Page 37 - bilgem-teknoloji-dergisi-12
P. 37
Siber Güvenlik BILGEM
TEKNOLOJI
VERİ TABANI
bırakılmalı ve diğer veri tabanı sistemleri üzerinde
dağıtık sorguları çalıştırma işlevi kapatılmalıdır.
İşletim Sistemi Sıkılaştırma
İşletim sistemi üzerinde tutulan ortam değişkenleri
bünyesinde veri tabanı sistemi için kullanıcı adı ve
parola bilgisi bulundurulmamalıdır. Başta şifreleme
işlemlerinde kullanılan anahtar dosyaları ile kayıt-
ları barındıran veri tabanı dosyaları olmak üzere,
veri tabanı yönetim sistemine ait dosya ve dizinler
için ilgili izinler periyodik olarak kontrol edilmeli-
dir. Mümkün olduğunca diğer kullanıcıların okuma,
yazma ve yürütme hakları kaldırılmalıdır.
Veri tabanı yönetim sisteminde çalıştırılan komut-
ların geçmişini tutan dosyalar (örneğin: “.mysql_
history” dosyası) işletim sistemi üzerinden belirli
zamanlarda silinmeli veya oluşturulması engellen-
melidir. İşletim sistemi kaynakları, veri tabanı sis- Sonuç
temi için sınırlandırılarak hizmet dışı bırakma gibi Veri tabanı sistemleri barındırdıkları bilgiler sebe-
Denetleme ve Günlük Kayıtları ifşasının ve bozulmasının önüne geçilebilir. Sunu- saldırılar neticesinde işletim sisteminin beklendiği biyle her zaman saldırganların odağında olmuş ve
Veri tabanı sistemi üzerinde gerçekleşen aktivite- cunun fiziksel olarak çalınması, veri tabanı dosya- gibi çalışmaya devam etmesi sağlanabilir. Veri ta- günden güne artan tehdit vektörlerine ek olarak sal-
lerin takibi için günlük kayıtları büyük öneme sa- larının ele geçirilmesi gibi faaliyetler neticesinde banı sistemi özelinde alınacak bu önlemlere ek ola- dırı türlerinde de çeşitlilik yaşanmıştır. Bu sebeple,
hiptir. Bu kayıtların oluşturulması için denetleme saldırganların bilgiye ulaşmasını engellemek adı- rak ilgili işletim sistemi için ulusal ve uluslararası veri tabanı güvenliğini sağlamak adına basit sayıla-
mekanizması aktif hale getirilmelidir. Unutulma- na durağan verinin güvenliği için önlem alınmalıdır. otoriteler tarafından standart olarak sunulan sıkı- bilecek çeşitli önlemlerin hayata geçirilmesi ile sal-
malıdır ki, birçok ücretsiz olarak sunulan açık kay- Bu kapsamda, verinin önceden şifrelenerek kayde- laştırma tedbirleri de uygulanmalıdır. dırganların amaçlarına ulaşması ve iş sürekliliğinin
naklı veri tabanı yönetim sistemi; denetim meka- dilmesi, veri tabanı yönetim sisteminin veri taba- kesintiye uğraması engellenebilir. Çalışmaya konu
nizması gibi birçok özelliği de ücretli sürümlerinde nı dosyalarını şifreli tutması için yapılandırılması ve Uygulama Geliştirme olan güvenlik önerileri ile gözlem ve tehdit türleri
sunmaktadır. Dolayısıyla açık kaynaklı alternatifler disk seviyesinde şifreleme kullanılması sağlanabilir. Veri tabanı sisteminin hizmet sunduğu uygulama, ışığında;
değerlendirilirken bu husus göz önünde bulundu- amaçlanan işlevlerinin haricindeki faaliyetleri en- İç tehditleri engellemek için: “kimlik doğrulama
rulmalıdır. Yüzey Alanı Küçültme gellemek adına girdi ve çıktı denetimi yapmalıdır.
Kurulumlar için veri tabanı yönetimi işlevinden Girdi denetimi ile sorgu sırasında gerçekleşecek ve yetkilendirme, denetleme ve günlük kayıtları ile
Denetleme mekanizması sayesinde, kullanıcı tara- başka herhangi bir amacı olmayacak şekilde ya- SQL ve NoSQL enjeksiyonu gibi saldırılar engelle- yüzey alanı küçültme”;
fından çalıştırılan komutlar kayıt altına alınabilir ve pılandırılmış olan adanmış sunucular (dedicated nebilirken, çıktı denetimi ile veri tabanından alınmış İnsan hatalarından korunmak için: “kimlik doğru-
kimin hangi komutu ne zaman çalıştırdığı bilgisine server) kullanılmalıdır. Bu sayede, farklı sistemler veriler üzerinden gerçekleştirilecek XSS (cross site lama ve yetkilendirme”;
doğrudan ulaşılabilir. Özellikle kritik öneme sahip üzerinden sunucunun ifşa olması ve veri tabanı scripting) gibi saldırıların da önüne geçilebilmekte- İletişimde araya giren saldırganları engellemek
komutlar (DROP TABLE, ALTER USER vb.) için de- sisteminin zarar görmesi engellenebilir. dir. Veri tabanı sistemine ait erişim adresi, kullanıcı için: “veri şifreleme”;
netim mekanizmasının aktif olması önerilmektedir. adı ve parola bilgileri doğrudan kaynak kod üze- Yazılım açıklıklarını ortadan kaldırmak için: “ku-
Oluşturulmuş denetim kayıtlarının ve veri tabanı Veri tabanı yönetim sistemi, ihtiyaçlara göre yapı- rinde tanımlanmamalıdır. Bu bilgilerin çalışma za- rulum, güncelleme ve yamalar ile uygulama geliş-
sistemi tarafından üretilen günlük kayıtlarının disk landırılmalı ve gereksiz özellikleri devre dışı bıra- manında elle veya bir konfigürasyon yönetim aracı tirme”;
üzerinde sistem bölümünden farklı bir bölümde kılmalıdır. Bu kapsamda, veri kaçırma faaliyetlerini üzerinden elde edilmesi sağlanmalıdır. Hizmet dışı bırakma saldırılarına karşı: “işletim
tutulması sağlanarak, depolama alanının dolması önlemek için kullanılmayan e-posta servisleri ve sistemi sıkılaştırma, denetleme ve günlük kayıtları
engellenebilir ve günlük kayıtları üzerinden ger- olası gerçekleştirilebilir uzak bağlantılar (SSH, RDP Yedekleme ve Felaket Kurtarma ile kimlik doğrulama ve yetkilendirme”;
çekleştirilebilecek servis dışı bırakma saldırıların- vb.) kapatılmalıdır. Buradan hareketle kullanılma- Replikasyon ve yedekleme sürecinde, ilgili işlevlere Yedeklere yönelik saldırılardan korunmak için:
dan kaçınılabilir. yan bağlantı protokolleri de (TCP/IP, VIA, paylaşı- uygun haklar barındıran kullanıcılar oluşturulma- “yedekleme ve felaket kurtarma” önlemleri, etkili ve
lan bellek vb.) devre dışı bırakılmalıdır. Kullanılan lıdır. Yönetici haklara sahip kullanıcılar, bu işlevleri uygun seçenekler olarak görülmektedir.
Veri Şifreleme bağlantı protokolleri kapsamında ise varsayılan yerine getirme amacıyla kullanılmamalıdır. Yedekler,
Kullanıcılar ile veri tabanı sistemi arasında ger- ayarlar (örneğin: varsayılan port bilgisi) değiştiril- veri tabanı sisteminden farklı bir lokasyonda (fiziksel Kaynakça
çekleşen iletişimin dinlense dahi anlaşılamaması, melidir. Saldırganların farklı bileşenler üzerinden veya sanal) şifreli olarak depolanmalı ve bu dosyalar • https://cbddo.gov.tr/bgrehber
değiştirildiğinde ise tespit edilebilmesi amacıyla veri tabanını hedef almasını engellemek adına üzerindeki izinler periyodik olarak kontrol edilmelidir. • https://cheatsheetseries.owasp.org/cheatsheets/
Database_Security_Cheat_Sheet.html
şifreli iletişim tercih edilmelidir. Benzer olarak, ya- mümkün olduğunca; üçüncü parti prosedür, kü- Yedeklerin düzgün alındığından ve olası bir sebeple • https://www.cisecurity.org/cis-benchmarks/
pılandırılmış küme (cluster) bünyesindeki sunucu- tüphane veya uygulama kullanımından kaçınılmalı, bozulmadığından emin olmak için belirli zamanlarda • https://www.ibm.com/cloud/learn/database-security
lar arasında da şifreli iletişim kullanılarak bilginin işletim sistemi üzerinde komut yürütme devre dışı yedekten dönme testleri gerçekleştirilmelidir.
34 35
