ARİDOSHİKA

Ulaşabildiğin her yerde

Sosyal Mühendislik Nedir?

5 min read

 

İnternet korsanlarının bir sisteme giriş yapmak için çoğu zaman yalnızca bilgisayarlarını ve kara kodlarla hazırladıkları özel yazılımlarını kullandıklarını zannederiz. Oysa siber suçlular istedikleri bilgileri elde edebilmek ve sistemlere sızabilmek için daha farklı ve daha tehlikeli yollara da başvururlar. Sosyal mühendislikte bunlardan biridir.

Sosyal mühendislikte hedef alınan şey bir sistem değil, sisteme giriş yapmak için hedef alınan gerçek kişilerdir. Her sistem bir kişi tarafından hazırlanır ve bu sisteme giriş yapabilme yetkisi sadece belli kişilere verilir. Bu nedenle aşılması en imkansız olan sistemler (Bankalar gibi.) bile gerekli materyaller sağlandığında kolaylıkla geçilebilir hale gelir. Sosyal mühendislik tekniği bu giriş yapma yetkisi olan kişilere yönlendirildiğinde yalnızca dakikalar içerisinde kötü niyetli kişiler istenilen verilerle doğru şifreye ulaşılabilir veya doğrudan bir şifreye ulaşılabilir.

 

Sosyal Mühendislik Neden Yapılır?

Sosyal mühendislik saldırıları sırasında sadece dil yeterli olmayabilir. Bu nedenle sosyal mühendislik daha kuvvetli hale getirilmek için sisteme giriş yapmaya yardımcı olabilecek senaryolarla bezenir. Bunun en yaygın örneği, sosyal mühendislik taktikleri uygulanarak karşı taraftaki kişinin bilgisayarında bir Virüs, trojan veya malware yazılımı çalıştırmaktır. Mail Phishing benzeri yöntemlerle birlikte sosyal mühendislik saldırısı sonucunda istenen sistemin bir kısmına giriş yapılabilir. Bu parçadan sonra ana sunuculara ve diğer bilgisayarlara sızmak en tecrübesiz internet korsanı için bile çok daha kolay olacaktır.

 

 

Sosyal Mühendislik Nasıl Yapılır?

Sosyal mühendislik, tıpkı bir senaryo üretmek gibidir. Üretilecek bu senaryonun tek bir amacı vardır; o da sisteme giriş yapabilmek için yeteri kadar bilgiyi ele geçirebilmektir. Sosyal mühendislik saldırılarında genellikle insanların zaafları, korkuları ve dikkatsizlikleri en büyük silah olarak kullanılır.  İstenilen bilgiyi ele geçirmek için size farklı biri olarak ulaşabilir, güveninizi kazanmak için arkadaş olabilir ve hatta dahi randevulaşabilir.

Örneğin sisteme giriş yapmak isteyen bir Hacker, bir şekilde iç hatlara erişerek herhangi bir kullanıcıyı arayıp BT’den aradığını ve sisteme giriş için bilgilerin onaylanması gerektiğini öne sürebilir. Bunun sonucunda korsanın hiçbir ekstradan hamle yapmasına gerek kalmaksızın istediği bilgilerin tümünü ele geçirebilir. Buna benzer daha birçok senaryo gerçekten gerçekleşmiş ve siber korsanlar istedikleri başarıya doğrudan ulaştırmıştır..

 

Sosyal Mühendislik Senaryo?

Bundan bir kaç yıl önce bir sabah, bir grup yabancı büyük bir gemi taşıma firmasına hiç bir zorluk olmadan kolaylıkla yürüyerek girdiler ve firma içi ağa ait giriş hakkı ile orayı terk ettiler. Bunu nasıl yaptılar? Bu firmadaki farklı çalışan numarasıyla azar azar küçük giriş miktarı ile elde ettiler. İlk olarak, binanın içine girmeden önce girişimde bulunmak için iki gün boyunca şirket hakkında araştırma yaptılar. Örneğin, İnsan kaynaklarını arayarak anahtar işçi isimlerini öğrendiler.Sonra, ön kapıda anahtarlarını kaybetmiş numarasıyaptılar ve bir adam onları içeri girmesine izin verdi. Sonra, yabancılar kimlik rozetlerini kaybettiklerine inandırıp üçüncü güvenli bölgeye girdiler, gülümsediler ve dost canlısı bir işçi onlara kapıyı açtı.

Yabancılar binanın dışından CFO’yu biliyordu. Bu yüzden onlar onun ofisine girebilirlerdi ve kilidi açılmış bilgisayardanfinansal bilgilerini alabilirlerdi. Bütün kullanışlı dökümanları bulabilmek için, şirkete ait çöpleri karıştırdılar. Bir hademeye çöp kutusunun sordular. Buldukları içerikleri çöpe yerleştirip ve bu verilerin binanın dışına elleriyle taşıdılar. Yabancılar, ümitsizce ağ şifrelerine ihtiyaç duydukları için CFO’ sun çalışanlarının sesini çalıştılar. Böylelikle telefonda bir koşuşturma anında bir CFO’lu oldular. Oradan, olağan hack araçlarını kullanarak sitemde super-user girişi kazandılar.
Aslında, yabancılar CFO’nun güvenliğini çalışanların bilgileri olmadankontrol eden network danışmanlarıydı. CFO hakkında ayrıcalıklı bilgi verilmemişti onlara, fakat istedikleri bütün girişleri sosyal mühendislik aracılığı ile elde ettiler(Bu hikayeyi Kapil Raina anlatmıştır, şuanda Verisign da güvenlik uzmanı ve Ticaret Güvenliği: Başlangıç Rehberinin yazarıdır, eski iş yeri çalışanları ile birlikte gerçek işyeri tecrübelerinedayanır).

 

 

Sosyal Mühendislik Saldırı Çeşitleri?

Sahte Senaryolar Uydurmak

Genellikle telefonla iletişim üzerinden gerçekleşen bir yöntemdir. Saldırganın amacına ulaşmak için sahte bir senaryo oluşturması ve bu senaryonun satırları arasından saldırılanın erişimindeki hassas bilgiye (bir sonraki adımda kullanmak üzere kişisel bilgiler ya da şifreler, güvenlik politikaları gibi erişim bilgileri) ulaşması şeklinde gelişir.

Truva Atları (Trojan)‏

Zararsız bir işlevi varmış gibi görünen ama aslında zararlı olan yazılımlara truva atı denir. Kendi kendilerine yayılan virüslerden ya da solucanlardan farkı, yayılmak için kullanıcılardan yararlanmalarıdır. Truva atları, güvensiz kaynaklardan, bilinen bir yazılım görüntüsünde indirilen programlarla, paylaşma ağlarından indirilen dosyalarla ya da kimliği şüpheli kaynaklardan gönderilen yazılımlara güvenilmesi sonucunda, veya bilgisayar virüsleri aracılığıyla direkt olarak saldırılan kullanıcının erişimindeki sistemlere yerleşebilir.

 

Güven kazanarak bilgi edinmek

Saldırganın hedefine, iş dışında ya da iş sırasında güvenini sağlayacak şekilde iletişime geçip ikna ederek bilgi vermesine ya da istediğini yaptırmasına dayanan bir yöntemdir. Saldırgan kuruma sağlayıcı olarak yaklaşıp erişim hakkı olan personelle güvene dayanan arkadaşlık kurma yoluna gidebilir, iş dışında oluşan ilişkileri suistimal edebilir, ya da saldırılanla ortak ilgileri ve beğenileri paylaşıyor izlenimi vererek güven sağlayabilir. ..

 

Diğer Yöntemler

  1. Omuz sörfü: Şifre yazılırken ya da erişim kısıtlı sistemlere erişilirken saldırılanın izlenmesi,

  2. Çöp karıştırmak: Çöpe atılmış disket, CD, post-it, not kağıdı gibi, hassas bilgi içerebilecek eşyaları incelemek,

  3. Eski donanımları kurcalamak: Hurdaya çıkmış, ikinci el satış sitelerinde satışa sunulmuş, çöpe atılmış, kullanılmadığı için hibe edilmiş donanımın içeriğini incelemek..

 

 

Bir Sonraki Makalemizde Görüşmek Üzere İYİ ÇALIŞMALAR…

Bir cevap yazın

E-posta hesabınız yayımlanmayacak.