Askerlik anısı dinlemekten sıkılmış biri olarak birbirinden eğlenceli! askerlik anılarımı başkalarını sıkmamak için çok fazla anlatmam. Ama anlatacağım anının güvenlik alanında bazı konulara güzel örnek olduğunu düşündüğüm için paylaşmak istedim. Askerliğimi Erzurum'da bir kış mevsiminde kısa dönem er olarak yaptım. Birliğe teslim olduktan hemen sonra yoğun bir şekilde eğitimlere, nöbetlere başladık. Tabi havalar gün geçtikçe soğumaya başladı. Güneye tatile gider gibi askere gittiğim için üniformanın altına giyecek bir içliğim dahi yoktu. Diğer arkadaşlarım da benden farklı değildi. İlk çarşı iznimizde soluğu asker eşyaları satan dükkanda aldık. İçliklerin en kalınını, en yünlüsünü istedik. Çarşı izni kutsal görevlerimizi (menemen, internet) tamamladıktan sonra birliğimize bir daha üşümeyecek olmanın hayaliyle teslim olduk. Saadet kısa sürdü, kış şiddetini artırdı ve kalın içliklerimiz kendini zor ısıtmaya başladı. Soğuktan nasıl korunacağımızı düşünürken bir komutanımızın nasihatı imdadımıza yetişti. Kalın olsa da tek bir içlik giymektense farklı özelliklerde ince içlikler giyecektik. Bu öneriden sonraki ilk çarşı iznimizde farklı özelliklerde ince içlikler (nano, polar, yünlü) aldık. Ve o günden sonra soğuk nedir bilmedik.
Bir gün bir köstebek, yuvasında dinlenirken bir ses duyar. Sesin, kendisini avlamaya gelen bir avcıdan geldiğini düşünerek etrafı dikkatle dinleyeme başlar. Çok geçmeden sesin geldiği yeri bulur ve avcıdan korunmak için sesin geldiği deliği kapatır. Biraz sonra sesi yine duyar. Sesi takip eder ve bir başka delikten geldiğini görür. Hemen o deliği de kapatır. Avcının kendine artık zarar veremeyeceğini düşünerek dinlenmeye çekildiği anda sesi yine duyar. Bu şekilde yavaş yavaş tüm delikleri kapatır. Artık kesin bir şekilde avcıdan kurtulduğunu düşünürken hiç tahmin etmediği bir şey olur ve köstebek havasızlıktan ölür.
Askerlik anısından ve köstebek hikayesinden bilgi güvenliğine doğru ince bir geçiş yapalım. Katmanlı güvenlik mimarisi şüphesiz en etkin ama bir o kadar da yönetilmesi zor olan bir yaklaşım. Katmanlı güvenlik derken sadece firewall, IPS gibi cihazların arka arkaya sıralanmasını kastetmiyorum. Kullanıcının uygulama/sunucu üzerindeki haklarına kadar küçük büyük her türlü güvenlik önleminden bahsediyorum. Hiç bir koruma yöntemi tek başına önlem olamayacağı için bir adet çok güçlü kontrol yerine birden fazla kontrol koymak daha engelleyici olacaktır. Soğuktan korunmak için kalın bir içlik yerine ince ve farklı özelliklerde içlikler giymek gibi. Bu sayede bir kontrolün zayıf noktasını bilen bir saldırgan aynı zayıflığın diğer kontrol noktasında çalışmadığını görecektir. Bu da saldırgan için ekstra zaman ve efor demektir. Yukarıdaki şekilde görülebileceği gibi saldırgan hedefine düz bir ok ile ulaşmak istediğinde ilk engelin zayıf noktasını geçmiş olmasına rağmen ikinci hedefte takılacaktır. Bu saldırgan katmanlı güvenlik mimarisini aşabilmek için düz bir ok yerine aşağıdaki şekildeki özel nitelikli oku hazırlaması gerekecektir. Bu da işini bir hayli zorlaştıracaktır. Peki işi daha da zorlaştırmak için köstebek gibi davranıp engel sayısını ve etkisini artırırsak ne olur? Cevap basit: Nefes alamayız. Bu yüzden güvenlik ile işlevsellik arasındaki ince çizgiyi detaylı analiz edip, katmanlı güvenlik mimarisini tasarlamalıyız. Aksi takdirde bilgi güvenliğini sistemin bir parçası yerine sistemi bilgi güvenliğinin bir parçası haline getiririz.
Bir başka yazıda görüşmek üzere..
Bir başka yazıda görüşmek üzere..
