Ağlarda CIA Üçlüsü

CIA üçlüsü, bilgi güvenliğinin temel modelidir. CIA; her güvenlik denetiminin korumayı amaçladığı üç hedef olan Gizlilik, Bütünlük ve Kullanılabilirlik anlamına gelir.

Her güvenlik duvarı kuralı, parola ve yedekleme bu üç hedeften en az birine hizmet eder. Bir denetimi bir CIA hedefiyle ilişkilendirebiliyorsanız, neden var olduğunu anlıyorsunuz demektir. (Not: Buradaki CIA, devlet kurumuyla ilgili değildir.)

Gizlilik, verileri yalnızca yetkili kişilerin okuyabilmesi anlamına gelir. Gizli bilgileri gizli tutarak dinleyenleri ve yetkisiz kullanıcıları engeller.

Gizliliği koruyan ağ araçları arasında şifreleme (verileri yalnızca doğru anahtarın çözebileceği biçimde dönüştürme), güçlü kimlik doğrulama ve erişim denetimleri bulunur. HTTPS üzerinden gezindiğinizde şifreleme, trafiğinizin hat üzerinde izleyen herhangi biri tarafından görülmesine karşı gizliliği korur.

Bütünlük, verilerin doğru ve değiştirilmemiş olması, yani gelenlerin gönderilenlerle tam olarak aynı olması anlamına gelir. Verilerin kurcalanmasına ve kazara bozulmasına karşı koruma sağlar.

Yaygın bir bütünlük aracı özetleme işlemidir: verileri sabit uzunlukta bir parmak izine dönüştüren bir işlevdir. Tek bir bit bile değişse özet değişir ve kurcalama ortaya çıkar. Sayısal imzalar ve sağlama toplamları, verilerin aktarım sırasında değiştirilmediğini kanıtlamak için bu fikri kullanır.

Kullanılabilirlik, sistemlere ve verilere yetkili kullanıcıların ihtiyaç duyduğu zaman erişilebilmesi anlamına gelir. Kusursuz derecede gizli ve doğru bir sistem, çalışmıyorsa işe yaramaz.

Kullanılabilirlik; yedeklilik (yedek yollar ve cihazlar), düzenli yedeklemeler, yük devretme ve bir hizmeti aşırı yükleyerek çevrimdışı bırakmaya çalışan hizmet engelleme saldırılarına karşı savunmalarla korunur.

Üç hedef çoğu zaman birbiriyle çelişir. Yoğun şifreleme ve sıkı erişim denetimleri gizliliği artırır; ancak sistemleri yavaşlatabilir ve kullanılabilirliği azaltabilir. Her şeyi aşırı sıkı biçimde kilitlemek, meşru kullanıcıları zorlayabilir.

İyi güvenlik, her sistemin değerine ve riskine göre doğru dengeyi bulur. Genel kullanıma açık bir web sayfası kullanılabilirliğe; tıbbi kayıtlar ise gizlilik ve bütünlüğe öncelik verir.

Gizlilik; veri ihlalleri, dinleme (trafiği izleme), omuz üzerinden bakma ve çalınan kimlik bilgileri nedeniyle bozulur. Bir ağda saldırgan, şifrelenmemiş trafiği yakalarsa parolaları ve verileri açık metin olarak okuyabilir.

Bu nedenle her yerde şifreleme (HTTPS, VPN'ler, şifrelenmiş Wi-Fi) artık standarttır: yakalanan trafiği okunamaz hale getirerek değerini ortadan kaldırır.

Bütünlüğe; yol üzeri saldırılar (trafiği ele geçirip değiştirme), dosyaları değiştiren kötü amaçlı yazılımlar ve bozulmuş aktarımlar yoluyla saldırılır. Bir saldırgan, banka havalesi tutarını aktarım sırasında değiştirirse bütünlük bozulmuş olur.

Özetler, sayısal imzalar ve ileti kimlik doğrulama kodları bu değişiklikleri algılar; böylece alıcı, verilerin değiştirilmemiş olarak güvenilir olup olmadığını bilir.

Kullanılabilirliğe en doğrudan, hizmet engelleme ve dağıtık hizmet engelleme saldırılarının yoğun trafiğiyle saldırılır; ancak donanım arızası, güç kaybı, fidye yazılımı ve doğal afetler de tehdit oluşturur. Bir hizmeti çevrimdışı bırakan her şey kullanılabilirlik sorunudur.

Savunmalar arasında yedekli sistemler, yük dengeleme, tesis dışı yedeklemeler ve saldırı yoğunluğundaki trafiği kaynakları tüketmeden önce emen veya engelleyen trafik filtreleme bulunur.

İki kavram çoğu zaman bu üçlüye eklenir. Kimlik doğrulama, erişim izni vermeden önce bir kişinin kim olduğunu kanıtlar. İnkâr edememe, bir tarafın daha sonra bir iletiyi gönderdiğini inkâr edememesini sağlar; bu genellikle sayısal imzalarla kanıtlanır.

CIA üçlüsüyle birlikte bunlar, güvenlik uzmanlarının tasarım yaparken hedeflediği amaçları oluşturur; bazen genişletilmiş güvenlik modeli veya AAA ile ilişkili ilkeler olarak adlandırılır.

Herhangi bir denetimi değerlendirirken hangi hedefe hizmet ettiğini sorun. Bir yedekleme kullanılabilirliği korur. Şifreleme gizliliği korur. Bir sağlama toplamı bütünlüğü korur. Bir güvenlik duvarı, saldırıları engelleyerek üçünü de koruyabilir.

Bu çerçeve, belirsiz güvenlik kaygılarını açık sorulara dönüştürür ve her sistem için en önemli unsurları koruyan denetimlere öncelik vermenize yardımcı olur.

CIA üçlüsü, diğer tüm güvenlik konularının anlamlandırıldığı bakış açısıdır. Bölümleme, erişim denetimi, şifreleme ve izleme; gizliliği, bütünlüğü veya kullanılabilirliği korumaya dayanır.

Her güvenlik çözümlemesine üç hedeften hangisinin risk altında olduğunu sorarak başlayın; böylece hem tehdidi hem de ona karşılık gelen savunmayı her zaman anlayabilirsiniz.

CIA üçlüsünü ne kadar kavradığınızı sınayın.

CIA üçlüsü üç güvenlik hedefi tanımlar: Gizlilik (şifreleme yoluyla yalnızca yetkili erişim), Bütünlük (özetleme yoluyla değiştirilmemiş veriler) ve Kullanılabilirlik (yedeklilik yoluyla ihtiyaç duyulduğunda erişilebilir olma). Bu üç hedef birbiriyle ödünleşir; bu nedenle iyi tasarım bunları sisteme göre dengeler. Kimlik doğrulama ve inkâr edememe özelliği modeli genişletir.