OS Güçlendirme: Yama, Temel Yapılandırma ve CIS Ölçütleri

OS güçlendirme, gereksiz özellikleri kaldırarak, güvenlik yapılandırmalarını uygulayarak ve sistemi güncel tutarak bir işletim sisteminin saldırı yüzeyini azaltma sürecidir. Yeni kurulmuş bir işletim sistemi varsayılan olarak güvenli değildir; kullanılabilirliğe öncelik verir ve birçok kullanıcının isteyebileceği, ancak kurumsal sunucuların çoğunun ihtiyaç duymadığı hizmetleri ve özellikleri etkinleştirir. Etkinleştirilmiş her hizmet, açık her bağlantı noktası ve her varsayılan kimlik bilgisi saldırganlar için olası bir giriş noktasıdır. Güçlendirme, sistem üretim ortamına alınmadan önce bu giriş noktalarını sistematik olarak kapatır.

Yama yönetimi, güvenlik açıklarını gideren yazılım güncellemelerini belirleme, test etme ve uygulama sürecidir. Yaması uygulanmamış bir sistem, en kolay istismar edilebilen hedeflerden biridir; birçok büyük veri ihlali (Equifax 2017, WannaCry 2017), kuruluşların uygulamadığı bilinen ve zaten yayımlanmış yamalarla giderilmiş güvenlik açıklarından yararlanmıştır. Olgun bir yama yönetimi süreci şunları tanımlar: yama belirleme (sağlayıcı duyurularına ve CVE akışlarına abone olma), kritiklik sınıflandırması (Emergency/Critical/High/Medium), test zaman çizelgeleri (birçok çerçevede kritik yamalar için 48-72 saat içinde) ve dağıtım doğrulaması.

Çalışan her hizmet, olası bir saldırı vektörüdür. OS güçlendirme, bir hizmet denetimiyle başlar: çalışan tüm hizmetleri listeleyin, amaçlarını belirleyin ve sistemin rolü için gerekli olmayanları devre dışı bırakın. Windows Server'da Print Spooler, Remote Registry ve LLMNR gibi roller, bunlara ihtiyaç duymayan sunucularda sıkça devre dışı bırakılır. Linux'ta rpcbind, cups (yazdırma) ve avahi (mDNS) gibi hizmetler tipik adaylardır. İlke şudur: ihtiyacınız yoksa devre dışı bırakın.

Kullanılmayan kurulu yazılımlar gereksiz risk oluşturur. Her paket, potansiyel güvenlik açıkları barındırır; bakımı iyi yapılan yazılımlarda bile CVE'ler bulunabilir. OS güçlendirme şunları kapsar: uygulamaların gerektirmediği dil çalışma ortamlarını (web sunucularında Python, Perl, Ruby) kaldırma, geliştirme araçlarını (üretim sistemlerindeki derleyiciler ve hata ayıklayıcılar) kaldırma ve OS imajlarıyla birlikte gelen varsayılan uygulama paketlerini (FTP sunucuları, telnet istemcileri, SNMP aracıları) kaldırma. Aynı nedenle kapsül imajlarında minimal temel imajlar (Alpine, scratch, distroless) kullanılmalıdır.

Bilinen kullanıcı adlarına ve parolalara sahip varsayılan hesaplar, saldırganların ilk denediği şeyler arasındadır. Sağlamlaştırma adımları şunlardır: yerleşik Administrator hesabını devre dışı bırakmak (Windows) ve devre dışı bırakmak mümkün değilse hesabı yeniden adlandırmak; root hesabını yeniden adlandırmak veya root SSH oturum açmasını kısıtlamak (Linux); cihazlar, veritabanları ve uygulamalar üretim ortamına alınmadan önce tüm varsayılan parolaları değiştirmek; konuk hesaplarını kaldırmak ve etkileşimli oturum açma gerektirmeyen hizmet hesaplarını devre dışı bırakmak. Nessus gibi bir tarama aracı, varsayılan kimlik bilgilerini kritik bulgular olarak işaretler.

Güvenli dosya sistemi izinleri, OS üzerinde en az ayrıcalık ilkesini uygular. Web sunucusu işlemlerinin, hizmet verdikleri dizinlere yazma erişimi olmamalıdır. Uygulama hesaplarının, kimlik bilgilerini içeren yapılandırma dosyalarına okuma erişimi olmamalıdır. Linux üzerinde setuid ve setgid ikilileri denetlenmelidir; çünkü bunları kimin çalıştırdığından bağımsız olarak yükseltilmiş ayrıcalıklarla çalışırlar. Windows üzerinde NTFS izinleri ve DACL denetimi, hassas dizinlere (SAM kovanı, gölge kopyalar ve kimlik bilgisi depoları) yalnızca yetkili işlemlerin erişebilmesini sağlar.

CIS Benchmark'ları, belirli işletim sistemleri, uygulamalar ve bulut platformları için topluluk tarafından geliştirilen ücretsiz sağlamlaştırma kılavuzlarıdır. Her benchmark; gerekçeler, düzeltme adımları ve denetim komutlarıyla birlikte yüzlerce özel yapılandırma önerisi içerir. CIS Benchmark'ları iki profil düzeyi kullanır: Düzey 1 — işlevselliği kısıtlamayan, temel ve geniş ölçüde uygulanabilir yapılandırmalar; Düzey 2 — kullanılabilirliği etkileyebilecek, yüksek güvenlikli ortamlar için gelişmiş yapılandırmalar. Windows Server, Ubuntu/RHEL, macOS, Docker, Kubernetes, AWS, Azure, GCP, tarayıcılar ve veritabanları için benchmark'lar bulunmaktadır.

Bir güvenlik temeli, belirli bir rol kategorisindeki her sistemin karşılaması gereken, belgelenmiş bir yapılandırma ayarları kümesidir. Temeller Windows üzerinde Group Policy Objects (GPOs), Linux üzerinde ise Ansible playbook'ları, Chef cookbook'ları veya Puppet bildirimleri aracılığıyla uygulanır. Yapılandırma yönetimi araçları sapma algılamayı mümkün kılar: Bir sistem onaylı temelden saparsa (örneğin bir hizmet yeniden etkinleştirilirse), otomatik uyarılar ve otomatik düzeltme sistemi yeniden uyumluluk durumuna getirebilir. NIST SP 800-128, federal sistemler için güvenlik odaklı yapılandırma yönetimi konusunda rehberlik sağlar.

Sağlamlaştırma yalnızca önlemeyle ilgili değildir — günlük tutma ve izleme de aynı derecede önemlidir. Şunları kaydetmek için denetim politikalarını yapılandırın: kimlik doğrulama olayları (başarılı ve başarısız), ayrıcalık yükseltme, nesne erişimi (hassas dosyaların okunması), işlem oluşturma (komut satırı bağımsız değişkenleriyle birlikte) ve ağ bağlantısı olayları. Yerel saldırganların yönetici haklarıyla olay günlüklerini temizleyerek izlerini kapatamaması için günlükler, gerçeğe yakın zamanlı olarak merkezi bir SIEM'e iletilmelidir. Çoğu uyumluluk çerçevesine göre günlükler en az 12 ay saklanmalıdır.

Sağlamlaştırma benchmark'larının her sistemde elle doğrulanması, büyük ölçekte uygulanabilir değildir. Uyumluluk tarama araçları bu denetimi otomatikleştirir. OpenSCAP (açık kaynak), SCAP içeriğini Linux sistemlerine uygular ve başarılı, başarısız ve uygulanamaz denetimleri gösteren HTML raporları oluşturur. Nessus, CIS benchmark politikalarını içerir. Microsoft Security Compliance Toolkit, Windows sistemlerini Microsoft temellerine göre değerlendirir. Bu araçlar düzenli bir takvimle (haftalık veya aylık) çalıştırılır ve sapmalar, değişiklik yönetimi sisteminde düzeltme kayıtlarını tetikler.

Windows etki alanlarında Group Policy Objects (GPOs), güvenlik temellerini büyük ölçekte uygulamak ve zorunlu kılmak için kullanılan birincil mekanizmadır. Güvenlik şablonları (önceden oluşturulmuş veya özel .inf dosyaları), yüzlerce ayarı aynı anda yapılandırmak üzere GPO'lara aktarılabilir: hesap politikası, denetim politikası, kullanıcı hakları ataması, güvenlik seçenekleri ve kayıt defteri değerleri. Security Configuration and Analysis ek bileşeni ile secedit komut satırı aracı, geçerli ayarları tanımlanmış bir şablonla karşılaştırır ve uyumluluk raporları oluşturur. GPO'lar başlangıçta ve düzenli aralıklarla uygulanarak temelden sapmaların otomatik olarak düzeltilmesini sağlar.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: OS sağlamlaştırma, hizmetleri devre dışı bırakarak, yazılımları kaldırarak, hesapları güvence altına alarak ve en az ayrıcalık izinlerini uygulayarak saldırı yüzeyini azaltır; yama yönetimi, önem derecesine dayalı SLA'larla bilinen güvenlik açıklarını kapatır; CIS Benchmark'ları ise otomatik uyumluluk tarama araçları aracılığıyla uygulanan Düzey 1 (temel) ve Düzey 2 (gelişmiş) yapılandırma rehberliği sağlar. Sırada Mobile Device Management ve BYOD politikalarını inceleyeceğiz.