Geçtiğimiz günlerde de web sitelerinin hangi kategoride oldugunu sorgulayabileceginiz ve yeni kategori taleplerinde bulunabileceginiz adresler duyuruldu.

Bu sayfadan URL icin kategori onerisinde de (yanlis kategoride olduguna inaniliyorsa ya da ek kategori olarak) bulunabiliyorsunuz.

 Tum URL kategorileri ve aciklamalari da su adreste; https://www.checkpoint.com/urlcat/categories.htm

 Solution ID:               sk65222

Product:                     Mobile Access / SSL VPN, Security Gateway, DLP-1, Endpoint Security Server

Version:                     R75, R71, NGX R66.1, E80.20, 7.x

OS:                 SecurePlatform, Windows, IPSO 6.2

Platform:                    All

Last Modified:                      26-Aug-2011 by Michael Kapelevich

Access Level:            General

Status:            Approve

Originator:                 Michael Kapelevich

Owner:                       Michael Kapelevich

Technical Resource:             

 Symptoms 

• Apache HTTP server is vulnerable to denial of service by sending multiple requests with large number of ranges.
• For more details refer to the Apache advisory
• The following Check Point products are vulnerable:
• Security Gateway with SSL VPN/Identity Awareness/DLP Software Blade – R71.10 and later, R75 and later
• Connectra – R66.1, R66.1n
• DLP-1 – R75 and later
• EndPoint Security Server – all versions
• To mitigate this threat Check Point released the following solutions:
• Hotfixes for the vulnerable products.
• An IPS protection CPAI-2011-402

Solution 

Customers of the above products are advised to install the following Hotfixes.

Hotfix for Security Gateway products

• Hotfix applies to the following versions:
• Connectra R66.1, R66.1n
• R71.40, R75.20
• DLP-1 R71.20
• Installation instructions:

1. Download apacheCVE20113192.sh and copy it to the gateway machine
2. chmod +x apacheCVE20113192.sh
3. To install the hotfix run ‘apacheCVE20113192.sh install’. On standalone DLP gateway also run ‘cpstop ; cpstart’.
4. To uninstall the hotfix run ‘apacheCVE20113192.sh uninstall’

Note that after installing the Hotfix for Security Gateway, any manual changes done to the Apache configuration files will be lost, in case the Hotfix is uninstalled.

Hotfix for EndPoint Security

• Hotfix applies to the following versions on Windows platform: R80, R80.10, E80.20.
• Installation instructions:
1. Download range_header_vulnerability.bat and copy it to %UEPMDIR%\apache22\conf on the EPS Server machine
2. To install the hotfix run ‘ range_header_vulnerability.bat’
3. To uninstall the hotfix run ‘copy httpd.conf.backup htpd.conf’

Note that when upgrading Endpoint Security Server, the Apache configuration file will be overwritten, thus, this security fix should be applied again once you have upgraded.

ISC2, ortalama 2 yılda bir üyelerine gönderdiği anket ile Common Body of Knowledge (CBK) denen temel içeriğini gözden geçiriyor. Bu gözden geçirme sonucu içerikte geçerliliğini yitirmiş öğeler çıkarılıyor, önem kazananlar dahil ediliyor, ayrıca sınavdaki soru/puan ağırlıkları da değişiyor.

İlk aşamada CISSP, SSCP ve CISSP-ISSEP in içeriği değişecek;

• Jan 1^st, 2012: CISSP
• Feb 1^st, 2012: SSCP
• March 1^st 2012: CISSP-ISSEP

1 Ocak 2009′dan itibaren kullanılan içerik de bu çalışma sonrası güncellenecek ve 1 ocak 2012′den geçerli olmak üzere yenisi kullanmaya başlanacak.

Yeni CISSP Candidate Information Bulletin (CIB)’ı da öncekine göre analiz etme fırsatım oldu. Tahmin ettğim üzere bazı yeni konular dahil edilmiş ya da ağırlıkları artırılmış.

Bunlardan dikkatimi çekenler,

• Virtual Application/Desktop
• Sadece Voip başlığı yerine Voice altında POTSi PBX, VoIP
• DDoS, spoofing saldırıları
• Bilgi güvenliği stratejilerinin geliştirilmesi ve uygulanması,
• Claud computing
• Grid computing
• OWASP
• IPv6

CIB daki adı değişen domain ler,

• Application Development Security –>> Software Development Security
• Operations Security –>> Security Operations

Teknoloji pazarındaki ürünlerin çeşitliliği ve üreticilerin çokluğu nedeniyle ürün seçimi de ister istemez zorlaşmakta. Bir çok üreticinin pazara sunduğu teknolojiler, test alanı sınırlı tüketici firmalar tarafından gereğince değerlendirilmeden satınalması yapılmakta. Ürün seçimindeki bu zorluklar ve seçimin daha somut hale getirilme isteği nedeniyle ürün değerlendirilmesinde de standartlaşmaya gidilmiştir. Bu ürün değerlendirme standartlarından bazıları TCSEC, ITSEC ve Common Criteria’dır. Common Criteria günümüzün en geçerli ve yaygın olarak kullanılan değerlendirme standartlarından biridir.

Ürün değerlendirme çalışmaları ilk olarak ABD’de  güvenli sistemleri ve vendor ürünlerini değerlendirmek amacıyla Orange Book (TCSEC) ile başlamıştır. Orange Book, National Security Agency (NSA) tarafından geliştirilmiş ve tüm ürünler buna göre değerlendirilmiştir. Orange Book (TCSEC)’de D2 ile A3 arasında güvence seviyeleri vardır. D sınıfı en düşük test seviyesinden A sınıfı en yüksek seviyeli değerlendirme methodlarıdır. Orange Book’da sadece confidentiality adreslenmektedir. TCSEC sonrasında ITSEC değerlendirme kriteri oluşturulmuştur. ITSEC ise confidentiality nin yanında integrity i de ele almaktadır.

Common Criteria (CC – Ortak Kriterler), ürünlerin güvenlik güvence seviyelerinin belirlenmesi için tasarlanmıştır. ABD, Kanada, İngiltere, Fransa ve Almanya bu kriterlerin oluşturulmasında rol oynamıştır. Türkiye de Türk Standartları Enstitüsü – TSE ile CC yi kullanmaktadır.

Bu programın amacı, ürünlerin güvenlik fonksiyonlarının sağlıklı bir şekilde işlediğini, verilerin işlenmesi sırasında meydana gelen olası hatalarda hassas bilgilerin açığa çıkmadığını en yüksek seviyede güvenceye almaktır. Bu değerlendirme kriterleri ürün sahipleri açısından aynı zamanda uluslararası satış ve pazarlama ölçütü olarak da kullanılmaktadır.

Common Criteria, International Organization for Standardization (ISO) and the International Electrotechnical Commision (IEC) 15408:2007 ve ISO/IEC 18045:2005 olarak da standartlaşmıştır. Common Criteria’nın ilk major versiyonu 2005 yılında v2.3 olarak duyurulmuştur. CC’nin şu anki versiyonu olan 3.1, 3 ana bölümden oluşmaktadır.

1. Bölüm: Giriş ve Genel Model: CC’ye giriştir. Genel konsept tanımları yapılır ve IT güvenlik değerlendirme prensipleri üzerinde durulur.
2. Bölüm: İşlevsel Güvenlik Bileşenleri: Fonksiyonel bileşenler üzerinde durulur. Target of Evaluation (TOE) da bu bölümde işlenir.
3. Bölüm: Güvenlik Güvence Bileşenleri: TOE için güvence bileşenleri bu bölümde işlenir. Protection Profile (PP) ve Security Target (ST) ele alınır. TOE için bir puanlama yapılır ve  Evaluation Assurance Level (EAL) seviyesi belirlenir.

Protection Profile (PP)

Ürünün gerektirdiği güvenlik özellikleridir. Protection Profiller fonksiyonel standartları işaret eder ve alıcıların RFP yazımlarında da yardımcı olur.

Target of Evaluation (TOE)

Değerlendirilecek olan yazılım, donanım, firmware i adreslemektedir. Bazı TOE örnekleri aşağıdadır.

-          Yazılım uygulaması

-          İşletim sistemi

-          İşletim sistemi ile bütünleşik yazılım

-          İşletim sistemi ve iş istasyonu ile bütünleşik yazılım

-          Smart karta entegre devre

-          Smart karta entegre şifreleme devresi

-          Terminalleri, sunucuları, ağ ekipmanlarını ve yazılımları içeren yerel ağ

-          Veritabanı uygulaması

-          Güvenlik duvarları

-          Saldırı tespit ve engelleme sistemleri

Security Target (ST)

Tanımlanan TOE nin Protection Profile ışığında fonksiyonlarını tanımlar.

Evaluation Assurance Level (EAL 1-7)

EAL; sistemin sağladığı confidentiality, integrity ve availability i ölçmektedir. Implemantasyon sonrası yönetim gibi kriterleri ölçmemektedir. EAL1 en temel, EAL7 ise en kuvvetli seviyedir. Yüksek EAL seviyesi daha yüksek güvenlik anlamına gelmez, sadece TOE nin kazandığı yüksek güvence seviyesini ifade eder.

Common Criteria sertifikasına sahip ürünlerinin tümünü http://www.commoncriteriaportal.org/products/ adresinden inceleyebilirsiniz.

Kaynaklar:

-          Harold F. Tipton, Official (ISC)2® Guide to the ISSAP® CBK, 2011

-          Shon Harris, CISSP All-in-One Exam Guide, Fifth Edition, 2010

-          Harold F. Tipton, Information Security Management Handbook, Sixth Edition, Volume 3, 2009

-          Ross J. Anderson, Security Engineering: A Guide to Building Dependable Distributed Systems, 2008

-          http://www.commoncriteriaportal.org/

Milyonlarca oyuncusuyla dünyanın belki de en büyük oyun network unun 5 gündür devre dışı kalması bir hayli düşündürücü. PlayStation Network üzerinden kredi kartlarıyla oyun da satın alabiliyorsunuz. Kredi kartı bilgilerinin çalınıp çalınmadığına dair bir bilgi de yok.

Sony’nin 5 gündür etki analizi yapıp kullanıcılarını bilgilendirememesi, çok uzun süre sistemlerin devre dışı kalması, Business Continuty Planları‘nın çok da başarılı olamadığını gösteriyor.