|
Biliþim Güvenliðinin bir çok boyutu olmasýna karþýn, temel olarak üç prensipten söz edilebilir: Gizlilik, Veri Bütünlüðü ve Süreklilik.
1. Gizlilik (Confidentiality)
Bilginin yetkisiz kiþilerin eline geçmesinin engellenmesidir. Gizlilik, hem kalýcý ortamlarda (disk, tape, vb.) saklý bulunan veriler hem de að üzerinde bir göndericiden bir alýcýya gönderilen veriler için söz konusudur. Saldýrganlar, yetkileri olmayan verilere birçok yolla eriþebilirler: Parola dosyalarýnýn çalýnmasý, sosyal mühendislik, bilgisayar baþýnda çalýþan bir kullanýcýnýn, ona fark ettirmeden özel bir bilgisini ele geçirme (parolasýný girerken gözetleme gibi). Bunun yanýnda trafik analizinin, yani hangi gönderici ile hangi alýcý arasý haberleþmenin olduðunun belirlenmesine karþý alýnan önlemler de gizlilik hizmeti çerçevesinde deðerlendirilir.
2. Veri Bütünlüðü (Data Integrity)
Veri bütünlüðü, veriyi göndericiden çýktýðý haliyle alýcýsýna ulaþtýrmaktýr. Bu durumda veri, haberleþme sýrasýnda izlediði yollarda deðiþtirilmemiþ, araya yeni veriler eklenmemiþ, belli bir kýsmý ya da tamamý tekrar edilmemiþ ve sýrasý deðiþtirilmemiþ þekilde alýcýsýna ulaþýr. Bu hizmeti, geri dönüþümü olan ve olmayan þekilde verebiliriz. Þöyle ki; alýcýda iki tür bütünlük sýnamasý yapýlabilir: Bozulma Sýnamasý ya da Düzeltme Sýnamasý. Bozulma Sýnamasý ile verinin göndericiden alýcýya ulaþtýrýlmasý sýrasýnda deðiþtirilip deðiþtirilmediðinin sezilmesi hedeflenmiþtir. Düzeltme Sýnamasý’nda ise, Bozulma Sýnamasý’na ek olarak eðer veride deðiþiklik sezildiyse bunu göndericiden çýktýðý haline döndürmek hedeflenmektedir.
3. Süreklilik (Availability)
Biliþim sistemleri, kendilerinden beklenen iþleri gerçekleþtirirken, hedeflenen bir baþarým (performance) vardýr. Bu baþarým sayesinde müþteri memnuniyeti artar, elektronik iþe geçiþ süreci hýzlanýr. Süreklilik hizmeti, biliþim sistemlerini, kurum içinden ve dýþýndan gelebilecek baþarým düþürücü tehditlere karþý korumayý hedefler. Süreklilik hizmeti sayesinde, kullanýcýlar, eriþim yetkileri dahilinde olan verilere, veri tazeliðini yitirmeden, zamanýnda ve güvenilir bir þekilde ulaþabilirler.
Sistem sürekliliði, yalnýzca kötü amaçlý bir “hacker”ýn, sistem baþarýmýný düþürmeye yönelik bir saldýrýsý sonucu zedelenmez. Bilgisayar yazýlýmlarýndaki hatalar, sistemin yanlýþ, bilinçsiz ve eðitimsiz personel tarafýndan kullanýlmasý, ortam þartlarýndaki deðiþimler (nem, ýsý, yýldýrým düþmesi, topraklama eksikliði) gibi faktörler de sistem sürekliliðini etkileyebilir.
Aþaðýda, yukarýdaki üç temel prensibe ek olarak ikinci planda deðerlendirilebilecek izlenebilirlik, kimlik sýnamasý, güvenilirlik ve inkâr edememe prensiplerinden bahsedilmiþtir.
3.1 Ýzlenebilirlik – Kayýt Tutma (Accountability)
Sistemde gerçekleþen olaylarý, daha sonra analiz edilmek üzere kayýt altýna almaktýr. Burada olay dendiðinde, bilgisayar sistemi ya da aðý üzerinde olan herhangi bir faaliyeti anlayabiliriz. Bir sistemde olabilecek olaylara, kullanýcýnýn parolasýný yazarak sisteme girmesi, bir web sayfasýna baðlanmak, e-posta almak göndermek ya da icq ile mesaj yollamak gibi örnekler verilebilir.
Toplanan olay kayýtlarý üzerinde yapýlacak analiz sonucunda, bilinen saldýrý türlerinin örüntülerine rastlanýrsa ya da bulanýk mantýk kullanýlarak daha önce rastlanmayan ve saldýrý olasýlýðý yüksek bir aktivite tespit edilirse alarm mesajlarý üretilerek sistem yöneticileri uyarýlýr.
3.2. Kimlik Sýnamasý (Authentication)
Að güvenliði açýsýndan kimlik sýnamasý; alýcýnýn, göndericinin iddia ettiði kiþi olduðundan emin olmasýdýr. Bunun yanýnda, bir bilgisayar programýný kullanýrken bir parola girmek de kimlik sýnamasý çerçevesinde deðerlendirilebilir. Günümüzde kimlik sýnamasý, sadece bilgisayar aðlarý ve sistemleri için deðil, fiziksel sistemler için de çok önemli bir hizmet haline gelmiþtir. Akýllý karta ya da biyometrik teknolojilere dayalý kimlik sýnama sistemleri yaygýn olarak kullanmaya baþlanmýþtýr.
3.3. Güvenilirlik (Reliability – Consistency)
Sistemin beklenen davranýþý ile elde edilen sonuçlar arasýndaki tutarlýlýk durumudur. Baþka bir deyiþ ile güvenilirlik, sistemden ne yapmasýný bekliyorsak, sistemin de eksiksiz ve fazlasýz olarak bunu yapmasý ve her çalýþtýrýldýðýnda da ayný þekilde davranmasý olarak tanýmlanabilir.
3.4. Ýnkâr Edememe (Non-repudiation)
Bu hizmet sayesinde, ne gönderici alýcýya bir mesajý gönderdiðini ne de alýcý göndericiden bir mesajý aldýðýný inkâr edebilir. Bu hizmet, özellikle gerçek zamanlý iþlem gerektiren finansal sistemlerde kullaným alaný bulmaktadýr ve gönderici ile alýcý arasýnda ortaya çýkabilecek anlaþmazlýklarýn en aza indirilmesini saðlamaya yardýmcý olmaktadýr.
Bu prensipler, zaman içinde bilgisayar sistemlerine karþý ortaya çýkmýþ tehditler ve yaþanmýþ olaylar sonucunda ortaya konmuþtur. Yani her bir hizmet, belli bir grup potansiyel tehdide karþý sistemi korumaya yöneliktir, denilebilir.
~ Bu konu Biliþim Sistemleri Güvenliðini meslek edinen ve ilgilenenler için yazýlmýþ olup, her bilgisayar kullanýcýsýna yönelik deðildir.
Saygýlar..
|