etmesi, söz konusu şirketin varlığını sürdürebilmesi açısından kritik önem taşıyor. E-imzanın da bu noktada daha etkin bir veri güvenliği sağladığı herkes tarafından kabul ediliyor. E-imza ayrıca, iş süreçlerini hızlandırarak zamandan da büyük ölçüde tasarruf sağlıyor. Bunun yanı sıra, bir defaya mahsus alınan elektronik imza, kurum içi yazışmalarda kâğıt kullanımını da azaltarak, doğaya da katkıda bulunuyor” şeklinde konuştu.
“Artık virüs, spy ve trojan gibi tehditler bir bütün halinde geliyor karşımıza” diyen Kaspersky Lab Türkiye Genel Müdürü Murat Göçe, bu tür zararlı kodlar vasıtasıyla uzaktan kumandalı robot sistemlerin, oluşturdukları botnet’ler ile toplu saldırılarda kullanıldığını anlattı. Göçe, bu zararlı kodlarla ele geçirilen sistemleri biraraya getirip bir anlamda bu hizmeti satın alan kişinin, botnet’i kredi kart bilgileri satışında, herhangi bir adrese DDOS atağı gerçekleştirmek ya da spam e-posta göndermek amaçlı kullandığını bildirirken, sözlerini şöyle sürdürdü: “Herhangi bir kişi, bu botnet sahibi ile irtibata geçerek, internetten istediği bölgede istediği kadar kredi kartı bilgisi satın alabilir. Ya da istediği bir web adresine saldırı yaptırarak süreli şekilde çalışmamasını sağlayabilir. Ya da istediğiniz bir e-posta, dünyanın her yerine ve milyonlarca kişiye anında iletilebilir. Bu hizmetleri satın almak için sadece internette biraz araştırma yapmak yeterli. Koruma yöntemleri her zaman kullanıcının bilinçlendirilmesi ile başlıyor. Nasıl ki bir cihaz satın aldığında kullanım kitapçığını okuyarak bilgi sahibi olunuyorsa, interneti kullanan herkesin sanal dünyadan gelecek tehlikelere karşı bilinçli olması gerekiyor. Bunun için kurslar, eğitimler, seminerler gibi etkinlikler fayda sağlayacağı gibi devletin önderliğinde yapılacak kapsamlı bilgilendirme çalışması hem birey ve kurumların zarar görmesini azaltacak hem de güvenlik yazılım sektörünün de önünü açacaktır.”
Çerçeveyi uç nokta güvenliği olarak belirleyen Elmer Yazılım Satış Müdürü Ali Yakup Durşen, mobil gereçlerin artması ile kurumların bugüne kadar farkında olmadıkları bir tehdit ile karşı karşıya olduğunu söyledi. “Herkesin cebinde USB bellekler, cep telefonları, iPod ya da diğer MP3 çalarlar bulunuyor. İnsanlar bu gereçleri bilgisayarlarına bağlıyorlar. Kötü amaçlı biri için bu gereçler kurum bilgisinin kolaylıkla dış ortama aktarılabileceği olanaklar sunuyorlar” diyen Durşen’e göre, kurum içinde bu gereçlerin kontrolü ya yok ya da çok yetersiz. Hiçbir kontrolün olmadığı durumlar kadar, her şeyi engelleme davranışlarının da olduğunu görüyoruz. Ancak uç nokta güvenliği konusu her şeyi engellemek değil, erişimin kontrollü, denetlenebilmesi demek. Bu alanda da, kuşkusuz diğer alanlarda olduğu gibi, iyi bir planlamayla, çözüm seçimine ve uygulamasına ihtiyaç var.
“Atakların yarattığı sorun verilerin kaybı olarak karşımıza çıkıyor”
F5 Networks Satış Müdürü Mutlu Güngören’e göre, kurumsal BT altyapılarındaki en tehlikeli güvenlik açıklarının birçoğu aslında virüsler ve türevlerinden değil uygulamaların saldırılara açık olmasından kaynaklanıyor. Güngören, konuyla ilgili şunları aktardı:
“Bu güvenlik açıkları web altyapılarını “cross-site scripting”, “SQL injections”, “cookie poisoning” gibi birçok atağa açık hale getiriyor. Tüm bu atakların yarattığı problem ise verilerin kaybı olarak karşımıza çıkıyor. Web 2.0 uygulamalarının doğası gereği kaynaklanan bu riskleri adresleyen çözümler yeni yeni gelişen XML odaklı pazardan gelmekte ve XML güvenlik duvarlarını içermekte; diğer çözümler de bu sorunları halihazırda adresleyen mevcut web güvenlik çözümleri. Kötü niyetli kodlar ister bir istek, ister bu isteğe cevap olarak iletilen bir yanıt içerisine enjekte edilmiş olsun fark etmez, her türlü web tabanlı trafik güvenlik duvarı çözümü tarafından kolaylıkla risklerden izole edilebilir. Web güvenlik duvarı cihazları genellikle istemci ve sunucu arasında ‘in-line’ olarak yerleştirilir ve akıllı bir filtreleme cihazı olarak hizmet verir, üzerinden akan trafiği sürekli olarak izler ve kötü niyetli kodları uygulamalarınıza veya kullanıcılarınıza daha ulaşmadan durdurur.”
