Android - Kullanılmış Eski Wi-Fi Ağlarının Kaldırılması

Günlük hayatta birçok kişi ücretsiz kablosuz ağ erişim noktalarına bağlanmaktadır. Örneğin hava alanı ağları, kafe ağları ve benzerleri ağlar. Bu cihazınızda güvenlik açıklarına sebep olur; eğer ki kötü amaçlı bir kişi aynı ağ adıyla bir ağ yayını yapar ve siz bu ağa bağlanırsanız, bu kişi(saldırgan) sizin kişisel verilerinize erişebilir, ağ trafiğinizi inceleyebilir. Bu gibi durumlardan kaçınmak için bu bağlanılan ağların kullanım sonrası kaldırılması gerekmektedir. Bu bağlamda

İlk önce telefonumuzun menüsünden ayarlar kısmına geliyor ve “Wireless & Networks (Kablosuz & Ağlar)” bölümünde bulunan “Wifi” seçeneğine tıklıyoruz.

Bundan sonra açılan ekranda kayıtlı ağlar bulunmaktadır. Unutulmasını istediğimiz ağın üzerine basılı
tutarak aşağıdaki ekrana ulaşıyoruz. Buradan “Forget network (Ağı unut)” seçeneğini seçiyoruz.

iOS Cihazda Wi-Fi Ağlarına Otomatik Olarak Bağlanma ve Bağlanmadan Sor Seçeneklerinin Kapatılması

Bilinen Wi-Fi Ağlarına Otomatik Olarak Yeniden Bağlanmayı Unut

Bu yapılandırma bir iOS cihazın daha önce ilişkili Wi-Fi ağlarını unutmasını sağlar. Ağların güvenliği çok önemlidir ve güvensizliklerine karşı, her kullanımdan sonra unutulmuş olmaları tavsiye edilir.

Kontrolü ve İyileştirmesi için,

1. Ayarlar

2. Wi-Fi

3. Ağlar listesinden aktif bağlı olunan Wi-Fi ağını bulun ve ' i ' ile ifade edilen detay işaretine dokunun.

4. “Bu Ağı Unut” seçeneğine dokunun ve soruya “Unut” cevabını verin.

Not: Bu ağı unut seçeneğinin aktif olabilmesi için, cihazın Wi-Fi ağ sınırlarının içinde olması ve ağa katılabiliyor olması gerekmektedir. Eğer cihaz Wi-Fi ağ aralığında değilse, Wi-Fi ağlarını unutmak için tüm ağ ayarlarını sıfırlamak gerekmektedir. Bu yöntem aktif bir bağlantı sırasında uygulanırsa, mevcut bağlantı da kesilecektir.

Ağlara Bağlanmadan Sor’un Kapatılması

Ağlara Bağlanmadan Sor seçeneği, cihazın mümkün ağlara otomatik olarak bağlanmak için uyarı yolu ile,  kullanıcıdan izin alması uygulamasıdır. Ancak böyle bir izni cihaz kullanıcısının vermesi, bilinen bir ağ adında başka bir ağ ile karşılaşıldığında, henüz güvenilmeyen bir Wi-Fi ağına yanlışlıkla katılma riskini doğurur.

Kontrolü için,

1. Ayarlar 

2. Wi-Fi

3. "Ağlara Bağlanmadan Sor" aktif değil,

İyileştirme için,

1. Ayarlar

2. Wi-Fi

3. "Ağlara Katılmadan Sor"un aktifleştirilmesinin kapatılması  

Bu özellik kapalı olduğunda, mümkün olan ağlara katılmak için cihaz herhangi bir soru sormaz, kullanıcının listeden seçmesi gerekmektedir. Bilinen ağlar bu uygulamada etki dışındadır.

DNS Hijacking(DNS Hırsızlığı)

Konuya DNS’in kısaca tanımıyla başlayacak olursak açılımı Domain Name System olan bu sistemi, bir nevi internetteki IP adreslerini tutan bir defter gibi düşünebilirsiniz. DNS’in görevi www.btyon.com.tr gibi web sitelerinin domain isimlerini IP adreslerine çevirmektir,böylece bilgisayarlar birbiriyle haberleşebilir.

Dns hijacking atağı bir bilgisayarın ayarlarını değiştirerek ya da  kötü niyetli bir saldırganın sahte bir DNS sunucusu oluşturması ile yapılır. Kötü niyetli bir kullanıcı bu atak sayesinde internet bağlantılarını sahte sitelere yönlendirebilir. Bu saldırı yaygın olarak  online alışveriş sitelerinden alışveriş yapan ya da internet bankacılığı hizmetini kullanan kullanıcıları sahte login sayfalarına yönlendirerek kimlik bilgilerini çalmak için yapılmaktadır.

Saldırgan, bilgisayar üzerindeki TCP/IP konfigürasyonunu değiştirerek bilgisayarın sahte bir DNS sunucusunu kullanmasını sağlayabilir ve bu sayede istediği trafiği, istediği başka bir sisteme yönlendirebilir.

Tüm bunların dışında dns hijacking, bazı güvenlik sitelerinde, siteyi varolmayan sunuculara yönlendirerek kullanıcıların, güvenlik yazılımı güncellenirken olabilecek olumsuzluklardan etkilenmemesi için de yapılabilir. Comcast gibi büyük ISP firmaları, kullanıcılar artık varolmayan bir siteye girdiğinde onları kendi web sitelerine yönlendirerek bu yöntemi kullanmaktadır.

Bilgi Güvenliği ve Bilgi Varlıklarının Sahipliği

8.1.2 Varlıkların Sahipliği

Kontrol: Envanterdeki varlıklar sahiplenilmiş olmalıdır.

Uygulama Kılavuzu:

Varlık yaşam döngüsünde, varlıkların etkin yönetimini sağlamak adına varlık sahibi belirlenmelidir. Varlık sahibi kişiler ya da bölümler/birimler olabilir. Varlık sahibi ilgili varlığın mülkiyet haklarına sahip olma zorunluluğu yoktur. Varlık sahibi kısmı olarak varlığa ilişkin sorumlulukları kurum içi organizasyonda yer alan kişilerle paylaşabilir fakat ana sorumluluk varlık sahibinde olacaktır.

Varlık sahipliği belirleme çalışmaları bir süreç olarak değerlendirilmeli ve yeni bir varlık envantere eklendiğinde, değiştirildiğinde, ya da kuruma transfer edildiğinde varlıkların sahipleri atanmalıdır.

Varlık sahibi; varlık yaşam döngüsü süresince varlığın yönetiminden sorumlu olmalıdır.

Bir varlık sahibi aşağıdakileri sağlamalıdır;

·        -Sorumluluğu altında olan varlıkların envantere işlenmesini sağlamak

·       -Varlık türüne göre uygun bir biçimde sınıflandırılması ve korunmasını garanti altına almak

·      -Varlıklara erişim gereksinimleri tanımlamak ve erişim kontrolünü periyodik olarak gözden geçirmek ve gerekli durumlarda önlem almak

·       -Varlıkların imhası ile ilgili gereksinimleri tanımlamalı ve uygun bir biçimde işletildiğini garanti altına almak

Bilgi Güvenliği ve Varlıkların Kabul Edilebilir Kullanımı

8.1.2 Varlıkların Kabul Edilebilir Kullanımı

Kontrol: Bilginin, bilgi ve bilgi işleme araçları ile ilişkilendirilmiş varlıkların kabul edilebilir kullanım kuralları,  tanımlanmış, dokümante edilmiş ve uygulanmış olmalıdır.

Uygulama Kılavuzu:

Kurum çalışanları ve kurumsal varlıklara erişebilen tüm üçüncü taraf çalışanlar/tedarikçiler varlıkların kullanımı ile ilgili bilgi güvenliği gereksinimlerini sağlamak adına gerekli farkındalığıa sahip olmalıdır. Kendi sorumlulukları altında olan bilgi varlıklıklarının üretilmesi, işlenmesi ve depolanmasına ilişkin  sorumlukları yerine getirmelidir.  Varlıklıkların kabul edilebilir kullanım easları belirlenirken, kuruluşun verdiği hizmetler gözönünde bulundurulmalıdır. (Ör: E-posta kullanımı, ağ servislerinin kullanımı, mobil cihazların kullanımı)

Android - Uykuya Dalma Süresinin Kısaltılması

Uyku, cihazınızın kullanımdan sonra kendini kitleyeceği süredir. Uykuya dalma süresini kısa tutmak oldukça fayda sağlar. Uykuya geçmeden cihazlar üzerinde yetkisiz erişim olması mümkündür.

İlk önce telefonumuzun menüsünden ayarlar kısmına geliyor ve “Device (Cihaz)” bölümünde bulunan
“Display (Ekran)” seçeneğine tıklıyoruz.

Bundan sonra karşımıza çıkan ekranda ise “Sleep (Uyku)” seçeneği karşımıza çıkıyor. “Sleep” seçeneğine tıklıyoruz;

Tıkladığımızda karşımıza süreler seçenek olarak çıkıyor. Burada önemli olan süreyi olabildiğince kısa
tutmaktır.

iOS Mobil Cihazlarda Otomatik Kilit ve Veri Silme

Otomatik kilitleme ayarı

Bir cihazın hareketsiz kaldığı anda kilitleniyor olması, saldırı olasılığını azaltır. Burda açıklanan özellik, hareketsiz kalınan süre sonucunda cihazın kilitlendiği dakikayı tanımlamaktadır. Önerilen ayar bu sürenin 2 dakika veya daha az olmasıdır.

Otomatik Kilit sadece ekranı kapatır, parola kilitlemesi sağlamaz. Parola kilitlemesi Parolayla Kilitleme süresinden ayarlanmaktadır.

Kontrolü için,

1. Ayarlar

2. Gener

3. Otomatik Kilit süresinin izlenmesi

İyileştirme,

1. Ayarlar

2. Genel

3. Otomatik Kilit

4. Kilit süresinin 2 dk veya daha az seçilmesi

“Verileri Silme”yi aktifleştirme,

Bu yapılandırma, fazla (10) başarısız parola girişiminden sonra cihazın otomatik olarak içeriğini silmesi özelliğini sağlar. Bu özelliğin etkin olması tavsiye edilir. Çünkü bu kadar fazla başarısız parola girişi, genellikle girişimlerin cihaz sahibinin kontrolü dışında olduğunu göstermektedir. Böyle bir olay için de, saldırgana karşı verilerin siliniyor olması gizliliğin korunması için etkili olacaktır.

Kontrolü için,

1. Ayarlar

2. Genel

3. Parolayla Kitleme

4. Mevcut parolayı girin

5. İleri

6. Verileri Sil’in aktif olması

İyileştirme,

1. Ayarlar

2. Genel

3. Parolayla Kitleme

4. Mevcut parolayı girin

5. İleri

6. Verileri Sil’i aktifleştir

7. Onay

E-Posta Zararlı Yazılımları

Zararlı yazılımın birçok örneğinin e-posta ile bulaştırıldığı bilinmektedir. Günümüzde ise e-posta yerine birçok kişiye web üzerinden zararlı yazılımların daha kolay yayılabildiği aşikardır. Eskiden ise zararlı yazılım içeren dosyalar e-posta ekinde hesaplara dağıtılıp, eke tıklanması halinde zararlı yazılımın indirilmesi işlemi gerçekleşmiş oluyordu.

E-postaların halen zararlı yazılım bulaştırmakta kullanıldıkları görülmektedir. Zararlı kod içeren web sitesi vb. linkler e-posta içerisinde dağıtılıp, daha fazla kişiye temas etmesi ve zararlı koddan etkilenmesi sağlanıyor.

Zararlı yazılımlara karşı önlem olarak antivirüs programlarının kullanılması ve güncellenmesi önemlidir. 

Bilgi Güvenliği Yönetim Sistemi ve Varlık Yönetimi

A-8 Varlık Yönetimi

A 8.1 Varlıkların Sorumluluğu

Hedef: Kurumsal varlıkları belirlemek ve uygun koruma sorumlulukları tanımlamak.

8.1.1 Varlıkların envanteri

Kontrol: Bilgi ve bilgi işleme araçları ile ilişkili varlıklar tanımlanmalı, varlıklara ait bir envanter hazırlanmalı ve sürdürülmelidir.

Uygulama Kılavuzu:

Kurum bünyesinde, bilginin yaşam döngüsü gözönünde bulundurularak bilgi varlıkları tanımlanmalı ve önlemleri dokümante edilmelidir. Bilginin yaşam döngüsü, bilgiyi oluşturma, işleme, depolama, iletimi ve imhasını içermelidir.

Bilgi varlık envanteri, kurum varlıklarını içerecek şekilde güncel olarak tutulmalıdır. Kurum bünyesinde hali hazırda kullanılan varlık entanverleri mevcutsa var olan envanter ile bütünleşik kullanımı fayda sağlayacaktır.

Belirlenen her bir bilgi varlığı için sahiplik ataması ve varlık sınıflandırılması yapılmalıdır. Örnek bilgi varlık envanteri için ISO 27005 ve ISO 27000 standartları referans olarak kullanılabilir.

Drive By Download

Drive By Download, zararlı yazılım içeren bir web sitesini ziyaret edildiğinde zararlı yazılımın kullanıcı bilgisayarına bulaşması durumudur. Yalnızca bir web sitesinde gezinirken ya da bir yazılım yüklemesi durumunda onay verilmesi halinde zararlı yazılım bilgisayara indirilmiş ve arka planda çalışmaya başlamış olacaktır. Drive By Download türü zararlı yazılımların bulaştırılması tamamen kasıtsızca gerçekleşir.

Bu zararlı yazılımlar, tarayıcının, işletim sisteminin ya da bir uygulamanın güvenlik açığından faydalanırlar. İlk etapta indirilen zararlı yazılım kodu ise oldukça küçük bir kısım oluşturur, bu kodun görevi ise uzaktaki bilgisayarla bağlantı kurup kodun geri kalan bölümünü tamamıyla bilgisayara, tablete yada akıllı telefona indirilmesini sağlamaktadır.

Web siteleri, bilgisayarda bulunan güvenlik açıklıklarıyla/zayıflıklarla eşleşecek şekilde alternatif olarak farklı türlerde zararlı yazılım kodu içerirler. Zararlı yazılımların görevi tarayıcıdaki güvenlik zafiyetlerini de açığa çıkarmak da olabilir. Bu tür zararlı yazılımlar, meşru web sitelerine de ilgi çekebilecek linkler aracılığı ile bulaştırılabilirler. Bu tip sosyal medya sitelerine, mail adresleri vb. yönlendirme linklerine tıklandığında, çoktan zararlı yazılım bilgisayara yüklenmeye başlanmış olur.

Bu tür saldırıların önüne geçmek için, zararlı ve tehlikeli web sitelerine (Yetişkin içerik, dosya paylaşım siteleri vb.) giriş yapmaktan kaçınılmalıdır. Internet tarayıcısı ve işletim sistemi güncel sürümü yüklenmeli, güvenilir arama motorları kullanılmalı ve antivirüs programları kullanılmalıdır.

İnsan Kaynakları Güvenliği -İstihdamın Sonlandırılması ve Değiştirilmesi-

7.3 İstihdamın Sonlandırılması ve Değiştirilmesi

Hedef: İstihdamın değiştirilmesi ve sonlandırılması sürecinde, kuruluşun çıkarlarını korumak.

7.3.1 İstihdamın sonlandırılması veya değiştirilmesi sorumlulukları

Kontrol:

İstihdamın sonlandırılması veya değiştirilmesinden sonra geçerliliğini koruyan bilgi güvenliği sorumlulukları ve yükümlülükleri tanımlanmış, çalışanlara ve yüklenicilere bildirilmiş ve uygulamaya zorlanmış olmalıdır.

Uygulama Kılavuzu

İstihdamın sonlandırılması ile birlikte önceden tanımlanmış süre boyunca bilgi güvenliği rol ve sorumlulukları devam etmelidir. Bilgi güvenliği açısından kurum içi pozisyon değişiklikleri de istihdam sonlandırılması olarak değerlendirilmesi fayda sağlayacaktır. İstihdam sonrası bilgi güvenliğinin sağlanması adına, istihdam sonrası rol ve sorumluluklar işe alım sırasında yapılan sözleşmelerle garanti altına alınmalıdır. Erişilen bilginin hassasiyetine göre  anlaşmalara bilgiyi ifşa etmeme süresi tanımlanmalıdır.

Kurumsal ortamda istihdamın sonlandırılmasına ilişkin sorumluluklar genellikle İnsan Kaynakları bölümlerinin işlettiği bir süreç olarak görülmektedir. Bu süreçte istihdamı sonlandırılan personelin çalıştığı bölüm/birim/departman ile koordineli olarak çalışmak faydalı olacaktır. Kurum içinde dış kaynak çalıştırılıyorsa, personelin bağlı olduğu kurum ile sürecin yönetilmesi sağlıklı olacaktır. Gerekli ise istihdam sonlandırılması ve görev değişimlerinde tüm ilgili tarafların örneğin; çalışanlar vemüşterilerin bilgilendirilmesi faydalı olacaktır.