Saldırı Tespit ve Önleme
Saldırıları sunucularınıza ulaşmadan ağ trafiğinde yakalayın ve durdurun
İnternetten gelen ve sunucularınız arasında dolaşan trafik, otomatik güncellenen saldırı imzalarıyla ayrı bir cihaz kurmadan, Nesnet bulutunun ağ katmanında incelenir.
Neden şimdi
- Çarşamba sabahı yaygın bir web sunucusu yazılımı için kritik bir açık duyuruldu ve istismar kodu öğleden sonra internette dolaşmaya başladı. Yamayı test edip uygulamanız iki gün sürecek; o iki gün boyunca açığı hedefleyen istekler ağda karşılanmalı.
- Güvenlik duvarınız yalnız hangi portun açık olduğuna bakıyor. 443 portundan gelen bir istek, içinde bir saldırı taşısa da kapıdan geçiyor; isteğin içeriğine bakan ikinci bir katman yok.
- Bir müşterinin güvenlik anketi saldırı tespit ve önleme sistemi kullanıp kullanmadığınızı, olayları ne kadar süre sakladığınızı soruyor. Cevap şu an hayır ve bu ihale buna bağlı.
- Muhasebe sunucusunda tuhaf bir hesap bulundu ve ekip saldırganın diğer sunuculara geçip geçmediğini bilmiyor. Sunucular arasındaki trafiğe bakan bir kayıt olmadan bu sorunun cevabı tahmindir.
- Ayrı bir saldırı önleme cihazı almak; donanım, lisans, imza aboneliği ve yüksek kullanılabilirlik için ikinci bir cihaz demek. Bulutta aynı koruma ağ katmanının parçası olarak gelir; cihazı kurmak, yamalamak ve yedeklemek ekibinizin işi olmaktan çıkar.
Neler değişir
| Bugün | Nesnet ile |
|---|---|
| Güvenlik duvarı izin verdiği portun içinden geçen saldırıyı görmez. | İzin verilen trafiğin içeriği saldırı imzalarıyla incelenir; eşleşen istek uyarılır ya da durdurulur. |
| Kritik bir açık duyurulduğunda yama gelene kadar sistem korumasızdır. | Açığı hedefleyen trafik, imzalar otomatik güncellendikçe ağda yakalanır. |
| İç ağdaki hareket görünmez; ele geçirilen sunucu sessizce yayılır. | Sunucular arası trafik de incelenir, yayılma denemesi olay olarak kaydedilir. |
| Yeni bir güvenlik katmanı, yanlış alarmla işi durdurma korkusu taşır. | Önce yalnız tespit kipinde izlenir, ayarlar yapıldıktan sonra engellemeye geçilir. |
| Ayrı bir cihaz, imza aboneliği ve yedek cihaz bütçesi gerekir. | İnceleme ağ katmanının parçasıdır; ağ geçidi başına aylık bir kalem olarak gelir. |
Bugünden canlıya: nasıl işler
- 1
Koruma görüşmesi
İnternete açık servislerinizi, kritik sunucularınızı ve hangi trafiğin inceleneceğini Nesnet ekibiyle bir görüşmede netleştirirsiniz. Görüşmenin sonunda hangi ağ geçitlerinin korunacağı ve fiyatı belirleyen kalemler bellidir.
- 2
İnceleme yalnız tespit kipinde açılır
Seçilen ağ geçitlerinde ve sunucu gruplarında inceleme önce yalnız tespit kipinde açılır. Trafiğiniz kesilmez, yalnız olaylar kaydedilir.
- 3
Olaylar birlikte değerlendirilir
İlk haftaların olayları önem düzeyine göre incelenir; meşru trafiğinize takılan imzalar hariç tutulur ya da eylemi değiştirilir. Gürültü azaltılır, gerçek tehditler ayrışır.
- 4
Önleme kipine geçiş
Ayarlar oturduğunda kritik ve yüksek önem düzeyindeki imzalar önleme kipine alınır; eşleşen trafik hedefe ulaşmadan durdurulur. Geçiş kural kural, geri dönüş yolu açık tutularak yapılır.
- 5
Sürekli güncel koruma
İmzalar otomatik güncellenir, olaylar merkezi log sistemine akar. Yeni bir servis açtığınızda ya da kritik bir açık duyurulduğunda profiller birlikte gözden geçirilir.
Neler alırsınız
Bilinen saldırıları imzasından tanıyın
Trafik, bilinen saldırı kalıplarını tarif eden imzalarla karşılaştırılır; eşleşmede uyarı üretilir ya da trafik hedefe ulaşmadan engellenir. SQL enjeksiyonu, uzaktan komut çalıştırma ve bilinen yazılım açıklarını hedefleyen istekler bu yolla yakalanır.
Olağan dışı davranışı işaretleyin
İmzası olmayan ama olağan trafikten sapan etkinlik şüpheli önem düzeyiyle bilgi olayı olarak işaretlenir. Henüz adı konmamış bir tehdidin ilk izleri, kesin saldırı olmasa da gözünüzün önüne gelir.
İzleyerek başlayın, hazır olunca durdurun
Kurallar yalnız tespit ya da tespit ve önleme kiplerinden birinde çalışır. Yeni bir ortamda önce yalnız olay kaydedilir, trafiğiniz kesilmez; ayarlar oturunca önleme kipine geçilir ve eşleşen trafik düşürülür.
Saldırıya uygun eylem
İmza başına uyarı, düşürme ya da reddetme eylemi seçilir. Reddetmede bağlantı iki uçta da sıfırlanır, böylece saldırgan da uygulamanız da bağlantının kapandığını hemen anlar ve kaynak boşa beklemez.
Önem düzeyine göre profiller
İmzalar kritik, yüksek, orta, düşük ve şüpheli önem düzeylerine göre seçilir; saldırı türü, CVSS puanı, saldırı hedefi ve etkilenen ürüne göre süzülür. Bir web sunucusu grubuna web saldırıları, bir veritabanı grubuna veritabanı saldırıları uygulanır.
Kendiliğinden güncel imzalar
Yeni imzalar düzenli aralıklarla denetlenir, otomatik güncelleme açık olduğu için indirilip sunuculara ve ağ geçitlerine uygulanır. Bir önceki imza seti de saklanır; yeni bir imza sorun çıkarırsa geri dönülebilir.
Sunucular arası yayılmayı görün
Sunucular arasındaki trafik her sanallaştırma sunucusunda, korunan sunucunun hemen yanında incelenir ve bu inceleme kiracınız için açılabilir. Ele geçirilen bir sunucudan diğerlerine yapılan tarama ve istismar denemeleri olay olarak kaydedilir.
İnternet sınırında koruma
İnternetle aradaki trafik ağ geçidinde, internet sınırı için ayrıca tanımlanmış bir önleme profiliyle incelenir. Dışarıdan gelen tarama, kaba kuvvet ve istismar denemeleri, sunucularınızın işletim sistemine ulaşmadan önce ağın kenarında karşılanır.
Yaması gecikmiş sistemlere zaman kazandırın
Kritik bir açık duyurulduğunda, açığı hedefleyen trafik imza güncellendikten sonra ağda yakalanır. Yamayı test edip uygulayana kadar geçen sürede sunucunuz istismar trafiğine karşı tek başına kalmaz.
Yanlış alarmı tek imzada çözün
Meşru trafiğinize takılan bir imza genel ayarda hariç tutulur ya da eylemi uyarıya çevrilir. Profil içindeki ayar genel ayardan öncelikli olduğu için istisna yalnız o uygulamanın trafiğini etkiler, koruma geri kalan her yerde sürer.
Gürültüyü eşik ve hız filtresiyle azaltın
Eşik filtresi bir imzanın ne sıklıkla olay üreteceğini sınırlar; aynı tarayıcıdan gelen binlerce denemeden yüzlerce satır değil, anlamlı bir özet kalır. Hız filtresi, kısa sürede tekrarlanan eşleşmede kuralın eylemini belirli bir süre için düşürmeye çevirir.
Her olayın tam hikâyesi
Her olay önem düzeyi, saldırı türü ve hedefi, CVE ve CVSS bilgisi, MITRE ATT&CK tekniği ve taktiği, kaynak ve hedef adresi, port, protokol ve uygulanan eylemle kaydedilir. Güvenlik ekibiniz olayı araştırırken eksik parça aramaz.
Olayın paketlerini yakalayın
Sunucular arası incelemede profil bazında paket yakalama açılabilir; olayı tetikleyen paketler PCAP dosyası olarak kaydedilip dışa aktarılır. Bir olayın gerçek saldırı mı yoksa uygulamanızın tuhaf bir isteği mi olduğu, trafiğin kendisine bakılarak anlaşılır.
Kendi uygulamanıza özel imza
Üretici imzalarına ek olarak kurumunuza özel uygulamalar ve yeni ortaya çıkan tehditler için özel imza eklenebilir. Yalnız sizin uygulamanızda bulunan bir açık için de koruma kuralı yazılır.
Uygulama katmanı güvenlik duvarı
Aynı kalemde gelen uygulama katmanı (L7) güvenlik duvarı, trafiği port numarasına değil uygulamanın kendisine göre ayırır. Bir portta beklenen uygulama yerine başka bir protokol konuşuluyorsa kural bunu görür ve durdurur.
Kuralı tam istediğiniz yere uygulayın
Kural kaynak ve hedef grubuna ya da IP adres aralığına göre yazılır ve belirli sunucu gruplarına uygulanır. Giriş, çıkış ya da iki yön seçilir, IPv4 ve IPv6 trafiği ayrı ayrı ele alınabilir.
Güvenlik duvarının arkasında ikinci katman
Sunucular arası incelemenin altında dağıtık güvenlik duvarı bulunur; güvenlik duvarının zaten engellediği trafik incelemeye hiç ulaşmaz. Güvenlik duvarı kapıyı, saldırı tespit ve önleme ise kapıdan geçenin içeriğini denetler.
Olaylar merkezi kayıt sistemine akar
Saldırı olayları syslog ile merkezi log sistemine aktarılır ve diğer güvenlik kayıtlarıyla birlikte saklanır. Bir olayın öncesine ve sonrasına bakmak gerektiğinde kayıtlar tek yerde durur.
Olay raporu ve birlikte değerlendirme
Yakalanan olaylar dönemsel olarak raporlanır ve kritik olaylar Nesnet ekibiyle birlikte değerlendirilir. Yanlış alarm ayarı, profil değişikliği ve önleme kipine geçiş kararları bu görüşmelerde verilir.
Ayrı cihaz kurmadan, ağın içinde
Koruma sanal veri merkezinizin ağ katmanında çalışır; kurup yamalamanız gereken bir güvenlik cihazı yoktur. Yeni bir sunucu açtığınızda, doğru gruba girdiği anda incelemenin kapsamına da girer.
Neden Nesnet
Ayrı cihaz yok, ağın parçası
İnceleme motoru Nesnet bulutunun ağ katmanına yerleşiktir; kurulumu, yaması ve yedeği Nesnet'in işidir. Sunucularınız büyüdükçe koruma da onlarla birlikte yerinde kalır.
Sunucunun hemen yanında inceleme
Sunucular arası trafik her sanallaştırma sunucusunda, korunan sunucunun hemen yanında incelenir. Aynı ağdaki iki sunucu arasındaki hareket de görülür; trafiği merkezi bir cihaza çevirmek gerekmez.
İmzalar kendiliğinden güncel
Saldırı imzalarının otomatik güncellenmesi açıktır ve en güncel imza seti etkin çalışır. Yeni bir açık duyurulduğunda imzayı takip etmek, indirmek ve yüklemek Nesnet'in işidir.
Platformu kuran ekip işletir
Ağ ve güvenlik katmanını aynı Nesnet ekibi kurar ve işletir; olaylar merkezi log sistemine aktarılır. Bir olay ya da yanlış alarm konusunda Nesnet destek ekibi size Türkçe yardımcı olur.
Verileriniz Türkiye'de kalır
Trafik ve olay kayıtları Nesnet'in Equinix İstanbul (Dudullu) ve Türk Telekom Ankara tesislerindeki altyapısında, Türkiye'de işlenir. İnceleme için trafiğiniz yurt dışındaki bir hizmete gönderilmez.
Peşin cihaz yatırımı yerine aylık fatura
Faturalar e-Fatura ya da e-Arşiv biçiminde kesilir. Peşin cihaz yatırımı yerine hizmet ağ geçidi başına aylık faturalanır.
Örnek senaryolar
Kritik açık duyurusu ile yama arasındaki iki gün
Durum
Bir e-ticaret şirketinin kullandığı web sunucusu yazılımında kritik bir uzaktan komut çalıştırma açığı duyuruldu. Yamanın test ortamında denenip canlıya alınması iki gün sürecek.
Sonuç
İmza güncellemesiyle açığı hedefleyen istekler ağ geçidinde yakalanmaya başladı ve kritik imza önleme kipindeydi. Yama planlandığı gibi iki gün sonra uygulandı, arada gelen denemeler olay kaydında görüldü.
Ele geçirilen sunucudan iç ağa tarama
Durum
Bir hizmet şirketinde internete açık bir test sunucusunun parolası tahmin edildi. Saldırgan oradan aynı ağdaki veritabanı sunucusunu taramaya başladı.
Sonuç
Sunucular arası incelemede tarama ve bir istismar denemesi olay olarak kaydedildi, istismar denemesi önleme kipinde düşürüldü. Ekip olay kaydından kaynak sunucuyu buldu, sunucuyu ağdan ayırdı ve parolaları yeniledi.
Yanlış alarmla durmayan muhasebe uygulaması
Durum
Bir üretim şirketinde muhasebe uygulamasının eski bir eklentisi, bir web saldırısı imzasına benzeyen istekler gönderiyor. Önleme kipine geçilirse uygulamanın bir ekranı çalışmayacaktı.
Sonuç
Uygulama ilk haftalarda yalnız tespit kipinde izlendi ve bu imza yalnız o uygulamanın profilinde uyarıya çevrildi. Geri kalan sunucularda aynı imza engellemeye devam ediyor.
Güvenlik anketine kanıt
Durum
Bir yazılım şirketinden, kurumsal bir müşterinin tedarikçi güvenlik anketinde saldırı tespit sistemi ve olay kaydı kanıtı istendi.
Sonuç
Şirket internete açık servislerinin önündeki incelemeyi ve olayların merkezi kayıt sistemine aktarıldığını gösterdi. Dönemsel olay raporu ankete eklendi.
Kim neyi yapar
| Nesnet | Siz |
|---|---|
| Ağ ve güvenlik katmanını, inceleme motorunu ve ağ geçitlerini kurar ve işletir. | Hangi servislerin ve sunucu gruplarının korunacağına karar verirsiniz. |
| İmzaların otomatik güncellenmesini açık tutar, imza sürümlerini izler. | Önleme kipine geçiş zamanını ve kritik uygulamalar için istisnaları onaylarsınız. |
| İnternet sınırı için önleme profilini tanımlar ve güncel tutar. | Bildirilen olayları kendi tarafınızda araştırır, ele geçirilen sunucuları temizlersiniz. |
| Olayları merkezi log sistemine aktarır. | Sunucularınızın işletim sistemi ve uygulama yamalarını uygularsınız; inceleme yamanın yerini tutmaz. |
| Yanlış alarm ayarında ve profil değişikliklerinde sizinle birlikte çalışır. | Güvenlik duvarı kurallarınızı ihtiyaca göre dar tutarsınız. |
Kimler için
İnternete açık sunucuları olan kurumlar
Web sitesi, uzak masaüstü, VPN ya da API sunucusu internete açık olan kurumlar. Bilinen açıkları hedefleyen istekler ve tarama trafiği, sunucunun işletim sistemine ulaşmadan ağ geçidinde yakalanır.
Yaması gecikebilen eski sistemleri olanlar
Üretici desteği biten ya da bakım penceresi aylar sonra açılan uygulamaları çalıştıran ekipler. Bilinen bir açığı istismar etmeye çalışan trafik, yama gelene kadar ağda durdurulabilir.
Sunucular arası yayılmayı görmek isteyenler
Bir sunucusu ele geçirilirse saldırganın diğer sunuculara geçip geçmediğini bilmek isteyen güvenlik ekipleri. Sunucular arasındaki trafik de incelendiği için iç ağdaki hareket olay olarak kaydedilir.
Denetime tabi kurumlar
Saldırı tespit sistemi kullandığını ve olayları kayıt altına aldığını gösterebilmesi gereken finans, sağlık ve e-ticaret şirketleri. Her olay önem düzeyi, CVE numarası ve saldırı tekniğiyle kaydedilir.
Uygun olmayabilir
Sunucunun içindeki zararlı dosyaları, işletim sistemi açıklarını ya da kullanıcı davranışını izleyen bir uç nokta koruması arıyorsanız bu ürün o değildir; saldırı tespit ve önleme ağ trafiğine bakar, dosyaya bakmaz.
Altyapının içi
Hizmet, Nesnet bulutunun ağ ve güvenlik katmanına yerleşik saldırı tespit ve önleme motoruyla çalışır; motor ayrı bir cihaz değil, ağ katmanının kendi parçasıdır. Motor iki noktada çalışır: sunucular arası trafik her hipervizör sunucusunda, sanal sunucunun hemen yanında; internetle aradaki trafik ise ağ geçidinde incelenir. Trafik önce imza tabanlı olarak bilinen saldırı kalıplarıyla karşılaştırılır, ayrıca olağan dışı davranış "şüpheli" önem düzeyiyle işaretlenir. Hangi imzaların hangi trafiğe uygulanacağını profiller belirler: önem düzeyi, saldırı türü, CVSS puanı, saldırı hedefi ve etkilenen ürün. Her kural yalnız tespit ya da tespit ve önleme kipinde çalışır. Aynı kalemde uygulama katmanı (L7) güvenlik duvarı da gelir. Nesnet bu katmanı kendi ekibiyle kurar, imzaları otomatik günceller ve olayları merkezi log sistemine aktarır.
Yapı taşları
- Yazılım tanımlı ağ ve güvenlik duvarı
- ağlar, ağ geçidi, dağıtık ve ağ geçidi güvenlik duvarı
- Saldırı imzası motoru — ağ geçidinde ve sunucular arasında
- imza ve davranış tabanlı saldırı tespit ve önleme
- Sanallaştırma katmanı
- sunucular arası trafiğin, sanal sunucunun yanında incelendiği hipervizör
- Ağ geçidi (edge)
- internet giriş-çıkış trafiğinin incelendiği nokta
- Uygulama katmanı (L7) güvenlik duvarı
- trafiği üreten uygulamaya göre kural
Diğer seçeneklerle karşılaştırma
| Seçenek | Ne zaman doğru seçim |
|---|---|
| Kendi sanal güvenlik cihazınızı kurmak | Ekibiniz belirli bir güvenlik üreticisinin yönetim arayüzüne, kural setine ve raporlarına bağlıysa o üreticinin sanal cihazını kendi ortamınızda çalıştırmak daha doğru olabilir. Bu yolda cihazın boyutlandırılması, lisansı, imza güncellemesi ve trafiğin cihazdan geçecek şekilde yönlendirilmesi size kalır; sunucular arası trafik için ayrıca bir tasarım gerekir. |
| Yalnız güvenlik duvarı | İnternete hiçbir hizmet açmıyor, sunucularınızı yalnız dışarıya çıkış için kullanıyorsanız adres ve port tabanlı bir güvenlik duvarı yeterli olabilir. İçeriye açılan ilk hizmetle birlikte açık porttan gelen trafiğin içeriği de önem kazanır. |
| Web uygulama güvenlik duvarı (WAF) | Korumak istediğiniz şey yalnız bir web uygulamasıysa ve HTTP isteklerinin içeriğine uygulamaya özel kurallar yazmak istiyorsanız WAF daha dar ve derin bir seçimdir. IDS/IPS ise protokolden bağımsız olarak bütün trafiği, sunucular arası trafik dahil, bilinen saldırı imzalarıyla karşılaştırır. |
Teknik özellikler
| Tespit yöntemi | İmza tabanlı; eşleşmede uyarı ya da engelleme |
|---|---|
| Davranış tabanlı tespit | Olağan dışı etkinlik "şüpheli" önem düzeyiyle işaretlenir |
| İnceleme noktaları | Sunucular arası trafik hipervizörde; internet trafiği ağ geçidinde |
| Sunucular arası lisans | Lisanslı; kiracı bazında açılır |
| L7 güvenlik duvarı | Aynı kaleme dahil |
| Kural kipleri | Yalnız tespit · tespit ve önleme |
|---|---|
| İmza eylemleri | Uyarı · düşürme · reddetme (TCP sıfırlama ya da ICMP hata) |
| Yanlış alarm | İmza hariç tutma ya da eylemi değiştirme; profil ayarı öncelikli |
| Eşik / hız filtresi | Olay sıklığını sınırlama; tekrarda eylemi geçici olarak düşürmeye çevirme |
| İmza güncellemesi | Otomatik; varsayılan 20 dakikada bir denetim; iki sürüm tutulur |
|---|---|
| Güncelleme durumu | Otomatik güncelleme açık |
| Profil seçimi | Önem düzeyi (kritik, yüksek, orta, düşük, şüpheli); saldırı türü, CVSS, saldırı hedefi, etkilenen ürün |
| Özel imza | Kuruma özel imza eklenebilir |
| Olay ayrıntıları | Önem, saldırı türü, CVE, CVSS, MITRE ATT&CK, kaynak/hedef, eylem |
|---|---|
| Olay aktarımı | Syslog ile dış log sistemine |
| Paket yakalama | Sunucular arası olaylarda PCAP, dışa aktarılabilir |
| Fiyat birimi | Ağ geçidi (edge) başına |
Bir şey bozulursa
Bir imza meşru trafiğinizi keserse
İlgili imza hariç tutulur ya da eylemi uyarıya çevrilir; gerekirse kural geçici olarak yalnız tespit kipine alınır. Profil içindeki ayar genel ayardan öncelikli olduğu için istisna yalnız o uygulamanın trafiğini etkiler.
Trafik motorun kapasitesini aşarsa
Motorun işleyebileceğinden fazla trafik geldiğinde fazlanın düşürülmesi ya da incelenmeden geçirilmesi, genel ayarda ve kural bazında seçilen bir tercihtir. Bu yüzden saldırı tespit ve önleme, her koşulda her paketi incelediği vaat edilen bir katman olarak değil, güvenlik duvarının arkasındaki ikinci bir savunma katmanı olarak düşünülmelidir.
İmza kaynağına ulaşılamazsa
Motor çalışmak için internet bağlantısına ihtiyaç duymaz ve eldeki imzalarla incelemeyi sürdürür; önceki imza sürümü de elde tutulur. Bağlantı uzun süre gelmezse imza paketi elle indirilip yüklenebilir.
Platformdaki bir sunucu arızalanırsa
Korunan sanal sunucularınız cluster'daki diğer sunucularda otomatik olarak yeniden başlatılır; misafir işletim sistemi yanıt vermezse sanal sunucu yeniden başlatılır. Planlı bakımda sanal sunucular canlı olarak başka sunuculara taşınır, bakım sunucu sunucu yapılır.
Sık sorulan sorular
Fiyatlandırma ve ilk adım
Fiyatlandırma
Hizmet ağ geçidi (edge) başına ücretlendirilir ve aylık faturalanır; saldırı tespit ve önleme ile uygulama katmanı güvenlik duvarı aynı kalemdedir. Fiyatı ağ geçidi sayısı ve seçtiğiniz kalemler belirler; teklifinizi Nesnet ekibi hazırlar.
Fiyatı belirleyenler
- İncelemenin eklendiği ağ geçidi sayısı
- Ağ geçidinin kendisi (güvenlik duvarı ve NAT), katalogda ağ geçidi başına ayrı bir kalemdir
- Sunucular arası trafiğin de incelemeye alınıp alınmadığı
Nasıl başlarsınız
- 1.Formu doldurun ya da 0800 606 1071'i arayın.
- 2.Korunacak ağ geçitleri ve servisler bir görüşmede netleşir; fiyat hazırlanır.
- 3.İnceleme yalnız tespit kipinde açılır, olaylar birlikte değerlendirilir.
Kapıdan geçen trafiğin içine de bakın
İnternete açık servislerinizi ve kritik sunucularınızı Nesnet ekibine anlatın; aynı iş günü içinde dönüş yapılır. İnceleme önce yalnız izleyerek başlar, ayrı bir cihaz kurmadan ağınızın parçası olur.