fbi'nin cjis v6.1 güvenliği: sistem yöneticileri için acil bilgilendirme

arkadaşlar, fbi’nin cjis güvenlik politikası v6.1’i duydum mu? hayır mı? işte sorun bu. amerikan kolluk kuvvetleri ve devlet kurumlarıyla çalışan herkes için bu güncellemeler ciddi ciddi önemli. şimdi ne değişti, neler yapmanız gerekiyor, hep o konuları konuşacağız.

nedir bu cjis v6.1 meselesi?

cjis (criminal justice information services) dediğimiz şey, fbi’nin adalet sistemiyle ilgili veritabanlarına erişim için belirlediği güvenlik standartları. kısacası, polis, emniyet, hakim, savcı - hepsi bu sistemi kullanıyor. ve fbi diyor ki: “beyler, güvenliği sıkılaştırıyoruz, hazırlansanız iyi olur.”

v6.1 ile birlikte gelen değişiklikler çok ciddi. şifreleme, güvenlik açığı taraması, kimlik doğrulama - hepsi daha sıkılaştırıldı. spoiler: bu sadece amerikan kurumlarını etkilemiyor, global olarak çalışan şirketler de etkileniyor.

neler değişti? (işte önemli kısım)

1. şifreleme gereksinimleri (kripto-zorluk)

v6.1’de şifreleme standartları güçlendirildi. eski, zayıf şifreleme yöntemleri artık kabul görmüyor. yani:

• tls 1.2 minimum (tls 1.0 ve 1.1 rip)
• aes-256 bitlik şifreleme (artık 128 yetmiyor)
• end-to-end encryption gerekli (veriler transit sırasında korunmalı)

ne yapacaksınız:

• şu anda hangi şifreleme protokolü kullandığınızı kontrol edin
• eski tls versiyonlarını disable edin
• ssl/tls sertifikalarınızı güncelleyin

2. sürekli güvenlik açığı taraması (scan scan scan)

eski sistem: “ayda bir tarar mıyız?” yeni sistem: “sürekli taramalı mı?”

cjis v6.1 diyor ki, artık güvenlik açığı taraması sadece periyodik değil, sürekli olmalı. yani:

• otomatik güvenlik açığı taraması (vulnerability scanning)
• penetration testing düzenli aralıklarla
• log monitoring 24/7

spoiler: bu demek oluyor ki, artık “ayda bir tarama yaptık, tamam” demek yetmiyor. sistem her zaman gözlem altında olmalı.

3. kimlik doğrulama: mfa zorunlu

multi-factor authentication (mfa) artık opsiyonel değil, zorunlu. yani:

• basit şifre yetmiyor
• telefon kodu, biyometrik, donanım anahtarı - birden fazla faktör gerekli
• root/admin hesaplarında mutlaka mfa olmalı

4. parola politikaları sıkılaştırıldı

• minimum 12 karakter (eski sistem 8 idi)
• büyük harf, küçük harf, sayı, sembol hepsi zorunlu
• parola geçmişi: son 24 parolayı tekrarlayamıyorsunuz
• parola değişim süresi: her 90 gün (eski sistem 180 idi)

edit: cisa da bu politikaları destekliyor, yani bu sadece fbi’nin kaprisı değil.

etkilenen sistemler (şunu bi kontrol edin)

yapmanız gerekenler (hadi bakalım, işe koyulun)

adım 1: audit yapın (ilk iş)

şu anda sisteminizin durumunu tespit edin:

# TLS versiyonlarını kontrol et (Linux/macOS)
openssl s_client -connect example.com:443 -tls1_2

# Windows'ta SSL/TLS sertifikalarını listele
Get-ChildItem -Path Cert:\LocalMachine\My

# Parola politikasını kontrol et (Windows)
Get-ADDefaultDomainPasswordPolicy

# MFA durumunu kontrol et
# (Bu kullandığınız sistemin arayüzüne göre değişir)

adım 2: şifreleme protokollerini güncelleyin

# Apache'de TLS 1.2+ zorunlu kıl
# /etc/apache2/mods-available/ssl.conf dosyasını düzenle
SSLProtocol TLSv1.2 TLSv1.3
SSLCipherSuite HIGH:!aNULL:!MD5

# Nginx'de
# /etc/nginx/nginx.conf dosyasını düzenle
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;

adım 3: mfa’yı zorunlu yapın

windows ortamında (active directory):

• Azure AD’de conditional access rules ekleyin
• Microsoft Authenticator uygulamasını dağıtın
• FIDO2 security keys desteğini aktif hale getirin

linux ortamında:

# Google Authenticator kurulumu
sudo apt-get install libpam-google-authenticator

# SSH'de MFA'yı aktif hale getir
# /etc/pam.d/sshd dosyasına ekle
auth required pam_google_authenticator.so

adım 4: parola politikasını sıkılaştırın

windows (group policy):

gpedit.msc → Computer Configuration → Windows Settings → Security Settings → Account Policies → Password Policy
- Minimum password length: 12
- Password must meet complexity requirements: Enabled
- Maximum password age: 90 days
- Enforce password history: 24

linux:

# /etc/login.defs dosyasını düzenle
PASS_MAX_DAYS 90
PASS_MIN_LEN 12

# PAM kurallarını güncelleyin
# /etc/pam.d/common-password dosyasını düzenle
password requisite pam_pwquality.so minlen=12 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1

adım 5: güvenlik açığı taraması otomasyonu

# OpenVAS ile otomatik tarama (Linux)
sudo apt-get install openvas

# Nessus kurulumu (cross-platform)
# https://www.tenable.com/downloads/nessus adresinden indir

# Qualys gibi cloud-based çözümler de kullanabilirsiniz

adım 6: log monitoring ve audit

# ELK Stack kurulumu (Elasticsearch, Logstash, Kibana)
# veya Splunk, Datadog gibi çözümler

# Linux'ta audit daemon'u aktif et
sudo systemctl start auditd
sudo systemctl enable auditd

# Audit kuralları ekle
auditctl -w /etc/passwd -p wa -k passwd_changes

geçici çözümler (hemen yamalayamıyorsanız)

spoiler: bu çözümler kalıcı değil, ama zaman kazanır:

1. ağ seviyesinde kısıtlama:

   • Eski TLS versiyonlarını firewall’da blokla
   • Sadece güvenli IP’lerden erişim izni ver

2. vpn zorunluluğu:

   • Tüm cjis sistemlerine VPN üzerinden erişim sağla
   • VPN’de MFA’yı zorunlu kıl

3. segmentasyon:

   • Hassas sistemleri ayrı network segment’ine al
   • DMZ mimarisi kullan

4. monitoring:

   • Şüpheli aktiviteleri real-time izle
   • SIEM (Security Information and Event Management) sistemi kur

audit zamanlaması (şunu unutmayın)

fbi cjis auditleri genellikle:

• yılda bir kez yapılır
• önceden haber verilir ama tam tarih belli değil
• başarısızlık durumunda sistem erişimi kesilebilir

dikkat: eğer siz bu sistemleri kullanıyorsanız ve audit başarısız olursa, cjis veritabanlarına erişim kaybedersiniz. bu demek oluyor ki polis, emniyet vb. kurumlar sistem kullanamaz.

checklist (bunu bi kontrol et)

• TLS 1.2+ aktif, eski versiyonlar disabled
• AES-256 şifreleme kullanılıyor
• MFA tüm admin/root hesaplarında zorunlu
• Parola minimum 12 karakter, kompleks gereklilikler var
• Otomatik güvenlik açığı taraması kurulu
• Log monitoring 24/7 çalışıyor
• Penetration testing planı var
• Yedekler alınıyor (günde en az bir kez)
• Disaster recovery planı hazır
• Personel eğitimi yapıldı

kaynaklar

• BleepingComputer - FBI’s CJIS v6.1: What Security Teams Need to Know
• FBI CJIS Resmi Sitesi
• CISA Güvenlik Tavsiyesi
• NIST Cybersecurity Framework

edit: bu politikalar sadece fbi için değil, tüm devlet kurumları ve federal kontraktorlar için zorunlu. eğer siz bir devlet kurumunun veya onun müteahhitinin sistem yöneticisiyseniz, bunu ciddiye almak zorundasınız.

bkz: microsoft active directory hardening, linux pam configuration, tls certificate management

Bu içerik yapay zeka tarafından oluşturulmuştur.