İnternet Güvenliği S7

33- PROGRAMLAR ARASI OTANTİKASYON VE SERTİFİKALAR

Birbiriyle iletişim halinde TCP/IP soketleri, MSMQ, MQ Series, Message Queues, ISO-8583, v.s. gibi Interprocess Communication, İstemci Sunucu (Client Server) mimarisiyle çalışan tüm programlar birbirlerine gönderdikleri mesajı dijital olarak imzalamalı ve imzalar anında kontrol edilmelidir.

34- VİRÜSLER

PC disketleri, CD’leri, Internet ve diğer network bağlantıları yoluyla sisteminize bulaşan ve arka planda sinsice çalışarak hasarlı veya hasarsız işlem yapan programlara virüs denilir. Virüsler tüm sisteminizi çökertebilir, diskleri silebilir veya rasgele değiştirebilir, rasgele mesajlar gönderebilir veya sisteminize güveni tamamen yok edecek bir duruma sokabilir. Virüslere karşı çok ciddi önlemler alınması ve disiplin tesis edilmesi şarttır. Virüsler mutsuz ve psikopat elemanlar tarafından da yerleştirilebilir

35- TRUVA ATLARI

PC disketleri, CD’leri, Internet ve diğer network bağlantıları yoluyla sisteminize bulaşan , görünüşte masum ve başka birşey yapan ama arka planda sinsice çalışarak hasarlı veya hasarsız başka işlem yapan programlara TRUVA ATI denilir. Bunlar tüm sisteminizi çökertebilir, diskleri silebilir veya rasgele değiştirebilir, rasgele mesajlar gönderebilir, sistemizden bilgi çalarak rakiplere gönderebilirler veya sisteminize güveni tamamen yok edecek bir duruma sokabilir. Truva atlarına karşı çok ciddi önlemler alınması ve sürekli monitoring şarttır. Truva atları mutsuz ve psikopat elemanlar tarafından da yerleştirilebilir. Bu tür kişiler bunu eğer bir şekilde işten çıkarılır iseler bankadan intikam almak için düşündükleri sabotaj projelerine alt yapı için planlıyabilirler.

36- SOLUCANLAR

PC disketleri, CD’leri, Internet ve diğer network bağlantıları yoluyla sisteminize bulaşan ve arka planda sinsice çalışarak sürekli çoğalan ve kendini kopyalarak sistem kaynaklarını tüketerek sistemi çökerten programlara SOLUCAN denilir. Solucanlara karşı çok ciddi önlemler alınması ve monitoring yapılması şarttır.

37- SAATLİ BOMBALAR

Psikopat yapılı ve problemli programcılar programların belirli aşamalarına yerleştirilen belirli kodlarla belirli bir tarihe gelindiğinde sistem durmasını, hatalı veya güvenilmez çalışmasını, en kötü durumda disklerin topyekün silinmesini veya sistemin tahrip olmasını sağlayabilirler. Bu gibi kodları her zaman yakalamak mümkün olmayabilir, akıllı ve yaratıcı bir psikopat bu kodları dinamik olarak yaratabilir. Örneğin programlara bakıldığında bu direkt olarak görülemeyebilir. Ama bir SQL terimi ile getirilen bir kod imajı çaktırmadan belleğe yerleştirilip icraya başlayabilir.
38- HİZMETİ KESME SALDIRISI ( DENIAL OF SERVICE )

TCP/IP network sisteminin bir açığından faydalanan bir saldırgan sisteminize çok sayıda bağlantı kurmak ve bu arada zaman alıcı çok sayıda servis talebinde bulunmak suretiyle sisteminizin kaynaklarını hızla tüketebilir ve sisteminizi çökertebilir.

39- SMARTCARD’LAR

Smartcard’lar manyetik şeritli kartlar göre çok daha güvenlidir. Pasif bir manyetik şerit yerine aktif bir chip vardır. Böylece kart direkt olarak okunamaz, okuyabilmek için çeşitli şifreleri gönderip almak gerekir, bu bağlamda kart hamilinin PIN numarası da satış sırasında sorulabilir. Kısaca özetlersek smartcard aslında kart formatında minyatür bir güvenlik modülü veya kriptografik işlemler yapabilen bilgisayar olarak tanımlanabilir. Bu nedenle kart sahtekarlığının çoğaldığı ülkeler Fransa, İngiltere, Almanya, İsrail smartcard’lara geçmişler veya geçmektedirler. Bu bağlamda VISA ve EUROPAY, acquirer (kart kabul eden, POS yerleştiren) bankaların 2001 yılına, issuer (kart veren) bankaların 2003 yılına kadar EMV chipcard’a geçişini zorunlu kılmıştır. Bu durumda bankanızı tehdit eden diğer bir bilg işlem tehlikesi olan “yanlış yatırım” konusunda dikkatli olmanız, muhakkak chipkart okuyabilen, içeresinde SAM soketleri olan, EMV onaylı, RSA işlemleri yapabilme için de en az 16 bit, tercihen 32 bit POS terminalleri almalısınız, ATM cihazlarında smartcard okuyucu modülü olmasına dikkat etmelisiniz.

40- INTERNET BAĞLANTILARI

Direkt olarak Internet’e bağlı bir sistem büyük bir tehdit altındadır. Kesinlikle Internet’e bağlı bir ana sisteminiz veya yan bir sistem olup aynı anda hem Internet’e, hem de Banka sistemine bağlı sistemlerde olmamalıdır. Bu sisteme sızan bir saldırgan buradan ana sisteme geçebilir. Internet üzerinde hizmet verecek sistemler kesin sınırlarla izole, Firewall sistemleri ile korunmalıdır. Firewall sistemleri de her zaman iyi olmayabilir ve %100 güvenilmemelidir. Zaman zaman bu sistemlerinde açığı yakalanmaktadır.

41- DIAL UP MODEM BAĞLANTILARI

Sistemlere çeşitli dial up modemler koyarak, TELNET veya benzeri terminal emulasyonu yöntemleriyle veya çeşitli Windows yazılımlarını SQL sunucunuza bağlamasına izin vererek çeşitli Telefirma, v.b. hizmetlerin sunulması kesinlikle çok tehlikelidir. Bu bağlantılar sırasında kullanıcı adı ve şifre sorulduğu, bu nedenle sorun olmayacağı gibi savunmalar geçersizdir. Sisteminizde açık hiçbir dial up modem bağlantısı olmamalıdır.

42- UNIX KULLANICI ŞİFRELERİ ÖZÜLEBİLİR Mİ ?

Evet. Çeşitli tekniklerle kısa bir süre içinde birçok kullanıcının şifresi bulunabilir. Bu amaçla yazılmış birçok program internet’ten elde edilebilir.

43- NT KULLANICI ŞİFRELERİ ÇÖZÜLEBİLİR Mİ ?

Evet. Çeşitli tekniklerle kısa bir süre içinde birçok kullanıcının şifresi bulunabilir. Bu amaçla yazılmış birçok program internet’ten elde edilebilir.

44- WORD, EXCEL,PKZIP,WINZIP,NOTES ŞİFRELERİ ÇÖZÜLEBİLİR Mİ ?

Evet. Birçok program internet’ten veya çeşitli satıcı fırmalardan temin edilebilir.Bilişim sisteminizi tehdit eden en önemli unsurlar size bu dokümanda aktarılmıştır.
Bu doküman bankanızın güvenliği için hazırlanmış, gerçek tehditleri açık olarak anlatmaktadır. Burada aktarılan kavramları siz anlamak ve elemanlarınıza uygulatmak zorundasınız. Lütfen dokümanı bizzat okuyunuz ve anlayınız.

Bu doküman kimseyi sıkıntıya sokmak veya iş çıkarmak için hazırlanmamıştır. Tüm çalışan ve yöneticilerin gerekli önlemleri alması ve kendini koruması için ön uyarı niteliğindedir.

Büyük bir olasılıkla bankanızda bu önlemler zaten alınmıştır. Bu durumda endişe edecek bir durum olmadığı için işlerinize gönül rahatlığı ile devam edeceksiniz. Eğer bazı eksikleriniz var ise sorun ortaya çıkmadan üzerine gidebilecek ve ileride bunu yapmış olduğunuz için sevineceksiniz.

Bu çalışmalarınız sırasında herhangi bir yardıma gereksinim duyarsanız Verisoft’u arayabilirsiniz. Çeşitli donanım ve yazılım sistemleri ile güvenlik ve şifreleme sistemleriyle size yardımcı olabiliriz.
Arzu ederseniz gerekli sözleşmeleri yapmak koşuluyla dahili veya harici güvenlik dayanım testleri yapabiliriz. Bu testler sırasında yapılacak saldırı denemeleri sırasında sisteminizin çökmesi olasılığı bulunmaktadır. Bu nedenle herhangi bir test öncesi bu testlere izin verdiğinizi ve test koşul ve şartlarını içeren bir sözleşme yapılması gerekmektedir.