Son Bilgi Güvenliği Hattı: Bilgisayar Kullanıcıları

Siber saldırılara karşı güvenlik tedbirleri her geçen gün gelişmektedir. Bunun yanında işletim sistemi ve yazılım üreticilerinin de güvenlik konusunda artan hassasiyeti bugün kullanılan sistemlerin ve ağ bileşenlerinin çok daha güvenli bir hale gelmesini sağlamıştır.

Artan güvenlik seviyesini aşmak ve emellerine ulaşmak isteyen siber saldırganlar ise en kolay hedef olarak görünen bilgisayar kullanıcılarını hedef almaya başlamıştır.

Siber saldırganların bilgisayar kullanıcılarını hedef almak için kullandıkları yöntemlerin geneline “sosyal mühendislik” adı verilmektedir. Bu saldırıların amacı insan olarak sahip olduğumuz ve çoğunlukla toplum içerisinde yaşamaktan kaynaklanan bazı temel davranış kalıplarından yararlanarak hedef aldığımız kişiye istediğimizi yaptırmaktır. Sosyal mühendislik olarak adlandırılan bu saldırı türü basit tabirle dolandırıcılık olarak da sınıflandırılabilir.

SOSYAL MÜHENDİSLİK

İnsanların sahip olduğu ve dolandırıcılar kadar sosyal mühendislik saldırıları kapsamında da istismar edilen temel zafiyetleri şunlardır;

• Güvenmek: Konuştuğumuz/yazıştığımız kişiye kolayca güvenmemiz. Çoğunlukla karşımızdakinin işi, yaşı, medeni durumu, geçmiş tecrübeleri, vb. konularda söylediklerini somut kanıt aramadan doğru kabul ederiz.
• Tehdit altına girmek: Makam, sosyal statü veya ekonomik durumu bizden iyi olanlar karşısında kendimizi biraz daha düşük konumda görmemiz nedeniyle bunlardan gelebilecek talepleri yerine getirme konusunda çok az tereddüt ediyoruz. Son yıllarda artan telefon dolandırıcılığı olaylarında savcı, hakim veya polis kimliklerinin kullanılmasının arkasındaki başlıca neden budur.
• Kazanç beklentisi ile hareket etmek: Mevcut durumumuzu iyileştirmek, daha fazla para kazanmak veya herhangi kaynaktan daha fazla istifade etme konusunda çok güçlü dürtülere sahibiz. Saldırganlar bunu kullanarak bize normal şartlar altında yapmayacağımız bazı şeyleri yaptırabilirler.

Kullanıcılarımızın dış dünyayla tek haberleşme yolu eskiden olduğu gibi e-posta değildir. Sosyal paylaşım sitelerinin yaygın olarak kullanılması nedeniyle birçok kuruluşun son derece kritik noktalardaki personeli basit aramalarla bulunabilir ve iletişim kurulabilir hale gelmiştir.

Bu durum hem zararlı yazılım ve siber saldırıların çok daha kolay ve hızlı yayılmasını sağlamış, aynı zamanda da hedef saldırılar için kuruluş yapımızın rahatlıkla çizilebilir hale gelmesine neden olmuştur. Facebook gibi sosyal amaçlı kullanılan platformların yanında LinkedIN gibi profesyonel ağların geliştirilmesi amacıyla kullanılan siteler de ortaya çıkmıştır.

Bu siteler üzerindeki profiller saldırganlara hedef alacakları kuruluşun iç işleyişi, organizasyon yapısı ve hatta teknik altyapısı hakkında detaylı bilgilere erişme imkânı sunmaktadır.

Çok sayıda zararlı yazılım gördüğümüz ve kuruluş bilgilerinin akıllı telefonlara ve tabletlere taşınmasıyla önemi artan bir tehdit vektörü de akıllı telefonlardır. Bu konuda bir antivirüs üreticisinin yaptığı bir araştırma sonucu, 2015 yılının ilk 3 ayında Android işletim sistemi için her 18 saniyede yeni bir antivirüsün ortaya çıktığını göstermektedir. Akıllı telefonlardaki tehditler konusunda kullanıcılarımızın önemli bir kısmının yeterli farkındalık düzeyine sahip olmaması nedeniyle çoğunlukla zararlı yazılımların kullanıcıların kendileri tarafından yüklendiğini görüyoruz. Uygulamaları indirirken “indirilen uygulama tarafından istenen erişim izinleri” konusunda dikkatsiz davranmak akıllı telefonlarımızı tamamen ele geçirebilecek yazılımların da indirilmesine neden olmaktadır.

Bilişim teknolojilerinin güvenliğinin sadece yazılım ve donanım olarak teknik seviyede alınacak tedbirlerle sağlanması mümkün değildir. Saldırganlar bunları atlatmaya çalışmaktansa kullanıcıları kandırmayı tercih etmektedir. Bu nedenle kuruluş bünyesinde bilgisayar kullanan tüm personelin sosyal mühendislik saldırıları konusunda asgari düzeyde bilinçlendirilmesi şarttır. Bu kapsamda verilecek eğitimler sonucunda personelin ve kuruluş teknolojik altyapısına erişimi olan herkesin aşağıdaki konularda farkındalığının artması önemlidir.

Sosyal Mühendislik Saldırısı Göstergeleri

1. Acele etmelerini isteyen birinin olması,
2. Üst makamlardan geldiği iddia edilen talepler,
3. Yersiz işlemler,
4. Bilgisayarlarında alışılmışın dışında uyarı/kapanma/yeniden başlama durumları,
5. Personelin inisiyatif kullanmaya teşvik edildiği durumlar.

Yukarıdaki göstergelerden herhangi biri ile karşılaşıldığında mutlaka bilgi güvenliğinden sorumlu birime iletilmelidir.

Artan güvenlik tedbirleri saldırganların işini zorlaştırmış ancak saldırıların savunması daha zor olan bir cepheye, insana yönlenmesine neden olmuştur. Kuruluş sistemlerini kullanan personelin her gün artan sayıda siber saldırıya maruz kalması bu konuda eğitilmelerini şart hale getirmiştir.  

Yazar: Alper BAŞARAN