Bilgisayarınızdaki En Büyük Açık Sizsiniz ! (Önemli)

   Bilgisayarınızdaki En Büyük Açık Sizsiniz. 

Başlığı yanlış okumuyorsunuz. Aynen yukarıya da yazdığım gibi bilgisayarınızdaki en büyük tehlike sizsiniz. Yıllardır kapatılamayan ve önlemi alınamayan en büyük açık insan faktörüdür. Bunu yazının ilerki safhalarında tekrar tekrar vurgulayacağım ama yine de tekrarlıyorum; Bilgisayar güvenliğinin en zayıf ve en kritik halkası insan faktörüdür. Evet dışarda yüzbinlerce zararlı kod var, binlerce “hack tool” adı verilen sözde hackerların sistemlere sızmak, birilerine zarar vermek için kullandığı araçlar var. Hatta en çok kullanılan işletim sistemi Windows bir açık makinası ve sık kullandığımız bütün programlarda gün geçmiyor ki yeni bir açık çıkmasın. 

 Ancak şuna inanın, sıradan ev kullanıcıları, yani mesleği ve ya hobisi bilgisayar olmayan sadece günlük işlerini bilgisayarla halleden, oyun oynayan, film seyreden, sohbet eden ve bilgisayar kullanıcılarının büyük bir yüzdesini oluşturan kesim, bu açıkları takip ettikleri dergi ve gazete gibi basın organlarından öğrendiklerinde genellikle bu açıklar çoktan yamanmış oluyor. Ya da Anti-Virüs üretcileri bu açıklara karşı önlemlerini almış oluyorlar. 

Hack tool adı verilen araçların da hiçbiri mucize yaratmaz. Yani o araçlara birinin e-mail adresini yazarsanız size şifresini söylemez. Ve ya kurbanın IP adresini yazıp “bağlan” tuşuna bastığınızda bilgisayarın masaüstüne bağlanan bir araç bulmazsınız. O araçların da tamamı güvenliğin en zayıf halkasını kullanır. Yüzbinlerce zararlı kod derken kastettiğimiz şey virüsler, casus yazılımlar, solucanlar ve truva atlarıydı, ve evet hiçbiri kendi kendine bir bilgisayara kurulmaz. Acı ama gerçek. Anti-virus yazılımınızla tarama yaptığınızda, bilgisayarda bulduğunuz onlarca zararlı nereden çıktı diye boşuna düşünmeyin. Onları birer birer siz kurdunuz bilgisayarlarınıza.

 Çünkü hiçbir işletim sistemi ya da anti-virus yazılımı üreticisinin kapatamadığı ve muhtemelen hiçbir zaman kapatamayacağı en büyük güvenlik açığının parmakları klavyenizde, odanızda, bilgisayarınızın tam karşısında. En sevdiği şarkıcının hain hain sırıttığı bir siteden arkaplan resmi yüklüyor. Evet yüklüyor, indirmiyor yüklüyor...

İnternette “Karşılıklı Güven” Meselesi

İnternette kimseye güvenmeyin. Bunun herhangi bir sınırı yok. Kesinlikle ve kesinlikle internet üzerinde tanıştığınız birisine güvenmeyin. Hatta daha da ileri gideyim, yıllardır anında mesajlaşma yazılımınızın listesinde bulunan lise arkadaşınıza da güvenmeyin. Kesinlikle, çok yakından tanıdığınız biri dahi olsa, anında meajlaşma yazılımları üzerinden kişisel bilgilerinizi paylaşmayın. Sanılanın aksine hackerlar sistemlere sızma, şifre çalma gibi işlerini sadece kendi geliştirdikleri yazılımlarla yapmazlar. En çok kullandıkları yöntem insan üzerine oynamaktır. 

E-posta adresiniz çalındığında aklınıza gelen bunu ne tür yazılımları kullanarak yaptıkları olmamalı. Ya da e-posta servisinin ne gibi açıkları olduğunu sorgulamadan önce, “ben son günlerde internette kimlerle konuştum” ve “ne konuştum” olmalıdır. 

Şimdi size muhtemel bir saldırı senaryosu yazacağım. Buradaki kötü niyetli kişiler, kodlama konusunda usta, bilgisayarlar ve güvenlik konusunda hepimizden daha fazla şey biliyor olabilirler. Bazı kilit işlemleri kendi teknik kapasiteleri ile yapıyor olabilirler. 

Ancak göreceksiniz ki güvenliğin en zayıf halkası olan insan faktörü olmadan gene de bu işlemleri gerçekleştiremeyeceklerdi. Burada bahsedeceğim senaryo tamamen gerçek olaylardan alınmıştır ve sadece Türkiye şartlarına uyarlanmıştır. Olayların işleyişi ve yöntemler tamamen gerçektir.

Kötü niyetli kişiler teknik bilgilerini kullanarak internette izlerini bulunamayacak hale getirmişler ve herhangi bir kredi kartı ve sahibinin kişisel bilgileri ile bütün hesabı boşaltabilecek düzeneği hazırlamışlardır. Buraya kadar insan faktörünün bir önemi yok. Ancak bir kişinin kredi kartı bilgilerini ele geçirmek ve bunu, o kişinin kafasına sert bir cisimle vurup bayıltmadan yapabilmek için ne gereklidir? Bir Kurban. Burada kurbanımıza “Ayşegül” diyeceğiz. 

Ayşegül Bakırköy’de bir video kiralama dükkanları zincirinde kasiyerdir. Zincirimizin de adı “X” olsun.

_ Alo X video ben Ayşegül, nasıl yardımcı olabilirim?

_ Ayşegül merhaba, ben Ertan. Levent şubesinin müdürü, sana ufak birşey soracaktım.

_ Tamam

_İyi bir müşterimiz Rocky 5’i kiralamak istiyor. Şu an elimizde hiç yok, sizde var mı bir kontrol eder misin? Bakırköy yolunun üstüymüşde, varsa size uğramasını sağlayacağım.

_ Peki bakıyorum... Evet varmış. Uğrayabilir.

_ Teşekkürler Ayşegül, sağol yardımın için.

_ Rica ederim.

Bu Ayşegül için gayet yerinde bir konuşma olmuştu. Şüphelenecek kendini ve ya başka birilerini zor durumda bırakabilecek hiçbirşey konuşulmamıştı. Ayşegül bu konuşmayı çoktan hafızasının arkalarına yolladı. 3 Gün sonra.

_ Video X nasıl yardımcı olabilirim?

_ Ayşegül merhaba nasılsın? Ben Ertan, Levent’den.

_ Merhaba Ertan Bey, siz nasılsınız?

_ Teşekkürler, geçen gün müşterimiz size uğrayamadı galiba. Neyse bak ne soracaktım, şu an bilgisayarlarımızda belgesel DVD’lerinin fiyatları gözükmüyor. Ordan bakabilir misin? Bizde ona göre fiyatlandıralım burada.

_ Hiç sorun değil, hemen bakıyorum.

_ Çok sağol

_ Günlük kirası 2.5 YTL

_ Oldu teşekkürler.

_ Rica ederim.

Ayşegül gene hiçbirşeyden şüphelenmeden konuşmayı bitirmişti. Ertan 2-3 günde bir Ayşegül’ü aramaya devam etti. Her seferinde ilk aramalarındaki gibi şüphe edilmeyecek şeyler soruyordu. Hatta Ayşegül ile Ertan neredeyse arkadaş olmuşlardı. Artık Ertan kendini tanıtmıyordu, Ayşegül sesinden arayanın Ertan olduğunu anlıyordu. Ve ilk aramasından üç hafta sonra Ertan son bir kez daha aradı, sesi biraz telaşlıydı.

_ Ayşegül merhaba.

_ Merhaba Ertan Bey, nasılsınız?

_ Sağol, başımızda bir dert var.,

_ Nedir?

_Bak bütün bilgisayarlarımız şu an çöktü, hiçbir bilgiye erişemiyoruz. Telefonla aldığımız bir sürü sipariş var ancak bilgisayar çalışmadığı için hesaplara giremiyoruz. Müşteriler saatlerdir siparişleri bekliyorlar. Şimdi sana bir kaç müşterinin isim ve adreslerini vereceğim, sen de bilgisayardan kontrol edip bana kredi kartı bilgilerini söyler misin? Elle giricem hesaplarına. Çok beklettik.

_ Tabi sorun değil.

.................................................. ......

Ayşegül’ün akşama doğru, “acaba telefonla kredi kartı bilgilerinin başka bir şubeye aktarılması kurallara uygun muydu” diye düşünmesi ama hem bu bilgileri isteyenin bir müdür olması hem de o an yapacak daha önemli işlerinin olması sonucu değiştirmedi. Aynı saatlerde bazı müşterilerin banka hesapları çokdan boşaltılmıştı.

Bu örnekte de gördüğümüz gibi, bize ya da çevremize ciddi maddi zarar verebilecek ataklar genellikle bilgisayarlarımızdaki zaafları değil, sizin zaaflarınızı kullanırlar. Bu yaşanmış ve çok basit bir örnekdir ve örnekler çoğaltılabilir. Yeni girdiğiniz bir işte, ilk gün şirketin dahili telefonundan size şirketin güvenlik politikasını anlatmak üzere, IT departmanından olduğunu söyleyen birisi size, şirkete kayıtlı e-postanızın şifresini şirket kurallarına göre nasıl yaratmanız gerektiğini anlatabilir. Hatta daha da ileri gidip adım adım yanınızda kontrol edebilir, varsayılan şifrenizin yeterli güvenlikte olup olmadığını kontrol etmek amacıyla, sizden bu şifrenizi söylemenizi isteyebilir vesaire. Bu örnekde de, şirketin dahili telefonundan aranmanız işin teknik kısmıdır ancak sizi asıl zarara, sokan atak doğrudan size yapılan telefon aramasıdır

Bedava Sirke Baldan Tatlı Mıdır? 

Şunu sakın unutmayın. Özellikle internette kimse kimseye bedava bir şey vermez. En kısa ve net anlatımıyla, sakın google arama motoruna “free” “bedava” ya da “beleş” yazıp birşeyler aramayın. Bulduklarınızın yüzde doksanı bilgisayarınıza aradığınızdan daha da fazlasını indirecektir buna emin olabilirsiniz. 

Evet internet ve bedava kelimeleri özellikle ülkemizde birbiriyle çok özdeşleşen iki kelime haline geldi ama bu devri kapatmanın vakti geldi de geçiyor. Kimse evinde ya da ofisinde oturup, bugün insanlar için bedavaya ne üretsem diye düşünmüyor. Saflığı bir yana bırakalım. Son aylarda dünyada en çok güvenilen ücretsiz bir güvenlik duvarı yazılımının dahi “evi aradığı” anlaşıldı. 

Yani sizin korunmak için bilgisayarınıza kurduğunuz güvenlik duvarı kendi adına kayıtlı dört sunucuya bilgisayarlarımızdan bilgiler gönderiyordu, ve bizim bu gibi işleri denetlesin ve engelesin diye kurduğumuz yazılım bunu yapıyordu. Bir diğer şok edici örnek ise i-Tunes adlı popüler müzik yönetimi ve oynatıcısının gene bilgisayarlarımızdan kendi sunucularına bilgi gönderdiğinin ve bize bu bilgiler doğrultusunda reklam gösterdiğinin ortaya çıkması oldu. Bu tamda spyware ve adware olarak tanımlanan zararlı casus programların yaptığı işin aynısı. Kısacası bu denizde kimseye güvenmeyeceğiz. Özellikle de yasadışı olanlara.

Örneğin en çok kullandığınız 800 dolar değerindeki resim düzenleyiciyi sitesinden bedava indirebileceğinizi söyleyen korsan yazılımcılar. Ve ya hepimizin çok iyi bildiği “keygen” , “crack” ya da “serial” siteleri. Çok açık söylüyorum, bu gibi sitelerin tek birinde bile zararlı kod bulunmama ihtimali yok. Bilgisayarınıza indirdiğiniz her “crack” ya da benzeri uygulama ile, sizden kilometrelerce uzaktaki bir kötü amaçlı birinin zombie bilgisayarı haline geliyorsunuz. Yani sizin ve diğer kurbanların bilgisyarlarına kurduğu minicik bir uygulama ile bazı büyük sitelere ataklar düzenleyen bir internet korsanının, bu sitelerden aldığı yüzbinlerce dolar haraca katkıda bulunuyorsunuz. 

Bu sebeplerle, internette bedava gördüğümüz herşeye aldanmamalı, inidirip kullanmadan önce bizden daha tecrübeli kullanıcıların deneyimlerini ve görüşlerini incelemeliyiz. Kullanmak istediğiniz ama bilmediğiniz bir yazılımı, gerçekten güvendiğiniz kaynaklarda kısa bir araştırma yaparak kullanmalısınız. Yerli ve yabancı bir çok bilgi güvenliği forumunda bir yazılımın güvenirliliğini sorarsanız, oradaki tecrübeli üyeler yazılımı bilmeseler bile deneyip size sonucu bildireceklerdir. Bilmediğiniz hiçbir yazılımı, tam olarak araştırmadan ve inceleyip güvenirliliğine emin olmadan bilgisayarınıza kurmayın. Nasıl ki evinize beyaz eşya ve ya mobilya alırken araştırma yapıyorsanız, bilgisayarlarınız için de aynı şeyi yapmalısınız.

En Fazla Yazılım Bizim Bilgisayarımızda Olsun Sendromu

Kullandığınız yazılımlara dikkat edin. Bir yazılım kullanacakasanız kesinlikle bu yazılımı kendi resmi sitesinden indirin ve ya aylık bilgisayar dergilerinin CD’lerini kullanın. İnternet varolduğundan beri birçok indirme sitesi var ve sık olarak kullanılıyor. Bu indirme sitelerinden bir kaç tanesi dışındakilere de fazla güvenmemenizi öneriyorum. Kişisel deneyimlerime göre, gerek Türk gerekse yabancı bir çok indirme sitesinde spyware ve adware dediğimiz casus yazılımlar içeren programları kullanıcılarına çekinmeden sunuyorlar.

 Maalesef spyware ve adware içermeyen yazılım yayınladığını bir tek download.com indirme sitesi beyan edebiliyor.
Bunun ötesi var. Özellikle internette bazı yazılımların korsan versiyonlarının bulunma zorluğundan doğan yasadışı forum sektörü. Bu web forumları insanlara bazı ücretli yazılımların tam sürümlerini dağıtmak amacıyla ortaya çıktı. Ancak durum günümüzde bu amacı aşarak insanların kullanıp kullanmayacağına bakmadan bilgisayarlarını pahalı yazılımlarla doldurma çılgınlığına döndü. Ve bu forumlarda sıkça kullanılan bir yöntem, yazılımları ve korsan eklentilerini bir ücretsiz hosting’e k****k ve insanları bu sitelerden indirmeye teşvik etmek olarak günümüze taşındı. 

Bunun genel zararları sandığımızdan büyük olmakla beraber bize olan özel zararları onarılamaz da olabilir. Bu yasadışı forumlarda insanlar artık ücretsiz ve açık kaynaklı yazılımları dahi ücretsiz dosya paylaşım siteleri üzerinden yapar oldu. Mozilla Firefox’u bu dosya paylaşım sitelerine gönderip, sizden oradan indirmenizi talep ediyorlar ve baktığımızda Mozilla Firefox gibi tamemen ücretsiz ve sık güncellenen bir yazılımın bu sitelerden binlerce kere indirildiğini görüyoruz. Kötü niyetli bir kişi için, bazı yazılımların kodlarını değiştirip kendine çıkar sağlyacak hale getirmesi çok zor bir olay değildir. 

Herhangi bir yazılımı, kendi sitesi dışında bir yerden, özellikle sizin gibi bir kullanıcı tarafından koyulduğu bu dosya paylaşım sitelerinden indirip kullandığınızda, bilmeden bazı kötü amaçlara hizmet ettiğinizi söyleyebilirim. Ayrıca kendi sitesinden indirmediğiniz bir yazılımın son versiyon olmama ihtimali çok büyük ve böyle bir durumda olası bir açığı bilgisayarınıza davet ediyor olmanız kaçınılmaz. Unutmayın herhangi bir yazılım size bir arama motoru kadar uzakdır. 

Örneğin “Google” arama motoruna istediğiniz yazılımın ismini yazarsanız çok büyük bir ihtimalle aramada çıkan ilk sonuç sizi yazılımın resmi sitesine götürecektir.

Kullandığımız yazılımlar konusunda değinilmesi gereken çok önemli bir konu daha var. Son yıllarda özellikle güvenlik yazılımları arasında sıkça gördüğümüz “sahte anti-spyware” yazılımları furyası. En bilinen örnek “SpySheriff”. Bu tarz programlar bilgisayarınıza çok büyük bir ihtimalle ya sizin araşatırmacı ruhunuzdan faydalanıp kuruluyorlar ya da çeşitli korsan yazılım sitelerinden hediye olarak geliyorlar. Elimize ulaşan son istatistiklere, bu tür sahte anti-spyware yazılımları Amerika’da bir saatte 2500 bilgisayara kuruluyorlardı. Bu yazılımları dürüst sanarak satın alan kullanıcı sayısı azımsanamayacak kadar çok.

Bu yazılımların ne yaptığını kısaca anlatmak gerekirse, bilgisayarınıza kurulmalarıyla birlikte yüzlerce zararlıyı da yanlarında kuruyorlar, çok hızlı bir taramayla sisteminizde bu zararlıları bulup sizden silmek için ücret talep ediyorlar. Bu yazılımların büyük bir bölümü sistemden normal yöntemlerle kaldırılamıyorlar. Masaüstü resminizi değiştiriyorlar, sürekli açılan pop-up pencereler ile satın almanızı söylüyorlar. Haftada en az bir adet yeni sahte anti-spyware yazılımı çıkıyor ve dürüst korunma yazılımları bunlara önlem lamakda genellikle yetersiz kalabiliyorlar. Zira bu zararlı yazılımlar genellikle sisteme sızma ve gizli yollarla değil, kullanıcıların talebi üzerine kuruluyorlar.

Bunlardan kurtulmanın yöntemini çeşitli bilgi güvenliği sitelerinde bulabilirsiniz. Ancak bunların sisteme bulaşmasını önlemek tamamen sizin elinizde. Warez sitelerden uzak durun ve özellikle güvenlik yazılımları konusunda fazla meraklı olmayın. Başarısı kanıtlanmış, köklü firmaların yazılımlarını kullanmanız başınıza böyle talihsiz vakaların gelmesini önleyebilir. 

Ayırca bilmediğiniz herhangi bir güvenlik yazılımını sisteminize kurmadan önce, uzman kullanıcılardan tavsiye almalısınız. Türk ve yabancı bilgi güvenliği sitelerindeki çevrimiçi topluluklardan yardım alabilirsiniz bu konuda.

Şifre Yönetimi.

Şifreler Nasıl Ele Geçirilir? Saldırgan hack forumlarından bir yazılım bulur. Yazılımın adı “hotmail password cracker”dır. Yazılımın kutucuğuna kurbanın e-posta adresi yazılır, başlat düğmesine basılır ve bir müddet sonra yazılım, üzerinde kocaman “Buldum” yazan bir pop-up pencereyle size kurbanın şifresini söyler. Bu kadar kolay.

Yukarıdaki cümleyi okuyan ve işleri güçleri birilerinin hotmail adresini çalayım diye uğraşmak olan, ciddi bilgisayar korsanları tarafından kod veletleri (script kiddies) diye adlandırılan kesim heyecanlanmış olabilirler. Tabii ki böyle bir yazılım yok. Hele ki e–posta şirketlerinin aldığı son önlemlerden sonra bir takım yazılımlarla şifre çalmak tarihe karıştı. Ancak bizim sözümüz zaten muhtemel kurbanlara, kod veletleri çalışmalarına devam edebilirler.

Eğer E-posta adresi çalınan kişi, yukarıdaki paragraftaki gibi bir saldırıyla çalındığını düşünüyorsa büyük yanılgı içinde olduğunu söyleyebilirim. Maalesef kurban hatayı yine kendinde aramalıdır. 

Aslen yukarıda defalarca anlattığımız yöntemlerden pek bir farkı yoktur bu tür saldırıların. Ama e-posta şifresi çalmak üzerine uzmanlaşmış, bilgisayarınızın karşısında oturan en büyük açık odaklı saldırılarla ele geçirilmiştir e-posta şifresi. En sık kullanılan yöntemler sahte MSN messenger ve sahte hotmail yöntemleridir.

 Saldırgan sizin şu meşhur dosya paylaşım sitelerinden indirebileceğiniz, içinde en renkli, en hareketli gülümsemelerin, messenger ifadelerinin olduğu sahte bir msn messenger versiyonunu indirmenizi ve sisteminize kurmanızı sağlar. Böyle bir yazılımı bilgisayarınıza kurmuş olmanız bile başlı başına e-posta şifrenizi çaldırmaktan çok daha kötü sonuçlar doğurabilir ancak biz gene de şifre çalmaya dönelim. Siz bu “üstün özellikli” ve kaynağı belirsiz bir adresten indirdiğiniz msn messenger türevine e-posta adresinizi ve şifrenizi girdiğiniz anda bu bilgiler saldırganın belirlediği başka bir kaynağa ulaşmış olur.

 Bu aşamadan sonra bir daha e-postanıza girememek çok da uzak değildir. 

Gene benzer bir yöntem, sahte hotmail olarak bilinen ancak her türlü web tabanlı e-posta sistemine uyarlanabilen sahte web sayfası yöntemidir. Saldırgan kullandığınız web tabanlı e-posta servisinin web sayfasının birebir aynısını üretir. Zaman zaman bu sahte web sayfalarının orjinallerinden daha güzel göründüğü de olmuştur. Yarattığı bu sahte web sayfasını kendine ait ve büyük ihtimalle anonim bir web alanından sunmaya başlar. Burada saldırganın teknik becerisi, web sayfası adresini sizin e-posta servisinizmiş gibi göstermek olacaktır. Aslında kendine ait farklı bir isimde sunduğu adresi size kullandığınız e–posta servisiymiş gibi gösterecektir. Bunlar saldırının teknik bölümü.

Ancak siz bu sayfayı nereden bulup da gireceksiniz. Web tarayıcınıza, elinizle e–posta servisinin adresini yazarsanız başka bir sayfaya yönlendirilme ihtimaliniz yok denecek kadar az. Yanıtı çok basit, size gelen spam e-postalardan ve ya anında mesajlaşma yazımılarından gelen linklerden bu sahte adreslere girebilirsiniz. Özellikle sizi heyecanlandırılan konularda bir e-posta aldığınızda, sizi heyecanladıran bu öğelere sahip olabilmeniz için hemen bir posta atmanızı ve ya başka bir sebeple e-postanıza girmenizi talep edebilirler. Size “kolaylık” olsun diye e-posta servisinizin linkini de okuduğunuz mesaja iliştiriler. Siz de o heyecanla ve ya saflıkla bu linkten e-postanıza girmeye kalktığınızda, e-posta bilgileriniz anında saldırganın eline, sahte msn messenger yönteminde olduğu gibi ulaşır.

Bu gibi sahte yazılımlara ve ya web sayfalarına şifrelerinizi kaptırmamak için yapacağınız şey, her yazılımı kendi resmi sitesinden indirmek ve özellikle bazı bilgiler gireceğiniz sayfalara, web tarayıcınıza adresi kendiniz yazarak girmek olacaktır. İnternette dolaşırken, en az bilmediğiniz bir sokakta dolaşırken gösterdiğiniz dikkati ve uyanıklığı göstermek zorundasınız.

Şifre konusunda bir diğer yöntem, tahmin etme yöntemidir. Size imkansız gibi gelebilir ancak e-postanızın ya da uzaktan erişim araçlarıyla sisteminizin kapısına dayanmış bir saldırganın, bilgisayar başında sizin şifrenizi tahmin etmeye çalıştığı çok uzak bir ihtimal değildir. Bir çok saldırgan şifreleri bu yöntemle ele geçirir. Bu sebeple içinde rakamlar büyük ve küçük harflerin bulunduğu bir şifre hazırlanamanız en iyi korunma yöntemlerinden biridir. Ayrıca periyodik aralıklarla şifrelerinizi değiştirmelisiniz. Eğer e-posta şifrenizi 123456789 yaptıysanız ve birileri sizin adınıza arkadaşlarınıza mesajlar yolladıysa kimseyi değil kendinizi suçlayın...

Şifre konusundaki son yöntemle de gene daha önce anlattığımız bir önlemin kapsamına giriyoruz. Bütün şifre ile çalışan sistemler şifrelerin unutulma ihitmaline karşılık diğer bir giriş kullanırlar. Bu çoğunlukla bir hatırlatma sorusudur. En sevdiğiniz film, ilkokul öğretmeninizin adı ya da annenizin kızlık soyadı gibi. Şifrenizi unutmak gibi bir durumla karşılaştığınızda bu sorulara doğru cevap verirseniz şifrenizi geri alabilirsiniz. 

Eğer e-posta adresinizin bilgilerini eksiksiz olarak doğru doldurduysanız ve internette bir yıl önce tanıştığınız biri sizin hakkınızda en yakın arkadaşınızdan daha çok şey biliyorsa, şifrenizi kaptırmanız an meselesi olabilir. Bunu önlemek için, tekrar ediyorum, internette kimseye güvenmemeniz gerekiyor. Kimseye kendinizle ilgili kişisel bilgilerinizi vermeyin ve web profillerinizde bu tarz bilgiler yayınlamayın. Ayrıca şifreli sistemlerin hatırlatma sorularına alakasız cevaplar üretin. Örneğin en sevdiğiniz kitap sorusuna karşılık, ilkokul öğretmeninizin adını yazın. Böylece bu soruların cevaplarının tahmin edilmesini oldukça zorlaştırmış olursunuz.

Peki Ya Virusler? Trojanlar? Wormlar...

Evet yüzbinlerce çeşit zararlı yazılım var piyasada. Kimi gizli, kimi apaçık ortada. Bazıları, üzerinde kötü niyetli kişilerce yıllarca uğraşılmış, el emeği göz nuru zararlı programlar. Virusler, dosyalarınızı siler, bilgilerinizi değiştirir, yeni bilgiler ekler, üzerine yazar, donanıma zarar verir ve daha birçok zarar verici işlemi yapar. Artık bırakın klavye hareketlerinizi uzaktaki bir sunucuya gönderen trojanları, ekran görüntünüzü saniye saniye saldırgana gönderebilen trojanlar var. Web kameranızı sizden habersiz çalıştıran, evinizi kaydedip verileri saldırganın belirlediği bir sunucuya gönderen zararlılar. Ve daha yüzbinlercesi. 

Ama işin korunmak isteyen bilgisayar kullanıcıları açısından çok basit ve de çok net bir püf noktası var. Saldırgan bir şekilde size bu zararlı dosyayı yollar. Saldırganın işi burada biter. Sizin zarar gördüğünüz, korkudan titrediğiniz sonuçlara yol açan sebepler bundan sonraki adımda başlar ki, bu adım tamamen maalesef gene sizinle alakalıdır. Saldırganın bu zararlı kodları size yollamısıyla işi bitmiştir ve top sizdedir artık. Size zarar verecek bu kodları bilgisayarınıza siz yüklersiniz. Üzgünüm ama durum bu kadar açık ve net.

 Saldırgan size bir e-posta atabilir. Özellikle halka malolmuş, yani bilimum arkadaşlık sitelerine, pornografigrafi sitelerine, halka açık internet sayfalarına kayıtlı bir e-posta adresiniz varsa bilirsiniz. Günde yüzlerce reklam postası alırsınız. Ucuza internet bağlantısı, sağlık ürünleri, rejim ürünleri, paralı kanalları bedava gösteren TV cihazları ve daha bir dolu “uygun” fiyatlı enteresan ürün reklamı alırsınız.

Ancak bunlar arasında mutlaka sizin de dikkatinizi çeken ve gün geçtikçe kendini geliştiren bazı postalar vardır. Size isminizle hitap eden, ücretsiz bir takım servisler ya da uygulamalar öneren, sanki sizin yolladığınız bir postaya cevapmış gibi “re: Hey Ayşegül, işte sana söz verdiğim resimler” başlıklı postalar. Bu postalar ilgi çekebilmek için, gündemin trendlerinden faydalanırlar. Siz de eğer adınıza gelen bu e-postaların gerçekten size özel gönderildiğine inanır ve açarsanız, saldırganın size bu postayı yollamakla bıraktığı görevi tamamlamış olursunuz. 

Evet sizi bu tehditlerden kullandığınız korunma yazılımı koruyabilir belki, ancak şunu sakın unutmayın ki hiçbir korunma yazılımı yüzde yüz bütün zararlıları tesbit edemez, zaten hiçbiri de bunu yapabildiğini iddia etmezler. Sizin bilinçli bir kullanıcı olarak böyle bir e-postayı kesinlikle açmamanız, mümkünse e-posta adresinizi bu gibi muamelelere maruz bırakacak hareketlerden kaçınmanız gerekmektedir. Örneğin, her ne kadar karizmatik görünse de kısa kullanıcı adları kullanmamalısınız. Çünkü bu tür saldırılar genellikle saldırganlar tarafından üretilen çeşitli posta bombardımanı programlarıyla yapılır. 

Bu kötü amaçlı programlar, belli bir metodolojiye göre e-posta adresi üretirler ve bu adreslere malum mesajları gönderirler. E-posta adresinizin kullanıcı adı ne kadar kısaysa, bu programlara yakalanma şansınız da o kadar fazladır. 

Bir diğer yöntem, internette e-posta adresinizi mümkün olduğunca az siteye gönderin. Bir çok site, adresinizi başkalarıyla paylaşmayacağını söylese dahi kötü niyetli kişilere ve ya reklamcılara satarlar. E-posta adresinizi web üzerinde herkesin erişebildiği, forum, ziyaretçi odası gibi alanlara bırakmayın. Eğer bırakmanız gerekiyorsa da, deforme ederek yazın, örneğin; adınız(at)hétmaildotcom gibi.

 Bazı saldırganlar geliştirdikleri web bot adı verilen bazı kodlarla, internet sitelerini tararlar ve içerisinde “@”, "hotmail”, “yahoo“ kelimeleri bulunan ve bu sayede e-posta gibi görünen metinleri toplarlar. Bunlardan adresinizi bu ve ya benzeri şekillerde deforme ederek korunabilirsiniz.
Virus, trojan ve worm gibi zararlı kodların, web sitelerinden de bulaşabildiğini unutmayın. Bundan korunmak çok daha zordur. Ancak bu web sitelerine erişim e-postalardan daha kolay olduğu için, anti-virus üreticilerinin veritabanlarına kısa zamanda eklenirler. Ancak tabii ki yüzde yüz eklenecektir ve ya korunma yazılımınız bu tehditi tesbit etse dahi sizi korur anlamına gelmez. 

Mümkün olduğunca bilmediğiniz sitelerden, size binlerce dolarlık yazılımları ücretsiz sağladığını söz veren bazı sitelerden ve özellikle warez sitelerden uzak durmanız gerekmektedir. Unutmayın, internette kimse kimseye boşu boşuna ücretsiz birşeyler vermiyor.

Sonuç olarak internetin bize getirdiği kolaylıklardan ve kaynaklardan faydalanmak tabii ki hakkımız. Ancak gözümüzü dört açmalı ve kötü niyetli kişilerin kullandığı yöntemleri iyi bilmeliyiz ki bunlara kanmayalım. Her ne kadar kulağa sıkıcı gelse de, bilgi güvenliğinin çok önemli bir kavram olduğunu, bilgi güvenliğinde en zayıf halkanın insan faktörü olduğunu ve olası tehliklerden ancak bunları çok iyi kavrayarak korunabileceğimizi anlamalıyız. Bunun için de interneti sadece eğlence için değil, araştırma ve öğrenme amaçlı kullanmamız gerekir. Burada anlatılanlar ancak bilgi güvenliğine giriş olarak nitelendirilebilir.

Saygılar.

DÃ¼zenleyen megabros - 28-03-2011 Saat 09:02

Yazar	Mesaj Konu Arama Konu SeÃ§enekleri YanÄ±t Yaz Yeni Konu OluÅŸtur Konuyu YazdÄ±r Translate Konu
megabros Ãœye Profili Ã–zel Mesaj Yolla Ãœyenin MesajlarÄ±nÄ± Bul ArkadaÅŸ Listeme Ekle Security Professional KayÄ±t Tarihi: 08-06-2009 Konum: Turkey Status: Aktif DeÄŸil Points: 752	Mesaj SeÃ§enekleri YanÄ±t Yaz AlÄ±ntÄ± megabros Bu mesaj kurallara aykÄ±rÄ±ysa buradan yÃ¶neticileri bilgilendirebilirsiniz. Thanks(0) AlÄ±ntÄ± Cevapla Konu: Bilgisayarınızdaki En Büyük Açık Sizsiniz ! (Önemli) GÃ¶nderim ZamanÄ±: 28-03-2011 Saat 09:02
	Bilgisayarınızdaki En Büyük Açık Sizsiniz. Başlığı yanlış okumuyorsunuz. Aynen yukarıya da yazdığım gibi bilgisayarınızdaki en büyük tehlike sizsiniz. Yıllardır kapatılamayan ve önlemi alınamayan en büyük açık insan faktörüdür. Bunu yazının ilerki safhalarında tekrar tekrar vurgulayacağım ama yine de tekrarlıyorum; Bilgisayar güvenliğinin en zayıf ve en kritik halkası insan faktörüdür. Evet dışarda yüzbinlerce zararlı kod var, binlerce “hack tool” adı verilen sözde hackerların sistemlere sızmak, birilerine zarar vermek için kullandığı araçlar var. Hatta en çok kullanılan işletim sistemi Windows bir açık makinası ve sık kullandığımız bütün programlarda gün geçmiyor ki yeni bir açık çıkmasın. Ancak şuna inanın, sıradan ev kullanıcıları, yani mesleği ve ya hobisi bilgisayar olmayan sadece günlük işlerini bilgisayarla halleden, oyun oynayan, film seyreden, sohbet eden ve bilgisayar kullanıcılarının büyük bir yüzdesini oluşturan kesim, bu açıkları takip ettikleri dergi ve gazete gibi basın organlarından öğrendiklerinde genellikle bu açıklar çoktan yamanmış oluyor. Ya da Anti-Virüs üretcileri bu açıklara karşı önlemlerini almış oluyorlar. Hack tool adı verilen araçların da hiçbiri mucize yaratmaz. Yani o araçlara birinin e-mail adresini yazarsanız size şifresini söylemez. Ve ya kurbanın IP adresini yazıp “bağlan” tuşuna bastığınızda bilgisayarın masaüstüne bağlanan bir araç bulmazsınız. O araçların da tamamı güvenliğin en zayıf halkasını kullanır. Yüzbinlerce zararlı kod derken kastettiğimiz şey virüsler, casus yazılımlar, solucanlar ve truva atlarıydı, ve evet hiçbiri kendi kendine bir bilgisayara kurulmaz. Acı ama gerçek. Anti-virus yazılımınızla tarama yaptığınızda, bilgisayarda bulduğunuz onlarca zararlı nereden çıktı diye boşuna düşünmeyin. Onları birer birer siz kurdunuz bilgisayarlarınıza. Çünkü hiçbir işletim sistemi ya da anti-virus yazılımı üreticisinin kapatamadığı ve muhtemelen hiçbir zaman kapatamayacağı en büyük güvenlik açığının parmakları klavyenizde, odanızda, bilgisayarınızın tam karşısında. En sevdiği şarkıcının hain hain sırıttığı bir siteden arkaplan resmi yüklüyor. Evet yüklüyor, indirmiyor yüklüyor... İnternette “Karşılıklı Güven” Meselesi İnternette kimseye güvenmeyin. Bunun herhangi bir sınırı yok. Kesinlikle ve kesinlikle internet üzerinde tanıştığınız birisine güvenmeyin. Hatta daha da ileri gideyim, yıllardır anında mesajlaşma yazılımınızın listesinde bulunan lise arkadaşınıza da güvenmeyin. Kesinlikle, çok yakından tanıdığınız biri dahi olsa, anında meajlaşma yazılımları üzerinden kişisel bilgilerinizi paylaşmayın. Sanılanın aksine hackerlar sistemlere sızma, şifre çalma gibi işlerini sadece kendi geliştirdikleri yazılımlarla yapmazlar. En çok kullandıkları yöntem insan üzerine oynamaktır. E-posta adresiniz çalındığında aklınıza gelen bunu ne tür yazılımları kullanarak yaptıkları olmamalı. Ya da e-posta servisinin ne gibi açıkları olduğunu sorgulamadan önce, “ben son günlerde internette kimlerle konuştum” ve “ne konuştum” olmalıdır. Şimdi size muhtemel bir saldırı senaryosu yazacağım. Buradaki kötü niyetli kişiler, kodlama konusunda usta, bilgisayarlar ve güvenlik konusunda hepimizden daha fazla şey biliyor olabilirler. Bazı kilit işlemleri kendi teknik kapasiteleri ile yapıyor olabilirler. Ancak göreceksiniz ki güvenliğin en zayıf halkası olan insan faktörü olmadan gene de bu işlemleri gerçekleştiremeyeceklerdi. Burada bahsedeceğim senaryo tamamen gerçek olaylardan alınmıştır ve sadece Türkiye şartlarına uyarlanmıştır. Olayların işleyişi ve yöntemler tamamen gerçektir. Kötü niyetli kişiler teknik bilgilerini kullanarak internette izlerini bulunamayacak hale getirmişler ve herhangi bir kredi kartı ve sahibinin kişisel bilgileri ile bütün hesabı boşaltabilecek düzeneği hazırlamışlardır. Buraya kadar insan faktörünün bir önemi yok. Ancak bir kişinin kredi kartı bilgilerini ele geçirmek ve bunu, o kişinin kafasına sert bir cisimle vurup bayıltmadan yapabilmek için ne gereklidir? Bir Kurban. Burada kurbanımıza “Ayşegül” diyeceğiz. Ayşegül Bakırköy’de bir video kiralama dükkanları zincirinde kasiyerdir. Zincirimizin de adı “X” olsun. _ Alo X video ben Ayşegül, nasıl yardımcı olabilirim? _ Ayşegül merhaba, ben Ertan. Levent şubesinin müdürü, sana ufak birşey soracaktım. _ Tamam _İyi bir müşterimiz Rocky 5’i kiralamak istiyor. Şu an elimizde hiç yok, sizde var mı bir kontrol eder misin? Bakırköy yolunun üstüymüşde, varsa size uğramasını sağlayacağım. _ Peki bakıyorum... Evet varmış. Uğrayabilir. _ Teşekkürler Ayşegül, sağol yardımın için. _ Rica ederim. Bu Ayşegül için gayet yerinde bir konuşma olmuştu. Şüphelenecek kendini ve ya başka birilerini zor durumda bırakabilecek hiçbirşey konuşulmamıştı. Ayşegül bu konuşmayı çoktan hafızasının arkalarına yolladı. 3 Gün sonra. _ Video X nasıl yardımcı olabilirim? _ Ayşegül merhaba nasılsın? Ben Ertan, Levent’den. _ Merhaba Ertan Bey, siz nasılsınız? _ Teşekkürler, geçen gün müşterimiz size uğrayamadı galiba. Neyse bak ne soracaktım, şu an bilgisayarlarımızda belgesel DVD’lerinin fiyatları gözükmüyor. Ordan bakabilir misin? Bizde ona göre fiyatlandıralım burada. _ Hiç sorun değil, hemen bakıyorum. _ Çok sağol _ Günlük kirası 2.5 YTL _ Oldu teşekkürler. _ Rica ederim. Ayşegül gene hiçbirşeyden şüphelenmeden konuşmayı bitirmişti. Ertan 2-3 günde bir Ayşegül’ü aramaya devam etti. Her seferinde ilk aramalarındaki gibi şüphe edilmeyecek şeyler soruyordu. Hatta Ayşegül ile Ertan neredeyse arkadaş olmuşlardı. Artık Ertan kendini tanıtmıyordu, Ayşegül sesinden arayanın Ertan olduğunu anlıyordu. Ve ilk aramasından üç hafta sonra Ertan son bir kez daha aradı, sesi biraz telaşlıydı. _ Ayşegül merhaba. _ Merhaba Ertan Bey, nasılsınız? _ Sağol, başımızda bir dert var., _ Nedir? _Bak bütün bilgisayarlarımız şu an çöktü, hiçbir bilgiye erişemiyoruz. Telefonla aldığımız bir sürü sipariş var ancak bilgisayar çalışmadığı için hesaplara giremiyoruz. Müşteriler saatlerdir siparişleri bekliyorlar. Şimdi sana bir kaç müşterinin isim ve adreslerini vereceğim, sen de bilgisayardan kontrol edip bana kredi kartı bilgilerini söyler misin? Elle giricem hesaplarına. Çok beklettik. _ Tabi sorun değil. .................................................. ...... Ayşegül’ün akşama doğru, “acaba telefonla kredi kartı bilgilerinin başka bir şubeye aktarılması kurallara uygun muydu” diye düşünmesi ama hem bu bilgileri isteyenin bir müdür olması hem de o an yapacak daha önemli işlerinin olması sonucu değiştirmedi. Aynı saatlerde bazı müşterilerin banka hesapları çokdan boşaltılmıştı. Bu örnekte de gördüğümüz gibi, bize ya da çevremize ciddi maddi zarar verebilecek ataklar genellikle bilgisayarlarımızdaki zaafları değil, sizin zaaflarınızı kullanırlar. Bu yaşanmış ve çok basit bir örnekdir ve örnekler çoğaltılabilir. Yeni girdiğiniz bir işte, ilk gün şirketin dahili telefonundan size şirketin güvenlik politikasını anlatmak üzere, IT departmanından olduğunu söyleyen birisi size, şirkete kayıtlı e-postanızın şifresini şirket kurallarına göre nasıl yaratmanız gerektiğini anlatabilir. Hatta daha da ileri gidip adım adım yanınızda kontrol edebilir, varsayılan şifrenizin yeterli güvenlikte olup olmadığını kontrol etmek amacıyla, sizden bu şifrenizi söylemenizi isteyebilir vesaire. Bu örnekde de, şirketin dahili telefonundan aranmanız işin teknik kısmıdır ancak sizi asıl zarara, sokan atak doğrudan size yapılan telefon aramasıdır Bedava Sirke Baldan Tatlı Mıdır? Şunu sakın unutmayın. Özellikle internette kimse kimseye bedava bir şey vermez. En kısa ve net anlatımıyla, sakın google arama motoruna “free” “bedava” ya da “beleş” yazıp birşeyler aramayın. Bulduklarınızın yüzde doksanı bilgisayarınıza aradığınızdan daha da fazlasını indirecektir buna emin olabilirsiniz. Evet internet ve bedava kelimeleri özellikle ülkemizde birbiriyle çok özdeşleşen iki kelime haline geldi ama bu devri kapatmanın vakti geldi de geçiyor. Kimse evinde ya da ofisinde oturup, bugün insanlar için bedavaya ne üretsem diye düşünmüyor. Saflığı bir yana bırakalım. Son aylarda dünyada en çok güvenilen ücretsiz bir güvenlik duvarı yazılımının dahi “evi aradığı” anlaşıldı. Yani sizin korunmak için bilgisayarınıza kurduğunuz güvenlik duvarı kendi adına kayıtlı dört sunucuya bilgisayarlarımızdan bilgiler gönderiyordu, ve bizim bu gibi işleri denetlesin ve engelesin diye kurduğumuz yazılım bunu yapıyordu. Bir diğer şok edici örnek ise i-Tunes adlı popüler müzik yönetimi ve oynatıcısının gene bilgisayarlarımızdan kendi sunucularına bilgi gönderdiğinin ve bize bu bilgiler doğrultusunda reklam gösterdiğinin ortaya çıkması oldu. Bu tamda spyware ve adware olarak tanımlanan zararlı casus programların yaptığı işin aynısı. Kısacası bu denizde kimseye güvenmeyeceğiz. Özellikle de yasadışı olanlara. Örneğin en çok kullandığınız 800 dolar değerindeki resim düzenleyiciyi sitesinden bedava indirebileceğinizi söyleyen korsan yazılımcılar. Ve ya hepimizin çok iyi bildiği “keygen” , “crack” ya da “serial” siteleri. Çok açık söylüyorum, bu gibi sitelerin tek birinde bile zararlı kod bulunmama ihtimali yok. Bilgisayarınıza indirdiğiniz her “crack” ya da benzeri uygulama ile, sizden kilometrelerce uzaktaki bir kötü amaçlı birinin zombie bilgisayarı haline geliyorsunuz. Yani sizin ve diğer kurbanların bilgisyarlarına kurduğu minicik bir uygulama ile bazı büyük sitelere ataklar düzenleyen bir internet korsanının, bu sitelerden aldığı yüzbinlerce dolar haraca katkıda bulunuyorsunuz. Bu sebeplerle, internette bedava gördüğümüz herşeye aldanmamalı, inidirip kullanmadan önce bizden daha tecrübeli kullanıcıların deneyimlerini ve görüşlerini incelemeliyiz. Kullanmak istediğiniz ama bilmediğiniz bir yazılımı, gerçekten güvendiğiniz kaynaklarda kısa bir araştırma yaparak kullanmalısınız. Yerli ve yabancı bir çok bilgi güvenliği forumunda bir yazılımın güvenirliliğini sorarsanız, oradaki tecrübeli üyeler yazılımı bilmeseler bile deneyip size sonucu bildireceklerdir. Bilmediğiniz hiçbir yazılımı, tam olarak araştırmadan ve inceleyip güvenirliliğine emin olmadan bilgisayarınıza kurmayın. Nasıl ki evinize beyaz eşya ve ya mobilya alırken araştırma yapıyorsanız, bilgisayarlarınız için de aynı şeyi yapmalısınız. En Fazla Yazılım Bizim Bilgisayarımızda Olsun Sendromu Kullandığınız yazılımlara dikkat edin. Bir yazılım kullanacakasanız kesinlikle bu yazılımı kendi resmi sitesinden indirin ve ya aylık bilgisayar dergilerinin CD’lerini kullanın. İnternet varolduğundan beri birçok indirme sitesi var ve sık olarak kullanılıyor. Bu indirme sitelerinden bir kaç tanesi dışındakilere de fazla güvenmemenizi öneriyorum. Kişisel deneyimlerime göre, gerek Türk gerekse yabancı bir çok indirme sitesinde spyware ve adware dediğimiz casus yazılımlar içeren programları kullanıcılarına çekinmeden sunuyorlar. Maalesef spyware ve adware içermeyen yazılım yayınladığını bir tek download.com indirme sitesi beyan edebiliyor. Bunun ötesi var. Özellikle internette bazı yazılımların korsan versiyonlarının bulunma zorluğundan doğan yasadışı forum sektörü. Bu web forumları insanlara bazı ücretli yazılımların tam sürümlerini dağıtmak amacıyla ortaya çıktı. Ancak durum günümüzde bu amacı aşarak insanların kullanıp kullanmayacağına bakmadan bilgisayarlarını pahalı yazılımlarla doldurma çılgınlığına döndü. Ve bu forumlarda sıkça kullanılan bir yöntem, yazılımları ve korsan eklentilerini bir ücretsiz hosting’e k**k ve insanları bu sitelerden indirmeye teşvik etmek olarak günümüze taşındı. Bunun genel zararları sandığımızdan büyük olmakla beraber bize olan özel zararları onarılamaz da olabilir. Bu yasadışı forumlarda insanlar artık ücretsiz ve açık kaynaklı yazılımları dahi ücretsiz dosya paylaşım siteleri üzerinden yapar oldu. Mozilla Firefox’u bu dosya paylaşım sitelerine gönderip, sizden oradan indirmenizi talep ediyorlar ve baktığımızda Mozilla Firefox gibi tamemen ücretsiz ve sık güncellenen bir yazılımın bu sitelerden binlerce kere indirildiğini görüyoruz. Kötü niyetli bir kişi için, bazı yazılımların kodlarını değiştirip kendine çıkar sağlyacak hale getirmesi çok zor bir olay değildir. Herhangi bir yazılımı, kendi sitesi dışında bir yerden, özellikle sizin gibi bir kullanıcı tarafından koyulduğu bu dosya paylaşım sitelerinden indirip kullandığınızda, bilmeden bazı kötü amaçlara hizmet ettiğinizi söyleyebilirim. Ayrıca kendi sitesinden indirmediğiniz bir yazılımın son versiyon olmama ihtimali çok büyük ve böyle bir durumda olası bir açığı bilgisayarınıza davet ediyor olmanız kaçınılmaz. Unutmayın herhangi bir yazılım size bir arama motoru kadar uzakdır. Örneğin “Google” arama motoruna istediğiniz yazılımın ismini yazarsanız çok büyük bir ihtimalle aramada çıkan ilk sonuç sizi yazılımın resmi sitesine götürecektir. Kullandığımız yazılımlar konusunda değinilmesi gereken çok önemli bir konu daha var. Son yıllarda özellikle güvenlik yazılımları arasında sıkça gördüğümüz “sahte anti-spyware” yazılımları furyası. En bilinen örnek “SpySheriff”. Bu tarz programlar bilgisayarınıza çok büyük bir ihtimalle ya sizin araşatırmacı ruhunuzdan faydalanıp kuruluyorlar ya da çeşitli korsan yazılım sitelerinden hediye olarak geliyorlar. Elimize ulaşan son istatistiklere, bu tür sahte anti-spyware yazılımları Amerika’da bir saatte 2500 bilgisayara kuruluyorlardı. Bu yazılımları dürüst sanarak satın alan kullanıcı sayısı azımsanamayacak kadar çok. Bu yazılımların ne yaptığını kısaca anlatmak gerekirse, bilgisayarınıza kurulmalarıyla birlikte yüzlerce zararlıyı da yanlarında kuruyorlar, çok hızlı bir taramayla sisteminizde bu zararlıları bulup sizden silmek için ücret talep ediyorlar. Bu yazılımların büyük bir bölümü sistemden normal yöntemlerle kaldırılamıyorlar. Masaüstü resminizi değiştiriyorlar, sürekli açılan pop-up pencereler ile satın almanızı söylüyorlar. Haftada en az bir adet yeni sahte anti-spyware yazılımı çıkıyor ve dürüst korunma yazılımları bunlara önlem lamakda genellikle yetersiz kalabiliyorlar. Zira bu zararlı yazılımlar genellikle sisteme sızma ve gizli yollarla değil, kullanıcıların talebi üzerine kuruluyorlar. Bunlardan kurtulmanın yöntemini çeşitli bilgi güvenliği sitelerinde bulabilirsiniz. Ancak bunların sisteme bulaşmasını önlemek tamamen sizin elinizde. Warez sitelerden uzak durun ve özellikle güvenlik yazılımları konusunda fazla meraklı olmayın. Başarısı kanıtlanmış, köklü firmaların yazılımlarını kullanmanız başınıza böyle talihsiz vakaların gelmesini önleyebilir. Ayırca bilmediğiniz herhangi bir güvenlik yazılımını sisteminize kurmadan önce, uzman kullanıcılardan tavsiye almalısınız. Türk ve yabancı bilgi güvenliği sitelerindeki çevrimiçi topluluklardan yardım alabilirsiniz bu konuda. Şifre Yönetimi. Şifreler Nasıl Ele Geçirilir? Saldırgan hack forumlarından bir yazılım bulur. Yazılımın adı “hotmail password cracker”dır. Yazılımın kutucuğuna kurbanın e-posta adresi yazılır, başlat düğmesine basılır ve bir müddet sonra yazılım, üzerinde kocaman “Buldum” yazan bir pop-up pencereyle size kurbanın şifresini söyler. Bu kadar kolay. Yukarıdaki cümleyi okuyan ve işleri güçleri birilerinin hotmail adresini çalayım diye uğraşmak olan, ciddi bilgisayar korsanları tarafından kod veletleri (script kiddies) diye adlandırılan kesim heyecanlanmış olabilirler. Tabii ki böyle bir yazılım yok. Hele ki e–posta şirketlerinin aldığı son önlemlerden sonra bir takım yazılımlarla şifre çalmak tarihe karıştı. Ancak bizim sözümüz zaten muhtemel kurbanlara, kod veletleri çalışmalarına devam edebilirler. Eğer E-posta adresi çalınan kişi, yukarıdaki paragraftaki gibi bir saldırıyla çalındığını düşünüyorsa büyük yanılgı içinde olduğunu söyleyebilirim. Maalesef kurban hatayı yine kendinde aramalıdır. Aslen yukarıda defalarca anlattığımız yöntemlerden pek bir farkı yoktur bu tür saldırıların. Ama e-posta şifresi çalmak üzerine uzmanlaşmış, bilgisayarınızın karşısında oturan en büyük açık odaklı saldırılarla ele geçirilmiştir e-posta şifresi. En sık kullanılan yöntemler sahte MSN messenger ve sahte hotmail yöntemleridir. Saldırgan sizin şu meşhur dosya paylaşım sitelerinden indirebileceğiniz, içinde en renkli, en hareketli gülümsemelerin, messenger ifadelerinin olduğu sahte bir msn messenger versiyonunu indirmenizi ve sisteminize kurmanızı sağlar. Böyle bir yazılımı bilgisayarınıza kurmuş olmanız bile başlı başına e-posta şifrenizi çaldırmaktan çok daha kötü sonuçlar doğurabilir ancak biz gene de şifre çalmaya dönelim. Siz bu “üstün özellikli” ve kaynağı belirsiz bir adresten indirdiğiniz msn messenger türevine e-posta adresinizi ve şifrenizi girdiğiniz anda bu bilgiler saldırganın belirlediği başka bir kaynağa ulaşmış olur. Bu aşamadan sonra bir daha e-postanıza girememek çok da uzak değildir. Gene benzer bir yöntem, sahte hotmail olarak bilinen ancak her türlü web tabanlı e-posta sistemine uyarlanabilen sahte web sayfası yöntemidir. Saldırgan kullandığınız web tabanlı e-posta servisinin web sayfasının birebir aynısını üretir. Zaman zaman bu sahte web sayfalarının orjinallerinden daha güzel göründüğü de olmuştur. Yarattığı bu sahte web sayfasını kendine ait ve büyük ihtimalle anonim bir web alanından sunmaya başlar. Burada saldırganın teknik becerisi, web sayfası adresini sizin e-posta servisinizmiş gibi göstermek olacaktır. Aslında kendine ait farklı bir isimde sunduğu adresi size kullandığınız e–posta servisiymiş gibi gösterecektir. Bunlar saldırının teknik bölümü. Ancak siz bu sayfayı nereden bulup da gireceksiniz. Web tarayıcınıza, elinizle e–posta servisinin adresini yazarsanız başka bir sayfaya yönlendirilme ihtimaliniz yok denecek kadar az. Yanıtı çok basit, size gelen spam e-postalardan ve ya anında mesajlaşma yazımılarından gelen linklerden bu sahte adreslere girebilirsiniz. Özellikle sizi heyecanlandırılan konularda bir e-posta aldığınızda, sizi heyecanladıran bu öğelere sahip olabilmeniz için hemen bir posta atmanızı ve ya başka bir sebeple e-postanıza girmenizi talep edebilirler. Size “kolaylık” olsun diye e-posta servisinizin linkini de okuduğunuz mesaja iliştiriler. Siz de o heyecanla ve ya saflıkla bu linkten e-postanıza girmeye kalktığınızda, e-posta bilgileriniz anında saldırganın eline, sahte msn messenger yönteminde olduğu gibi ulaşır. Bu gibi sahte yazılımlara ve ya web sayfalarına şifrelerinizi kaptırmamak için yapacağınız şey, her yazılımı kendi resmi sitesinden indirmek ve özellikle bazı bilgiler gireceğiniz sayfalara, web tarayıcınıza adresi kendiniz yazarak girmek olacaktır. İnternette dolaşırken, en az bilmediğiniz bir sokakta dolaşırken gösterdiğiniz dikkati ve uyanıklığı göstermek zorundasınız. Şifre konusunda bir diğer yöntem, tahmin etme yöntemidir. Size imkansız gibi gelebilir ancak e-postanızın ya da uzaktan erişim araçlarıyla sisteminizin kapısına dayanmış bir saldırganın, bilgisayar başında sizin şifrenizi tahmin etmeye çalıştığı çok uzak bir ihtimal değildir. Bir çok saldırgan şifreleri bu yöntemle ele geçirir. Bu sebeple içinde rakamlar büyük ve küçük harflerin bulunduğu bir şifre hazırlanamanız en iyi korunma yöntemlerinden biridir. Ayrıca periyodik aralıklarla şifrelerinizi değiştirmelisiniz. Eğer e-posta şifrenizi 123456789 yaptıysanız ve birileri sizin adınıza arkadaşlarınıza mesajlar yolladıysa kimseyi değil kendinizi suçlayın... Şifre konusundaki son yöntemle de gene daha önce anlattığımız bir önlemin kapsamına giriyoruz. Bütün şifre ile çalışan sistemler şifrelerin unutulma ihitmaline karşılık diğer bir giriş kullanırlar. Bu çoğunlukla bir hatırlatma sorusudur. En sevdiğiniz film, ilkokul öğretmeninizin adı ya da annenizin kızlık soyadı gibi. Şifrenizi unutmak gibi bir durumla karşılaştığınızda bu sorulara doğru cevap verirseniz şifrenizi geri alabilirsiniz. Eğer e-posta adresinizin bilgilerini eksiksiz olarak doğru doldurduysanız ve internette bir yıl önce tanıştığınız biri sizin hakkınızda en yakın arkadaşınızdan daha çok şey biliyorsa, şifrenizi kaptırmanız an meselesi olabilir. Bunu önlemek için, tekrar ediyorum, internette kimseye güvenmemeniz gerekiyor. Kimseye kendinizle ilgili kişisel bilgilerinizi vermeyin ve web profillerinizde bu tarz bilgiler yayınlamayın. Ayrıca şifreli sistemlerin hatırlatma sorularına alakasız cevaplar üretin. Örneğin en sevdiğiniz kitap sorusuna karşılık, ilkokul öğretmeninizin adını yazın. Böylece bu soruların cevaplarının tahmin edilmesini oldukça zorlaştırmış olursunuz. Peki Ya Virusler? Trojanlar? Wormlar...** Evet yüzbinlerce çeşit zararlı yazılım var piyasada. Kimi gizli, kimi apaçık ortada. Bazıları, üzerinde kötü niyetli kişilerce yıllarca uğraşılmış, el emeği göz nuru zararlı programlar. Virusler, dosyalarınızı siler, bilgilerinizi değiştirir, yeni bilgiler ekler, üzerine yazar, donanıma zarar verir ve daha birçok zarar verici işlemi yapar. Artık bırakın klavye hareketlerinizi uzaktaki bir sunucuya gönderen trojanları, ekran görüntünüzü saniye saniye saldırgana gönderebilen trojanlar var. Web kameranızı sizden habersiz çalıştıran, evinizi kaydedip verileri saldırganın belirlediği bir sunucuya gönderen zararlılar. Ve daha yüzbinlercesi. Ama işin korunmak isteyen bilgisayar kullanıcıları açısından çok basit ve de çok net bir püf noktası var. Saldırgan bir şekilde size bu zararlı dosyayı yollar. Saldırganın işi burada biter. Sizin zarar gördüğünüz, korkudan titrediğiniz sonuçlara yol açan sebepler bundan sonraki adımda başlar ki, bu adım tamamen maalesef gene sizinle alakalıdır. Saldırganın bu zararlı kodları size yollamısıyla işi bitmiştir ve top sizdedir artık. Size zarar verecek bu kodları bilgisayarınıza siz yüklersiniz. Üzgünüm ama durum bu kadar açık ve net. Saldırgan size bir e-posta atabilir. Özellikle halka malolmuş, yani bilimum arkadaşlık sitelerine, pornografigrafi sitelerine, halka açık internet sayfalarına kayıtlı bir e-posta adresiniz varsa bilirsiniz. Günde yüzlerce reklam postası alırsınız. Ucuza internet bağlantısı, sağlık ürünleri, rejim ürünleri, paralı kanalları bedava gösteren TV cihazları ve daha bir dolu “uygun” fiyatlı enteresan ürün reklamı alırsınız. Ancak bunlar arasında mutlaka sizin de dikkatinizi çeken ve gün geçtikçe kendini geliştiren bazı postalar vardır. Size isminizle hitap eden, ücretsiz bir takım servisler ya da uygulamalar öneren, sanki sizin yolladığınız bir postaya cevapmış gibi “re: Hey Ayşegül, işte sana söz verdiğim resimler” başlıklı postalar. Bu postalar ilgi çekebilmek için, gündemin trendlerinden faydalanırlar. Siz de eğer adınıza gelen bu e-postaların gerçekten size özel gönderildiğine inanır ve açarsanız, saldırganın size bu postayı yollamakla bıraktığı görevi tamamlamış olursunuz. Evet sizi bu tehditlerden kullandığınız korunma yazılımı koruyabilir belki, ancak şunu sakın unutmayın ki hiçbir korunma yazılımı yüzde yüz bütün zararlıları tesbit edemez, zaten hiçbiri de bunu yapabildiğini iddia etmezler. Sizin bilinçli bir kullanıcı olarak böyle bir e-postayı kesinlikle açmamanız, mümkünse e-posta adresinizi bu gibi muamelelere maruz bırakacak hareketlerden kaçınmanız gerekmektedir. Örneğin, her ne kadar karizmatik görünse de kısa kullanıcı adları kullanmamalısınız. Çünkü bu tür saldırılar genellikle saldırganlar tarafından üretilen çeşitli posta bombardımanı programlarıyla yapılır. Bu kötü amaçlı programlar, belli bir metodolojiye göre e-posta adresi üretirler ve bu adreslere malum mesajları gönderirler. E-posta adresinizin kullanıcı adı ne kadar kısaysa, bu programlara yakalanma şansınız da o kadar fazladır. Bir diğer yöntem, internette e-posta adresinizi mümkün olduğunca az siteye gönderin. Bir çok site, adresinizi başkalarıyla paylaşmayacağını söylese dahi kötü niyetli kişilere ve ya reklamcılara satarlar. E-posta adresinizi web üzerinde herkesin erişebildiği, forum, ziyaretçi odası gibi alanlara bırakmayın. Eğer bırakmanız gerekiyorsa da, deforme ederek yazın, örneğin; adınız(at)hétmaildotcom gibi. Bazı saldırganlar geliştirdikleri web bot adı verilen bazı kodlarla, internet sitelerini tararlar ve içerisinde “@”, "hotmail”, “yahoo“ kelimeleri bulunan ve bu sayede e-posta gibi görünen metinleri toplarlar. Bunlardan adresinizi bu ve ya benzeri şekillerde deforme ederek korunabilirsiniz. Virus, trojan ve worm gibi zararlı kodların, web sitelerinden de bulaşabildiğini unutmayın. Bundan korunmak çok daha zordur. Ancak bu web sitelerine erişim e-postalardan daha kolay olduğu için, anti-virus üreticilerinin veritabanlarına kısa zamanda eklenirler. Ancak tabii ki yüzde yüz eklenecektir ve ya korunma yazılımınız bu tehditi tesbit etse dahi sizi korur anlamına gelmez. Mümkün olduğunca bilmediğiniz sitelerden, size binlerce dolarlık yazılımları ücretsiz sağladığını söz veren bazı sitelerden ve özellikle warez sitelerden uzak durmanız gerekmektedir. Unutmayın, internette kimse kimseye boşu boşuna ücretsiz birşeyler vermiyor. Sonuç olarak internetin bize getirdiği kolaylıklardan ve kaynaklardan faydalanmak tabii ki hakkımız. Ancak gözümüzü dört açmalı ve kötü niyetli kişilerin kullandığı yöntemleri iyi bilmeliyiz ki bunlara kanmayalım. Her ne kadar kulağa sıkıcı gelse de, bilgi güvenliğinin çok önemli bir kavram olduğunu, bilgi güvenliğinde en zayıf halkanın insan faktörü olduğunu ve olası tehliklerden ancak bunları çok iyi kavrayarak korunabileceğimizi anlamalıyız. Bunun için de interneti sadece eğlence için değil, araştırma ve öğrenme amaçlı kullanmamız gerekir. Burada anlatılanlar ancak bilgi güvenliğine giriş olarak nitelendirilebilir. Saygılar. DÃ¼zenleyen megabros - 28-03-2011 Saat 09:02