Eğitmen: Bu derste BIOS ve UEFI
içindeki bazı güvenlik
özelliklerini keşfedeceğiz.
Ağımızda ve işletim sistemi ortamımızda
koruma sağlamanın yanı sıra, işletim
sistemi öncesi ortamımızın güvenliğini
de dikkate almamız gerekir.
Bu, bilgisayarın açılış
aşamasında saldırıya uğrayabilecek alanıdır
ve bu nedenle BIOS ve UEFI parolaları, güvenli
önyükleme işlemi ve anakartınızın USB bağlantı noktalarındaki izinlerin
ayarlanması dahil olmak üzere önyükleyici korumaları
dikkate alınmalıdır.
BIOS ve UEFI'nin, işletim sistemimizin yüklenmesi ve başlatılması
sırasında bize yardımcı olmak için bilgisayarlarımızda kullanılan
iki farklı aygıt yazılımı türü olduğunu unutmayın.
Her bilgisayarda BIOS ya da UEFI olabilir, ancak ikisi
birden olamaz.
BIOS temel giriş/çıkış sistemidir ve bir
işletim sisteminin açılabilmesi için donanımı
başlatan bir firmware arayüzüdür.
BIOS'a dayanan bilgisayarlar, önyükleme bilgilerini
tutmak ve yüklenecek işletim sistemini içeren belirli bir sabit sürücünün
bölümlerini tanımlamak için bir ana önyükleme kaydı
veya MBR kullanacaktır.
BIOS daha eski, daha eski bir ürün yazılımı türüdür.
UEFI ya da birleşik genişletilebilir ürün yazılımı
girişimi ise daha yeni bir ürün yazılımı türüdür.
UEFI, önyükleme sırasında 64 bit CPU işlemleri, tam
bir grafik kullanıcı arayüzü ve önyükleme sırasında fare işlemleri
ve daha iyi önyükleme güvenliği için destek sağlayan bir sistem
bellenimi türüdür.
UEFI kullanan bilgisayarlar, önyükleme bilgilerini
tutmak için GPT olarak bilinen bir GUID bölümleme tablosu kullanacaklardır.
UEFI, iki terabayttan büyük disklere
erişme ve bu disklerden önyükleme yapma olanağı
sağlar ve CPU'dan bağımsız mimari ve sürücülerin yanı
sıra ağ özelliği ve web tarama erişimi içerebilen
bir işletim sistemi öncesi ortamı sunar.
Genel olarak UEFI, BIOS'tan daha yeni ve daha gelişmiştir ve güvenli
önyükleme de dahil olmak üzere önyükleme işlemi
sırasında ek güvenlik ve bütünlük kontrolleri sağlar.
Artık BIOS ve UEFI birkaç farklı türde parola
kullanılarak da korunabiliyor.
Buna süpervizör, yönetici veya kurulum
parolası, kullanıcı veya sistem parolası ve depolama veya
sabit sürücü parolası dahildir.
Gözetmen, yönetici veya kurulum parolası,
BIOS veya UEFI'yi kullanırken bulacağınız
ilk parola türüdür.
Bu parola BIOS veya UEFI yapılandırma programına
erişimi korumak için kullanılır ve yetkisiz kullanıcıların
bu hassas yapılandırma aracına erişmesini
engeller.
Bu parolayı ayarlarsanız, birisi BIOS veya UEFI'ye
girmeye çalıştığında, erişim izni vermeden önce
parolayı girmesi gerekecektir, ancak
birisinin bilgisayarı açmasını ve normal işletim sistemi
ortamına geçmesini engellemeyecektir.
Bu parola neredeyse her zaman bir şirket veya kurumsal ağdaki
bilgisayarlarda ayarlanacaktır, böylece
son kullanıcılarınız BIOS veya UEFI'ye erişemez, ancak sistem yöneticileriniz
ve teknisyenleriniz doğru parolaya sahiplerse erişebilirler.
Kullanıcı veya sistem parolası, BIOS
veya UEFI'de yapılandırılabilen ikinci parola türüdür.
Bu parola tüm bilgisayara erişimi kilitlemek için kullanılır.
Bilgisayar her açıldığında
duracak ve bir parola soracaktır.
Son kullanıcı doğru şifreyi girerse, bilgisayar işletim
sistemini yüklemeye ve açılmaya devam edecektir.
Bu, bir bilgisayarı korumak için çok güvenli bir yöntem olsa
da, kurumsal veya işletme ağlarında neredeyse hiç kullanılmaz,
çünkü bu parolanın o bilgisayara erişen
tüm kullanıcılarla paylaşılması gerekir ve bu paylaşılan
parola, kazanmaya çalıştığımız güvenliğin bir kısmını
ortadan kaldırır.
Bunun yerine, genellikle bir kullanıcı veya sistem parolasının yalnızca
bir kişinin bilgisayarındaki tek kullanıcı
olduğu zaman kullanıldığını görürsünüz.
Bu, Windows, Linux veya MacOS sistemine
erişmek için kullanılacak kullanıcı
parolasından ayrı ve farklı bir paroladır ve bunun yerine kullanıcıya
bu işletim sistemi öncesi ortamda sisteme
erişim izni verir.
Üçüncü tür şifre, depolama veya sabit sürücü
şifresi olarak bilinir.
Bu tür bir parola, modern bilgisayarlara
güvenilir platform modülü veya donanım güvenlik
modülü eklenmeden önce çok popülerdi.
Bu parola, sisteme bağlı bir sabit diske erişimi
kilitler ve sabit diskin okunabilmesi ve işletim
sisteminin yüklenebilmesi için son kullanıcının
parolayı girmesini gerektirir.
Doğru parola girilene kadar kullanıcıyı tüm sistemden kilitleyen
kullanıcı veya sistem parolasının aksine, depolama
veya sabit sürücü parolası kullanıcıyı yalnızca sabit
sürücüden ve bu işletim sistemini bu sürücüden
başlatma yeteneğinden kilitleyecektir.
Ele almamız gereken bir sonraki güvenlik özelliği
güvenli önyükleme olarak bilinir.
Güvenli önyükleme UEFI arayüzünde ve ayarlarında
etkinleştirilebilir ve BIOS tarafından desteklenmez.
Etkinleştirilirse, bilgisayarın işletim sistemine enjekte
edilen bir tür kötü amaçlı kod tarafından ele geçirilmediğinden
emin olmak için Windows veya bu özelliği destekleyen diğer işletim
sistemleri için açılış işlemi sırasında üç farklı doğrulama
gerçekleştirecektir.
Normal bir Windows sistemindeki tam
açılış sürecine bir göz atalım.
Sürecin ilk adımı, bir Windows bilgisayar başlatılırken,
ürün yazılımı önyükleme bileşenleri yüklenirken ve önyükleme yöneticisi
başlatılırken gerçekleşir.
Ardından, Windows yükleyicisi başlayacak,
Windows çekirdeği başlatılacak
ve önyükleme kritik sürücü yüklemeleri
gerçekleşecektir.
Şimdi, herhangi bir ek işletim sistemi başlatma işlemi
gerçekleşecek ve son olarak kullanıcıya Windows oturum
açma ekranı sunulacaktır.
Şimdi, aygıt yazılımı önyükleme bileşenleri güvenli
bir önyükleme sırasında yüklendiğinde, aygıt yazılımı ilk olarak tüm
UV yürütülebilir dosyalarının ve işletim sistemi yükleyicisinin bütünlüğünün bozulmadığını
ve herhangi bir kötü amaçlı yazılım tarafından tehlikeye
atılmadığını doğrulayacaktır.
Bu da yüklemenin güvenli olacağı anlamına gelir.
Ardından, Windows önyükleme bileşenleri yüklemeden
önce her bir bileşenin dijital imzasını
doğrulayacaktır.
Herhangi bir bileşen bu imza kontrolünü geçemezse,
yüklenmeyecek ve son kullanıcıya bir uyarı tetikleyecektir.
Son olarak, önyükleme kritik sürücüleri bilinen
iyi karmalarına karşı kontrol edilecek ve bu kontrolü
geçerlerse, güvenli önyükleme işleminin son parçası
olarak yüklenecekler.
Şimdi, güvenli önyükleme söz konusu olduğunda, bunun işletim
sistemimizin kendisine güvenilebileceğinden ve kök kiti
olarak bilinen özel bir kötü amaçlı yazılım türünün kurbanı olmadığından
emin olmak için kullanılacak bir prosedür olduğunu hatırlamanızı
istiyorum.
Güvenli önyüklemenin çalışması için UEFI sisteminizin
içinde etkinleştirilmesi ve işletim sisteminizin de bunu
desteklemesi gerekir.
BIOS veya UEFI içinde ele almamız gereken son güvenlik
özelliği, anakartınızdaki USB bağlantı noktalarınız için izinleri
ayarlamaktır.
Artık çoğu modern sistem, anakartınızdaki USB bağlantı noktalarını
etkinleştirecek veya devre dışı bırakacak şekilde yapılandırılabilir
ve hatta bazıları USB bağlantı noktalarını kısıtlamanıza izin verir, böylece
belirli USB aygıt türlerini desteklemeyecekler,
ancak diğerlerinin kullanılmasına izin vereceklerdir.
Şimdi, buradaki en büyük endişe normalde
kötü amaçlı yazılım ve veri kaybı olacaktır.
Kötü amaçlı yazılımlar açısından, USB bağlantı noktaları sisteminize
girmeye çalışan biri için harika
bir saldırı yolu sağlayabilir.
Örneğin, bir USB flash belleğe kötü amaçlı yazılım
yüklersem, bunu bir ofis binasının dışındaki bir otoparka
bırakabilirim ve birisi merak edip bunu alır ve makinesine
takarsa, bu daha sonra sistemlerinize kötü
amaçlı yazılım yükleyebilir.
Bu yüzden USB'nin yığın depolama aygıtlarından okuma ve
yazma yeteneğini devre dışı bırakarak bunu önlemek istiyoruz.
Bunu USB'yi tamamen engelleyerek de yapabilirsiniz,
ancak o zaman kulaklık, web kamerası, fare
ve klavye gibi şeyleri kullanamazsınız.
Bunun yerine, bunları yığın depolama aygıtı olarak kullanma
yeteneğini kısıtlamak isteyebiliriz ve bu da USB parmak sürücüleri,
flash sürücüler veya harici sabit sürücüler gibi şeylerin
sisteme bağlanmasını engelleyecektir.
Bu, kötü amaçlı yazılımların sistemimize
girmesini önlememize yardımcı olabilir.
Ancak buna ek olarak, verilerin sistemimizden çıkmasını
önlememize de yardımcı olabilir.
Örneğin, diyelim ki hükümet içinde çok gizli bir
kuruluş için çalışıyorsunuz.
Birinin küçük bir USB bellekle içeri
girip bilgisayara takarak tüm bilgilerinizi indirmesini
ve sonra da bununla ön kapıdan çıkıp
gitmesini istemezsiniz.
Bunu önlemek için, UEFI'nizi bu USB bağlantı noktalarını engelleyecek
veya yığın depolama aygıtları için kullanılmalarını önleyecek şekilde
yapılandırabilirsiniz ve yine başparmak sürücüleri ve harici sabit
sürücüleri kullanma yeteneğini engelleyerek insanların
kritik bilgilerinizle ön kapıdan çıkamamasını
sağlayabilirsiniz.
Unutmayın, güvenlik söz konusu olduğunda BIOS veya
UEFI'nizin size sağlayabileceği üç ana şey vardır.
Bunlardan ilki, sisteminizin farklı bölümlerine farklı erişimleri
kontrol etmek için parola belirleme yeteneğidir.
İkincisi, işletim sisteminizin yüklenmeden önce tehlikeye
atılmadığından emin olmak için güvenli önyüklemeyi etkinleştirme
yeteneğidir.
Üçüncüsü ise kötü amaçlı yazılımların sisteme girmesini veya verilerin sisteminizden
dışarı sızmasını önlemek için anakartınızdaki
USB bağlantı noktalarını kısıtlama
veya devre dışı bırakma yeteneğidir.