Güvenli İnternet Sitesi

İnternet Ağı ve Güvenli İnternet Sitesi

İnternet ağının Dünya’yı sarmasıyla beraber, bilgiye ulaşmak kolaylaştı. Anlık olarak 4,5 milyar insanın internet ağını kullandığı görülmektedir. Bu rakam dünya nüfusunun yarısından fazlası anlamına gelmekte. İnternet kullanıcıları 2019 yılında günde ortalama 180 dakika internette vakit geçirdiler, kullanıcılar sadece yetişkinleri içerdiğinde günde 340 dakikayı bulmaktadır.

Dünya nüfusu internette geçirdiği zamandan dolayı her gün 15 bin civarında yeni internet sitesi geliştirilmektedir. Şu an internet ağı üzerinde toplam 1 milyar civarında internet sitesi aktif olarak yer almaktadır. Bu kadar büyük bir ağ olduğu için kötü niyetli kişi veya grup sayısı da her geçen gün artmaktadır. Her sistemde mutlaka güvenlik açığı ya da açıkları vardır. İnternet sitelerinin de bilindik açıkları kapatması bu sebepten önemlidir. Kapatılmayan güvenlik açıkları firmaya finansal olarak zarar vermektedir.

Güvenli İnternet Sitesi Nedir?

Güvenli internet sitesi, internet sitesinin tüm siber saldırılara karşı korunması anlamına gelir, internet sitesi yönetiminin bir parçası, aktif kullanıldığı tüm zaman dilimini kapsamaktadır.

Siber saldırılar tüm kuruluşlar için bir tehdittir. Güvenliği göz ardı edilmiş internet sitesi, site sahibine zaman, para ve itibar kaybına sebep olur.

Neden Güvenli İnternet Sitesine İhtiyaç Var?

Siber saldırılardan en az zararla kurtulmak için tüm internet sitelerinin gerekli güvenlik önlemlerini alması gerekir.

İnternet site sahipleri genelde saldırıya uğrayanların büyük ölçekli kurumsal yapılar olduğunu düşünmekteler, ancak günlük olarak 50 bin internet sitesi siber saldırıya maruz kalmaktadır. Saldırılar otomatik yani botlar tarafından yapılmaktadır. Siber suçların %43’ü küçük ölçekli yapılara yapılmakta. Bu da büyük küçük kuruluş demeden herkesin önlem alması gerektiğini göstermektedir. Kötü niyetli kişiler veya gruplar büyük ölçekli yapılardan bilgi hırsızlığı yapar, küçük ölçeklilerden ise finansal hırsızlık.

Siber saldırıya uğrayan küçük bir yapı dakikada ortalama 427$ kayba uğramakta, siber güvenlik maliyeti ise günlük yaklaşık 2$ denk gelmektedir. Bunun anlamı küçük yapılar için bir dakikalık kayıp yaklaşık 10 aylık siber güvenlik maliyetine denktir.

İnternet siteleri hosting firmalarının sunucularında yer almaktadır. Bu sunucuların korunması hosting firmalarının sorumluluğundadır. Hosting sunucularını apartman, internet sitelerini ise daire gibi düşünebiliriz. Hosting firması apartmanın güvenliğinden sorumludur, daire sahibi ise kapısını kapalı tutmalı ve kilitlemelidir. Hem hosting firmasının hem de internet site sahibinin gerekli önlemleri alması gerekir. Bu önlemler hem yazılım hem de donanımsal içerikleri kapsar.

Güvenli İnternet Sitesi Neden Önemlidir?

İnternet’te anlık olarak bulunan 4,5 milyar kullanıcının tek bir ortak noktası vardır, güvenli sistemi tercih edeceklerdir. Çoğu internet sitesine kullanıcı adı ve şifre ile giriş yapılmakta. Bu tip siteler kullanıcıdan çeşitli hassas bilgilerini (ad, soyad, e-posta, kredi kartı vs.) girmelerini bekler. Kullanıcı girdiği bu hassas bilgileri güvendiği internet sitelerine verir. Hassas verileri korumak internet site sahibinin görevidir. Görevi yerine getirmek için en doğru yöntem ise siber güvenlik önlemlerinin alınması ile olur.

Yapılan araştırmalara göre güvenliği ihlal edilmiş ve bilgileri çalınmış bir kullanıcı %65 oranla aynı internet sitesini tercih etmiyor. Buda küçük ölçekli kuruluşlar için büyük zarar demek.

Güvenliği ihlal edilmiş bir internet sitesi aynı zamanda arama motorlarında blackliste de alınabilir. Bu durumda internet sitesinin internet trafiği %98 oranında azalma ihtimali vardır. İnternet sitesi sahipleri arama motoru kötü niyetli bir yazılım bulduğunda bunu kendisine bildirmesi gerektiğini düşünür, işler bu şekilde yürümemektedir. Bir internet sitesi blackliste alındığı zaman internet sitesi; trafiğini, ününü ve parasal olarak zarara uğrar.

Müşteri verileri ihlal edildiği zaman ise sonuçları para cezaları, itibar zedelenmesi hatta verileri çalınan müşteri ile davalık olma ihtimali bile vardır.

Bilinen İnternet Sitesi Güvenlik Açıkları Nelerdir?

İnternet hayatımıza gireli yaklaşık 30 yıl oldu. Önceleri HTML dili ile hazırlanan internet sitelerine zamanla yeni eklentiler geldi. Php, Asp.net, Java gibi sunucu tabanlı dinamik internet site araçları geliştirildi. Javascript ile kullanıcı tabanda geliştirmeye imkan sağlayan diller geldi. Son yıllarda ise klasikleşmiş metotlar bir kenara bırakıldı ve CMS (Content Manager System) yazılımları (wordpress, joomla gibi) ile internet siteleri geliştirilmeye başlandı.

İnternet siteleri yıllar boyunca siber saldırıya maruz kaldılar. Bilinen bu saldırılara karşı çeşitli savunma mekanizmaları geliştirildi. Kötü niyetli kişiler veya gruplar yeni arka kapılar ve yeni yöntemler denemeye devam ediyor. Maruz kalınan belli başlı metotları derledik.

Spam

İnternet sitelerinin form girişleri spam’a maruz kalabilir. Otomatik botlar yardımıyla sitelerin yorum bölümlerini kötü niyetli kişi ya da gruplar ele geçirebilir ve istenmeyen linklere yönlendirme yaparlar. Bu linkler farklı siteler için backlink vermek için olabilir ya da kötü niyetli yazılımlara da yönlenebilir. Spamlar rahatsız edicidir ve internet sitesinin SEO (search engine optimization) değerini düşürür. Daha kötü sonucu da olabilir, oda arama motorlarında blackliste düşmek gibi.

Virüsler ve Kötü Niyetli Yazılımlar (malware)

Kötü niyetli yazılımlar ve virüsler hemen hemen aynı şeyi ifade eder. Kötü niyetli kişi veya grubun internet sitesini bir şekilde ele geçirdiğini ifade eder. Her gün 230 bin kötü niyetli yazılım ortaya çıkmaktadır. Buda kötü niyetli yazılımları bir internet sitesi için en büyük tehdit durumuna getirmektedir. Kötü niyetli yazılımlar işlemci ve hafıza, bot, fidye gibi çeşitleri vardır. Statistica’nın hazırladığı veriler en çok kullanılan yöntemleri içermektedir.

DDOS Attack (Distributed Denial of Service)

DDOS saldırısının amacı hedef internet sitesini kullanılamaz hale getirmek ya da yavaşlatmak içindir. Saldırı botlar üzerinden belli bir süre yapılır. İnternet sitesi bu saldırıya hazırlıklı değil ise itibar ve para kaybına neden olur. İnternet kullanıcıları yavaş bir internet sitesini kullanmak istemezler. DDOS internet siteleri için oldukça bildik bir saldırı türüdür.

SQL Injection

Sitenin açıklarını kullanarak, saldırıyı uygulayan SQL sorgularının içerisine kötü niyetli bir başka sorgu yerleştirmesi (inject) anlamına gelir. Yerleştirilen sorgu yardımıyla internet sitesinin veri tabanına erişir. Hassas verileri üzerinde hırsızlık ya da veri tabanı üzerindeki bilgileri silenebilir. Hassas verilerin gizliliğini bozduğu için sonuçları dava, itibar ve para kaybı şeklinde olabilir.

SQL Injection yazılıma bağlı bir problemdir. Yazılım üzerinde yapılan değişiklik ile sorun giderilir.

Cross-site Scripting (XSS)

Kötü niyetli kişinin kendine ait olmayan internet sitesi üzerinden bir içeriği yayınlaması anlamına gelir. Bunun tehlikesi yayınlanan içeriğin internet kullanıcısının bilgisayarında çalışmaya zorlayabilir. Eğer internet kullanıcısı site yöneticisi ise, siteyi yetkili kullanıcı ile açtığı anlamına gelir, bu da sitenin ele geçirilmesine neden olabilir.

İnternet Sitesi Güvenli Hale Getirme Yöntemleri Nelerdir?

Bir önceki başlıkta internet sitesinin maruz kalacağı saldırılardan bahsettik. İnternet üzerinde 1 milyar aktif internet sitesi olduğunu söylemiştik. Sitelerin hepsi saldırılara maruz kalmakta, bu noktada önlem alanlar hayatına devam ederken hem işini büyütür hem de para kazanmaya devam eder.

Başlık altında internet sitelerinin güvenliği için alınması gereken belli başlı maddeleri sıraladık.

HTTPS Protokolü

HTTPS bir uçtan uca şifreleme protokolüdür. Uçtan uca şifreleme kısaca, sunucu ile kullanıcı arasına herhangi bir müdahale olmaması anlamına gelir. Kullanıcı siteyi tarayıcı üzerinde açtığı zaman aralarında bir bağ oluşur, kullanıcı siteden istekte bulunur, sitede isteğe göre cevap verir. İletişim esnasında kullanıcı adı ve şifre gibi hassas içerikler kullanıldığında, bunların şifrelenmesi gerekir. Şifrelenmediği takdirde bu bilgiler kötü niyetli kişiler tarafından ele geçirilme ihtimali vardır. HTTPS Protokolü, SSL (secure socket layer) sağlayıcılar tarafından elde edilir.

Yazılımın Güncel Olması

Son yıllarda internet siteleri CMS (wordpress, joomla vs.) açık kaynak kodlu yazılımlar ile oluşturulmaktadır. Kötü niyetli kişi ve gruplar CMS üzerindeki yazılım açıklarını çok kısa zaman içerisinde keşfeder ve saldırı metotları geliştirirler. CMS yazılımlarının arkasında büyük ekipler vardır, açıkları kapatmak için belli aralıklar ile yama ve sürümler çıkarırlar. Yazılımınızın güncel olması, önceki sürüm açıklarından kaynaklı saldırılara maruz kalmanızı önler.

Güvenli Bir Host Hizmet Seçimi

Host hizmeti aldığınız firma sunucu üzerinde güvenlik önlemleri alır, bu teoride sizin de güvenlikten yararlanacağınız anlamına gelir. Aldığınız hizmet paylaşımlı bir paket ise alınan güvenliğin bir anlamı olmayabilir. Paylaşımlı host hizmeti, aynı sunucu üzerinde birden fazla internet sitesinin barındırıldığı anlamına gelir. Kötü niyetli kişi bir siteye sızdığı zaman bunun anlamı sizin sitenize de sızabileceğidir. Paylaşımlı host hizmeti fiyat açısından avantajlıdır ancak güvenlik açısından dezavantajları vardır.

Şifre Değiştirme

Kullanıcıların pek çoğu farklı platformlarda aynı şifreyi kullanıyorlar. Kötü niyetli kişi üyeliğinizin olduğu bir platformu ele geçirdiği zaman sizin her yerde kullandığınız şifreyi de ele geçirmiş olur. İnternet sitesi güvenliğinden çok kişisel olarak alınması gereken bir önlemdir. Bu sebepten dolayı sık sık şifre değiştirmek güvenlik açısından önemlidir. Bir şifre yönetim uygulaması kullanarak tespit edilmesi zor şifreler oluşturabilirsiniz.

Kişisel Bilgisayar Güvenliği

Kötü niyetli bazı yazılımlar ftp sunucu giriş bilgilerini çalmak için programlanmıştır. Kullandığınız işletim sisteminin tüm güncelleştirmelerinin yapıldığından emin olun. Bilgisayarınızda mutlaka bir anti-virüs yazılımı yükleyin. Kullanıcılar farkında olmadan kötü niyetli yazılımı bilgisayarında barındırabilirler. Kişisel bilgisayarınızı anti-virüs programları ile belli aralıklarla tarayın. Kendi bilgisayarınızın güvenliğini düşük tutarsanız bu internet sitenizi tehlikeye sokabilir.

İnternet Sitesinin Trafiğini Takip Etmek

İnternet siteniz sizin için bir iş modeline dönüştüğü zaman onu kontrol etmeniz zorlaşır. Yapılan yorumları, yüklenen dosyaları takip etmekte zorlanmaya başlarsınız. Bu durumda size trafiği otomatik olarak takip etmenizi sağlayacak, kötü niyetli yorumları silecek, yüklenen dosyaları takip edecek, internet trafiğinin gerçek kullanıcı mı bot mu olduğunu belirleyebilecek bir araçtan yardım almanız gerekecektir. Bu işi yapan firmalardan ya da CMS kullanıyorsanız eklentiler yardımıyla bu sorunu çözebilirsiniz.

Limitli Kullanıcı Girişi

Siber saldırıların %95’i kullanıcı hatasından kaynaklanmaktadır. Bunun içinde limitli sayıda kişiye internet sitesinin yönetici bilgilerinin verilmesi gerekir. Ne kadar çok kişide bu bilgi olursa, siber saldırı şansı o kadar yüksek olur. İnternet sitesinin gelişimi için danışmanlardan, tasarımcılardan veya yazarlardan yardım isteyebilirsiniz, bu kişilere yetki verirken dikkatli olun, yetkilerin tamamını vermek siber saldırı ihtimalini artırır.

İnternet Sitesinini Yedekleme

Siber saldırı her internet sitesinin başına gelebilir. Kötü niyetli kişiler veya gruplar botlar ile saldırıları düzenlemekte. Her internet sitesi tehdit altında, bundan dolayı içerikleri korumak site sahibinin görevlerinden bir tanesi. Site sahipleri içeriklerini oluşturmak için zamanlarını harcarlar. Düzenli yedek almak içeriklerin korunmasını sağlayan önlemdir. CMS kullanıcıları, çeşitli eklentiler işlerini görebilir.

CMS Ayarlarının Düzenlenmesi

Siber saldırıları botlar ile yaptıklarını söylemiştik. Bu botlar CMS varsayılan ayarlı olan siteleri taramaktadır. Bu şekilde daha geniş bir saldırı ağını yakalamış olurlar. Onlara bu fırsatı vermemek için, dosya erişimi, yorum ayarları, kullanıcı kontrolleri gibi ayarları düzenleyip internet sitesini yayınlarsanız, saldırıyı düzenleyenlerin işlerini zorlaştırmış olursunuz.

Dosya Yükleme İşleminin Sınırlandırılması

Dosya yükleme işlemi her durumda saldırı için risk oluşturmakta, kötü niyetli kişiler tarafından yapıldığı zaman siteniz risk altına girmiş olur. Hazırlanan kötü niyetli bir script sunucuda çalışabilir ya da sizin bilgisayarınızda çalışabilir. Bu durumda siteniz kötü niyetli kişilerin eline geçebilir, kaçınmak için dosya yükleme işlemini tamamen kapatmak en güvenli yoldur.

Sonuç

Bir internet sitesinin tamamen güvende olması mümkün değildir çünkü kötü niyetli kişiler her gün yeni yöntemler keşfetmektedir. Bilindik saldırı yöntemlerini karşılayabilmek ise alınacak en doğru önlemdir. Bu yazımızda hem bilindik tehditleri hem de alınabilecek önlemler üzerinde durduk. İnternet sitesi oluştururken güvenlik öncelikleriniz arasında olmalıdır. Bu şekilde ziyaretçi veya potansiyel müşterilerinizin gözünde itibarınız olur.

Kaynak: