Basit XP Yönetim Ayarları

Bu döküman Yeni Baslıyan XP Kullanıcıları için hazırlanmıştırPratik bazı güvenlik yöntemlerini ve ayrıntılarını gostermeyi amaclamaktadırYazdıklarımın tümünü veya bir kısmını bilen arkadaşlardan istegim konuya iliskin katkıda bulunmaları ve yeni kullanıcıları bilgilendirmede yardımcı olmalarıdır

Hepimiz gün içerisinde öyle yada böyle net’e baglanıp bir takım bilgilerle haşır neşir oluyoruzHaber,spor,BT,siyasi,dini konularFakat bunların dışında ortak yan olarak çogumuz bilgisayarları tabiri caizse “çözmek” için ugraşıyoruz

Her gün yeni bir gelişme ,yeni bir kod,yeni bir program,yeni açıklar ve yeni saldırı şekilleri ögrenip uygulamaya geçirmeye çalışıyoruzTüm bunları yaparken çogumuz saldırı metodlarına kafa yordugumuzdan savunmayı pek önemsemiyoruz veya “bana saldırmaz” mantığıyla işlerimizi yapıyoruzAma kim ne derse desin bu işlerle ugraşanların illaki başlarından küçük veya büyük olaylar geçtigine inanıyorum

Bu yazıda başta dediğim gibi işin sadece basit püf noktalarını ve kısa uygulamalarını göstermeye çalışıcamForumlarda yeni olan arkadaşların sordukları sorular var “önce nereden başlayayım?” İşte bence sorunun en güzel cevabı burada ;önce kalenizi inşa edin,kaç tane gizli kapınız var düşman nereden içeri sızar ögrenin ve delikleri tıkamaya çalışın sonra karşı ataga kalkın ki size gelen saldırılara göğüs gerebilesiniz

Şimdi sırayla başlayalım

Öncelikle XP PRO yu kurdukKayıt edenin ismini girdik ve sistem açıldıHiç bir yamadan nasibini almamış XP karşımızda ve biz onun her tarafını yamamakla mükellefizÖnce tüm driverları(anakart,ekran kartı vs ) yüklüyor ve sistemin saglıklı çalışmasını saglıyoruzİlk olarak netten microsoft’un bize sundugu yama dosyalarını indiriyoruz veya toplu halde bir cd den yukluyoruzUpdate işlemi biraz sürecektir,daha sonra Service Pack1 ve Service Pack2 yi yüklüyoruzSistemimiz şu anda açıkları kapanmış olarak gözükebilir (Eylül ayı chip dergisinde XP Pro ,SUSE,MacOS sistemleri sıfır kurulum,yamalı halleri vs teste tabi tutulmuş ve XP Pro ilk kurulumda 25 adet güvenlik açıgı vermiştirGereken yamalar yüklendikten sonra sistem en düşük risk seviyesinde bile açık vermemiş gözükmektedir) Biz yinede ufak tefek kendi ayarlarımızı yapalım

1-BIOS Şifresi : Bazı arkadaşların merak edip girmedigi bir kısım oldugunu biliyorumBIOS sistem gereksinmelerinin açılışta yüklenmesini saglarBIOS kısmına user/supervisor şifre atamanız kesinlikle yararınıza olacaktırSecurity Optionkısmından System’i seçerek PC’nin her açılışta şifre sormasını saglayabilirsinizSetup ise sadece BIOS’a giriste sifre isteyecektirBoylelikle PC ye yetkisiz kişilerin girmesinin önüne geçebilirizSistemin açılışına veya en azından BIOS girişine şifre konulmalıdır

2-Yerel ağ üzerinde çalışanlar için : cmd ekranına “net share” ve “openfiles” komutlarını yazarak paylaşımda olan dosyalarını görebilirlerAğ ortamında istenmeden kişisel dosyalarınız diger share dosyalarla karışmış olabilir

Bu durumu kontrol etmek için CMD ekranında “openfiles /Query” yazmanız yeterlidirAçık olan dosyanız listede gözüküyorsa “openfiles /local” komutunu kullanarak gereken yönergelerle dosyalarınızı saklayabilirsiniz

3-Anti-Virus yazılımları : Kaspersky,Norton Mcaffe türü programlar siz nette dolaşırken download ettiginiz,disketten veya cd’den yüklediginiz programları sürekli koruma altında tutacak ve sizden habersiz sisteme zararlı kod bulaşmasınınönüne geçecektirProgramın ayarlar (Setting) kısmındaki koruma süreçlerini düzenlemeniz yararınıza olacaktır

Güvenlik seviyesini e-posta-http vs gelecek kodlara karşı enable-açık konuma getirmelisinizSistemin açılışından itibaren otomatik korumaya (auto protect) başlamasını açmalı ve siz çıkana kadar çalışmasını açık konuma getirmelisinizKasperskybenim tercih ettigim sistemi agırlastırmayan bir programdır http://wwwkasperskycom/downloads

4-Casus / Spy yazılımları : Pek çogumuzun kullandıgı Ad-aware programını tavsiye ederimSisteminize kurmuşsanız ve sıkça nete baglanıyorsanız kısa aralıklarla programı çalştırıp sisteminiz üzerinde bu türprogramların olup olmadıgını taratmalısınızBu progr*****lar hem sistemin agırlaşmasına hemde sizin üzerinizden başkalarının nete açılmasıne/saldırı yapmasına (zombi türleri) olanak saglamaktadırGenellikle İE bu tür pop-up’lara,jawa kodlarına musade ettigi için İE kullananlar icin çok yararlı bir uygulamadır

wwwlavasoftusacom/software/adaware

5-Firewall : Program sisteminize net ortamından gelen tüm saldırıları saldırı anında size haber verirDdos,sniffing,portlarınızın taranması vs yollarla size zarar vermeye veya açıgınızı bulmaya çalışan birini Firewall programı ile belirleyebilir ve o an için gereken önlemleri alabilirsinizAklıma ilk gelen Zone alarm Pro

Kullanımı kolay ve gayet etkili bir programO an ki TCP/IP/UDP gelen-giden/SYN paketlerini izleyebilme saldırganın IP’si gibi bilgilere ulaşmamıza yardımcı olurFirewall’un güzel bir tarafıda PC mizin dışarıyla/yerel agla haberleşmesinisaglayan,bir bakıma uç noktaları diyebilecegimiz portları kontrol etmemize olanak saglamaktadırCMD ekranından “Netstat -an” yazarak açık portlarımızı,o anki baglantılarımızı görebilirizDefault olarak 80 nolu portumuz açıktır,bu http portudur ve net ortamına açılmamızı saglarBunların dışındada 25SMTP,21FTP portlarıdır

Nette kullanmıyacagımız,işimie yaramayacak portları Firewall ile kapatmalıyızSaldırgan sistemlere saldıracagında öncelikle port taraması yontemini kullanacaktırSizin açık portlarınız,eger kapatmadıysanız gözükecek ve saldırgan bu port üzerinden size baglanmaya çalışacaktırBunun dışında R3x türevi programlarla sizi NetBıos üzerinden tarayacak ve açıgınızı bulmaya çalışacaktırLamer saldırganların kullandıgı yöntemlerden kurtulmanın yolu Firewall ile portların kontrolunu ellerinize almanız ve gereksiz kapılarınızı kapamanızdır56K modemle baglananlar icin yapılacak ping saldırısı hattan dusmelerine sebebiyet verecek ve gereksiz yere zaman kaybına yol acacaktır

Saldırgan basit olarak komut satırından C:/Documents and Settings/DEEPDARK/>ping -t -l 65500 127001 seklinde ping istekleri gondererek stabil bir hatla 56k modemle baglanan kullanıcıları dusurebilirBurada -l paket boyutu, -t ise karsı makine pes edene kadar ping atması gerektigini belirtiyorFireWall’lu sistemlerde gelen/giden paketler,ping isteklerinin zaman asımı ve ne süre sonra zarar olarak algılanması gerektigi kontrol altına alınabildiginden zararlı sonuclardan bir nebzede olsa kurtulunabilirBu uygulamayı kendi Pc nizde deneyip gelen/giden paketleri gorebilirsiniz

Tabiki bunlar basit gorunen saldırılarSisteme DDoS türü güclü bir saldırı yapılırsa ve koruma programlarınız devrede degilse FireWall’unuz bu saldırıdan zarar gorecek ve tek basına yıgın paketlere karsı koyamıyacaktırWİN icin wwwfoundstonecom sitesinde DDoSPing programı ile agınız ve pc niz icin tarama yapıp ddos programcıgı kurulu olup olmadıgını tespit edebilirsinizEger varsa sizin uzerinizden saldırılar yapılıyor demektirBu sadece sizin basınızı agrıtacaktır ayrıca sistemin agırlasmasıda soz konusuAyrıca Sisteminize yapılacak DDoS saldırısı icin ZombieZapper programıyla karsı koyabilmenizde mumkun

FireWall ile kapatmanız gereken portlarınız :

5190 ICQ,AIM portu : Kapatsanızda calısır
5050 Yahoo messenger portu :Kapatsanızda calısır
4661,4662,4665,4672 portları :Sadece eMule kullanıcıları icin gerekli
1863 MSN Messenger portu :Kapatsanızda calısır
1755 Microsoft Medis Player portu :Kapatmanız gerekir
1214 Kazaa Lite portu :Kazaa Lite kullananlar icin
863 : Kapatın
190 :Kapatın
135,137,138,139,445 NetBIOS -RPC (Uzak PC baglantısı) portları : Yerel ag üzerinde degilseniz kapatmalısınız
110 POP3 portu : Posta sunucusu calıstıranlar icin
80 HTTP portu : Eger Web Server kurduysanız acık tutun
50 :Kapatın
25 SMTP portu :Posta sunucusu calıstıranlar acık tutmalıdır
22 SSH Server portu :Secure Shell kullananlar acabilirler
21 FTP portu :Ftp kullanarak dosyalarınızı yayınlayacaksanız acık tutun
5 :Kapatın
1 :Kapatın

(Portlar hakkında daha genis bilgi icin : http://wwwianaorg/assignments/port-numbers )

6-Trojan saldırısı :Trojanlar artık bu işe yeni başlayanların oyuncagı konumunda oldugu için bazı iyiniyetli tecrübesiz arkadaşlarımızın canlarını yakmaktadırBilmeyenler için söylüyorum

: Trojan denen program serverexe ve clientexe den oluşurServer yapılandırma dosyaları (editserver) olanlarıda vardır ve varsayılan portları,iconları,hangi ortamda çalıştırılacagı(startup,reboot) ayarlanabilir Uzak PC baglantı programıdırAslında gayet yararlı olmasına karşın bu niyetle kullanan pek az kimse mevcutSaldırgan serverexe programını kurbana bir şekilde gönderir ve çalıştırmasını saglar

Daha sonra kurbanın IP adresini kendisindeki Clientexe programına yazarak karşı PC’ye baglanır ve aklına gelen her türlü şeyi yapabilir

Trojan genellikle Mirc ortamında karşı tarafa yedirilirÖnce güzel bir sohbet daha sonra elimde güzel bir program var diye gönderim süreci başlarBunun dışında dosya transferi yapan programlarda msn,ıcq türevleri gibi bu program işlevsel hale getirilebiirSize trojanı gönderen kimse eger az bir bilgi sahibiyse programı ExeJoinner programıyla sizin ilginizi cekecegini bildigi bir resimle veya baska bir resme baglayabilirSiz dosyayı alıp açarsınız ve bakarsınız güzel bir çiçek resmifakat dosyaya gizlenmiş olan serverexe programı arka tarafta sizin portunuzu tüm saldırganlara karşı açmış durumda çalışmaktadırPort taraması yapan baska bir kisi ise sizin portunuzun acık oldugunu gorerek sisteminize rahatlıkla girebilir ve Pc niz artık paylasıma acılmıs olurBunun dışında sizi net ortamında bir url’ye yonlendirebilirlerUrl’ye yonlendirildiginizde gorev cubugu uzerinde tam adrese bakın ve uzantısına dikkat edin veya siz arama motorlarından rastgele site bulup tıklayabilirsiniz ve birden dosya yuklenmeye başlarDosya boyutları küçük oldugu için baglantı hızınıza göre göz açıp kapayana kadar dosya yüklenir ve siz,sizden önceki yüzlerce kurbandan sadece biri olursunuz

Bir üst maddede yazdıgım Firewall bu tür saldırılar için sizi gerektigi kadar/yapılandırmanız kadar/ koruyacaktır

En cok bilinen trojanların edit server ile degistirilmezse varsayılan standart portları sunlardır :

icqtrojana :4950 girlfriend :21554 BO :31337 ftp99cmp :1492 master paradise :40421 fire hotker :5321 socket de troje :30303 executor :80 gate crasher :6969 hackers paradise :456 hack99 keylogger :12223 netspy :31339 net monitor :7300 subseven :1243/27374 invasor :2140 Wincrach 103 :5742 Wincrach 20 :2583 silencer :1001 Devil :65000 Millenium :20001 Backdoor :1999 Evilftp :23456 Phasezero :555 Psyber Streaming Server :1509 SSTROJG :11000 Voice client :1514 Netbus :12345/20034 Schoolbus :54321

Son zamanlarda 80/http portu uzerinden yayılan virus/trojanlar cogalmaktadır( 711 trojan (Seven Eleven) AckCmd Back End Back Orifice 2000 Plug-Ins Cafeini CGI Backdoor Executor God Message Hooker IISworm MTX NCX Noob Ramen Reverse WWW Tunnel Backdoor RingZero RTB 666 Seeker WAN Remote Web Server CT WebDownloader )

Firewall ayarı yapılmadıgı surece default olarak http//80 portunuz acık olacaktırEger Web Server kullanmıyorsanız bu portunuzuda kapatmalısınız

Portlarını taramanız icin bir kac url :

http://wwwhackerwatchorg

http://wwwsecuritymetricscom

https://wwwgrccom

http://scansygatecom

http://securitysymanteccom/sscv6/d…d=ie&venid=sym

http://wwwinfosysseccom

http://wwwtools-onnet

http://wwwpopupcheckcom ( Firewall testi )

http://wwwpcflankcom ( Exploit,Browser,Trojan,Gelismis Port scanner,Gizlilik taraması vs

7-İnternet Explorer acıkları : ActiveX sorunu zararlı kodlara kapısını acıyorJava kodlarının hepsini calıstırmasıda cabasıBenim tavsiyem opera tarayıcısıdır,java,javascript kodlarını,pop-up’ları,ActiveX’i filtreleyebiliyorsunuzBöyleliklede kod çalıştırmanın önüne geçerek daha güvenli bir durumda oluyorsunuzAyrıca devamlı yeni yamaları takip etmeninde önüne geçiyorsunuz ) Gerçi SP2 yuklenmesiyle bu sorunlar kaldırılmış durumda fakat tarayıcı ile ilgili ayarlar kısmı yinede pek tatmin edici degilAyrıca her an yeni bir risk oranı yuksek acıkla karsılasabilirsiniz

Şu linklere bir göz atalım
+———————————————————————————-+
+ Opera 9x sürümlerinin verdigi açıklar ve yamalanma oranları : +
+ http://secuniacom/product/10615/ ( Açık yok yama yok ) +
+ +
+ Internet Explorer 6x sürümlerinin verdigi açıklar ve yamalanma oranları : +
+ http://secuniacom/product/11/ ( Orta kritiklik seviyesinde ) +
+ +
+ Mozilla Firefox 1x sürümlerinin verdigi açıklar ve yamalanma oranları : +
+ http://secuniacom/product/4227/ ( Daha az Kritik ) +
+———————————————————————————-+

Dunyadaki kullanıcıların cok buyuk bir kısmı IE kullndıgı icin uzerine dahada yogunlasılan bir tarayıcıBu durumda sadece opera kullanmak bile bizi bir adım daha guvende tutarOpera kullananlar/yeni yukleyecekler Araclar/Internet Secenekleri/Programlar kısmının en altındaki kısmı bos bırakırlarsa IE her baslatıldıgında size Varsayılan olarak ayarlanması gerektigini sormayacaktırAyrıca IE kullanıcıları Internet SecenekleriGizlilik kısmından ayarlamalarını yapmalı ve Gelismis seceneginde belirtilen Cookies kısmı tıklanmalıdır

IE6 Kullanıcıları SP2 yukleselerde microsoft’un sitesinden IE6 icin toplu guvenlik yamasını yuklemeleri gerekmektedir ( http://searchmicrosoftcom/search/r…tr&qu=kb834707 )


8- XP yonetim ayarları :Calıstıra gpeditmsc yazın ve buradan gerekli yapılandırmanızı yapınOnem seviyesi yuksek bir cok ayar var ama uzun surecegi icin size bırakıyorum: Mesela Kullanıcı Yapılandırması Yonetim sablonları Ag Ag baglantıları veya Win ayarları Guvenlik ayarları gibiDefault olarak XP yapılandırmasında size net uzerinden baglanılmasına olanak var veya ag uzerinden ziyaretcilerin (guest) rahatca PC’nizde gezmeleri gibiBuradaki ayarlamaları düzgün yapmalısınızHer bir ayarın tek tek incelemenizi tavsiye ederimOzellikle

sıkı guvenlik onlemleri alınmamıs ag uzerinde calısanlar kendi ayarlarını yapabilirlerBurada degisiklik yapmadan önce sisteminizde bir yedek almanızda yarar varYedek yerine sisteminiz icin geri yukleme noktası olusturabilirsinizBunuda Bilgisayarım/Ozellikler/Sistem geri yukleme den yapabilirsinizPC de sorun cıktıgı zaman acılısta safe modda baslatın ve “Last Known Good Confg kısmından eski calısan ayarlarınızın yuklenmesini saglayın

9-Program zaaflıgı : Denetim masası Yonetimsel araclar Hizmetleri acın,buradan messenger,ıcq vs 3parti yazılımlar yoluyla size ulasmaların onune gecinProgramları once uzerinde sag tıklayıp durdurun daha sonra devre dısı yapınBu tur programların startup da calıstırılmasını (msconfig) onleyerek sisteminizin daha hızlı acılmasını saglayabilirsinizAyrıca netten bilmediginiz programları yuklemeyinGenellikle buyuk sitelerden ddownload yapmaya özen gösterinHangi programın hangi portu actıgını bilmezseniz bu sizin zararınıza olurNet uzerinde surekli kullanmıyacagınız programları kaldırın,gerektiginde yukleyin

10-Kayıt defteri girdileri : Pc nizi sizden baskalarıda kullanıyor ve her acılısta sifre sormadan her kullanıcıya Root yetkisi veriyorsa bunu engellemek icin HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/WindowsNT/CurrentVersion/Winlogon altındaki degeri silebilirsiniz

C: altında bulunan pagefilesys dosyasının her oturumda tuttugu sifre,kullanıcı adları gibi girdilerin oturum kapatıldıgında silinmesi gerekirBunun için HKEY_LOCAL_MACHINE/SYSTEM/CurrentControl/SetControl/SessionManager/Memory Management bolumundeki ClearPageFileAtShutdown DWORD Degerine cift tiklayip Deger Verisi olarak 1 girerek her baslangıcta sistemin dosyayı,dolayısıyla gizli bilgilerimizi saklı tutmamasını saglayabiliriz ( 10 madde alıntıdır )

11-Bazı basit puf noktaları :

Not: Komutlar XP Pro altında denenmistir

Komutlar ;Çalıştır ekranından yapabiliriz

1- certmgrmsc = Sertifikaların yapılandırılması

2- ciadvmsc =Dizin oluşturma hizmetleri

3- cliconfchm = SQL Server / Client Ağ Yardımcı Programı

4- cliconfexe = Usttekinin kullanılan Programı

5- compmgmtmsc =Bilgisayar Yonetimi

6- devmgmtmsc =Aygıt Yoneticisi

7- dfrgmsc =Disk Birlestirici

8- dfrgfatexe= FAT Dosya Sistemleri icin Disk Birlestirici

9- dfrgntfsexe =NTFS Dosya Sistemleri icin Disk Birlestirici

10- diskmgmtmsc = Mantıksal Disk Yonetimi ( Bende Hata Verdi )

11- wmimgmtmsc =Windows Yonetim Alt Yapısı /WMI/

12- eventvwrmsc =Olay Goruntuleyıcı02:46 07102004

13- fsmgmtmsc= Paylasılan Dosyaları Goruntuler

14- lusrmgrmsc= Yerel Kullanıcı ve Gurupların Duzenlenmesi

15- ntmsoprqmsc= Cıkarılabilir Depolama Birimi İsletmen İstekleri

16- ntmsmgrmsc = Ust Satırın Aynısı

17- perfmonmsc= Performans Izleyici

18- rsopmsc= Sonuc İlke Gurubu // Kullanıcı Hakları Atanması ve Guvenlık secenkerlındeki Yapılandırma İyi Yapılmalıdır ! //

19- secpolmsc=Yerel Guvenlik Ilkesi

20- comexpmsc= Bilesen Hizmetleri

21- mmc =konsol köku

22-gpeditmsc=Grup İlkesi

Bunlarda bir kaç tane yardımcı program,yine çalıştır ekranından veya cmd’den kullanıyoruz

1- winverexe = Windows’un versiyonunu verir

2- syskeyexe = Hesap Veri Tabanı Sifrelemesi

3- seceditexe = Guvenlik Yapılandırması

4-openfiles = LAN ortamında veya kucuk ag’daki paylasıma acık Dosyaları Gosterir

5-net share = PC Payalstırılmıs Gorunen Suruculeri GosterirBurada C:/D: C:Win Paylasıma acık gorunebilirBunlar sistemin kendi atadıgı degerlerdirYani normalde paylasım yokVar olan deger dedigi sistemin belirledigi /uzaktan yardım/Uzak yonetici/guest hesaplarının var olmasından ileri gelir

**// Araclar/İnternet Secenekleri/Gelismis kısmında Guvenlik baslıgının altındaki ilk iki maddedeki tıklamayı kaldırınAyrıca bu baslık altında IE kapatıldıgında Temp’i kapat’ı secin (opsiyonel)Tarama baslıgı altında IE guncellestirmelerini kapatınIE icin kod hata ayıklamasını bos bırakın

**// Bilgisayarınızdan gereksiz hesapların silinmesi ;Denetim masasıYonetimsel araclar Bilgisayar Yonetimi Yerel Kullanıcılar ve Guruplar bolumunden gereksiz uyelikleri silmelisiniz

**// Uzaktan erisimin engellenmesi ; Bilgisayarıma sag tıklayın ve özelliklere gecinUzak baslıgı altında tıklama varsa kaldırınFirewall baslıgındaki Uzak baglantı portlarınıda kapatın

**// NetBios uzerinden Pc ye ulaşılmasını engelleme (Ağ üzerinde olanlar için) ; Ag baglantılarına sağ tıklayın özellikler nete baglanırken kullandıgınız simgenin üzerine sag tıklayın özellikler Ag iletisimi TCPIP yi secin özellikleri tıklayın Genel penceresinden Gelişmişi secin WINS kartınızı enkinlestirin NETBIOS ayarı baslıgındaki “TCP/IP uzerinde NetBıos’u devre dısı bırak”ı tıklayınArtık TCP ile NetBıos arasındaki bag kopmus durumdaNetBIOS artık TCP mantıgı gibi dosyalarınızı paylasıma acamayacaktır

**// Bildigim ADSL standart sifreleri şunlardır -Link ADSL Modem=admin:admin , Zoom ADSL Modem=admin:zoomadsl , Zyxel ADSL Modem=admin:1234 Inca admin=epicrouter Standart hallerinde kalmaları buyuk sorunlara yol açabilirKesinlikle degistirilmeli ve yapılandırması dogru yapılmalıdır IP adresiniz yonlendirilerek sizin uzerinizden saldırı yapılabilirHat kopmaları ,yavaslamalar yasanabilirSonucta faturada size çıkar

**// Pc hızlı kapanması : HKEY_CURRENT_USERControlPanelDesktop anahtarına gelin ,sag tarafta bulunan AutoEndTasks degerine 1 yazınSistemlerin kapanma süresini azaltmak icin HKEY_LOCAL_MACHİNESYSTEMControlSet001Control anahtarına gelin sag tarafta bulunan WaitToKillServiceTimeOut kısmına 2000 yazınİsteyen 20 yazsın

**// İE loglarının silinmesi : Ozellikle cafeden baglanan arkadaslar icin, Explorer da Araclar İnternet Secenekleri kısmında Gecmisi silinAyarlar kısmında dosya goruntuleyı tıklayın ve klasorun icerigini silinAyrıca İcerik Otomatik tamamlama kısmındada gerekli düzenlemeleri yapın

Bu dokuman ilk akla gelen,genel olarak bilinmesi gereken bilgilerden olusmaktadırYazıyı cok daha uzatmak mumkundur fakat bu sadece sizin arastırmacılıgınızın onune gecer