Şifre Seçiminde Uyarı ve Öneriler

Kredi kartı ve internet bankacılığında kullanmak üzere şifrelerimizi hangi isimlerden seçiyoruz?
Uzmanlar şifre seçerken dikkat edilecek hususları şöyle sıralıyor;

Emniyet Genel Müdürlüğü Kaçakçılık ve Organize suçlarla Mücadele Daire Başkanlığı’nın hazırladığı 2007 yılı raporuna göre, kredi kartı ve online bankacılık işlemleri günlük hayatı kolaylaştırsa da birçok riski beraberinde getiriyor.

Birçok kişi, kolay hatırlanması nedeniyle kendi isim ya da lakabını, sevdiği sanatçının ismini, tuttuğu takımın ya da beslediği köpeğin adını şifre olarak seçiyor. Hızlı bir şekilde çözülebileceği göz önünde bulundurularak, eş ve çocuklar, iş arkadaşları, ünlü sanatçılar ve kent isimlerinin şifre olarak kullanılmaması öneriliyor.

Doğum tarihleri, adres, doğum yeri, telefon numarası, aile bireylerinin adlarının ters yazılmış şekli, SSK ve TC kimlik numarası,�?love, hotel, holiday�? gibi çok kullanılan kelimelerle aynı harften (aaaaaa), aynı sayıdan (555555), ardışık sayılardan (123456), alfabe sırasından (abcdef) oluşan şifrelerin de tercih edilmemesi tavsiye ediliyor.

En İyi Şifre

En az yedi-sekiz karakter uzunluğunda, kolay ve hızlı yazılabilen ve girildiğinde çevreden anlaşılmayan şifreler, en iyi şifreler olarak gösteriliyor. Şifrenin tek cümleden oluşması isteniyorsa, en azından sonuna “zafer18�? gibi bazı sembollerin ya da sayıların yazılması gerekiyor.

Kol hareketlerinden bile şifreyi çözebilen kişiler bulunduğu için, şifre yazılırken sadece parmakların kullanılması büyük önem taşıyor. Şifrelerde bir harfin bir sayıyla değiştirilmesi, örneğin, “a�? yerine “6�? kullanılarak, “atila�? yerine “6til6�? yazılması öneriliyor. Şifrelerin belirli sürelerle değiştirilmesi, yurtdışındaki art gözlerden korunmak için “ç,ğ,ş�? gibi Türkçe karakterlerin de kullanılması gerekiyor.

Kaçakçılık ve Organize Suçlarla Mücadele Daire Başkanlığı’nın örnek şifreleri şöyle :

MUR@tşen89

“Oğlum Levent 8, kızım Nilüfer 3 yaşında yıl 2004�?teki kelimelerin baş harfleri ve rakamlarından oluşan şifre : OL8,KN3YY2004’

“Ben 15 senedir Mamak’ta oturuyorum�? cümlesindeki kelimelerin baş harfleriyle rakamlarından oluşan şifre : B15SMO

Yorum Yazın 20.08.2008

DDR3 Ram Hakkında Geniş Bilgilendirme

DDR3 Spesifikasyonları

Double Date Rate SDRAM, yüksek perfomanslı server’lar , masaüstü bilgisayarlar ve taşınabilir PC’ler için günümüzün standartını belirlemektedir. Samsung bu alanda bir ilktir ve ilk defa 1997’de DDR standartını, 2001’de DDR2 standardını, 2005’te DDR3 standartını piyasaya sürmüştür. JEDEC standartlarına dayanan , yarıiletken üretim teknolojilerinde ve mühendislik dallarında yüksek performans ve hız sunan çözümler üretmiştir.

DDDR3 Hızları, Band Genişlikleri, Kullanım Amaçları

Band Genişliğinin İkiye Katlanması

Samsung tamamıyla endüstri için uygunlaştırılmış hafıza seçenekleri sunmaktadır. Bu standartlar DDR2 standartlarını oluşturmakla birlikte gelecek jenerasyon olan DDR3 hafızalarının da standartlarını oluşturmuştur. DDR3 hafıza modülleri DDR2’ye göre en az iki kat band genişliği sağlamaktadır ve yaklaşık olarak transfer hızları 1.6Gb/s ‘lere kadar çıkabilmektedir. Bu daha hızlarının anlamı iyileştirilmiş 3D grafik uygulamaları ve Windows Vista işletim sisteminin gereksinimlerini karşılamak için mükemmeliyet sunmaktadır .

Teorik olarak, DDR’ de 400Mhz ile 1066 Mhz arasında, DDR’da ise 200-600 Mhz arasında veri hızında iken , DDR3 modüller 800-1600 Mhz arasında efektif sistem saat hızlarına sahip olarak stabil bir şekilde data transferini gerçekleştirmektedirler. Aşağıdaki tabloda ise çiplere ve hafıza modüllerine göre yapılan iki tabloda data transfer miktarları gösterilmiştir.

DDR3 Teknolojisi İle Birlikte Düşük Güç Tüketimi

DDR3 birden çoklu uygulamalarda ki verimi arttırmakla birlikte , günümüzün yeni çoklu çekirdekli sistemlerinin performansını da iyileştirmektedir. DDR3 sadece performansı iyileştirmekle kalmaz, DDR2’nin kullandığı 1.8V besleme gerilimine karşılık 1.5V’luk besleme gerilimi ile çalışmaktadır. Bu sebeple yaklaşık olarak batarya ömrü 20dk civarında uzamaktadır. Isı yönetimini iyileştirmek için giden sinyal uçları boyunca sinyalin korunması hedeflenmiştir.

Çift Band Genişlikli Geliştirilmiş Sdram Teknolojisinin İlerleyişi

DDR2 ile DDR3’ün Karşılaştırmalı Özellikleri

DDR2 ile DDR3 Arasındaki CAS Gecikme Çevrimleri ve Gecikme Farklılıkları

DDR3 Teknolojisiyle Gelen İyileştirmeler

• Düşük Güç Tüketimiyle birlikte yüksek performans
• Her pin için 1600Mbps hızlarına varan veri hızları
• 1,5V’luk besleme gerilimi ile güç tüketiminin düşmesi
• Daha iyi sinyal kontrolü için DQ koruması
• Isı yönetimini sistem seviyesinde etkinleştirebilmek için DRAM modülünün içine ısı sensörü yerleşimi
• Öntaşıyıcı tamponunun genişliği DDR3’te 8-bit iken , DDR2 ‘de 4 bit ve DDR’da ise 2 bittir.

Olağanüstü Band Genişliği ve Düşük Güç Tüketimi

Geleceğin temel hafıza standardı DDR3, önceden geliştirilmiş olan bilgisayar hafızası modüllerinin mimarisinde ve performansında büyük farklılıklar yaratacaktır. JEDEC spesifikasyonlarına dayanara, DDR3 oldukça yüksek data transfer oranları olan 1,6 Gb/s yükselecek, DDR2’den daha az besleme voltajına sahip olmasına rağmen. Bu çipler aynı zamanda çift kapılı transistor ler sayesinde akım sızıntısını da önleyerek güç tüketimini mükemmel bir şekilde düşürmektedir.

Daha İyi Sinyal Kontrolü

DQ koruma ile DDR2 sinyal kontrol sonuçlarına göre; DDR3 modülleri daha verimli bir sinyal kontrolü sağlamaktadır. DDR3’ün artan performansı ile düşen besleme voltajı isteği günümüz sistemlerine de yansımıştır. Örneğin; yapılan testlerden birinde gösterilen değerlere göre aynı görevleri yerine getiren eski teknoloji modüllere göre 800Mhz’lik DDR3 SODIMM modülü yaklaşık olarak %30 daha az güç harcamaktadır.

Yeni Performans Sistemleri İçin Gelişmiş Hafızalar

Yüksek performans isteyen donanımlar için, düşük güçlerde yüksek band genişlikli DDR3 modüller ideal bir çözüm sunmaktadır. Örneğin bazı grafik kart üreticileri GDDR3/GDDR3 standartlarına grafik kartlarını adapte etmişlerdir, çünkü datanın büyük miktarının transferini desteklemektedir. Sadece 12ns’lik bir gecikmeyle DDR3 ağ aplikasyonlarında başlıca çözüm olmanın temelini oluşturmaktadır.

DDR3 ve DDR2 SODIMM Modüllerinin Yaklaşık Olarak Güç Yaklaşımı

Windows Vista İçin Yüksek Yoğunluklu Hafıza Gereksinimi

Sistemin temel hafızası için, DDR3 teknolojisi artık çift çekirdekli ve çoklu işlemcili sistemler için bir öneri olmaktan çıkıp şart haline gelmiştir. PC endüstirisinde Windows Vista’ya geçişte, eğer grafik ve yüksek performans değerlerine erişim isteniyorsa bu yeni teknolojinin gerekliliğini ortaya koymuştur. DDR3 teknolojisi yeni nesil güçlü donanımlar içindir.

DDR3 Teknolojisiyle İlgili Sıkça Sorulan Sorular

- DDR3 Nedir, Ne Değildir?

DDR3 teknolojisi DDR SDRAM teknolojisinin yeni jenerasyonudur. DDR ve DDR2 teknolojilerine göre yüksek hızlar sağlaması( Kingston Value RAM modellerinde 1066 Mhz , HyperX’lerde ise 1333Mhz’lere kadar çıkmaktadır.), düşük güç tüketimiyle daha az ısı açığa çıkarması nedeniyle bir devrim denebilir.

- DDR3 Hafıza Modülleri Ne Zaman Piyasaya Sürülecek?

Mayıs 2007’de DDR3 hafıza modülleri piyasaya sürülecek. Kingston Value RAM modülleri bu başlangıçta 1066 Mhz olarak piyasaya sürülecek ve sonradan 1333 Mhz hızında hafıza modülleri piyasadaki yerini alacaktır.

- Hangi Platformlar DDR3’leri Destekler?

2007’nin ilk 6 ayında Intel chipset tabanlı masaüstü bilgisayarlar ve sonrasında notebook’lar, sonrasında takip eden 2008, 2009 yıllarında ise sunucu ve serverlarda desteklenecektir.

- DDR3 Hafıza Modülleri DDDR2’lerle Geriye Uyumlu Olacak mıdır?

Hayır. DDR3 hafıza çipleriyle DDR2 hafıza çipleri arasında çok fark vardır. En önemli fark besleme geriliminin DDR2’de 1.8V iken DDR3’te 1.5 V olmasıdır.

- DDR3 DIMM Modülleri DDR2 Soketlerine Takılabilir mi?

Hayır. Hafıza modülleri konektörler üzerinde farklı çentik noktalarına sahiptir. Bu çentikler hafıza ve soket tarafında denk gelmeyeceğinden asla takılamaz.

DDR3 Soketi İle DDR2 Soketi Arasındaki Fark Nasıl Açıklanabilir?

Doğrudan anakarta bakıp anakartın DDR2 veya DDR3 olup olmadığını kestirmek gerçekten çok zordur. Hayır. Hafıza modülleri konektörler üzerinde farklı çentik noktalarına sahiptir. Bu çentikler hafıza ve soket tarafında denk gelmeyeceğinden asla takılamaz. Eğer DDR2 soketli bir anakarta DDR3 hafıza takılmaya kalkılırsa anakartınız veya hafıza modülleriniz zarar görebilir. Bu hasardan korunmanın en iyi yolu takmadan önce hafıza modülü ile soketin çentiklerini hizalamaktır. Bu şekilde hafıza modülünün uygun olup olmadığı kontrol edilebilir. Aşağıdaki resimde DDR2 soketine takılmaya çalışılan bir DDR3 ram’i göstermektedir.

DDR3 Hızları ve İsimlendirme Konvansiyonları Nedir?

Hangi Gecikmeler DDR3 Standartlarını Desteklemektedir?

Kingston’un DDDE3 Value Ram Modüllerinin İsimlendirme Konvansiyonları Nedir?

Kingston’un DDDE3 Value Ram Modüllerinin İsimlendirme Konvansiyonları Nedir?

Alıntıdır
RAM’lerin Gerçek Frekans ve Band Genişliklerini Nasıl ve Hangi Test Programları İle Test Edebiliriz?

Aşağıda ekran görüntüsü ve linki verilen Sisoft Sandra yazılımı indirip RAM’lerinizin gerçek frekans ve band genişliklerini ölçmekle kalmayıp gecikme sürelerini dahi belirleyebilirsiniz

Yorum Yazın 20.08.2008

Adsl Modem Teknik Servis Telefonları

Aşağıdakiler pc world adsl özel sayısından alıntıdır, tt de adsl kullanıcı yorumları ve önerileri her zaman bakılmalı ama, bazen en son çare ürünlerimizin teknik servis/müş. hizmetleri olmakta. onlar biraz daha ilginç/fazla sorunlarla karşılaşıyorlardır ve aşağıdaki tlf. nolar umarım işinize yarar.

Siemens = 0216- 459 99 49
LinkSys = 0212-311 12 12
Apache = 0212-479 46 46
SpeedCom+= 0212-479 46 46
Sky = 0212-422 75 05
Inca = 0212-212 88 65
Airties = 0212-212 82 20
Datron = 0212-336 61 00
ZyXEL = 0212-288 17 65
BILLION = 0212-359 29 29
Pikatel = 0212- 336 39 39
Zoom = 0212-540 43 90
SpeedTouch = 0212-336 39 91
D-Link = 0216-422 75 05
Adam = 0216- 454 60 00
Sagem = 0216-528 33 33
Mercury = 0212-522 99 00
Onixon = 0216-422 75 05
Geek ADSL = 0312-232 68 68
U.S. Robotics = 0212-364 64 64
Allied Telesyn = 0212-347 75 40
Asus = 0212-217 29 29

Yorum Yazın 20.08.2008

Online virüs tarama siteleri

Online virüs tarama siteleri

Aşağıdaki siteler yardımıyla bilgisayarınızda online virüs taraması yapanilirsiniz.

Arcavir / Arcabit
http://arcaonline.arcabit.com/scanner.html

Avast
http://onlinescan.avast.com/

Bitdefender tavsiye edilir
http://www.bitdefender.com/scan8/ie.html

F-Secure
http://support.f-secure.com/enu/home/ols.shtml

Kaspersky
http://www.kaspersky.com/virusscanner

Mcafee
http://us.mcafee.com/root/mfs/default.asp?cid=9435

Norton
http://security.symantec.com/sscv6/d…d=ie&venid=sym

Panda Activescan
http://www.pandasoftware.com/products/activescan.htm

Tenebril Free Spyware Scan
http://www.tenebril.com/scanner/main_start.php

Trend-Micro (Pc-Cillin)
http://us.trendmicro-europe.com/housecall/v6.5/?us=2

mks antivir
http://mks.com.pl/skaner/skaner.php

Yorum Yazın 20.08.2008

En Sık Rastlanan Güvenlik Açıkları ve Çözümleri

1. Hatalı Kablosuz Ağ Yapılandırması

Açıklama:

Günümüzde kullanımı oldukça artan kablosuz ağlar, birçok kurumun yerel ağının bir parçası olmuştur. Ancak kablosuz ağ erişim noktalarının, istemcilerin ve kablosuz ağ tasarımlarının yapılandırmasında güvenlik gereksinimleri gözönüne alınmamaktadır. İstemcilerin kimlik doğrulamasının yapılmaması, kriptolu erişim kullanılmaması, kablosuz ağların güvenlik duvarı aracılığıyla erişim denetimine tabi tutulmaması ve sinyal kalitesinde kısıtlama olmaması, saldırganların kablosuz ağlara sızmasını kolaylaştırmaktadır. Kablosuz ağlara sızabilen bir saldırgan, kurum yerel ağına girebilir, sunuculara erişim sağlayabilir, tüm ağ erişimlerini izleyebilir veya değiştirebilir.

Çözüm Önerileri:

Kablosuz ağ tasarımı yapılırken, kablosuz ağın Internet gibi güvensiz bir ağ olduğu göz önüne alınmalı, güvenlik duvarının DMZ bölümünden giriş yapılması sağlanmalı, tercihen sanal özel ağ (VPN) sistemleri kullanılmalı, sinyal kalitesinde kısıtlamalara gidilmeli ve istemciler harici doğrulama sistemleri tarafından kimlik kontrolüne tabi tutulmalıdır. Kurum güvenlik politikası dahilinde, gezgin kullanıcıların sistemlerinde kurumda kullanılmamasına rağmen kablosuz ağ kartı bulunması engellenmeli ve istemci kurumda iken ağ kartının devre dışı olması sağlanmalıdır.

Referanslar:
Security Guidelines for Wireless LAN Implementation
http://www.sans.org/rr/papers/index.php?id=1233
Corporate Wireless LAN: Know the Risks and Best Practices to Mitigate them
http://www.sans.org/rr/papers/index.php?id=1350
Wireless Firewall Gateway White Paper

2. Hatalı Yapılandırılmış Sanal Özel Ağ (VPN) Sunucuları

Açıklama:

Sanal özel ağ (VPN) sunucuları güvensiz ağlar üzerinde güvenli iletişim tünelleri oluşturmak için kullanılmaktadır. Genel kullanım alanları arasında; kurum bölgeleri arası bağlantıları, çözüm ortakları ile iletişim, veya gezgin istemcilerin yerel ağa güvenli bağlanabilmesi sayılabilmektedir. Sıkça karşılaşılan sanal özel ağ güvenlik açıkları arasında, sanal özel ağ sunucularında harici kimlik doğrulama sistemleri kullanılmaması, sunucunun yerel ağda bulunması sonucu yerel ağa doğrudan erişim, istemciler ile Internet arasında iletişim izolasyonu olmaması ve zayıf kriptolama algoritmalarının seçilmesi sayılabilmektedir. Güvenlik açığı barındıran sanal özel ağa sızabilen bir saldırgan, kurum ağına doğrudan erişim sağlayabilmekte ve yerel kullanıcı haklarına sahip olabilmektedir.

Çözüm Önerileri:

Sanal özel ağ sunucuları kendilerine ayrılmış bir DMZ bölümü ve güvenlik duvarı aracılığıyla yerel ağa bağlanmalıdır. Böylece güvenlik duvarına gelen iletişim kriptosuz olacak ve üzerinde erişim denetimi yapılabilecektir. Gezgin kullanıcıların bağlantısında ise sayısal sertifika veya tek seferlik şifre gibi kimlik doğrulama yöntemleri kullanılmalıdır. Kriptolama amaçlı kullanılacak algoritma mutlak suretle günümüzde kolayca kırılamayan algoritmalar (3DES, AES vb.) arasından seçilmelidir. Kullanılacak istemci yazılımları, Internet kullanımı ile sanal özel ağ kullanımı arasında izolasyon yapmalı ve istemcilerin Internette farklı kaynaklara erişimini kısıtlamalıdır. Ayrıca uzak erişimlerde sahip olunan yetkiler, yerel ağda sahip olunan yetkilerden çok daha az olacak şekilde yapılandırılmalıdır.

Referanslar:
Virtual Private Networks: A Broken Dream?
http://www.securityfocus.com/infocus/1461
Introduction to Encryption
http://www.securityfocus.com/infocus/1181
Intranets and Virtual Private Networks (VPNs) color=#ffffff ex.html

3. Web Uygulamalarında SQL Sorgularının Değiştirilebilmesi

Açıklama:

Web uygulamalarında bazı bilgilerin tutulabilmesi için SQL veritabanları kullanılmaktadır. Uygulama geliştiricileri, bazı durumlarda kullanıcılardan gelen verileri beklenen veri türü ile karşılaştırmayarak SQL sorguları içinde kullanmaktadırlar. Genel olarak problemler, uygulama geliştiricinin SQL sorgularında anlam ifade edebilecek ; UNION gibi kötü niyetli karakterlere karşı bir önlem almadığı zaman ortaya çıkmaktadır. Bu durum kullanıcıya önceden planlanmamış uygulama düzeyinde erişim sağlayabilir. İçinde SQL sorgulama barındıran bir çok ürün SQL sorguları değiştirilebilmesine (SQL Injection) karşı savunmasızdır. Saldırganlar SQL sorgularını değiştirme tekniklerini web sitelerine ve uygulamalara zarar vermek amaçlı kullanmaktadırlar. SQL enjeksiyon ile saldırgan tablo yaratabilir, değişiklikler yapabilir, veritabanı üzerinde erişim sağlayabilir veya veritabanı kullanıcısının hakları doğrultusunda sunucuda komut çalıştırabilir.

Çözüm Önerileri:

Uygulamanın tüm bileşenlerinde kullanılan değişkenler için kontroller oluşturulmalı ve değişkene atanması beklenen veri türü ile kullanıcı girdisi karşılaştırılmalıdır. Beklenen girdi türünden farklı karakterler saptanması durumunda, karakterler SQL sorgularında anlam ifade etmeyecek biçimde değiştirilmeli, silinmeli veya kullanıcıya uyarı mesajı döndürülmelidir. Tercihen uygulamanın tamamı için geçerli olacak, değişken türü ve atanabilecek girdi türünü parametre olarak alan ve kontrolleri yaptıktan sonra girdi kabul sonucu üreten sabit bir fonksiyon tercih edilmelidir.

Referanslar:
SQLSecurity.com
http://www.sqlsecurity.com/faq-inj.asp
OWASP
http://www.owasp.org/asac/input_validation/sql.shtml
Advanced SQL Injection In SQL Server Applications

4. Web Uygulamalarında Başka Siteden Kod Çalıştırma

Açıklama:

Başka siteden kod çalıştırma (Cross-Site Scripting) açıkları, bir saldırganın hedef web sitesi aracılığıyla site ziyaretçilerinin sisteminde komut çalıştırabilmesine olanak tanımaktadır. Saldırı sonucu olarak site ziyaretçilerinin browser’larında bulunabilecek güvenlik açıklarının kullanılması, JavaScript/ActiveX ve VBScript komutlarının çalıştırılmasını mümkün kılmaktadır. Bu tür komutlar ile kullanıcıya ait site çerezleri alınabilir, kaydedilmiş şifreler çalınabilir veya browser’da bulunabilecek güvenlik açıkları ile kullanıcı sistemi ele geçirilebilir. Ayrıca elektronik ticaret veya bankacılık uygulamaları için sahte giriş ekranları oluşturularak ziyaretçilerin yanıltılması ve sonucunda kullanıcıya ait önemli bilgilerin ele geçirilmesi mümkün olabilir.

Çözüm Önerileri:

Uygulamanın tüm bileşenlerinde kullanılan değişkenler için kontroller oluşturulmalı ve değişkene atanması beklenen veri türü ile kullanıcı girdisi karşılaştırılmalıdır. Beklenen girdi türünden farklı karakterler (örn. /; ()) saptanması durumunda, karakterler anlam ifade etmeyecek biçimde değiştirilmeli, silinmeli veya kullanıcıya uyarı mesajı döndürülmelidir. Tercihen uygulamanın tamamı için geçerli olacak, değişken türü ve atanabilecek girdi türünü parametre olarak alan ve kontrolleri yaptıktan sonra girdi kabul sonucu üreten sabit bir fonksiyon tercih edilmelidir.

Referanslar:
SPI Dynamics Cross-site Scripting Whitepaper cripting.pdf
OWASP Cross-site Scripting Information

5. Kolay Tahmin Edilebilir Şifrelere Sahip Kullanıcı Hesapları

Açıklama:

Ağda bulunan istemci, sistem yöneticisi veya servislere özel kullanıcı hesaplarının kolay tahmin edilebilir şifrelere sahip olması, bir saldırganın kurum ağına yönelik kullanabileceği en basit saldırı yöntemidir. Özellikle yönlendirici yönetim şifreleri veya sunucu servislerine ait kullanıcı hesaplarının şifreleri kolayca tahmin edilebilmektedir. Web temelli uygulamaların yaygınlaşması ile web temelli uygulamalar da şifre seçim hatalarından etkilenmektedir. Bir saldırganın, yönetim hesaplarını veya geçerli bir kullanıcıya ait şifreleri ele geçirmesi durumunda, kurum ağına sınırsız erişim sağlanabilmekte ve istenen ağ sistemi kolayca ele geçirilebilmektedir.

Çözüm Önerileri:

Şifre seçimi, kalitesi ve yönetimi konusunda kurum politikası oluşturulmalıdır. Başta sistem yöneticileri olmak üzere kullanıcıların şifre seçim kriterlerine uyumu, dizin hizmetleri veya alan denetçileri ile sağlanmalı ve kullanıcıların daha zor tahmin edilebilir şifre seçimleri yapmaları sağlanmalıdır. Özel uygulama alanlarında (sanal özel ağ, ERP yazılımları, bankacılık uygulamaları vb.) harici doğrulama sistemleri veya sayısal sertifikalar kullanılmalıdır. Web temelli uygulamaların tasarımında, kullanıcı hesap yönetimi ve şifre seçimi konusunda, beklenen kriterlerin uygulanması zorlayıcı olmalıdır.

Referanslar:
Passwords: the Weak Link in Network Security
Information Security: web applications

6. SNMP Servisi Kullanımı

Açıklama:

SNMP protokolü, ağ yönetim ve izleme amaçlı olarak kullanılmaktadır. Kurumsal ağlarda, birçok sunucu veya ağ bileşeninde SNMP servisi kullanılmaktadır. Kurumlar, Internet erişim ortamında güvenlik duvarı aracılığıyla sunucularda bulunan SNMP servisine erişimleri engellenmektedir. Ancak güvenlik duvarının önünde yer almakta olan birçok yönlendirici SNMP servisini ve SNMP servisinin yapısından kaynaklanan güvenlik sorunlarını içermektedir. UDP protokolü temelli olması, kullanıcı adı ve şifre doğrulamaları kullanmaması, SNMP protokolünün en zayıf yönlerindendir. Yönlendirici üzerinde bulunan SNMP servisini ele geçiren bir saldırgan, tüm kurumsal ağ trafiğini tünelleme ile kendisine aktarabilir, yönlendirme tablolarında değişiklik yapabilir ve kurum ağına geçiş için yönlendiriciyi atlama noktası olarak kullanabilir.

Çözüm Önerileri:

Internet erişimine açık sistemlerde SNMP servisinin kullanılmaması tavsiye edilir. SNMP protokolünün kullanılması gerekli ise yönlendirici/sunucu üzerinde bulunan paket filtreleme seçenekleri ve erişim denetim kuralları aracılığıyla sadece bağlanması istenen sistemlere izin verilmelidir. Ayrıca SNMP erişimi için zor bir iletişim kelimesi tanımlanmalı ve iletişim TCP protokolü temelli veya yönlendirici/sunucu destekliyor ise kriptolu veri trafiği üzerinden yapılmalıdır.

Referanslar:
CERT Advisory CA-2002-03,
“Multiple Vulnerabilities in Many Implementations of the Simple Network Management Protocol (SNMP)”
http://www.cert.org/advisories/CA-2002-03.html
CIAC Information Bulletin M-042,
“Multiple Vulnerabilities in Multiple Implementations of SNMP”
http://www.ciac.org/ciac/bulletins/m-042.shtml

7. Güncellemeleri Yapılmamış Web Sunucusu

Açıklama:

Birçok kurum, ağlarında bulunan web sunucu yazılımlarını düzenli olarak güncellememektedir. Microsoft IIS veya ASF Apache web sunucu yazılımların eski sürümleri birçok güvenlik açığı barındırmaktadır. Web sunucularının düzenli güncellenememesinin sebeplerinden en önemlisi, bu yazılımların parçası olduğu ticari ürünlerin kullanılıyor olmasıdır. Web sunucuda yapılacak sürüm değişikliği veya güncellemeler, ürün firması tarafından desteğin kesilmesine neden olabilmektedir. Her iki web sunucusunda da saptanan güvenlik açıkları, web sunucusunun servis dışı kalmasına veya tüm sunucunun ele geçirilmesine neden olmaktadır. Önceden belirlenmiş yapılandırma ile kurulan web sunucuları, gerekli olmayan birçok bileşeni bünyelerinde barındırmakta ve gelecekte bu bileşenlere ait ortaya çıkabilecek güvenlik açıklarından etkilenebilmektedir.

Çözüm Önerileri:

Web sunucu yazılımların düzenli güncellenmeleri oldukça önemlidir, ayrıca gerekli olmayan tüm bileşenler (WebDAV, HTTP Trace, Frontpage Uzantıları, Yazıcı desteği, Index oluşturma desteği ve örnek CGI uygulamaları) sistemden çıkarılmalıdır. Böylece gelecekte söz konusu bileşenler için duyurulacak güvenlik açıklarından etkilenilmeyecektir. Microsoft IIS web sunucusu için Microsoft URLScan aracı kullanılmalı ve tüm web istekleri içeriklerine göre süzülmelidir. Microsoft IIS veya ASF Apachenin parçası olduğu ticari ürünler kullanılıyor ve güncellemeler yapılması durumunda üretici firmanın desteğinin kesilmesi söz konusu ise alternatif yöntemler kullanılmalıdır. Bir ters proxy aracılığıyla güvenlik açığı barındıran web sunucusuna doğrudan erişimin kısıtlanması, uygulama katmanında kullanılabilecek içerik denetim sistemleri, uygulama güvenlik duvarları veya saldırı tespit sistemleri verimli sonuçlar üreten çözümlerdendir.

Referanslar:
Securing Apache: Step-by-Step
color=#0000ff http://www.securityfocus.com/infocus/1694
Apache HTTP Server: Security Tips
http://httpd.apache.org/docs/misc/security_tips.html

8. İşletim Sistemi ve Uygulamaların Standart Şekilde Kurulması

Açıklama:

İşletim sistemleri ve uygulamalar temel kullanım standartları doğrultusunda öntanımlı bir yapılandırma ile kurulmaktadırlar. Öntanımlı yapılandırma, etkin kullanımda gerekmeyecek birçok desteği içermekte ve ürünün kullanımının kolaylaştırılması için sunulmaktadır. İşletim sistemi ve uygulamaların öntanımlı kurulumlarında kolay tahmin edilebilir şifreler, güvenlik açığı içermekte olan bileşenler ve örnek uygulamalar kolay kurulum sebebiyle tercih edilmektedir. Bu şekilde kurulan işletim sistemi ve uygulamalar genel özelliklere sahip olmakta, yayınlanmış ve kullanılmayan bileşenlerinde içermekte olduğu güvenlik açıklarından etkilenmektedir. Yazılımlarda bulunan yayınlanmış güvenlik açıkları, kullanımlarının güvenlik tehditi içerebileceği öngörülmemiş uygulamalar ve gerekli olmayan servisler sonucu, sistemin tamamen ele geçirilmesi veya servis dışı bırakılması mümkün olmaktadır.

Çözüm Önerileri:

İşletim sistemi ve uygulama kurulumlarında, kurulum seçenekleri özelleştirilmeli, yönetim şifreleri zor tahmin edilebilir olmalı, gerekli olmayan servisler durdurulmalı ve örnek uygulamalar sistemden çıkarılmalıdır. Ürün geliştiricisi tarafından sağlanan tüm güvenlik yamaları ve yapılandırma önerileri yazılımlara uygulanmalıdır. Kurulumlarda minimalist bir yaklaşım belirlenmeli ve gerekli olmayan tüm erişim yetkileri kısıtlanmalıdır. Ayrıca düzenli olarak üretici tarafından yayınlanmış güvenlik duyuruları ve güncel güvenlik e-posta listeleri takip edilmeli, yönergeler izlenmelidir.

Referanslar:
Securing & Optimizing Linux: The Ultimate Solution v2.0
http://www.openna.com/products/books/sol/solus.php

9. Hatalı Yapılandırılmış Saldırı Tespit Sistemleri

Açıklama:

Saldırı tespit sistemleri etkin güvenlik için vazgeçilmez uygulamalardır; ancak hatalı yapılandırılmaları durumunda saldırganların ağ iletişimini aksatabilmesi için en önemli araçlardandır.
Tespit edilen saldırılara kontrolsüz tepkiler verilmesi durumunda,
” saldırganlar saldırı tespit sisteminin türünü ve özelliklerini saptayabilir,
” çokça yapılan saldırı ile kayıt veritabanlarını doldurabilir,
” sunuculara yönelik servis engelleme saldırısı yapabilir,
” ağda gereksiz veri trafiği oluşturabilir,
” saldırılarını gizleyebilir,
” sahte saldırılar ile kritik görevdeki yönlendirici ve alan adı sunucularına erişimi kesebilir
” veya güvenlik duvarı aracılığıyla saldırgan engelleme yapılıyor ise güvenlik duvarının kural tablosunu taşırabilir.
Öntanımlı yapılandırmalarda, saldırı tespit sistemleri saldırı önleme yapmamaktadırlar, ancak optimizasyon yapılmamış birçok sistemde kontrolsüz olarak saldırı önleme yapılmaktadır. Güncelleme ve tanımlamaları doğru yapılmamış, güncel yamaları uygulanmamış sistemlerde, farklı veri ve iletişim türleri seçilmesi durumunda saldırı tespit edilememektedir.

Çözüm Önerileri:

Ağ üzerinde bir süre saldırı tespit sistemi izleme durumunda çalıştırılmalı ve gelen veri trafiği türüne bağlı olarak saldırı tespit sistemi kural ve tepki optimizasyonu yapılmalıdır. Saldırı tespit siteminin saldırı türlerine göre tepki vermesi sağlanmalı, zorunlu kalmadıkça tepki üretilmemelidir. Güvenilir sistemler tanımı oluşturulmalı, önemli yönlendiriciler ve alan adı sunucuları ile kritik güvenlik sistemleri güvenilir olarak tanımlanmalıdır. Tepkiler öncelikle ICMP/TCP/UDP paketleri ile üretilmeli, çok sayıda saldırı olması durumunda tek bir işlem olarak ele alınmalı ve sürekli saldırılarda saldırgan sistem güvenlik duvarı tarafından engellenmelidir. Paket ve iletişim analiz seçenekleri için önerilen yama ve yardımcı yazılımlar kullanılmalı, ürün geliştiricilerinin hazırlamış oldukları rehber dökümanlarla karşılaştırılarak yapılandırmalar gözden geçirilmelidir.

Referanslar:
IDS Evasion Techniques and Tactics
http://www.securityfocus.com/infocus/1577
Understanding IDS Active Response Mechanisms
http://www.securityfocus.com/infocus/1540

10. Güvenlik Duvarı Tarafından Korunmayan Sistemler

Açıklama:

Güvenlik duvarları, kurumların güvenlik sürecinde en önemli bileşenlerdendir. Doğru yapılandırılmamış veya tasarım hatası içermekte olan güvenlik duvarları, istenen güvenlik seviyesini sağlayamamaktadır. Özel istemci veya sunuculara verilmiş sınırsız erişim hakları, güvenlik duvarının önünde bulunan sunucu ve istemciler ile erişim denetim kuralları özelleştirilmemiş güvenlik duvarları, saldırganların kurum ağına sınırsız olarak erişimine imkan tanımaktadır. Yayınlanmış güvenlik açıklarının takip edilmemesi veya yapılandırma hatası sonucu güvenlik duvarı tarafından korunmayan bir sistem, saldırganın kurum ağına girebilmesi için atlama noktası olabilmektedir.

Çözüm Önerileri:

Güvenlik duvarı tasarımı yapılırken, kurum ağında bulunan ve Internet üzerinden hizmet sunacak sistemler DMZ bölümüne taşınmalı, yönlendirici ile güvenlik duvarı arasındaki ağa fiziksel giriş imkanları önlenmeli ve güvenlik duvarı üzerinde düzenli kontroller yapılarak, özel haklar sağlayan kurallar devre dışı bırakılmalıdır. Özel amaçlar için güvenlik duvarının dışına yerleştirilmesi gereken sistemlerin, yapılandırmaları özelleştirilmeli, gerekmeyen servisler durdurulmalı, güvenlik yamaları tamamlanmalı ve güvenlik duvarı üzerinden ağa erişimlerinde hiçbir özel erişim kuralı belirlenmemelidir.

Referanslar:
Firewalls and Internet security
http://secinf.net/info/fw/steph/

Yorum Yazın 20.08.2008

Bedava avast indir

Bedava avast indir

Türkçe avast antivürüs programı

avast! 4 Home Edition bedava indirebilirsiniz. Avast firmasının ücretsiz dağıttığı sürümdür. Çok hızlı çalışır ve etkili koruma sağlar.

Ev kullanıcıları için ücretsiz  antivirüs yazılımıdır.  Avast! Home Edition  sistemimizi virüs saldırılarından, solucan ve truva atlarından koruyabiliriz. Program kolay kullanılabilir bir arayüz, gerçek zamanlı koruma, e-posta koruması, otomatik güncelleme gibi özelliklere sahip. Yeni sürümde ICQ, mIRC ve Kazaa programlarından gelen dosyalar arasında da koruma sağlayabiliyor. Üstelik Windows XP Service Pack 2 Güvenlik Merkezi ile de uyumludur.

Buraya tıklayarak indirebilrisiniz.

Yorum Yazın 20.08.2008

Kaspersky internet security 2008 indir

Kaspersky internet security 2008 indir

Kaspersky güvenlik şirketinin pc kullanıcıları için sürekli olarak geliştirdiği internet security programının 7. versiyonunu aşağıdaki linklerden herhangi birisiyle indirebilirsiniz.

Çok kullanışlı ve kaliteli bir güvenlik programıdır. İndirdiğiniz programı kurarak 30 gün boyunca ücretsiz kullanabilirsiniz.

İndirme linkleri;

Link 1

Alternatif link 

Yorum Yazın 20.08.2008

Hiren boot cd 9.4 Türkçe indir

Hiren boot cd 9.4 Türkçe indir

Hiren boot cd’nin son versiyonu olan 9.4 versiyonunu aşağıda vereceğim tek link’ten indirebilirsiniz.

Hiren boot cd bilgisayar teknik servis çalışanlarının ve orta seviyeli bilgisayar kulanıcılarının kullanabileceği çok fazla programı sağlayan bir cd’dir.

Pc açılışında boot olarak çalışır, kullanmak istediğiniz programı seçebilmeniz için listeler halindeki ekranı kullanırsınız. Bizim teknik servis’te her zaman yaznımızda bulunur. İndirmenizi mutlaka tavsiye ederim.

Buraya tıklayarak indirebilirsiniz

Dosya şifresi: www.hossohbetci.com

Yorum Yazın 20.08.2008

Adsl hiz testi

Adsl hiz testi

Adsl bağlantı hızınızı merak ediyorsanız test hizmetlerinden faydalanabiliriniz.

İlk olarak şu siteden bulunduğunuz şehiri seçerek hiz testini başlatabilir ve sonuçları kısa süre içerisinde alabilirsiniz.
Türk telekomun vermiş olduğu hız tesi aracına ise şu sayfadan ulaşabilir ve hiz testini gerçekleştirebilirsiniz.

Genel itibariyle testler almış olduğunuz bağlantı hızını yakalayamıyacaktır. Bunun sebebi santrale olan uzaklığınızla alakalıdır

Yorum Yazın 20.08.2008

Vista Teması

indirme linki vista teması
http://rapidshare.com/files/83340243…ez-bb.org_.rar

Yorum Yazın 20.08.2008