1. Süper kampanya ! 

    Hem vip üyemiz hemde iptv sahibi olmak istermisiniz ? Birbirinden HD kaliteli sinema ,belgesel ,ulusal ve spor kanallarını Hem HD hemde Sd olmak üzere 7/24 izleme imkanını kaçırmayın.. Üstelik 3 arkadaşını getirene 1 ay bedava... Detaylar için TIKLAYIN .. !

Security İnternette güvende miyiz?

Konusu 'Bilişim & Güvenlik' forumundadır ve Administrator tarafından 16 Şubat 2015 başlatılmıştır.

  1. Administrator
    Off

    Administrator ☾★ İmparator ☾★ Yönetici Üst Düzey Yönetici

    4.981
    24.896
    2.000
    Her geçen gün bir virüs tehlikesi, kişisel hesapların çalınması gibi haberlerle çalkanan internet ortamında ve hepimizin hayatında geniş yer tutan sosyal medyada güvenliğimiz için neler yapabiliriz?

    [​IMG]

    İnternet ve bilişim güvenliği sahasında kişilere / kurumlara teknik destek vermek ve bilgilendirmek amacıyla kurulmuş olan Bilişim Suçlarına Karşı Mücadele Derneği’yle bir röportaj gerçekleştirdik. Bilişim Sistemleri Analiz Ve Güvenlik Uzman Fatih Burak Çevik konuyla ilgili sorularımızı cevaplandırdı.

    İnternette güvende miyiz?

    F. Burak Çevik: İnternet dediğimiz kavram önce işyerlerimize, sonra evlerimize ardından da cep telefonlarımıza kadar geldi. Şimdi ise giyilebilir teknolojilerde bile internet kullanılmaya başlandı. Elbette bu teknolojileri geliştiren uzmanlar kadar bu teknolojilerin açıklarını arayan hacker diye tabir ettiğimiz insanlarda var. Bu durumda da internet dünyası güvenli olmaktan çıkabiliyor.[​IMG]

    İnternet üzerinden yapamadığımız neredeyse hiçbir şey kalmadı. E-posta yazışmaları, önemli bilgi ve belgelerin paylaşımı, alışveriş, sohbet, özel hayatımıza dair bilgiler, fotoğraflar şeklinde bu liste uzayıp gidebilir. Bu paylaşımlar yapılırken aslında sistemlerimizde bulunan ufacık bir açıktan bile bu verilerin 3. şahısların eline geçebilmesi mümkündür. Bunun sonucunda da kullandığınız sistem tamamen devre dışı bırakılabilir veya verilerin birer kopyası alınarak şantaj yapılabilir. Bu noktada aslında her şey kullanıcıya bağlıdır. Yeteri kadar güvenlik sağlanmadığı sürece internet herkes için çok tehlikeli bir yer olabilmektedir…

    Siyasi gündemin yoğun olduğu bugünlerde birçok ünlünün sosyal medya hesaplarının hedef alındığını, hatta ele geçirildiğini görüyoruz. Acaba bu nasıl gerçekleştiriliyor?

    F. Burak Çevik: Günümüz şartlarında herhangi bir haberin sosyal medyada anında büyük ilgi görmesi çokta zor değil aslında. Siyasi olaylar, bir cinayet haberi, yeni başlayacak sinema filmi, bir ünlüyle ilgili haber vb. örnekler verilebilir. Twitter üzerinden gidecek olursak Trend Topic (TT) adı altında, bir konu hakkında binlerce kişinin tweet atıp görüş bildirmesi, olay hakkında bilgi sahibi olabilmesi sağlanabiliyor. Hal böyle olunca da ilgi çeken konunun kahramanları hedef olabiliyor.

    Hesapların ele geçirilmesi iki yoldan yapılabiliyor: Birincisi, hedef sosyal medya ağının kendi sisteminde kullanıcı hesaplarını hack etmeye yönelik bir açığın tespit edilmesi ve bu açığın kullanılarak hedef hesabın ele geçirilmesidir. İkincisi ise kullanıcı kaynaklı zafiyetler yani kullanıcı odaklı saldırılardır.

    Bir hacker, Twitter ve Facebook gibi güvenliğin en üst düzey olduğu, en çok kullanılan sosyal ağların sistemlerinde bir açık bulamadığı takdirde kullanıcıların zafiyetlerini kullanması en büyük kozudur. Kullanıcının cep telefon sisteminde bulunan açıkları değerlendirebilir, phishing (oltalama) saldırısı yapıp kullanıcının sahte siteler üzerinden bilgilerini ele geçirmeyi deneyebilir, çeşitli linklere tıklatarak sistemine casus yazılım entegre edilmesini sağlayabilir. Uygulamış olduğu bu işlemlerle hedef kullanıcının verilerini elde edebilir ve hesaplarını ele geçirebilir. Göstermiş olduğu kandırma sanatına ise sosyal mühendislik adı verilir.

    [​IMG]
    Bunu bir örnekle daha de netleştirecek olursak; son günlerde TTNet Fatura e-posta başlığı altındacryptlocker adı verilen bir virüs popüler. E-posta içeriğinde faturanın normalde olması gerekenden yüksek tutarda geldiği görülmekte olup faturanın indirilmesi için bir link bulunmaktadır.

    Aslında bu linkte indirilen fatura değil hackerın hazırlamış olduğu bir casus yazılımdır. Yani kullanıcıya faturasının olması gerekenden çok geldiği belirtilerek kullanıcının dikkati çekiliyor ve kullanıcının faturayı incelemesi sağlanarak hackerın hazırlamış olduğu casus yazılımın kullanıcının bilgisayarına entegre ediliyor.

    Örneğin buraya kadar olan bölümü sosyal mühendislik tarafıdır. Teknik tarafında ise; casus yazılım kullanıcının bilgisayarına entegre edildikten sonra tüm kişisel verilerinin bir kopyası hacker tarafından alınarak orjinal dosyalar bir şifreleme algoritmasıyla şifreleniyor. Hacker, kendisine belirli bir miktar para yatırılmasına karşılık bu verilerin geri verilmesini teklif edip amacına ulaşmış oluyor.

    Artık sanal dünyada yalnızca sistemler değil kullanıcılar da hedef olmaktadır. Ele geçirilen hesaplarda en büyük etken kullanıcıların kişisel zafiyetler ve sistem güvenlik eksiklikleridir…

    [​IMG]

    “Hack” olarak bilinen bu izinsiz girişler / ele geçirmeler daha çok sistemlerin açıklarından mı yoksa kişisel hatalardan mı kaynaklanıyor? “Hack” bu kadar kolay mıdır?

    F. Burak Çevik: Bu iş aslında görecelidir diyebiliriz. Çünkü kimi yere göre tamamen sistem zafiyetlerinden kaynaklı hack yapılırken kimi yere göre kullanıcı zafiyetleri daha ön plandadır. Örnek verecek olursak güvenlik önlemlerini almamış, penetrasyon test (sızma testi) yaptırmamış, sunucu güvenliğini sağlamamış sıradan bir işletme web sitesini hacklemek bir Outlook, Facebook, Twitter gibi ünlü şirketlerin web sitelerini hacklemekten çok daha kolaydır.

    Kullanıcı tarafından bakacak olursak bu tamamen kullanıcının zafiyetinin değerlendirilmesine bağlıdır. Yani bir kullanıcı kişisel bilgisayarında bir güvenlik yazılımı bulundurmuyor, her linki bilinçsizce tıklıyor ve indirdiği uygulamaları önemsemeden açıyor olabilir. Bu durumda basit bir örnekle; kullanıcının sürekli ziyaret ettiği web sitelerin sahtesi yapılıp kullanıcıya buradan giriş yaptırılabilir - buna phishing (oltalama) adı verilir - veya e-posta yoluyla kullanıcıyla iletişime geçilip bir casus yazılımın bilgisayarına entegre edilmesi sağlanabilir. Bu durumda kullanıcı hatalarından doğan hack’ler bir adım daha öne çıkmaktadır.[​IMG]

    En sık kullandığımız sosyal ağlardan Twitter / Facebook hesaplarımızın güvenliği için nelere dikkat etmeliyiz?

    F. Burak Çevik: Öncelikle ilk yapılması gereken şey kişisel güvenliğin sağlanmasıdır. Kişisel güvenlikten kastımız kullanılan sistemlerin güvenliğidir. Bu sistem bilgisayarlar, cep telefonları, tablet bilgisayarlar üzerinde olabilir. Hepsi için ayrı ayrı güvenlik önlemleri alınması gerekmektedir. Bilgisayar için alınacak güvenlik önlemlerinden bahsedecek olursak mutlaka sistem üzerinde bir firewall destekli antivirüs bulunması gerekir. Tek başına antivirüs üst düzey koruma için yetersiz kalmaktadır.

    Bunun yanında sistem izleme monitörleri kurulup anlık sistem değişiklikleri gözlenebilir. Kullanılmayan portlar kapatılıp özellikle dışarı bağlantı isteyen programların analizi iyi yapılmalıdır. Sistem korumasının yanında kişilerin de üstüne düşen bir takım sorumluluklar vardır. Uygulamaların bilinçsizce indirilip açılmaması gerekir. Çünkü güvenilmeyen kaynaklardan indirilen uygulamalar zararlı yazılımlar içeriyor olabilir. İndirme yapılan kaynaklara dikkat edilmesi gerekmektedir. Virüsler sadece .exe olarak uygulama formatında değil .pdf, .png, .jpg, .scr, .mp3 vb. gibi doküman, resim, müzik formatlarında da olabilmektedir.

    [​IMG]
    Aynı güvenlik zaafları bilinçsizce tıklanan linklerde de ortayaçıkabilmektedir. Örnek olarak sorgusuz “downloader” denilen, sistemlere casus yazılımlar entegre etmek üzere hazırlanmış bazı araçlar bulunmaktadır. Kullanıcıya bir link verilir ve bu linke tıklanması istenir. Kullanıcı, sıradan bir linkte tıkladığını zanneder ama aslında arka planda sisteme bazı casus yazılımlar entegre edilmiş ve sistemde arka kapı açılmış olabilir. Bundan korunmak için de kişinin, tıkladığı linklere özellikle dikkat etmesi gerekmektedir.

    Kişisel güvenlik zafiyetlerinden bir diğeri de phishing (oltalama) yöntemleridir. Kullanıcının girmek istediği web site Facebook ise bu web sitesinin bir kopyası oluşturularak girilen e-posta şifre bilgilerinin hackera gönderilmesi sağlanır. Ardından da bu bilgiler kullanılarak kullanıcının Facebook hesabı çalınabilir. Bu gibi durumlarda yönlendirilen ve giriş yapılan sitelerin mutlaka kontrol edilmesi gerekmektedir.

    Kullanıcıların koyduğu şifrelerin güvenliği de önem arz etmektedir. Brute force (kaba kuvvet) saldırılarına önlem olmak bir nebze de kullanıcıların elindedir aslında. Çünkü parola ne kadar karmaşık ve uzun olursa brute force atak ile kırılması da o kadar zor olacaktır. Örnek olarak ali12345 1989mehmet vb. gibi ad, soyad, telefon numarası gibi herkes tarafından ulaşılabilecek bilgilerin kullanılmamasını tavsiye ediyoruz. Çünkü, bunlar tahmin edilmesi basit parolalardır. Bu tarz parolalar yerine örnek aSuS_229900** gibi özel karakter, sayı, büyük harf ve küçük harf içeren en az 12 karakter içeren parolalar kullanılması kullanıcıların yararına olacaktır.

    Son olarak da sosyal medya ağlarının sağladığı güvenlik önlemlerinin kesinlikle uygulanması gerekir. Günümüzde hemen hemen her sosyal medya ağında alternatif e-posta, iki adımlı doğrulama, güvenlik sorusu, önceden ayarlanmış güvenlik kodu gibi güvenlik önlemleri mevcuttur. Bu tarz güvenlik önlemlerinin kullanıcı hesaplarına saldırı gerçekleşmeden önce alınması gerekmektedir. Olası bir saldırı durumunda bu güvenlik önlemlerinden herhangi biri kullanılarak çalınan hesap geri kurtarılabilir.

    [​IMG]

    Kişisel ve kurumsal web sayfaları da sık sık saldırıya maruz kalıyor. Bunlara karşı tavsiyeleriniz nelerdir?

    F. Burak Çevik: Bu konuda ilk dikkat edilmesi gereken nokta sunucu seçimidir. Özellikle kendi sunucularını kurabilecek durumda olmayan kişilerin veya firmaların güvenilir hosting ve firmalarıyla çalışmaları gerekmektedir. Çünkü bu durumda anlaşma sağlanan firma, sunucuların güvenliklerini de aynı zamanda üstlenmiş olacaktır. Aksi durumda ise yani sıradan bir hosting firmasından hosting alındığında kendi kişisel sitelerinde bir açık olmasa bile aynı sunucu içinde başka sitede bulunan bir açık kullanıcının sitesini de tehlikeye atabilmektedir. Burada iş yine hosting firmasına düşmektedir.

    Kendi sunucularını kurabilen kişiler veya firmalar kendi sunucularının güvenliklerini kendileri sağlamak zorundadırlar. Sunucu bazlı oluşabilecek her türlü tehlikeyi göz önünde bulundurup bunları gidermeleri gerekmektedir. Örnek olarak üst tarafta bahsetmiş olduğumuz başka sitedeki açıktan kullanıcının sitesinin hacklenmesinin nedeni dizinler arası geçişlere izin verildiğindendir. Bunun kapatılması bir nebze çözüm olabilmektedir. Sunucularda dikkat edilmesi gereken noktalardan biri de gereksiz servislerin kullanımından kaçınmaktır. Yani ne kadar açık kapı bırakılırsa hacklenmesi de o kadar kolay olacaktır. Servislerin kullanılması zorunlu ise kullanıldıktan sonra servis dışarıya kapatılmalı veya IP filtresi konularak sadece sistem yöneticisinin IP adresiyle giriş yapılması sağlanmalı.

    Parolalar standardın üzerinde olmalı, servislere, panellere yapılabilecek brute force (kaba kuvvet) saldırılarında parola zayıflıklarından doğacak şifrelerin ele geçirilmesi ihtimali engellenmelidir. Panel girişlerine captcha (güvenlik kodu) koyarak brute force saldırıları engellenebilir. Bu saldırı türüne ait en iyi korunma yolu zor parolalar üretmek ve girişlerde captcha (güvenlik kodu) kullanmaktır.

    Web sayfaları internetten bulunan hazır scriptler ile oluşturulabiliyor. Bunlardan kaçınmak gerekmektedir. Scripti paylaşan kişiler bilinçli veya blinçsiz olarak güvenlik açığı bırakabilmektedirler. Scripti paylaşan kişi daha sonra hangi domainlerde bu script kurulu ise tespit edip sisteme giriş sağlayabilir ve siteniz üzerinden hacklink gibi yöntemleri kullanıp kâr amacı güdebilir.[​IMG]

    Kişinin kurumsal web sayfası var ve kadrolu olarak eleman çalıştırıyor ise kendi bünyesine sızma testi uzmanı alması önemlidir. Örnek olarak şirket web sitesinde güncellemeler veya eklemeler yapıyorsa sızma testi uzmanı da buna göre strateji oluşturup testlerini yapacaktır. Bu örnek web site bir alışveriş sitesi olabilir.

    Kişisel web sitesine sahip olan kişiler web site ve sunucu güvenliği dışında kendi güvenliklerini de sağlamalıdırlar. Phishing (oltalama) veya keylogger gibi casus yazılımlar aracılığıyla web sayfasına sahip kişinin bilgileri çalındığı takdirde o kişiye ait hesapların ele geçirilmesi de kaçınılmaz olur. Bu noktada BT Güvenlik Uzmanlarından danışmanlık alınması büyük ölçüde yarar sağlayacaktır ve bu danışmanlık sonucunda kişi kendi güvenliğini de sağlayarak kendinden kaynaklanacak olan güvenlik açıklarını da büyük ölçüde kapatabilecektir.

    Bu işlemlerin hepsi penetrasyon testi (sızma testi) yapan güvenilir firmalar aracılığıyla yaptırılabilir.

    Bu alanda sizin gibi faaliyet gösteren pek fazla kuruluş yok. Derneğinizi tanıtabilir misiniz?

    F. Burak Çevik: Dernegimiz resmi olarak 19 Nisan 2007 tarihinde kurulmustur. Türkiye'nin Bilişim Güvenliği alanindaki ilk Sivil Toplum Kuruluşudur.

    Kâr amacı gütmeyen, tamamen milletimizin bilinçlenmesi için çalışan derneğimiz , üniversitelere , polis meslek yüksek okullarına , belediyelere , özel şirketlere yönelik seminerler ve eğitimler düzenlemeye devam ediyor.

    Genç ve dinamik bir yapıya sahip olan Derneğimizin olarak misyon edindiği hedefleri şöyle sıralayabiliriz:

    - Bilişim güvenliği (siber güvenlik) konusunda çalışan kişi ve kurumları bir araya toplamak, kamu yararına projeler üretmek ve bilişim suçlarına karşı mücadele etmek

    - Bilişim güvenliği kültürünün oluşması amacıyla kurs, seminer, sempozyum, konferans ve panel gibi organizasyonlar düzenlemek

    - Bilişim sistemleri güvenliği konusunda Kamu Kurum ve Kuruluşlarını bilgilendirmek amacıyla durum analizi yapmak ve istatistikler halinde sunmak

    - Bilişim güvenliği konusunda mevcut durum yada yeni teknolojik gelişmeler ve sorunlarla ilgili her türlü düşüncelerin tartışıldığı bir platform oluşturmak

    - En önemli önceliğimiz de Bilişim Güvenliği ile ilgili yapılan / yapılacak olan yasal düzenlemelerle ilgili öneriler hazırlamak ve konuyla ilgili kamu kuruluşları ile etkileşimde bulunmaktır.

    Alıntı / BG
     
    usta™ bunu beğendi.
    Yüklüyor...
  2. usta™
    Off

    usta™ Türkiye Yönetici Moderatör Vip Üye

    9.614
    185.080
    5.201
    Teşekürler
     
    Administrator bunu beğendi.

Sayfayı Paylaş