Çalışma Grupları

TÜBİTAK » ULAKBİM » CSIRT » Çalışma Grupları

İletişim | Site Haritası | English

Web Güvenliği

Günümüzde World Wide Web (WWW), güncel ve doğru bilgiyi insanlara ulaştırmak için en kolay ve en etkin yöntem olarak karşımıza çıkmaktadır. Web sitesi saldırıları (web defacement) her geçen gün artmaktadır. . Bu artışın asıl nedeni, web sitesi güvenliğinin yeterince ciddiye alınmamasıdır. Web sistemlerin birçoğunda XSS ve SQL injection başta olmak üzere birçok güvenlik açığı bulunmaktadır. Kullanılan PhpBB veya Joomla gibi hazır web sitesi geliştirme ortamları birçok güvenlik açığına sahiptir ve yanlış konfigürasyonlar sonucunda sistemler kolaylıkla kırılabilmektedir. Ulaknet içerisindeki web sunucular ele geçirilerek aşağıdakiler yapılabilir:

Siyasi propaganda içerikli sayfaların yerleştirilmesi,

Olta (Phishing) uygulamaları,

Bot’lar kullanılarak dış ve iç ağlara saldırıların gerçekleştirilmesidir.

Aynı zamanda kurumların ağlarında, yönlendirici (router), yerel ağ anahtarı (switch), kesintisiz güç kaynağı ve kamera sistemi gibi kritik sistemlerin üzerinde unutulmuş web sunucuları aracılığı ile kurumun ağında sorunlar yaşanmasına yol açabilecektir.

Web güvenliği konusunda yapılabilecek çalışmalar aşağıdaki gibidir:

Bilinçlendirme/Eğitim: Öncelikle web güvenliği konusunda yöneticilerin bilinçlendirilmesi hedeflenecektir . Sorunun ne olduğu ve çözümleri öncelikle bir web sitesinden duyurulmalıdır. http://websecurity.ege.edu.tr adresinde bu sistemin ilk prototipi hayata geçirilmiştir. Buradan iyi yapılandırma önerileri (best practices) de sunulacaktır.

Zayıflık Tarama/İnceleme Sistemi: Geliştirilmekte olan web uyarı sistemi aracılığı ile web sunucu makinalarının ve içerisinde bulunan web içeriklerinin zayıflık tarama süreçleri düzenli olarak gerçekleştirilecektir. Raporların yöneticilere bir web sunucusu üzerinden sunulması hedeflenmektedir.

Saldırgan Tuzağı (Honeypot): Kurulacak web saldırgan tuzakları ile Ulaknet içerisindeki saldırılar hakkında bilgi toplanabilecektir. Bu konuda WASC’in “Distributed Open Honeypots” projesine (http://www.webappsec.org/projects/honeypots/) de bir cihazla veya sanal işletim sistemi ile destek verilebilir.

Zayıflık Tarama Sistemi

Öncelikli olarak web sunucuların zayıflık tarama süreçlerinin bir sistem tarafından düzenli olarak yapılması hedeflenmektedir. Bu proje diğer servis sunucuları için de genişletilebilir. Bu çalışmada web sunucu bulundurulan cihazların zayıflık taramlarının ve üzerlerinde bulunan domain’lere ait web zayıflık taramaları uygulanacaktır. Raporların yöneticilere bir web sunucusu üzerinden sunulması hedeflenmektedir.

Bu çalışma için veritabanı çalışmaları halen sürmektedir. Aslında bu sistemin en etkin kullanımı bir IDS ile entegre çalışmasıdır. Ege Üniversitesi’nde geliştirilmekte olan yapıda, sunucular hakkında bilgilerin tarayıcılar ve IDS’lerden toplanması ve bulunan verilen ışığında zayıflık taramalarının uygulanması hedeflenmektedir.

Diğer üniversiteler için hedeflenen ise, ilk aşamada üniversite ana sayfalarının bulunduğu ve (sisteme girilmesi durumunda) öğrenci bilgi sistemlerinin çalıştığı web sunucularının tarama işlemlerinin yapılmasıdır. Bu tarama işlemlerinin sistemlerde harcayacağı işlemci gücüne göre bir zaman planlaması yapılacaktır.

Sistem bir linux makinaya kurulacaktır. Java/JSP ve Perl yazılım dillerinin kullanılması planlanmaktadır. Bu dillerde yazılım geliştirmeye destek verebilecek kişilere bu projede ihtiyaç duyulacaktır.

Görüşleriniz