BULUT TEKNOLOJİSİ VE MİMARİSİ
Bulut teknolojisi kişilerin ve de kurumların internet hizmetlerinden yararlanmak ve verilerini saklamak için kullandıkları bir teknolojidir Bulut teknolojisinde kullanıcılar sanal olarak var olan bir ortamı kullanır. Yani kullanıcılar veri depolamak ya da hizmete ulaşmak için servis sağlayıcılarının sunucularını kullanırlar. Bulut teknolojisini kullananlar ihtiyaç duydukları kadar alanı kiralarlar. İhtiyaçlarına göre kiraladıkları alanı rahatça genişletebilir ya da küçültebilirler. Ayrıca kullandıkları alan kadar ödeme yaparlar. Bu durum bulut teknolojisini ekonomik ve kullanışlı kılar.
Bulut mimarisi üç farklı katmandan oluşur. Saas (Software as a service/ Hizmet olarak yazılım), Paas (Platform as a service/Hizmet olarak platform) ve Iaas (Infrastructure as a service/Hizmet olarak altyapı). Bu katmanlı yapı sayesinde kullanıcılara donanım, yazılım ve altyapı sağlanmaktadır.
Ayrıca bulut teknolojisi kullanıcılara farklı yayınlama metotları sunmaktadır.
- GENEL BULUT (PUBLİC CLOUD): Herkes tarafından kullanılan bulut hizmetidir. Gizlilik, maliyet, kullanım, kar oranı gibi parametreler hizmet sağlayıcısı tarafından belirlenir. Ücretlveya ücretsiz olabilir. Amazon EC2, S3, Google AppEngine ve Force.com bu tür bulut hizmetlerine örnektir.
- ÖZEL BULUT (PRIVATE CLOUD): Yalnızca tek bir kurum için sunulan bulut altyapısıdır. Kullanıcın kendi organizasyonuna özel kaynaklar sunar ve bu kaynaklar kurum içinde veya dışında barındırılabilir. Dahili veya harici olarak yönetilebilir. Yine aynı şekilde dahili ya da üçüncü parti kişiler tarafından barındırılabilir. Kuruma özel kaynak sunması kurumun ek güvenlik önlemleri almasını kolaylaştırır. Bu nedenle gizliliğin ve güvenliğin önemli olduğu kurumlar tarafından tercih edilmesi gereken bulut hizmeti budur.
- TOPLULUK BULUTU (COMUNITY CLOUD): Ortak özelliklere sahip bir topluluktaki organizasyonların aralarında aynı altyapıyı paylaşmasıdır. Yani kullandığı bulut altyapısı belli olan bir kurum ve ona bağlı kuruluşların aynı altyapıyı paylaşmasıdır. Topluluk üyelerin uygulamalara ve verilere ulaşabilir.
- KARMA BULUT (HYBIRD CLOUD): En az iki bulut modelinin birleşmesiyle oluşmuştur. Bu bulutlar ayrı olarak bulunurlar fakat birbirlerine bağlıdırlar. Bu metot genellikle bir kurumun özel ve gizli tutulması gereken verileri ile daha genel verilerini farklı ama birbirleri ile bağlantılı bulut altyapılarında kullanmak istemesiyle oluşur.
Şimdi de bulut yapısındaki bazı güvenlik problemlerinden bahsedelim.
BULUT TEKNOLOJİSİNDE GÜVENLİK PROBLEMLERİ
Bulut yapısındaki IaaS, PaaS ve SaaS yapıları birbirine bağlı yapılardır. Yani bu katmanlardan herhangi birinde meydana gelen bir güvenlik sorunu diğer iki katmanı da etkileyecektir.
SANAL MAKİNE GÜVENLİĞİ
Bulut teknolojisinin mimarisinin temeli sanal sunuculara dayanır. Bu sanal sunucuları bulut mimarisine entegre etmek için de hypervisor kullanılır. Hypervisor yazılım katmanında meydana gelen bir güvenlik sorunu bulut sisteminin güvenlik sorunu haline gelir. Bu sebeple hizmet sağlayıcının hypervisor katmanının güvenliğini sağlaması gerekir.
SORUMLULUK BELİRSİZLİĞİ
Bulut teknolojisinde sorumluluk hizmet sağlayıcısı ve müşteri arasında paylaşılır. Ancak bu sorumluluklar net şekilde belli değildir. Bu durum bulut teknolojisine olan güveni sarsmaktadır. Birçok bulut hizmet sağlayıcısı tüm müşterileri için bilgi güvenliğinin sorumluluğunu alsa dahi garanti edemiyor. Günümüzde bulut teknolojilerinin hızla gelişmesine karşın hala yaygın olarak kullanılmamasının sebebi bu güvensizliktir.
BULUT HİZMETİNİN İSTİSMARI
Bulut teknolojileri çok güç bir altyapıya sahiptir ve müşteriler bu altyapıyı kullanırlar. Kötü niyetli müşteriler bu alt yapıyı kullanarak başka bir bulut sistemine ya da web hizmetlerine sızabilir, DDOS saldırıları düzenleyebilirler. Yine bulut altyapısını kullanarak hizmet aldıkları buluta saldırabilir ve aldıkları hizmetin kapsamını genişletebilirler. Şifreli dosyaların şifrelerini kırabilirler ve benzer kötü niyetli işleri için bulut teknolojilerini kullanabilirler. Hizmet sağlayıcılar veri madenciliği yöntemini kullanarak geliştirdikleri algoritmalarla kullanıcı davranışlarını iyi veya kötü olarak sınıflandırarak önlem alabilirler.
YETERSİZ BİLGİ VE KAYNAK YÖNETİMİ
Hizmet sağlayıcıları bulut teknolojilerinde kullanılan sunucuların ve kaynakların nerde tutulduğu bilgisini gizli tutar. Bazen verilerin bir yerden başka bir yere taşınması gerekebilir. Bu durumda verilerin güvenli ve eksiksiz taşınması sorumluluğu hizmet sağlayıcısının görevidir. Gerekli güvenlik önlemleri alınmazsa veriler çalınabilir ya da kaybolabilir.
VERİ SIZDIRILMASI
Bulut ortamının yapısı gereği müşteriler kaynakları paylaşırlar. Bu durum veri sızıntısı riskine sebep olur. Hizmet sağlayıcıların bu ihtimalin önüne geçmesi gerekir. Bu durumun önüne geçmek için sızdırma engelleme yazılımları kullanılabilir. Bir başka yöntem de kullanıcı hareketlerini izleyerek kötü niyetli aktiviteleri önceden tespit etmek ve engellemektir.
GÜVENSİZ APILER
Bulut teknolojisinde yer alan kullanıcılar ve kaynakların yönetilmesi için uygulama ara yüzleri (Application Programing Interfaces/API) kullanılıyor. Kullanılan ara yüzlerin yeteri kadar güvenli olmaması durumunda kimlik doğrulama sırasında güvenlik ihlalleri oluşabilir.
BİLGİLERİN ÇALINMASI
birden fazla kullanıcının aynı platformu kullanıyor olması saldırganların sisteme erişmesi için bir fırsat yaratır. Eğer saldırgan sisteme giriş için kullanılan kimlik bilgilerini ele geçirirse verileri değiştirmek, sahte yeni veriler üretmek gibi davranışlarda bulunabilir. Bu durumun önüne geçmek için çok faktörlü koruma veya yetkisiz hareketlerin takibi gibi önlemler alınabilir.
Bulut teknolojilerindeki güvenlik problemleri örnekleri arttırılabilir.
