Varsayılan güvenli yapılandırma, bir sistemin ya da ürünün hiçbir ek ayar yapılmadan kullanıldığında güvenli davranmasını öngörür. Güvenliğin sağlanması için kullanıcının bir kutucuk işaretlemesi, bir kılavuzu okuması ya da bir sıkılaştırma belgesini uygulaması gerekiyorsa ilke karşılanmamış demektir.

İlkenin dayandığı gözlem insan davranışıdır: varsayılan ayarlar büyük çoğunlukla değiştirilmez. Bir ürünün güvenli seçeneği varsayılan yapması, o üründen doğan riskin kurulumların tamamında birden düşmesi anlamına gelir.

Varsayılan Güvenli Yapılandırma Nedir?

Varsayılan güvenli yapılandırma, bir ürünün ilk kurulduğu hâlde en dar erişim, en az açık servis ve en güçlü koruma ayarlarıyla çalışmasını; güvenliği azaltan seçeneklerin ise bilinçli bir tercihle açılmasını öngören ilkedir.

İlke, esnekliği tamamen ortadan kaldırmaz. Kullanıcı ihtiyaç duyduğunda kısıtlamayı gevşetebilir; ancak bu, farkında olarak yapılan bir işlem olmalıdır. Güvenli tarafın varsayılan, gevşek tarafın istisna olması, riskin hangi tarafta biriktiğini belirler.

Tasarımdan Güvenlikle İlişkisi

Tasarımdan güvenlik sistemin nasıl kurgulandığıyla, varsayılan güvenli yapılandırma ise sistemin nasıl teslim edildiğiyle ilgilidir. İkisi birbirini tamamlar: iyi tasarlanmış ama gevşek varsayılanlarla dağıtılan bir ürün, sahada tasarımının vaat ettiği güvenliği sunmaz.

Bu nedenle güvenli varsayılanlar, ürün geliştirme sürecinin sonunda değil gereksinim aşamasında kararlaştırılır. Hangi ayarın varsayılan açık, hangisinin kapalı olacağı bir tasarım kararıdır ve gerekçesi yazılır.

Uygulamada Neye Benzer?

Somut örnekler ilkeyi anlaşılır kılar. Bir veri tabanının kurulumda dış ağa açık olmaması, bir yönetim arayüzünün ilk girişte parola değişikliği zorunlu tutması ya da bir bulut depolama biriminin varsayılan olarak herkese kapalı oluşturulması bu ilkenin uygulanmış hâlleridir.

• Varsayılan parola bulunmaz; ilk kurulumda benzersiz kimlik bilgisi üretilir
• Yönetim arayüzü yalnızca yerel ağdan ya da ayrı yönetim ağından erişilebilir
• Kullanılmayan servisler ve portlar kapalı gelir
• Şifreleme varsayılan olarak açıktır; şifresiz kanallar istisnadır
• Kayıt üretimi ilk kurulumda etkindir
• Eski ve zayıf protokol sürümleri varsayılan olarak devre dışıdır

Neden Bu Kadar Etkili?

Güvenlik olaylarının önemli bir bölümü, gelişmiş tekniklerle değil değiştirilmemiş varsayılan ayarlarla açıklanır. Varsayılan parolayla erişilen bir cihaz, herkese açık bırakılmış bir depolama alanı ya da kapatılmamış bir eski protokol, saldırgan için özel bir yetenek gerektirmez.

Varsayılanın güvenli olması, güvenlik bilgisi olmayan kullanıcıları da korur. Kurulumu yapan kişinin uzman olmadığı küçük kurumlarda bu etki daha da büyüktür; ürün ne kadar güvenli teslim edilirse saha o kadar güvenli olur.

Kurum Tarafında Ne Yapılır?

Ürün tarafındaki varsayılanlar her zaman güvenli olmayabilir. Bu durumda kurum kendi güvenli varsayılanlarını tanımlar: her sistem türü için sıkılaştırılmış bir temel yapılandırma yazılır ve yeni kurulumlar bu temelden başlar.

Temel yapılandırmanın elle uygulanması sürdürülebilir değildir. Yapılandırmanın kod olarak tutulması ve kurulumların otomatik olarak bu tanımdan üretilmesi, hem tutarlılık sağlar hem de sapmaların tespitini mümkün kılar.

Sapma denetimi ilkeyi canlı tutar. Zaman içinde elle yapılan değişiklikler, güncellemeler ya da geçici çözümler yapılandırmayı temelden uzaklaştırır; düzenli karşılaştırma bu kaymayı görünür kılar.

Sık Yapılan Hatalar

İlk hata, güvenli varsayılanı yalnızca üretim ortamına uygulamaktır. Test ortamları hız uğruna gevşek kurulur ve çoğu zaman gerçek veri barındırır; saldırganlar için tercih edilen giriş noktası hâline gelirler.

İkinci hata, kurulum sonrası sıkılaştırmayı bir kereye mahsus yapmaktır. Sürüm yükseltmeleri bazı ayarları varsayılana döndürebilir; yükseltme sonrası doğrulama yapılmadığında kapatılmış bir özellik sessizce yeniden açılabilir.

Bulut Ortamlarında Varsayılanların Önemi

Bulut hizmetlerinde varsayılanların etkisi kat kat büyüktür, çünkü kaynaklar dakikalar içinde ve çoğu zaman otomasyonla oluşturulur. Bir depolama biriminin ya da veri tabanının varsayılan olarak dış erişime açık gelmesi, ortamda yüzlerce kez tekrarlanan bir hata anlamına gelir. Aynı şekilde geniş kapsamlı bir varsayılan rol, oluşturulan her kaynağa fazladan yetki taşır. Bu nedenle bulut ortamlarında güvenli varsayılan, tek tek kaynak ayarından çok hesap düzeyindeki koruma politikalarıyla sağlanır.

Hesap düzeyinde uygulanan koruyucu politikalar, bir yapılandırma yanlış yapılsa bile riskli sonucu engeller. Örneğin depolama birimlerinin genel erişime açılmasının hesap genelinde yasaklanması, tek bir kullanıcı hatasının veri sızıntısına dönüşmesini önler. Bu yaklaşım, kullanıcıyı eğitmeye çalışmak yerine yanlış seçeneği ortadan kaldırır. Bulut güvenlik duruşu yönetimi araçları da bu politikalardan sapmaları sürekli izler.

Şablonlar bu düzenin taşıyıcısıdır. Ekiplerin kendi başlarına kaynak oluşturması yerine, güvenli varsayılanları içeren onaylı şablonlardan üretim yapması, hem hız hem tutarlılık sağlar. Şablonların kendisi de sürüm kontrolünde tutulur ve değişiklikleri incelemeye tabidir. Böylece güvenli varsayılan, bir kez tanımlanıp her yerde uygulanan bir kural hâline gelir.

Üreticiden Beklenenler ve Tedarik Süreci

Kurumlar, satın aldıkları ürünlerden güvenli varsayılan beklemekte giderek daha ısrarlı davranmaktadır. Tedarik sürecinde sorulan sorular arasında varsayılan parola bulunup bulunmadığı, kayıt üretiminin açık gelip gelmediği ve eski protokollerin devre dışı olup olmadığı yer alır. Bu sorular sözleşme öncesinde sorulduğunda, kurulum sonrası sıkılaştırma yükü belirgin biçimde azalır. Ürün seçimi bu nedenle bir güvenlik kararıdır.

Değerlendirmede ürünün sıkılaştırma kılavuzunun varlığı da dikkate alınır. Ancak kılavuzun varlığı, güvenli varsayılanın yerini tutmaz; uygulanması gereken uzun bir kılavuz, aslında ürünün gevşek teslim edildiğini gösterir. İdeal olan, kılavuzun yalnızca özel senaryolar için gerekli olmasıdır. Bu ayrımı tedarik sürecinde açıkça sormak, sonraki yıllarda işletme yükünü düşürür.

Kurulum sonrası doğrulama da tedarik sürecinin parçası sayılmalıdır. Ürün devreye alındıktan sonra beyan edilen varsayılanların gerçekten geçerli olup olmadığı bağımsız olarak sınanır. Sınama sonuçları üçüncü taraf risk yönetimi kayıtlarına işlenir. Böylece tedarikçi beyanı ile saha gerçekliği arasındaki fark izlenebilir hâle gelir.

Privia Security olarak kurumların sistem ve bulut ortamlarındaki varsayılan yapılandırmalarını altyapı ve mimari gözden geçirme kapsamında inceliyor, sapmaları ve riskli varsayılanları raporluyoruz.