Bu yazıda TÜBİTAK UEKAE Bilişim Sistemleri Güvenliği Blümü olarak kamu kurumlarına bilgi güvenliği testleri çatısı altında gerçekleştirdiğimiz sosyal mühendislik saldırılarının bir analizi yapılmıştır. Hepimizin bildiği üzere bilgi güvenliğinin sadece küçük bir yüzdesi teknik güvenlik nlemleri ile sağlanmakta. Büyük yüzdesi ise kullanıcıya bağlı. Kurumda bilgi güvenliğinden sorumlu olan kişiler kimler peki? Başta bilginin sahibi ve bilgi işlem personeli olmak üzere tüm kurum personeli aslında bilgi güvenliğinden sorumludurlar. Bilgi güvenliğinin seviyesini belirlemek için en zayıf halkaya bakılır. En zayıf halka da çoğu durumda maalesef insan olmaktadır. Peki kurumunuzda bir bilgi güvenliği zafiyeti oluştuğunda kurumunuzun başına neler gelebilir? Bilginiz başkalarının eline geçebilir Kurumun onuru, toplumdaki imajı zarar grebilir Donanım, yazılım, veri ve kurum çalışanları zarar grebilir nemli veriye zamanında erişememe sorunları ortaya çıkabilir Parasal kayıplar meydana gelebilir Vakit kayıpları kaçınılmaz olur Hatta can kaybı bile meydana gelebilir Aşağıda Amerika Birleşik Devletleri'nde meydana gelmiş bilgisayar olaylarının türlerine gre dağılımı bulunmakta. Şekil-1 ABD'de meydana gelen bilgisayar olayları Grafik analiz edildiğinde çalınmış dizüstü bilgisayarlar %21'lik bir oranla birinci sırada yer alıyor. Sosyal mühendislik tekniklerini kullanarak yapılan saldırıları Hack ve Hile başlıkları altında toplarsak yanlış olmaz sanırım. Bu da %24'lük bir oran teşkil etmektedir ki gerçekten yüksek bir oran. Biraz da sosyal mühendislik hakkında bilgi verelim. Sosyal mühendisler teknolojiyi kullanarak ya da kullanmadan bilgi edinmek için insanlardan faydalanıp, en çok etkileme ve ikna yntemlerini kullanırlar. Sosyal mühendisliği ise normalde insanların tanımadıkları biri için yapmayacakları şeyleri yapmalarını sağlama sanatı olarak tanımlayabiliriz. Çoğu insan, kandırılma olasılığının çok düşük olduğunu düşünür. Bu ortak inancın bilincinde olan saldırgan, isteğini o kadar akıllıca sunar ki hiç kuşku uyandırmaz ve kurbanın güvenini smürür. "En emniyetli bilgisayar, kapalı olandır" şeklinde klişeleşmiş bir laf vardır. Peki şunu hiç düşündük mü? Art niyetli bir kişi ofise gidip bilgisayarı açması için birini ikna edebilir. Artık günümüz bilgi güvenliğine bakış açımızın bu tür durumları da içerecek şekilde genişlemesi gerekiyor. TÜBİTAK UEKAE Bilişim Sistemleri Güvenliği Blümü olarak yaklaşık 1,5 yıldır kamu kurumlarına sosyal mühendislik saldırıları gerçekleştirmekteyiz. bu kapsamda bugüne kadar toplam 5 kamu kurumunda bu testi gerçekleştirdik. Bu kapsamda toplam 48 kullanıcı ile telefon grüşmesi yapıldı ve 30'una ait şifre elde edildi. Aslında burada kurum bazında başarı oranına bakmak pek de doğru olmayabilir. Çünkü siz saldırgan olarak kurumdan sadece bir kişinin bile şifresini ele geçirseniz, bu şifreyle pek çok bilgiye ulaşabilmeniz mümkün olur. Sonuçlar analiz edildiğinde maalesef kamu kurumlarımızdaki personelde bilgi güvenliği bilinci pek oturmamış gzüküyor. İlgili grafiğe aşağıdan ulaşabilirsiniz. Şekil-2 Kamuda bilgi güvenliği bilinci analizi grafiği Bu saldırılarda kullandığımız bazı senaryoları aşağıda bulabilirsiniz: SENARYO 1: Bu senaryoda kullanılan veri tamamen kurum dışından elde edilir. Saldırgan kurumla ilgili telefon bilgilerini internetten topladıktan sonra bu numaraları arayarak kendisinin bilgi işlem departmanında yeni işe başladığını ve aktif dizinde bir güncelleme yapmak amacıyla kullanıcı adı ve şifreye ihtiyacı olduğunu syler. SENARYO 2: Bu senaryoda kullanılan veri tamamen kurum içinden elde edilir. Saldırgan ilgili telefon numaralarını arayarak kendisinin bilgi işlem departmanında yeni işe başladığını ve aktif dizinde bir güncelleme yapmak amacıyla kullanıcı adı ve şifreye ihtiyacı olduğunu syler. SENARYO 3: Saldırgan kendini, denetçi olarak tanıtır ve şu an kurum başkanının yanında olduğunu syleyerek devam eder. Başkanın emriyle bir inceleme yapmak için kullanıcı adı ve şifreye ihtiyacı olduğunu syler. SENARYO 4: Bu senaryoda kullanılan veri tamamen kurum dışından elde edilir. Saldırgan kurumun santralini arayarak muhasebe departmanından birisiyle grüşmek istediğini syler. Amaç ncelikle bir isim ve dahili numarası elde etmektir. Bu bilgiyi aldıktan sonra ilgili kişiyi arayarak kullanıcı adı ve şifresini almaya çalışır. SENARYO 5: Eğer kurumda var olan kritik yazılımlardan herhangi birisi dışarıdan bir kurumun işletimi dahilindeyse saldırgan kendisini o kurumdan bir yetkili olarak tanıtıp, bir güncelleme yapmak için kullanıcı adı ve şifre almaya çalışır. SENARYO 6: Çeşitli yazılımlar yardımıyla ekinde zararlı yazılım bulunan ve içeriği kullanıcılara çok cazip gelecek e-posta hazırlanır ve tüm kullanıcılara gnderilir. rnek 1: Maaşlara yapılan son zammı grmek için ekteki dokümana tıklayınız. rnek 2: Ben aaa firmasında teknik destek grubu çalışanıyım. Firmamızın bbb yazılımında meydana gelen kritik bir açıklığın bir an nce kapatılması için lütfen ekteki yamayı bilgisayarınıza kurunuz. Bu tip saldırılara karşı alınabilecek bazı nlemleri vurgulamakta fayda var. Tehlike hiç ummadığınız bir anda, hiç ummadığınız bir yerden gelebilir. Tanımadığınız kişilerden gelen isteklere karşı temkinli davranın ve size zel bilginizi sistem yneticisi, mesai arkadaşınız, hatta yneticileriniz dahil, kimseyle paylaşmayın. Kurumdaki tüm personele periyodik olarak bilgi güvenliği bilinçlendirme eğitimleri verin. Ve son olarak da kurumunuzda periyodik olarak, sosyal mühendislik saldırı testini de içeren, bilgi güvenliği testleri gerçekleştirin. http://www.bilgiguvenligi.gov.tr/sosyal-muhendislik/turkiyedeki-kamu-kurumlarinda-sosyal-muhendislik-uygulamalari.html