PowerPoint Sunusu

Yönetim Bilişim
Sistemleri
Yrd. Doç. Dr. Doğan AYDOĞAN
Enformayon Sistemleri Güvenliği
8.1. Sistem zaafiyeti ve suistimal

Sistemler Neden Zayıf

İnternet Açıkları

Kablosuz Güvenliği (WEP, WPA2)

Kötü Niyetli Yazılımlar


Virüsler

Solucan

Truva Atı

Casus Yazılım
Bilgisayar Korsanları ve Suçları

Sibervandallık

Kimlik sahteciliği

Paket Dinleyiciliği

Hizmet Engelleme saldırıları (Dos Saldırıları-zombi pcler)
Güvenlik sorunları ve katmanları
İstemci
• Yetkisiz
Erişim
• Hatalar
İletişim Hatları
İşletme Sistemi
(Sunucu)
İşletme Sistemi
ve Veritabanı
• Aradan
bağlanmak
• Paket
dinleme
• Mesaj
Değiştirme
• Hırsızlık ve
Sahtekarlık
• Radyasyon
• Korsanlık
• Kötü niyetli
yazılımlar
• Hırsızlık ve
Sahtekarlık
• Vandallık
• Hizmet
Engelleme
Saldırıları
• Veri hırsızlığı
• Veri
kopyalama
• Veri
değiştirme
• Donanım
Arızaları
• Yazılım
hataları

Bilgisayar Suçu

Kimlik Hırsızlığı; Başkasına ait kimlik ve kart bilgilerini ele geçirme

Yöntemleri:

Yemleme: Büyük işletme web sitesi veya e-mail taklit yoluyla

Şeytan ikizler: Havaalanı, terminal, Avm gibi yerlerde kurumsal isimle verilen sahte
kablosuz ağ hizmeti yoluyla verileri ele geçirmek.

DNS tabanlı yemleme: İnternet servis sağlayıcısına sızan korsanlar, sizi istedikleri
adrese yönlendirir ya da verilerinizi dinler.

Tıklama Hilesi: Gerçek ya da robot bilgisayarlar aracılığı ile arama motorlarında
reklamlara sürekli tıklanarak firmalara maddi zarar verirler.

Küresel Tehditler (Siber Terör – Siber Savaş): Ülkeler, terör örgütleri, istihbarat
örgütleri elektrikleri kesmek, havayolu trfiğini aksatmak için kullanır.

İç tehditler: Tehditlerin çoğu çalışanlardan kaynaklanır, şifrelerini paylaşmaları,
güvenlik açığına yol açacak hareketlerde bulunmaları, dışarıdan içeriye girişleri
kolaylaştırır.

Yazılım Sorunları: Yazılımları tam güvenli yapmak imkansızdır. Bunun etkili bir yama
yönetimi ile desteklenmesi gerekir, ancak sorun tespit edilip yama geliştirilene kadar,
açıktan faydalananlar olacaktır. Bu açıklar işletim sistemlerinde, web tarayıcılarda
hatta antivirüs uygulamalarında olmaktadır.
8.2 Güvenlik ve Kontrolün İş Değerleri

Çoğu firma satışlarla ilişkili görmediği için güvenlik harcamalarında isteksizdir.
Ancak bir güvenlik açığı nedeniyle yaşanacak ciddi bir olay, şirketin marka
değerine ve piyasa değerine ciddi hasar verebilir.

Bu konuda bazı yasal yükümlülükler vardır.

Elektronik Kanıt ve Adli Bilişim

Adli Bilişim: Mahkemede kanıt olarak kullanılabilecek enformasyonun
sağlanması, verilerin bilimsel olarak toplanması, incelenmesi, doğrulanması,
korunması ve analiz edilmesidir.

Kanıtsal bütünlüğü bozmadan bilgisayardaki veriyi kurtarmak

Kurtarılmış veriyi güvenli bir biçimde depolamak ve yönetmek

Büyük miktardaki elektronik veri içinden anlamlı enformasyonun bulunması

Enformasyonun mahkemeye sunulması
8.3 Güvenlik ve Kontrol İçin Bir Çerçeve
Oluşturmak

Yazılım Kontrollleri

Donanım Kontrolleri

Bilgisayar İşlemleri Kontrolleri

Veri Güvenliği Kontrolleri

Uygulama Kontrolleri / giriş / işleme / çıktı

Yönetim Kontrolleri
Risk Değerlendirmesi

Hangi verileri korumalayım

İşlem analizi / koruma maliyeti ve işlem hacmi
Risk Değerlendirmesi

Hangi verileri korumalayım

İşlem analizi / koruma maliyeti ve işlem hacmi
Güvenlik Politikası

Hangi Veriler korunacak

Verilerin korunmasından kim sorumlu olacak

Hangi veriye kim erişebilir/ yetkilendirme

Kimlik Yönetimi ve Tanıma Araçları
Felaket Eylem Planı

Öncelikli olarak hangi veriler kurtarılacak ve yedeklenecek

İş Sürekliliği – felaketten sonra işleri eski haline döndürme planı – gruplar,
bilgisayarlar – ağlar v.b.
8.4. Enformasyon Sistemlerini Korumak için
Teknoloji ve Araçlar

Kimlik Yönetimi ve Doğrulama





Firewall ve Virüs Yazılımları

Firewall

Saldırı Algılama Sistemleri

Virüs Programları

Birleşik Tehdit Yönetim Sistemleri
Şifreleme ve Açık Anahtar

Sunucu ve İstemci arasındaki iletişimin şifrelenmesi

şifreleme/açık anahtar/E-İmza
Sistem Erişilebilirliğinin Garanti Edilmesi

Aksaklığa Dayanıklı Bilgisayar Sistemleri

Erişilebilirliğin Devamlılığı
Ağ trafiğinin Kontrol Edilmesi (Örn kampüs ağları)


Şifre ve Doğrulama (Jeton – Akıllı kart – Biyometrik Tanıma sistemleri)
Derin Paket İnceleme (DPI)
Güvenlik Dış Hizmeti (Kobiler genel olarak dış hizmete muhtaçtır)
Bulut Bilgi İşlem ve Mobil Platformların Güvenliği

Bulut servis sağlayıcının güvenliği

Mobil Platform Güvenliği – kayıt, güvenlik, takip v.b.

Yazılım kalitesinin garanti edilmesi