Değerli Müşterilerimiz;
Bildiğiniz gibi son zamanlarda siber saldırılar giderek artmaktadır. Bu saldırılardan en az etkilenmeniz için yapılması gerekli olan çalışmaları sizler için derledik. Dokümana linkten indirebilirsiniz.
Fiziksel Makinalar
En az 2 adet fiziksel makina kullanılmalı:
1- Uygulama Sunucusu Makinası
2- Veri Sunucusu Makinası
Bu makinalar hiç bir şekilde kurum içi domaine dahil olmamalı, domain kullanıcılarının bu makinalara erişimi mümkün olmamalı.
Sanallaştırma
Uygulama Sunucusu Makinası üzerinde sanallaştırma yapılabilir ve şu sanal makinalar bu Sunucu üzerinde bulundurulabilir:
1- interMEDIA Uygulama Sunucusu
2- interMEDIA Web Uygulamaları
3- interMEDIA Entegrasyon Servisleri
4- Analiz ve Raporlama amaçlı kullanılacak herhangi bir ürün (Power BI, DataZen vs)
İnternet Erişimi
Uygulamaların bulundurulduğu fiziksel sunucu internet erişimine açılabilir.
Veritabanının bulunduğu fiziksel sunucu kesinlikle internet erişimine açık olmamalıdır.
Firewall
Fiziksel Firewall yerine Firewall yazılımları kullanılabilir.
Sanal veya Fiziksel farketmez, her sunucunun önünde mutlaka bir firewall olmalı ve sadece izin verilen trafik içeriye alınmalıdır
Gelen (Inbound) Trafik
Genel uygulamada şu gelen trafiğe belirtilen portlarda izin verilebilir:
1- interMEDIA Uygulama Sunucusu : TCP 9000 – 30000 arası ayarlanacak herhangi bir port
2- interMEDIA Web Uygulamaları : TCP 443 (Web Sunucuna ancak https ile erişilebilmeli)
3- interMEDIA Entegrasyon Servisleri : Bu sunuya hiç bir şekilde dışarıdan trafik gelmemeli. Ancak bu sunucu internete erişebilmeli
4- Analiz ve Raporlama amaçlı kullanılacak herhangi bir ürün (Power BI, DataZen vs) : Kullanılacak ürüne göre hangi porta ihtiyaç varsa sadecec o port açılmalı
SQL Server
1- SQL Server fiziksel bir makina üzerinde bulunmalı
2- Bu makina başka hiçbir amaçla kullanılmamalı
3- Bu makina hiçbir nedenle internet üzerinden doğrudan erişime açık olmamalı
4- SQL Server erişim portu kesinlikle değiltirilmeli ve 13123 gibi kimsenin tahmin edemeyeceği bir port olmalıdır. 1433 portu herkes tarafından en iyi bilinen portlardan birisi, o nedenle bu port kullanılmamalıdır.
SQL Server Veritabanı Yedekleme
SQL Server Veritabanı şu plan dahilinde sürekli olarak yedeklenmelidir :
1- Full Yedek : Günde 1 veya 2 kez .. Sistemin en az kullanımda olduğu saatlerde
2- Diff Yedek : En geç her 4 saatte bir
3- Log Yedek : En geç her 15 dk. bir.. Eğer makina CPU ve disk kapasitesi iyi durumda ise her 5dk bir.
Yedekler local bir diske alınmalı, ancak asenkronize olarak yedek dosyaları bir başka ortama, (Yedek Bulundurma Ortamı)na kopyalanmalıdır. Yedek bulundurma ortamı kesinlikle SQL Serverın bulunduğu fiziksel makinadan farklı bir yer olmalıdır.
Yedek bulundurma için ideal ortam erişim ve dosya güvenliği yüksek olan bir bulut veri depolama servisidir.
Güvenlik İçin Ek Yapılması Gerekenler
Uygulama Sunucusu üzerindeki uygulamaların SQL Servera olan bağlantı bilgileri
- Uygulamalar Windows Service kimlik doğrulaması ile değil, SQL kullanıcı kod ve şifresi kullanarak SQL Server’a bağlanmalılar.
- Uygulamaların SQL Server’a bağlanmada kullanacakları kullanıcı hesabı kısıtlanmalı, bu hesap sadece izin verilen işlemleri yapabilmeli
- SQL Server’a bağlanma bilgilerihiç bir şekilde registry veya bir dosyaya açık text halinde kaydedilmemeli. Bu bilgilerin tamamı mutlaka önce iyi bir şifreleme algoritması ile şifrelenmeli ve ondan sonra yazılmalıdır. Aynı algoritma kullanılarak da bu bilgiler okunduktan sonra deşifre edilerek kullanılmalı ancak kullanıcılar dahil hiç kimse bu bilgileri açık bir şekilde görememeli.
Fiziksel veya Sanal makinalara Remote Desktop ile bağlanma
Eğer makinalara Remote Desktop ile bağlantı yapılacaksa aşağıdaki yapı kurulmalıdır :
- Remote Desktop Bağlantıları için Uygulama Sunucu Makinası üzerine bir Remote Desktop Gateway kurulmalı ve buna ancak https (TCP 443) protokolü ile erişilebilmeli
- Fiziksel veya Sanal makina RDP bağlantıları RDP Gateway üzerinden yapılmalı
- Mutlaka iki aşamalı kimlik doğrulama araçlarından birisi kullanılmalı
- RDP portları mutlaka değiştirilmeli, herkes tarafından ezbere bilinen TPC 3389 kullanılmamalı