Saldırgan kim?

Açılış

Kaan'ın stajındaki ikinci haftaydı. İzmir'deki lojistik firmasının izleme ekranlarının başında kıdemli analist Gülay Hanım ona aynı sabah gelen iki uyarıyı yan yana açtı. Birincisi, şirketin onlarca çalışanına gelen bir e-postaydı: "Kargo teslim edilemedi, adres bilgilerinizi güncelleyin." Aynı metin, aynı bağlantı, binlerce başka şirkete de gitmişti. İkincisi tek bir kişiye gelmişti, muhasebe müdürüne: gönderen, şirketin gerçekten çalıştığı bir gümrük müşavirliğinin adını taşıyordu, e-posta geçen haftaki bir sevkiyatın numarasını biliyordu ve ödeme hesabının değiştiğini söylüyordu.

Kaan ikisinin de "oltalama" olduğunu söyledi. Gülay Hanım başını salladı ve sordu: Peki bunları gönderenler aynı kişiler mi? Aynı şeyi mi istiyorlar? Hangisi için ne kadar endişelenmeliyiz?

Kaan cevap veremedi. İki e-posta aynı türdendi, ama arkalarındaki insanlar birbirine hiç benzemiyordu. Biri ağ atıp ne çıkarsa ona razıydı; öteki bu şirketi seçmiş, araştırmış ve bekliyordu. Bu ders o farkı okumayı öğretiyor.

Tek fikir

Saldırganlar tek tip değildir; kim olduklarını yetenekleri, niyetleri ve hedefi nasıl seçtikleri belirler. Çoğu kurumun karşılaştığı saldırgan dâhi bir korsan değil, binlerce kapıyı aynı anda yoklayan bir fırsatçıdır.

Nasıl çalışır

Bir önceki derste bir bilginin başına gelebilecek üç tür zararı adlandırdık. Bu derste o zararı bilerek vermek isteyenlere bakıyoruz. Ama önce bir hatırlatma: tehditlerin hepsi kötü niyetli değildir. Kazara silinen dosya, bozulan disk ve sel de tehdittir. Bu ders tehdidin yalnız kasıtlı yüzüyle ilgileniyor.

Tehdit aktörlerini anlamanın en kullanışlı yolu onları üç soruyla tarif etmektir. Ne yapabilir, yani yeteneği ne? Ne istiyor, yani niyeti ne? Ve hedefini nasıl seçiyor? Bu üç soru, bir önceki derslerde tanıştığımız risk düşüncesine doğrudan bağlanır: yetenek ve hedefleme olasılığı, niyet ise çoğu zaman etkinin türünü belirler.

Şimdi bu üç soruyla sahada en sık karşılaşılan aktörleri tanıyalım.

Fırsatçı dolandırıcılar en kalabalık gruptur. Yetenekleri genellikle sınırlıdır, çoğu zaman başkasının hazırladığı araçları ve şablonları kullanırlar. Niyetleri neredeyse her zaman paradır. Hedef seçmezler; binlerce adrese aynı mesajı gönderir, internetteki binlerce cihazı aynı zayıflık için yoklar ve kapısı açık olanı alırlar. Kaan'ın birinci e-postası buradan geliyordu. Bu grubun sayısal gücü büyüktür ama sabrı yoktur: biraz direnç gösteren hedefi bırakıp bir sonrakine geçer.

Organize siber suç grupları bir şirket gibi çalışır. Yetenekleri yüksektir, iş bölümü yaparlar: biri sisteme ilk girişi sağlar ve bu erişimi satar, biri fidye yazılımını geliştirip kiralar, biri pazarlık yapar. Niyetleri yine paradır, ama büyük para; bu yüzden ödeme gücü olan ve hizmeti duramayacak kurumları seçerler. Hedefleme fırsatçılıkla seçiciliğin karışımıdır: ilk girişi geniş bir ağla yakalar, sonra içeri girdikleri kurumun değerine bakıp yatırım yapıp yapmayacaklarına karar verirler.

Hacktivistler, yani siyasi ya da toplumsal bir dava adına saldıranlar, niyetleriyle ayrılır: para değil, ses isterler. Bir web sitesinin ana sayfasını değiştirmek, bir hizmeti bir süre durdurmak ya da bir kurumun yazışmalarını yayımlamak tipik eylemleridir. Yetenekleri çok değişkendir ve hedeflerini gündemdeki olaylara göre seçerler.

Devlet bağlantılı gruplar en yetenekli ve en sabırlı aktörlerdir. Niyetleri çoğu zaman casusluktur, yani uzun süre fark edilmeden bilgi toplamak; bazen de kritik altyapıyı bozma kapasitesi hazırlamak. Hedeflerini titizlikle seçerler ve bir kapı kapanınca başka bir kapı ararlar. Çoğu küçük kurumun doğrudan hedefi değildirler, ama bir tedarikçi ya da bir basamak olarak yollarına çıkabilirler.

İçeriden tehdit ayrı bir başlığı hak eder, çünkü dışarıdan gelen saldırganın aşmaya çalıştığı bütün engellerin zaten öbür tarafındadır. NIST tablosunun içeriden gelenleri "güvenilen" ve "ayrıcalıklı" diye ayrıca bölmesinin sebebi de budur: yönetici yetkisi olan biri, sıradan bir çalışandan çok daha büyük zarar verebilir. İçeriden tehdidin büyük kısmı kötü niyet değil dikkatsizliktir, ama savunma ikisi için de aynı yerden başlar.

Sahada

Savunma

Saldırganı tanımanın savunmaya ilk katkısı, önlemleri gerçekçi bir rakibe göre ayarlamaktır. Küçük bir büronun devlet bağlantılı bir grubu durdurmaya çalışması hem imkânsız hem gereksizdir; ama aynı büronun fırsatçı bir dolandırıcıya karşı kendini koruması hem mümkün hem zorunludur. Fırsatçı saldırganlar direnç gösteren hedefi bırakır, bu yüzden temel önlemlerin getirisi onlara karşı en yüksektir: güncel yazılım, her hesapta ayrı parola, çok faktörlü doğrulama, denenmiş yedek ve şüpheli mesajı doğrulama alışkanlığı.

Organize suç gruplarına karşı aynı temel önlemler ilk girişin büyük kısmını engeller, ama yetmez. Bu gruplar içeri girdikten sonra günler ya da haftalar geçirebilir; bu yüzden onları yayılırken fark etmek ve fark edildiğinde hızla sınırlamak gerekir. Ağın bölümlere ayrılması, yönetici hesaplarının sıkı korunması, kayıtların tutulması ve çevrim dışı yedek bu katmanın parçalarıdır. Bora'nın hastanesi uyarıdan sonra yedeklerin ağdan ayrı bir kopyasını haftalık olarak denemeye başladı.

Hedefli saldırıya karşı savunmanın kalbi doğrulamadır. Kaan'ın ikinci e-postası teknik bir açık kullanmıyordu; bir iş ilişkisini taklit ediyordu. Bu tür saldırıyı yakalayan şey bir ürün değil, bir kuraldır: ödeme hesabı değişikliği gibi kritik talepler her zaman ikinci, bağımsız bir kanaldan, bilinen bir numarayı arayarak doğrulanır.

İçeriden tehdide karşı savunma erişimin yaşam döngüsünü yönetmekle başlar: herkese işi kadar yetki, rol değişince yetkinin güncellenmesi, ayrılışta hesapların aynı gün kapanması ve önemli işlemlerin kayıt altında olması. Defne Hanım ilk iş olarak bir ayrılış listesi yazdı; artık her ayrılışta hangi hesapların kapatılacağı ve hangi parolaların değişeceği o listede.

Son olarak saldırganı tanımak, hangi zararın kimden gelebileceğini görmeyi sağlar. Para isteyen gizliliği ve erişilebilirliği, dava güden erişilebilirliği ve itibarı, casus ise gizliliği hedefler ve fark edilmemeyi her şeyden çok önemser. Bu eşleştirme, önceki derste kurduğun üç köşeli tabloya bir sütun daha ekler.

Uygulama

Bu uygulamada kendi defterindeki varlıklar için olası saldırgan profillerini yazacaksın. Amaç kendini korkutmak değil, gerçekçi olmak.

Ardından bir satıra daha bak: hayatında meşru erişimi olan kişiler kimler? Bir aile üyesinin telefonuna parolan kayıtlı mı, eski bir iş arkadaşının hâlâ paylaşılan bir klasöre erişimi var mı, bir zamanlar bilgisayarını tamir eden birinin uzaktan erişim yazılımı hâlâ yüklü mü? Bu sorular kimseyi suçlamak için değil, kapalı olması gereken kapıları görmek içindir.

Defter: Her varlığın yanına "Aktör · Niyet · Beni nasıl bulur · En etkili önlem" satırı ve ayrı bir "Meşru erişimi olanlar" listesi; listede kapatılması gereken bir erişim varsa yanında kapatma tarihi.

Hata köşesi

Etik ve sınırlar

Bu akademi seni bir saldırgan gibi düşünmeye sık sık davet edecek, çünkü bir zayıflığı görmenin en iyi yolu onu kullanmak isteyenin gözüyle bakmaktır. Ama saldırgan gibi düşünmek ile saldırgan gibi davranmak arasındaki çizgi tek bir şeyle çizilir: izin. Bir kurumun sistemini sınamak ancak o sistem üzerinde yetkisi olan kişinin açık ve yazılı izniyle yapılır; bir davaya inanmak, bir şirkete kızmak ya da bir açığı "iyilik olsun diye" göstermek bu izni yerine koymaz. Hacktivistlerin eylemleri ne kadar haklı bir davaya dayanırsa dayansın bilişim suçu olarak yargılanabilir. Bir de dil sorumluluğu var: bir olayı kanıt olmadan belirli bir kişiye, gruba ya da ülkeye atfetmek, birini haksız yere suçlamak demektir. Akademide atıf yalnız kaynağıyla yapılır.

Kapanış

1. Tehdit aktörleri yetenek, niyet ve hedefleme ile ayrılır; çoğu kurumun en sık karşılaştığı saldırgan, hedef seçmeyen ama zayıf olanı bulan fırsatçıdır.
2. İçeriden tehdit, meşru erişimin kasten ya da ihmalle kötüye kullanılmasıdır ve büyük kısmı kötü niyetten değil kapanmamış kapılardan doğar.
3. Önlemler gerçekçi bir rakibe göre ayarlanır: fırsatçıya karşı temel önlemler, organize gruplara karşı tespit ve sınırlama, hedefli saldırıya karşı bağımsız doğrulama.

Üç soru

1. Bir şirketin muhasebe müdürüne, gerçek bir iş ortağının adıyla ve geçen haftaki bir siparişin numarasıyla bir e-posta geliyor ve ödeme hesabının değiştiği bildiriliyor. Bu fırsatçı mı, hedefli bir saldırı mı? Neden?
2. Bir büroda ayrılan bir çalışanın hesabı aylarca açık kalıyor ve bu hesaptan bir gün müşteri dosyaları indiriliyor. Bu olayı NIST tablosundaki hangi tehdit kaynağı türüne yerleştirirsin ve hangi önlem bunu önlerdi?
3. Fidye yazılımı grupları neden özellikle hastaneleri hedef alır? Cevabını üçlünün bir köşesiyle ilişkilendir.

Yanıtlar

1. Hedefli bir saldırıdır. Gönderen şirketi önceden seçmiş, gerçek bir iş ortağının adını ve gerçek bir sipariş numarasını öğrenmiştir; fırsatçı bir mesaj bu kadar özel bilgi taşımaz. En etkili önlem bir ürün değil bir kuraldır: hesap değişikliği talepleri her zaman bilinen bir numara aranarak ikinci bir kanaldan doğrulanır.
2. Eski çalışan meşru erişimi olmuş biridir, bu yüzden içeriden tehdit sınıfına girer; tablodaki karşılığı içeriden biridir. Önleyecek önlem erişimin yaşam döngüsünü yönetmektir: ayrılış günü hesabın kapatılması, paylaşılan parolaların değiştirilmesi ve bunu her ayrılışta uygulatan bir kontrol listesi.
3. Hastaneler hizmeti duramayan kurumlardır, yani erişilebilirlik köşesine aşırı bağımlıdırlar. Sistemlerin şifrelenmesi ameliyatları, acil servisi ve laboratuvarı durdurduğu için baskı çok büyüktür ve bu, para isteyen bir grup için ödeme olasılığının yüksek olduğu anlamına gelir. Veriyi dışarı kopyalama tehdidi de gizlilik köşesinden ek baskı kurar.

Sonraki derse köprü

Bu derste saldırganın yüzünü gördük ve önlemlerin rakibe göre değiştiğini söyledik. Ama hangi rakip olursa olsun bir şey değişmiyor: hiçbir önlem bir kez kurulup bırakılamıyor. Saldırganlar yöntem değiştiriyor, kurumlar yeni sistem alıyor, çalışanlar geliyor ve gidiyor. Bir sonraki ders bu yüzden savunmayı bir ürün değil bir süreç olarak tarif ediyor; önlemeyle başlayıp toparlanmayla kapanan döngüyü ve tek seferlik önlemin neden yetmediği.