GÜVENLİĞİ TEHDİT EDEN DİĞER UNSURLAR. Sosyal Mühendislik Sosyal mühendislik, teknik olmayan bir saldırı türüdür ve kimi zaman teknik saldırılardan daha.

... konulu sunumlar: "GÜVENLİĞİ TEHDİT EDEN DİĞER UNSURLAR. Sosyal Mühendislik Sosyal mühendislik, teknik olmayan bir saldırı türüdür ve kimi zaman teknik saldırılardan daha."— Sunum transkripti:

1 GÜVENLİĞİ TEHDİT EDEN DİĞER UNSURLAR

2 Sosyal Mühendislik Sosyal mühendislik, teknik olmayan bir saldırı türüdür ve kimi zaman teknik saldırılardan daha tehlikeli olabilir. Sosyal mühendislik değişik şekillerde yapılabilir. Örneğin bir kişi kendisini sistem yönetici gibi göstererek elektronik posta yollayabilir ya da şifresini almak istediği kişinin yanına gelip yardım etmek isteyebilir.

3 Sosyal Mühendislik Bütün bunlardaki amacı sisteme yetkisiz olarak girmek için gerekli bilgileri almaya çalışmaktır. Örneğin: o İşletim sistemi, o kripto anahtarı, o yazılım versiyonları, o şifreler vb. bilgiler saldırganın hedefleri arasında olabilir.

4 Fiziksel Ortam Açıkları Sistem odasında bulunan güvenlik duvarlarının, sunucuların ve sistem odasının fiziksel güvenliği göz ardı edilmeyecek bir noktadır. Bu odalar daima kilitli ya da manyetik kartlı olmalı ve güvenliğinden sorumlu insanların gözetiminde olmalıdır.

5 Fiziksel Ortam Açıkları 2 Ayrıca bu odalar temiz tutulmalı, tozdan ve nemden korunmalıdır. Sistem odasında bulunan bir veritabanı sunucu şifre ile korunmuş bile olsa, içeri girmeyi başaran yetkisiz bir kişi, bilgisayarı kapatıp elinde bulunan araçlarla sistemi tekrar açmak yoluyla bu sunucudaki bilgileri çalabilir ya da bilgisayarı kullanılamaz duruma getirebilir.

6 Anında Mesajlaşma Yazılımları Kullanıcılar ve şirketler için güvenlik yazılımı üreten ESET'e göre Hacker'ların yeni hedefi anında mesajlaşma yazılımları. ESET Uzmanı Bureau, anında mesajlaşma yazılımlarıyla yapılan saldırıların kullandığı yöntemin basit olduğunu ifade etti, (bkz sonraki slayt)

7 Anında Mesajlaşma Yazılımları 2 o ''Kurban listesindeki kişilerin birinden bir link içeren mesajı alır, tıklar ve solucan bulaşır. o Solucan ayrıca coğrafi lokalizasyon kullanarak kurbanın diline uyum sağlar. o Hatta bazı durumlarda kurbanın ülkesindeki güncel haber ve olaylara atıfta bulunur. o Bu tür gelişmiş teknikler en tedbirli kullanıcıları bile aldatabilir'' uyarısında bulundu.

8 Anında Mesajlaşma Yazılımları 4 Pierre-Marc Bureau'nun, anında mesajlaşma ile ilgili 7 önerisi şöyle: o 1. ''Anında mesajlaşma yazılımları aracılığı ile kişisel ve hassas bilgilerinizi kesinlikle göndermeyin. Özellikler kredi kartı bilgileriniz, banka detaylarınız, parolalarınız ve telefon veya adres gibi kişisel bilgilerinizi mesaj ile göndermeyin.

9 Anında Mesajlaşma Yazılımları 5 Pierre-Marc Bureau'nun, anında mesajlaşma ile ilgili 7 önerisi şöyle: o 2. Diğer hesaplarınız gibi anında mesajlaşma hesabınızın da güçlü bir parolası olmalı. Farklı hesaplar ve bankacılık, e-posta gibi çevrim içi servisler için mutlaka farklı parolalar kullanın. Aynı parolayı tekrar tekrar kullanmayın. Halka açık bir yerden internete bağlanıyorsanız otomatik oturum açma özelliğini mutlaka devre dışı bırakın. o.

10 Anında Mesajlaşma Yazılımları 6 Pierre-Marc Bureau'nun, anında mesajlaşma ile ilgili 7 önerisi şöyle: o 3. Çevrim içi tanıştığınız insanlar ile gerçek hayatta buluşmaktan kaçının. İlla buluşmak istiyorsanız yanınızda tanıdığınız birini de götürün. o 4. Web kameranızı kullanmadığınız zamanlarda kapatın. Bazı zararlı yazılım türleri kendi kameranızı sizi izlemek için kullanabilir. o.

11 Anında Mesajlaşma Yazılımları 7 Pierre-Marc Bureau'nun, anında mesajlaşma ile ilgili 7 önerisi şöyle: o 5. Tanımadığınız birinden gelen resimleri kesinlikle açmayın, dosyaları indirmeyin ve linklere tıklamayın. Tanıdığınız birinden gelse bile şüpheli linklere tıklamayın, dosyaları açmayın. Gelen dosya önemliyse gönderenden doğrulamasını isteyin. o.

12 Anında Mesajlaşma Yazılımları 8 Pierre-Marc Bureau'nun, anında mesajlaşma ile ilgili 7 önerisi şöyle: o 6. Tanımadığınız kişilerden gelen mesajları yanıtlamayın. Biri sizi listesine eklemek isterse ve bu kişiyi tanımıyorsanız öneriyi reddedin. o 7. İstenmeyen mesajları engelleyin.

13 Kablosuz Ağların Taşıdığı Riskler Erişim noktaları, uygun güvenlik önlemleri alınmaması durumunda, saldırganlar için kablosuz ve kablolu ağa bağlanmak için açık uç sağlar. Kablolu ağdaki mevcut önlemler saldırganın iç ağa direk erişiminin olmadığı, en azından bir güvenlik duvarı üzerinden geleceği varsayımına dayanmaktadır.

14 Kablosuz Ağların Taşıdığı Riskler 2 EN üzerinden iç ağa erişim, geniş alan ağından gelen saldırganları önlemek için o kullanılan güvenlik duvarının atlatılması ve o güvenlik açığı bulunması muhtemel birçok servise direk erişim sağlanması riskini taşımaktadır.

15 Kablosuz Ağların Taşıdığı Riskler 3 Erişim noktaları bir hub gibi davranırlar, o gelen trafiği ortak transmisyon ortamına, yani havaya gönderirler ve o bu trafik ortamdaki diğer bütün kablosuz cihazlar tarafından dinlenebilir ve kaydedilebilir.

16 Kablosuz Ağların Taşıdığı Riskler 4 Kullanılan şifreleme algoritmasının açıklıklarının bulunması durumunda bu veri paketleri olası saldırganlar tarafından çözülebilir. o Örneğin yerel ağda gönderilen Telnet / POP3 / SMTP parolaları, NTLM özetleri saldırganlar tarafından elde edilebilir, yazışmalar, e-postalar, internette sörf yapan kişilerin ilgi alanları konusunda bilgiler açığa çıkabilir.

17 Kablosuz Ağların Taşıdığı Riskler 5 Kablosuz ağdaki şifrelemenin kırılması durumunda iç ağ ile yapılacak trafiğin incelenmesi ile iç ağ topolojisi anahtar (switch) cihazı kullanılsa dahi ortaya çıkarılabilir. Saldırganlar ortama sahte erişim noktaları yerleştirebilir, ya da kendi dizüstü bilgisayarlarını basit işlemler sonucunda bir EN’ye dönüştürebilir.

18 Kablosuz Ağların Taşıdığı Riskler 6 Kablosuz ağdaki şifrelemenin kırılması durumunda iç ağ ile yapılacak trafiğin incelenmesi ile iç ağ topolojisi anahtar (switch) cihazı kullanılsa dahi ortaya çıkarılabilir. Saldırganlar ortama sahte erişim noktaları yerleştirebilir, ya da kendi dizüstü bilgisayarlarını basit işlemler sonucunda bir EN’ye dönüştürebilir.

19 Kablosuz Ağların Taşıdığı Riskler 7 Yetkili istemciler uygun şekilde konfigüre edilmezlerse, bu sahte erişim noktaları üzerinden farkında olmadan istenilmeyen bağlantı kurulmasına sebep olunabilir, ya da “araya girme (man-in-the-middle)” türü ataklara maruz kalınabilir. Kablosuz ağa bağlı istemcilere gönderilecek sahte deauthenticate mesajları ile kablosuz ağa DoS ataklarının yapılması mümkündür.

20 Kablosuz Ağların Taşıdığı Riskler 8 Kablosuz haberleşme ortamının hava olması sebebiyle fiziksel erişim kontrolü mümkün değildir. Ortamın jam edilmesi (frekans bandının gürültü seviyesinin haberleşme yapılamayacak derecede yükseltilmesi), ya da aynı frekansta hizmet veren başka erişim noktalarının ortama konulması suretiyle de DoS atakları yapılabilir.

21 Java Destekli Mobil Telefonlar Özel bir firmanın web sitesinde yer alan slogan: o “İstediğin kişiyi cep telefonundan ücretsiz takip edebilirsin! o Yapman gereken hedefindeki kişinin telefonuna ücretsiz cep takip programını yüklemek!” Görüldüğü gibi işletim sistemi yüklü olmayan cep telefonları da bilişim teknolojisi olarak güvenlik tehdidi altında.

22 Java Destekli Mobil Telefonlar 2 Bu tehdidi engellemenin yolu ise o kesinlikle cep telefonunu kimseye vermemek, o telefonun tuşlarını şifreli bir biçimde kilitlemek ve o kısa mesaj, o bluetooth, o kablosuz ağ vb. yollarla gelen amacını/göndereni bilmediğimiz uygulamaları yüklememek.

23 Akıllı Telefonlar ve PDAlar Her biri kendine özgü bir ID numarasına (kimlik numarası) sahip olan bu telefonlar kullanıcılarının o gerçek adları, o telefon numaraları, o adres defterleri, o bulunduğu yer gibi birçok kişisel bilgilerini barındırmaktadır.

24 Akıllı Telefonlar ve PDAlar 2 Amerika’da bir gazetenin kapsamlı araştırmasına göre bu telefonlara yönelik uygulamalar haberleri olmadan kullanıcılarının kişisel bilgilerini reklam şirketlerine satıyor. Örneğin, “TextPlus4” adlı kısa mesaj uygulaması telefonun ID numarasını ve bulunduğu yerin posta kodunu sekiz farklı şirkete, ayrıca telefon sahibinin yaşı ve cinsiyetini de iki reklam şirketine satıyor. “Pandora” müzik uygulaması ise yaş, cinsiyet, bulunduğu yeri çeşitli reklam ağlarına satıyor.

25 Akıllı Telefonlar ve PDAlar 3 101 uygulamayı inceleyen Wall Street Journal’ın araştırmasına göre; o 56 uygulama kullanıcıların ID numarasını diğer şirketlere satıyor! o 47’si telefonun o an nerede olduğunu şirketlere iletiyor! o 5’i yaş, cinsiyet ve diğer kişisel bilgileri satıyor!