dlsreports

Bilgisayarınızdaki En Büyük Açık Sizsiniz
Başlığı yanlış okumuyorsunuz. Aynen yukarıya da yazdığım gibi bilgisayarınızdaki en büyük
tehlike sizsiniz. Yıllardır kapatılamayan ve önlemi alınamayan en büyük açık insan faktörüdür.
Bunu yazının ilerki safhalarında tekrar tekrar vurgulayacağım ama yine de tekrarlıyorum;
Bilgisayar güvenliğinin en zayıf ve en kritik halkası insan faktörüdür. Evet dışarda yüzbinlerce
zararlı kod var, binlerce “hack tool” adı verilen sözde hackerların sistemlere sızmak, birilerine
zarar vermek için kullandığı araçlar var. Hatta en çok kullanılan işletim sistemi Windows bir
açık makinası ve sık kullandığımız bütün programlarda gün geçmiyor ki yeni bir açık çıkmasın.
Ancak şuna inanın, sıradan ev kullanıcıları, yani mesleği ve ya hobisi bilgisayar olmayan sadece
günlük işlerini bilgisayarla halleden, oyun oynayan, film seyreden, sohbet eden ve bilgisayar
kullanıcılarının büyük bir yüzdesini oluşturan kesim, bu açıkları takip ettikleri dergi ve gazete
gibi basın organlarından öğrendiklerinde genellikle bu açıklar çoktan yamanmış oluyor. Ya da
Anti-Virüs üretcileri bu açıklara karşı önlemlerini almış oluyorlar.
Hack tool adı verilen araçların da hiçbiri mucize yaratmaz. Yani o araçlara birinin e-mail
adresini yazarsanız size şifresini söylemez. Ve ya kurbanın IP adresini yazıp “bağlan” tuşuna
bastığınızda bilgisayarın masaüstüne bağlanan bir araç bulmazsınız. O araçların da tamamı
güvenliğin en zayıf halkasını kullanır. Yüzbinlerce zararlı kod derken kastettiğimiz şey virüsler,
casus yazılımlar, solucanlar ve truva atlarıydı, ve evet hiçbiri kendi kendine bir bilgisayara
kurulmaz. Acı ama gerçek. Anti-virus yazılımınızla tarama yaptığınızda, bilgisayarda
bulduğunuz onlarca zararlı nereden çıktı diye boşuna düşünmeyin. Onları birer birer siz
kurdunuz bilgisayarlarınıza. Çünkü hiçbir işletim sistemi ya da anti-virus yazılımı üreticisinin
kapatamadığı ve muhtemelen hiçbir zaman kapatamayacağı en büyük güvenlik açığının
parmakları klavyenizde, odanızda, bilgisayarınızın tam karşısında. En sevdiği şarkıcının hain
hain sırıttığı bir siteden arkaplan resmi yüklüyor. Evet yüklüyor, indirmiyor yüklüyor...
İnternette “Karşılıklı Güven” Meselesi
İnternette kimseye güvenmeyin. Bunun herhangi bir sınırı yok. Kesinlikle ve kesinlikle internet
üzerinde tanıştığınız birisine güvenmeyin. Hatta daha da ileri gideyim, yıllardır anında
mesajlaşma yazılımınızın listesinde bulunan lise arkadaşınıza da güvenmeyin. Kesinlikle, çok
yakından tanıdığınız biri dahi olsa, anında meajlaşma yazılımları üzerinden kişisel bilgilerinizi
paylaşmayın. Sanılanın aksine hackerlar sistemlere sızma, şifre çalma gibi işlerini sadece kendi
geliştirdikleri yazılımlarla yapmazlar. En çok kullandıkları yöntem insan üzerine oynamaktır. Eposta adresiniz çalındığında aklınıza gelen bunu ne tür yazılımları kullanarak yaptıkları
olmamalı. Ya da e-posta servisinin ne gibi açıkları olduğunu sorgulamadan önce, “ben son
günlerde internette kimlerle konuştum” ve “ne konuştum” olmalıdır.
Şimdi size muhtemel bir saldırı senaryosu yazacağım. Buradaki kötü niyetli kişiler, kodlama
konusunda usta, bilgisayarlar ve güvenlik konusunda hepimizden daha fazla şey biliyor
olabilirler. Bazı kilit işlemleri kendi teknik kapasiteleri ile yapıyor olabilirler. Ancak göreceksiniz
ki güvenliğin en zayıf halkası olan insan faktörü olmadan gene de bu işlemleri
gerçekleştiremeyeceklerdi. Burada bahsedeceğim senaryo tamamen gerçek olaylardan
alınmıştır ve sadece Türkiye şartlarına uyarlanmıştır. Olayların işleyişi ve yöntemler tamamen
gerçektir.
Kötü niyetli kişiler teknik bilgilerini kullanarak internette izlerini bulunamayacak hale
getirmişler ve herhangi bir kredi kartı ve sahibinin kişisel bilgileri ile bütün hesabı
boşaltabilecek düzeneği hazırlamışlardır. Buraya kadar insan faktörünün bir önemi yok. Ancak
bir kişinin kredi kartı bilgilerini ele geçirmek ve bunu, o kişinin kafasına sert bir cisimle vurup
bayıltmadan yapabilmek için ne gereklidir? Bir Kurban. Burada kurbanımıza “Ayşegül”
diyeceğiz. Ayşegül Bakırköy’de bir video kiralama dükkanları zincirinde kasiyerdir. Zincirimizin
de adı “X” olsun.
_Alo X video ben Ayşegül, nasıl yardımcı olabilirim?
_Ayşegül merhaba, ben Ertan. Levent şubesinin müdürü, sana ufak birşey soracaktım.
_Tamam
_İyi bir müşterimiz Rocky 5’i kiralamak istiyor. Şu an elimizde hiç yok, sizde var mı bir kontrol
eder misin? Bakırköy yolunun üstüymüşde, varsa size uğramasını sağlayacağım.
_Peki bakıyorum... Evet varmış. Uğrayabilir.
_Teşekkürler Ayşegül, sağol yardımın için.
_Rica ederim.
Bu Ayşegül için gayet yerinde bir konuşma olmuştu. Şüphelenecek kendini ve ya başka
birilerini zor durumda bırakabilecek hiçbirşey konuşulmamıştı. Ayşegül bu konuşmayı çoktan
hafızasının arkalarına yolladı. 3 Gün sonra.
_Video X nasıl yardımcı olabilirim?
_Ayşegül merhaba nasılsın? Ben Ertan, Levent’den.
_Merhaba Ertan Bey, siz nasılsınız?
_Teşekkürler, geçen gün müşterimiz size uğrayamadı galiba. Neyse bak ne soracaktım, şu an
bilgisayarlarımızda belgesel DVD’lerinin fiyatları gözükmüyor. Ordan bakabilir misin? Bizde ona
göre fiyatlandıralım burada.
_Hiç sorun değil, hemen bakıyorum.
_Çok sağol
_Günlük kirası 2.5 YTL
_Oldu teşekkürler.
_Rica ederim.
Ayşegül gene hiçbir şeyden şüphelenmeden konuşmayı bitirmişti. Ertan 2-3 günde bir
Ayşegül’ü aramaya devam etti. Her seferinde ilk aramalarındaki gibi şüphe edilmeyecek şeyler
soruyordu. Hatta Ayşegül ile Ertan neredeyse arkadaş olmuşlardı. Artık Ertan kendini
tanıtmıyordu, Ayşegül sesinden arayanın Ertan olduğunu anlıyordu. Ve ilk aramasından üç
hafta sonra Ertan son bir kez daha aradı, sesi biraz telaşlıydı.
_Ayşegül merhaba.
_Merhaba Ertan Bey, nasılsınız?
_Sağol, başımızda bir dert var.,
_Nedir?
_Bak bütün bilgisayarlarımız şu an çöktü, hiçbir bilgiye erişemiyoruz. Telefonla aldığımız bir
sürü sipariş var ancak bilgisayar çalışmadığı için hesaplara giremiyoruz. Müşteriler saatlerdir
siparişleri bekliyorlar. Şimdi sana bir kaç müşterinin isim ve adreslerini vereceğim, sen de
bilgisayardan kontrol edip bana kredi kartı bilgilerini söyler misin? Elle giricem hesaplarına. Çok
beklettik.
_Tabi sorun değil.
.................................................. ......
Ayşegül’ün akşama doğru, “acaba telefonla kredi kartı bilgilerinin başka bir şubeye aktarılması
kurallara uygun muydu” diye düşünmesi ama hem bu bilgileri isteyenin bir müdür olması hem
de o an yapacak daha önemli işlerinin olması sonucu değiştirmedi. Aynı saatlerde bazı
müşterilerin banka hesapları çoktan boşaltılmıştı.
Bu örnekte de gördüğümüz gibi, bize ya da çevremize ciddi maddi zarar verebilecek ataklar
genellikle bilgisayarlarımızdaki zaafları değil, sizin zaaflarınızı kullanırlar. Bu yaşanmış ve çok
basit bir örnektir ve örnekler çoğaltılabilir. Yeni girdiğiniz bir işte, ilk gün şirketin dahili
telefonundan size şirketin güvenlik politikasını anlatmak üzere, IT departmanından olduğunu
söyleyen birisi size, şirkete kayıtlı e-postanızın şifresini şirket kurallarına göre nasıl yaratmanız
gerektiğini anlatabilir. Hatta daha da ileri gidip adım adım yanınızda kontrol edebilir, varsayılan
şifrenizin yeterli güvenlikte olup olmadığını kontrol etmek amacıyla, sizden bu şifrenizi
söylemenizi isteyebilir vesaire. Bu örnekte de, şirketin dahili telefonundan aranmanız işin
teknik kısmıdır ancak sizi asıl zarara, sokan atak doğrudan size yapılan telefon aramasıdır.
Bedava Sirke Baldan Tatlı Mıdır?
Şunu sakın unutmayın. Özellikle internette kimse kimseye bedava bir şey vermez. En kısa ve
net anlatımıyla, sakın google arama motoruna “free” “bedava” ya da “beleş” yazıp bir şeyler
aramayın. Bulduklarınızın yüzde doksanı bilgisayarınıza aradığınızdan daha da fazlasını
indirecektir buna emin olabilirsiniz.
Evet internet ve bedava kelimeleri özellikle ülkemizde birbiriyle çok özdeşleşen iki kelime
haline geldi ama bu devri kapatmanın vakti geldi de geçiyor. Kimse evinde ya da ofisinde
oturup, bugün insanlar için bedavaya ne üretsem diye düşünmüyor. Saflığı bir yana bırakalım.
Son aylarda dünyada en çok güvenilen ücretsiz bir güvenlik duvarı yazılımının dahi “evi aradığı”
anlaşıldı. Yani sizin korunmak için bilgisayarınıza kurduğunuz güvenlik duvarı kendi adına
kayıtlı dört sunucuya bilgisayarlarımızdan bilgiler gönderiyordu, ve bizim bu gibi işleri
denetlesin ve engelesin diye kurduğumuz yazılım bunu yapıyordu. Bir diğer şok edici örnek ise
i-Tunes adlı popüler müzik yönetimi ve oynatıcısının gene bilgisayarlarımızdan kendi
sunucularına bilgi gönderdiğinin ve bize bu bilgiler doğrultusunda reklam gösterdiğinin ortaya
çıkması oldu. Bu tamda spyware ve adware olarak tanımlanan zararlı casus programların
yaptığı işin aynısı. Kısacası bu denizde kimseye güvenmeyeceğiz. Özellikle de yasadışı olanlara.
Örneğin en çok kullandığınız 800 dolar değerindeki resim düzenleyiciyi sitesinden bedava
indirebileceğinizi söyleyen korsan yazılımcılar. Ve ya hepimizin çok iyi bildiği “keygen” , “crack”
ya da “serial” siteleri. Çok açık söylüyorum, bu gibi sitelerin tek birinde bile zararlı kod
bulunmama ihtimali yok. Bilgisayarınıza indirdiğiniz her “crack” ya da benzeri uygulama ile,
sizden kilometrelerce uzaktaki bir kötü amaçlı birinin zombie bilgisayarı haline geliyorsunuz.
Yani sizin ve diğer kurbanların bilgisayarlarına kurduğu minicik bir uygulama ile bazı büyük
sitelere ataklar düzenleyen bir internet korsanının, bu sitelerden aldığı yüzbinlerce dolar haraca
katkıda bulunuyorsunuz.
Bu sebeplerle, internette bedava gördüğümüz her şeye aldanmamalı, indirip kullanmadan önce
bizden daha tecrübeli kullanıcıların deneyimlerini ve görüşlerini incelemeliyiz. Kullanmak
istediğiniz ama bilmediğiniz bir yazılımı, gerçekten güvendiğiniz kaynaklarda kısa bir araştırma
yaparak kullanmalısınız. Yerli ve yabancı bir çok bilgi güvenliği forumunda bir yazılımın
güvenirliğini sorarsanız, oradaki tecrübeli üyeler yazılımı bilmeseler bile deneyip size sonucu
bildireceklerdir. Bilmediğiniz hiçbir yazılımı, tam olarak araştırmadan ve inceleyip güvenirliğine
emin olmadan bilgisayarınıza kurmayın. Nasıl ki evinize beyaz eşya ve ya mobilya alırken
araştırma yapıyorsanız, bilgisayarlarınız için de aynı şeyi yapmalısınız.
En Fazla Yazılım Bizim Bilgisayarımızda Olsun Sendromu
Kullandığınız yazılımlara dikkat edin. Bir yazılım kullanacaksanız kesinlikle bu yazılımı kendi
resmi sitesinden indirin ve ya aylık bilgisayar dergilerinin CD’lerini kullanın. İnternet var
olduğundan beri birçok indirme sitesi var ve sık olarak kullanılıyor. Bu indirme sitelerinden bir
kaç tanesi dışındakilere de fazla güvenmemenizi öneriyorum. Kişisel deneyimlerime göre,
gerek Türk gerekse yabancı bir çok indirme sitesinde spyware ve adware dediğimiz casus
yazılımlar içeren programları kullanıcılarına çekinmeden sunuyorlar. Maalesef spyware ve
adware içermeyen yazılım yayınladığını bir tek download.com indirme sitesi beyan edebiliyor.
Bunun ötesi var. Özellikle internette bazı yazılımların korsan versiyonlarının bulunma
zorluğundan doğan yasadışı forum sektörü. Bu web forumları insanlara bazı ücretli yazılımların
tam sürümlerini dağıtmak amacıyla ortaya çıktı. Ancak durum günümüzde bu amacı aşarak
insanların kullanıp kullanmayacağına bakmadan bilgisayarlarını pahalı yazılımlarla doldurma
çılgınlığına döndü. Ve bu forumlarda sıkça kullanılan bir yöntem, yazılımları ve korsan
eklentilerini bir ücretsiz hosting’e koymak ve insanları bu sitelerden indirmeye teşvik etmek
olarak günümüze taşındı.
Bunun genel zararları sandığımızdan büyük olmakla beraber bize olan özel zararları onarılamaz
da olabilir. Bu yasadışı forumlarda insanlar artık ücretsiz ve açık kaynaklı yazılımları dahi
ücretsiz dosya paylaşım siteleri üzerinden yapar oldu. Mozilla Firefox’u bu dosya paylaşım
sitelerine gönderip, sizden oradan indirmenizi talep ediyorlar ve baktığımızda Mozilla Firefox
gibi tamamen ücretsiz ve sık güncellenen bir yazılımın bu sitelerden binlerce kere indirildiğini
görüyoruz. Kötü niyetli bir kişi için, bazı yazılımların kodlarını değiştirip kendine çıkar
sağlayacak hale getirmesi çok zor bir olay değildir. Herhangi bir yazılımı, kendi sitesi dışında bir
yerden, özellikle sizin gibi bir kullanıcı tarafından koyulduğu bu dosya paylaşım sitelerinden
indirip kullandığınızda, bilmeden bazı kötü amaçlara hizmet ettiğinizi söyleyebilirim. Ayrıca
kendi sitesinden indirmediğiniz bir yazılımın son versiyon olmama ihtimali çok büyük ve böyle
bir durumda olası bir açığı bilgisayarınıza davet ediyor olmanız kaçınılmaz. Unutmayın herhangi
bir yazılım size bir arama motoru kadar uzaktır. Örneğin “Google” arama motoruna istediğiniz
yazılımın ismini yazarsanız çok büyük bir ihtimalle aramada çıkan ilk sonuç sizi yazılımın resmi
sitesine götürecektir.
Kullandığımız yazılımlar konusunda değinilmesi gereken çok önemli bir konu daha var. Son
yıllarda özellikle güvenlik yazılımları arasında sıkça gördüğümüz “sahte anti-spyware”
yazılımları furyası. En bilinen örnek “SpySheriff”. Bu tarz programlar bilgisayarınıza çok büyük
bir ihtimalle ya sizin araştırmacı ruhunuzdan faydalanıp kuruluyorlar ya da çeşitli korsan
yazılım sitelerinden hediye olarak geliyorlar. Elimize ulaşan son istatistiklere, bu tür sahte antispyware yazılımları Amerika’da bir saatte 2500 bilgisayara kuruluyorlardı. Bu yazılımları dürüst
sanarak satın alan kullanıcı sayısı azımsanamayacak kadar çok.
Bu yazılımların ne yaptığını kısaca anlatmak gerekirse, bilgisayarınıza kurulmalarıyla birlikte
yüzlerce zararlıyı da yanlarında kuruyorlar, çok hızlı bir taramayla sisteminizde bu zararlıları
bulup sizden silmek için ücret talep ediyorlar. Bu yazılımların büyük bir bölümü sistemden
normal yöntemlerle kaldırılamıyorlar. Masaüstü resminizi değiştiriyorlar, sürekli açılan pop-up
pencereler ile satın almanızı söylüyorlar. Haftada en az bir adet yeni sahte anti-spyware
yazılımı çıkıyor ve dürüst korunma yazılımları bunlara önlem lamakda genellikle yetersiz
kalabiliyorlar. Zira bu zararlı yazılımlar genellikle sisteme sızma ve gizli yollarla değil,
kullanıcıların talebi üzerine kuruluyorlar.
Bunlardan kurtulmanın yöntemini çeşitli bilgi güvenliği sitelerinde bulabilirsiniz. Ancak bunların
sisteme bulaşmasını önlemek tamamen sizin elinizde. Warez sitelerden uzak durun ve özellikle
güvenlik yazılımları konusunda fazla meraklı olmayın. Başarısı kanıtlanmış, köklü firmaların
yazılımlarını kullanmanız başınıza böyle talihsiz vakaların gelmesini önleyebilir. Spysheriff tarzı
sahte anti-spyware yazılımlarına genel literatürde “Rouge Anti-Spyware” adı veriliyor. Bu
yazılımların
güncel
listesini
bu
adreste
bulabilirsiniz:
http://www.spywarewarrior.com/rogue_anti-spyware.htm
Ayırca bilmediğiniz herhangi bir güvenlik yazılımını sisteminize kurmadan önce, uzman
kullanıcılardan tavsiye almalısınız. Türk ve yabancı bilgi güvenliği sitelerindeki çevrimiçi
topluluklardan yardım alabilirsiniz bu konuda.
Şifre Yönetimi
Şifreler Nasıl Ele Geçirilir? Saldırgan hack forumlarından bir yazılım bulur. Yazılımın adı
“hotmail password cracker”dır. Yazılımın kutucuğuna kurbanın e-posta adresi yazılır, başlat
düğmesine basılır ve bir müddet sonra yazılım, üzerinde kocaman “Buldum” yazan bir pop-up
pencereyle size kurbanın şifresini söyler. Bu kadar kolay.
Yukarıdaki cümleyi okuyan ve işleri güçleri birilerinin hotmail adresini çalayım diye uğraşmak
olan, ciddi bilgisayar korsanları tarafından kod veletleri (script kiddies) diye adlandırılan kesim
heyecanlanmış olabilirler. Tabii ki böyle bir yazılım yok. Hele ki e–posta şirketlerinin aldığı son
önlemlerden sonra bir takım yazılımlarla şifre çalmak tarihe karıştı. Ancak bizim sözümüz zaten
muhtemel kurbanlara, kod veletleri çalışmalarına devam edebilirler.
Eğer E-posta adresi çalınan kişi, yukarıdaki paragraftaki gibi bir saldırıyla çalındığını
düşünüyorsa büyük yanılgı içinde olduğunu söyleyebilirim. Maalesef kurban hatayı yine
kendinde aramalıdır. Aslen yukarıda defalarca anlattığımız yöntemlerden pek bir farkı yoktur bu
tür saldırıların. Ama e-posta şifresi çalmak üzerine uzmanlaşmış, bilgisayarınızın karşısında
oturan en büyük açık odaklı saldırılarla ele geçirilmiştir e-posta şifresi. En sık kullanılan
yöntemler sahte MSN messenger ve sahte hotmail yöntemleridir. Saldırgan sizin şu meşhur
dosya paylaşım sitelerinden indirebileceğiniz, içinde en renkli, en hareketli gülümsemelerin,
messenger ifadelerinin olduğu sahte bir msn messenger versiyonunu indirmenizi ve sisteminize
kurmanızı sağlar. Böyle bir yazılımı bilgisayarınıza kurmuş olmanız bile başlı başına e-posta
şifrenizi çaldırmaktan çok daha kötü sonuçlar doğurabilir ancak biz gene de şifre çalmaya
dönelim. Siz bu “üstün özellikli” ve kaynağı belirsiz bir adresten indirdiğiniz msn messenger
türevine e-posta adresinizi ve şifrenizi girdiğiniz anda bu bilgiler saldırganın belirlediği başka
bir kaynağa ulaşmış olur. Bu aşamadan sonra bir daha e-postanıza girememek çok da uzak
değildir.
Gene benzer bir yöntem, sahte hotmail olarak bilinen ancak her türlü web tabanlı e-posta
sistemine uyarlanabilen sahte web sayfası yöntemidir. Saldırgan kullandığınız web tabanlı eposta servisinin web sayfasının birebir aynısını üretir. Zaman zaman bu sahte web sayfalarının
orijinallerinden daha güzel göründüğü de olmuştur. Yarattığı bu sahte web sayfasını kendine ait
ve büyük ihtimalle anonim bir web alanından sunmaya başlar. Burada saldırganın teknik
becerisi, web sayfası adresini sizin e-posta servisinizmiş gibi göstermek olacaktır. Aslında
kendine ait farklı bir isimde sunduğu adresi size kullandığınız e–posta servisiymiş gibi
gösterecektir. Bunlar saldırının teknik bölümü.
Ancak siz bu sayfayı nereden bulup da gireceksiniz. Web tarayıcınıza, elinizle e–posta servisinin
adresini yazarsanız başka bir sayfaya yönlendirilme ihtimaliniz yok denecek kadar az. Yanıtı
çok basit, size gelen spam e-postalardan ve ya anında mesajlaşma yazılımlarından gelen
linklerden bu sahte adreslere girebilirsiniz. Özellikle sizi heyecanlandırılan konularda bir e-posta
aldığınızda, sizi heyecanladıran bu öğelere sahip olabilmeniz için hemen bir posta atmanızı ve
ya başka bir sebeple e-postanıza girmenizi talep edebilirler. Size “kolaylık” olsun diye e-posta
servisinizin linkini de okuduğunuz mesaja iliştiriler. Siz de o heyecanla ve ya saflıkla bu linkten
e-postanıza girmeye kalktığınızda, e-posta bilgileriniz anında saldırganın eline, sahte msn
messenger yönteminde olduğu gibi ulaşır.
Bu gibi sahte yazılımlara ve ya web sayfalarına şifrelerinizi kaptırmamak için yapacağınız şey,
her yazılımı kendi resmi sitesinden indirmek ve özellikle bazı bilgiler gireceğiniz sayfalara, web
tarayıcınıza adresi kendiniz yazarak girmek olacaktır. İnternette dolaşırken, en az bilmediğiniz
bir sokakta dolaşırken gösterdiğiniz dikkati ve uyanıklığı göstermek zorundasınız.
Şifre konusunda bir diğer yöntem, tahmin etme yöntemidir. Size imkansız gibi gelebilir ancak
e-postanızın ya da uzaktan erişim araçlarıyla sisteminizin kapısına dayanmış bir saldırganın,
bilgisayar başında sizin şifrenizi tahmin etmeye çalıştığı çok uzak bir ihtimal değildir. Bir çok
saldırgan şifreleri bu yöntemle ele geçirir. Bu sebeple içinde rakamlar büyük ve küçük harflerin
bulunduğu bir şifre hazırlamanız en iyi korunma yöntemlerinden biridir. Ayrıca periyodik
aralıklarla şifrelerinizi değiştirmelisiniz. Eğer e-posta şifrenizi 123456789 yaptıysanız ve birileri
sizin adınıza arkadaşlarınıza mesajlar yolladıysa kimseyi değil kendinizi suçlayın...
Şifre konusundaki son yöntemle de gene daha önce anlattığımız bir önlemin kapsamına
giriyoruz. Bütün şifre ile çalışan sistemler şifrelerin unutulma ihtimaline karşılık diğer bir giriş
kullanırlar. Bu çoğunlukla bir hatırlatma sorusudur. En sevdiğiniz film, ilkokul öğretmeninizin
adı ya da annenizin kızlık soyadı gibi. Şifrenizi unutmak gibi bir durumla karşılaştığınızda bu
sorulara doğru cevap verirseniz şifrenizi geri alabilirsiniz. Eğer e-posta adresinizin bilgilerini
eksiksiz olarak doğru doldurduysanız ve internette bir yıl önce tanıştığınız biri sizin hakkınızda
en yakın arkadaşınızdan daha çok şey biliyorsa, şifrenizi kaptırmanız an meselesi olabilir. Bunu
önlemek için, tekrar ediyorum, internette kimseye güvenmemeniz gerekiyor. Kimseye
kendinizle ilgili kişisel bilgilerinizi vermeyin ve web profillerinizde bu tarz bilgiler yayınlamayın.
Ayrıca şifreli sistemlerin hatırlatma sorularına alakasız cevaplar üretin. Örneğin en sevdiğiniz
kitap sorusuna karşılık, ilkokul öğretmeninizin adını yazın. Böylece bu soruların cevaplarının
tahmin edilmesini oldukça zorlaştırmış olursunuz.
Peki Ya Virüsler? Trojanlar? Wormlar...
Evet yüzbinlerce çeşit zararlı yazılım var piyasada. Kimi gizli, kimi apaçık ortada. Bazıları,
üzerinde kötü niyetli kişilerce yıllarca uğraşılmış, el emeği göz nuru zararlı programlar.
Virüsler, dosyalarınızı siler, bilgilerinizi değiştirir, yeni bilgiler ekler, üzerine yazar, donanıma
zarar verir ve daha birçok zarar verici işlemi yapar. Artık bırakın klavye hareketlerinizi uzaktaki
bir sunucuya gönderen trojanları, ekran görüntünüzü saniye saniye saldırgana gönderebilen
trojanlar var. Web kameranızı sizden habersiz çalıştıran, evinizi kaydedip verileri saldırganın
belirlediği bir sunucuya gönderen zararlılar. Ve daha yüzbinlercesi.
Ama işin korunmak isteyen bilgisayar kullanıcıları açısından çok basit ve de çok net bir püf
noktası var. Saldırgan bir şekilde size bu zararlı dosyayı yollar. Saldırganın işi burada biter.
Sizin zarar gördüğünüz, korkudan titrediğiniz sonuçlara yol açan sebepler bundan sonraki
adımda başlar ki, bu adım tamamen maalesef gene sizinle alakalıdır. Saldırganın bu zararlı
kodları size yollamışsa işi bitmiştir ve top sizdedir artık. Size zarar verecek bu kodları
bilgisayarınıza siz yüklersiniz. Üzgünüm ama durum bu kadar açık ve net. Saldırgan size bir eposta atabilir. Özellikle halka mal olmuş, yani bilimum arkadaşlık sitelerine, pornografi
sitelerine, halka açık internet sayfalarına kayıtlı bir e-posta adresiniz varsa bilirsiniz. Günde
yüzlerce reklam postası alırsınız. Ucuza internet bağlantısı, sağlık ürünleri, rejim ürünleri, paralı
kanalları bedava gösteren TV cihazları ve daha bir dolu “uygun” fiyatlı enteresan ürün reklamı
alırsınız.
Ancak bunlar arasında mutlaka sizin de dikkatinizi çeken ve gün geçtikçe kendini geliştiren bazı
postalar vardır. Size isminizle hitap eden, ücretsiz bir takım servisler ya da uygulamalar
öneren, sanki sizin yolladığınız bir postaya cevapmış gibi “re: Hey Ayşegül, işte sana söz
verdiğim resimler” başlıklı postalar. Bu postalar ilgi çekebilmek için, gündemin trendlerinden
faydalanırlar. Siz de eğer adınıza gelen bu e-postaların gerçekten size özel gönderildiğine inanır
ve açarsanız, saldırganın size bu postayı yollamakla bıraktığı görevi tamamlamış olursunuz.
Evet sizi bu tehditlerden kullandığınız korunma yazılımı koruyabilir belki, ancak şunu sakın
unutmayın ki hiçbir korunma yazılımı yüzde yüz bütün zararlıları tespit edemez, zaten hiçbiri
de bunu yapabildiğini iddia etmezler. Sizin bilinçli bir kullanıcı olarak böyle bir e-postayı
kesinlikle açmamanız, mümkünse e-posta adresinizi bu gibi muamelelere maruz bırakacak
hareketlerden kaçınmanız gerekmektedir. Örneğin, her ne kadar karizmatik görünse de kısa
kullanıcı adları kullanmamalısınız. Çünkü bu tür saldırılar genellikle saldırganlar tarafından
üretilen çeşitli posta bombardımanı programlarıyla yapılır. Bu kötü amaçlı programlar, belli bir
metodolojiye göre e-posta adresi üretirler ve bu adreslere malum mesajları gönderirler. Eposta adresinizin kullanıcı adı ne kadar kısaysa, bu programlara yakalanma şansınız da o kadar
fazladır.
Bir diğer yöntem, internette e-posta adresinizi mümkün olduğunca az siteye gönderin. Bir çok
site, adresinizi başkalarıyla paylaşmayacağını söylese dahi kötü niyetli kişilere ve ya
reklamcılara satarlar. E-posta adresinizi web üzerinde herkesin erişebildiği, forum, ziyaretçi
odası gibi alanlara bırakmayın. Eğer bırakmanız gerekiyorsa da, deforme ederek yazın,
örneğin; adınız(at)hétmaildotcom gibi. Bazı saldırganlar geliştirdikleri web bot adı verilen bazı
kodlarla, internet sitelerini tararlar ve içerisinde “@”, "hotmail”, “yahoo“ kelimeleri bulunan ve
bu sayede e-posta gibi görünen metinleri toplarlar. Bunlardan adresinizi bu ve ya benzeri
şekillerde deforme ederek korunabilirsiniz.
Virüs, trojan ve worm gibi zararlı kodların, web sitelerinden de bulaşabildiğini unutmayın.
Bundan korunmak çok daha zordur. Ancak bu web sitelerine erişim e-postalardan daha kolay
olduğu için, anti-virüs üreticilerinin veritabanlarına kısa zamanda eklenirler. Ancak tabii ki
yüzde yüz eklenecektir ve ya korunma yazılımınız bu tehditi tesbit etse dahi sizi korur anlamına
gelmez. Mümkün olduğunca bilmediğiniz sitelerden, size binlerce dolarlık yazılımları ücretsiz
sağladığını söz veren bazı sitelerden ve özellikle warez sitelerden uzak durmanız
gerekmektedir. Unutmayın, internette kimse kimseye boşu boşuna ücretsiz bir şeyler vermiyor.
Sonuç olarak internetin bize getirdiği kolaylıklardan ve kaynaklardan faydalanmak tabii ki
hakkımız. Ancak gözümüzü dört açmalı ve kötü niyetli kişilerin kullandığı yöntemleri iyi
bilmeliyiz ki bunlara kanmayalım. Her ne kadar kulağa sıkıcı gelse de, bilgi güvenliğinin çok
önemli bir kavram olduğunu, bilgi güvenliğinde en zayıf halkanın insan faktörü olduğunu ve
olası tehlikelerden ancak bunları çok iyi kavrayarak korunabileceğimizi anlamalıyız. Bunun için
de interneti sadece eğlence için değil, araştırma ve öğrenme amaçlı kullanmamız gerekir.
Burada anlatılanlar ancak bilgi güvenliğine giriş olarak nitelendirilebilir.
Bilgi güvenliği hakkında döküman bulabileceğiniz ve soru sorabileceğiniz web kaynakları;
Türkiye’den
www.doctus.net
Yabancı
www.wilderssecurity.com
http://www.dslreports.com/
http://castlecops.com/forums.html
http://gladiator-antivirus.com/forum/
Sevgiler
Tansu Günay