Sosyal mühendislik nedir?

Açılış

Salı öğleden sonra İzmir'deki depoya, üzerinde bir forklift tedarikçisinin logosunu taşıyan turuncu yelekli bir adam geldi. Elinde bir dosya ve bir dizüstü vardı. Kapıdaki görevliye depo müdürünün adını ve soyadını söyledi, müdürün o hafta izinde olduğunu da bildiğini ekledi. Üç forkliftin el terminallerine acil bir güncelleme yüklemesi gerektiğini, yapılmazsa akşamki sevkiyatın duracağını anlattı. Görevli onu içeri aldı, bir çalışan da dizüstüsünü depodaki ağ prizine takmasına yardım etti.

Kırk dakika sonra Kaan'ın ekranına bir uyarı düştü: depo ağında tanınmayan bir cihaz. Kaan durumu Gülay Hanım'a götürdüğünde, Gülay Hanım bir süre sessiz kaldı, sonra dosya dolabından bir zarf çıkardı. Adam, şirket yönetiminin yazılı izniyle tutulan bir güvenlik firmasının çalışanıydı; bu, kapsamı önceden belirlenmiş bir sosyal mühendislik testiydi. Dizüstü hiçbir şey çalıştırmamış, yalnız ağa bağlanabildiğini kanıtlamıştı.

Test raporunun ilk sayfasında tek bir cümle vardı: hiçbir kilit kırılmadı, hiçbir parola tahmin edilmedi, bir yelek, bir ad ve bir saat sınırı yetti. Kaan uyarının kırk dakika sonra geldiğine takılmıştı; Gülay Hanım ise kapının neden açıldığına. Bu ders, saldırının neden teknolojiyi değil insanı hedeflediğini ve insanı harekete geçiren kaldıraçları anlatıyor.

Tek fikir

Sosyal mühendislik, bir sistemi kırmak yerine o sisteme erişimi olan bir insanı, kendi iyi niyetini ve alışkanlıklarını kullanarak kapıyı açmaya ikna etmektir. Ona karşı savunma insanı suçlamak değil, kaldıraçları tanımak ve doğrulamayı bir alışkanlık hâline getirmektir.

Nasıl çalışır

Önceki modülde hesapların kapılarını güçlendirdik; Selin'in müşteri hizmetleri kaydı ise bu güçlü kapıların bir telefon görüşmesiyle atlanabildiğini gösterdi. Bu modül o görüşmenin, yani insanın nasıl hedef alındığının modülüdür.

Sosyal mühendisliğin çoğu biçimi bir hikâyeyle başlar. Açılıştaki yelekli adamın bir hikâyesi vardı: tedarikçinin teknisyeniydi, müdürü tanıyordu, sevkiyat tehlikedeydi.

Testteki adamın bildiği her şey açık kaynaklardaydı. Depo müdürünün adı şirketin sitesinde, izinde olduğu bilgisi ise müdürün kendi sosyal medya paylaşımında duruyordu. Bahanenin malzemesi çoğu zaman bu türden zararsız görünen bilgilerdir.

Bahane bir kapı açar; içeri girmek için ise insanı harekete geçirecek bir kaldıraç gerekir. İnsanlar çoğu zaman her mesajı dikkatle tartarak karar vermez; tanıdık işaretlere hızla tepki verir. Bu, gündelik hayatın büyük kısmında işe yarayan bir kestirmedir ve saldırganlar tam bu kestirmeleri hedefler.

Açılıştaki test bu kaldıraçların üçünü bir arada kullandı. Turuncu yelek ve tedarikçinin logosu otoriteydi; akşamki sevkiyatın duracağı tehdidi aciliyetti; müdürün izinde olduğunu bilmek ise bahaneyi güçlendirip görevlinin "kime sorayım" diye düşünmesini engelledi. Bir kaldıraç daha vardı, NCSC'nin listesinde ayrı bir adı olmayan ama her saldırının dayandığı: yardım etme isteği. Prize takma işinde yardımcı olan çalışan, iyi bir meslektaş olmaya çalışıyordu.

Bu yüzden sosyal mühendislik bir dikkatsizlik ya da aptallık hikâyesi değildir. Hedef alınan özellikler, güven, yardımseverlik, kurallara ve yetkiye saygı, işin aksamaması kaygısı, iyi bir çalışanı iyi yapan özelliklerdir. Savunma bu özellikleri bastırmak değil, onların yanına tek bir alışkanlık eklemektir: önemli bir isteği, isteğin geldiği kanaldan değil, kendi bildiğin bir kanaldan doğrulamak.

Sosyal mühendislik pek çok kanaldan gelir: e-posta, kısa mesaj, telefon, sosyal medya mesajı, kapıdaki bir ziyaretçi. Bu modülün sonraki dersleri bu kanalları tek tek ele alacak; kaldıraçlar ise her kanalda aynı kalır.

Sahada

Savunma

Sosyal mühendisliğe karşı savunma, teknik önlemlerle insan alışkanlıklarının birlikte kurulmasıdır.

Kişi için ilk savunma, kaldıracı adlandırmaktır. Bir mesaj ya da bir ziyaretçi seni hızla bir şey yapmaya itiyorsa, kendine sor: burada hangi düğmeye basılıyor, otorite mi, aciliyet mi, duygu mu, kıtlık mı, güncel bir olay mı? Kaldıracı fark etmek, kestirmeden çıkıp düşünmeye geçmenin yoludur. Kaldıracın kendisi sahtelik kanıtı değildir; gerçek kurumlar da acil mesaj gönderir. Ama kaldıraç ne kadar güçlüyse, doğrulama o kadar gereklidir.

İkinci savunma, isteği kendi bildiğin bir kanaldan doğrulamaktır. Kıdemli çalışan siteyi yer iminden açtı; Ece bağış kuruluşunu kendisi aradı; kapıdaki görevli tedarikçinin kayıtlı numarasını arayıp böyle bir ziyaret olup olmadığını sorabilirdi. Doğrulama, isteğin içindeki numarayı, bağlantıyı ya da adı değil, önceden bildiğin ya da resmî kaynaktan kendinin bulduğu yolu kullanır.

Üçüncü savunma, saldırganın bahane malzemesini azaltmaktır. Bir yöneticinin tatil tarihleri, bir çalışanın kart fotoğrafı, ofis içinden çekilmiş bir fotoğrafta görünen ekranlar, bahaneyi inandırıcı kılan bilgilerdir. Paylaşmayı bırakmak gerekmez, ama neyin kimin işine yarayabileceğini düşünerek paylaşmak gerekir.

Kurum için savunma, süreçtir. Ziyaretçiler önceden kayıtlı değilse içeri alınmaz ve kimse refakatsiz dolaşmaz; ağ prizlerine yalnız tanınan cihazlar bağlanabilir; ödeme ve hesap değişikliği talepleri ikinci bir kanaldan doğrulanır. Bu kuralların herkes için geçerli olması, özellikle de yöneticiler için, çalışanın "müdürün adını biliyordu" baskısına karşı arkasında durabileceği bir dayanak verir. Son olarak, şüpheli bir durumu bildirmek kolay ve cezasız olmalıdır: kandırıldığını erken söyleyen çalışan, zararı en çok azaltan kişidir. Açılıştaki testin raporu, görevliyi değil ziyaretçi sürecinin eksikliğini hedef aldı.

Uygulama

Kendi hakkındaki herkese açık bilgileri bir saldırganın gözüyle okuyacak ve önemli kurumlar için kendi doğrulama kanalları listeni kuracaksın.

Kaldıraçları birkaç mesajda adlandırdıktan sonra, onları yeni mesajlarda kendiliğinden görmeye başlarsın; bu dersin asıl kazancı o fark ediştir.

Defter: Kişisel bölümde «açık bilgilerim» listesi ve kaldırılanlar. Doğrulama kanalları sayfası, her kurum için numara ve adres, nereden bulunduğuyla birlikte. Acil durum sayfasına: acele ettiren her isteği önce bu sayfadaki kanaldan doğrula.

Hata köşesi

Etik ve sınırlar

Sosyal mühendislik testleri, açılıştaki gibi, kurumun yönetiminin yazılı izniyle, kapsamı, zamanı ve sınırları önceden belirlenmiş olarak ve bu işi yapmaya yetkili kişilerce yapılır; test eden kişi bir şeyi kanıtladığı anda durur ve hiçbir veriye dokunmaz. Bir arkadaşını, aile üyeni ya da iş arkadaşını "dikkatini ölçmek için" sahte bir mesajla ya da sahte bir aramayla denemek, onun güvenini izinsiz kullanmaktır ve gerçek bir zarara yol açabilir. Bu dersteki uygulamada da yalnız kendi hakkındaki açık bilgilere baktın; bir başkası hakkında aynı aramayı yapmak, onun hakkında bir saldırganın yapacağı bilgi toplama işinin aynısıdır.

Kapanış

1. Sosyal mühendislik, bir sistemi kırmak yerine ona erişimi olan bir insanı aldatarak kapıyı açtırmaktır; çoğu zaman açık kaynaklardan toplanmış bilgilerle kurulmuş inandırıcı bir bahaneyle başlar.
2. Saldırganlar insanların hızlı karar kestirmelerini hedefleyen kaldıraçlar kullanır: otorite, aciliyet, duygu, kıtlık ve güncel olaylar, bir de yardım etme isteği.
3. Savunma, kaldıracı adlandırmak, isteği kendi bildiğin bir kanaldan doğrulamak, bahane malzemesini azaltmak ve kurumda herkes için geçerli süreçlerle cezasız bir bildirim kültürü kurmaktır.

Üç soru

1. Açılıştaki testte görevlinin kapıyı açmasını sağlayan kaldıraçlar nelerdi?
2. Kıdemli çalışana gelen vergi e-postası hangi kaldıraçları birlikte kullanıyordu ve kıdemli çalışan nasıl doğruladı?
3. Testin raporu neden görevliyi değil ziyaretçi sürecini hedef aldı?

Yanıtlar

1. Turuncu yelek ve tedarikçinin logosu otoriteyi, akşamki sevkiyatın duracağı tehdidi aciliyeti sağladı. Depo müdürünün adını ve izinde olduğunu bilmek bahaneyi güçlendirdi ve görevlinin kime soracağını düşünmesini engelledi. Prize takmada yardım eden çalışanda ise yardım etme isteği işledi.
2. Vergi idaresinin adı ve logosuyla otoriteyi, kırk sekiz saat ve ceza tehdidiyle aciliyeti, beyanname döneminin son haftasında gelmesiyle de güncel olayı kullanıyordu. Kıdemli çalışan bağlantıya tıklamadı, idarenin sitesini kendi yer iminden açtı ve büronun hesabında hiçbir bildirim olmadığını gördü.
3. Görevli ve yardım eden çalışan, işlerini iyi yapmak isteyen insanlar olarak doğal davrandı; sorun, önceden kayıtlı olmayan bir ziyaretçinin içeri alınabilmesine ve bir cihazın doğrulanmadan ağa bağlanabilmesine izin veren eksik süreçti. Kişiyi suçlamak benzer olayların bildirilmesini de engeller; süreci düzeltmek ise aynı kapıyı herkes için kapatır.

Sonraki derse köprü

Kaldıraçlar her kanalda aynıdır, ama her kanalın kendi izleri vardır. En sık kullanılan kanal hâlâ e-postadır ve bir e-postanın sahte olup olmadığını gösteren işaretler, gönderen adresinde, bağlantının gerçek hedefinde, ekin türünde ve dilin kendisinde saklıdır. Ders 7.2 oltalama e-postasını okumayı ele alıyor: bu belirtileri ve onların sınırlarını.