Veri merkeziniz gerçekten güvenli mi? Bu istatistikleri kontrol edin.

Bir veri merkezinde kameralar, korumalar, kilitli kapılar ve güvenlik kontrol paneli bulunabilir ancak yine de ciddi boşluklar bırakabilir. Ekiplerin sunucu odasına odaklanıp etrafındaki sistemlere baktığını gördüm. Eski erişim kartı etkin kalır. Yedekleme ağı, üretim trafiğiyle bir yolu paylaşır. Bir satıcı hesabının, işin gerektirdiğinden daha fazla erişimi vardır. Küçük bir konfigürasyon hatası çok daha büyük bir risk yaratır. Güvenlik bir tesisin ne kadar güvenli göründüğüyle ölçülmez. Tesisin bir olayı ne kadar iyi önleyebildiği, tespit edebildiği, kontrol altına alabildiği ve kurtarabildiği ile ölçülür. ## Önemli olan sayılarla başlayın Yararlı bir güvenlik incelemesi net rakamlar ortaya çıkarmalıdır. Bu rakamlar kağıt üzerindeki politika ile fiili koruma arasındaki farkı görmeme yardımcı oluyor. Takip edin: - Aktif erişim rozetlerinin sayısı - Erişimi olan eski çalışanların sayısı - Ayrıcalıklı hesapların sayısı - Çok faktörlü kimlik doğrulama kapsamındaki sistemlerin yüzdesi - Erişimi kaldırmak için ortalama süre - Çözülmemiş kritik uyarıların sayısı - Bir anahtar hizmeti geri yüklemek için gereken süre - Geçtiğimiz yıl içinde test edilen yedeklemelerin yüzdesi - Uzaktan erişimi olan sağlayıcıların sayısı - Bir güvenlik uyarısı ile personelin yanıtı arasındaki süre Bir şirket, 240 çalışanı ancak 318 aktif erişim kartına sahip olduğunu keşfedebilir. Bu boşluk bir ihlalin meydana geldiğini kanıtlamaz. Bu, rozet yönetiminin dikkat gerektirdiğini gösteriyor. Başka bir şirket yedeklemenin %100 tamamlandığını bildirebilir. Bu rakam, ekip kaç yedeğin geri yükleme testini geçtiğini kontrol edene kadar güven verici görünüyor. Geri yüklenemeyen bir yedekleme, kanıtlanmış bir kurtarma seçeneği değil, yalnızca depolanan verilerin bir kaydıdır. ## Fiziksel erişim yalnızca bir katmandır Çoğu veri merkezi incelemesi kapılar ve kameralarla başlar. Bu kontroller önemlidir ancak fiziksel güvenlik ana girişten daha fazlasını kapsar. Mülk sınırından ekipmana kadar olan tüm yolu kontrol ediyorum: 1. Saha girişi ve ziyaretçi kaydı 2. Park ve yükleme alanları 3. Resepsiyon ve bekleme bölgeleri 4. Sunucu odası kapıları 5. Kafes veya raf erişimi 6. Bakım koridorları 7. Yangın çıkışları 8. Sürücüler ve ekipman için depolama alanları 9. İmha ve ortam imha noktaları Bir ziyaretçi kontrollü bir kapıdan girebilir ve bir çalışan kapıyı açık tutarsa ​​yine de hassas bir alana ulaşabilir. Yüklenici aylarca aktif kalacak geçici erişim alabilir. Hasarlı bir kamera, izleme ekranı yeşil bir durum gösterirken boş bir duvarı işaret edebilir. İnceleme bu koşulları doğrudan test etmelidir. Güvenlik personeli planlı bir erişim denetimi gerçekleştirebilir, rozet kayıtlarını istihdam kayıtlarıyla karşılaştırabilir, kamera kapsamını inceleyebilir ve ziyaretçi kayıtlarının onaylanmış ziyaretlerle eşleştiğini doğrulayabilir. ## Kimlik kontrolleri yakından ilgilenilmeyi hak eder Bir veri merkezi birçok kullanıcı grubuna bağlıdır: - Dahili BT personeli - Tesis ekipleri - Temizlik personeli - Ekipman satıcıları - Bulut hizmet sağlayıcıları - Ağ yüklenicileri - Güvenlik izleme ekipleri Her grubun tanımlanmış bir erişim düzeyine ihtiyacı vardır. Paylaşılan hesaplar, şirketin bir eylemi kolayca tek bir kişiye bağlayamaması nedeniyle bu durumun yönetilmesini zorlaştırır. Bireysel hesapları, rol tabanlı izinleri, çok faktörlü kimlik doğrulamayı ve düzenli erişim incelemelerini tercih ediyorum. Ayrıcalıklı erişimin açık bir iş nedeni ve mümkünse bir son kullanma tarihi olmalıdır. Basit bir aylık kontrol yararlı bilgileri ortaya çıkarabilir: - Hangi hesapların yönetici hakları var? - Hangi hesaplar yakın zamanda kullanılmadı? - Hangi satıcı hesapları etkin kalıyor? - Hangi kullanıcılar hem üretim hem de yedekleme sistemlerine erişebilir? - Hangi hesaplar çok faktörlü kimlik doğrulamayı atlıyor? Amaç herkesin erişimini kaldırmak değil. Amaç, erişimi mevcut çalışmayla eşleştirmektir. ## Ağ tasarımı bir olayın etkisini sınırlayabilir Tek bir düz ağ, davetsiz misafirin bir sistemden diğerine daha az bariyerle geçmesine olanak tanır. Segmentasyon, üretim sistemleri, yönetim araçları, yedeklemeler, izleme ve satıcı erişimi için ayrı alanlar oluşturur. Pratik bir inceleme şunları haritalandırmalıdır: - İnternete yönelik hizmetler - Dahili uygulamalar - Yönetim arayüzleri - Depolama ağları - Yedekleme sistemleri - Bina yönetim sistemleri - Güvenlik kameraları ve erişim kontrolleri - Uzaktan bakım bağlantıları Bir keresinde kamera sisteminin ve ofis ağının bir kısmının, sunucu yönetimi için kullanılan ekipmanlarla altyapıyı paylaştığı küçük bir teknoloji sitesini inceledim. Düzenleme uygundu ancak düşük öncelikli cihazlarla hassas sistemler arasında gereksiz bir bağlantı yarattı. Bu ağları ayırmak her riski ortadan kaldırmayacaktır. Bu, bir saldırganın kullanabileceği yol sayısını azaltacak ve olağandışı trafiğin fark edilmesini kolaylaştıracaktır. Güvenlik duvarı kurallarının da düzenli olarak gözden geçirilmesi gerekir. Kısa bir proje için eski bir kural oluşturulmuş ve hiç kaldırılmamış olabilir. Satıcı, artık aktif çalışmayı desteklemeyen bir bağlantı noktasına hâlâ ulaşabilir. Güvenlik ekipleri her önemli kuralın sahibini, amacını ve inceleme tarihini kaydetmelidir. ## İzleme eyleme yol açmalıdır Uyarılarla dolu bir kontrol paneli, yanlış bir kontrol duygusu yaratabilir. Yararlı soru, sistemin kaç tane uyarı ürettiği değildir. Yararlı soru, kaç uyarının uygun bir yanıt aldığıdır. Şunları ölçerim: - Uyarının oluşturulmasından insan incelemesine kadar geçen süre - Soruşturma yapılmadan kapatılan uyarıların sayısı - Belgelenen bir olayla bağlantılı uyarıların sayısı - Kritik sistemlerin kapsamı - Araştırma sırasında günlüklerin kullanılabilirliği - Güvenlik kayıtlarının saklanma süresi Bir ekip her ay 5.000 uyarı alabilir ve yalnızca 20 uyarıyı araştırabilir. Sistem gürültüyü iyi filtreliyorsa bu makul olabilir. Bu aynı zamanda ciddi olayların kaçırıldığı anlamına da gelebilir. Cevap, uyarı kalitesine, yanıt kurallarına ve düzenli testlere bağlıdır. Günlükler tutarlı zaman ayarları kullanmalı ve yetkisiz değişikliklere karşı korunmalıdır. Güvenilir zaman damgaları olmadan bir olayın sırasını yeniden oluşturmak zorlaşır. ## Yedekleme güvenliği, veri merkezi güvenliğinin bir parçasıdır Yedekleme sistemleri genellikle üretim sistemlerine göre daha az dikkat çeker. Saldırganlar kurtarma verilerinin değerli olabileceğini biliyor. Davetsiz misafir yedeklemeleri değiştirebilir veya silebilirse, işletmenin en çok ihtiyaç duyduğu anda kurtarma planı başarısız olabilir. Sağlam bir inceleme, yedeklemelerin: - Üretim kimlik bilgilerinden ayrılmış - Yetkisiz silinmeye karşı korunmuş - Aktarım ve depolama sırasında şifrelenmiş - Uygun konumlarda depolanmış - Planlanmış geri yükleme alıştırmaları yoluyla test edilmiş - Açık saklama kuralları kapsamında olup olmadığı kontrol edilir Bir geri yükleme testinde belirli bir hizmet ve belgelenmiş bir hedef kullanılmalıdır. Örneğin ekip, bir veritabanı yedeğini temiz bir ortama geri yükleyebilir, veri tutarlılığını doğrulayabilir, uygulama erişimini doğrulayabilir ve gereken süreyi kaydedebilir. Önemli olan sayı yalnızca yedeklemenin tamamlanması değildir. Ekibin başarıyla geri yüklediği ve doğruladığı kritik hizmetlerin yüzdesidir. ## Satıcılar risk resmini değiştirebilir Veri merkezlerinde üçüncü taraf erişimi yaygındır. Satıcılar soğutma sistemleri, güç ekipmanı, yangın sistemleri, ağlar, yazılım veya fiziksel altyapının bakımını yapabilir. Erişim izni vermeden önce şunları görmek istiyorum: - Adlandırılmış bir işletme sahibi - Tanımlanmış erişim sınırları - Bir başlangıç ​​ve bitiş tarihi - Çok faktörlü kimlik doğrulama - Uygun olduğunda oturumun günlüğe kaydedilmesi - Acil durum erişimi için bir süreç - Tamamlanan işin kaydı - İş bittikten sonra yapılan bir inceleme Bir satıcının, sözleşmenin birden fazla hizmeti kapsaması nedeniyle geniş erişime ihtiyacı yoktur. Erişim, gerçekleştirilen görevle eşleşmelidir. İki günlük bir onarım için oluşturulan bakım hesabı, kalıcı bir yol olarak etkin kalmamalıdır. Periyodik satıcı incelemeleri, artık geçerli bir amaca hizmet etmeyen hesapları bulabilir. ## Yalnızca ekipmanı değil, müdahaleyi de test edin Bir müdahale planı, insanların onu kullanması gerekene kadar eksiksiz görünebilir. Güvenliği, BT'yi, tesisleri, iletişimi ve iş liderlerini içeren kısa alıştırmalar yapmanızı öneririm. Yararlı senaryolar şunları içerir: - Çalınan bir yönetici kimlik bilgisi - Bir ekipman odasında güç kaybı - Şüpheli bir fidye yazılımı olayı - Sınırlı bir alana yetkisiz giriş - Arızalı bir soğutma ünitesi - Bozulmuş yedekleme verileri - Onaylanan programın dışında kullanılan bir satıcı hesabı Bu alıştırma pratik sorulara cevap vermelidir: - İlk uyarıyı kim alır? - Bir sistemi kim izole edebilir? - Satıcıyla kim iletişime geçiyor? - Hizmetin kapatılmasını kim onaylıyor? - Hangi müşterilerin veya dahili ekiplerin güncellemelere ihtiyacı var? - Ekip iyileşmenin güvenli olduğunu nasıl doğruluyor? Personel bu eylemleri güncelliğini yitirmiş belgelere bakmadan gerçekleştirebildiğinde plan daha kullanışlı hale gelir. ## Basit bir güvenlik puan kartı oluşturun Bulguları düzenlemek için beş bölümlü bir puan kartı kullanıyorum: 1. Fiziksel kontrol — Yetkisiz kişiler hassas ekipmanlara erişebilir mi? 2. Kimlik kontrolü — Şirket her hesabı kimin kullandığını doğrulayabilir mi? 3. Ağ kontrolü — Kritik sistemler ayrılmış ve korunuyor mu? 4. Tespit — Ekip olağandışı etkinlikleri zamanında tespit edebilir mi? 5. Kurtarma — Ekip temel hizmetleri ve verileri geri yükleyebilir mi? Her alana "mevcut ihtiyacı karşılıyor", "çalışma gerektiriyor" veya "doğrulanmadı" gibi bir durum verin. Bu, yanıltıcı tek bir güvenlik puanı oluşturulmasını önler. Bir sitenin güçlü fiziksel kontrolleri ve zayıf yedekleme testleri olabilir. Olumlu bir alan, delili olmayan başka bir alanı gizlememelidir. Rakamlar bir takımı şaşırtabilir ancak rakamlar yalnızca belirli eylemlere yol açtıklarında faydalıdır. Etkin olmayan rozetleri kaldırın. Gereksiz ayrıcalıkları azaltın. Hassas ağları ayırın. Restorasyon testi yapın. Satıcı erişimini inceleyin. Müdahale planını uygulayın. Güvenli bir veri merkezi, tek bir kilitli kapı veya tek bir izleme platformuyla tanımlanmaz. Bunu kanıtlara göre değerlendiriyorum: Kim girebilir, kim bağlanabilir, ekip neyi tespit edebilir ve temel hizmetlerin bir kesinti sonrasında ne kadar hızlı geri dönebileceği.

Veri merkezi güvenliği artık kilitli kapılar, kameralar ve ağ güvenlik duvarlarıyla sınırlı değil. Erişim kontrolü, yazılım, güç sistemleri veya satıcı yönetimindeki tek bir zayıflık, hizmet kullanılabilirliğini etkileyebilir ve hassas verileri açığa çıkarabilir. Rakamlar, veri merkezi güvenliğine neden yalnızca bir BT görevi değil, bir iş sorunu olarak baktığımı gösteriyor. IBM'in Veri İhlalinin Maliyeti Raporu 2024, bir veri ihlalinin küresel ortalama maliyetinin 4,88 milyon $ olduğunu ortaya koydu. Rapor ayrıca incelenen kuruluşların %70'inin bir ihlal sonrasında önemli bir operasyonel kesinti yaşadığını ortaya çıkardı. Uptime Institute'un kesinti araştırması başka bir riske işaret ediyor: Hizmet kesintileri genellikle yüksek mali maliyet taşır. 2024 anketi, bildirilen kesintilerin yarısından fazlasının belirli düzeyde mali hasara yol açtığını, daha küçük bir grubun ise bir milyon doların üzerinde kayıplarla karşılaştığını ortaya çıkardı. Bu rakamlar her olayın aynı zararı yaratacağı anlamına gelmemektedir. Bir güvenlik açığının teknik bir sorundan müşteri, gelir ve güven sorununa ne kadar hızlı dönüşebileceğini gösteriyorlar. ## Bir veri merkezi içindeki ana riskler ### 1. Yetkisiz fiziksel erişim Bir veri merkezi güçlü dijital savunmalara sahip olabilir, ancak binaya erişimi olan bir kişi yine de ciddi risk oluşturabilir. Yaygın zayıf noktalar şunlardır: - Paylaşılan erişim kartları - Kilitlenmemiş sunucu odaları - Kötü ziyaretçi kayıtları - Güvenli kapılardan arkadan geçiş - Kullanılmayan rozetlerin aktif kalması - Ekipmanın açık bir onay süreci olmadan kaldırılması Fiziksel güvenliği ilk koruma katmanı olarak görüyorum. Birisi bir rafa, konsola, depolama cihazına veya ağ anahtarına ulaşabilirse risk hırsızlıkla sınırlı değildir. Hizmetleri kesintiye uğratabilir, yetkisiz bir cihaza bağlanabilir veya donanıma zarar verebilirler. Pratik bir kontrol planı, benzersiz yaka kartları, ziyaretçi refakatçileri, erişim kayıtları, kamera kapsamı ve çalışan ve yüklenici izinlerinin düzenli olarak gözden geçirilmesini içerir. ### 2. Çalınan kimlik bilgileri Birçok saldırı geçerli bir kullanıcı adı ve parolayla başlar. Sistem, arkasındaki kişi öyle olmasa bile, oturum açma işlemini normalmiş gibi değerlendirebilir. Verizon'un 2024 Veri İhlali Araştırma Raporu, veri kümesinde incelenen ihlallerin **%68'inde insan unsurunun rol oynadığını ortaya çıkardı. Bu kategori; hataları, kötüye kullanımı, çalınan kimlik bilgilerini ve sosyal mühendisliği içerir. Şu kontrollerle başlayacağım: 1. Uzaktan erişim ve yönetici hesapları için çok faktörlü kimlik doğrulamayı zorunlu kılın. 2. Günlük işler ve ayrıcalıklı görevler için ayrı hesaplar kullanın. 3. Bir rol değiştiğinde veya sözleşme sona erdiğinde erişimi kaldırın. 4. Oturum açma konumlarını, cihazları ve olağandışı erişim sürelerini inceleyin. 5. Personeli, şüpheli mesajları suçlama korkusu olmadan bildirmeleri konusunda eğitin. Güvenlik eğitimi kısa örnekler kullanıldığında daha iyi sonuç verir. Bir mühendisten şifre sıfırlama işlemini "onaylamasını" isteyen bir mesaj, kimsenin okumadığı uzun bir politika belgesinden daha fazla ilgiyi hak eder. ### 3. Fidye yazılımı ve hizmet kesintisi Fidye yazılımı, depolanan dosyalardan daha fazlasını etkileyebilir. İzleme araçlarını durdurabilir, yönetim erişimini engelleyebilir veya soğutmayı, güç yönetimini ve ağ işlemlerini destekleyen sistemleri kesintiye uğratabilir. Sophos, Fidye Yazılımlarının Durumu 2024 çalışmasında ankete katılan kuruluşların %59'unun önceki yıl bir fidye yazılımı saldırısına maruz kaldığını bildirdi. Anket birden fazla sektörü kapsıyordu, bu nedenle rakam yalnızca veri merkezi oranı olarak okunmamalı. Bu durum hâlâ kritik dijital hizmetleri yöneten kuruluşların karşılaştığı baskı düzeyini yansıtıyor. Bir veri merkezinin yalnızca yedekleme yazılımına değil, test edilmiş kurtarma planlarına ihtiyacı vardır. Ekibin şu sorulara cevap verip veremeyeceğini kontrol edeceğim: - Hangi sistemlerin önce geri dönmesi gerekiyor? - Yedeklemeler ana ağdan izole edilmiş mi? - Kimlik sistemleri arızalanırsa yöneticiler kurtarma araçlarına erişebilir mi? - Her hizmet ne kadar süreyle çevrimdışı kalabilir? - Kesinti sırasında müşterilerle kim iletişim kuruyor? - İyileşme süreci baskı altında test edildi mi? Hiçbir zaman geri yüklenmemiş bir yedekleme, bir kurtarma planı değil, bir varsayımdır. ### 4. Bağlantılı sistemlerdeki güvenlik açıkları Modern tesisler birçok bağlantılı araca dayanır: - Bina yönetim sistemleri - Çevresel sensörler - Güç izleme cihazları - Uzak el platformları - Ağ anahtarları - Yangın ve güvenlik sistemleri - Satıcı destek portalları Her bağlantı, saldırı yüzeyini genişletebilir. Bazı cihazlar yıllarca hizmette kalır ve mevcut güvenlik kontrollerini desteklemeyebilir. Cihaz sahibini, yazılım sürümünü, ağ konumunu, erişim yöntemini ve değiştirme planını içeren bir varlık listesi oluşturmanızı öneririm. Güvenlik ekipleri göremediği ekipmanları koruyamaz. Yama yönetiminin de net bir sürece ihtiyacı var. Bir yama kurulumdan sonra test edilmeli, onaylanmalı, planlanmalı ve doğrulanmalıdır. Kritik sistemler bir bakım aralığı gerektirebilir, ancak her güncellemenin ertelenmesi zaman içinde daha büyük bir riske neden olur. ### 5. Üçüncü taraf erişimi Satıcılar genellikle bakım, destek ve sorun giderme için uzaktan erişime ihtiyaç duyar. Bu erişim yararlı olabilir ancak kalıcı satıcı hesapları gereksiz riskler oluşturur. Daha güvenli bir model şunları kullanır: - Zaman sınırlı erişim - Adlandırılmış kullanıcı hesapları - Çok faktörlü kimlik doğrulama - Oturum günlüğü tutma - Hassas eylemlerden önce onay - İş bittikten sonra erişimin kaldırılması Ayrıca satıcılara alt yüklenicileri, güvenlik olaylarını, yazılım güncellemelerini ve erişim incelemelerini nasıl ele aldıklarını da sorarım. Bir sözleşme beklentileri açıklayabilir ancak düzenli kontroller bu beklentilerin takip edilip edilmediğini gösterir. ## Pratik bir güvenlik inceleme süreci Bir veri merkezi güvenlik programını incelerken uzun bir araç listesiyle başlamaktan kaçınırım. Müşterilerin güvendiği hizmetlerle başlıyorum. ### Adım 1: Kritik hizmetleri haritalandırın Her hizmetin çalışır durumda kalması için gereken uygulamaları, ağları, tesisleri ve personeli listeleyin. Bir ödeme platformu, veritabanı sunucularına, kimlik sistemlerine, internet bağlantılarına, soğutmaya, yedek güce ve küçük bir eğitimli operatör grubuna bağlı olabilir. Harita bu bağımlılıkları içermelidir. ### Adım 2: Olası saldırı yollarını sıralayın Bir saldırganın veya dikkatsiz kullanıcının izleyebileceği rotalara bakın: - Çalınan kimlik bilgilerine yönelik kimlik avı mesajı - Açığa çıkan uzaktan erişim hizmeti - Yamasız yönetim cihazı - Kontrolsüz satıcı hesabı - Güvenli olmayan depolama ortamı - Sunucu rafına fiziksel erişim Bu yaklaşım, ekibin her riski eşit olarak ele almak yerine pratik zayıflıklara odaklanmasına yardımcı olur. ### Adım 3: Ayrı görevler Hiçbir kişi tek başına hassas bir değişikliği isteyemez, onaylayamaz, gerçekleştiremez ve gizleyemez. Yüksek riskli eylemler için onay kayıtlarını ve ikili kontrolü kullanın. Bu, güvenlik duvarı değişiklikleri, yönetici erişimi, donanım kaldırma ve yedekleme silme işlemleri için geçerli olabilir. ### Adım 4: Yararlı sinyalleri izleyin Güvenlik izleme, eylem gerektiren olaylara odaklanmalıdır. Örnekler arasında şunlar yer alır: - Alışılmadık konumlardan oturum açma girişimleri - Yeni yönetici hesapları - Kullanıcının normal rolü dışındaki sistemlere erişim - Tekrarlanan başarısız kimlik kartı denemeleri - Beklenmeyen yapılandırma değişiklikleri - Büyük veri aktarımları - Devre dışı bırakılan kameralar veya izleme aracıları Hangi olayların önemli olduğunu kimse bilmiyorsa, büyük hacimli uyarılar ekibin yavaşlamasına neden olabilir. Açık üst seviyeye yükseltme kuralları, analistlerin daha az gecikmeyle yanıt vermesine yardımcı olur. ### Adım 5: İnsanları ve sistemleri test edin Masa üstü bir alıştırma, teknik taramanın gözden kaçırdığı boşlukları ortaya çıkarabilir. Ekipten şu gibi bir senaryoya yanıt vermelerini isteyin: "Bir yönetici hesabı çalındı, izleme platformu kullanılamıyor ve bir satıcı olağandışı etkinlik bildirdi." Tatbikat kararları, iletişimi, kanıt toplamayı, kurtarmayı ve müşteri güncellemelerini test etmelidir. Amaç suçu başkalarına yüklemek değil. Amaç, normal süreçler kullanılamadığında başarısız olan adımı bulmaktır. ## Bu istatistikler iş dünyası liderleri için ne anlama geliyor Veriler yanıt olarak tek bir güvenlik ürününü desteklemiyor. İnsanları, süreçleri, teknolojiyi ve fiziksel kontrolleri birleştiren katmanlı bir programa işaret ediyor. Küçük bir dizi önlemi takip edeceğim: - Çok faktörlü kimlik doğrulamayı kullanan ayrıcalıklı hesapların yüzdesi - Ayrılan erişimi kaldırmak için gereken süre - Süresi geçmiş kritik yamaların sayısı - Yedekleme geri yükleme başarı oranı - Olağandışı erişimi tespit etmek için gereken süre - Çözümlenmemiş satıcı hesaplarının sayısı - Erişim incelemeleri ve olay alıştırmalarından elde edilen sonuçlar Bu önlemler, güvenlik çalışmasını hizmet güvenilirliğiyle birleştirir. Ayrıca liderlerin bir kontrolün etkin mi yoksa yalnızca bir politikada yazılı mı olduğunu görmelerine yardımcı olurlar. Güvenli bir veri merkezi, olayların asla yaşanmadığı bir yer değildir. Erişimin sınırlı olduğu, olağandışı faaliyetlerin fark edildiği, kurtarma adımlarının bilindiği ve her olaydan alınan derslerin bir sonraki müdahaleyi iyileştirdiği bir yerdir. En son güvenlik rakamları basit bir mesaja işaret ediyor: fiziksel koruma, kimlik kontrolleri, kurtarma testleri ve satıcı gözetiminin tek bir sistem olarak çalışması gerekiyor. Bir katman dikkat çekerken diğerleri zayıf kalırsa, boşluk saldırganın kullandığı yol haline gelebilir.

Bir veri merkezi güvenli görünse de ciddi riskler taşıyabilir. Ekiplerin kilitli kapılara, yedek jeneratörlere ve güvenlik kameralarına odaklandığını, zayıf erişim kontrollerini, yetersiz bakım kayıtlarını veya güç sistemindeki tek bir arıza noktasını gözden kaçırdıklarını gördüm. Güvenli bir veri merkezi, ekipman listesine göre değerlendirilmez. Her sistemin stres altında nasıl performans gösterdiğine, insanların bir olaya nasıl tepki verdiğine ve hizmetlerin ne kadar hızlı iyileşebileceğine bakıyorum. Yararlı bir inceleme, etiketlerle değil gerçeklerle başlar. ## Güç tasarımını kontrol edin Güç kaybı, hizmet kesintisinin ana nedenlerinden biridir. Bir veri merkezi, aşağıdakiler gibi birden fazla koruma katmanına sahip olmalıdır: - Mümkün olduğunda ayrı kaynaklardan gelen şebeke gücü - Aktarım sırasında yükü destekleyen UPS sistemleri - Test edilmiş yakıt sistemlerine sahip yedek jeneratörler - Kritik ekipmanlar için bağımsız güç yolları - Jeneratörün başlatılması ve kapatılması için açık prosedürler - Aküler, anahtarlama donanımı ve kesiciler için bakım kayıtları Ben bir jeneratörü dayanıklılığın kanıtı olarak görmüyorum. Bir jeneratör çalışmayabilir, yakıtı bitebilir veya tesisin yalnızca bir kısmını destekleyebilir. İnceleme test sonuçlarını, yakıt tedarik planlarını, yük kapasitesini ve onarımlar için gereken süreyi içermelidir. Basit bir soru yardımcı olur: Ana şebeke beslemesi, bir UPS ünitesi ve bir jeneratör aynı anda kullanılamıyorsa ne olur? Cevap, tesis tasarımına ve belgelenmiş testlere dayanmalıdır. ## Soğutma ve ortam kontrollerini gözden geçirin Sıcaklık, nem veya hava akışı güvenli sınırların dışına çıktığında sunucular çalışmayı durdurabilir. Soğutma sistemleri, güç sistemleriyle aynı düzeyde incelemeye ihtiyaç duyar. Şunları kontrol ediyorum: - Yoğun talep sırasında soğutma kapasitesi - Yedek soğutucular, pompalar ve klima santralleri - Sıcak koridor ve soğuk koridor yönetimi - Su sızıntısı tespiti - Sıcaklık ve nem uyarıları - Filtreler, pompalar ve kompresörler için bakım planları - Güç aktarımı sırasında soğutma performansı Bazı sunucu rafları zayıf hava akışı alırken bir oda serin hissedebilir. Sensörler girişe yakın tek bir yeri değil, farklı alanları kapsamalıdır. Artan iş yükleri soğutma ihtiyaçlarını da değiştiriyor. Standart kurumsal sunucular için tasarlanmış bir tesisin, yüksek yoğunluklu bilgi işlem için yeni bir plana ihtiyacı olabilir. Yeni donanım kurulmadan önce kapasite gözden geçirilmelidir. ## Yangından korunmayı ve fiziksel güvenliği test edin Yangından korunma, alarmlardan ve söndürücülerden daha fazlasını kapsar. Duman algılama, uygun söndürme sistemleri, acil durum çıkışları ve personel ve yükleniciler için açık talimatlar arıyorum. Fiziksel güvenlik aşağıdakileri içermelidir: - Ziyaretçi kayıtları - Kimlik kartı erişimi incelemeleri - Ağ ve güç ekipmanı için kısıtlı alanlar - Kamera kapsama alanı - Kapı alarmları - Güvenli ortam depolama ve imha - Personel değişiklikleri sonrasında erişimin kaldırılmasına yönelik bir süreç İnceleme sürecinin sahibi kimse yoksa, bir yüklenici ayrıldıktan sonra kimlik kartı etkin kalabilir. Bu boşluk iyi tasarlanmış bir tesiste mevcut olabilir. Güvenlik kontrolleri ayrıca teslimat alanlarını, yükleme limanlarını, çatı erişimini ve ortak binaları da kapsamalıdır. Saldırganlar her zaman ana kapıdan girmezler. ## Ağı ve siber kontrolleri kontrol edin Bir veri merkezi, hizmetleri hâlâ siber riske açıkken güçlü ve soğuk kalabilir. Ağ ayırmayı, güvenlik duvarı kurallarını, uzaktan erişimi, hesap izinlerini, günlük toplamayı ve yedekleme erişimini gözden geçiriyorum. Yönetici hesapları, desteklendiği yerlerde çok faktörlü kimlik doğrulamayı kullanmalıdır. Erişim, eski bir iş işlevi yerine kişinin mevcut rolüyle eşleşmelidir. Yedekleme sistemleri özel dikkat gerektirir. Üretim sistemleriyle aynı ağa bağlı bir yedekleme, aynı fidye yazılımı olayından etkilenebilir. Soruyorum: - Yedekler ayrı bir yerde mi saklanıyor? - Kurtarma kopyaları rutin hesap erişimine karşı korunuyor mu? - Ekip verileri yedekten geri yükledi mi? - İyileşme süreleri ölçülüyor mu? - Yedekleme hataları, bunlar üzerinde işlem yapabilecek bir kişiye gönderiliyor mu? “Tamamlandı” yazan bir yedekleme raporu, verilerin geri yüklenebileceğini kanıtlamaz. ## Tek hata noktalarını arayın Artıklık yanıltıcı olabilir. İki cihaz bir kablo tepsisini, bir soğutma döngüsünü, bir anahtarı veya bir bakım ekibini paylaşabilir. Güç kaynağından sunucuya ve sunucudan kullanıcıya tam yolu eşlerim. Harita şunları göstermelidir: - Güç beslemeleri - UPS üniteleri - Jeneratörler - Ağ bağlantıları - Çekirdek anahtarlar - Soğutma sistemleri - Depolama sistemleri - Harici hizmet sağlayıcılar Bu alıştırma genellikle gizli bir bağımlılığı ortaya çıkarır. Bir şirketin aynı bina güzergahından giren iki internet bağlantısı olabilir. Bir tesiste arızalı bir panel tarafından kontrol edilen iki soğutma ünitesi bulunabilir. Bağımsızlık, bileşenlerin sayısından daha önemlidir. ## İnsanları ve prosedürleri test edin Yazılı bir plan, eğer personel onu hiç kullanmadıysa sınırlı değere sahiptir. Şunlar için pratik egzersizler öneririm: - Şebeke elektriği kesintisi - Jeneratör arızası - Soğutma kaybı - Yangın alarmının etkinleştirilmesi - Ağ saldırısı - Veri merkezine erişimin kaybedilmesi - Önemli bir tedarikçinin kaybı - Başarısız yedekleme restorasyonu Amaç korku veya suçlama yaratmak değildir. Amaç gecikmeleri, belirsiz rolleri ve eksik iletişim ayrıntılarını bulmaktır. Her alıştırmadan sonra ne olduğunu, kimin karar verdiğini ve hangi görevin beklenenden daha uzun sürdüğünü kaydedin. Her eylem için bir sahip ve inceleme tarihi atayın. Gerçek bir örnek bunun neden önemli olduğunu gösteriyor. 2017 yılında British Airways'in veri merkezi operasyonlarıyla bağlantılı bir elektrik kazası, uçuşlarda büyük aksamalara neden oldu. Kamuya açık raporlar, bir güç kaynağı sorununun ardından sistemler ve kurtarmayla ilgili sorunların geldiğini belirtiyordu. Etkinlik, kısa bir altyapı arızasının sunucu odasının çok ötesindeki hizmetleri etkileyebileceğini gösterdi. 2021'de Facebook, tesislerine ağ erişimini etkileyen bir yapılandırma değişikliğinin ardından büyük bir kesinti yaşadı. Etkinlik, teknik kontrollerin ve fiziksel erişim planlarının her ikisinin de önemli olduğunu gösterdi. Ağ erişimi başarısız olduğunda mühendisler kurtarma için gereken sistemlere ulaşmada da zorluk yaşayabilir. ## Tedarikçileri kontrol edin ve ortak sorumluluk Birçok veri merkezi, bulut sağlayıcılarına, ortak yerleşim şirketlerine, taşıyıcılara, yakıt tedarikçilerine, güvenlik firmalarına ve bakım yüklenicilerine güvenir. Her sağlayıcıdan aşağıdakiler hakkında net bilgi isterim: - Hizmet sınırları - Bakım bildirimleri - Olay raporlama - Kurtarma hedefleri - Fiziksel erişim kontrolleri - Yedekleme sorumlulukları - Denetim raporları - Kesinti sırasında iletişim yolları Bir sağlayıcının sertifikasyonu bir incelemeyi destekleyebilir, ancak kendi risk değerlendirmenizin yerine geçmez. Uygulama ayarlarınız, hesap izinleriniz, yedekleme seçenekleriniz ve kurtarma planınız yine de sonucu etkiler. ## Pratik bir inceleme kaydı oluşturun Yararlı bir veri merkezi güvenlik incelemesi şunları içermelidir: 1. Kritik hizmetlerin bir listesi 2. Her hizmetin bağlı olduğu sistemler 3. Güç, soğutma, ağ ve güvenlik riskleri 4. Testlerden ve bakım kayıtlarından elde edilen kanıtlar 5. Her hizmet için kurtarma hedefleri 6. Açık sorunlar için belirlenmiş sahipler 7. İnceleme tarihleri ​​ve ilerleme notları Kontrol edilebilecek kanıtları tercih ederim: test günlükleri, erişim raporları, olay kayıtları, diyagramlar, denetim sonuçları ve kurtarma alıştırmaları. Temel soru basit: Anahtar bir bileşen uygunsuz bir zamanda arızalanırsa, ekip temel hizmetleri çalışır durumda tutabilir mi veya kabul edilen bir süre içinde bunları geri yükleyebilir mi? Güvenli bir veri merkezi gösterişli bir tur veya uzun bir ekipman listesiyle tanımlanmaz. Sahipleri zayıf noktalarını açıklayabildiğinde, tepkisini test edebildiğinde ve son olaydan sonra nelerin değiştiğini gösterebildiğinde bir tesise daha çok güvenirim. Gerçekler tasarım ayrıntılarında, işletme kayıtlarında ve kurtarma uygulamalarında bulunur. Sektör trendleri ve çözümleri hakkında daha fazla bilgi edinmek ister misiniz? Yonglin Wang ile iletişime geçin: 13382583527@gmail.com/WhatsApp +8613382583527.

IBM Security — Temmuz 2024 — Veri İhlalinin Maliyeti Raporu 2024 Verizon — 30 Nisan 2024 — 2024 Veri İhlali Araştırmaları Raporu Sophos — Mayıs 2024 — Fidye Yazılımı Durumu 2024 Uptime Institute — Haziran 2024 — Yıllık Küresel Veri Merkezi Anketi 2024 Ulusal Standartlar ve Teknoloji Enstitüsü — Mayıs 2012 — Bilgisayar Güvenliği Olaylarını Ele Alma Kılavuzu Facebook Mühendisliği — Ekim 5 Ekim 2021 — 4 Ekim Kesintisine İlişkin Daha Fazla Detay