IP kamera nedir diye soranlar ve araştıranlar bu yazıda az da olsa bir fikir sahibi olabilecek ve hangi güvenlik kamera çeşidi alması gerektiğine karar verebilecektir. IP ve kamera sistemlerinin detaylarına girmeden son kullanıcı için basit, teknik detaylara fazlaca inmeden ve anlaşılır bir dil kullandık.

Temel olarak ip ve kamera aslında farklı alanlardaki iki teknoloji diyebiliriz. IP bir haberleşme protokolü ve standardı iken, kamera donanımsal bir cihazdır. Etrafımızda ip protokolünü kullanan birçok cihaz bulabilirsiniz. En basit olarak evimizdeki bilgisayar, elimizdeki telefon, karşımızdaki ip tv bunlardan bazılarıdır. IP (internet protokolü) cihazların birbiri ile haberleşmesinde aynı dili kullanmalarına olanak sağlar. IP kameralar da bu teknoloji ile diğer cihazlarla (bilgisayar, ip tv, v.b.) haberleşebilmektedir. IP kamera içerisinde bulunan ethernet kartı ile bunu sağlamaktadır. Bu kart wireless dediğimiz kablosuz kart da olabilir, UTP bağlantı dediğimiz kablolu kart da olabilir. Yani kablosuz kameralar ile ip kablolu kameralar aynı haberleşme dilini kullanmaktadır. 

IP Kamera mı AHD kameramı ?

IP kamera AHD kamera çeşitlerine göre birçok avantajı mevcut olup, tek dezavantajı fiyatıdır. AHD güvenlik kamera çeşitlerine göre ip kamera daha pahalıdır. Ancak buna rağmen, genişletilebilmesi oldukça basit, bağlantı imkanları kolay (sadece POE için) güvenli kamera sistemleridir. AHD kameralar DVR cihazı kullanmakta olup, DVR cihazının video in girişi kadar bağlanabilmektedir. Bu da en fazla 48′ dir. Ip güvenlik kameraları ise NVR cihazına bağlanmakta ve 256′ kamera sayısına kadar desteklemektedir. IP kameralar çok yüksek çözünürlükte kayıt yapabilmesi nedeniyle özellikle büyük firmalarda tercih edilmektedir. Bütçeniz yeterli ise ip kamera sistemlerinin yeterli değil ise yüksek çözünürlüklü AHD güvenlik kameralarının tercih edilmesi gerekir.

POE IP Kamera Nedir ?

POE; power over ethernet teriminin kısaltmasıdır. Yani ethernet üzerinden elektrik sağlanmasıdır. Bu da standart olarak 802.3af’ nin karşılığıdır. Bu standardı destekleyen ip kameralar POE IP kamera sistemleridir. IP kamera 8 uçlu bakır cat5-6-7 çeşidi kablo ile sisteme bağlanmaktadır. Normal şartlarda ip kamera bu 8 ucun sadece dört adedini kullanmaktadır. Diğer dört adet uç haberleşme için kullanılmamaktadır. IP kameraların güç ihtiyacını sağlamak için kalan 4 uç 12v elektrik ihtiyacının giderilmesi için kullanılmaktadır. POE ip kameralarda bunun için ayrı bir güç kaynağına ihtiyacınız yoktur. POE switch satın alınıp POE ip kamerayı doğrudan POE switch’ e bağladığınızda otomatikman 12v sağlamış olursunuz. Ancak elinizde poe switch yoksa ve ip kamera poe desteklemiyorsa işte bu durumda ayrı güç kaynağı kullanarak ve kalan 4 ucu bağlayarak ip kamera için güç sağlamış olursunuz.

Farklı Güvenlik Kamera Çeşitlerini Aynı Sistemde Kullanabilirmiyim ?

Örneğin elinizde mevcut bir sistem var ve bu sistem AHD yani analog bir güvenli kamera sistemi. Şimdi bu sisteme bir ip kamera takmak isterseniz bunu çeviriciler aracılığı ile yapabilirsiniz. Böylece ip kamerayı DVR cihazına da bağlayabilirsiniz. Bunun dışında eğer elinizde POE switch var ise ama ip kameranız POE değilse yine çevirici kullanarak poe olmayan bir ip kamerayı poe bir switch’ e bağlayabilirsiniz. Bunu özellikle ip kamera fiyatları nın yüksek olduğu durumlarda kullanılabilir. Çünkü çeviriciler 40-50TL arasında iken poe güvenlik kameraları poe olmayan ip kameralardan 200-400TL arasında daha pahalıdır.

Sonuç:

Eğer büyük bir güvenlik kamera sistemi kurmak gerekiyor, bir kampüs veya birden fazla binanın yer aldığı bir alana tek bir sistem kurulacak ise ve yüksek çözünürlükte kayıt yapılmak isteniyor ise ip kamera sistemi tercih edilmelidir. Ancak 3-4 kameranın kurulacağı, çok yüksek çözünürlükler istemeyen durumlarda AHD kamera sistemleri kullanılabilir. Bizler Aydın Bilişim Güvenlik olarak, ip kamera sistemlerini bütçe elverdiği durumlarda tercih edilmesini tavsiye ediyoruz.

Günümüzde internet dünyasında birçok güvenlik zafiyetinden yararlanarak siber saldırı yöntemleri denenmekte ve bunlara karşı önlemler geliştirilmektedir. Aşağıda bu yöntemlerden birçoğunu detaylı olarak bulabilirsiniz. Yazımız teknik yazı olup, bilişim uzmanlarına hitap etmektedir.

Zafiyet Taraması:

Keşif (Reconnaissance), siber saldırı öncesi en önemli safhadır. Bu aşamadaki faaliyetler hedef gözetilmeksizin genel tarama veya belirli bir hedefe yönelik olarak bilgi toplamak amacıyla gerçekleştirilir. Keşif faaliyetlerinin hedef sistem tarafından tespit edilmemesi de çok önemlidir. Keşif safhasında sistemler ve ağlar hakkında IP ve etki alanı (DNS) bilgileri, bilişim sisteminin bileşenleri, ağ yapısı, kullanılan yazılımlar, mevcut hesaplara ait bilgiler ile kurumsal ve kişisel bilgiler hedef alınmaktadır. Bu bilgileri elde etmek amacıyla fiziksel olarak kurum ziyareti, haritalama servisleri (Google Earth, Google Maps Street View vb.) ile kurum lokasyonun incelenmesi, kurumsal resmi internet sitesi ve hizmetleri, arama motorları ile sosyal ağlar etkinlikle kullanılabilmektedir.

Ağ Taramaları:

Ağ taramaları temel olarak sistem yöneticileri tarafından güvenlik testi, ağ bileşenlerinin yönetimi, ağdaki problemlerin tespiti ve çözümü amacıyla kullanılmakla birlikte saldırganlar tarafından hedef organizasyonun ağın topolojisi ve ağdaki servisleri öğrenmek ve muhtemel zafiyetleri tespit etmek amacıyla kullanılmaktadır. Tarama işlemi safhaları, çalışan sistemin (iş istasyonu, sunucu, yönlendirici, anahtarlama cihazı, erişim noktası vb.)bulunması, açık kapı (port) (TCP ve UDP) belirlenmesi, açık kapılardan çalışan servis ve uygulamalar ile bunların sürümlerinin tespit edilmesi, çalışan işletim sisteminin belirlenmesi ile bilinen zafiyetlerin bulunmasını içermektedir. Ağ tarama amacıyla en çok kullanılan araç “Nmap (Zenmap:GrafikAra Yüzü )” isimli araçtır. Bunun yanı sıra Zmap, masscan, Hping gibi araçlarda mevcuttur. Ağda açıklık tarama amacıyla Nessus, OpenVAS, Core Impact, NmapBetikleri ve Metasploit gibi yazılımlar; örün sitesi uygulaması açıklıkları bulmak için ise sqlmap, Acunetix, WebScrab, Appscan gibi yazılımlar kullanılmaktadır.

Parola Saldırıları:

Bilişim sistemlerinde kimlik doğrulama amacıyla kullanılan en yaygın yöntem kullanıcı adı ve parolalardır. Parolaların elde edilmesi için gerçekleştirilen saldırılar genel olarak 2 ana başlık altında toplanmaktadır. “Tahmin Etme” saldırıları farklı kullanıcı adı ve parola kombinasyonları ile deneme yaparak doğru kombinasyonu bulmaya dayanır. Bu yaklaşımda kullanıcı adı ve parola ikilileri doğrudan sistem üzerinde uygulandığından “çevrimiçi” olarak isimlendirilmektedir. Ancak bu denemeler güvenlik mekanizmaları tarafından kolaylıkla tespit edilebilir ve ilgili hesap kilitlenerek zafiyetin önüne geçilir. “Çevrim dışı” olarak adlandırılan “Parola Kırma” yaklaşımında ise parolaların şifrelenmiş hali/özet değerlerini içeren dosyalar üzerinden parolalar elde edilmeye çalışılır. Bunun için parolaların özet değerleri ele geçirildikten sonra çeşitli araçlar ile bu verilerden parolalara ulaşılmaktadır.

İnternet Uygulama Güvenliği:

Günümüzde internet uygulamaları bankalar, e-devlet, sosyal platformlar, kurumsal ortamda sıklıkla kullanılmaktadır. Bu yazılımlarda kurumsal ve kişisel bilgiler,finansal veriler, kullanıcı hesap bilgileri gibi hassas bilgiler işlenmekte ve depolanmaktadır. İnternet uygulamaları yapısı gereği internet veya iç ağ ortamında genele açık olarak hizmet vermekte ve bu durumda yazılımları saldırması kolay hedefler haline getirmektedir. Saldırganlar açısından internet uygulamalarının değerli hedefler olmasının başlıca sebepleri bu yazılımların organizasyon içinde yaygın olması, işletim sistemleri ve ağ servisleri kadar sıkı korunmamaları, özel bir amaca hizmet etmesi için üretilmiş yazılımların yamalarının daha az yapılması, internet yazılımlarının üzerinde çalıştığı tarayıcılarda açıklıklar bulunması ve internet yazılımlarına karşı  gerçekleştirilen siber saldırı yöntemleri diğer bilişim varlıklarına karşı yapılanlara kıyasla daha basit olması gelmektedir.

İnternet uygulamalarının güvenlik açısından temel sorunu kullanıcıların uygulamaya rastgele veri gönderebilmeleridir. Bu sayede parametreler, başlıklar ve kurabiyeler (cookie) ile oynanabilmekte ve istemci tarafı kontroller atlatılabilmektedir. Siber saldırıların büyük kısmı hedef sistemdeki açığa uygun olarak özel olarak hazırlanmış veriler (crafted data) göndermek suretiyle gerçekleştirilmektedir. Bu saldırıların başlıcaları Kod Enjeksiyonu (SQL, OSCommand Injection vb.) , XSS (Cross-Site Scripting) ile kullanıcı kimlik doğrulama ve aktif oturumlara yönelik siber saldırılardır. Vega, sqlmap, Acunetix,AppScan, N-Stalker, Burp Scanner, WebInspect ve w3af gibi açıklık tarama yazılımları ile siber saldırı öncesi hedefteki internet uygulamasında zafiyetler tespit edilmektedir. Daha sonra da TamperData ve Tamper IE gibi tarayıcı eklentileri veya Burp Suite, Zed Attack Proxy ve WebScarab gibi daha profesyonel araçlar ile saldırılar gerçekleştirilmektedir. Kod enjeksiyon siber saldırılarında hedefteki sistem tarafından program komutları olarak yorumlanacak veriler kullanıcı girdisi olarak gönderilerek hedef sistemde istenen işlevler yerine getirilmektedir. SQL Injection saldırılarına karşı alınması gereken tedbirlerin başında kod geliştirme aşamasında“parameterized/prepared statements” ile “stored procedures” kullanılmalı, girdi kontrolü yapılmalı ve farklı karakter setlerine göre sorgularda filtreleme yapılmalıdır. ASP ve PHP gibi uygulamaya doğrudan işletim sistemi komutu gönderebilen diller ile yazılmış uygulamalar da “İşletim Sistemi Komut Enjeksiyonu” saldırısına maruz kalmaktadır.Böylece sunucu üzerinde işletim sistemine haiz fonksiyonlar çalıştırılabilmektedir. Bu siber saldırı yöntemleri ni engellemek için doğrudan işletim sistemi komutlarının çağırılması engellenmeli, işlevler için uygulama programlama arayüzleri (API) kullanılmalı, kabul edilecek girdiler mümkün olduğunca dar bir karakter setinden olacak şekilde önlem alınmalıdır. Çapraz Site Betikleme (Cross-Site Scripting, XSS) HTML kodlarının arasına istemci tabanlı kod gömülmesi yoluyla kullanıcının tarayıcısında istenen istemci tabanlı kodun çalıştırılabilmesidir. Bu siber saldırılar istemci tarafında gerçekleştirilmekte olup sunucu tarafında gerçekleştirilen saldırılara kıyasla daha kolay yapılabilmektedir. Enjeksiyon terminolojisi açısından XSS saldırıları “İnternet İçerik Enjeksiyonu” olarak değerlendirilebilir. XSS ile kullanıcı tarafında istenen kodlar çalıştırılabileceği gibi ayrıca kullanıcının aktif oturumu da ele geçirilebilir. XSS saldırıları ile internet uygulamasından kullanıcı oturumu, kullanıcıya ait hesap ve parola bilgileri, kullanım tarihçesi vb. bilgiler elde edilebilmektedir. XSS siber saldırılarına karşı girdi doğrulama herhangi bir yarar sağlamamakta olup asıl savunma kontekse dayalı çıktı filtreleme yaparak karakterlerin meta karakter ( ^ $ \ . * + ? ( ) [ ] {} > | ) olarak değil veri olarak algılandığından emin olunmalıdır.

Ağ Saldırıları ve Savunma Yöntemleri:

Ağ güvenlik katmanları güvenlik açısından incelendiğinde en zayıf halkanın “Data Link(Katman 2)” katmanı olduğu görülecektir. Bu katmana sızıldığında üst katmanların haberi dahi olmadan genel sistem güvenliği tehlikeye girmektedir.Bu katmana karşı yapılan saldırılar genelde keşif, “Man In the Middle”, ağı dinleme ve servis dışı bırakma saldırılarıdır.

“IP Adres Sahteciliği” işlemi sahte kaynak IP adresi ile IP paketlerinin oluşturulmasıdır.Bu saldırının amacı genelde saldırganın kendisini saklamasıdır. IP Sahteciliği tekniği özellikle Servis Dışı Bırakma (Denial of Service) saldırılarında sıklıkla kullanılmaktadır. Sahte IP bilgisine sahip bir paket alan hedef sistemin cevabı bu sahte adrese döner ve saldırgana doğru herhangi bir trafik oluşmaz. Ancak saldırgan hedef sistem ile aynı alt ağ içinde ise dönen cevabı ağ trafiği üzerinden yakalayabilir. IP sahteciliğine karşı, IP kaynak kontrolü ve Etki Alanı Ayarlama Prokotolü (Domain Host Configuration Protocol-DHCP)Gözetleme (DHCP Snooping) teknikleri kullanılmaktadır. DHCP gözetleme ileIP-MAC eşleşmeleri koordine edilirken, IP kaynak kontrolü ile uç sistemlerin başka bir MAC adresi ile ilişkilendirilmiş IP adresini kullanmaması sağlanır.

Günümüz işletim sistemlerinin bellek zafiyetlerine karşı kullandığı koruyucu yöntemlerden birisi “Adres Alanı Düzen Rassallaştırma (Address Space LayoutRandomization-ASLR)”dır. Bu teknikte saldırganların belirledikleri bellek alanlarına geçiş yapmalarını engellemek amacıyla programın adres alanında bulunan önemli konumları (yığın, öbek, program kütüphaneleri vb.) program her çalıştırıldığında rastgele yer değiştirir. Böylece saldırganın bellek içindeki belirli bir alanı hedef alması ile yığının nerede başlayıp bittiğini bulması zorlaşır. Saldırgan yanlış bir bellek alanı üzerinden kod çalıştırmaya çalıştığında ise program hata verip sonlanır ve böylece sibel saldırı da başarısız bir şekilde sonuçlanacaktır. Veri Yürütme Engellemesi (Data Execution Prevention-DEP), programların sistem belleğini güvenli bir şekilde kullanmasını sağlamak için programları izleyerek güvenlik sağlanmasına yardımcı olur. Eğer bir program, kodu bellekten hatalı bir şekilde çalıştırmayı (yürütme) denerse DEP programı kapatır. DEP, yazılımsal (işletim sistemi destekli) ve/veya donanımsal (Intel Execute Disable(XD) biti, AMD No Execute (NX) biti) olarak sağlanabilir. DEP tekniği MSWindows işletim sistemlerinde “Safe Structured Exception Handler (SafeSEH)”adıyla uygulanmaktadır.

“Return Oriented Programming (ROP)”, DEP, ASLR gibi korumaları atlatarak saldırganların istedikleri kodları çalıştırmasına olanak vere bir siber saldırı yöntem tekniğidir.Saldırgan programda mevcut bir hatadan (bug) faydalanıp “call stack” adındaki veri yapısı üzerinde kontrolü ele geçirir. Bu veri yapısı programın alt rutinlerine ilişkin bilgileri içermektedir. Bu veri yapısı ele geçirildiğinde programın kontrol akışı da ele geçirilir ve saldırganın istediği özel olarak seçilmiş makine komutları belirli bir sırada çalıştırılır. Her komut bir “dönüş komutu (return)” ile sonlanmaktadır. Bu komutlar birbiri ile belirli bir sırada çalıştırıldığında saldırgan daha basit bellek saldırılarını engelleyen ASLR veDEP gibi mekanizmalar var olmasına rağmen istediği işlemlerin yapılmasını sağlamaktadır.

Microsoft Gelişmiş Risk Azaltma Deneyimi Aracı (Enhanced Mitigation Experience Toolkit) DEP, ASLR, Structured Exception Handler Overwrite Protection (SEHOP) gibi güvenlik mekanizmalarını kullanarak bilgisayarda çalışan programların saldırganlar tarafından ele geçirilmesini engellemekte kullanılan bir yazılım kitidir.

Veritabanı Güvenliği:

Kurumsal veri tabanları çeşitli gizlilik ve hassasiyet seviyesinde bilgi içermektedir.Veri tabanındaki verilerin yetkisiz olarak ele geçirilmesi ve/veya değiştirilmesi kurumun işleyişini bozacaktır. Ayrıca veri tabanları bilişim sistemlerinin diğer unsurlarına saldırmak amacıyla da kullanılabilmektedir. Bu sebeplerden ötürü veri tabanı güvenliği son derece önemli bir konudur. Kurumsal veri tabanlarına erişen taraf (kurum çalışanları, işbirliği içinde bulunulan diğer kurumlar vb.) sayısı arttıkça saldırı yüzeyi de genişlemektedir.

Veri tabanı güvenliğinde en başta düzgün yapılandırılmış güvenli ayarlar ile kullanmaya başlamak, güvenlik yamalarının düzenli olarak yüklenmesi, kullanıcı haklarının sürekli denetim altında tutulması ve gereksiz yetkilendirmelerin iptal edilmesi, açıklık tarama araçları ile zafiyet tarama yapılması, veri tabanında gerçekleşen işlemlerin takip edilmesi, verilerin gizlilik ve hassasiyet seviyelerine uygun olarak şifrelenerek depolanması gibi hususlar öne çıkmaktadır. Bunların yanı sıra veri tabanlarını güvenlik duvarı ve diğer erişim denetimi yapan güvenlik mekanizmalarının arkasında konumlandırmak, güçlü şifreleri zorunlu kılmak, gereksiz varsayılan hesapları tamamen kaldırmak, ağo rtamından veri tabanına erişimi kısıtlamak/kontrol etmek ile veri tabanı trafiğini şifrelemek (SSL) gibi önlemler de alınmalıdır.

Alan Adı Sistemi Sunucuları Güvenliği:

Alan Adı Sistemi (Domain Name System), internet alanını bölümlemeye, bölümleri adlandırmaya ve bölümler arası iletişimi düzenlemeye yarayan sistemdir.İnternet ağında birimlerin kendilerine ait bir IP adresi vardır. Ancak kullanım kolaylığından ötürü IP adresleri“www.siteadı.com” formatında kullanılır. DNS sunucuları da internet adreslerinin IP adresi karşılıklarını tutar. DNS sistemi yapısal olarak isim sunucuları ile çözümleyicilerden oluşmaktadır. İsim sunucuları birim IP adreslerine karşılık gelen IP adres bilgilerini tutar. Çözümleyiciler ise DNS istemcileri olarak çalışır ve bu sistemlerde DNS sunucularının adresleri bulunur. Bir DNS istemci bir birimin adına karşılık gelen IP adresini bulmak istediğinde isim sunucuya başvurur, isim sunucu bu isme karşılık gelen adresi eğer varsa kendi veri tabanından, yoksa hiyerarşi içindeki diğer isim sunuculardan öğrenerek istemciye gönderir.

“DNS CacheSnooping” saldırısında bir DNS sunucusunun belleğinde belirli DNS kayıtları aranır ve böylece bu DNS sunucusunun sahibi olan kurumun belirli siteleri ziyaret edip etmediği bilgisi elde edilir. Bu sayede kurum çalışanlarının hangi sitelere ne sıklıkla eriştiği vb. istatistiki bilgiler toplanabilir. Bu bilgiler daha sonra gerçekleştirilebilecek bir saldırıda kurum çalışanlarını içine kötücül yazılım yerleştirilmiş özel olarak hazırlanmış sitelere yönlendirmek amacıyla kullanılabilir. Bu teknik “DNS Recursion” özelliğinin sadece kurumsal IP adresi aralığında çözümleme yapacak şekilde ayarlayarak veya tamamen kullanım dışı bırakılarak engellenebilir.