Yılların eskitemediği Kıtır Piliç – ya da sadece Kıtır mı demeliyim? Zira gidip tavuk yemişliğim yoktur, ama bira, midye, kokoreç… Öğlenleri oturacak yer varmış, özleyenlere duyurulur.
Tabii zargan var, sesli sözlük var ama, bazen masaüstünden hızlıca bir sözlük kullanası geliyor insanın (o insanınki de ne keyifmiş). Babylon, dediğim şeyi Windows’ta yapıyor, Ubuntu’da bir benzeri için vereceğimiz komutlar:
$ sudo aptitude install dict-freedict-eng-tur dict-freedict-tur-eng dictd gnome-utils
Sonra, menüde çıkan “Gnome dictionary” olsun, araç çubuğuna ekleyebileceğiniz “Dictionary applet” olsun, hepsi emrinize amade. Sözlükler o kadar büyük değil ama acelesi olana yeter gibi.
Bu seferinde Ünal getirdi bunu bana. Gidip yemedim, bilmiyorum. Belki kendisi yorum yapar, nasıldır nedir diye. Hatta bir de bilen biri etli ekmekle kıymalı pidenin farkını açıklasa, çok bilgilendirici, entellektüel bir hava yakalamış oluruz sanki.
Kişileri gizli bilgi vermeleri ya da erişim sağlamaları için aldatma süreci olarak tanımlanabilecek sosyal mühendislik, çoğu güvenli ağ için önemli bir tehdittir. Sosyal mühendislik hakkında yeteri kadar bilgi olmasına rağmen, savunma yöntemleri genelde yeterli olmaktan uzaktır. Etkileme, zorlama, aldatıcı ilişkiler geliştirme, sorumluluğu, etik değerleri, dürüstlüğü ya da bağlılığı azaltma amacını güden yöntemler kullanarak başarı sağlayan sosyal mühendislik saldırılarına karşı güvenlik politikalarında, eğitimlerinde ve olay müdahale yöntemlerinde önlemler alınması gerekmektedir.
Bilgisayar güvenliği terimleriyle Sosyal Mühendislik, insanlar arasındaki iletişimdeki ve insan davranışındaki açıklıkları tanıyıp, bunlardan faydalanarak güvenlik süreçlerini atlatma yöntemine dayanan müdahalelere verilen isimdir. Bu tanım çerçevesinde iletişim kavramından kasıt, kişiler arasında, kişiyle kurum arasında ya da kurumlar arasındaki etkileşimdir. İnsan davranışlarındaki açıklıklarsa, insanların gündelik sergiledikleri, niyetlerinden bağımsız hareketlerin güvenlik açısından istenmeyen durumlara sebep olması ihtimalleridir. Müdahale derken de güvenlik açısından kritik bilgileri elde etmek eylemini anlıyoruz.Bir kuruma yönelik sosyal mühendislik saldırılarının tipik hedefleri, saldırganın suistimal edebileceği durumdaki personeldir. Saldırılan profilleri aşağıdaki şekilde özetlenebilir:
Saldıran profili ise, hedefe ve yönteme bağlı olarak değişebilir. Kullanılagelen yöntemlerin bazıları şöyledir:
Sosyal mühendislik saldırılarının niteleyici özelliği, saldırganın hareketlerinin meşru olduğu görüntüsünün bozulmamaya çalışılmasıdır. Bu yüzden yöntemlerin doğası ve içeriği özel durumun şartlarına göre farklılaşabilir. Bu bölümde standart bir sınıflandırma yapılacaktır.
Genellikle telefonla iletişim üzerinden gerçekleşen bir yöntemdir. Saldırganın amacına ulaşmak için sahte bir senaryo oluşturması ve bu senaryonun satırları arasından saldırılanın erişimindeki hassas bilgiye (bir sonraki adımda kullanmak üzere kişisel bilgiler ya da şifreler, güvenlik politikaları gibi erişim bilgileri) ulaşması şeklinde gelişir. Telefondaki işlemlerde yetkilendirme için ihtiyaç duyulan bilgiler genellikle başka kanallardan erişilebilir bilgiler (kimlik numarası, doğum tarihi v.b.) olduğu için sahte senaryolar uydurmak ve istenen bilgileri elde etmek çoğunlukla uygulanabilir bir saldırı yöntemi olmaya devam etmektedir. Saldırganın senaryonun ana hattı dışına çıkabilecek durumları da gözönüne alıp hazırlık yapması, başarı oranını artıran bir etkendir.
Son zamanlarda phishing olarak ünlenmiş bu yöntem, genellikle e-posta üzerinden ilerleyen bir sosyal mühendislik yöntemidir. Saldırgan, amacına ulaşmak için saldırılanı güvenilir ya da doğruluğu sorgulanamaz bir kaynaktan geldiğine inandırır. Örneğin saldırgan yolladığı iletinin bir bankanın bilgi işlem bölümünden geldiğine ikna etmek isterse, aynı bankanın önceden yolladığı iletilerdeki biçemi şablon olarak alabilir ve iletiden dışarıya giden bağlantıları kötü niyetli bir sayfaya yönlendirebilir. Saldırganın hedefleri arasında hassas bilgi vermeye zorlamak, ya da kullanıcıyı hatalı bir hareket yapmaya (sahte web sayfasına tıklamak, virüslü yazılım kurmak v. b.) yönlendirmektir.
Zararsız bir işlevi varmış gibi görünen ama aslında zararlı olan yazılımlara truva atı denir. Kendi kendilerine yayılan virüslerden ya da solucanlardan farkı, yayılmak için kullanıcılardan yararlanmalarıdır. Truva atları, güvensiz kaynaklardan, bilinen bir yazılım görüntüsünde indirilen programlarla, paylaşma ağlarından indirilen dosyalarla ya da kimliği şüpheli kaynaklardan gönderilen yazılımlara güvenilmesi sonucunda, veya bilgisayar virüsleri aracılığıyla direkt olarak saldırılan kullanıcının erişimindeki sistemlere yerleşebilir.Truva atlarının bir şekli de road apple (yol elması – İngilizce’de at gübresinin hüsn-ü talilidir) olarak bilinir. Bu tür truva atları, e-posta, web gibi elektronik ortamların açıklıklarıyla yayılmak yerine, fiziksel olarak yayılırlar. Örneğin saldırgan üzerinde merak uyandıracak bir etiket bulunan bir disket, CD ya da flash disk oluşturur ve saldırılanın tesadüfen görebileceği bir yere (çöp kutusu, koridorun kenarı, tuvalet) atılmış gibi yerleştirir. Aslında zararlı yazılım içeren bu ortam, saldırılanın dikkatini çeker ve kullanırsa, zararlı yazılım bilgisayarda çalışarak saldırıyı gerçekleştirir.
Hassas bilgiye ulaşmak için kişinin zaafiyetlerini kullanmaya yönelik bir saldırıdır. Burada saldırılan sonunda karlı çıkacağı bir senaryoya ikna edilir. Örneğin hediyeli bir anket içinde şifresi ya da kişisel bilgileri sorulabilir, ya da şifresini söylemesi durumunda o sırada sistemle ilgili yaşadığı sorunun çözüleceği vaadedilebilir.
Saldırganın hedefine, iş dışında ya da iş sırasında güvenini sağlayacak şekilde iletişime geçip ikna ederek bilgi vermesine ya da istediğini yaptırmasına dayanan bir yöntemdir. Saldırgan kuruma sağlayıcı olarak yaklaşıp erişim hakkı olan personelle güvene dayanan arkadaşlık kurma yoluna gidebilir, iş dışında oluşan ilişkileri suistimal edebilir, ya da saldırılanla ortak ilgileri ve beğenileri paylaşıyor izlenimi vererek güven sağlayabilir.
Yukarıda maddelenmeye çalışılan yöntemler dışında, çalışanların ve kurumların yaptıkları tipik hatalardan istifade etmeye yönelik çeşitli bilgi toplama yöntemleri de bilinmektedir. Bunların arasında,
bulunmaktadır.Sosyal mühendislikte saldırı yöntemleri, listelerle sınırlı olmaktan çok, saldıranın kararlılığıyla ve yaratıcılığıyla sınırlıdır. Ayrıca tipik dolandırıcılık yöntemlerinin de uygulanmasıyla, olası yöntemlerin sayısı ve tipleri de artacaktır.
Başarıyla yapılması durumunda, sosyal mühendislik saldırıları çeşitli risklerin gerçekleşmesine neden olabilmektedir. Bunlar aşağıdaki gibi sınıflandırılabilir:
Sosyal mühendislik saldırılarına karşı alınabilecek önlemler, diğer siber saldırılara karşı alınacak önlemlerle benzerlik göstermektedirler. Belirleyici özellikleri, alınacak önlemlerin sadece bilgisayar ve ağ altyapısı değil, çevresel güvenlik ve düzenli eğitim boyutlarını da içermesidir.
Sistem güvenliği gözden geçirilirken, genellikle yerel ya da konsoldan erişim sonucunda oluşabilecek güvenlik açıklıkları, etkisinden ve riskinden bağımsız olarak olma olasılığı düşük olarak değerlendirilmektedir. Fakat bu olasılık hesaplanırken, bilgisayar sistemleri dışındaki faktörler de gözönünde bulundurulmalıdır. Örneğin, sistemlere fiziksel erişimi olan herkesin güvenilir olup olmadığı gözden geçirilmeli, duruma göre fiziksel tehditlerin olma olasılığı yüksek olarak değerlendirilip, önlemler alınmalıdır. Ayrıca sisteme erişimi olan kullanıcıların çeşitli profillerden olabildiği sistemlerde, kullanıcı güvenlik politikalarındaki sıkılaştırmalar ve denetlemeler uygulanmalı, tüm kullanıcı profillerinin yetkileri belirlenmelidir.
Kurumun oluşturduğu güvenlik politikaları açık, anlaşılır, mantığa uygun, uygulanabilir, erişilebilir ve kapsayıcı olmalıdır. Erişilebilirliği eksik, anlaşılır olmayan ya da uygulanması çok zahmetli politikalar, genellikle uygulanmamaya ya da ihmal edilmeye mahkumdurlar. Güvenlik politikaları sosyal güvenlik saldırılarını konu edindiklerinde rollerden çoğunu çalışanlar oynadığı için, kurumla çalışanlar arasındaki güven seviyesi belirlenmelidir. Burada belirlenen güvenin azlığı çalışanın bağlılığını etkileyecek, gereğinden fazla güven ise çalışanlardan ya da çalışanlar üzerinden gelecek saldırılara karşı sistemi savunmasız bırakacaktır.
Çalışanlar politikalar hakkında ne kadar bilgiliyse, güvenlik politikaları o kadar değerlidir. Bu yüzden sürekli ve güncel eğitim ve bilgilendirme çalışmaları, çalışanları konu hakkında bilgilendirmek ve bilinçlendirmek açısından hayati öneme sahiptir. Ayrıca üst yönetim verilen eğitimlerin ve uyarıların izlendiğinden emin olmalı, güvenlik yönergelerine uyulmaması durumunda yaptırım uygulamaya kararlı olmalıdır. Eğitime ek olarak uygulanan yaptırımlar, çalışanların güvenlik politikalarını izlemesine yardımcı olur.
Bir sosyal mühendislik saldırısı sırasında yapılacakların belirlenmesi özellikle önemlidir, sadece varolan süreçler gözden geçirilerek bile bir çok açıklığın önlemi alınabilir. Kullanıcıların e-posta iletilerinin asıl kaynaklarını nasıl belirleyecekleri, şüpheli e-postaları nasıl işleyecekleri ve web adreslerinin kimlik doğrulama bilgilerini nasıl kontrol edecekleri gibi işlemler belgelenmeli ve iş süreçlerine eklenmelidir. Sosyal mühendislik saldırıları çoğu zaman kullanıcının zaafını kullanarak yapıldığından dolayı, kullanıcı olayın farkına varmayabilir ya da farketse bile kendi güvenilirliğini zedeleyeceğini düşündüğünden olayı ilgili kişilere iletmeyebilir. Bu yüzden olay meydana geldikten sonra durumun yetkili personele iletilmesi için gerekli altyapı oluşturulmalı, bunların kuralları belirlenmelidir.
Sosyal mühendislik saldırısı kavramı, doğası itibarıyla sürekli değişebilen bir saldırı tipi olduğu için, oluşturulan önlemlerin ve güvenlik politikalarının düzenli olarak gözden geçirilmesi ve güncellenmesi, denetimlerle etkilerinin onaylanması gereklidir. Denetim süreci basitçe bir saldırganın yapması beklenenlerin tatbikatı şeklinde gelişmektedir. Saldırılar,
olmak üzere dört adım olarak modellenmektedir.Bilgi toplama ve ilişki kurma adımlarında, iletişim kurulabilecek unsurlar belirlenir. Bunun için çoğu zaman edilgen bilgi toplamayla saldırıya yeterli bilgiye ulaşılabildiği görülmüştür. Kurumsal web sayfaları, arama motorları, haber grupları, forumlar, iş arama siteleri, sosyal ağ siteleri ve hatta sarı sayfalar yardımıyla kurum çalışanları ve kurum organizasyonu hakkında yeterli bilgi edinilebilir. Denetimler, bu ortamlar üzerinden ne kadar hassas bilginin alınabileceği üzerine yoğunlaşmalıdır.Fiziksel erişim sağlamak için uygulanan yöntemler arasında, çalışan biri gibi davranmak (sahte kimlik kartı, giriş-çıkış saatleri arasında kalabalığa karışmak v.b.), çalışanların arkasından giriş yapmak (gerçek kartla açılan kapı kapanmadan girmek gibi), sağlayıcı ya da misafir gibi davranmak (postacı, tamirci v.b.), mesai saatleri dışında normal süreçlerin uygulanmadığı zamanlarda giriş yapmaya çalışmak bulunur. Bunun dışında, üstte belirtilen sosyal mühendislik yöntemleri de uygulanabilir. Bu tür denetimler çoğu zaman uygulanabilirlik açısından yasal sınırda gezindiğinden iyi tasarlanmış ve üst yönetimden onay alınmış olmalıdır.Fiziksel erişimden sonra ya da ayrıca bilgiye erişim için de çeşitli metodlar uygulanabilir. Denetimciler tarafından sıkça uygulanan bilgiye erişim yöntemleri arasında çalışanları gizlice izlemek (omuz sörfü, kulak misafirliği v.b. ), ofis içindeki çöpleri karıştırmak, klavyelerin, telefonların altına, takvimlere ve ajandalara, post-it notlarına ve ortak kullanıma açık panolara göz atmak, ekranı kilitlenmemiş bilgisayarları kullanmak, kullanıcı bilgisayarlarını kullanıma açmaya ikna etmek vardır.
Yukarıda bahsedilen standart önlemlerin yanı sıra, bir sosyal mühendislik saldırısını meydana gelirken ya da meydana gelmeden önce belirleyebilecek önlemler vardır. Bunlar kurumun yapısına ve sistemlerin kurulumuna göre farklılık gösterebilirler. En yaygın kullanılan sosyal mayınlar arasında aşağıdaki önlemler sayılabilir:
Hiç bir sistem insandan bağımsız değildir. Bilgisayar sistemleri, insanlar tarafından tasarlanır, bakımı ve işletimi insanlar tarafından yapılır ve sistemden faydalanan ve sistemi kullananlar da insandır. İnsan bileşeni aynı zamanda bir güvenlik sisteminin en zayıf halkasıdır. Bundan dolayı insan faktörünün istismarına dayanan sosyal mühendislik saldırılarının gerçekleşme olasılığının her zaman olduğu ve gözardı edilemeyeceği açıktır. Sosyal mühendislik saldırılarının başarısı, bilgisayar ve ağ sistemlerindeki yerel zayıflıkların varlığına bağlı olduğundan, yerel açıklıklara verilmesi gereken önemi artırmaktadır. Sosyal mühendislik saldırılarının etkisini en aza indirgemenin yolu güvenlik politikalarının güncel tutulmasından ve personelin uygun bir şekilde bilgilendirilmesinden geçer.
Aşağıda, zamanında bir yerlerden bulup da derlediğim, WordPress’le çalışırken tavsiye edilen mysql ayarları var. Benim için çalıştı, sizin için çalışacak demek değil diyerek baştan uyarayım. Buyrun, /etc/my.cnf örneği:
[mysqld] skip-networking # uzaktan bağlanılıyorsa kaldırmalı skip-external-locking skip-slave-start skip-bdb skip-name-resolve key_buffer = 24 Mmax_connections = 200 sort_buffer_size = 4M read_buffer_size = 4M binlog_cache_size = 2M max_allowed_packet = 12M thread_stack = 128K table_cache = 128 thread_cache = 256 thread_concurrency = 4 myisam_sort_buffer_size = 1M tmp_table_size = 12M max_heap_table_size = 12M wait_timeout = 200 interactive_timeout = 300 max_connect_errors = 10000 query_cache_type = 1 query_cache_limit = 1M query_cache_size = 16M [mysqldump] quickquote-names max_allowed_packet = 16M [isamchk] key_buffer = 16M
Geçen hafta cümbür cemaat İzmir’e, özelde Aliağa’ya gittik. Trenle. Yataklı vagonda. Lokantasında oturarak. İnanılmaz bir keyif, bir de rötarı bol olmasa…Tren lokantalarına hastayım, yemekleri o kadar güzel olmasa da, en manzaralı durağan lokantadan bile daha güzel manzarası var. O yüzden yemekten çok dışarısı ilgilendiriyor sizi:
Gezmek, dinlenmek falan derken, ekseri İzmir’linin pek de normal bulduğu şeylerle eğlendik, geldik. Örneğin, yıllar önce ara sokaklarında eski kitap avlayıp kaset doldurttuğum Karşıyaka’nın hiç de dikkatimi çekmeyen bir camisi, uyarısıyla dikkatimi çekti — önünden her gün geçen bu ilanı yazılana kadar cami çalışanlarının başına gelenleri merak ediyor mu acaba?
Kepenk demiri, meşrubat kasası, bisiklet… Benim zamanımda sadece bebek bırakırlardı önüne. Gelişmişiz demek ki.Başka neler yaptık? Alsancak’a indik tabii ki. Tabii ki denize en yakın kafede bira içtik. Vallahi, bak:
Ayrıca sanki zorlayan varmış gibi her İzmir’e gelen kişinin önünde fotoğraf çektirdiği yerde fotoğraf çektirdik tabii, buraya da koymasam olmazdı:
Asıl sebeb-i ziyaretimizse, aşağıdaki fotoğrafta özetlenmiş durumda, ayrıntısını sonra yazarım ama yeterli bilgi için bakınız:
TCDD de yemek vagonlarında artık ıslak mendil veriyor. Rekabet derdi olmayan bir devlet kuruluşunun yaptığı bu güzelliği, özelleştirmeye ısınmak olarak algılıyor, aha da buraya yazıyorum.Bu arada, her yemek vagonuyla farklılaşan servis niteliğini, garsonlardan biri “biz farklı ekipleriz abi” diye açıkladı. Bundan hareketle, Ankara-İzmir mavi trenindeki ekibi kutluyor, diğerlerine de ekip olarak sabırlar diliyorum; çok içtik.
Muzlu rulo pastasına hayran olduğum, kaliteli pastane, sonunda ıslak mendilini çıkartabildi de ben de burada bahsetme imkanı buldum. Muzlu rulo pastasını yemeden geçmemeli, ciddi diyorum.
Kızılay’dakine gitmiştim önceden, ama babam aslı olan Anıttepe şubesine gitmiş, gelirken de mendili getirmiş. Piliç şiş iyiydi diyor, gidip bir ara denemek iyi olabilir.
Bunlar da var…
