Sunucu Güvenliğinde Yanlış Bilinenler

Güvenlik, hakkında en çok yanlış varsayım yapılan alanlardan biridir. Bu varsayımlar, gerçek risklerin gözden kaçmasına yol açar.

"Küçüğüz, kimse bizi hedef almaz"

Gerçek: Saldırıların büyük kısmı hedefli değil, otomatiktir. Tarayıcılar internete açık sistemleri sürekli tarar ve açık bulduğunda büyüklüğe bakmaz.

Küçük şirketler genelde daha savunmasızdır; bu da onları daha kolay hedef yapar.

"Güvenlik duvarımız var, güvendeyiz"

Gerçek: Güvenlik duvarı bir katmandır. Güncel olmayan yazılım, zayıf parola ya da izin verilen bir kanaldan gelen saldırı bu katmanı aşar.

"Antivirüs yeterli"

Gerçek: Uç nokta koruması bilinen tehditleri yakalar. Yapılandırma hataları, açık portlar ve zayıf erişim yönetimi bu araçların kapsamı dışındadır.

"Sunucumuz iç ağda, güvende"

Gerçek: Bir kullanıcı bilgisayarı ele geçirildiğinde saldırgan iç ağa girmiş olur. İç ağ, güvenli bölge sayılmamalıdır.

Doğrusu: İç ağda da erişim kısıtlaması, ağ bölümlemesi ve kimlik doğrulama uygulanmalıdır.

"RAID varsa veri güvende"

Gerçek: RAID yalnız disk arızasına karşı korur. Silme, şifreleme, bozulma ve sistem kaybına karşı işe yaramaz.

"Yedeğimiz var" (bağlı duran tek kopya)

Gerçek: Ağa bağlı ve yazılabilir durumda duran bir yedek, fidye yazılımı tarafından da şifrelenir.

Doğrusu: En az bir kopya çevrim dışı ya da değiştirilemez olmalıdır.

"Bulut sağlayıcısı güvenliği hallediyor"

Gerçek: Sağlayıcı altyapıyı korur; yapılandırma, erişim yönetimi ve veri koruma sizdedir. Bulut kaynaklı sızıntıların büyük kısmı müşteri yapılandırmasından doğar.

"Yönetilen hizmet aldık, güvenlik onlarda"

Gerçek: Yönetilen hizmet genelde sunucu düzeyini kapsar. Uygulamanızın açıkları, kullanıcı yetkileri ve veriniz yine sizdedir.

Doğrusu: Kapsamı yazılı olarak netleştirin.

"Parolalarımız güçlü, yeterli"

Gerçek: Güçlü parola gereklidir ama tek başına yetmez. Parola sızdırılabilir, yeniden kullanılabilir ya da bir kullanıcı cihazından çalınabilir.

Doğrusu: İki adımlı doğrulama ekleyin.

"Bir kez sertleştirdik, tamam"

Gerçek: Yeni açıklar çıkar, yeni servisler kurulur, yapılandırmalar değişir. Güvenlik bir durum değil süreçtir.

"Test ortamı önemli değil"

Gerçek: Test ortamları genelde zayıf korunur ama gerçek veri içerebilir ve üretim sistemlerine erişimi olabilir. Saldırganlar için ideal giriş noktasıdır.

"Eski sunucu dursun, zararı yok"

Gerçek: Güncellenmeyen, izlenmeyen ve unutulan bir sistem, ağınızdaki en zayıf halkadır ve diğer sistemlere sıçrama noktası olabilir.

"Kayıtlara bakmaya gerek yok, bir şey olmuyor"

Gerçek: Saldırılar genelde sessizdir. Kayıtlar incelenmediğinde, bir sistemin haftalardır ele geçirilmiş olduğu fark edilmez.

"Şifreleme her şeyi çözer"

Gerçek: Şifreleme, doğru senaryolarda korur. Uygulama üzerinden yetkili bir erişim varsa, veri zaten çözülmüş hâlde sunulur.

"Saldırı olursa hemen anlarız"

Gerçek: Ele geçirilen sistemlerin fark edilmesi genelde haftalar sürer. İzleme ve kayıt incelemesi olmadan tespit süresi çok uzar.

"Güvenlik çok pahalı"

Gerçek: En etkili önlemlerin çoğu ücretsizdir:

• Güncellemeleri uygulamak
• Gereksiz servisleri kapatmak
• Erişimi kısıtlamak
• İki adımlı doğrulamayı açmak
• Kullanılmayan hesapları kapatmak
• Yedekleri ayrı tutmak

Pahalı olan, bir olay yaşandığındaki maliyettir.

"Sistem yöneticimiz her şeyi biliyor"

Gerçek: Bilginin tek kişide toplanması bir güç değil bir risktir. Ayrıca kimse her alanda uzman olamaz.

Ortak ders

Bu yanılgıların çoğu aynı hatadan doğar: tek bir önlemin yeterli olduğunu varsaymak.

Güvenlik katmanlıdır. Şu beş temel katman birlikte çalıştığında etkili olur:

1. Güncellik
2. Erişim kontrolü
3. Yüzey azaltma
4. İzleme
5. Kurtarma (yedekleme)