Kötü amaçlı yazılım belirtileri kartı

Açılış

Erdem Bey'in gümrük müşavirliği ofisinde bir salı öğleden sonra üç kişi aynı anda Kaan'ı aradı.

Birincisinin bilgisayarı yavaşlamıştı. İkincisinin tarayıcısında, açmadığı bir arama sitesi ana sayfa olmuştu. Üçüncüsü, müşterilerinden birinin "bana bir fatura göndermişsin, ama ben senden bir şey beklemiyordum" diye yazdığını söyledi; o fatura e-postasını göndermemişti.

Kaan üç aramayı da aynı ciddiyetle dinledi, ama aynı şeyi söylemedi. Yavaşlayan bilgisayar, öğleden beri arka planda büyük bir güncelleme indiriyordu; sorun yoktu. Ana sayfası değişen tarayıcıya, bir gün önce indirilen "ücretsiz PDF birleştirici" ile birlikte bir eklenti gelmişti; kaldırıldı. Üçüncü arama ise başka bir şeydi: birinin e-posta hesabından, sahibinin bilgisi olmadan, müşterilere ekli e-posta gidiyordu. O bilgisayar ağdan ayrıldı, hesabın parolası başka bir cihazdan değiştirildi, oturumlar kapatıldı.

Akşam Erdem Bey Kaan'a sordu: "Bu üçünü birbirinden ayırmayı çalışanlarım nasıl öğrenecek? Her seferinde seni arayamazlar."

Kaan bir kâğıt istedi.

Tek fikir

Kötü amaçlı yazılımın belirtileri çoğu zaman sıradan arızalara benzer; tek bir belirti çoğu zaman bir şey kanıtlamaz. Belirtiler kartı, panik anında hangi belirtinin ne kadar ciddi olduğunu ve ilk beş dakikada ne yapılacağını, kimin aranacağını tek sayfada gösterir.

Nasıl çalışır

Virüsten tedarik zincirine kadar altı ders, bir sorunun nasıl başladığını anlattı. Bu son ders, bunları bir masanın kenarına asılabilecek tek bir kâğıda indiriyor. Modül 11'de dolandırıcılık için bir müdahale kartı yapmıştık; bu kart onun bilgisayar sağlığındaki karşılığı.

Belirtileri tanımanın zorluğu, hemen hepsinin masum bir açıklamasının da olmasıdır. Yavaşlık bir güncellemeden, dolu bir diskten ya da eskimiş bir donanımdan gelebilir. Açılır pencereler bir reklam sitesinden gelebilir. Bu yüzden kartın ilk işi, belirtileri ciddiyetine göre ayırmaktır.

Sıradan kullanıcıya yönelik belirtiler listesini ABD Federal Ticaret Komisyonu'nun tüketici sayfası özlü biçimde verir.

Ama listenin sırası ciddiyet sırası değildir. Yavaşlık listenin başındadır, ama tek başına en zayıf işarettir. Yazılmamış e-postalar sonda, ama en güçlü işarettir, çünkü masum bir açıklaması neredeyse yoktur ve başkalarını da etkiler. Kart, bu sırayı tersine çevirir.

Kartın ikinci işi, ilk adımı tarif etmektir. İlk adımın en zor yanı, yapılmaması gerekenleri de söylemektir: şüphe varken o cihazdan bankaya girmemek, parolayı o cihazda değiştirmemek, kendi başına "temizlik programları" indirmemek.

Erdem Bey'in yirmi kişilik ofisi tam olarak bu tarife uyuyordu: bilgisayarlar merkezî olarak yönetilmiyordu ve tek bilgi işlem desteği, ayda bir uğrayan Kaan'ın şirketiydi.

Sahada

Savunma

İyi bir belirtiler kartı birkaç özelliği taşır.

Kısadır. Panik anında bir sayfadan fazlası okunmaz. Açıklama kartta değil, kartı tanıtan eğitimde yer alır.

Belirtileri ciddiyetine göre ayırır. Tek başına zayıf işaretler, örneğin yavaşlık, bir gözlem satırına; birden çok işaretin birleşmesi ya da güçlü işaretler, örneğin yazılmamış e-postalar, korumanın kendiliğinden kapanması, dosya adlarının değişmesi, en üst ciddiyete gider.

Her ciddiyet için tek bir ilk adım verir. "Ağı kes", "telefonla ara", "o cihazdan hesaba girme" gibi. Uzun bir yapılacaklar listesi değil, ilk beş dakika.

Yapılmayacakları da söyler. Şüphelenilen cihazdan parola değiştirmemek, bankaya girmemek, internetten bulunan "temizleyici" programları kurmamak, bir kurumdaysan cihazı kendi başına biçimlendirmemek.

Kimin aranacağını ve nasıl aranacağını yazar. E-posta adresi değil, telefon numarası; çünkü olay sırasında e-posta ele geçirilmiş ya da erişilemez olabilir. Gece ve hafta sonu için de bir numara.

Yere göre uyarlanır. Ev, ofis ve hastane için aynı belirti farklı bir ilk adım isteyebilir.

Düzenli denenir ve güncellenir. Kart yılda bir gözden geçirilir, telefon numaraları ve kişiler değiştikçe düzeltilir.

Uygulama

Kendi evin ya da çalıştığın küçük bir ofis için bir sayfalık bir belirtiler kartı hazırlayacaksın. Aşağıdaki tablo, Kaan'ın Erdem Bey'in ofisi için hazırladığı kartın sadeleştirilmiş hâlidir.

Bittiğinde, kartının kaç satır olduğunu ve en üstüne hangi tek cümleyi koyduğunu not et.

Defter: Kendi belirtiler kartın, aranacak kişi ve telefon numarası, ağ bağlantısını kesme ve görev yöneticisini açma yolu, kartın asıldığı yer ve bir yıl sonraki gözden geçirme tarihi.

Hata köşesi

Etik ve sınırlar

Belirtiler kartı birine "senin bilgisayarına virüs bulaşmış" diye suç atmak için değildir; bulaşma çoğu zaman bir kişinin hatasından çok bir sistemin açığından gelir ve kartın amacı insanların erken söylemesini sağlamaktır. İnsanlar söylediklerinde azar işitirse bir sonraki belirtiyi saklarlar. Kartı uygularken yalnız kendi cihazında ya da yönetmeye yetkili olduğun cihazlarda adım atarsın; bir iş arkadaşının bilgisayarını onun izni olmadan ağdan ayırmak ya da incelemek, yetkili kişinin işidir. Bir ofiste kartın adımları, örneğin bir cihazı ağdan ayırma yetkisi, önceden yönetimle konuşulup yazılı olarak verilir; rehber de bilgi işlem ekiplerinin bazı durumlarda cihazları ağdan kilitlemek için önceden yazılı izin alması gerektiğini söyler.

Kapanış

1. Kötü amaçlı yazılımın belirtileri çoğu zaman sıradan arızalara benzer; tek bir zayıf işaret bir şey kanıtlamaz, ama yazılmamış e-postalar, kendiliğinden kapanan koruma ya da değişen dosya adları gibi güçlü işaretler hemen eylem ister.
2. İyi bir belirtiler kartı kısadır, belirtileri ciddiyetine göre ayırır, her ciddiyet için tek bir ilk adım ve yapılmayacakları verir, aranacak kişiyi telefon numarasıyla yazar.
3. Kart yere göre uyarlanır ve düzenli denenir; ev, ofis ve hastanede aynı belirti farklı bir ilk adım isteyebilir, ve parolalar her zaman başka, temiz bir cihazdan değiştirilir.

Üç soru

1. Kaan'ın ilk taslağı neden işe yaramadı ve nasıl düzeltildi?
2. Bora'nın kartı neden Kaan'ınkinden farklı bir ilk adım içeriyordu?
3. Barış kartının en üstüne neden parola değişikliğini oturumları kapatmakla birlikte yazdı?

Yanıtlar

1. İlk taslak çok uzundu: on iki satırlık tablonun yanında bir sayfa açıklama vardı ve bir çalışan bunu sorun anında okuyamayacağını söyledi. Kaan açıklamaları kesti, belirtileri üç renge ayırdı ve her rengin altına yalnız bir ilk adım yazdı; kart bir sayfaya indi. Kablosuz ağdan nasıl ayrılınacağı sorusu üzerine de küçük bir satır eklendi.
2. Hastanede bazı tıbbi cihazları ağdan ayırmak hastanın veri akışını kesebilirdi. Bu yüzden Bora'nın kartı tıbbi cihazlar için "kendi başına ayırma, önce ara" diyordu. Ayrıca olay sırasında e-posta güvenilir olmayabileceği için karta dahili telefon ve gece nöbetçisinin numarası yazıldı. Aynı belirti, farklı bir yerde, farklı bir ilk adım istiyordu.
3. Barış'ın kendi deneyimi buydu: parolasını başka bir cihazdan değiştirmiş ama oturumlarını kapatmamıştı ve çalınmış bir oturum bilgisiyle hesabına yeniden girilmişti. Parola değişikliği tek başına yetmez; şüphelenilen cihazdan yapılırsa yeni parola da olası bir bilgi çalan yazılıma gidebilir, oturumlar kapatılmazsa eski oturum geçerli kalır. Bu yüzden iki adım birlikte yazıldı: temiz cihazdan değiştir, bütün oturumları kapat.

Sonraki derse köprü

Bu modül kötü amaçlı yazılımın kendisine baktı. Bir sonraki modül, kötü amaçlı yazılımın çoğu zaman içeri girmek için kullandığı şeye geçiyor: yazılımdaki zayıflıklara. Zafiyet nedir dersi, tasarımdan, koddan ve yapılandırmadan doğan zayıflıkları ayırarak başlıyor.