BT Sıkılaştırma (Hardening)
Sistemlerin sıkılaştırılması, teknoloji uygulamaları, sistemleri, altyapısı, ürün yazılımı ve diğer alanlardaki güvenlik açığını azaltmak için bir dizi araç, teknik ve uygulamalardan oluşur. Sistemlerin sıkılaştırılmasının amacı, potansiyel saldırı vektörlerini ortadan kaldırarak, sistemin saldırı yüzeyini daraltarak güvenlik riskini azaltmaktır.
Gereksiz programları, hesap işlevlerini, uygulamaları, bağlantı noktalarını, izinleri, erişimi vb. kaldırarak saldırganların ve kötü amaçlı yazılımların BT ekosisteminize zarar verme ihtimalini en aza indirgeyebilirsiniz.
Sistemlerin sertleştirilmesi, kuruluşunuzdaki olası güvenlik açıklarını denetlemek, tanımlamak, kapatmak ve kontrol etmek için yöntemsel bir yaklaşım gerektirir. Aşağıdakiler de dahil olmak üzere çeşitli sistem sıkılaştırma faaliyetleri vardır:
- Uygulama sıkılaştırma
- İşletim sistemi sıkılaştırma
- Sunucu sıkılaştırma
- Veritabanı sıkılaştırma
- Ağ sıkılaştırma
Sistem sıkılaştırma prensipleri evrensel olmasına rağmen, belirli takımlar ve teknikler uyguladığınız sağlamlaştırma tipine bağlı olarak değişir. Sistemin sertleştirilmesi, ilk kurulumdan yapılandırma, bakım ve desteğe, kullanım ömrünün sona ermesine kadar teknolojinin kullanım ömrü boyunca gereklidir.
Sistemlerin sertleştirilmesi, ayrıca GDPR, KVKK, PCI DSS ve HIPAA gibi görevlerin de bir gereğidir.
“Saldırı Yüzeyini” Azaltmak için Sistemlerin Sıkılaştırılması
“Saldırı yüzeyi”, bilgisayar korsanlarının sömürülebileceği tüm potansiyel kusurların ve arka kapıların birleşimidir. Bu güvenlik açıkları aşağıdakiler dahil olmak üzere çeşitli şekillerde ortaya çıkabilir:
- Varsayılan ve sabit kodlanmış şifreler
- Düz metin dosyalarında saklanan şifreler ve diğer kimlik bilgileri
- İşlenmemiş yazılım ve ürün yazılımı güvenlik açıkları
- Kötü yapılandırılmış BIOS, güvenlik duvarları, bağlantı noktaları, sunucular, anahtarlar, yönlendiriciler veya altyapının diğer bölümleri
- Şifrelenmemiş ağ trafiği veya beklemedeki veriler
- Ayrıcalıklı erişim eksikliği
Sistem Sıkılaştırması için Adımlar
Gerçekleştirdiğiniz sıkılaştırma türü sahip olduğunuz teknolojilerdeki risklere, elinizdeki kaynaklara ve düzeltme yapma önceliğine bağlıdır.
Mevcut sistemlerin denetlenmesi: Mevcut teknolojiniz üzerinde kapsamlı bir denetim yapın. Sistemdeki hataları bulmak ve düzeltmelere öncelik vermek için sızma testi, güvenlik açığı taraması, yapılandırma yönetimi ve diğer güvenlik denetim araçlarını kullanın. NIST, Microsoft, CIS, DISA vb. Sektör standartlarını kullanarak sistem sıkılaştırma değerlendirmeleri yapılması yerinde olacaktır.
Sistemlerin sıkılaştırılması için bir strateji oluşturulması: Tüm sistemlerinizi aynı anda sıkılaştırmanıza gerek yoktur. Bunun yerine, teknoloji ekosisteminizde belirlenen risklere dayalı bir strateji ve plan oluşturun ve en büyük kusurları gidermek için aşamalı bir yaklaşım kullanılabilir.
Güvenlik açıklarını hemen düzeltme: Otomatik ve kapsamlı bir güvenlik açığı tanımlama ve yama sisteminizin bulunması sizi olası pek çok saldırıdan koruyacaktır.
Ağ sıkılaştırma: Güvenlik duvarınızın doğru yapılandırıldığından ve tüm kuralların düzenli olarak denetlendiğinden emin olun; güvenli uzaktan erişim noktaları ve kullanıcılar; kullanılmayan veya gereksiz açık ağ bağlantı noktalarını engelleme; gereksiz protokolleri ve hizmetleri devre dışı bırakma ve kaldırma; erişim listelerini uygulamak; ağ trafiğini şifreleme gibi işlemler ağınızı çok daha güvenli hale getirecektir.
Sunucu sıkılaştırma: Tüm sunucuları güvenli bir veri merkezine bulunmalı; sunucuları internete veya harici ağlara bağlamadan önce daima sıkılaştırma yapılmalı; bir sunucuya gereksiz yazılım yüklemekten kaçınmak; sunucuları uygun şekilde ayırmak; süper kullanıcı ve yönetimsel paylaşımların doğru şekilde kurulmasını ve hakların ve erişimin en az ayrıcalık ilkesi doğrultusunda sınırlı olmasını sağlamak sunucularınızı koruyacaktır.
Uygulama sıkılaştırma: İhtiyacınız olmayan bileşenleri veya işlevleri kaldırın; kullanıcı rollerine ve bağlama göre uygulamalara erişimi kısıtlama (uygulama kontrolü gibi); tüm örnek dosyaları ve varsayılan şifreleri kaldırın. Uygulama parolaları daha sonra parola en iyi uygulamalarını (parola yenileme, uzunluk vb.) Uygulayan bir uygulama parola yönetimi / ayrıcalıklı parola yönetimi çözümü aracılığıyla yönetilmelidir. Uygulamaların sertleştirilmesi, diğer uygulama ve sistemlerle entegrasyonların denetlenmesini ve gereksiz entegrasyon bileşenlerinin ve ayrıcalıklarının kaldırılmasını veya azaltılmasını da içermelidir.
Veritabanı Sıkılaştırma: Ayrıcalıklı erişimi denetleyerek kullanıcıların veritabanın da yapabilecekleri gibi yönetici kısıtlamaları oluşturun; uygulamaları ve kullanıcıları doğrulamak için düğüm kontrolünü açın; veritabanı bilgilerini şifrelemek – hem transit hem de dinlenme; güvenli parolalar uygulamak; rol tabanlı erişim kontrolü ayrıcalıklarını tanıtmak; kullanılmayan hesapları kaldırmak veritabanlarına istenmeyen erişimlerin önüne geçecektir.
İşletim sistemi sıkılaştırma: İşletim sistemi güncellemeleri, hizmet paketleri ve yamalar otomatik olarak uygulanmalı. Gereksiz sürücüler, dosya paylaşımları, kitaplıkları, yazılımlar ve hizmetler kaldırılmalı. Yerel depolama alanları şifrelenmeli; kayıt defteri ve diğer sistem izinlerini mutlaka sıkılaştırılmalıdır. Bunun yan sıra tüm etkinlikler, hatalar ve uyarılar loglanmalı; ayrıcalıklı kullanıcı denetimleri kontrol edilmelidir.
Gereksiz hesaplar ve ayrıcalıklar mutlaka ortadan kaldırılmalı.
Sistem Sıkılaştırmanın Yararları
Sistemlerin sıkılaştırılması sürekli çabayı geri kazandırır.
Gelişmiş sistem işlevselliği: Daha az program ve daha az işlevsellik, işletim sorunları, yanlış yapılandırmalar, uyumsuzluklar ve güvenlik riskini azaltır.
Önemli ölçüde geliştirilmiş güvenlik: Azalan saldırı yüzeyi, daha düşük veri ihlali olasılığı, yetkisiz erişim, sistem korsanlığı veya kötü amaçlı yazılım riski anlamına gelir.
Basitleştirilmiş uyum ve denetlenebilirlik: Daha basit bir yapı daha az program ve hesap, ortamın denetlenmesini genellikle daha şeffaf ve anlaşılır kılacaktır.
Nexgen, uzman kadrosu ve güçlü iş ortakları ile doğru stratejinin belirlenmesinden gerekli tüm süreçlerin uygulanmasına kadar size yardımcı olmak için hazır.