Protokol ve Servis Profili Oluşturma ile Ağ Güvenliğinizi Artırın

Protokol ve servis profili oluşturma, ağ güvenliğinizi artırmanın temel yöntemlerinden biridir. Bu süreçteki kritik bileşenleri ve yöntemleri öğrenin.

Giriş ve Konumlandırma

Giriş

Siber güvenlik alanında ağ güvenliğini artırmak için geliştirilen birçok strateji ve yöntem vardır. Bunların arasında, protokol ve servis profilleme önemli bir yere sahiptir. Protokol ve servis profilleme, ağdaki cihazların hangi protokoller üzerinden ve hangi servislerle iletişim kurduğunu belirlemeye yönelik bir çalışma sürecidir. Amaç, ağın normal çalışma koşullarını tanımlamak ve olası tehditleri daha etkili bir şekilde tespit etmektir. Bu bağlamda, ağın sürekli izlenmesi ve analiz edilmesi, siber güvenlik savunmanın önemli bir parçasını oluşturur.

Protokol ve Servis Profillemenin Önemi

Ağların güvenliği, kurumsal bilgi güvenliği için kritik bir noktadır. Saldırganlar genellikle izin verilen portları (örneğin 80 ve 443) kullanarak kötü niyetli faaliyetlerini gizlerler. Protokol ve servis profilleme, bu tür şüpheli etkinliklerin erken aşamalarda tespit edilmesine yardımcı olur. Servis profili, bir ağda "kimin, kiminle, hangi dilde konuştuğunun" onaylı listesini oluşturur. Bu liste, normal davranışların kaydedilmesiyle oluşturulur ve daha sonra anormalliklerin tespitinde bir referans noktası sağlar.

Örnek vermek gerekirse, bir veritabanı sunucusunun (MSSQL - 1433) aniden dış dünyaya 8080 portundan veri göndermesi gibi bir durum, protokol ve servis profilleme sayesinde kolaylıkla fark edilebilir. Bu tür bir hareket, sistemin normal çalışma düzeninin dışındadır ve hemen alarm tetiklemelidir. İşte bu nedenle servis profilleme, sadece bir ağın güvenliğini artırmakla kalmaz, aynı zamanda potansiyel bir siber saldırının önüne geçmek için kritik bir rol oynar.

Ağ Davranışlarının Tanımlanması

Ağ içerisindeki cihazların oluşturdukları iletişim yapısının incelenmesi, güvenlik analistleri için büyük öneme sahip. Bu süreçte, temel bir port haritasının çıkarılması, ağda hangi hizmetlerin hangi portlar üzerinden çalıştığını anlamak açısından kritiktir. Internet Assigned Numbers Authority (IANA) tarafından standartlaştırılan port numaraları vardır. 0-1023 arasındaki port numaraları "well-known" (bilinen) portlar olarak adlandırılırken, 49152-65535 arasındaki portlar ise "ephemeral" (geçici) portlar olarak bilinir. Analistler, bu portların hangi servislerle ilişkilendirildiğini bilmelidir.

Aynı zamanda, bir ağın normal davranışlarını tanımlayarak elde edilen veriler, anomali tespit sistemleri (Intrusion Detection Systems - IDS) için de kullanılır. Anomali radarı olarak adlandırılan bu sistemler, ağdaki sıradan olmayan trafik akışını tespit etme yeteneğine sahiptir. Örneğin, bir istemci cihazı, database sunucusuna bağlıyken izin verilen portlardan farklı bir port kullanıyorsa (örneğin SSH için 22 portu yerine 8080 portu) bu durum, potansiyel bir saldırının habercisi olabilir.

Sonuç

Sonuç olarak, protokol ve servis profilleme, ağ güvenliği sağlamak için vazgeçilmez bir araçtır. Siber tehditlerin karmaşıklığı göz önüne alındığında, bu tür analizlerin gerçekleştirilmesi, sadece mevcut tehditlerin tespit edilmesini sağlamakla kalmaz, aynı zamanda gelecekte ortaya çıkabilecek potansiyel saldırılara karşı da bir önlem mekanizması kurar. Özellikle altyapının sağlam bir şekilde korunması, siber güvenlik profesyonellerinin odak noktası olmalıdır. Böylece, ağın normal çalışma düzeni sürekle izlenebilir, gerektiğinde müdahale edilebilir ve olası saldırılara karşı ağın direnci artırılabilir.

Teknik Analiz ve Uygulama

Ağda Normal Davranışları Tanımak

Ağ güvenliğini artırmak için ilk adım, ağ üzerindeki normal davranışları tanımlamaktır. Bu süreç, ağ trafiğini gözlemleyerek, cihazların hangi portlar üzerinden hangi servislerle iletişim kurduğunu belirlemeyi gerektirir. Bu aşamada, normal çalışma düzeninizi kaydedebilmek için bir "servis profili" oluşturmanız önemlidir. Servis profilleme, ağdaki cihazların hangi protokollerle ve portlarla iletişim kurduklarını tanımlayan bir süreçtir.

Aşağıda, iptal edilmemiş portları içerir. Örneğin, bir veritabanı sunucusunun (MSSQL - 1433) aniden 8080 portundan dışarı veri göndermesi, beklenmedik bir davranış olarak kabul edilir ve anında alarm tetiklemelidir.

Port - Protokol Eşleşmesi
Port 22  - SSH (Secure Shell)
Port 443 - HTTPS (Şifreli web trafiği)
Port 3389 - RDP (Remote Desktop Protocol)

Bu yukarıdaki eşleşmelere dayanarak, ağın normal davranışlarından sapmalar tanımlanabilir.

Gizli Kapılar

Saldırganlar, genellikle güvenlik duvarlarını atlatmak için standart portları (örneğin 80, 443) kullanmayı tercih ederler. Bu durum, saldırganların ağda gizli kapılar açmasına olanak tanır. Standart olmayan bir portun kullanımı, genellikle potansiyel bir saldırganın ağınızı hedef almanın bir yöntemi olarak ortaya çıkar. Örneğin, bir sistemin 8080 portu üzerinde SSH trafiği gönderdiğini görmek, tipik olarak bir "Port-Protocol Mismatch" (Port-Protokol Uyuşmazlığı) durumudur.

# TCP/UDP portlarının izlenmesi
nmap -sS -p- [hedef_IP]

Bu tür bir tarama komutu, belirli bir IP adresindeki tüm açık portları tespit etmek için kullanılabilir.

Temel Port Haritası

Port numaraları uluslararası düzeyde, Internet Assigned Numbers Authority (IANA) tarafından standartlaştırılmıştır. Bu standartlar, ağ yöneticilerinin hangi portların hangi servislerle kullanılacağını belirlemesine yardımcı olur. Özellikle 0-1023 arasındaki portlar "Well-known" (Bilinen) portlar olarak adlandırılır. Bu portlar genellikle sistem servisleri ve yaygın uygulamalar tarafından kullanılmaktadır.

Bir ağ analiz aracını kullanarak sisteminizdeki servislerin hangi portlar üzerinden çalıştığını belirlemek için aşağıdaki komut yardımıyla bir port durumu görüntüleyebilirsiniz:

# Sistemdeki aktif servislerin listesini görmek için
netstat -tuln

Bu komut, ağda hangi servislerin hangi portlar üzerinde çalıştığını görebilmenizi sağlar ve potansiyel olarak güvenlik açığına neden olabilecek standart dışı port kullanımlarını belirlemenizde yardımcı olur.

Standardizasyonun Kaynağı

Servis profilleme süreci, ağdaki cihazların hangi portlar üzerinden, hangi servislerle iletişim kurduğunu düzenli bir biçimde raporlamanızı sağlar. Bu, herhangi bir anomali tespit etmede kritik öneme sahiptir. Profil oluşturmanın en büyük avantajı, beklenmedik bir porttan gelen trafiği hızlı bir şekilde tespit edebilmenizdir. Bu, hem ağ güvenliğini artıracak hem de potansiyel tehditlere karşı zamanında müdahale etmenize yardımcı olacaktır.

Anomali Radarı

Anomali tespiti, ağ üzerindeki beklenmeyen davranışların belirlenmesi sürecidir. Belirlediğiniz temel çizgi (baseline) ile ağın mevcut durumu arasında herhangi bir sapma tespit ederseniz, bu durumu anomali olarak değerlendirmelisiniz. Bir ağ güvenlik analisti olarak, normal trafiğin dışında hareket eden verileri izlemek zaten verimli bir güvenlik stratejisinin bir parçasıdır.

# Akış verisi ile trafiği sürekli izleme
tcpdump -i eth0

Tcpdump komutu ile ağ trafiğini izleyebilir ve anomali tespitinde kullanabilirsiniz. Bu bağlamda, sisteminizin normal çalışma düzenine aykırı hareketleri hızlı bir şekilde belirleyebilirsiniz.

Geçici Portlar

İstemci cihazların sunucuya bağlanırken kullandığı 49152 ile 65535 arasındaki portlar "Geçici" veya "Ephemeral" portlar olarak adlandırılır. Genellikle bu port aralığında kaynak port değerleri bulunur. Örneğin, bir istemcinin web sunucusuna bağlantısı sırasında rastgele seçtiği port, genellikle bu aralıktadır. Bu durum, istemcinin sunucuya bağlandığı sırada açık olan portları belirlemesini sağlar.

Bir ağ yöneticisi olarak, ağdaki dinamik portların kullanımlarını izlemek, potansiyel güvenlik açıklarının tespit edilmesine yardımcı olabilir.

Modül Finali

Yukarıda bahsedilen tüm önlemler ve süreçler, ağ güvenliğini artırmak için kritik öneme sahiptir. Servis profilleme, ağınızdaki normal davranışları oluşturarak, şüpheli aktiviteleri tespit etmenizi sağlar. Unutmayın ki ağ güvenliği sürekli bir süreçtir ve sisteminizin güvenliğini sağlamak için düzenli olarak güncellemeler ve kontroller yapılması gerekmektedir.

Risk, Yorumlama ve Savunma

Ağın Normalini Tanımak

Ağa yönelik güvenlik stratejilerinin temel unsurlarından biri, ağın normal çalışma davranışını tanımlamaktır. Bu, ağ trafiği içindeki normal port ve servis kullanımını belirleyerek gerçekleştirilir. Normal bir profil oluşturarak, ağ ortamında hangi cihazların, hangi portlardan, hangi servislerle iletişim kurduğunu anlamak mümkündür. Bu sürece "servis profilleme" denir.

Örneğin, bir veritabanı sunucusunun genellikle 1433 portunu (MSSQL) kullanması beklenirken, aniden 8080 portunu kullanarak iletişim kurduğunu tespit etmek, ağın davranışında anormallik olduğunu gösterir. Bu durum, potansiyel bir güvenlik tehdidi olarak değerlendirilmelidir.

# Normal davranış örneği
normal_traffic = {
    "Sunucu": "DB_Server",
    "Port": 1433,
    "Protokol": "MSSQL"
}

# Anormal bağlantı tespiti
anomalous_connection = {
    "Sunucu": "DB_Server",
    "Port": 8080,
    "Protokol": "HTTP"
}

Ağda bu tür anormal bağlantıların tespiti, olası bir veri sızıntısını önlemeye yardımcı olur.

Gizli Kapılar

Gizli kapılar, siber saldırganların genellikle kullandığı bir tekniktir. Bu durum, saldırganların firewall kurallarını aşabilmek için genellikle izin verilen portları (örneğin, 80 ve 443) zararlı yazılımları ile iletişimde kullandıkları anlamına gelir. Bu tür durumlar, ağ trafiği analizi ile tespit edilebilir. Anormal trafik, genellikle belirli bir süre zarfında izin verilen portlardan geçen trafiğin hacminin artmasıyla belirlenir.

Anomali Radarı

Anomaly detection (anomali tespiti) için kullanılan yöntemler, trafik analizi yoluyla potansiyel saldırıların tespit edilmesinde kritik öneme sahiptir. Port ve protokol eşleşmeyen durumlar, bu tür analizlerin yönetimi sırasında önemli bulgular sağlayabilir. Örneğin, 80 numaralı port üzerinden SSH (Secure Shell) gibi beklenmedik bir trafiğin geçmesi, ağın güvenliği açısından ciddi bir risk oluşturur.

Port 80 --> Protokol: HTTP
Port 80 ile ilgili anormal kullanım: SSH trafiği

Temel Port Haritası

Ağ güvenliğini artırmak için, ağ yöneticileri en yaygın kullanılan servislerin hangi portlarda çalıştığını bilirler. Port numaraları, IANA (Internet Assigned Numbers Authority) tarafından standartlaştırılmıştır ve bu portlar genellikle bilinen (well-known) portlar olarak tanımlanır. Aşağıda bazı örnek portlar ve bunların kullanımları verilmiştir:

Port Numarası	Protokol	Açıklama
22	SSH	Güvenli uzaktan yönetim
443	HTTPS	Şifreli web trafiği
3389	RDP	Windows Uzak Masaüstü

Ağda bu portlar üzerinden yapılan servislerle normal davranışı karşılaştırmak, potansiyel bir risk olduğunda hemen müdahale edilmesini sağlar.

Standardizasyonun Kaynağı

Ağ üzerinde yapılan tüm trafik analizleri, temel portların ve protokollerin standartlarına dayanır. İlgili portların hangi protokollerle kullanılabilir olduğu, ağ güvenliği açısında kritik bir kaynak oluşturur. Herhangi bir port ve protokol eşleşmesindeki anormallik, izlenmesi gereken bir güvenlik açığı olarak değerlendirilmelidir. Örneğin, 8080 portu üzerinden geçen bir MSSQL trafiği, acil bir durum olarak dikkate alınmalıdır.

Savunma Mekanizmaları

Ağın güvenliğini artırmak için profesyonel öneriler arasında, servis profillemenin önemi öne çıkmaktadır. Servis profilleme, sistemde beklenmedik bir porttan gelen trafiği hızlı bir şekilde tespit etmenize olanak tanır. Bunun yanı sıra, mevcut konfigürasyonların gözden geçirilmesi gereken alanları belirleyebilir ve herhangi bir yanlış yapılandırmanın kötüye kullanılmasını önleyebilirsiniz.

Ağda izlenmeyen bağlantılar için izleme sistemleri kurulmalıdır.
Güvenlik duvarı kuralları, sadece iş ihtiyaçlarına göre yapılandırılmalıdır.
Tanımlanan normal davranış dışındaki tüm aktiviteler için uyarı sistemleri oluşturulmalıdır.

Sonuç

Ağ güvenliğini artırmak, doğru yapılandırma ve sürekli izleme ile mümkündür. Servis profillemenin sağladığı avantajlar, ağın standartlarına göre anormal davranışların tespit edilmesi ve hızlı müdahale imkanı sunar. Ağ üzerindeki her türlü anormallik, potansiyel bir tehdit kaynağı olarak değerlendirilmelidir. Bu tür metodolojiler, siber güvenlik alanındaki riskleri en aza indirgemeye yardımcı olur ve kuruluşların güvenliğini sağlamada önemli bir adımdır.