Siber güvenliği sağlamak için
kale savunması mı yapacaksınız?
Yoksa meydan muharebesi mi?
Cevap !
* Şirketiniz kazancını internet üzerinden sağlamıyorsa kaynaklarınız bir kalenin içinde üretiliyorsa kale savaşı yapın vpn tüneller ile dış dünyaya erişin size erişmek isteyenler vpn tünellerden geçerek size ulaşsınlar.
* Yok benim şirketim ekmeğini internetten kazanıyor diyorsanız o zaman kalenin dışında meydan muharebesi yapacaksınız demektir ki bu çok maliyetli ve tehlikelidir. Doğal olarak ganimette bir o kadar yüksektir...
Bundan 4 yıl önce; 12 Mayıs 2017 bir cuma akşamı... Wannacry MS17-010 olarak bilinen güvenlik açığından faydalanarak yayılan bir fidye yazılımı tüm Dünya’da büyük sorunlara neden oldu. Firmaların dosyalarını şifreledi ve büyük maddi zarara neden oldu.
Aradan 4 yıl geçti. Bu hafta sonu 10 Aralık 2021 Cuma yeni bir açık çıktı Apache Log4j zafiyeti. Bu tarz güçlü zararlılar hep tatil günlerine denk getirilir. Saldırılar ise gece saat 02:00’den sonra başlar yani siz uyurken.
Kritik soru "eee hocam ne yapalım?!"
1. Ne istediğinizi bileceksiniz herkesin her kulvarda para kazanma yetkinliği yoktur. Bu yetkinliği kazanacağım derseniz öğrenme maliyetlerine katlanacaksınız.
Siz bir trendyol, hepsiburada ya da aliexpress değilsiniz elma ile elmayı kıyaslayın, siz bir enerji üreticisi veya banka değilsiniz kendinizi doğru firmalar ile kıyaslayın. "Onların IT bunu yapmış demekki doğrusu bu bizde bu ürünleri alalım" demek çok doğru bir yaklaşım değil. Satış pazarlama firmaları ellerinde güvenlik ürünleri ile kapınıza dayanıyorlar ve referans olarak enerji devleri ve bankaları gösteriyorlar sorun şu bizim bukadar bütçemiz yok! yurt içinde tl alıp tl satıyoruz ürünler ise 50.000$'dan başlayan fiyatlarla geliyor. Günün sonunda kazancınızın %30'u IT ürünlerine gidecek ise işverenin karşısına bu formül ile gidemezsiniz.
Ne istediğini bilmek kavramını bir örnek ile açıyım.
Bir ajans sahibi arkadaşım işinde çok mahir ve elinde çok sıkı web yazılımcıları var. Yıllar sonra görüştük yemek yedik yemekte bana projesinden bahsetti. "Üstat bir web satış platformu yaptık trendyol, hepsiburada, aliexpress bile bize gelecek" dedi. gerçekten de yaptıkları web satış platformu çok kullanıcı dostu ve bir ikide güzel özelliği vardı. ama
- Site paylaşımlı bir hosting üzerinden yayın yapıyor.
- Firewall yok
- Ddos koruma yok
- Anlık yedekleme yok
- Kullanıcı verilerini korumak için prosedürler durum planları yok
- Muhasebe / CRM entegrasyonları yok
Kara Cuma'da bir birlerine atak yapan bu online satış camia seni yer dostum bunlara tedbir al öyle gir dedim, kabullenmenin beş evresine girdi ikna etmem 5 saatimi aldı her bir evre 1 saat.
Sevdiğim bir dostum olmasa okadar zamanı harcamak için hiç uğraşmazdım, hayırlı olsun der güler eğlenir giderdim.
2. Size ne gibi talepler geliyor kullanıcılarınızdan, danışmanlarınızdan, entegratör, satıcı, müşteri vb... her istenileni yapmak zorunda değilsiniz. Kendi kurallarınızı uygulatmanın yollarını bulmalısınız.
Örnek ile açıklayım:
Girdiğim her firmada tüm sistemleri firewall arkasına alırım ve dışarı hiçbir servisi vpn olmadan eriştirmem. illa bir servis dışarı ile erişecek ise dmz bölgesinde atarım o sunucuyu ve sadece ilgili portları ile dış dünya ile iletişim kurdururum hatta daha iyisi firewall cihazını ve internet hattını bile ayırmaktır. Bu sebepten bir yazılım uzmanı biz kullanıcılardan gelen talepler doğrultusunda bir servis geliştirdik kullanıcılarımız buna evlerinden ve cep telefonlarından erişebilmeli dediğinde önce vpn yapsınlar sonra erişsinler derim. Aynı durum sistem kaynaklarına dışardan erişmeye çalışan bir danışman içinde geçerlidir. Önce vpn yapar sonra mfa kodunu girer, terminal server'a erişir işlemleri otomatik video kaydı altına alınır oradan da istediği işlemi gerçekleştirir. Bağlantı süreçlerinizin çok uzun olduğu bahanesi ile amatör danışmanlar biraz sorun çıkarabilmekte yada işinizi geciktirebiliyorar ama bunu kabullendirmek sizin göreviniz yoksa sistemleriniz yol geçen hanına dönmekte.
Diyeceksiniz ki online satış veya bankada çalışırsan ne yapacaksın? kolay çalışmayacağım :) burada bir üstte belirttiğim 1. madde sizin içinde geçerli. Bilginiz kadar işe talip olun. Ben kapalı devre sistemlerin savaşçısıyım, meydan savaşı takım işidir ve çok büyük ekipler gerektirir.