Giri�

27 Eyl�l 1999
      Internet son birka� y�ld�r daha tehlikeli olmaya ba�lad�. Internet trafi�i artmakta ve �nemli i�ler Internet'te yap�lmakta. Bununla birlikte insanlardan kaynaklanan zararlar da artmakta.

     E�er �al�nmaya de�er bir �ey varsa biri u�ra�acak ve de onu �alacakt�r. Bu g�n�m�zde Internet d�nyas�nda �ok daha do�rudur. Linux sistemleri bile bu kural�n d���na ��kamazlar. Ama Linux'un bu Internet �alkant�lar�na kar�� kuvvetli olmas� ve bir�ok sofistike g�venlik birimlerine sahip olmas� �ok g�zel bir�ey. Bu Linux'un Intermet'le yo�un u�ra�anlar aras�nda pop�ler olmas�n�n en onemli sebebidir.

     Bununla birlikte Linux g�venlik ara�lar�n� uygun bir �ekilde kullanmazsan�z, problemlerle kar��la�abilirsiniz. Problemler k�t� �ekilde kurulmu� g�venlik ara�lar�ndan kaynaklan�r. Bu yaz� hangi hususlara dikkat edilmesi gerekti�ini a��klamaya �al��acak.

    Sisteminize zorla girmek i�in kullan�lacak bir�ok yol vard�r. Genellikle bunlar var olan programlar�n hatalar�n� kullan�rlar. Linux kulan�c�lar� bu hatalara ���k tutar ve �abucak bir yama ��kart�rlar. Bu yamalar di�er i�letim sistemlerindeki karde� programlar�n yamalar�ndan �ok daha h�zl� ��karlar.

     Bu yaz� makinenizi ( ya da a��n�z� ) bu �e�it problemlere kar�� nas�l koruyaca��n�z� a��klayacak. A�a��da g�venli bir Linux'un nas�l yap�laca�� a��klanacak.

 
A� Servisleri
     Linux bir sunucu olarak bir�ok servisi i�inde bulundurabilir. �r : FTP,WWW ve e-mail. Bunlar kap�lar ( port ) vas�tas�yla sa�lan�r. �rnek vermek gerekirse
FTP 21. kap�y� kullanarak ileti�im sa�lar. E�er  servislerin da��l�m� hakk�nda bilgi almak isterseniz /etc/servicesdosyas�na g�z atabilir.

    Sistem kaynaklar�ndan kazanmak ve sistem y�netimini daha kolay k�lmak i�in �o�u servis /etc/inetd.conf taraf�ndan y�netilir. Bu dosya servislerin nas�l �al��aca��n� belirler.
Nelere Sahibiz?
     �o�u Linux da�itimi �nceden bir�ok servisi a�mas�na ra�men bunlar g�venlik i�in kapal� olmal�. Birle�mi� sistemlerde g�venlik �ok sorun de�ildir.  Bu "yumu�ak" ortamda kazara ger�ekle�en zararlar�n yeteri kadar �nlendi�ini varsaymakla beraber bu servislere giri�in sa�lanmas� bunlar� korumaktan �nemlidir. E�er Linux'unuz Internet'e a��l�rsa olaya daha de�i�ik bir a��dan bakmal�s�n�z. Sisteminizde hangi servislerin �al��t���n� kontrol i�in  netstat -vat  komutu kullan�l�r.

Sonu� :
 

   tcp 0 0 *:6000 *:* LISTEN 
   tcp 0 0 *:www *:* LISTEN 
   tcp 0 0 *:auth *:* LISTEN 
   tcp 0 0 *:finger *:* LISTEN 
   tcp 0 0 *:shell *:* LISTEN 
   tcp 0 0 *:sunrpc *:* LISTEN

     LISTEN yazan her sat�r ba�lan�lmay� bekleyen bir servistir. Bunlardan ba�z�lar� tek ba��ms�z ( stand-alone ) programlard�r; fakat �o�u /etc/inetd.conf taraf�ndan kontrol edilir. E�er bir servisin tam olarak ne yapt���n� bilimiyorsan�z /etc/services dosyas�ndan bakabilirsiniz.

    �rne�in :  grep '^finger' /etc/inetd.conf  komutuyla ��yle bir ��kt� al�rs�n�z :

    finger stream tcp nowait nobody /usr/sbin/tcpd /usr/sbin/in.fingerd

     Program�n ne yapt���na bakmak i�in man sayfalar�ndan in.fingerd'ye bak�n. E�er servise ihtiyac�n�z yoksa onu /etc/inetd.conf dan ba��na bir diyez (#) koyarak kapat�n.
   # finger stream tcp nowait nobody /usr/sbin/tcpd /usr/sbin/in.fingerd

     Daha sonra  killall -HUP inetd komutunu vererek inetd 'yi yeniden ba�lat�n tabii ki finger 'i sonsuza dek kapatt�k. E�er istersek yeniden # 'i
kald�rarak ve de killall -HUP inetd komutunu vererek bir daha a�ar�z. Sistemi yeniden ba�latmaya gerek yok. E�er bir program inetd 'de yer alm�yorsa, ba��ms�z (stand-alone) bir programd�r. Bu servisi program� makineden kald�rarak
( uninstall ) kald�rabilirsiniz.Tabii bunu program�n ne i�e yarad���n� ve ne yapt���n�z� biliyorsan�z yap�n.
 
hosts.{allow|deny}
     �e�itli servislere ekstra g�venlik eklemek i�in Linux daha �nceden belirtilmi� makinelere izin vererek ya da reddederek sistemi korur. �rnek olarak sadece sizin a��n�za ba�l� bilgisayarlara ( Internet'teki bilgisayarlara de�il ) izin vermek i�in /etc/hosts.allow ve  /etc/hosts.deny dosyalar�n� d�zenleyin. Daha fazla bilgi i�in man sayfalar�na bak�n

SSH ( Secure Shell System ):
Makine bilgilerine bakarak ba�lant�lar� reddetmek sald�r�lardan korunmak i�in iyi bir y�ntem. Ama hepsi bu kadar de�il.Sahte makine isimleriyle ba�lant� yapmak olas�d�r. Internet �zerinden programlar aras� haberle�mede bilgi tehlikededir.Yeterli bilgiye sahip birisi bunlara bakabilir. Spoofing denen y�ntemle sahte bilgileri Sisteminize a��layabilirler. Bu problemler Internet protokollerinin kar��l�kl� haberle�meleri s�ras�nda ger�ekle�ir.Bu g��l�klerin �stesinden gelmek i�in ssh tasarlanm�tir.

>     SSH a��k kaynak kodu ( open source ) �artlar�na uygun olarak, ba�lant�larda kimlik kontrol� ve �ifreleme yapan sa�lam yap�l� ve iyi geli�tirilmi� bir sistemdir. �ifreleme, bilgi paketlerinin iletmi s�ras�nda kodlar kullan�r. Kimlik do�rulama
( authentication ) ba�lant� ya da paket iletimi varsa kullan�lan bir y�ntemdir. Di�er i�letim sistemlerinde SSH istemcileri mevcuttur. Sunucu olarak Linux kullan�larak SSH d�zeyinde bilgi iletimi sa�lanabilir.
     SSH hakk�nda daha fazla bilgi i�in http://www.ssh.fi

 
Programlar� izleme. Ne nerede kaydedilir?
     Linux, sistem y�neticisinin sistemde neler d�nd���n� bilmesini sa�layan kapsaml� alt sistemlere, programlara sahiptir. A�a��da, dosyalar� kaydeden ( log ) baz� ara�lar�n a��klamas� mevcuttur. Bunlar�n do�ru kuruldu�undan emin olun ve herhangi bir sald�r�dan ��phelenirseniz bunlar� kontrol edin. Buradaki en onemli sorun: �ok fazla kay�t bulunmas�d�r. Bunun sonucu olarak filtreleme ve �nemli bilgilerin kaydedilmesi �nem kazan�r.
> 3.2.1 JAIL ( Just Another IP Logger ) :
     JAIL arka planda �al��an iki k���k programc�ktan olu�ur ( icmplog ve tcplog ). Bu programlar /var/log/syslog i�indeki bilmek istedi�iniz bilgileri kaydederler. Geni� bilgi i�in man sayfalar�na bakabilirsiniz.
     ftpd , rlogind ve bir�ok etkile�imli programlar, kendilerine ba�lanmak isteyen kullan�c�lar�n kay�tlar�n� /var/log/syslog ve /var/log/messages dosyalar�nda tutarlar.

 

Di�er G�venlik �nlemleri :
   
Bilgisayarlardaki firewall �zel bir a�� u�suz bucaks�z olan Internet'ten korumay� sa�layan bir ara�t�r. Firewall'un en basit �ekli ( modem yada ethernet kart� ile ) Internete ya da �zel a�lara ba�l� bir Linux makinas�d�r. Firewall g�revini �stlenen bilgisayar, Internet'e ve de a�a eri�ebilir.Bu korumal� a� Internet'e ��kamaz ve de Internet'te bu a�a giremez. Internet'e veya Internet'ten akan bilgiler firewall taraf�ndan f�ltrelenir. A� i�inde servisleri a�ma ya da kapatmada daha az �zen g�sterilir. Bu �ekilde sadece bir makina �zerinde yo�unla��l�r. Firewall kurmak olduk�a karma��k bir i�tir. �lk ba�ta makinenize ba�l� iki ethernet kart� gerekir. Sonra iki ethernet kart� aras� bilgi k�pr�lerinin filterelenmesini kurmak i�in ipchains isimli program kurulmal�d�r

 

�zet
   
      Sisteminizi g�venli k�lmadaki kar��laca��n�z en �nemli engel: sisteme giri�in azalmas�d�r. Sistem g�venligini artt�rman�n arkas�ndaki mant�k bilgisayarin kullan�m�n� k�s�tlamakt�r. Bu yaz� ile akl�n�za gelebilecek yeni fikirlerden �nce madalyonun arka y�z�n�; yani sisteminize g�venli k�larken sisteminizi daha az kullanma olas�l���n�z� belirtmek isterim.