Güvenlik denetimi nedir?
Güvenlik denetimi (security audit), bir kuruluşun bilgi sistemlerindeki güvenlik kontrollerinin yazılı politikalara, standartlara veya kabul görmüş uygulamalara uygunluğunun sistemli biçimde incelenip kanıtlarla raporlanmasıdır. Amaç eksikleri bulmak ve güvence sağlamaktır.
Denetim çoğu zaman bir kontrol listesi ve kanıt toplama sürecidir: ayarlar okunur, kayıtlar incelenir, kişilerle görüşülür. Sızma testinden farkı, açık sömürmek yerine kontrollerin varlığını ve işleyişini doğrulamasıdır.
Nasıl çalışır?
Genel akış şöyledir:
- Kapsam ve ölçüt belirleme (örneğin ISO 27001 maddeleri veya CIS Benchmark)
- Bilgi ve kanıt toplama: ayar dosyaları, kullanıcı listeleri, yama durumu, günlükler
- Ölçütlerle karşılaştırma ve bulguların derecelendirilmesi
- Rapor ve düzeltici eylem planı
- Takip denetimi
İç denetim kuruluşun kendi ekibince, dış denetim bağımsız bir taraf tarafından yapılır. Bağımsızlık güvenilirliği artırır.
Sunucu ve hosting ortamında
Sunucu denetiminde bakılan tipik konular: açık portlar ve servisler, SSH ayarları (parola girişi, root girişi), kullanıcı ve sudo yetkileri, dosya izinleri, yama düzeyi, günlükleme, yedek ve geri dönüş testleri, TLS ayarları, kontrol paneli yapılandırması. CIS Benchmark gibi sertleştirme kılavuzları hazır ölçüt sunar.
Hosting sağlayıcısı seçerken sağlayıcının hangi bağımsız denetim raporlarına veya sertifikalara sahip olduğunu sormak da bir denetim girdisidir.
Nasıl uygulanır?
- Kapsamı ve ölçütü baştan yazın; “her şey” kapsam değildir.
- Envanter çıkarın: sunucular, uygulamalar, hesaplar, veri türleri.
- Mümkün olan yerde otomatik yapılandırma tarayıcıları ile kanıt toplayın.
- Bulguları risk düzeyine göre sıralayın ve sorumlu ile tarih atayın.
- Düzeltmeleri doğrulayan ikinci bir tur yapın.
- Denetimi bir defalık değil, düzenli döngü olarak planlayın.
Sık yapılan hatalar
- Denetimi yalnızca belge kontrolü sanmak; gerçek ayarlar belgeyle uyuşmayabilir.
- Bulguları raporlayıp kapatmamak.
- Denetçiye gerekli erişim ve belgeyi geç vermek.
- Uyumluluğu güvenlikle eş saymak; uyumlu sistem de ele geçirilebilir.
Sık sorulan sorular
Güvenlik denetimi ile sızma testi arasındaki fark nedir?
Denetim kontrollerin uygunluğunu inceler; sızma testi ise saldırgan gibi davranıp açıkları gerçekten dener. İkisi birbirini tamamlar.
Ne sıklıkla yapılmalı?
Genelde yıllık, ayrıca büyük değişikliklerden sonra. Kritik sistemlerde sürekli otomatik denetim de yapılır.
Küçük bir şirket için gerekli mi?
Ölçeğe göre basitleştirilmiş bir iç kontrol listesi bile (yama, yedek, erişim, günlük) büyük fayda sağlar.
Bu terimin geçtiği rehberler
- auditd ile denetim kaydı: kritik dosya ve komutları izlemeauditd ile Linux sunucuda denetim kaydı tutun: kritik dosya değişikliklerini ve komutları izleyen kurallar yazın, ausearch ve aureport ile kayıtları sorgulayın.
- SELinux ve AppArmor temel kullanımSELinux ve AppArmor temel kullanım: durum kontrolü, enforcing ve complain modları, reddedilen işlemleri okuma, bağlam ve profil düzeltme.
- ModSecurity ve OWASP Core Rule Set kurulumuApache için ModSecurity web uygulama güvenlik duvarını ve OWASP Core Rule Set kurallarını Debian/Ubuntu ile AlmaLinux üzerinde kurun, test edin ve ayarlayın.
İlgili terimler
- Güvenlik duvarı (firewall)Ağ trafiğini kurallara göre izin verip engelleyen yapı.
- Hız sınırlama (rate limiting)Bir kaynaktan belirli sürede gelebilecek istek sayısını sınırlamak.
- Honeypot (bal küpü)Saldırganı çekmek ve davranışını izlemek için kurulan sahte hedef.
- HSTSTarayıcıya siteye yalnızca HTTPS ile bağlanmasını söyleyen başlık.
- IDS / IPSSaldırı tespit (IDS) ve önleme (IPS) sistemleri.
- Let’s EncryptÜcretsiz ve otomatik TLS sertifikası veren sertifika otoritesi.