BİLİŞİM SİSTEMLERİ İÇİN SALDIRI TESPİT VE ENGELLEME YAKLAŞIMLARININ TASARIMI VE GERÇEKLEŞTİRİLMESİ

Abstract

Bilişim dünyasında, kişisel ve kurumsal anlamda önem arz eden dijital bilgilerin saklanması ve gerektiğinde bu bilgilere güvenli ve hızlı bir biçimde tekrar erişilmesi oldukça önemli bir hale gelmiştir. İstenmeyen kişiler tarafından önemli bilgilere erişilmesinin engellenmesi çok önemlidir. Bilgi mahremiyetinin sağlanabilmesi için kurum veya kuruluşlar önemli verilerini güvenli bir şekilde korumak ve önlem almak zorundadırlar. Saldırı tespit ve engelleme sistemleri de bu önlemler arasındadır. Bu tez çalışmasında Saldırı Tespit Sistemleri (STS) ve Saldırı Engelleme Sistemleri (SES) detaylı bir biçimde araştırılmış ve günümüze kadar bu konu ile ilgili yapılan çalışmalar derinlemesine incelenmiştir. Güncel literatür araştırmaları ışığında, bu tez çalışması kapsamında, honeypot temelli sistemler STS yapıları ile birlikte kullanılarak yeni hibrit bir yaklaşım önerilmiştir. Yüksek ve düşük etkileşimli honeypot sistemlerinin avantajlarını birleştiren bu hibrit yaklaşım ile STS yapılarının en büyük dezavantajlarından biri olan yanlış alarm seviyesinin düşürülmesi sağlanmıştır. Geliştirilen honeypot temelli saldırı tespit ve engelleme mimarisinin özellikle VLAN ağlarını da içeren yerel alan ağlarında en az maliyet ve en yüksek performansı sağlayabilecek şekilde kurulabilmesi için özgün bir yazılımsal anahtar tasarımı gerçekleştirilmiş ve böylece merkezi bir kontrol sağlanmıştır. Ayrıca STS'lerin saldırı analizi yaparken 5651 sayılı kanuna uygun olarak kendi log dosyalarının güvenli bir şekilde kaydedilmesi ve yetkisiz erişim ya da değiştirmelere karşı korunmasına yönelik özgün bir sistem geliştirilmiştir. Geliştirilen sistemle adli bilişim sürecinde loglara objektif kanıt niteliği kazandırılmıştır ve log dosyalarının değiştirilmemesi garanti altına alınmıştır. Gerçekleştirilen saldırı tespit ve engelleme sistemi yazılımları, bulut bilişim çevrelerinde kullanılabilecek bir mimari yapı ile geliştirilmiş ve özel bulut ağları üzerinde başarılı bir şekilde uygulanmıştır. Özellikle honeypot sistemler temel alınarak gerçekleştirilen bu STS/SES yapıları, saldırıları paket/tür ve lokasyon bazlı olarak tespit edebildiği için oldukça yararlı; kişi, kurum ve kuruluşların güvenlik ihtiyaçlarına cevap verebilecek nitelik ve kapsamdadır. Gerçekleştirilen uygulamaların kurumsal kampüs ağlarında kullanımı incelenerek farklı konumlandırma yöntemleri araştırılıp uygulanmış ve böylece kurulum, bakım ve yönetim maliyetleri düşürülmüştür. Honeypot sistemler, ağ trafiğinin ve akışının haritalandırılması için STS'ler ile birlikte uygulanarak özellikle kurumsal kampüs ağlarını içeren büyük ağ yapılarında özgün bir güvenlik mimarisi sağlanmıştır.In the IT world, on individual and institutional sense, fast and secure retrieval of stored digital information has become very essential. It's important here to prevent unauthorized access of vital stored information. It is an obligation for institutions and corporates to take precaution for ensuring the privacy of confidential of information. One of the practiced precautions is the Intrusion Detection and Prevention Systems (IDPS). In this thesis, IDPSs have been thoroughly investigated and the literature up-to-date on this topic has been examined. In this study, based on our research investigation, we propose a hybrid approach which combines honeypots and IDPSs. The proposed hybrid approach combines the advantages of high and low interaction honeypot system to overcome the biggest drawback, the false alarms, of IDPS. The developed honeypot-based IDPS architecture enables a central control by a special designed software switch to provide least cost and highest performance in a LAN that deploys VLAN. Besides, a special software is developed for ensuring the log fıles security. This software is adaptable for the Act 5651 in Turkish law and prevents the unauthorized access or change in the log files. The developed system guarantees the integrity of log files so that they can be used as objective evidence for digital forensics process. To verify the usability of the developed system, the system has been successfully tested in a cloud computing environment on a private networks. In particular, honeypot-based system combined with IDPS detects malicious activities based on package, type and location; thus, it is very useful for both individuals and institutions as response for security needs. After testing the developed system, on different location scenarios, it is recommended to apply the developed system for enterprise campus networks using different localization which in turns reduces the installation, maintenance and management costs. Honeypot systems implemented with IDPS and applied for network traffic mapping create a special security architecture for large enterprise campus network and cloud computing environment.