Cloud (Bulut) teknolojisi pek çok şeyi daha kolay hale getiriyor. Firma verileri firmanın merkezinde herhangi bir bilgisayarda duracağına ve çalışanlar tarafından korunacağına, dışarıda sanal bir “bulutta” internetin derinliklerinde bulunuyor. Bu durumda firmanın yapması gereken tek şey, hizmeti sunan firmanın bilgisayarlarının iyi işleyip işlemediğini ya da anti virüs yazılımlarının güncel olup olmadığını ve bilgisayarların hızlı internet bağlantısının olup olmadığını kontrol etmek.
Ancak bir bulut sunucusuna verilerinizi verdiğiniz zaman karşınıza bir anda çok sayıda soru çıkıyor. Örneğin “Buluttaki sunucunun firmam için geçerli olan veri koruma kurallarına uyduğunu nereden bilebilirim?” Ya da “sunucunun verileri en etkili ve yeni tekniklerle kayıp ya da saldırılara karşı koruyacağından nasıl emin olabilirim?”
Bilişim teknolojileri uzmanı Tim Pierson da başka bir soruyu gündeme getiriyor: "Eğer kurallarınızın geçerli olduğu bölgenizdeyse, muhtemelen sorun çıkmaz. Ancak verilerinizin kaydedildiği yerde ne tür güvenlik önlemlerinin olduğu önemli?”
Pierson, dışarıdan hackleme yöntemiyle büyük firmaların ağlarının güvenliklerini deniyor, firmaların güvenlikten sorumlu çalışanlarını eğitiyor.
Ona göre, verileri bulut sisteminde kaydeden müşterileri, kayıt yerindeki sunucularda düzenli olarak kontrol yaptırma hakkına sahip: "Yani, demek istediğim bulut hizmeti sunan firmanın bunu ödemek zorunda olduğu. İlk olarak denetçi, sunuculara bakmalı. Ancak benim kafamdaki şey bu görevi bir programın yerine getirmesi. Bu program, yükümlülüklere uyulup uyulmadığını bir nevi yasal olarak kullanılabilir bir biçimde denetler. Programı her çalıştırdığımda verilerimin orada ya da burada bulunduğuna dair bir onay alırım.”
Microsoft'taki açık
Pierson, firmaların ayrıca verilerini kime emanet ettiklerine de dikkat etmeleri gerektiği konusunda uyarıda bulunuyor. Öte yandan sağlam bir geçmişi olan tanınmış sunucularda bile bazı zayıf noktaların ortaya çıkabileceği belirtiliyor. Bilişim teknolojileri güvenliği firması Cirosec'ten Joshua Tiago, şubat ayı ortasında Köln'de düzenlenen Bilişim Teknolojileri Savunma Konferansı'nda bunu gösterdi. Tiago, Microsoft'un bir bulut uygulamasındaki güvenlik açıklarını ortaya koydu.
Tiago, “Microsoft'un her müşteri için sunduğu normal bir hesabı kullandım. Ve bu işlevi amaçlarım doğrultusunda kötüye kullandım” dedi.
Somut olarak ifade etmek gerekirse, söz konusu uygulama pek çok farklı merkezdeki yazılımcıların ortak yazılım projeleri üzerinde çalışabilmesini sağlıyor. Bunun için yazılımı test edebilecek durumda olmalılar. Yani programı Bir bulut serverında çalıştırabilirsiniz. İşte sistemdeki boşluk da burada ortaya çıkıyor. Aslında bunu her bilgisayar kullanıcısı biliyor: Eğer nereden geldiğini bilmiyorsan asla bir programı başlatma!
Tiago, "Microsoft, bir saldırganın bu işlevi üzerine bir kod yazıp sistemi ele geçirmek için kötüye kullanabileceğini hiç düşünmemişti” şeklinde konuştu.
Tiago, sunucuda arka kapı bırakmayı başardı. Dolambaçlı yollardan diğer kullanıcı grupların verilerine girmeyi başardı. Gerçek dünyada örneğin aynı bulut sunucusunda kayıt yeri kiralayan bir başka firmanın verilerine ulaşılması söz konusu olabilirdi.
Profesyonel hacker Tiago, hassas firma verileri söz konusu olduğunda daha temkinli olunmasını tavsiye ediyor: "Hangi verilerin bulut hizmetlerine aktarılmasına hazır olunduğu iyi düşünülmeli. Tabii ki bu firmaya karşı duyulan güvenle alakalı bir durum. Ancak bu çok karışık bir mesele.”
Özetle bulut bilişimde geçerli kural şu: İkilemde kalındığında az her zaman çoktur!
