Erişim Güvenliği Konu Anlatımı

Erişim güvenliği, bilgi sistemleri güvenliğinin kim, neye, nasıl ulaşabilir sorusuna verdiği cevaptır.

Erişim yalnız sisteme giriş yapmak anlamına gelmez; bir dosyayı okuma, veri tabanındaki kaydı değiştirme, bir uygulamayı çalıştırma, ağ bağlantısı kurma, silme veya yazma gibi farklı işlemleri kapsar.

Erişim kontrolü ise bu taleplere izin verilmesi veya reddedilmesi sürecidir.

Bu tanım hem fiziksel hem mantıksal alanı içerir.

Fiziksel erişim bir binaya, tesise veya güvenli odaya girme hakkıyla ilgilidir.

Mantıksal erişim ise bilgi sistemleri kaynaklarıyla etkileşim kurmayı, bu etkileşimi kimlik tanımlama, kimlik doğrulama ve yetkilendirme üzerinden yönetmeyi anlatır.

Mantıksal erişimin ilk halkası kimlik tanımlamadır.

Bir kişi, program, cihaz veya bilgisayar sisteme kendisini tanıtan bir kimlik bildirir.

Bu kimlik kullanıcı adı, e-posta adresi veya sistem içindeki benzersiz bir hesap adı olabilir.

Kimlik tanımlama tek başına güvenlik sağlamaz; çünkü herkes bir kullanıcı adını bildirebilir.

Bu nedenle ikinci halka kimlik doğrulamadır.

Kimlik doğrulama, bildirilen kimlik iddiasının geçerli olup olmadığını kanıtlar.

Kullanıcı adını söyleyen kişinin gerçekten o kullanıcı olup olmadığını anlamak için parola, PIN, token, akıllı kart, tek kullanımlık parola veya biyometrik özellikler kullanılabilir.

Kimlik tanımlama olmadan doğrulamanın, doğrulama olmadan da kimlik bildiriminin pratik değeri yoktur.

Üçüncü halka yetkilendirmedir.

Bir kullanıcının kimliği doğrulanmış olsa bile bu kullanıcının her bilgiye erişmesi veya her işlemi yapması gerekmez.

Yetkilendirme, öznenin hangi nesne üzerinde hangi erişim hakkına sahip olduğunu belirler.

Burada özne erişmek isteyen kişi, program, cihaz veya bilgisayar olabilir; nesne ise dosya, veri tabanı kaydı, uygulama, bilgisayar ya da ağ kaynağı olabilir.

Okuma, yazma, silme, değiştirme, çalıştırma ve bağlantı kurma gibi ayrıcalıklar bu aşamada anlam kazanır.

Güvenli sistem tasarımında kimlik doğrulama kapıyı açar, yetkilendirme ise içeri girdikten sonra hangi odalara ve hangi işlemlere izin olduğunu belirler.

Kimlik doğrulama yöntemleri kullanılan faktöre göre üç ana grupta düşünülür.

Birinci grup kişinin bildiği bir şeydir; parola, PIN veya güvenlik sorusu buna örnektir.

İkinci grup kişinin sahip olduğu bir şeydir; token, akıllı kart veya tek kullanımlık parola üreten cihaz bu kapsama girer.

Üçüncü grup kişinin olduğu bir şeydir; parmak izi, iris, yüz, ses, yürüyüş veya imza gibi fiziksel ya da davranışsal biyometrik özellikler kullanılır.

Kullanıcı adı ve parola çifti tek faktörlü kimlik doğrulamaya örnektir.

Parolaya ek olarak tek kullanımlık parola istenmesi ise bilgi ve sahiplik faktörlerini birleştirir.

Böylece saldırgan parolayı ele geçirse bile ikinci faktör olmadan erişim sağlayamaz.

Çok faktörlü kimlik doğrulamanın değeri, faktörlerin gerçekten farklı kategorilerden gelmesine bağlıdır.

Aynı parolanın iki yerde sorulması güvenliği katlamaz; bilgi faktörünün yanına sahiplik veya biyometrik faktör eklenmesi gerekir.

Bununla birlikte güçlü doğrulama, kötü yetkilendirmeyi telafi etmez.

Kullanıcının kimliği doğru kanıtlansa bile gereğinden geniş hak verilmişse, hatalı işlem veya kötüye kullanım yine gerçekleşebilir.

Bu nedenle doğrulama ve yetkilendirme birbirini izleyen fakat farklı amaçlara hizmet eden kontrollerdir.

Biyometrik kimlik doğrulama, insanın fiziksel veya davranışsal özelliklerinin ölçülmesine dayanır.

Parmak izi, yüz, retina, iris, el geometrisi ve damar yapısı fiziksel özelliklere; ses, el yazısı, tuş vuruşu, dudak hareketi, yürüyüş tarzı ve yazım ritmi davranışsal özelliklere örnek verilebilir.

Biyometrik sistemlerde önce kişinin özelliği uygun donanımla alınır ve kaydedilir, sonra doğrulama sırasında yeni alınan değer kayıtlı örnekle karşılaştırılır.

Bu sistemlerin güvenlik değeri, kullanılan özelliğin kişiye özgü ve ayırt edici olmasına bağlıdır.

Ancak biyometrik sistemler hatasız değildir.

Yanlış kabul oranı yetkisiz bir kişinin sistem tarafından kabul edilme riskini, yanlış reddetme oranı yetkili kişinin reddedilme riskini gösterir.

Bu iki ölçünün dengesi cihazın güvenlik ve kullanılabilirlik başarısını etkiler.

Erişim kontrol türlerinde iki temel yaklaşım öne çıkar.

Zorunlu erişim kontrolü, erişim kurallarının merkezi olarak ve onaylanmış politikaya göre yönetildiği modeldir.

Kullanıcı veya veri sahibi kendi başına erişim kararını değiştiremez.

Nesnelerin ve öznelerin erişim özellikleri incelenerek karar verilir.

Bu yaklaşım katı ve sağlamdır; özellikle hassas bilgilerin merkezi politikayla korunması gereken ortamlarda anlamlıdır.

İsteğe bağlı erişim kontrolünde ise nesnenin sahibi, nesneye kimin nasıl erişeceğini belirleyebilir ve değiştirebilir.

Bu model esneklik sağlar, fakat yetkilerin devredilmesi veya yanlış paylaşım nedeniyle kötüye kullanım ve hassas bilgi ifşası riski taşıyabilir.

Mantıksal erişim kontrolleri yalnız yazılım ekranındaki izin kutuları değildir.

Politikalar, prosedürler, organizasyon yapısı ve elektronik erişim kontrolleri birlikte çalışır.

Bu kontroller işletim sistemine, uygulamalara, veri tabanlarına, ağ kontrol cihazlarına ve yardımcı programlara dahil edilebilir.

Bir kurum erişim güvenliği kurarken önce bilgi sistemleri kaynaklarının envanterini çıkarmalı, sonra bu kaynakları sınıflandırmalı, gruplandırmalı veya etiketlemeli, ardından erişim kontrol listelerini oluşturmalıdır.

Bu sıra önemlidir; çünkü neyin korunacağı bilinmeden kimlere hangi hakkın verileceği sağlıklı belirlenemez.

Varlık sınıflandırması erişim tasarımının temelidir.

Erişim hakkı verildikten sonra kontrol bitmez.

Yeni kullanıcı açma, parola veya faktör yenileme, görev değişikliğinde yetki revizyonu, ayrılan kullanıcının hesabının kapatılması ve kritik ayrıcalıkların düzenli gözden geçirilmesi erişim yönetiminin yaşam döngüsüdür.

Bu döngü işletilmezse eski çalışan hesapları, unutulmuş servis kullanıcıları veya geçici proje yetkileri kalıcı açıklığa dönüşebilir.

Bu nedenle erişim güvenliği, hesabın açıldığı an kadar hesabın değiştirildiği ve kapatıldığı anları da yönetir.

Mantıksal güvenlik ağ, platform veya işletim sistemi, veri tabanı ve uygulama katmanlarında birlikte uygulanır.

Ağ katmanında bağlantı izni ve uzak erişim kontrolü; platform katmanında kullanıcı hesapları, ayrıcalıklar ve işletim sistemi hakları; veri tabanı katmanında tablo, kayıt veya işlem yetkileri; uygulama katmanında işlev bazlı izinler öne çıkar.

Alt katmanda açık kalan bir hak, üst katmandaki kuralı anlamsızlaştırabilir.

Örneğin uygulamada kullanıcıya silme izni verilmese bile veri tabanına doğrudan geniş yetkiyle bağlanabiliyorsa kontrol delinmiş olur.

Bu nedenle erişim güvenliği katmanlar arası tutarlılık ister.