-: Bu derste izleme
ve denetleme konularına odaklanacağız.
Önce izleme ile başlayalım.
İzleme hakkında konuştuğumuzda,
bir güvenlik analistinin ana işlerinden
biri gerçekten de ağı izlemektir.
Dedektifler gibiyiz.
Doğru görünmeyen her şeyin
kökünü kazımaya çalışıyoruz ve
bu manuel olarak ya da otomatik bir yöntemle yapılabilir.
Şimdi, syslog, farklı cihazların ve yazılım uygulamalarının
günlüklerini veya olay kayıtlarını merkezi bir sunucuya
iletmelerini sağlayan bir protokoldür.
Şimdi syslog standart bir istemci sunucu modelini takip edecek.
Ve bu, bir ağ boyunca dağıtılmış sistemlerden gelen olayların
günlüğe kaydedilmesi için defacto standarttır.
Günlük olarak üzerinde çalışacağınız pek çok sistemde syslog'un
kullanıldığını göreceksiniz.
Artık syslog çoğu işletim sisteminde ve çoğu ağ
ekipmanında çalışmaktadır.
Yani ister bir Cisco yönlendirici kullanıyor olun,
ister bir Windows makinesi ya da bir Linux sunucusu kullanıyor
olun, hepsi syslog kullanabilir.
Şimdi, bu mesajları geri gönderdiğimizde,
bir syslog mesajı neye benzer?
Bir syslog mesajı birkaç şey içerecektir.
Bir öncelik kodu olan PRI kodu içerir.
Bir başlık ve bir mesaj bölümü içerir.
Bunların her biri hakkında konuşalım.
İlk olarak, bu PRI koduna, bu önceliğe sahibiz
ve bu, tesise ve verilerin önem derecesine
göre hesaplanacaktır.
Ardından, bir başlığımız
var ve başlık olayın zaman damgasını ve
ana bilgisayar adını içerecek.
Yani nereden geldiğini ve ne zaman olduğunu biliyoruz.
Ve son olarak, olayın kaynak sürecini ve ilgili
içeriği içeren mesaj bölümümüz var, temel
olarak hangi veriler oldu ve bize ne hakkında bilgi vermek
istiyorsunuz?
Mesaj kısmındaki fikir de budur.
Bu mesajın özü budur.
Şimdi, syslog ile ilgilendiğimizde,
orijinal sürümde bunun birkaç dezavantajı var.
Orijinal protokol UDP'ye dayanıyordu.
UDP bir ateşle ve unut protokolü olduğu için bu, sıkışık
ağlarda teslimat sorunlarına neden olabilir.
Gönderir ve yanıt ve
onay beklemez.
Ve böylece oraya ulaştığını varsayar.
Sıkışık bir ağınız varsa,
veriler düşebilir ve bu nedenle
bilgileriniz günlük sunucusuna ulaşmaz
ve günlüğe kaydedilmez.
İlk günlerde bu sorun olmayabilirdi, çünkü insanlar
ağınızdaki herkesin güvenilir
olduğunu varsayıyordu, ancak bugünlerde
bunu istemiyoruz.
Verilerimizin oraya ulaştığından emin olmak istiyoruz.
Bu yüzden bunun için bir çözüm bulmamız gerekecek.
İkinci husus ise çok fazla temel güvenlik
kontrolünün bulunmamasıdır.
Syslog ile varsayılan olarak şifreleme veya
kimlik doğrulama gibi bir şey yoktu.
Bu da yine bir başka dezavantajdı.
Bu yüzden syslog'un modern uygulamalarında
bunları düzelttik.
Şimdi bu güvenlik sorunları nedeniyle,
daha yeni syslog uygulamalarımız birçok farklı
özellik ve yetenek ekledi.
Burada bunlardan birkaçı hakkında konuşacağız.
İlk yeni uygulamalar tutarlı teslimat için
TCP kullanmaktadır.
Bu şekilde, ağ tıkanırsa ve mesaj oraya
ulaşamazsa, TCP kullandığı
için mesajı tekrar tekrar iletecektir.
İkinci gelişme, daha yeni uygulamalar, sunuculara
gönderilen mesajlarınızı şifrelemek için TLS veya taşıma
katmanı güvenliğini kullanabilir.
Bu şekilde, aktarım halindeki veriler
ağdaki başka biri tarafından okunamaz.
Yalnızca onu gönderen uç nokta ve onu alan
sunucu tarafından okunabilir.
Üçüncü husus
ise, yeni uygulamaların kimlik doğrulama ve bütünlük sağlamak
için MD5 ve SHA1 kullanmasıdır.
Bu şekilde mesajlar ağınızdan geçerken mesaj kimlik doğrulamasına
ve bütünlüğüne sahip olabilir ve böylece başka biri tarafından
karıştırılmadıklarından emin olabilirsiniz.
Yine birçok başka özellik.
Bu sete çok fazla odaklanmıyorum çünkü
gerçekten önem verdiğimiz üç büyük set,
tutarlı bir teslimat için TCP'ye geçtik.
Şifreleme için TLS'ye geçtik ve kimlik
doğrulama ve bütünlük için MD5 ve SHA1
kullanmaya başladık.
Şimdi sunucunun bu yeni sürümü genellikle
syslog-ng, syslog next generation veya rsyslog olarak adlandırılıyor.
Şimdi syslog hakkında bahsetmek istediğim son
şey, syslog'un genellikle üç anlama gelecek şekilde kullanıldığıdır.
Verileri hangi protokol üzerinden gönderdiğimizi ifade edebilir.
Bir syslog sunucusunda olduğu gibi sunucuya veya syslog verilerinde
olduğu gibi günlük girdilerinin kendisine
atıfta bulunabilir.
İnsanlar genellikle sadece syslog derler
ve bağlama bağlı olarak bu üçünü veya bu üçünden herhangi
birini kastederler.
Bu nedenle, sektörde konuşan
insanları duyduğunuzda, SNMP hakkında
konuştukları üçünden hangisinin
bir sonraki olduğunu anladığınızdan emin olmak
için bu konuda dikkatli olun.
SNMP, Basit Ağ Yönetimi Protokolüdür.
Ağa bağlı cihazların ve bilgisayarların izlenmesine
yardımcı olan bir TCP protokolüdür.
SNMP, ağ yönetimi ve izleme sistemlerine dahil
edilmiştir ve yönetim ve izleme konseptinde
yoğun olarak kullanılmaktadır.
SNMP üç bileşene ayrılmıştır.
Yönetilen cihazlar, aracı ve ağ yönetim
sistemlerinin kendileri vardır.
Yönetilen cihazlar hakkında konuşuyoruz.
Bu, bir ağ yönetim sistemi tarafından aracılar
kullanılarak izlenen bilgisayarlar
ve ağa bağlı diğer cihazlardır.
Aracılar, yönetilen bir cihaza yüklenen yazılımlardır.
Bu da bilgileri, izlemeyi yapacak
olan ağ yönetim sistemine yönlendirmemizi
sağlar.
Bir ağ yönetim sistemi ya da NMS, bir ya da
daha fazla sunucu üzerinde çalışan ve ağ üzerindeki
tüm ağa bağlı cihazların
ve bilgisayarların izlenmesini kontrol eden yazılımdır.
SNMP, SNMP protokolünü kullanarak bunların üçünün
de birbiriyle konuşmasını sağlayan yapıştırıcıdır.
Peki tüm bunlar ağ içinde neye benziyor?
Burada, ekranda kısa bir diyagram görebilirsiniz.
Sol tarafta, ağ yönetim sistemimizin bir parçası
olan ağ yönetim istasyonumuz veya NMS'miz var.
Bu bizim yöneticimiz olarak hareket
edecek ve ağdaki tüm yönetilen cihazlara,
yönlendiricilerinize, anahtarlarınıza ve sunucularınıza
mesaj gönderip alacak, değil mi?
Şimdi, bilgi istediğinde,
bir get isteği gönderecek ve
ardından bu cihazlar bir set isteği kullanarak bilgileri
geri gönderecektir.
Ayrıca, periyodik aralıklarla gerektiğinde
bilgi gönderdikleri bu yönetim cihazlarından
istenmeyen bilgileri alacak
olan tuzak isteği adı verilen bir
şey de vardır.
Dolayısıyla, SNMP kullanarak tüm bu ağ yönetimini gerçekleştirdiğinizde, verilerin
gönderilebileceği iki seçeneğiniz vardır.
Bunu kullandığınız ağ üzerinden gönderebilirsiniz
ki buna bant içi iletişim denir ya da bant
dışından gönderebilirsiniz.
Şimdi, bant içi yaptığınızda,
bu yönetim verilerini kurumsal bilgilerinizi
ve normal verilerinizi taşıyan aynı ağ üzerinden
göndereceğiniz anlamına gelir.
Bu daha ucuz ve kolaydır, ancak daha az güvenlidir.
Şimdi daha güvenli olmak
için bant dışı bir ağ oluşturmalısınız.
Bu, tüm yönetimin gerçekleştiği
ikincil bir ağdır, ancak yine de
kullanıcıların alacağı tüm verilerin
gerçekleşeceği birincil bant içi ağınız
vardır.
Yönetim her zaman bant dışı bir
ağ üzerinde yapılmalıdır çünkü bu güvenliği artırır ve yönetim
işlevini kullanıcıların dokunabileceği veya görebileceği
bir yerden çıkarır.