Kurumsal Ağlarda Web Sistem Güvenliği - PDF
Download "Kurumsal Ağlarda Web Sistem Güvenliği"
1 Kurumsal Ağlarda Web Sistem Güvenliği Ar. Gör. Enis Karaarslan Ege Ü. Kampüs Network Yöneticisi ULAK CSIRT
2 İÇERİK 1. Neden Web Güvenliği 2. Kurumsal Web Güvenliği Modeli Standartları Oluşturma/Uygulama Sistem Farkındalığı Eğitim / Sınama Saldırı Saptama Engelleme 3. Ulak Csirt Web Güvenliği Grubu 4. Sonuç
3 NEDEN WEB GÜVENLİĞİ?
4 Web Kullanımı Artıyor Doğru bilgiyi zamanında ulaştırmak E ticaret ve bankacılık E öğrenme...vb Kurumların vitrini Uzaktan program çalıştırmak Cihaz yönetimi
5 Artan Web Saldırıları Zone H in incelemesi 2004 yılında web sunucu saldırıları 2003 yılına göre 400,000 (%36) artmıştır. CSI/FBI Bilgisayar Suç ve Güvenlik Anketi, ankete katılanların %95 i 2005 yılı içinde güvenlikle ilgili 10 dan fazla web sitesi olayı
6 Başlıca Nedenler... Web güvenliğinin yeterince ciddiye alınmaması. Geleksel güvenlik duvarları yetersiz Yetersiz sunucu güvenliği Güvenli kodlama eksikliği (Örn. Yazılımlarda girdi/çıktı kontrolünün yapılmaması)
7 Kurumsal Web Güvenliği Modeli
8 Kurumsal Web Güvenliği Modeli Standartların Oluşturulması Web Sistem Farkındalığı Eğitim / Sınama Saldırı Saptama Engelleme
9 Standartların Oluşturulması Kurum dışına açılacak web sunucu sistemlerinin uyması gereken özellikler belirlenmeli ve uygulanmalıdır Kurumun web sayfaları belirli bir yapıda ve şablonda olmalıdır.
10 Standartların Oluşturulması(devam) Hazır web portalları (phpnuke, joomla...vb) yerine kuruma özgü bir şablon hazırlanmalı ve uygulanmalıdır. Kurumsal web uygulamaları test edilmeli ve dökümantasyonu bulunmalıdır...
11 Sistem Farkındalığı Eğer saldırgan, sistemler hakkında sizden daha fazla bilgiye sahipse, o sistemi koruyamazsınız!
12 Sistem Farkındalığı Web Altyapısı Farkındalığı Zayıflık Testleri Ör: Nessus, Nikto, Wapiti Sistemin Takip Edilmesi Ör: Cacti
13 Web Altyapısı Farkındalığı Web sunucu IP adresleri Kullanılan protokoller (https, http) Alan adı (örn. socrates.ege.edu.tr) Kullanılan port'lar (80, 8080 vb) İşletim Sistemi (Linux, Windows vb) Web sunucu yazılımı ve sürümü (Apache 2.0, IIS 6.0 vb)
14 Web Altyapısı Farkındalığı (devam) Hazır portal yazılımı (Joomla, Phpnuke vb) Web uygulamaları için kullanılan programlama dilleri (cgi, php, asp vb) Web uygulaması dosya adı ve hangi dizin altında bulunduğu (path) Uygulamaya iletilen parametreler ve tipleri
15 Eğitim / Test Çalıştay Eğitim Portal Ör: Test Sunucusu
16 Eğitim(devam) Web yazılımlarının girdi/çıktı kontrolünün yapılması gerektiği anlatılmalı Sunuculardaki hata sayfaları yerine varsayılan sabit bir sayfa döndürülmesi gerektiği anlatılmalıdır.
17 Saldırı Saptama Saldırı Saptama Sistemleri Ör: Snort Log Takibi Bal Küpü (Honeypot) uygulamaları
18 Saldırı Engelleme Erişimin Kontrolü/Kısıtlanması Ör: ağ güvenlik duvarı, ACL Web Sunucu Güvenliği Ör: Apache Mod Security Reverse Proxy Web Güvenlik Duvarı Ör:Mod Security Mod Rewrite
19 Ulak Csirt Web Güvenliği konusunda bilinçlendirme Web Güvenliği Belgeleri /dokumanlar İTU Ninova E öğrenme içeriği hazırlanıyor
22 SONUÇ Kurumsal Ağlarda web güvenliğini sağlamak için öncelikle gerekenler: Web Sisteminizin farkında olmalısınız Sunucu Yöneticilerini ve programcıları bilinçlendirmeli Saldırı Tespiti için sistem takip edilmeli Mümkünse web güvenlik duvarı çözümlerine gidilmelidir.
23 SONUÇ (devam) Belgeleme çalışmalarımız devam etmektedir. Desteğinizi bekliyoruz: /dokumanlar
24 İlginiz için teşekkürler... Sorularınızı bekliyoruz. İletişim için: ULAK CSIRT
Kurumsal Web Güvenliği Yapısı
Akademik Bilişim 2008 Çanakkale Onsekiz Mart Üniversitesi, Çanakkale, 30 Ocak - 01 Şubat 2008 Kurumsal Web Güvenliği Yapısı Enis KARAARSLAN 1, Tuğkan TUĞLULAR 2, Halil ŞENGONCA 3 1 Ege Üniversitesi, Bilgi
Web Saldırı Saptama ve Engelleme Sistemi Temelleri
Web Saldırı Saptama ve Engelleme Sistemi Temelleri E. Karaarslan 1, T. Tuğlular 2, H. Şengonca 3 1 Ege Üniversitesi Uluslararası Bilgisayar Enstitüsü, İzmir 2 İYTE Bilgisayar Mühendisliği Bölümü, İzmir
Network Access Kontrol Ağ Erişim Kontrolü (NAC)
Network Access Kontrol Ağ Erişim Kontrolü (NAC) Hüsnü Demir Hüseyin Yüce Gökhan Akın hdemir @ metu.edu.tr huseyin @ marmara.edu.tr akingok@itu.edu.tr ODTÜ Marmara Ü. İTÜ NAC Nedir? NAC Kullanıcı sistem