Saldırı analizi için bir çerçeve: NfQuery

Bazı projeler üzerinde çok çalışıldığını ama duyurmak için neredeyse hiçbir şey yapılmadığını görüyorum. Geliştirciler yaptıkları işlerinden bahsetmeyi de bir tür belgeleme olarak gördüklerinden projelerini duyurmak için pek az çaba gösteriyorlar. Elbette bu kendi bilecekleri bir iş ama geliştirilen proje kişisel kullanım için olmadığında bundan haberdar olmak bazen mümkün olmayabiliyor.

Geliştiricilerinin hepsi arkadaşlarım ve öğrencilerim olan NfQuery'den bahsetmek istiyorum biraz. GEANT3 projesi çerçevesinde ULAKBİM ekibinden, her işin üstesinden gelebilen, Murat Soysal, Emre Yüce ve Serdar Yiğit tarafından geliştirilmesine başlanan bir yazılım NfQuery. Şimdiki geliştiricileri ise öğrencilerim Serhat Rıfat Demircan ve Ahmet Can Kepenek. Serhat ve Ahmet yaz stajlarını ULAKBİM'de yaptıktan sonra bitirme projeleri olarak benim danışmanlığımda NfQuery'yi geliştirmeye devam ediyorlar.

NfQuery sorgu sunucusu ULAKBİM'de ve ona bağlı eklentiler İtalya'da GARR'da ve Çek Cumhuriyetinde CESNET'te çalışıyor. Yapılan çalışma bu yıl Hollanda'da TNC2013 Konferansında sunulacak.

Yurt dışı akademik ağlarda çok ilgi gören NfQuery, NfSen ve NfDump araçları ve bu araçların güçlü özellikleri üzerine inşa edilmiş, çoklu alan ortamlarında güvenlik uyarıları veren bir sistem.  Nfdump netflow verisini toplayan ve analiz eden araçlardan oluşuyor. Nfsen Nfdump araçlarını web arayüzü ile kullanmak ve netflow verisini grafiklerle göstermek üzere geliştirildi. Tutulan flow verisi Nfsen filtreleri ve eklentiler ile analiz edilebiliyor. Flow verisi üzerindeki anormallikleri algılayan ve tehditleri tespit eden bir çok Nfsen eklentisi mevcut. Aşağıda NfQuery’nin bileşenlerinin bir şeması var.

Çoklu alan ağlarında omurga seviyesindeki tüm akış verisinin toplanıp analiz edilmesi etkili olmayacağından NfQuery tehditleri algılamak için yeni bir yaklaşım getirerek bir sorgu sunucusuna bağlı her bir organizasyonun veya alanın Nfsen eklentisinde kullanılacak faydalı sorgular üretiyor (her sorgu bir Nfsen filtresi). Sorgular plugin vasıtası ile sorgu sunucusundan alınarak toplanmış akış verisi üzerinde çalıştırılıyor. Bu çalıştırmalar sonucunda Nfsen eklentisi tehdit ve atak bilgisini elde ediyor ve atak bilgisini sorgu sunucusuna yolluyor. Oluşturulan olay raporunda tehditi hangi sorgunun tespit ettiği, etkilenen alanlar ve istatistik bilgileri yer alıyor. Eklenti bu olay raporunu otomatik olarak oluşturarak sorgu sunucusuna yolluyor. Sorgu sunucusu da gelen olay raporuna göre uyarılar oluşturularak bu uyarılar ilgili alanlar ile ilişkilendiriliyor.

NfQuery hakkında ayrıntılı bilgiyi bu adreste bulmak mümkün. İçinde olduğumuz her şey gibi NfQuery de bir özgür yazılım, kodları burada. Her özgür yazılım projesinde olduğu gibi katkıcılar memnuniyetle karşılanıyorlar.

Son iki yıldır Akademik Bilişim Konferansı öncesinde python kursu veren Ahmet ve Serhat eminim bundan sonra da yapacakları işlerle özgür yazılım camiasının aktif birer üyesi olarak kendilerinden sonra gelen arkadaşlarına örnek olmaya devam edecekler.

Konya'ya kar yağmıyor

II. Ulaknet Eğitim ve Çalıştayı başladı ve Konya'ya kar yağmıyor, hala fırsatı kaçırmadınız ;)

1 Mayısta Konya'dayım

Geçen yıl Gökova'da yapılan "Ulaknet Eğitim ve Çalıştayı" bu yıl 1-2 Mayıs tarihlerinde Konya Selçuk Üniversitesinde yapılacak. İki günlük güzel bir etkinlik olacak diye tahmin ediyorum. 2002'deki Akademik Bilişim Konferansında gitmiştim en son Konya'ya, herhalde aradan geçen bunca yıldan sonra çok değişmiştir. Kaçıranlar için fotoğraflar koyarım Gökova'da olduğu gibi ;)

Tam da bu etkinliğin öncesinde olmasa Cisco Expo 2008'e de katılmak istiyordum ama 5 gün içinde Çanakkale-İstanbul-Konya-Ankara-Çanakkale yolculuğu (özellikle de aracı ben kullanacaksam) çok yorucu olur diye birinden vazgeçmek zorunda kaldım.

3 Mayıs tarihinde Konya-Çanakkale arasında trafikte olacağımdan shutdownday de aradan çıkmış olacak :)

eduroam'a dahil olduk

Ulakbim'in geçen yıl tanıtımını yaptığı projelerden biri olan eduroam'a bugün itibariyle biz de dahil olduk.

Ankara dışında ilk il olduğumuz gibi memleketteki üçüncü üniversite olduk bu ağa dahil olan. Peki nedir bu eduroam? Ulakbim'in sayfasından olduğu gibi aktarayım:

eduroam, Education Roaming (Eğitim Gezintisi) kelimelerinin kısaltmasıdır. RADIUS tabanlı altyapı üzerinden 802.1x güvenlik standartlarını kullanarak, eduroam üyesi kurumların kullanıcılarının diğer eğitim kurumlarında da sorunsuzca ağ kullanımını amaçlamaktadır.

eduroam üyesi kurumların kullanıcıları, kendi kurumlarında (Ev Kurum) ağa bağlanmak için kullandıkları kullanıcı adı şifre ikilileri ile, eduroam üyesi olan başka bir kurumdan (Misafir Kurum) ağa bağlanabilirler. Kullanıcı misafir kurumda iken aldığı eduroam yayınına bağlantı talebi gönderdiğinde, misafir kurumun yetkilendirme sunucusu, o kullanıcıyı kendi ev kurumunun yetkilendirme sunucusuna yönlendirerek, yetkili olup olmadığını belirler. Tüm bu sorgulamaların, sunucular arasında oluşturulan şifreli bir tünel içinden yapılması, kullanıcı adı şifre ikililerinin kullanıcının kendi ev sunucusu haricinde görülmesini engeller. Bu durumda kullanıcıların yapması gereken tek şey, misafir olduğu kurumda yer alan eduroam kablosuz ağını, kendi kurumunun ağına bağlanır gibi tanımlamasıdır.

Kısa bir süre içinde Üniversitenin her yerinde (yaşanan mekanlarda elbette, dağda bayırda değil :)) kablosuz internet erişimi sağladığımızda eğer sizin Üniversiteniz de bu ağa dahilse, kendi okulunuzdaki kullanıcı adı ve parolanızla bizim ağımızı kullanabileceksiniz. Elbette tersi de olacak: bizim üyelerimiz de (öğrencilerimiz dahil) gittikleri yerlerde SSID olarak eduroam varsa @comu.edu.tr adresleriyle ağ'a dahil olacaklar.

Bir iki gün içinde bu projeye hazırlanırken oluşturduklarımızla ilgili de yazarım. Freeradius ve arkadaşları için planlarımız var.

Bilgi İşlem'den Faik ve Sedat, bilgisayar mühendisliği öğrencilerim Figen, Şule, Cem ve Mehtap haftada bir günlerini bu işe ayırdılar. Yine bizimle çalışan Mesut başka işlere baktığından fırsatı olmadı bu projede yer almaya. İşbaran da bundan önce dahil değildi ama harika bir araç yazacak, hepim(n)iz onu kullanacağız. Hep beraber bu projeye destek olacağız. Hatta ikinci sınıf öğrencilerinden bir(ler)ini çıkış noktası burası olacak daha uzun soluklu bir serüvene başlatayım diyorum.

Akademik Bilişim Konferansı'nın başarıyla tamamlanmasının ardından yaşadığım en mutlu gelişme bu olduğundan bu kadar uzun yazdım. Akademik Bilişim'le ilgili bir ...ardından yazısı yazmadığımı farkettim şimdi ama çok geç artık ;(

gökova

Yarın sabah 4-6 Nisan arasında düzenlenecek Ulaknet Eğitim ve Çalıştayına katılmak için Gökova'ya gidiyorum. Faik ve Sedat'la birlikte zevkli bir yolculuk olacak diye tahmin ediyorum. Çok sayıda üniversiteden benzer konumlarda çalışanlarla bir arada bulunmak herkes için iyi olacak. Umarım akademik bilişimde tanıştığımız arkadaşlarla karşılaşabiliriz.