tag:blogger.com,1999:blog-77148672009-02-21T11:32:11.833+02:00Pieces from my everyday life..Ardahttp://www.blogger.com/profile/08922982932806775135noreply@blogger.comBlogger3125tag:blogger.com,1999:blog-7714867.post-1130532220428126022005-10-28T23:09:00.000+03:002005-10-28T23:46:34.276+03:00Çalıştığım yerin sistem yönetiminden sorumlu olduğumdan beri teknik bilgilerimi zamanında tamamlayamama endişesinden çok sistem güvenliğini dert ettim. İlk adımlar haliyle en çok bilinenlerdi, kullanılan servis sayısını azalt, portlara erişim kısıtlaması getir ve sık sık güncellemeleri gerçekleştir.<br /><br />Elbette ki yeterli olmuyor asla. Eskiden "<span style="font-style: italic;">en güvenli bilgisayar, ağ bağlantısı olmayandır</span>" denirdi ancak görünen o ki bazı yeni teknolojiler sayesinde bu tez de çürütülmüş durumda. (<span style="font-style: italic;">Henüz ben uygulamasına rastlamamış olsam da</span>)<br /><br />Ama aktif kullanılan bir sunucu için elbette ki ağ bağlantısının kesilmesi söz konusu olamaz. Her gün yeni bir güncellemeyle karşılaşmaktan, bir exploit'in yayınlanmış olduğunu öğrenmekten canım çok sıkılır oldu. Bir güvenlik açığının bulunması - dağıtılması - keşfedilmesi - onarılması arasında geçen süre hiç de azımsanacak kadar değil -- <span style="font-style: italic;">malesef Epsilon mertebesindeki süreçlerden bahsedemiyoruz :)<br /><br /></span>Günler şüpheli eylem özetlerini incelemekle, zaman buldukça sayfalar dolusu raporları okumakla, güncellemeler yapmakla ve türlü cinliklerle yapılan ataklara başka türlü cinliklerle yanıt vermeye çalışmakla geçer oldu.<br /><br />Ve geçenlerde bir yazı okudum. "<span style="font-style: italic; font-weight: bold;">The Six Dumbest Ideas In Computer Security</span>" (<a href="http://www.ranum.com/security/computer_security/editorials/dumb/">http://www.ranum.com/security/computer_security/editorials/dumb/</a>)<br /><br />Sistem yönetimiyle uğraşanların (<span style="font-style: italic;">hatta yazılım geliştiricilerin</span>) mutlaka okuması gerektiğini düşündüğüm bir yazı. Saldırılara ve tehditlere karşı savaşırken veya önlem almaya çalışırken izlenen yöntemlerin aslında ne kadar tehlikeli (<span style="font-style: italic;">ve yazarın diliyle, aptalca</span>) olduğunu gösteren bir makale.<br /><br />Özellikle ilk üç madde için söyledikleri olmak üzere, 6 maddenin 6'sı da etkiledi beni. (<span style="font-style: italic;">En sondaki minör maddeler dahil</span>)<br /><br />Raporlarla ilgili kısımı okuyunca yeni bir karar aldım. Sistemin şüpheli gördüğü eylemleri takip etmektense, şüpheli olmadığına emin olduğum maddeler hariç ne varsa takip etmeliyim.<br /><br />Böylece <span style="font-weight: bold;">logwatch </span>yazılımının yerini <span style="font-weight: bold;">logcheck </span>aldı. Aslında her ikisini de aktif olarak izliyorum ancak logcheck çok daha ilginç noktalar sunuyor.<br /><br />Özet olarak anlatırsam; logwatch, sistem raporlarını tarayıp çeşitli istatistikler tutuyor ve sistem üzerinde gerçekleştirilenleri belli filtrelere göre "<span style="font-style: italic;">human-readable</span>" şekilde sunuyor. Böylece sisteme kim giriş yapmış, ne kadar veri aktarılmış, gibi "kayda-değer" veriler özet şeklinde yöneticilere gönderiliyor. Burdaki sorun "kayda-değer" verilerin ne olduğu.. Herşey ön-tanımlı olduğu için, her yazılım kontrol edilmediği için ve sistemin rolü yapıdan yapıya değiştiği için kimi zamanlar bu özet yeterli olmayabiliyor.<br /><br />Kalan eksik noktaları tamamlamak için ise logcheck yazılımı devreye giriyor. logcheck'in yaptığı da şöyle: sistem raporlarındaki bütün veriler alınıp tanımlanmış pattern'e uyan veriler gözardı ediliyor. Örneğin, "kullanıcı@domain.com adresine email gönderildi" şeklinde bir rapor satırı belli bir sunucu için önemli olmayabilir. Bu gibi satırlar belirlenip gözardı ediliyor ve geriye kalan tüm satırlar yöneticilere gönderiliyor.<br /><br />Tamamen özelleştirilebilir bir yapıda. Her servise ait yapılandırma dosyası düzenlenebiliyor böylece görülmek istenen girdilerin alınması sağlanabiliyor. Özel servisler (<span style="font-style: italic;">yani gözardı-etme-verisi bulunmayan servisler</span>) için ise bu verilerin oluşturulmasına olanak sağlanmış. Amaç makalede bahsedilen düşüncenin gerçeklenmesi: <em style="color: rgb(255, 204, 102);">throw away the log entries you know aren't interesting</em><span style="color: rgb(255, 204, 102);">. If there's anything left after you've thrown away the stuff you know isn't interesting, then the leftovers </span><em style="color: rgb(255, 204, 102);">must</em><span style="color: rgb(255, 204, 102);"> be interesting.</span><br /><br />Birkaç gündür bunun üzerinde çalışıyorum. İlk zamanlar sayfalar dolusu raporlar gelirken şimdi 4 satırlık bir rapor geliyor (<span style="font-style: italic;">ki o 4 satır da yapılandırma hatasından kaynaklanan bir girdi</span>).<br /><br />Böylece ön-görmediğim birşey olması durumunda haberdar oluyorum.<br /><br />Elbette ki iş işten geçtikten sonra (<span style="font-style: italic;">yani o ön-görmediğim durum gerçekleşince</span>) bunun raporunu almanın faydası olmuyor diyebiliriz ilk bakışta. Evet, ama aynı zamanda hayır. Ön-görmediğim durumun sonuçları büyük değilse bu raporlar önlem almamı sağlayabilir. Eğer bu ön-görülmemiş durum bir zarara yol açtıysa, evet bu gerçekten de büyük bir sorun. Bu durumda <span style="font-style: italic;">disaster-recovery</span> ve ardından <span style="font-style: italic;">attacker-identification</span> süreçleri devreye girmeli ki bunlar da şu sıralar oluşturmaya çabaladığım çözümler. (Tüm raporların eş zamanlı olarak uzaktaki bir sunucuya gönderilmesi ve sık sık incremental backup'ların alınması gibi)<br /><br />---<br /><br />Uzun lafın kısası, geleneksel yöntemler geleneksel şekilde planlanmış ataklar için çözüm sağlayabilir. Bir "<span style="font-style: italic;">açık</span>" ise sıradışı bir bakış açısıyla keşfedilir. Bu durumda geleneksel ve ön-görülmüş çözümler yetersiz kalır. Önceden düşünülmeyeni izleyebilmek ve en kötü durum senaryosu olduğu taktirde sistemi hayata geçirebilmek yapılması amaçlanan çözümler olmalıdır.<br /><span style="font-style: italic;"></span><div class="blogger-post-footer"><img width='1' height='1' src='https://blogger.googleusercontent.com/tracker/7714867-113053222042812602?l=wizardctp.blogspot.com'/></div>Ardahttp://www.blogger.com/profile/08922982932806775135noreply@blogger.com0tag:blogger.com,1999:blog-7714867.post-1111852017401464982005-03-26T17:38:00.000+02:002005-03-26T17:46:57.403+02:00redhat9 üzerinde mail sunucu kurulmasının bu kadar zor olacağını bilmezdim.. debian ne güzeldi ya.. işin içinden çıkamadım bir türlü..<br /><br />ben de tanıdığım en iyi linux uzmanına yani onur'a başvurdum :)<br /><br /><span style="font-style: italic;">screen -x</span> konseptini gösterdi.. onu izliyorum şimdi.. en son "<span style="font-style: italic;">I'm so pissed of</span>" demişti hehe biliyorum, günlerdir ben de aynı durumdayım ;)<br /><br />ama oluyor gibi.. main.cf dosyasını düzenliyor.. şu relaying sorunsalı da düzelince olacak gibi... merakla bekliyoruz bakalım...<br /><br />tez vakitte linux'e daha fazla zaman ayırıcam.. I have to...<div class="blogger-post-footer"><img width='1' height='1' src='https://blogger.googleusercontent.com/tracker/7714867-111185201740146498?l=wizardctp.blogspot.com'/></div>Ardahttp://www.blogger.com/profile/08922982932806775135noreply@blogger.com1tag:blogger.com,1999:blog-7714867.post-1110696181052274782005-03-13T08:39:00.000+02:002005-03-13T08:43:39.660+02:00lkd sitesinde gezindim biraz. gezegenLinux gayet hoşuma gitti.. katılmak güzel olurdu sanırım.. öncelikle linux'e biraz daha katkı sağlasam daha iyi olur tabiki :)<br /><br />şu an penguence üzerinde çalışıyorum.. projeye son rötüşlar atılmakta ;)<br />bu öğlen itibariyle <span style="font-style: italic;">wizard portal system</span> v2.5.5<span style="font-style: italic;"> </span>üzerinde çalışacak şekilde devreye girecek.. benim için güzel bir olay.. WPS'in resmi olarak yayınlandığı üçüncü site olacak bu..<br /><br />ardından l-word için yapmam gereken birkaç ufak proje var..<br />ve sonra GO için..<br /><br />gece ise x-files izliyorum cnbc-e'de :)<br />başka birşey beni kendime getiremez bu kadar koddan sonra ;)<div class="blogger-post-footer"><img width='1' height='1' src='https://blogger.googleusercontent.com/tracker/7714867-111069618105227478?l=wizardctp.blogspot.com'/></div>Ardahttp://www.blogger.com/profile/08922982932806775135noreply@blogger.com0