LLDP (Link Layer Discovery Protocol-Bağlantı Katmanı Keşif Protokolü

LLDP (Link Layer Discovery Protocol-Bağlantı Katmanı Keşif Protokolü

Sürekli hizmet veren yerel ağlarda kullanılan cihazların sayısının ve karmaşıklığının zamanla artması muhtemeldir. Ethernet access (ethernet erişim) portları sayısı sürekli artmaktadır. Ağ cihazlarındaki giderek hızlanan artış, ağ sistemlerinde yeni teknoloji ve uygulamaları da beraberinde getirmiştir. Geçmişte birçok ağ ekipman sağlayıcısı, ağlardaki yeni cihazları keşif için kendilerine özel metotlar geliştirdiler. Buna ek olarak bu işlemi yapmaya yönelik protokoller geliştirdiler. Geliştirilen bu protokollerin bir kısmı SNMP (Simple Network Management Protocol - Basit Ağ Yönetim Protokolü) ile uyumlu olarak çalışmaktaydı. Konuşlandırma, yapılandırma, görüntüleme, izleme ve diğer ağ yönetim disiplinlerinde yeni teknolojilere uyumluluk, yeni gelişmeleri desteklemek ve takip edebilmek için bir gereklilik haline gelmiştir.

Günümüzün sürekli genişleyen ağ yapıları yönetimi basitleştiririldi. LLDP (Link Layer Discovery Protocol - Bağlantı Katmanı Keşif Protokolü), şu anda ağ topolojileri ve ağ cihazlarını keşif protokolü olarak kabul edilmiş durumdadır. LLDP, kullanılan ağ cihazlarının markasından bağımsız olarak çalışabilmektedir.  LLDP nin açık kaynak yapısı, gelecekte yeni ethernet destekli uygulamalara ve servislere yardımcı olabilecek yeni keşif özelliklerinin oluşturulması için kaynak niteliğindedir. LLDP, genel olarak ağ yönetimini kolaylaştırır ve gerekli ağ yöneticisi sayısını da azaltır.

LLDP işleyişi

LLDP, aynı fiziksel ağ içindeki Ethernet bağlantısına sahip olan cihazlar hakkında bilgi toplamak ve ağ hakkında bilgileri depolamak amacıyla tanımlanmış bir komşu keşif protokolüdür. LLDP, cihazların birbirlerinin kimlik bilgilerini, yeteneklerini, özel yapılandırma bilgilerini tespit edebilmesini de sağlar.

Yönetim Bilişim Temeli (MIB - Managament Information Base) modülleri tanımlanır. LLDP, yönetim bilişim temeli aracılığı ile sorgu yapar ve diğer cihaz da bu sorguya cevap döner. LLDP'nin genel mantığı budur.

LLDP yönlendiricileri, köprüleri, tekrarlayıcıları, WLAN (Wireless Local Area Network - Kablosuz Yerel Ağ Bağlantısı ) erişim noktalarını, IP telefonları, ağ kameraları veya üretici önemi olmaksızın herhangi bir LLDP uyumlu cihazı keşfetmek için kullanılabilir.

LLDP mimarisi

LLDP, bir veri-bağlantı katmanı protokolüdür ve MAC (Media Access Control - Ortam Erişim Kontrolü) servis katmanının üstünde çalışır. Böylece bir MAC servisini çalıştıran herhangi bir ağ cihazında kullanılabilir. LLDP,  cihazlar arasındaki bilgileri gösterir.

LLDP protokolüyle yapılandırılmış bir anahtarlayıcı LLDP trafiğine uygun bir fiziksel arayüz üzerinde LLDP mesajlarını gönderir ve alır. Bu mesajlar, her zaman ulaşılabilecek kesin bilgileri garantilemek için periyodik ve sık aralıklarla gönderilir. Bu mesajlar kullanıcıların belirlediği bir TTL (Time To Live - Yaşama Süresi) değeri ile tanımlanmış zaman aralığıyla depolanır.

TTL zamanı dolunca ileti bilgilerinin zamanı dolar ve iptal edilir. TTL değeri olarak 120 saniye başta atanan ve tavsiye edilen değerdir. Cihazların yerlerinde ve durumlarında bir değişiklik olduğunda bu süre değiştirilebilir. Eğer herhangi 

Malware Nedir ve Türleri nelerdir ?

Malware Nedir?

Kötü amaçlı yazılım, zararlı yazılım veya malware (İngilizce: malicious software [kötü amaçlı yazılım] kavramının kısaltması), bilgisayar sistemlerine zarar vermek, bilgi çalmak veya kullanıcıları rahatsız etmek gibi amaçlarla hazırlanmış yazılımlara genel olarak verilen ad. Bu yazılımlara örnek olarak virüsler, solucanlar, truva atları, rootkitler verilebilir. Genellikle yazılım (software) olarak tanımlanmalarına rağmen bazen basit kodlar halinde de olabilirler.

Bazen scumware (kirli yazılım) olarak da ifade edilen kötücül yazılımlar, hemen hemen her programlama veya betik (script) dili ile yazılabilmekte ve birçok farklı dosya türü içinde taşınabilmektedirler.

Türleri Nelerdir.

Adware

Kendi yazdığı programı satmak yerine, belirli firmalar tarafından sağlanan reklamları programın içine gömerek kullanıcıya sunan programların genel adı “adware” dır. Bu programların en belirgin özelliği ücretsiz olarak dağıtılması ve programı yazanın kazancını sizin bilgisayarınızda bu reklamları göstermesi ve sizin de gördüğünüz reklamları tıklamanızdan sağlamasıdır.

Spyware(Casus Yazılım)

Adware’ den farklı olarak, kullanıcının bilgisayarında hem belirli firmaların reklâmlarını görüntüleyip hem de bir iz kontrol mekanizması oluşturan programlara “Spyware” denir. Adware’ den en belirgin farkı sizin bilgisayarınızda ne yaptığınızı ve bir kısım kişisel bilgilerinizi (hangi sitelere giriyorsunuz, ne tür içerik sizin ilginizi çekiyor, kredi kartı numaranız nedir, internet şifreleriniz nedir vs.) daha önceden belirlenmiş bir sunucuya, internete bağlandığınız zamanlarda gönderen (bir noktada sizin bilgisayarınızda ajanlık eden) programlardır.

Worms (Solucan)

Solucan da, virüs gibi, kendisini bir bilgisayardan diğerine kopyalamak için tasarlanmıştır ancak bunu otomatik olarak yapar. İlk olarak, bilgisayarda dosya veya bilgi ileten özelliklerin denetimini ele geçirir. Solucan bir kez sisteminize girdikten sonra kendi başına ilerleyebilir. Solucanların en büyük tehlikesi, kendilerini büyük sayılarda çoğaltma becerileridir. Örneğin bir solucan, e-posta adres defterinizdeki herkese kopyalarını gönderebilir ve sonra aynı şeyi onların bilgisayarları da yapabilir. Bu, domino etkisinin getirdiği yoğun ağ trafiği işyeri ağlarını ve Internet’in tümünü yavaşlatabilir. Yeni solucanlar ilk ortaya çıktıklarında çok hızlı yayılırlar. Ağları kilitlerler ve olasılıkla sizin ve başkalarının Internet’teki Web sayfalarını görüntülerken uzun süreler beklemenize yol açarlar.

Dialer

Dialer programlar bilgisayarınızın internet bağlantı ayarlarını değiştirerek sizi ödemeli bir telefon hattına yönlendiren programlardır. Siz bu dialer programlar bulaştığı esnada her zamanki gibi internete bağlanırken eve şişik bir telefon faturası gelince şoke olursunuz, çünkü faturanız birden belki de 10 katı ile artmıştır. Bunun nedeni bu bilgisayarınıza bulaşan dialer programlar internete bağlandığınız numarayı biraz önce belirttiğimiz gibi ücretli bir yurtdışı hattı veya 900lü bir hat ile değiştirip sizi her internete girişinizde bu ücretli hatlar aracılığı ile internete bağlamıştır.

 Virus

Virüsler birer programdır. Fakat kendi kendilerini kopyalarlar, bir yerden bir yere bulaşırlar. Bilgisayarınız çalıştırıldığında otomatik olarak faaliyete geçerler. Bir virüsün bir diğer dosyaya veya sürücüye geçmesi çok kolaydır. Örneğin virüslü bir disket bilgisayara takıldığında disketin içinde hangi dosyaların olduğuna bakıldığında yani “dır” yazılıp enter tuşuna basıldığında virüs anında bilgisayarınıza bulaşabilir.

Macro Virusu

Bilgisayarınızda kullanıdığınız bazı paket programların, eksik kaldığı yada ihtiyazınızı karşılayacak şekilde bu kullanılan temel programa yardımcı olarak geliştirilen programlar vardır. Bu yardımcı programın yazım dilinde temel programla aynı olur. Bunun gibi bazı paket programların “Macro” adı verilen yardımcı paketlerle yazı yazma, işlem yapma, tablo oluşturma gibi temel bazı çaılşmalar sırasında birçok işlemleri otomatik ve daha kolay yapmanızı sağlayabilir. Programların bu özelliğini kullanarak yazılan virüslere “macro virüsleri” adı verilir. Bu virüsler, sadece hangi macro dili ile yazılmışlarsa o dosyaları bozabilirler. Macro virüsleri hangi temel programa ek olarak yazılmışlarsa o programı her çalıştırmanızda aktif hale geçer ve ilgili programların kullandığı bazı tanımlama dosyalarına da bulaşmaya çalışır. Böylece o programla oluşturulan her dökümana virüs bulaşmış olur.

Trojan(Truva Atı)

Mitolojideki Truva atı nasıl bir armağan gibi görünüp, aslında Troya kentini ele geçirecek Yunanlı askerleri taşıyorduysa; bugünün Truva atları da yararlı yazılımlar gibi görünen bilgisayar programlarıdır, ancak güvenliğinizi tehlikeye atar ve pek çok zarara yol açarlar. Yakın geçmişteki bir Truva atı, Microsoft güvenlik güncelleştirmeleri olduğu iddia edilen eklerin bulunduğu bir e-posta görünümündeydi, ancak ekteki dosyaların virüsten koruma ve güvenlik duvarı yazılımlarını devreden çıkarmayı hedefleyen virüsler olduğu ortaya çıktı.

 Trap doors (Tuzak Kapanları)

“Tuzak kapısı ya da arka kapı, bir sistemin yazılımını yapan kişi tarafından, yazılımın içine gizli bir şekilde yerleştirilen bir virüs yazılımıdır. Bu programın çalıştığı bilgisayara virüsü yerleştiren kişinin, uzaktan erişim yöntemiyle sistem koruyucularını aşarak sızması mümkündür.

 Exploit

İşletim Sistemleri ve bazı programların açıklarını bulup bu açıkları kötüye kullanma yöntemine “exploit” deniliyor. Exploit’ler ile sistem şifreleri görülebilir, sistemler hakkında bilgiler elde edilebilinir. Exploitler sistemin olağan olarak çalışmasına engel olurlar ve sisteme dışardan kod göndererek sistemi normal olarak çalıştığına ikna ederler ve genelde de yetkisiz erişim için kullanılmaktadır. Bu tip virüsler, bulaştıkları bilgisayarın hafızasında bulunan e-posta adreslerinin hepsine o bilgisayar üzerinden e-posta göndererek virüsün diğer bilgisayarlara da bulaşmasını sağlarlar. E-maili alan kişi, gelen mailin daha önceden haberleştiği ve tanıdığı bir kişiden geldiğini görerek maili açmakta hiç tereddüt etmez ve kendi bilgisayarına da virüsü bulaştırır. Virüs bu bilgisayar üzerinde de ayanı işlemi tekrarlayarak yayılmaya devam eder.
Bu tip virüslerin birçok kullanıcıya hitap eden serverlara bulaştığını düşünürsek, servera bağlanan her bilgisayara bu tip virüslerin bulaşması ile bir anda birçok bilgisayar zarar görmektedir.

Nasıl Korunulur,Nasıl Temizlenir.

Korsan olmayan orjinal Windows kullanılarak ve bilgisayarınızda güncel Antı-Malware programı bulundurularak bunun önüne geçilebilir.

OSPF Protokolü

OSPF Yönlendirme Protokolü

OSPF ip adreslerinin yönlendirilmesinde kullanılan bir routing protokolüdür. Çok basit bir komutla yapılabilen OSPF konfigürasyonu çok iyi yapılandırılmalıdır değilse karmaşık bir yapı ile karşılaşabilirsiniz. Farklı firmalar tarafından komut satırlarına yazılan kodlar farklı olsa da bir protokol olduğu için mantık aynıdır.

OSPF, ağda bir değişiklik olduğu zaman güncelleme paketi üretir. Bir bağlantının durumu değiştiğinde, bunu tespit eden yönlendirici, LSA (Link-State Advertisement - Hat Durumu İlanı) denilen paketi yayınlar. LSA paketi, bütün komşulara iletilir. Her yönlendirici cihaz LSA’nın bir kopyasını alır, LSDB (Link-State Database - Hat Durumu Veritabanı) ‘ yi günceller ve LSA’yı komşu yönlendiricilere iletir. Gönderilen bu LSA sayesinde bütün ağ, ağdaki değişikliği algılayıp bunu yeni topolojiye yansıtır. LSDB, hedef ağa giden en iyi yolu hesaplamak için kullanılır.

Öte yandan, OSPF bir ağa kaç adımda ulaşabildiğini değil bir ağa ne kadar zamanda (veya hangi hızda) ulaşabildiğini yollar. Dolayısıyla, RIP'te görülebilen sonsuza kadar sayma sorunu ortadan kalkmış olur.

Güvenlik kısmında ise OSPF yönlendiriciler arası iletişim kimlik kanıtlama kullanırlar. Basit olarak her router aynı paraloyu kullanma ve MD5 olmak üzere iki çeşit doğrulama kullanılabilir.

Cisco ve Juniper arasında ospf komutları.

CİSCO

router ospf 1 area 0.0.0.0

Juniper

set protocols ospf area 0.0.0.0 interface ge-0/0/0

OSPF’in Özellikleri

OSPF protokolünü diğer protokollerden farklı yapan en önemli özelliği hat durumu protokolü olmasıdır. Buna göre OSPF, yol bilgisini hızlı bir şekilde öğrenme, büyük ve karmaşık ağlarda daha iyi çalışabilme ve güvenilirlik konularında oldukça başarılıdır. Ayrıca OSPF bu önemli özellikler dışında başka özelliklere de sahiptir.

·         VLSM (Variable Length Subnet Masking - Değişken Uzunluklu Alt Ağ Maskelemesi) ve Supernettingdesteklediği için daha etkili adresleme yapar.

·         Sınıfsız (Classless) bir yapıya sahiptir.

·         Ağ üzerine alınan yükün sunucular üzerinde eşit olarak paylaştırılmasını (Load Balancing - Yük Dağılımı)sağlar. Böylelikle performans kazancı sağlanmış olur.

·         AD (Administrative Distance - Yönetimsel uzunluk) değeri 110’dır.

·         OSPF protokolünde Area (Alan) değeri önemlidir. Geniş ağlarda alanlara ayırarak yönlendirme tablosunun büyüklüğü ve ağın karmaşıklığı azaltılabilir.

OSPF protokolü uzaklık vektörü protokolleri gibi metrik kullanmaz. Yani herhangi bir basamak sayısı sınırlaması yoktur. Metrik hesaplamasında Cost (Masraf) adı verilen bant genişliği ile ters orantılı olan değerler kullanır. En iyi yol, en düşük maliyetli yoldur ve en iyi rotalar yönlendirme tablosunda yer almaktadır.

OSPF protokolünde Hello (Merhaba) paketlerine gelen cevaplara göre LSA paketleri gönderilmeye başlanır. LSA paketleri içerisinde yönlendiricilerin bağlantıları, arayüzleri ve hat durumu bilgileri yer almaktadır. LSA paket alışverişini yapan her yönlendirici kendisine ait bir LSA tablosu bulundurur ve oluşturulan bu LSA tablosu diğer yönlendiricilere gönderilerek, ağ içerisindeki bütün yönlendiricilerin birbirilerinin LSA tablosunu öğrendiği bir veritabanı oluşması sağlanır. Oluşturulan bu veritabanı sayesinde ağ içerisindeki yol bilgisi ve mesafe hesaplanır. SPF algoritması yardımıyla ağ topolojisi çıkarılır ve 30 dakikada bir bu işlem yeniden gerçekleştirilir. Ağ üzerinde herhangi bir değişiklik yoksa güncelleme yapılmaz ve Hello paketleri dışında ağda herhangi bir trafik oluşturulmaz.

RİP Protokolü

RIP (Router Information Protocol) ve Yapılandırılmasında kullanılan basit cisco komutlar

 Yönlendirici Bilgi Protokolü anlamına gelen RIP, bir TCP/IP ağındaki router'ların birbirini otomatik olarak tanımasında kullanılan bir iç yönlendirme protokoldür. Aynı zamanda uzaklık vektör algoritmasına dayanır ve IGP'nın bir uygulamasıdır. Yönlendirme kararları, düğümler arasındaki sıçramaların sayısına dayanır. Yönlendiriciden geçmek bir sıçrama sayılır.

İlk olarak XNS protokol kümesinde kullanılmış olup daha sonra IP ağ uygulamalarında kullanılmıştır.

Routing information protokol, En iyi yol seçimini yaparken tek kriter olarak hub sayısına bakar. Max. 15 hub’ı kabul eder. 16’dan sonra destination unreachable hatasını gönderir. Router bu protokolde kendisine bağlı olan networkleri 30 saniyede bir komşu router’a bildirir. (classfull bir protokoldür yani ip adresinin sınıfına ait subnet mask seçilerek gönderilir. Subnet mask girilmez diğer bir deyişle) Rip protokolünde çalışan bir router’ın routing table’ında hop sayısı 16 olanlar ulaşılamaz anlamına gelmektedir.  Router herhangi bir komşu router'dan 180 saniye bilgi alamazsa o kaydı artık kullanmıyor. Eğer 60 saniye daha bir bilgi alamazsa o router'ı yönlendirme tablosundan siliyor. Yönlendirme tablosunda kaynak adres, mask, router, interface, time gibi bilgiler vardır. Ayrıca router'lar arasında herhangi bir kimlik kanıtlaması yoktur.

Ağ topolojisindeki herhangi bir değişiklik, oraya bağlı olan yönlendirici tarafından sezilir ve yönlendirici yeni durum için değerlendirme yapar. Eğer daha iyi bir yol bulursa, önce kendi tablosunu günceller ve daha sonra komşularına yansıtır. Komşu yönlendiricilerde yeni durumu göz önüne alarak kendi tablolarını güncelleyip kendi komşularına haber verirler. Ancak değişikliği ilk yansıtan yönlendiriciye tekrar gönderilmemelidir. Böyle bir durumda kısır bir döngü oluşur.

Routing bilgi protokolünün 3 versiyonu bulunmaktadır. Ripv1, Ripv2 ve RIPng

Ripv1

Rip versiyonunun orijinal talimatnamesi, RIP’in , RFC 1058 içinde tanımlandığı üzere classful (classful ağ :1981den CIDR ‘ın(Classless Inter-Domain Routing) tanıtımına kadar internette kullanılan bir ağ adresleme mimarisidir.Bu metot internet protokol versiyon 4 için adres uzayını 5 adres sınıfına parçalar.Her bir sınıf, adreslerin ilk 4 bitinde kodlanmıştır , ya farklı bir ağ boyutunu tanımlar mesala unicast adresler için ağa bağlı bilgisayarların sayısı ya da mulitcast ağlar(sınıf D) tanımlar.) routing kullandığını söyler.Periyodik yönlendirme(routing) altağ bilgisini taşımadan güncelleme yapar , VLSM için destekten yoksundur.Bu sınırlama aynı ağ sınıfı içinde farklı boyutta alt ağlara sahip olmayı imkansız hale getirmiştir.Diğer bir deyişle , bir ağ sınıfında ki tüm alt ağlar aynı boyuta sahiptirler. Yönlendirici kimlik kanıtlaması için de bir destek yoktur bu da RIP ‘i çeşitli ataklara karşı zayıf kılar.

Ripv2

Orijinal RIP talimatnamesinin eksikliğinden dolayı ,RIP versiyon 2 1993 yılında geliştirilmiştir ve en son 1998 yılında standartlaştırılmıştır.RIp versiyon 2 alt ağ bilgisini taşıyacak hale gelmiştir ve bu da CIDR ‘ ı desteklemiştir.Geriye uyumluluğu desteklemek adına , hop sayısı sınırı 15 kalmıştır.RIP versiyon 2 eğer RIP versiyon 1 mesajları içerisindeki tüm protokol alanları sıfır olursa tamamenRIp versiyon 1 ile birlikte çalışabilirliği desteklemektedir.Ek olarak, uyumlu switch özelliği ince taneli birlikte çalışabilirlik ayarlarına da izin vermiştir. Ağa bağlı makinelerde gereksiz yüklenmeden kaçınmak için yönlendirme içerisine katılmamıştır, RIP versiyon 2 tüm yönlendirme tablosunu 224.0.0.9 adresinde tüm komşu yönlendiricilere broadcast yayımlayan RIP v1 e karşın multicast olarak yayınlar. Özel uygulamalar için unicast adreslemeye izin verilkmiştir.RIP versiyon 2 STD56 internet standardıdır.Yön etiketleri de RIP versiyonuna eklenmiştir.Bu da tüm yönlendiricilerin EGP protokollerinden merkezi yönlerin harici yönlerden ayırt edilmelerine imkan vermiştir.

Ripng

RIPng (RIP gelecek nesil) IPv6 gelecek nesil internet protokolünün desteklenmesi için RIP versiyon 2 nin gelişmişi olarak RFC 2080 içinde tanımlanmıştır. RIP versiyon 2 ve RIPng arasındaki temel fark Ipv6 ağı için destek RIPv2 , RIPv1 ‘in güncel kimlik kanıtlamalarını desteklerken , IPv6 yönlendiricileri kimlik kanıtlama işlevi için IPSec kullanmayı desteklediğinden RIPng desteklemez. RIPv2 yönlendiricilere gelişi güzel kısaltmalar eklemeye izin verirken, RIPng izin vermez. RIPv2 her bir yönlendirme girişinde diğer hop ‘u şifreler, RIPng yönlendirme girişlerinin bir kümesi için diğer hop’un özel şifrelenmesini gerektirir. RIPng multicast grup FF02::9 u kullanarak UDP 521 portundan güncellemeleri gönderir.

Rip protokolü günümüz de yetersiz kalması sebebi ile üretici firmaları daha gelişmiş ve daha mantıklı protokolleri ortaya çıkarmaya itmiştir. Mantık olarak aynıdır. Bazı değişiklikler ve mantıklı eklentiler ve büyüyen yapılara göre OSPF , IS-IS  , BGP , EIGRP gibi protokoller ortaya çıkarılmıştır.

Yukarıda RİP protokolünün yapıldığı bir örnek topoloji var. RİP protokolünü enable etmek için bacaklarındaki bütün ip bloklarını tanımlamamız gerekiyor.

SEDAT routerımız Router0’dır J

Tüm routerlarımıza yukarıdaki gibi blokları komutlarımızla tanıttık ve

-do show ip route …..komutunu yazdığımız zaman aşağıdaki gibi tüm yapılanmayı görebiliriz.

Vlan Nedir?

Sanal yerel alan ağı (VLAN), bir yerel alan ağı (LAN) üzerindeki ağ kullanıcılarının ve kaynakların mantıksal olarak gruplandırılması ve switch üzerinde port’lara atanmasıyla yapılır. VLAN kullanılmasıyla her VLAN sadece kendi broadcast’ini alacağından, broadcast trafiği azaltılarak bant genişliği artırılmış olur. VLAN’lar ağ üzerinde uygulanarak, 2. seviye anahtarlamanın getirdiği birçok problem ortadan kaldırılır. Bunları temel olarak 3 başlık altında toplayabiliriz:

1. Broadcast Kontrol

Broadcast her protokol tarafından üretilir. Ancak yoğunluğu protokole, uygulamaya ve servisin nasıl kullanıldığına göre değişir. Düz kullanılan (VLAN uygulanmamış) 2. seviye anahtarlama cihazlarında, gelen broadcast paketi uçtakilerin alıp almayacağına bakılmaksızın, her port’a gönderilir. Ağ üzerindeki cihaz sayısının fazla olması demek, broadcastin de katlanarak artmasına ve bu paketlerin ağ üzerindeki her cihaza gönderilmesine neden olur.

İyi tasarlanmış bir ağ, ölçütlere göre segmentlere ayrılmalıdır. Bunu yapmanın en uygun yolu switching ve routing’den geçer. Bu da VLAN’lar arasında broadcast trafiğini engeller.

2. Güvenlik

VLAN oluşturulmamış düz bir ağın bir başka dezavantajı güvenliktir. Switch kullanılmayan bir ağ üzerinde iki bilgisayar arasındaki veri akışı ağa bağlı tüm cihazlara da iletilmektedir. Bu, trafik sorununa yol açtığı gibi, ağ üzerinde gelip geçen tüm paketleri dinleyen ve veri kısmını çözen yazılımlar ve hatta donanımlar sebebiyle oldukça güvensizdir. Dağıtım cihazı olarak switch kullanıldığında her port’un kendi collision segmentine ayrılması ile port’lar arasındaki bu güvenlik açığı engellenebilmektedir. Ancak düz kullanılan switch topolojisinde broadcast’in tüm port’lara gönderiliyor olması, ağ üzerindeki tüm cihazların birbirinin broadcast trafiğini alıyor olması demektir.

İkinci bir husus, bu ağ üzerinde diğerleri ile ağ ilişkisi olmayacak kullanıcı gruplarına, diğer cihazlarca erişim sağlanmakta, broadcast paketleri gönderilmektedir. Switch üzerinde ağ cihazları VLAN’lara ayrıldığında bu tarz güvenlik açıkları ortadan kalkacaktır. Bu sayede bir kullanıcının ağ üzerinde herhangi bir uca bağlanarak tüm ağı dinleme ve bilgiyi ele geçirme şansı olmayacaktır. Ancak bağlanacağı VLAN üzerinde işlem yapabilecektir.

3. Esneklik

VLAN’lar yaratılarak oluşturulmuş bir ağ üzerinde aslında broadcast grupları oluşturulmuştur. Anahtarlar üzerinde fiziksel konumu neresi olursa olsun, bir kullanıcıyı istediğiniz VLAN’a atama esnekliğine sahip olunur. Aynı şekilde zaman içerisinde büyüyen bir VLAN, yeni oluşturulan VLAN’lara aktarılabilir. Bu işlem switch üzerinde yapılacak yeni bir port tanımıyla mümkün olmaktadır.

VLAN kullanılan bir network’te, VLAN’lar arası yönlendirme için bir router’a ya da başka bir 3. katman cihaza ihtiyaç vardır. Switch üzerinde kullanılan her VLAN için bir ucun switch’den router’a gelmesi gerekmektedir.

VLAN’lar Arası İlişkiler

1. Statik VLAN'lar: Ağ yöneticisi tarafından tanımlanarak, switch port'ları üzerine atanır. Switch'in port'u yönetici tarafından tekrar değiştirilmediği sürece o VLAN'a aittir. Bu yöntem ile network yönetimi ve izlemesi kolaylaşır.

2. Dinamik VLAN'lar: Dinamik VLAN'da switch port'una bağlı cihazın VLAN'ını tanır ve o port'unu tanıdığı VLAN'a otomatik olarak atar. Network yönetim programları ile donanım adresi (MAC), protokol, ya da hatta uygulama bazında dinamik VLAN tanımlaması yaptırılabilir. Örneğin, merkezi bir VLAN yönetim uygulamasına MAC adreslerinin girildiğini düşünelim. Bir cihaz ağ üzerindeki bir switch'in, VLAN atanmamış bir port'una bağlandığında, VLAN yönetim veritabanına MAC adresi sorulur ve alınan VLAN değeri, switch'in o port'una atanır. Eğer kullanıcı değişir ya da uca bağlı cihaz değişirse, yeni VLAN değeri istenir ve port'a atanır. Bu durumda veritabanı dikkatle hazırlandıktan sonra, ağ yöneticisinin yönetim ve konfigürasyon işleri azalır. Cisco cihazlarda dinamik VLAN kullanımı için VMPS (VLAN Management Policy Server - VLAN Yönetim Sunucusu) MAC adreslerine karşılık VLAN haritası veritabanı servisini sunar.

VLAN Tanımlamaları

Vlan'lar bağlı switch'ler arasında dağılırlar. Switch fabric'i tarafından alınan paket, "frame tagging" adı verilen yöntemle ait olduğu VLAN'a atanmış port'lara (ya da port'a) gönderilir. Switch fabric, aynı VLAN bilgisini taşıyan switch'ler grubudur. Switch dünyasında iki çeşit bağlantı bulunmaktadır:

Access links; sadece bir VLAN'a ait olan bağlantıdır. Access link üzerine bağlanan cihaz, VLAN'lar arası ilişkilerden, fiziksel network'ten bağımsız olarak bir broadcast grubuna bağlı olduğu varsayımıyla çalışır. Switch'ler, access link'le bağlı cihaza göndermeden önce paket üzerindeki VLAN başlığını kaldırır. Access link üzerindeki cihazların gönderdiği paketler, bir router ya da başka bir 3. katman cihazı tarafından yönlendirilmediği sürece kendi VLAN'ları dışındaki cihazlarla konuşamazlar.

Trunk links; üzerinde birden çok VLAN taşıyabilir. Trunk link switch'ten başka bir switch'e, bir router'a ya da bir sunucuya yapılabilir. Sadece Fast ya da Gigabit Ethernet üzerinde desteği vardır. Cisco switch'ler trunk bağlantı üzerindeki VLAN'ları tanımak için iki ayrı yöntem kullanır: ISL ve IEEE802.1q. Trunk bağlantılar cihazlar arasında VLAN'ları taşımak amacıyla kullanılırlar ve VLANların tümünü ya da bir kısmını taşımak üzere biçimlendirilebilirler.

Frame tagging yönteminde, paketin geldiği switch, paketin VLAN ID'sini (VLAN numarasını) tanıyarak filtre tablosundan pakete ne yapılması gerektiğini bulur. Paket üzerindeki VLAN başlığı, trunk bağlantıdan çıkmadan önce paketten ayrılır. Eğer paketin geldiği switch üzerinde başka trunk bağlantı varsa, paket doğrudan bu port üzerinden gönderilir. Paketin ulaşacağı son cihaz, paket üzerinde VLAN bilgisine erişemez.

VLAN Tanımlama Yöntemleri

Inter-Switch Link (ISL): Cisco switch’ler tarafından kullanılır ve sadece Fast ya da Gigabit Ethernet üzerinde çalışabilir. Bu yöntem “external tagging” adı verilen, paketin orijinal boyunu değiştirmeyen, ancak 26 byte’lık bir ISL başlığını pakete ekleyerek, cihazlar arasında VLAN tanınmasını sağlayan bir yöntemdir. Ayrıca paketin sonuna paketi kontrol eden 4-byte uzunluğunda FCS (frame check sequence) alanı ekler. Paket bu eklentilerden sonra sadece ISL tanıyan cihazlar tarafından tanınabilir. Paketin büyüklüğü 1522 byte uzunluğuna kadar erişebilir ki ethernet network’ünde maksimum uzunluk 1518 byte’tır. ISL bilgileri ile zarflanan paket, access link çeşidi bağlantıya çıkacağı zaman tüm eklentilerinden ayrılarak orijinal haline geri döner.

IEEE 802.1q: IEEE tarafından geliştirilen bu standart yöntem, farklı markadan switch ya da router arasında, bir bağlantı üzerinden çok VLAN taşımak amacıyla kullanılır. Gelen paket üzerine tanımlanan standarda uygun bir başlık yerleştirilir ve cihazlar arasında pakete ait VLAN’ın tanınması sağlanır.

LAN Emulation (LANE): ATM network’ünde bir bağlantı üzerinden çok VLAN taşınması amacıyla kullanılır.

IEEE 802.10 (FDDI): FDDI network’ünde bir bağlantı üzerinden çok VLAN taşınması amacıyla kullanılır. SAID adı verilen bir VLAN tanımlama başlığını pakete ekler.

VLAN’lar Arasında Yönlendirme İşlemleri

Bir VLAN’a bağlı cihazlar kendi aralarında serbestçe konuşabilir, broadcast’lerini gönderebilirler. VLAN’lar network’ü bölümler, trafiği ayırırlar. VLAN’lar arasında cihazların konuşabilmesi için 3. katman bir cihaza ihtiyaç vardır.

Bu durumda iki seçenek vardır:

1. Bir router üzerine her VLAN için bir bağlantı eklenir ve router üzerinde gerekli konfigürasyonlar yapılarak VLAN’lar arası iletişim sağlanır.

2. ISL (ya da trunk bağlantı üzerinde VLAN tanımlaması yapabilen) bir router üzerine switch fabric’e bağlantı yapılır, gerekli konfigürasyonlardan sonra VLAN’lar arası iletişim sağlanır.

Eğer network üzerinde tanımlanacak VLAN sayısı az ise (2, 3 gibi), ilk seçeneği tercih ederek VLAN adedi kadar network çıkışı olan bir router temin edilir.

Ancak VLAN adedi fazla ve network genişlemeye açık bir network ise, ikinci seçenek tercih edilmelidir. Cisco router’lar 2600 ve sonrası modellerinde ISL desteği vermektedir. Bu durumda router’ın bir bağlantısı üzerinde (tercihen en yüksek bant genişliğine sahip olanı), ISL servisi çalıştırılır ya da router üzerine bir “route switch module (RSM)” temin edilerek yönlendirme yapılır. RSM 1005 adet VLAN desteği vermektedir ve router’ın backplane’i üzerinde çalıştığı için paket işlemesi daha düşük zamanlıdır. Router’ın Fast ya da Gigabit ethernet bağlantısı üzerinde ISL çalıştırarak VLAN yönlendirme işlemine “router-on-a-stick” adı verilir.

VLAN Trunk Protokolü (VTP)

Cisco, network üzerinde bağlı switchlerin VLAN yönetimi için VLAN Trunk Protokol (VTP) protokolünü yaratmıştır. VTP ağ yöneticisine VLANlar üzerinde ad değiştirme, ekleme, silme gibi işlemlerin yapılmasını sağlar ve yeni bilgileri ağ üzerindeki tüm switch lere bildirir. VTP;

Çok switch’li network’lerde merkezi yönetim ile konfigürasyon eksikliği, yanlışlığı gibi hataları ortadan kaldırır.
Farklı network’ler arasında VLAN trunk bağlantıları kurulmasını sağlar. Örneğin, Ethernet, ATM (LANE), FDDI arasında VLAN tanımlamalarını paylaştırır.
Hatasız bir şekilde VLAN izlemeyi ve monitörlemeyi sağlar.
Dinamik olarak eklenen VLAN’ları tüm switch’lere rapor eder.
VTP’nin ağ üzerindeki VLAN’ları yönetebilmesi için bir VTP server’ın ağa servis vermesi gerekmektedir. VLAN bilgisinin paylaşılması istenen tüm server ve switch’lerin aynı VTP domain grubuna biçimlendirilmesi gereklidir. Switch’ler VTP domain bilgisini, konfigürasyon yenileme numarasını ve bilinen tüm VLAN’ları parametreleriyle beraber yayınlarlar. Switch’ler VTP bilgilerini trunk port’u üzerinden gönderecek, fakat almayacak ve VTP veritabanını güncellemeyecek şekilde ayarlanabilir (transparent mode).

Switch’ler gelecek VTP bilgisini dinleyerek, yeni VLAN tanımını alır, trunk port’larından bu VLAN’a ait yeni bilgiyi bekler duruma geçerler. Gelebilecek olan VTP bilgisi VLAN ID, IEEE 801.10, SAID ya da LANE olabilir. Güncellemeler konfigürasyon yenileme numarasının arttırılmasıyla sağlanır. Switch kendisinden yüksek olan konfigürasyon yenileme numarası aldığında, daha yeni bir konfigürasyonun geldiğini bilir ve yeni gelen bilgiyi eski veritabanının üzerine kaydeder.

Üç çeşit VTP çalışma modu vardır: Server, Client, Transparent.

Server; Cisco Catalyst serisi switch’lerde baştan yüklü olarak gelir. Her VTP domain için VLAN ekleme, çıkarma, konfigüre etme işlemleri için en az bir VTP server’a ihtiyaç vardır. Server modda çalışan bir switch üzerinde yapılan her değişiklik, o VTP domain’ine duyurulur. Konfigürasyonu NVRAM (Non-Volatile RAM – Geçici olmayan bellek) üzerinde saklanır.

Client; VTP sunucularından bilgileri alan, güncelleme bilgilerini alıp, gönderen, fakat herhangi bir değişiklik yapamayan switch’lerdir. Konfigürasyonu NVRAM (Non-Volatile RAM – Geçici olmayan bellek) üzerinde saklanmaz, geçicidir.

Transparent; VTP domain grubuna katılmadan, gelen VTP bilgilerini trunk port’ları üzerinden aynen gönderen switch’lerdir. Kendi üzerlerinde bulunan VTP veritabanı üzerinde yapılabilecek değişiklikleri trunk port’lardan iletmezler. Konfigürasyonu NVRAM (Non-Volatile RAM – Geçici olmayan bellek) üzerinde saklanır.

VLAN Prunning

Bant genişliği tasarrufu amacıyla, VTP konfigürasyonunu broadcast, multicast ve diğer unicast paketlerini azaltmak amacıyla değiştirilmesidir. VTP prunning servisi gelen broadcast’i sadece o bilgiyi alması gereken trunk port’larına gönderir, diğerlerine göndermez. Örneğin, VLAN 5 ait hiçbir port’u bulunmayan bir switch’e gelen VLAN 5 broadcast’i, switch’in hiçbir port’u üzerinden gönderilmez. VTP prunning switch’lerde kapalı halde gelir. VTP prunning’in aktif hale getirilmesi için tüm VTP domain üzerinde aktif hale getirilmesi gerekir. VLAN 2-1005 arası prunning yapılabilir VLAn numaralarıdır. VLAN 1 yönetim amaçlı bir VLAN olduğundan hiçbir zaman prune edilemez.

IDS/IPS Hakkında

IDS - Pasif Güvenlik Çözümü

Bir saldırı tespit sistemi (IDS), gelen ve giden tüm ağ etkinliklerini izlemek ve  sisteme girmeye veya bu sisteme bulaşmaya çalışan  kişiden gelen bir ağ veya sistem saldırısı olduğunu gösterebilecek şüpheli kalıpları tanımlamak üzere tasarlanmıştır. Bir IDS ürününün ana işlevi, sizi şüpheli hareketlilik konusunda uyarmaktır - onları engellemez - çünkü IDS bir pasif izleme sistemi olarak düşünülür. Bir IDS, esas olarak ağ trafiğinizi ve verilerinizi inceler ve soruşturmaları, saldırıları, patlatmaları ve diğer açıkları belirler. IDS şüpheli etkinliğe, bir uyarı görüntüleme - saldırıları günlüğe kaydetme veya hatta bir yöneticiyi çağırma gibi çeşitli yollardan biriyle yanıt verebilir.

IDS özellikle bir virüs , solucan veya bilgisayar korsanının sonucun da olabilecek şüpheli etkinlik ve olayları araştırır. Bu, farklı solucanları veya virüsleri karakterize ederek bilinen saldırı imzaları veya saldırı imzalarını aramak ve normal sistem etkinliğinden farklı genel değişkenleri izlemek suretiyle yapılır. IDS, yalnızca bilinen saldırıların bildirimini sağlayabiliyor.

IDS terimi aslında çok sayıda ürün yelpazesini kapsamakta olup bunların hepsi müdahaleleri tespit etmenin nihai sonucunu vermektedir. Bir IDS çözümü, daha ucuz shareware veya serbestçe dağıtılan open source programlar biçiminde, daha pahalı ve güvenli bir satıcı yazılım çözümü haline gelebilir. Buna ek olarak, bazı IDS'ler hem ağınızdaki farklı noktalarda kurulu olan yazılım uygulamaları ve hardware appliances ve sensör aygıtlarından oluşur.

Bir IDS sistemini kategorize etmek için birkaç yol vardır:

Misuse Detection vs. Anomaly Detection

In misuse detection, IDS topladığı bilgileri analiz eder ve büyük saldırı imzaları veritabanıyla karşılaştırır. Aslında IDS, daha önce belgelenmiş belirli bir saldırı arar. Bir virüs algılama sistemi gibi, algılama yazılımı, paketleri karşılaştırmak için kullandığı saldırı imzalarının veritabanında olduğu kadar iyidir. Anomali tespitinde, sistem yöneticisi şebekenin trafik yükünün taban çizgisini veya normal durumunu, arıza, protokolü ve tipik paket boyutunu tanımlar. Anomali detektörü, durumlarını normal taban çizgisi ile karşılaştırmak ve anormallikler aramak için ağ kesimlerini izler.

 

Passive Vs. Reactive Systems

Pasif bir sistemde, IDS potansiyel bir güvenlik ihlalini tespit eder, bilgileri günlüğe kaydeder ve bir uyarı sinyali verir. Reaktif bir sistemde, IDS, bir kullanıcıyı kapatarak veya şüpheli kötü amaçlı kaynaklardan gelen ağ trafiğini engellemek için Firewall’ı yeniden programlayarak şüpheli etkinliğe tepki verilir.

Network-based vs. Host-based IDS

Saldırı tespit sistemleri ağ veya ana bilgisayar tabanlı çözümlerdir. Ağ tabanlı IDS sistemleri(Network-based IDS systems) ( NIDS ) genellikle ağ saldırı tespit yeteneklerini içeren bağımsız donanım donanımlarıdır. Genellikle ağın çeşitli noktalarında bulunan donanım sensörlerinden veya ağa giren ve çıkan veri paketlerini analiz eden ağınıza bağlı sistem bilgisayarlarına yüklenen yazılımdan oluşacaktır. Host-based IDS sistemleri (HIDS) gerçek gerçek zamanlı algılamayı sunmaz, ancak doğru yapılandırıldıysa gerçek zamana yakın olur.

Host-based IDS sistemleri, sistem içindeki tek tek bilgisayarlara yüklenen yazılım aracılarından oluşur. HIDS, saldırı tespit yazılımının bulunduğu belirli bilgisayardan gelen trafiği analiz eder. HIDS sistemleri genellikle ağa dayalı bir IDS ile elde edemediğiniz özellikleri sağlar. Örneğin, HIDS, yalnızca bir yöneticinin uygulayabileceği etkinlikleri izleyebilir. Ayrıca anahtar sistem files değişiklikleri ve bu dosyaların üzerine yazmaya çalışmak için herhangi bir girişim izleyebilirsiniz.  Trojans ve backdoors  girişimleri bir HIDS tarafından izlenebilir ve durdurulabilir. Bu özel saldırı olayları her zaman bir NIDS tarafından görülmez.

Ağınızın boyutuna ve izinsiz giriş tespit sistemini gerektiren kişisel bilgisayarların sayısına bağlı olmakla birlikte, HIDS genellikle uygulanması daha ucuz bir çözümdür ve daha az yönetim ve eğitim gerektirir - ancak bir NIDS kadar çok yönlü değildir. Her iki sistem de, sistemin en son virüs ve worm imzaları ile güncel tutulmasını sağlamak için İnternet erişimi ( bant genişliği ) gerektirir.

Is IDS the Same as Firewall?

Kısaca cevap hayır, Maalesef yanlış bir kullanım olarak IDS yaygın olarak firewall olarak  kullanılıyor veya güvenlik duvarı yerine geçiyor sanılıyor. Her ikisi de ağ güvenliği ile ilgiliyken, IDS, firewall ile farklıdır. Güvenlik duvarı, saldırıları önlemek için ağlar arasındaki erişimi sınırlar veya engeller;  ağın içinden gelen bir saldırı sinyali vermez. Bir IDS, şüphelenilen bir saldırıyı, gerçekleştikten sonra değerlendirir ve bir alarm sinyali verir. Bir IDS,  sistemin içinden çıkan saldırıları da izler ve size alarm olarak döner. Ağ tabanlı saldırı önleme sistemi, bir güvenlik duvarı basit filtreleme kuralları tarafından göz ardı edilmek üzere tasarlanmış kötü amaçlı paketleri de tespit edebilir.

Bir IDS, bir güvenlik duvarı veya iyi bir virüsten koruma programı yerine geçmez. Bir IDS, sisteminize özgü veya ağ çapında güvenliği artırmak için standart güvenlik ürünlerinizle (anti-virüs ve firewall gibi) birlikte kullanmak için bir araç olarak düşünülmelidir.

False Positive and Negatives

False positive güvenlik sistemlerinin meşru istekleri yanlışlıkla spam veya güvenlik ihlali olarak görmesi anlamına gelir. Yanlış ama olumlu yada olumsuz bir şeyi IDS anlayamaz. Bu sorunsal problemlerin her ikisi de IDS ile ilişkilidir. Son zamanlarda vendor firmalar bu konuda epey yol kat etmiş ve çalışmalarına devam etmektedirler.  IPS/IDS bir ürün alırken mevcut sisteminizi iyi analiz etmek gerekmektedir. Pahalı her zaman en iyisi değildir. Yada bu kurum bu ürünü kullanıyor biz de bunu kullanalım demek yanlış olur. Öncelikle kendi sisteminize göre bu ürün seçmelisiniz. Yine de, farklı IDS çözümlerine bakarken dikkate alınması gereken bir konudur.

IPS — An Active Security Solution

IPS or intrusion prevention system,  Kesinlikle işletim sistemi çekirdeğinden ağ veri paketlerine kadar tüm sistem düzeylerinde güvenlik sağlamak olan bir sonraki güvenlik teknolojisi seviyesidir.  IDS olası bir saldırıyı bildirirse, bir IPS bunu durdurma girişimlerinde bulunur. Genellikle IDS ve IPS birbiriyle entegreli çalışırlar. O yüzden bu sisteme IDPS denmektedir. IPS ve IDS en kötü özelliklerinden bir tanesi Ddos ataklarını algılayamaz hatta aksine veri hattındaki trafiğin daha fazla şişmesine ve sistemlerin geçici olarak hizmet verememesine sebep olurlar. Bir diğer sorun ise doğru yapılandırmamasından kaynaklı sorunlardır. IDS ve IPS, internet protokol(IP) adreslerini ve bu IP lerin geçtiği port numaralarını denetlerler. Bu sebeple yapılması gereken ayarlamaları hatasız bir şekilde yapıp filtreleme sağlamak gerekmektedir.

Örneğin bir şirketin kendisine ait olan bir proxy serverı kullanması , networkun dışarıya çıkmamasını sağlar ve veri iletim hızını arttırır. Ancak Telnet yada VPN gibi uzaktan bağlantı yolları ille networkünüze dahil olmak isteyen ve proxy server üzerinden web portallara girmek isteyen düşmanlara karşı IDS ve IPS tercih edilir.

Şu anda, IDS ile benzer iki tür IPS vardır. Bunlar, sunucu tabanlı saldırı önleme sistemleri ( HIPS ) ürünlerinden ve ağ tabanlı saldırı önleme sistemlerinden ( NIPS ) oluşur.

 Network İntrusion Protection System (NIPS)

Bir ağ saldırı koruma sistemi (NIPS), bilgisayar ağlarını yetkisiz erişime ve kötü niyetli etkinlikten koruyan donanım ve yazılım sistemlerinin bir kombinasyonu için kullanılan şemsiye bir terimdir.

NIPS donanımı, Saldırı Önleme ve Algılama Sistemi (IPDS) gibi özel bir Ağ İzinsiz Giriş Algılama Sistemi (NIDS) aygıtı, bir Saldırı Önleme Sistemi (IPS) veya ikisinin bir birleşiminden oluşabilir. Bir NIDS yalnızca müdahaleleri algılayabilirken, IPS, güvenlik duvarı ayarlarını değiştirme, belirli İnternet protokolünü (IP) adreslerini engelleme veya belirli paketleri tamamen bırakma gibi belirlenmiş kuralları izleyerek saldırıyı etkin bir şekilde durdurabilir. Bir NIPS yazılım bileşenleri çeşitli güvenlik duvarı , Pano ve diğer veri görselleştirme araçlarının yanında sniffer ve antivirüs araçlarını da içerir. Bir NIPS, bir kuruluşun bilgisayar ağlarını anormal trafik kalıpları için sürekli olarak izler, olay günlükleri oluşturur , sistem yöneticilerini önemli olaylara uyarır ve olası ihlalleri mümkün olduğunca durdurur. Bir NIPS, dahili güvenlik denetimi ve uyumluluk düzenlemeleri için dokümantasyon sağlamak için de yararlıdır. Casus yazılımlar , virüsler ve saldırılar büyümeye devam ediyor ve bilgisayar ağlarını uzlaşmaya karşı korumak için birlikte çalışan güvenlik sistemlerinin katmanlı bir kombinasyonunun gerekli olduğu artık biliniyor. NIPS'ler herhangi bir biçimde, yetkisiz kişiler tarafından erişilebilen herhangi bir bilgisayar ağı için hayati önem taşımaktadır. Hassas verileri barındıran bilgisayarların her zaman korunması gerekir; Bununla birlikte, görünüşte anlamsız ağlar bile botnet saldırılarında kullanılmak üzere kaçınılabilir.

Host saldırı önleme sistemleri (HIPS)

Ana bilgisayar saldırı önleme sistemi (HIPS), kötü niyetli etkinlikleri tanımlamak ve önlemek için üçüncü parti yazılım araçlarına dayanan bir güvenlik yaklaşımı diye düşünmek gerekiyor.Ana bilgisayar tabanlı saldırı önleme sistemleri tipik olarak uç nokta aygıtlarını korumak için kullanılır. Kötü amaçlı etkinlik tespit edildiğinde, HIPS aracı bilgisayar kullanıcısına bir alarm göndermek, kötü niyetli etkinliği gelecekteki araştırmalar için günlüğe kaydetmek, bağlantıyı sıfırlamak, kötü amaçlı paketleri atmak ve müteakip trafiği şüpheli IP adresinden engellemek gibi çeşitli önlemler alabilir. Bazı ana bilgisayar izinsiz giriş önleme sistemleri, kullanıcıların analiz ve olası kimlik tespiti için kötü amaçlı etkinlik ve şüpheli kod parçalarını doğrudan satıcısına göndermelerine olanak tanır. Sağlayıcı veritabanında olmayan sıfır gün saldırılarına veya imzalara karşı koruma sağlayamaz.