Bilgi Güvenliği; tek bir çözüm ile mümkün mü?myweb.sabanciuniv.edu/gokaygursoy/files/2011/11/Symantec-GA.pdfBilgiye DayalıModelin Temelleri 13 Sınıflandırma Tehditler ifreleme

Bilgi Güvenliği; …tek bir çözüm ile mümkün mü?

Gökhan AYDINKıdemli Teknoloji Danışmanı

http://www.e-crimecongress.org/turkey/website.asp

Bilgi güvenliği çok mu farklı?

e-Crime Türkiye 2011 2

Tek bir ürünile elde

edilebilecekgüvenlik ileyandakininarasındaki

fark var mı?

3

Bilgi güvenliği göründüğü kadar kolay mı?

e-Crime Türkiye 2011

4

Daha fazla bilgi, daha fazla

yerde, daha fazla noktadan

erişiliyor; hiç olmadığı kadar

Bir de bunun üzerine...


5

Bilgi sadece

sistem odalarındaydı…

…artık her yerde…

…hatta bulutta…

8

…ve birbirine bağlı!


Birbirine bağlı dünyayı yönetmek durumundayız

9

Bulut ServisleriHareketlilik

Zengin MedyaİşO

rta

kla

rı

Çalışanlar

Mü

şte

riler

Toplum

İş Birliği


Çünkü günümüz BT’lerinin kaçınılmazları

• Bilgi her yerde var- Ağ, masaüstü, dizüstü, mobil, bulut

• Bilgi paylaşımı rekabet avantajı sağlıyor…- Ağ olmak bizi bilgiyi paylaşmaya zorluyor

• Çalışanlara her yerden çalışma esnekliği

veriliyor…- Efficiency and green awareness

• Sınırlar artık sınır değil…- Kapılar açık


Mevcut yaklaşımlar çalışmıyor

Daha az

durduruyor

Daha çok

harcıyoruz

Dünya değişiyorsa, biz de değişmeliyiz

12

• Motivasyon: Süreçotomasyonu

• Veri: Merkezi, yapısal

• Altyapı: Fiziksel

• BT Odağı: Sistem görevleri

• Motivasyon: İş birliği ve bilgipaylaşımı ile elde edilençeviklik

• Veri: Dağıtık, yapısal değil

• Altyapı: Sanal, bulut, dışarıdahizmet olarak alınan

• BT Odağı: Bilgi görevleri

Bilgi-Merkezli

Sistem-Merkezli

Bilgiye Dayalı Modelin Temelleri

13

Sınıflandırma SahiplikTehditlerKeşif

Şifreleme

Uyumluluk RaporlamaGözlemleme-

İyileştirmePolitika

Kimlik


14

Peki yagüvenlik?


15

İnsan

Süreç Teknoloji

BİLGİ


Bilgi ve İnsan

OrganizeSuçlular

İyi NiyetliDikkatsizÇalışanlar

KötüNiyetli

Çalışanlar

Problemliİş Süreçleri


17

ASSANGE ETKİSİe-Crime Türkiye 2011

Uygulama

Politikalar

That is a Policy

Sample Text

without any

meaning and just

there to

Illustrates the

Text within a

PowerPoint

Slide.

That is a Policy

Sample Text

without any

meaning and just

there to

Illustrates the

Text within a

PowerPoint

Slide.

That is a Policy

Sample Text

without any

meaning and just

there to

Illustrates the

Text within a

PowerPoint

Slide.

Kontroller

Cobit ISO PCI NERC

HIPPA SOX GLBA FISMA Basel

Teknik

Kontroller

That is a Policy

Sample Text

without any

meaning and just

there to

Illustrates the

Text within a

PowerPoint

Slide.

That is a Policy

Sample Text

without any

meaning and just

there to

Illustrates the

Text within a

PowerPoint

Slide.

That is a Policy

Sample Text

without any

meaning and just

there to

Illustrates the

Text within a

PowerPoint

Slide.

Prosedürel

Kontroller

That is a Policy

Sample Text

without any

meaning and just

there to

Illustrates the

Text within a

PowerPoint

Slide.

That is a Policy

Sample Text

without any

meaning and just

there to

Illustrates the

Text within a

PowerPoint

Slide.

That is a Policy

Sample Text

without any

meaning and just

there to

Illustrates the

Text within a

PowerPoint

Slide.

Varlıklar İnsanlar

Risk

Analizi

Bilgi ve Süreçler

Zorunluluklar

Ölçme

Eşleştirme

Atama Kullanma

Ölçme


19

Anti-spam

DLP

Encryption

Control

Anti-malware

DLP

Control

URL Filtering

Anti-malware

SMTP

HTTP(s)

DMZLAN

Anti-malware

Removable Storage Encryption

Disk Encryption (Laptops)

Application & Device Control

Firewall

Intrusion Prevention

Antivirus & Antispyware

Data Loss Prevention

Host Network Access Control

SEP /NAC

SEE

DLP

SMPBrightmailGateway

Symantec Protection Center• Consolidated Policy Mgmt

• Central Reporting• Single Log-on• Web-based

SMS Exchange

DLP

PGP Universal

DLP

Web Gateway

•Discover•Insight•Protect

DLP Storage

• NetworkMonitor

SMTP,HTTP, IM, FTP, P2P

Employees

Security Ops

VeriSignIdentity

Protection

IT PolicyProcedure ControlsTechnical Controls

Vulnerability ScanningData Controls

Critical Server Protection

IT Policy (Education)

Dashboards

Mobile Security

Bilgi ve Teknoloji


Bilgi güvenliği riskleri nerelerde?

? ?

? ????


Görünürlük

22

Güvenlik Bilgi Yönetimi

• Güvenlik Zekası

• Korelasyon

• Önceliklendirme

• İş Akışı

Ağ, Güvenlik, Uygulama

Logları

Normalize

Mesajlar

Olaylar

Olay Yönetimi

• IDS/IPS, IDM, Firewall, Antivirus

• Policy Compliance

• Vulnerability Assessment

Log Konsolidasyonu

• IDS/IPS, IDM, Firewall, Antivirus

• Policy Compliance

• Vulnerability Assessment

10,000,000lar

100,000ler

100ler

Ne tür önlemler alınmalı?

Hangi bilgi risk altında?

Log ve Olay Yönetimi Karmaşası

Yardım Masa

Hukuk Dept

Uygunluk

Loglar cevherden de öte…


Log yönetimi sistemleri olmazsa olmaz…

Toplama Saklama

Korelasyon Raporlama

Log Yönetimi

Sistemi

23e-Crime Türkiye 2011

Symantec Control Compliance Suite 24

Bütünleşik bilgi koruması

SSL

Ağ

Veri alanlarıKullanıcı

BilgiG

üve

nli

Email

DLP

Hareket Halinde Bilgiyi Koruma

Symantec

PGP

VeriSign


Önceliklendirme gerekli…

Bul Düzelt

Tanımla İndeksle Öğren Bilgilendir Engelle Şifrele

Değerli Bilgi Politikası


…ve buna göre politika tanımlamak

27

Tespit Cevap

Bilgilendir

Doğrula

Yönlendir

Engelle

İçerik Bağlam Aksiyon Bilgilendirme

Kullanıcı

Müdür

Güvenlik

SeviyeYükselt

Kim?

Ne?

Nerede?

Bilgi Koruma Politikası


Politikaları oluştururken dikkat

Neyin korunacağınıbiliyoruz ancak kurallar

tanımlayamayız.

Bilgi Güvenliği İş Birimleri

Politika oluşturmakkarmaşık değil ama içerikkonusunda uzman değiliz!

Aksiyon

Politika

ÖnceliklendirmeÖnemli bilgileri bulmak

zor değil, peki dahasonrası?

Bu yönetilebilir değil. Kullanıcıların yardımına

ihtiyacımız var.

Bilgilerimize dokunmayın, sadece düzeltmeyi

kolaylaştırın.

Bize sonuç vermeyin. Neyinolduğunu ve kimin sorumlu

olduğunu söyleyin.


Çözümler bunun için var…


Bilgiyi Koruma Platformu

• Hassas bilginin akışını keşfet veyetkisiz kullanımı ve yollanmasınıengelle.

Keşfet & Koru:

DLP

• Sabit duran ve hareket halindekihassas verileri şifrele.

Koru & AksiyonAl: Şifreleme

• Hassas bilgiye erişirkenkullanıcıların kimliğe emin ol.

Tanımla & Doğrula:

Kimlik Doğrulama


DLP demek...

DATA LOSS PREVENTION (DLP)

KEŞİF KORUMAGÖZLEM

Sızması nasıl

önlenecek?

Nasıl kullanılıyor?Gizli bilgi nerede

tutuluyor?


MANAGEMANAGE

KEŞİF

• Tarama alanlarının

belirlenmesi

• Tarama işlemi ile hassas

bilginin bulunması, ortak alan

ve son kullanıcı

• Politika şablonlarını kullanarak kurum

özelinde ihtiyaçlara göre politikalargeliştirilmesi

• Raporlama, risk azalımının

incelenmesi

GÖZLEM

1

2 3

KORUMA

4

5

• Bilginin hareketiningözlemlenmesi

• Olaylarının incelenmesi

• Bloklama, silme, şifreleme, karantina alma, kopyalama

• Görsel uyarılar

Temel DLP Adımları...


Gereken her yerde şifreleme

Son Kullanıcı

Bilgisayarının

Şifrelenmesi

Tekn

olo

jile

rH

ed

efl

er

Gö

revle

r

Dosya ve Sunucu

Şifreleme

Email Şifreleme Yönetim

Bilgiyi güvenli tut

Uyumluluk hedeflerini sağla

İşi koru

Maliyetleri kontrol et

Sabit duran bilgiyi

koru

Hareket halindeki bilgiyi

koru

Kullanımdaki bilgiyi

koru


Kimliğe emin olarak bilgi güvenliği

Kullanıcı kim?

Hangi bilgiyeerişime izinvereceğiz?

Bilgiyi nasılgüvenli

saklayacağız?


Sertifikalar ve PKI

PKI servisi, güçlü kimlikdoğrulama, şifreleme ve dijitalimzalama için sertifikalar üretir

eTicaret Finansal Servisler

KurumlarDevlet

Kimlik doğrulama

Paylaşılan bulut yapısında 2-faktör kimlik doğrulama

Tek Kullanımlık Şifre

RISK SCORE

Rules Eng. Behavior Eng.

Risk tabanlı kimlik doğrulamave yazılım tabanlı sahtekarlık

tespiti

Sahtekarlık Tespiti


Bilgi güvenliğinde diğer bir yön

Bilgiyi üzerinde bulunduran sistemler yeterli düzeyde güvenli olmalıdır;

BT Yönetişim, Risk ve Uyumluluk Yönetim Yapısıyol gösterici olacaktır.


Varlık Kontroller

Deliller

BT YRU, bilgi güvenliğinde yol gösterici olacaktır

3rd PARTY EVIDENCE

TEKNİK KONTROLLER

37

• Teknik Standartlardansapmalar otomatik olaraktespit edilir

• Kritik açıklıklar tespitedilir

POLİTİKA

• Hazır politikalar• Politikalar otomatik

olarak kontrollerleilişkilendiriliyor

PROSEDÜREL KONTROLLER

• Politikalar okunduğununve anlandığının ispatıolarak Web tabanlıanketler

• Güvenlik BilincininArtırılması

RAPORLAMA

• Dinamik Web tabanlıraporlar ve görseller

• Bilgi merkezi depodançekilir

İYİLEŞTİRME

• Popüler olay yönetimsistemleri ileentegrasyon

• Riske göre eksiklikleriniyileştirilmesi

BİLGİ KONTROLLERİ

• Kritik bilgi barındıransistemleri tespit etmekiçin Symantec™ Data Loss Prevention ile sıkıentegrasyon

• Bir çok kaynaktangelen deliileri, politikalar ileharmanlama


Temel İstekler

38

En İyi Koruma

Düşük Toplam Sahip Olma

Maliyeti

En Yüksek Performans

Symantec Çözümleri

39

Symantec Protection Suite

Data Loss Prevention Suiteand Encryption

Control Compliance Suite

VeriSign™ Identity and Authentication

IT Management Suite

Bilgi Teknolojisi PolitikalarınınOluşturulup Uygulanması

Altyapının Korunması

Kimlik Doğrulaması

Bilginin Korunması

Sistemlerin Yönetilmesi


En İyi Koruma

En Yüksek Performans

Düşük Toplam Sahip Olma

Maliyeti

Teşekkürler!

[email protected]

Documents

Bilgi Güvenliği; tek bir çözüm ile mümkün mü?myweb.sabanciuniv.edu/gokaygursoy/files/2011/11/Symantec-GA.pdfBilgiye DayalıModelin Temelleri 13 Sınıflandırma Tehditler ifreleme