Siber Güvenlik Sıkılaştırma (Hardening) Hizmetleri

Yeni taşındığınız bir evde kapı kilidini hiç değiştirmediğinizi düşünün: eski sakinin, tesisatçının, hatta emlakçının elinde hâlâ bir anahtar olabilir. Ev görünüşte güvenlidir, kapı kilitlidir; ama kimin girip çıkabileceği aslında sizin kontrolünüzde değildir. Varsayılan yapılandırmasıyla bırakılan bir sunucu, switch veya uç nokta cihazı tam olarak budur. Siber güvenlik sıkılaştırma (hardening), bu unutulmuş anahtarları tek tek bulup iptal etme, her kapıyı ve pencereyi gözden geçirme sürecidir.

Bu makale Siber Güvenlik hizmetimizin sistem ve ağ cihazı sıkılaştırma koluna odaklanır; 5651 loglama uyumu için ilgili rehberimize bakabilirsiniz.

Sıkılaştırmada Ne Yapıyoruz, İş Nerede Bitiyor?

Yaptıklarımız:

• Envanter ve mevcut durum taraması: hangi sunucu, hangi ağ cihazı ve kaç uç nokta var, bugünkü yapılandırmaları standardın neresinde duruyor.
• Sunucu sıkılaştırma. Windows ve Linux tarafında CIS Benchmark’a göre yapılandırma; gereksiz servis, açık port, varsayılan hesap ve zayıf ayarların kapatılması.
• Ağ cihazı sıkılaştırma. Şifrelenmemiş yönetim protokollerinin kapatılması, yönetim erişiminin kısıtlanması, paylaşılan parolanın kişisel hesaba taşınması.
• Uç nokta policy’leri. Uç nokta koruma yapılandırması, harici depolama kısıtı ve uygulama whitelist’inin merkezî konsoldan yönetilmesi.
• Raporlu teslim. Hangi bulgu tespit edildi, hangi değişiklik yapıldı, hangi risk bilinçli olarak kabul edildi; hepsi yazılı.
• Periyodik denetim. Sıkılaştırılmış durumun korunduğunun düzenli olarak doğrulanması.

Bu işin bittiği yer:

• Sıkılaştırmanın işe yarayıp yaramadığını biz söyleyemeyiz. Onu bağımsız bir sızma testi gösterir; o hizmeti de veriyoruz ama iki iş ayrı durur ve sırası bellidir: önce kapatılır, sonra denenir.
• Uygulama içi yetkilendirme bu kapsamda değil. Kimin hangi kayda erişebildiği uygulamanın kendi yetki modelidir; sıkılaştırma o uygulamanın çalıştığı sistemi ilgilendirir.
• Yönetim sistemi kurmak ayrı bir iştir. Policy, prosedür ve denetim döngüsü isteyen bir çerçeve kuruyorsanız o iş ISO 27001 danışmanlığı tarafında yürür.

Güvenlik Sıkılaştırma Kime Gerekir?

Dört durumdan biri varsa iş gecikmiş demektir.

• Sistemleriniz kurulduğu günkü ayarlarla çalışıyorsa. Sunucu devreye alındıktan sonra yapılandırmasına hiç dokunulmadıysa, bugün taşıdığı ayar üreticinin varsayılanıdır ve o varsayılan güvenlik için değil kolay kurulum için seçilmiştir.
• Ağ cihazlarında ortak parola varsa. Aşağıda anlattığımız vaka tam olarak budur ve sahada en sık karşılaştığımız açık da bu.
• Bir uyum süreciniz varsa. ISO 27001, KVKK teknik tedbirleri ve müşteri denetimleri aynı kalemlere bakar: yapılandırma yönetimi, zafiyet yönetimi, güvenli kimlik doğrulama.
• Bir olay yaşadıysanız. Fidye ya da yetkisiz erişim sonrası ilk sorulan soru hep aynıdır: aynı kapı hâlâ açık mı?

Neden Hardening Gerekli?

Bir evin güvenliği, en zayıf kapısı kadardır. Ön kapıya çelik kilit taktırıp bahçe kapısını eskiden kalma, herkesin bildiği bir asma kilitle bırakmak, yapılan yatırımı anlamsız kılar. Sistemlerde de aynı mantık işler: güncel ve iyi yapılandırılmış bir firewall’un arkasında, varsayılan şifresi hiç değiştirilmemiş tek bir sunucu bırakmak, tüm güvenlik yatırımını değersizleştirir.

Saldırganların çoğu, kapıyı kırmaya çalışan bir hırsız gibi çalışmaz; önce kilitli olmayan pencereyi arar. Sıfır-gün açıkları (henüz kimsenin bilmediği zafiyetler) nadirdir ve pahalıdır; saldırganların büyük kısmı bunun yerine bilinen, düzeltilmemiş yapılandırma hatalarını dener: değiştirilmemiş varsayılan şifreler, kapatılmamış gereksiz servisler, hâlâ açık duran eski bir port. Hardening, tam olarak bu kolay kapıları kapatır. Evin geri kalanını, yani kimlikten izlemeye bütün katmanları siber güvenlik önlemleri rehberimizde anlattık.

Sunucu Güvenlik Sıkılaştırması

Bir sunucu, kurulduğu andan itibaren gereksiz servisler, kullanılmayan portlar ve varsayılan hesaplarla gelir; tıpkı yeni bir evin, ileride belki kullanılır diye açık bırakılmış birkaç fazla kapısı olması gibi. Sunucu sıkılaştırmasında şu adımları uyguluyoruz:

• Kullanılmayan servislerin ve portların kapatılması
• Varsayılan hesapların devre dışı bırakılması veya yeniden adlandırılıp güçlü bir şifreyle korunması
• SSH sıkılaştırma: anahtar tabanlı kimlik doğrulama, doğrudan root erişiminin engellenmesi
• Audit logging ve merkezi log gönderiminin etkinleştirilmesi
• Linux’ta dosya sistemi izinlerinin ve SUID/SGID bitlerinin denetlenmesi
• Windows Server tarafında Güvenlik İlkeleri ve UAC yapılandırmasının sıkılaştırılması

Buradaki mantık, evin her odasını tek tek dolaşıp kullanılmayan kapıları kilitlemek, kullanılan kapılara ise daha iyi kilit takmaktır.

Ağ Cihazı Sıkılaştırma

Ağ cihazları (switch, router, kablosuz ağ kontrolcüleri), bir sitenin ortak alanlarına benzer: giriş kapılarının kim tarafından, hangi kimlikle açıldığı bilinmiyorsa, dairelerin kendi kilitleri ne kadar sağlam olursa olsun site genel güvenliği zayıf kalır.

Bir Ağ Yöneticisi Ayrıldığında Ne Olur?

Yakın zamanda destek verdiğimiz çok lokasyonlu bir kurumda tam olarak bu riskle karşılaştık: onlarca switch’e giriş şifresi, yıllardır hiç değiştirilmemiş, ağ yöneticileri arasında ağızdan ağıza paylaşılan ortak bir bilgiydi. Bir ağ yöneticisi kurumdan ayrıldığında bu şifreyi de beraberinde götürüyordu; şifre değiştirilmediği sürece o kişinin (ya da şifreyi öğrenen herkesin) erişimi teorik olarak açık kalıyordu. Kim hangi switch’e ne zaman girdiğine dair de hiçbir kayıt yoktu.

Çözümü, ortak anahtarı değiştirmek değil, ortak anahtarı tamamen kaldırmaktı: merkezi bir kimlik doğrulama sunucusu (NPS/RADIUS) kurup, switch ve kablosuz ağ girişini her yöneticinin kendi kurumsal hesabına bağladık. Artık kimse paylaşılan bir şifreyle giriş yapmıyor; her giriş isimli bir hesapla kayıt altına alınıyor ve bir yönetici ayrıldığında erişimi kapatmak için switch’lere tek tek dokunmaya gerek kalmıyor, tek yapılması gereken o hesabı devre dışı bırakmak.

Bu projeyi hangi mimariyle tamamladığımızı ağ erişimi sıkılaştırma vaka çalışmasında ayrıntılarıyla anlatıyoruz. Merkezi kimlik doğrulamanın protokol tarafını, yani bu sunucunun kararı nasıl verdiğini ve cihaz yönetiminde TACACS+ ile arasındaki farkı RADIUS sunucusu nedir rehberimizde ele alıyoruz. Cihaz yönetimine özgü protokolün kendisini TACACS+ nedir yazımızda anlattık.

Ağ cihazı sıkılaştırmasında ayrıca şunlara dikkat ediyoruz:

• Gereksiz yönetim protokollerinin (Telnet gibi şifrelenmemiş erişim) kapatılması
• Yönetim arayüzüne erişimin belirli IP aralıklarıyla kısıtlanması
• SNMP güvenlik yapılandırması (varsayılan community string’lerin değiştirilmesi)
• Oturum zaman aşımı ve giriş banner’ı ayarları

Bu maddelerin bir switch’in yapılandırma sırasında nereye oturduğunu, konsoldan ilk bağlantıdan sıkılaştırmaya kadar switch yapılandırma rehberimizde kontrol listesi olarak verdik. Aynı maddelerin bir lab switch’inde öncesi ve sonrasıyla ölçülmüş uygulaması, sıkılaştırmanın bozduğu gece yedeğiyle birlikte switch sıkılaştırma yazımızda duruyor.

Firewall tarafında biriken açıklamasız, gölge kuralların temizlenip standarda kavuşturulması da aynı ailenin bir parçasıdır; bunu ayrı bir firewall güvenlik sıkılaştırma vaka çalışmasında ele alıyoruz. Cihazın fabrika ayarında açık gelen yolları (USB’den otomatik kurulum, maintainer hesabı, kapalı password policy) lab cihazında tek tek ölçtüğüm kontrol listesi de FortiGate Firewall sıkılaştırma rehberinde duruyor.

Uç Nokta Güvenliği

Sunucular ve ağ cihazları site girişi gibiyse, çalışanların bilgisayarları da dairelerin kendisidir; site girişi ne kadar güvenli olursa olsun, bir dairenin kapısı açık bırakılırsa risk devam eder.

Antivirüs/EDR Policy’leri

Klasik antivirüs, daha önce görülmüş kötü amaçlı yazılımları imzasından tanıyıp yakalar; bu, kapıya sadece tanınan hırsızların fotoğrafını asmak gibidir, ilk kez görülen birini durduramaz. EDR (Endpoint Detection and Response) bunun yerine cihazdaki şüpheli davranışı izler (örneğin bir Word dosyasının aniden komut satırı çalıştırmaya çalışması gibi) ve daha önce hiç görülmemiş bir tehdidi bile anında izole edebilir.

Policy’leri merkezi bir konsoldan yönetiyoruz; yeni bir tehdit tanımlandığında tek tek her bilgisayara gitmek yerine, kural tüm filoya aynı anda uygulanıyor. İkisinin mekanizma farkını, hangi kurumda hangisinin yettiğini ve istisna ile yanlış pozitif yönetimini antivirüs ve EDR farkı rehberimizde ayrıntısıyla anlattık. Ürünün seçilip kurulduğu ve konsolunun okunduğu işi kurumsal antivirüs ve EDR hizmetimizde yazdık.

USB ve Harici Depolama Kısıtlaması

Bir kilit ne kadar sağlam olursa olsun, biri arka penceresini açık bırakırsa işe yaramaz; kısıtlanmamış bir USB portu tam olarak bu arka penceredir. Ağ ve sunucu tarafında sıkı bir sınır güvenliği kursanız bile, açık bir USB portu, veri sızıntısının ya da bir bilgisayardan diğerine bulaşan bir kötü amaçlı yazılımın en kolay yoludur.

Kısıtlamayı rol bazlı uyguluyoruz: bir muhasebe çalışanının USB’ye ihtiyacı yoksa tamamen kapatılır, saha ekibinin belirli onaylı cihazlara ihtiyacı varsa yalnızca o cihazlara izin verilir. Verinin USB dışındaki yollardan, e-posta ve bulut üzerinden çıkışını da denetleyen katman DLP çözümümüzün konusudur.

Uygulama Whitelist’i

Varsayılan olarak bir bilgisayar, kullanıcının indirdiği her şeyi çalıştırmaya izinlidir; bu, evin her kapısının açık bırakılıp isteyen herkesin girebildiği bir düzenle aynıdır. Uygulama whitelist’i bu mantığı tersine çevirir: yalnızca önceden onaylanmış yazılımlar çalışabilir, listede olmayan her şey kullanıcı yanlışlıkla çalıştırmaya çalışsa bile otomatik olarak engellenir.

Uluslararası Standartlara Göre Çalışıyoruz

Hardening kurallarını sıfırdan icat etmiyoruz. CIS (Center for Internet Security) Benchmark’ları ve NIST güvenlik çerçevesi, dünya genelinde binlerce kurumun katkısıyla sürekli güncellenen, bağımsız ve denetimlerde savunulabilir referans noktalarıdır. CIS Benchmark’lar tek bir kural listesi değil, iki seviyeli bir yapıdır: Seviye 1 (Level 1), sistemin işlevselliğini bozmadan uygulanabilecek temel sıkılaştırma adımlarını kapsar; Seviye 2 (Level 2) ise daha yüksek güvenlik gerektiren, bazı işlevleri kısıtlayabilecek ileri düzey önlemleri içerir.

Bir Windows Server veya Linux dağıtımı için hazırlanmış bir benchmark yüzlerce ayrı kontrol maddesi barındırabilir; hangi seviyenin hangi sistem için uygun olduğuna kurumun risk toleransına göre biz karar veriyoruz. Her hardening projesi sonunda, hangi bulguların tespit edildiğini, hangi değişikliklerin yapıldığını ve varsa bilinçli olarak kabul edilen kalan riskleri içeren yazılı bir rapor teslim ediyoruz.

Bir belgelendirme sürecindeyseniz bu çalışma boşa gitmez: burada yapılan sıkılaştırmanın büyük kısmı ISO 27001’in Ek A bölümündeki yapılandırma yönetimi, teknik zafiyet yönetimi ve güvenli kimlik doğrulama kontrollerine doğrudan karşılık gelir. Şartların tam listesi ve denetim süreci için ISO 27001 belgesi rehberimize bakabilirsiniz.

Hardening Bitmez, Sürdürülür

Sıkılaştırmanın gerçekten işe yarayıp yaramadığını ise sıkılaştırmayı yapan taraf söyleyemez; onu bağımsız bir sızma testi gösterir. Önce kapatılır, sonra denenir. Arada bir güncellemenin kapatılmış bir ayarı geri açıp açmadığını ise düzenli zafiyet taraması yakalar.

Bir evin kilitlerini bir kere değiştirmek yeterli değildir; yeni bir anahtar kopyalatıldığında, yeni bir sakin geldiğinde ya da bir kilit eskiyip zayıfladığında tekrar gözden geçirmek gerekir. Sistemlerde de durum aynıdır: yeni bir güncelleme kapatılmış bir servisi yeniden açabilir, yeni eklenen bir cihaz standart dışı bir yapılandırmayla gelebilir, daha önce güvenli sayılan bir ayar yeni keşfedilen bir açıkla riskli hale gelebilir. Bu yüzden hardening’i tek seferlik bir proje değil, periyodik güvenlik denetimleriyle sürdürülen bir disiplin olarak ele alıyoruz.

Güvenlik Sıkılaştırma Fiyatını Ne Belirler?

Bandın nerede oturacağını dört kalem belirler.

• Envanterin büyüklüğü. Kaç sunucu, kaç ağ cihazı ve kaç uç nokta kapsama girecek. İş cihaz sayısıyla büyür, kullanıcı sayısıyla değil.
• Cihazların bugünkü durumu. Daha önce hiç dokunulmamış bir ortamda liste uzundur; bir kısmı zaten yapılandırılmışsa iş doğrulamaya döner.
• Hangi seviyeye çıkılacağı. CIS Benchmark iki seviyelidir: birincisi işlevi bozmadan uygulanır, ikincisi bazı işlevleri kısıtlar ve test yükü getirir.
• Çalışma penceresi. Değişiklikler mesai dışına alınacaksa ve her adım geri alınabilir biçimde ilerleyecekse takvim uzar.

Teklifleri karşılaştırırken tek soru işinizi görür: teklifte hangi standardın hangi seviyesi yazıyor? Standart adı geçmeyen bir sıkılaştırma teklifi, neyin yapılacağını değil ne kadar süreceğini satıyordur.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn