Şirketimizde kullandığımız firewall ların üretilme amacı her ne kadar güvenlik için olsada biz sistem yöneticileri , bu ürünleri en çok kullanıcıları yasaklamak için kullnaırız. Eskiden herhangi bir firewall üzerinden port kapatmak aslında bütün yasaklamaların temelini oluşturuyordu , ancak günümüzde yazılımlar kapatılamayacak olan portlardan haberleşiyorlar , bunun en açık örneği http portudur. Evet bu protokölün kullandığı 80 nolu port internet sitelerini gezinmek için ihtiyaç duyduğumuz port tur , ancak bir p2p veya instant messaging programı aynı portu kullanarak kendi serverına bağlanmakta ve kullanıcıya servis sağlamaktadır . Peki bizler 80 nolu portu kapatamıyorsak ne yapabiliriz ? İşte tam bu noktada ISA Server devreye giriyor ve her uygulamada olan imza sayesinde 80 nolu porttan geçen paketleri imzasına göre yasaklayıp izin verebiliyoruz. Bende bu makalemde bu konuda bilgi vermeye çalışacağım.
ISA Server donanımsal firewall lara göre daha az kararlı yapıya sahip olsada donanımsal firewall lardan çok daha esnektir . ( donanım üzerinde çalışan ISA Server ürünleride bulunmaktadır. Daha fazla bilgi için http://h18000.www1.hp.com/products/servers/software/microsoft/isaserver/index.html ) . Bu esnekliğe örnek vermek gerekirse ; ISA üzerinde , caching , VPN , internet kullanım raporu kullanıcı detaylı , uygulama katmanı filtresi , signature , içerik filtrelemesi , message screener , publishing ve bunların dışında satın alacağım add-on lar ile bant genişlik kontrolu , keyword ve URL filtrelemesi de yine ISA nın ekstra özellikleridir. (eklentiler ile bu özellikleri arttırmak mümkündür. )
Ben bu özelliklerden signature ( imza ) üzerinde duracağım. Uygulamalar internete çıkarken belirli bir imza kullanırlar , aslında bu uygulamaların kendilerini tanıtmaya yarayan bir bilgidir ve ISA gibi bir gateway bunu kolaylık ile yakalayabilir , bizlerde bu imzalar sayesinde hangi programın ISA üzerinden geçeceğine veya geçemiyeceğine karar verebiliriz.
Evet ISA Server üzerinde imzasını bildiğiniz bir yazılımı rahatlıkla yasaklayabilirsiniz . BU konuda yazılmış makalem sayesinde uygulama konusunda daha fazla bilgi almanız mümkündür.
http://sistemdoktoru.com/blogs/isa_sunucular/archive/2007/02/07/_3101_sa-2004-_3101_le-msn-messenger-program_3101_n_3101_n-yasaklanmas_3101_.aspx
Evet , imzayı bilmek yeterli , peki bu imzayı nasıl öğrenebiliriz ;
Ben öncelikle Microsoft un bize verdiği tabloyu kontrol ederim ;
Şekil - 1
Peki ürün tablode yok ise ? tabiki daimi yardımcımız google a bir sorarız .
Şekil ? 2
Peki google ada sorduk ama yanıt bulamadık , çünkü kullanılan program çok yaygın bir program değil , o zaman kendi imzamızı kendimiz bulacağız .
Bu işlemi yapmak için biz bir sniffer kullanırız , sniffer kelime manası ile koklayıcı demektir , biz ağ trafiğini izleyen ve bu trafiği oluşturan paketleri bize gösteren yardımcı programların tamamına bu ismi veriyoruz. Google a sniffer yazmanız halinde pek çok sniffer bulacaksınızdır ancak sniffer denilince akla ilk gelenlerden biri ethereal dir , ama bu ürün tüm trafiği karşımıza getirdiği için bu trafikten bir programa ait olan imzanın bulunması çok zordur . Yine network ü dinleyen ama bizim karşımıza sadece http signature larını getiren bir sniffer ile istediğimizi elde edebiliriz. Yine google aracılığı ile pek çok signature sniffer programı bulmanız mümkündür.
Şekil ? 3
Ben bu makalemde http://www.effetech.com/ sitesinden elde edebilceğiniz EffeTech HTTP Sniffer ürününü kullanacağım. Ürünü satın aldıktan sonra ISA Server üzerine yüklüyoruz.
Şekil ? 4
Karşılama ekranını ?next? diyerek geçiyoruz.
Şekil ? 5
Sözleşmeyi okuyoruz ve yine ilerliyoruz
Şekil ? 6
Effe Tech http Sniffer hakkında detaylı bilgi verilmektedir , isterseniz okuyabilirsiniz , ardından ?next? diyerek ilerleyelim.
Şekil ? 7
Programın hangi dizine kurulacağını seçiyoruz.
Şekil - 8
Start menüsünde hangi ismde görüneceğini seçiyoruz.
Şekil ? 9
Yükleme öncesinde bir bilgi ekranı ; ?next? dememeiz halinde yükleneceğini belirtiyor.
Şekil ? 10
Yükleme işlemi bitti ancak bu program bir arayüz ve aslında paketleri yakalayıp bu programa aktaracak olan WinPcap programınada ihtiyacımız bulunmaktadır , sisteminizde var ise kurulum sizin için bitmiştir , ancak yok ise ?Finish? dedikten sonra karşımıza aşağıdaki gibi bir pencere çıkar.
Şekil ? 11
Biz bu soruya ?yes? diye cevap verip WinPcap in kurulmasını başlatıyoruz.
Şekil ? 12
Kurulum için karşımıza yine bir karşılama ekranı geldi ve bizde ?next? diyerek kurluma devam ediyoruz.
Şekil ? 13
Sözleşmeyi kabul ediyoruz.
Şekil ? 14
Kurulum bittikten sonra programı çalıştırıyoruz.
Şekil ? 15
Programı açtıktan sonra , ilk olarak hangi network kartını dinleyeceğimizi seçiyoruz.
Şekil- 16
Ben iç network ü dinleyeceğim , çünkü istekler içeriden gelecek.
Şekil ? 17
Ağ kartını seçtikten sonra şimdi sıra geldi detaylara. Şekilde gördüğünüz düğmeye basalım ve karşımıza aşağıdaki ekran gelecektir.
Şekil ? 18
Bu ekran sayesinde dinlediğimiz paketlerin port numaralarını ( http paketlerinde port numarası 80 standarttır ancak biz yine http protokolü ama farklı bir port dinlemek istiyorsak buradan port numarasını değiştirebiliriz. ) ve yine bütün network yerine sadece referans makineyi dinleme imkanına sahibiz.
Bu ayarları yaptıktan sonra referans makinede önce imzasını bildiğimiz bir yazılımı çalıştıralaım ; Windows Messenger , evet bunun imzasını mixrosoft un sitesinden elde edebiliyoruz ve imzası : MSMSGS dir , bakalım programımız bize imza olarak ne gösterecek.
Program aracılığı ile paket yakalamaya başlıyorum ve istemci makinede windows messenger ile oturum açıyorum, sonuçlar aşağıdaki gibi.
Şekil ? 19
Şekilde görüldüğü gibi program başarılı bir şekilde programımızın imzasını elde etti. Ben ardından Windows Live Messenger BETA ve yayınlanmış Windwos Live Messenger ile denemeler yaptım ve her ikisininde imzasını yine program aracılığı ile yakaladım.
Şekil ? 20
Şekil ? 21
Bu bilgi sayesinde artık forumlarda veya google fa imza aramak zorunda değilsiniz yasaklamak istediğiniz bir program olursa eğer , Effe Tech http Sniffer yardıı ile yakalaybilirsiniz.
Bir başka uygulamada P2P olacak .En çok sorulan ve merek edilen konulardan biride emule gibi paylaşım programlarının yasaklanmasıdır . Oysaki zaten stnadart bir ISA kuralında ( http,https,dns) Emule zaten çalışamaz , çünkü emule vb p2p programları açık portlar ister ve siz açmadığınız sürecede zaten bunlar ISA tarafından kapatılmıştır.
Yine Emule http protokolünü kullanmadığı için bunun imzasını almanız mümkün değildir . ISA Server arkasında çalışan bir emule ise hiçbir server a bağlanamaz . Aşağıda çalışan ve ISA Server a takılan paketleri görüyorusunuz
Şekil ? 22
Bu makale sayesinde artık biliyorsunuz ki http protokolünü kullanmayan bir programın imzasını aramak mantıklı değil , örneğin emule , emule için gerekli olan portlar dır ve bu portlar arasında 80 yok ise siz onu zaten gerek ISA gerekse windows XP firewall u ile bile yasaklarsınız , ancak kendi port numarası olan 1863 kapalı olunca açık olan 80 nolu porttan çıkan msn gibi programlar için imza belirlemek çok önemlidir .
Umarım bu makale sayesinde şirketinizdeki tüm trafiğe hakim olursunuz.
Bir başka isa makalesinde görüşmek üzere.