Saldırı yüzeyi ve bir sıkılaştırma temeli

Bir bilgisayarı sıkılaştırmak, onu kırılmaz hale getirmek anlamına gelmez. Kimsenin kullanmadığı kapı ve pencereleri kaldırmak anlamına gelir; böylece kalanları izlemek daha kolay olur. Bu kurs, tek bir kişinin kullandığı tek bir Mac için bu süreci adım adım anlatıyor: sunucu filosu yok, BT departmanı yok, sadece herkesin kendi başına yapabileceği ayarlar ve kontroller.

"Saldırı yüzeyi" ne anlama gelir

Bir bilgisayarın saldırı yüzeyi, üzerindeki erişilebilecek veya kötüye kullanılabilecek her şeydir: oturum açabilen her hesap, bir ağ bağlantısını dinleyen her hizmet, çalışabilen her uygulama, açık bırakılan her port. Her biri, hiçbir şeyin asla ters gitmeyeceğine yapılan küçük bir bahistir. Bir sıkılaştırma temeli, kalan bahislerin risksiz olduğunu iddia etmeden yaptığınız bahis sayısını azaltan değişiklikler bütünüdür.

macOS zaten oldukça güçlü bir noktadan başlıyor: yeni Mac’ler depolamayı varsayılan olarak şifreler, kodun çalışabilmesi için imzalanmış olması gerekir ve Sistem Bütünlüğü Koruması bir yönetici hesabının bile temel sistem dosyalarını sessizce yeniden yazmasını engeller. Sonraki dört ders hâlâ iyileştirebileceğiniz kısımları ele alıyor: diskin nasıl şifrelendiği ve makinenin nasıl başladığı, kimin hesabı olduğu ve neler yapabildikleri, hangi hizmet ve portların açık olduğu ve zaten yerleşik olan savunmaların nasıl doğrulanacağı.

Ayarların arkasındaki tasarım ilkeleri

Bu kurstaki tek tek ayarların hepsi, altında yatan küçük bir fikir kümesine hizmet eder. En az ayrıcalık, bir hesaba veya bir yazılım parçasına yalnızca ihtiyacı olan erişimi vermek, "ileride işe yarar" diye asla fazlasını vermemek anlamına gelir. Süreç yalıtımı ve alan ayrımı, bir uygulamanın hatalarının başka birine sıçramasını önlemek anlamına gelir: ele geçirilmiş bir tarayıcı sekmesi, e-posta istemcinizin dosyalarını okuyabilmemelidir. Ayrıcalıklı ve ayrıcalıksız durumlar, bir yönetici hesabıyla standart bir hesap arasındaki ve root olarak çalışan bir süreçle sıradan bir kullanıcı olarak çalışan bir süreç arasındaki farktır. Bu fikirlerin hiçbiri macOS’a özgü değildir; herhangi bir modern işletim sisteminin de etrafında inşa edildiği aynı ilkelerdir ve bu kursun geri kalanındaki her ayar, gerçekte bunlardan birinin belirli bir ekrana veya komuta uygulanmış hâlidir.

Sıranın neden önemli olduğu

Bazı değişiklikler başka hiçbir şey yapmasanız bile sizi korur; diğerleri ise ancak temeller yerine oturduğunda önem kazanır. Mantıklı bir temel, önce yüksek değerli, düşük çabalı değişiklikleri yapar.

1. Diski şifreleyin (FileVault); böylece Mac kapalıyken kaybolsa, çalınsa veya el konulsa bile veriler korunmuş olur.
2. macOS’u ve uygulamaları güncel tutun, çünkü bilinen zayıflıkların çoğu için düzeltmeler yeni ayarlar olarak değil yazılım güncellemeleri olarak gelir.
3. Hesapları ve ayrıcalıkları ayırın: günlük kullanım için standart bir hesap kullanın, yönetici erişimini gerçekten gerektiğinde saklayın.
4. Kullanmadığınız hizmetleri ve portları kapatın: dosya paylaşımı, ekran paylaşımı ve uzaktan oturum açma, hiçbir sebep olmadan açık bırakılan yaygın varsayılanlardır.
5. Doğrulayın. macOS, savunmaları zaten etkin olarak gelir; bu kursta ele alınan salt okunur komutlarla, belirli bir düzende hâlâ etkin olduklarını kontrol edin.

Maliyetler ve bu kursun yapmanızı önermeyeceği şeyler

Bu değişikliklerin her birinin bir maliyeti var: şifreli bir disk, güvenli bir yerde saklanan bir kurtarma anahtarı gerektirir; standart bir hesap, parolayı daha sık yazmak demektir; kapalı bir port, aslında bir yazıcı veya yedekleme sürücüsü için ihtiyacınız olan bir port olabilir. Sıkılaştırma bir dizi ödünleşimdir ve doğru ödünleşim, makinenin ne için kullanıldığına ve kimin onu hedef alabileceğine bağlıdır.

Bu kurs asla Sistem Bütünlüğü Koruması’nı, Gatekeeper’ı veya Apple silikon Mac’lerin varsayılan olarak uyguladığı disk şifrelemesini kapatmayı önermeyecek. İleri düzey kullanıcılar için yazılmış bazı sıkılaştırma rehberleri bunun gibi adımlar içerir veya düşük seviyeli bir güvenlik duvarına aktarılacak betikler ve üçüncü taraf kural listeleri sunar. Bunlar, bozuk bir güncelleme veya teşhisi daha zor bir arıza riskini kabul etmeye istekli kişilere yöneliktir; bu kurstaki rehberlik kasıtlı olarak daha dardır ve dahil edilmeden önce her ayar Apple’ın kendi belgelerine karşı kontrol edilir.