20-01-2017 Saat: 18:35
Sosyal mühendislik yani ingilizce tanımı “Social Engineering” olarak isimlendirilen en temel hacking yöntemlerinden biridir...Sosyal mühendislik temel olarak insan ilişkilerini veya insanların dikkatsizliklerini kullanarak hedef kişi yada kurum hakkında bilgi toplamak ve gereken yönergelerle kullanmak olarak tanımlanabilir. Bu olayda amaç hedef kurum veya kişi yapısı, kurumsal ağın yapısı, çalışanların/yöneticilerin kişisel bilgileri , şifreler ve saldırıda kullanılabilecek her türlü materyalin toplanmasıdır.
Kuruma çalışan olarak sızmak, çalışanlarla arkadaş olmak, teknik servis yada destek alınan bir kurumdan arıyormuş gibi görünerek bilgi toplamak, hedef kişiyle dost olmak , olmadığı halde kendini kız gibi gösterip kişilerin zaaflarından yararlanmak bilinen en iyi örnekleridir.
Sosyal mühendislik aslında hack’in atası olarak bilinir bir nevi ilk hack atağıdır. Sosyal mühendisliğin mucidi olarak Kevin Mitnick bilinir ve bu alanda yazdığı kitapta sosyal mühendislikten bahsetmiştir. Hayatını Okuyup incelediğimiz kadarı ile girdiği sistemlerin %80 nine sosyal mühendislik yöntemleriyle ulaştığını gördük. Kevin Mitnick zamanında FBI tarafından 1. sırada aranan bilişim suçlusu haline gelmiştir ve yakalanmasında başrol oynayan ünlü güvenlik uzmanı Tsutomu Shimomura kevin ile girdiği mücadeleyi anlattığı takedown adlı kitabında özellikle bu yönteme değinmiştir.
Sosyal mühendislik üzerine yapılan araştırmalarda kadın sesinin erkek sesinden daha şanslı Olduğunu göstermiştir. Kısaca Sosyal Mühendislik kişileri kandırarak elindeli gizli bilgileri sorularla veya farklı yollarla fark ettirmeden elinden almaktır...
----------------------------------------------------------------------------------------------------------------
SOSYAL MÜHENDİSLİK ESASLARI, BÖLÜM I: Hacker Taktikleri
GERÇEK BİR HİKAYE
Bundan bir kaç yıl önce bir sabah, bir grup yabancı büyük bir gemi taşıma firmasına hiç bir zorluk olmadan kolaylıkla yürüyerek girdiler ve firma içi ağa ait giriş hakkı ile orayı terk ettiler. Bunu nasıl yaptılar? Bu firmadaki farklı çalışan numarasıyla azar azar küçük giriş miktarı ile elde ettiler. İlk olarak, binanın içine girmeden önce girişimde bulunmak için iki gün boyunca şirket hakkında araştırma yaptılar. Örneğin, İnsan kaynaklarını arayarak anahtar işçi isimlerini öğrendiler.Sonra, ön kapıda anahtarlarını kaybetmiş numarasıyaptılar ve bir adam onları içeri girmesine izin verdi. Sonra, yabancılar kimlik rozetlerini kaybettiklerine inandırıp üçüncü güvenli bölgeye girdiler, gülümsediler ve dost canlısı bir işçi onlara kapıyı açtı.
Yabancılar binanın dışından CFO’yu biliyordu. Bu yüzden onlar onun ofisine girebilirlerdi ve kilidi açılmış bilgisayardanfinansal bilgilerini alabilirlerdi. Bütün kullanışlı dökümanları bulabilmek için, şirkete ait çöpleri karıştırdılar. Bir hademeye çöp kutusunun sordular. Buldukları içerikleri çöpe yerleştirip ve bu verilerin binanın dışına elleriyle taşıdılar. Yabancılar, ümitsizce ağ şifrelerine ihtiyaç duydukları için CFO’ sun çalışanlarının sesini çalıştılar. Böylelikle telefonda bir koşuşturma anında bir CFO’lu oldular. Oradan, olağan hack araçlarını kullanarak sitemde super-user girişi kazandılar.
Aslında, yabancılar CFO’nun güvenliğini çalışanların bilgileri olmadankontrol eden network danışmanlarıydı. CFO hakkında ayrıcalıklı bilgi verilmemişti onlara, fakat istedikleri bütün girişleri sosyal mühendislik aracılığı ile elde ettiler(Bu hikayeyi Kapil Raina anlatmıştır, şuanda Verisign da güvenlik uzmanı ve Ticaret Güvenliği: Başlangıç Rehberinin yazarıdır, eski iş yeri çalışanları ile birlikte gerçek işyeri tecrübelerinedayanır)
TANIMLAR
Sosyal mühendislikle okuduğum bir çok makale şu şekilde tanımlar ile başlar "insanlardan istediklerini öğrenme sanatı ve bilimi", "Dışardan bir hackerın sisteme giriş için ihtiyaç duyduğu bilgileri elde etmek için, bir bilgisayarın makul kullanıcıları üzerinde psikolojik hileler kullanmasıdır" yada "ihtiyaç duyduğun bilgileri elde et"(örneğin bir sistemi kırmaktansa bir kişiden şifreleri al). Gerçekte, sosyal mühendislik bunların hiçbirisi yapamayabilir, bu dahaçok senin nereye oturduğuna bağlıdır . Tek şey, herkes sosyal mühendisliğe kızgın gibi görünür. Genel olarak zeki bir hacker, doğal insanların güvenine eğilimi ustalıkla gerçekleştirirler. Hackerların amacı geçerli bir sistemde izinsiz girebilmeyi başarmak için başkalarının bilgilerini elde edebilmektir ve bubilgilerle sisteme ikamet edebilmektir.
Güvenlik tamamen güvenle ilgilidir. Güven, koruma ve gerçekliktir. Genel olarak, güvenlik zincirinde zayıf bir halka olarak kabul edilir, bizim birçok sömürülebilir ataklarımızı onların münakaşadan dolayı ayrılan birilerine gönüllü bir şekilde kabul ettiririz. Bir çok güvenlik deneyimine sahip bilir kişiler üstüne basarak bu olguyu belirtmektedir. Kaç tane ağ boşluklarıyla, patchlerle ve firewall lar ile ilgili makalenin yayınlanmış olması önemli değildir. Sadece bunlardan gelebilecek tehlikeleri azaltabiliriz
HEDEF VE ATAKLAR
Sosyal mühendisliğin genel amacı hack in genel amacı ile aynıdır; sisteme izinsiz girmeyi elde etme yada bilgileri sırasıyla dolandırıcılık yapmak, ağa davetsiz olarak girmek, endüstriyel casusluk, kimlik hırsızlığı yada basitçe ağa yada sisteme zarar vermektir . Tipik hedefler: telefon şirketleri ve servisleri, büyük şirketler ve finansal kurumlar, askeri ve hükümet acentaları ve hastaneler. İnternetin canlanması endüstriyel mühendis atakların paylaşımı ile iyi bir şekilde başladı Fakat ataklar genel olarak büyük mevcudiyetler üzerine odaklanmaktadır.
Gerçek hayatta sosyal mühendislik örneği bulmak zordur. Hedef organizasyonların hiçbir zarar verdiklerini kabul etmek istemezler(Hepsinden sonra, ana güvenlik kırığını kabul etmek onu sadece benimsememek değildir, organisazyon isimlerine zarar verici olabilir). Saldırılar dokümantasyon edilmediği için gerçekte hiç kimse sosyal mühendislik atağı olup olmadığından emin olamayız.
Organizasyonların hedef boyunca neden sosyal mühendisliğe maruz kaldığına gelince, bir çok teknik hack yapmaktansa, yasadışı giriş elde etmek için çoğunlukla kolay bir yoldur. Teknik insanlar için, çoğunlukla sadece telefonu kaldırmak ve birilerine şifre için sor sormak oldukça basittir ve çoğunlukla, bu sadece bir hacker ın yapacağı iştir.
Sosyal mühendislik iki düzey üzerine kurulmuştur: Biri fiziksel diğeri ise psikolıjitir. İlk olarak, bir saldırı için fiziksel ataklara değinelim: çalışma yerleri, telefonlar, çöpler ve tüm çevirim içi olan her şey. Çalışma yerlerinde hacker kolaylıkla kapıdan içeri girip yürüyebilir, tıpkı film gibi Vebakım çalışması yapacak biri gibiyada organisazyona başarı ile giren bir danışman gibi davranabilir. Sonra davetsiz misafir ofiste kurumla yürüyüş boyunca; daha sonra gece evinden zarar verebilmek için yetecek kadar bilgi ile bina etrafında yatar ve binadan çıkar ta ki giriş için izin bilgilerini elde edene kadar giriş izni alabilmek için diğer bir yöntem ise sadece ayakta durmak ve çalışanların şifrelerini açıkça girdiklerini izlemektir.
TELEFON İLE SOSYAL MÜHENDİSLİK
En etkili sosyal mühendislik ataklarından biride telefon aracılığı ile yapılır. Bir hacker sizi arayabilir ve yetkili biri gibi davranabilir ve yavaş yavaş kullanıcı bilgilerinizi öğrenebilir. Özellikle yardım masaları bu tarz ataklara yatkındır.
Şimdi iyi bir örneğe bakalım : Gecenin bir yarısı sizi arayabilirler:
H: ‘Son altı saat içinde Mısırı aradınız mı? ’
K: ‘Hayır’
H: ‘Sizin kartınız ile Mısıra yapılmış bir arama bulunmaktadır. Bir sorununuz var ve $2000 borçlu gözüküyorsunuz.’
H:‘Mesleğimi göz önünde bulundururum ki sizi bu borçtan kurtarabilirim. Yalnız bana PIN ve kart numaranızı söylemeniz gerekmektedir. Daha sonra sizi bu borçtan kurtaracağım’
(H: Sosyal mühendislik yapan kişi, K: Sosyal mühendisliğe maruz kalan kişi)
Yardım masaları genellikle bu işe eğilimlidirler. Çünkü onlar yardım için ordalar , gerçekte yasal olmayan bilgileri öğrenmeye çalışan kişiler tarafından istismar edilebilir. Yardım masası çalışanları güler yüzlü ve bilgi vermek için eğitilirler. Bu nedenle sosyal mühendislik için altın bir fırsattır. Yardım masası çalışanların çoğu güvenlik için çok az eğitilmişlerdir. Yardım masası çalışanları daha çok sorulan soruları cevaplamaya ve bir sonraki telefona geçmeye eğilimlidirler.Bu da çok büyük bir güvenlik açığı oluşturmaktadır.
Canlı bir Bilgisayar Güvenlik Enstitüsü gösterisinin kolaylaştırılmış, zekice tanımlanmış yardım masası sömürüsü bir telefon şirketini araması ve yardım masasına ulaşmasıyla başlar.
H: Bu geceki nöbetçi idareniniz kim?
K: Betty.
H: Betty ile görüşebilir miyim?
H: (transfer ediliyor) Merhaba Betty, İyi günler dilerim. Sisteminiz neden çalışmıyor?
K: Çalışmıyor mu? Gayet iyi durumda.
H: Daha iyi olması için oturumu kapatın
K: ( Oturumu kapatıyor )
H: Tekrar oturumu açın.
K: ( Oturumu açıyor )
H: Daha bir bip sesi göremedik, bir değişiklik göremedik. Yeniden oturum kapatır mısınız?
K: ( Oturumu kapatıyor )
H: Betty, senin ID ile ne olacağını anlamak için, senin bilgilerinle giriş yapmam gerekiyor. Şifreni ve ID numaranı verirmisin?
Böylelikle şifreyi ve ID yi öğreniyor. Zekice…
(H: Sosyal mühendislik yapan kişi, K: Sosyal mühendisliğe maruz kalan kişi)
Telefon konusunda yapılan bir değişimde telefon ödemeleri yada ATM dir. Hackerlar gerçekte surf yaparlar ve bu yolla PIN ve kredi kartı numaralarını bu yolla elde ederler. (Büyük bir İngiliz hava alanında çalışan bir arkadaşımın başına geldi). İnsanlar daima telefon gişelerinde ayakta dururlar, bu nedenle bu tarz yerler de daha dikkatli olunması gereken yerlerdir.
ÇÖPLERİ BOŞALTMA (Dumpster Diving)
Çöpleri boşaltmak, çer çöpü temizlemek olarak ta bilinir be başka bir sosyal mühendislik metodudur bilgilerin büyük bir çoğunluğu, şirketin çöplerinden toplanmıştır The LAN Times, çöpünüzde bulunan potansiyel güvenlik tehlikelerini şöyle sıralamaktadır: "şirket telefon rehberi, kısa notlar, şirketin idari politika bilgileri, olaylar ve tatil izinleri, sistem işleyiş şekilleri, hassas veriler yada giriş isim ve şifreleri çıktıları, kaynak kod çıktıları, diskler ve bantlar, şirket mektupları ve kısa formlarve eskimiş donanımlar"
Bu kaynaklar hacker lar için zengin bilgi damarlarıdır. Telefon rehberleri hackerlara canlandırılacak yada hedefteki insanların telefon numaralarını ve isimlerini verir. Organizasyon grafikleri organisazyonda ki yetkili posizyon daki kişiler hakkında bilgiler içerir. Küçük notlar giriş oluşturmak için cazip ve ilginç ufak bilgiler içerir. Takvimler çok önemlidir,hangi işçinin ne zaman işyeri dışında olacağını belirtir. Sistem el kitapları, hassas bilgiler ve diğer teknik bilgi kaynakları hackırlaraağa izinsiz girebilmek için gerekli bilgileri verebilir. Son olarak, eski donanımlar özellikle hard diskler yeniden onarılıptüm kullanışlı bilgiler elde edilebilir.
İKNA ETME
Hackerlar kendi kendilerine ataklarda psikolojik bir etki kurabilmek için sosyal mühendislik ile nasıl mükemmelbir psikolojik etki oluşturabileceklerini çalışırlar. İkna edebilmenin basit yolları: taklit etme, kendini sevdirme, riayet etme, sorumluluk yayma ve sade bir arkadaş olarak görünebilmektir. Her şeye rağmen bu metotların kullanımının ana konusu insanların gizlice bilgilerini öğrenebilmek için inandırıcı olmaktır. Bu sosyal mühendisliktir.
Taklit etme genel olarak bazı karakterleri oluşturup, onların rollerini oynamaktır. En basit rol en iyisidir. Bazen bizi sizi arayıp ‘Ben MIS den John, şifrenize ihtiyacım var’ diyebilir. Fakat bu her zaman çalışmaz. Bir yandan hacker lar organizasyon daki gerçek bir bireyi çalışırlar ve o kişi yerine telefon edbilmek için o kişinin binadan çıkmasını beklerler. Bir hacker yaygın objeleri yazar, konuşma esnasında sesleerini gizlemek için küçük kutular kullanır ve konuşma biçimlerini, organizsayon tablosuna çalışır. Bence bu çok az inandırıcı bir ataktır. Çünkü çok fazla hazırlık ister. Ama yinede yapılmaktadır.
Taklit etme yönteminde kullanılan en yaygın rollar şunlardır: tamircilik, IT başkanı, yönetici, güvenli bir 3. parti elemanı (Örneğin başkanın yetkili asistanı sizi arıyor ve bşkanın gerekli bilgileri teyit ettirmek istediğini söylüyor) ve herhangi bir şirket elemanı. Büyük bir şirkette bunları kullanmak zor değildir çünkü herkesi tanıyamazlar. ID ler fake edilebilir. Bir çok çalışan patronlarına kendilerini sevdirmek ister bu nedenlede, kariyer sahibi birinin ihtiyaçlarını sağlamakiçin çok çalışırlar.
Riayet gruba dayalıdır. Fakat, inandırıcı bir kişiile tek başında kullanılabilir. Bu kullanıcılar hacker lara aynı gerekli bilgileri verir. Örneğin hacker IT yönetici rolünü oynuyorsa.
Şüphesiz sosyal mühendisik ile en iyi bilgi edinme yolundan biride arkadaş canlısı olmaktır. Buradaki anafikir telefonda meslektaşlarına inandırıcı olabilmek ve yardım istemektir. Bu nedenle hacker ihtiyaç duyduğu tek şey inandırıcı olabilmektir. Öte yandan bir çok çaşılan telefonlara cevap vermektedirler özelliklede bayanlar.
Bazen bir gülümseme, kibar bir teşekkür yada ‘kafam karıştı bana yardım edebilir misiz?’ cümlesi size çok yardımcı olacaktır.
ON-LINE SOSYAL MÜHENDİSLİK
İnternet aradığımız şifreleri sosyal mühendisilik ile elde etmek için verimli bir alandır. Bir çok kullanıcının yaptığı başlıca hata aynı şifreyi bir çok account ta kullanmasıdır: gmail, yahoo vs. . Bir hacker bir kullanıcının şifresini elde ettiği zaman onu bir çok accountta dener.Hacker ın bunu yapmasının bir yolu on-line forumlardır. Mesela hackerlar bazı para kazandıran kumar bilgilerini bu form ile gönderir ve kullanıcıdan isim ve şifre yazmasını ister.(email adresi içeren, keza şifrede) Bu formlar mail ile gönderilir. Mail iyi bir görünüm verir ve para kazandıran kumar da kanuni bir yatırım gibi görünür.
Diğer bir yöntemde hacker network admini gibi görünür ve size networkten bir şifre gönderip şifrenizi sorar. Bu tarz sosyal mühendislik atakları genelde çalışmaz. Kullanıcılar on-line iken hackerdan haberdardır. Ama genelde not bırakırlar. Ayrıca hacker larnetworkun bir kısmına benzeyen, şifre ve kullanıcı adınızı girmenizi istiyen pop-up pencereleri kurabilirler. Şu noktaya da değinelim, bir çok kullanıcı temiz bir text ile şifresini göndermez. Fakat nadiren sistem adminlerin güvenlik ölçümünün geri kalanına sahiptir. Daha iyisi, bazen sistem adminleri kullanıcılarını şifrelerini gizlemeleri, diğer bir yandan yüz yüze güvenilir ve yetkili bir çalışanla konuşma yapmaları konusunda uyarıda bulunmaktadır.
Ayrıce e-mail bir sisteme başarı ile girebilmek için direkt bir yoldur. Örneğin, yetkili kişinin mail e yaptığı eklentilerde virüs, worm, trojan atı bulunur. Buna en iyi örnek VIGILANT tarafından dokumantasyonedilen AOL hackidir: “Öyleyse bir hacker kendini AOL teknik destekleyicisi gibi tanır, bir saat kurbanla konuşur. Konuşma esnasında kendisini satışta olan çok ucuz bir arabası oldugunu söyler. Kurbanın ilgisini çeker ve hacker araba resminin olduğu bir e-mail gönderir. Araba resmi yerine mail bir backdoor exploit çalıştırmaktadır. Bu exploit AOL dışından firewall arasından bir bağlantı kurmaktadır ”
TERS MÜHENDİSLİĞİ
Son olarak, yasadışı bilgi edinme için daha gelişmiş kazanç metotlarından biri ‘ters sosyal mühendisliği’ olarak bilinir. Bu, hacker yetkili bir kişinin karakterterini oluşturduğu zaman olur. Bu nedenle işçiler diğer yoldan ziyade ona bazı bilgiler için soru sorarlar. Şayet inceden inceye araştırılıp, planlanır ve iyi çalışılırsa, ters sosyal mühendislik atakları belki hacker a işçilerden daha şansla değerli verileri elde etmek için gösterilebilir. Fakat bu istek çok büyük hazırlık, araştırma ve ön hack için kürek çekmektir.
Rick Nelson’un raporuna göre ters sosyal mühendisliği üç kısımdan oluşmuştur: sabotaj yapmak, reklam yapmak ve yardım etmektir. Hacker lar bir networku sabote ederken bir problem artışı olabilir. Hacker sabit problem ile uygun iletişime geçer ve o çalışanlardan kesin bilgileri ister ve gerçekte elde etmek için geldiği şeyi elde eder. Onlar bilir ki aslında o kişi hacker dır. Çünkü diğer müşterilerinin network sisteminden bir sorunları yoktur ve mutludurlar.
SONUÇ
Elbette ki, hiçbir sosyal mühendislik ile ilgili makale Kevin Mitnick in anmadan bitirilmez: Bir makaleden alınmış yazı ile sonuçlandıralım.”Sizler servislere ve teknolojiye bir servet harcayabilirsiniz.. Sizin ağ teknolojiniz hala eskiye karşı savunmasız kalabilir-şekillendirilmiş idare”
----------------------------------------------------------------------------------------------------------------
1. Seneryo: Hacker: Alo, iyi günler. Ben bilgi işlem bölümünden arıyorum. Sizin bilgisayarınızda bir sorun olduğu görünüyor. Sorunu çözmek için de yardımınıza ihtiyacımız var..
Kullanıcı: Aaa öylemi? Peki nasıl yardımcı olabilirim?
Hacker: Lütfen kullanıcı isminizi ve şifrenizi söyler misiniz?
Kullanıcı: Tabii, kullanıcı ismim X, şifrem de 12345.
2. Seneryo:
Hacker: İyi günler. Ben X internet hizmetlerinden (Superonline, Turk.net, E-kolay.net...) arıyorum. Bilgi işlem yetkilisiyle görüşebilir miyim?
Yetkili: Ben bilgi işlem şefi X X, Buyurun...
Hacker: X Bey bildiğiniz gibi son zamanlarda hızla artan virusler internet ve ağ güvenliğini ciddi bir şekilde tehdit eder hale geldi. Biz de bu tehlikeden hem kendimizi hem de siz müşterilerimizi korumak istiyoruz. Bu amaçla e-posta yoluyla gelen virüslere karşı bir önlem olarak, tüm müşterilerimizin e-postalarını taramak istiyoruz. Kesinlikle e-postaların içeriğine bakılmayacak ve bu hizmet için ekstra ücret istenmeyecektir. Bu konuda sizin fikrinizi almak istiyoruz.
Yetkili: Gerçekten çok güzel bir olay. Tabii ki biz de bu hizmetten yararlanmak isteriz..
Hacker: Güzel, X Bey öncelikle bizdeki bilgilerinizi doğrulamak için lütfen şu sorulara cevap veriniz. Doğum yeriniz, doğum tarihiniz ve annenizin kızlık soyadı?
Yetkili: X, XX.XX.XXXX, X
Hacker: Tamam, kullanıcı isminiz ve şifreniz?
Yetkili: X, X.
3. Senaryo:
Hacker: Alo, iyi günler. Ben şirketin reklam bölümünde bugün işe başladım. Bilgisayara girebilmem için bir kullanıcı ismine ve şifreye ihtiyacım var. Bana yardımcı olabilirmisiniz?
Yetkili: Tabii, adınızı söyler misiniz?
Hacker: X X.
Yetkili: Peki X Hanım, kullanıcı isminiz X, şifrenizde X
Yukarıda anlatılan hayali senaryolar, aslında günlük hayatta sıkça karşılaşılan Sosyal Mühendislik yöntemlerini göstermektedir. Sosyal Mühendislik hacker'lar arasında sıkça kullanılan bir terimdir. Genellikle
telefon görüşmesi vasıtasıyla, kullanıcının zafiyetinden yararlanarak şifreleri, kullanıcı isimlerini ya da önemli bilgileri almak için kullanılan bir yöntemdir.
Sosyal Mühendislik yöntemi, çabuk sonuca ***ürmesi, hızlı ve basit olması nedeniyle hacker'lar tarafından sıkça kullanılır. Gelmiş geçmiş en iyi ve en ünlü hacker'lardan biri olarak kabul edilen Kevin Mitnick'in
de bir Sosyal Mühendislik dehası olduğu söylenir. Hatta Mitnick'in girdiği sistemlerin % 85'ine Sosyal Mühendislik yöntemleriyle ulaştığı bilinir. Mitnick'in yakalanmasında başrol oynayan ünlü güvenlik
uzmanı Tsutomu Shimomura, Kevin Mitnick ile girdiği mücadeleyi anlattığı "Takedown" adlı eserinde Mitnick'in bu yönüne işaret etmektedir. (TAKEDOWN). Mitnick, hapisten çıktıktan
sonra yazdığı "The Art of Deception: Controlling the Human Element of Security" adlı kitabında, Sosyal Mühendisliğin sırlarını anlatmış ve yazdığı pek çok hayali senaryolarla güvenlikte insan faktörünün ne denli önemli olduğunu vurgulamıştır.
Hacker Sosyal Mühendislik yöntemine başvurmadan önce şirket hakkında kısa bir araştırma yapmak zorundadır. Şirketin ne üzerine çalıştığını, bölümlerini ve yapısını bilmelidir. Aksi halde hiç reklam bölümü
olmayan bir şirketi arayıp, "Bugün reklam bölümünde işe başladım, bilgisayara girmek için kullanıcı ismine ve şifreye ihtiyacım var." derse, başaramayacağı ve üstüne hakaretler yiyeceği de kesindir.
Sosyal Mühendislik yöntemleri üzerine yapılan araştırmalar, bu konuda kadın sesinin her zaman erkek sesinden daha şanslı olduğunu ve karşıdaki kişininde daha çabuk etkilendiğini göstermiştir. Bu yüzden Sosyal Mühendislik yöntemini kullanacak olan hacker, genellikle kız arkadaşlarından yardım alır (tabii kendisi kız değilse). Bu konuda kimseden yardım almak istemeyenler ise kendi seslerini "voice changer" denilen cihaz ve programlarla kadın sesine dönüştürürler. Nitekim bu ses dönüştürme işi, iyi bir ses kartı, hoparlör ve bir mikrofonla kolaylıkla yapılabilir.
Önlemler
Kullanıcılarınızı Eğitin: Sosyal Mühendisliğe karşı alınacak en iyi tedbir, kullanıcıları eğitmekten geçer. Bu eğitime en alt kademedeki kullanıcıdan, en üst kademedeki kullanıcıya kadar herkes katılmalıdır.
Hacker'ların kullandığı bu yöntem her yönüyle anlatılmalı, örnekler verilmeli ve kullanıcılar bilinçlendirilmelidir. Telefonda arayan hiç kimseye karşıdaki kişiyi tam olarak tanımadıkça şifrelerin ve önemli bilgilerin verilmeyeceği belirtilmelidir. Büyük şirketlerde "help des" denilen bölümler vardır. Bu bölümleri arayıp bazı bilgileri öğrenmek amacıyla sözde yardım isteyen kişilere gerekli sorular sorulmalı, kimlik tespiti işlemi tam olarak gerçekleştirilmelidir.
----------------------------------------------------------------------------------------------------------------
Türkiye'nin En Büyük Sosyal Mühendisi
Daha Sonra ‘dolandırıcılar kralı sülün Osman’ adını alacak olan Osman ziya sülün, 1923 yılında fatih’te bir memur ****** olarak dünyaya geldi. ilk işini 1948 yılında fatih’te yeni tuttuğu evin sahibini dolandırarak yaptı. mesleğin inceliklerini kum kapılı bir rum olan aleko’dan öğrendi. en iyi işlerini 50 ve 60’lı yıllarda tuttu. tramvay, galata kulesi, kent meydanlarındaki saatler, şehir hatları vapurları gibi kamu mallarını saf vatandaşlara ‘satarak’ yada ‘kiraya vererek’ efsane haline geldi. galata köprüsü’nü satmak üzereyken tesadüfen yakalanmıştı. soyadı ‘sülün’, 1952 yılında bir meydan saatini satarken yakalandıktan sonra lakabı oldu. ona ilişkin son bilgi 1984 yılının temmuz ayında Beyoğlu’nda sürekli kaldığı otelde bir kalp spazmı geçirdiği yönünde. polisin tahminine göre sülün Osman bir yerde ölüp kaldı ve kimlik taşımadığı için de kimsesizler mezarlığına gömüldü.
Galata köprüsünü pazarlayan adam budur.Büyük paralar Kazanmıştır
Bir de çok taktik adamıymış, yankesici misali değil planlı ve organize suçlar işliyormuş. Yani adamımız tam bir sosyal mühendis usulü dolandırıcılık yapıyormuş.
23 ocak 1961’de Zeytinburnu’nda kumar oynarken yakalanmıştır.
Sülün Osman’ın özelliği ava gidenleri avlamaktır.
Şöyleki;
Çünkü asıl kötü niyetli olan kişiler sülün Osman mağdurlarıdır.
İzmir saat kulesini yada dolmabahçe saat kulesini kapatıp her saate bakandan para almak,boğaz köprüsünün gelirine bilmem kaç liraya sahip olmak isteyen bir insanın iyi niyetli olduğu söylenemez
Bu insanları bulup da paralarını aldığı için sülün Osman’ın da "saf insanları kandırdığı".söylenemez.Yani aslında Böyle bencil insanları dolandırdığı için de pek kızmamak lazım.
Galata Köprüsünü,Beyazıt Kulesini daha pek çok şeyi satarak nam yapan meşhur dolandırıcı Sülün Osman..Muhtemelen yanındaki ailesi ama tabii bunda da bir üçkağıt olabilir
Elektrikli tramvay (İstanbul’daki eski tramvay) ,galata kulesi, boğaz köprüsü ,galata köprüsü bu amcanın(MÜHENDİS) sattığı ürünlerdir.Polis kayıtlarına geçmiş, hakkında kitap yazılmış ilginç bir karakterdir.
Sadece gayrimenkul değil menkul satışında da mühim başarılara imza atmış olan sülün Osman’nın zamanında dolmabahce önünde demirlemiş bulunan amerikan 6.filosu’na ait bir uçak gemisini sattığı da rivayet edilmektedir.
Bir savaş gemisini satın alan adam neden böyle bir şeye ihtiyaç duyar?
Dediğimiz gibi; Sülün Osman’ın özelliği ava gidenleri avlamaktır
Ünlü yazar ve bilgin Aziz Nesin’in esinlenip fil Hamdi karakterini yarattığı eski dolandırıcı
Kendisine ‘oğlum, galata kulesi’ni satmaya utanmadın mı’ diye soran Komisere, ‘komiserim, bu memlekette galata kulesi’ni satın alacak eşek olduğu sürece ben bu kuleyi satarım, hiç kusura bakmayın’ diyen ve pek de haklı olan dolandırıcı.
BİR cezaevinde "Alınteri ile yaşamak" konulu konferans da vermiştir ki akıllara zarar bir vakadır. (Belki de Hapis’e girdiği sıralarda tövbe etmiştir)
Müjdat Gezen’in anlattığına göre bir keresinde de taksim parkının girişine bir paspas atmış, bir de sandalye koyup kurulmuş. Gelenden gecenden giriş parası alıyormuş. Ama tabi herkesten istemiyor, Kimin verip kimin tersleyeceğini biliyormuş. Sonra biri sikayet etmiş de yakalanmış. Çok sayıda içeri girdikten sonra tövbe etmiş. Tövbesinden sonra Mühendisimiz İzmir de ortaya çıkmış Bir gün İzmir saat kulesinin önünde beklerken de biri gelip "Dayı şu saat satılık mı ?diye Sormuş O da "lem tövbe ettim s…. gidin başımdan" diye terslemiş.
Osman sülün bize şu atasözünü hatırlatmıştır.Her malın alıcısı çıkar
Mühendisimizin hakkında sadece kitap değil.Filmlere bile konu olmuştur.1982 yapımıEn büyük Şaban adlı filmde ‘’Boğaz içi köprüsü satan adam’’ kahramanımızı Hikmet Karagöz Canlandırmıştır.
----------------------------------------------------------------------------------------------------------------
SosyaL Mühendislik : Çoğunuzun mail kutusuna hergün onlarca tanımadığınız insandan değişik taleplerde bulunan mailler geliyordur.Mesela "Çekilişte 100$ kazandınız,Kampanyamızdan bedava tatil kazandınız...vs" bunlar acaba gerçekmi yoksa sadece basit bir oyunun kağıtlarımı ?
İşte Social Engineering(Sosyal mühendislik) burada başlar.Kısaca insanları aldatarak kişisel bilgilerine veya direk şifrelerine ulaşma yöntemidir.Çok basit bir yöntem olmasına rağmen en etkili ve en çok kullanılan yöntemlerden biridir.
Dünya’nın en tanınmış hackerlarından biri olan Kevin Mitnick’in büyük bir sosyal mühendis olduğunu biliyormuydunuz ?Kevin kendi kitabında (Aldatma Sanatı) dünyanın büyük bankalarına , kamu kuruluşlarına , büyük şirketlerin hesaplarına bir kaç telefon görüşmesiyle ulaşılabileceğini anlatmış.Peki nasıl yapılıyor bu ?
Sosyal Mühendisliği temelde 2 ye ayırabiliriz.İnsan kaynaklı ve bilgisayar kaynaklı olarak.2 yöntemdede temelde aynı şey yapılabilir.Mesela bir x şirketindeki y kullanıcının hesap bilgilerine ulaşmak istiyoruz.İlk yapacağımız şey x bankasına kayıtlı y kullanıcısına bir şekilde ulaşmak çünkü işimiz aldatmak.y kullanıcısına ulaştıktan sonra ona biz sizin hesabınıza ulaşmak istiyoruz lütfen verin demiyeceğiz bu yüzden sosyal mühendisliğe başvurmamız gerekecek.Mesela önce y kullanıcısını arayıp
-Merhaba,biz x bankasının müşteri temsilcisiyiz hesaplardaki bir karışıklık nedeniyle bilgilerinizi doğrulamanız gerekmektedir.
deriz.Fakat burada alacağımız bilgiler y kişisinin direk bankayla alakalı bilgileri olmamalıdır çünkü hiçbir banka bu bilgileri istemez buda sizi eleverir.Şimdi y kullanıcısının hesap kayıt tarihi son giriş tarihi hesap numarası gibi bilgilerini öğrendik bundan sonrasıyla y kullanıcısyla işimiz olmuyacak.Yapacağımız işlem x bankasını aramak olacaktır.
-Merhaba ben x,bankanıza şu hesaplı kullanıcısıyım,en son girişim şu tarihtedir ve banka hesabıma giremiyorum...
ve gerisi gelecektir.(yukardaki örnekle kimseyi kandıramazsınız işin mantığını anlatmak için böyle bir örnek verdim.Gerçekte yapılan diyaloglar daha profosyonel ve daha tekniktir bunun için mesela bir banka hesabıyla uğraşıyorsanız bankacılıkla ilgili bayağı bir birikime sahip olmanız gerekmektedir.)
Yazının başında "Çekilişten şu kadar para kazandınız" diye bir örnek vermiştim.Şimdi bunu inceliyelim.Eğer böyle bir mail aldıysanız incelemişsinizdir.Size şu kadar para kazandınız şu tarihte bu parayı alabilmeniz için bir kontrol yapmamız lazım lütfen şu şu bilgileri vererek şu maile aşağıdaki onay koduyla birlikte yollayınız.Bunun hakkında bilgisi olmayan biri şöyle düşünür
-aaaa acaip para kazanmışım.Dur bi dakka ya belki sahtedir dur bakayım ne istiyorlar "isim,soyisim,adres,kullandığım geçerli mail,doğduğum şehir" e bu bilgileri versem ne olur vermesem ne olur en iyisi göndereyim bakarsın parayı alırım.
Gönderir ve birkaç gün sonra aklına birşey gelir.
-Benim mailin gizli sorusu Doğum yerim değilmiydi ?!!!
Ve mailini kaptırır.
Daha büyük bir örnek verelim.Dünyada yüzlerce şirket var ve çoğu birbiriyle rekabet içinde yapılan basit hatalar bile milyonlarca dolar kaybına yolaçabilir.Bu şirketler nasıl birbirine üstünlük sağlayabilir.En basidinden eğer ben rakip şirket hakkında bazı yeni bilgilere ulaşabilirsem ne yapacaklarını görürüm ve ben bir adım öne geçmek için hamle yapabilirim tıpkı satranç oyunu gibi.Rakibin ne yapacağını önceden kestirmek.Tabi biz kestirmeyl zaman harcayamayız bunun için sosyal mühendisliğe başvurarak karşı şirketin teknik elemanını "tuş" edebiliriz.
Müşteri(Sosyal Mühendis):Merhaba,ben sizin firmanızın çıkardığı şu ürünü almak istiyorum şu özelliği çok iyi fakat geliştirilmesi lazım bu yüzden piyasadaki diğer ürünleri cazip görüyorum.Bir müşteri olarak size bu şikayetimi bildirmek istedim.
Sazan Teknik Eleman:Efenim,Firmamız kendini sürekli geliştirmekte ve şuanda piyasadaki tüm diğer rakiplerine nazaran en iyi teknolojiyi sunmakta.Bahsettiğiniz ürün için daha yeni teknolojiler üretmekteyiz bu sayede gene öncü olacağımızı söyleyebilirim.
Müşteri(Sosyal Mühendis):Ne gibi yenilikler yapmayı planlıyorsunuz.yani ben bir müşteri olarak önceden bilmek isterim çünkü şu ürünü eğer daha iyisi olmayacaksa şu firmadan almayı düşünüyorum.
Sazan Teknik Eleman:Efenim,şu ürünümüzün şu özelliği dünyada ilkkez geliştirilmiş şu teknoloji sayesinde size şunu sunacaktır.Rakiplerimiz hala eski teknolojiyle boğuşurken biz ilkkez bunu piyasaya sürerek siz müşterilerimizi memnun etmeyi planlıyoruz.
...
Devam edecek...
Peki sosyal mühendislik saldırılarına karşı nasıl korunabiliriz ?
Bunun için Komiser Güven ŞEKER’in bu konu hakkında yazdığı yazıyı inceleyebiliriz
Sosyal Mühendislere Karşı Savunmayı Arttırma
Davetsiz misafirler yada sistem kırıcılar (hackers) sürekli olarak değişik taktikleri de kullanarak bilgisayar sistemlerine yönelik yasal olmayan şekilde erişmeye çalışırlar. Kurumlar da bu tehlikeye karşı ağlarını (network) korumak için daha fazla zaman ve para harcarlar. Daha çok, yapılan harcamalar teknolojik güvenlik önlemleridir; sistem yükseltmeleri,güvenlik sistem paketleri, en son teknoloji kripto sistemleri gibi. Fakat yeni bir yol olan sosyal mühendislik bu önlemleri önemsemeden yasal olmayan uygulamalarına devam etmektedir.Bu tip saldırılara karşı kurumların savunmaları için iyi politikalara sahip olmaları gerekmektedir. Tabi ki bu durumda en iyi savunma eğitimdir. Günümüzün güvenlik uzmanları sürekli bir değişmez mücadele içerisinde, son teknolojik değişimlere ayak uyduran ama bunun her zaman sistem kırıcıların (hacker) ve script şakacılarının (script kiddes) bir adım önünde yapan kişilerdir. Yayınlanan güvenlik bültenlerinde güvenlik açıkları, yeni zayıf noktalara yönelik bilgilendirmeleri, yeni yamaları, onarımları, yeni güvenlik ürünlerini, güvenlik uzmanları takip etse de yeni standart, ürünlerin standartdını sağlama açısından takip etme çok fazla zaman ve imkan gerektirmektedir. Sosyal mühendisler, güvenlik zincirinin en zayıf yerindeki, karmaşık güvenlik araçlarının bir yere toplanarak kullanımı ile çalışan insan aracına farklı yollardan giderler.
Dünyada hiçbir bilgisayar sistemi yoktur ki; insanı merkeze almasın. Bunun anlamı güvenlik zayıflıkları programların, platformun, ağın (network) yada donanımların bağımsızlığı ile ilgili olmayan evrensel bir şeydir. Bütün bilgisayar güvenlik sistemleri fonksiyonlarında insanî aracılık sistemleri gerektirir. İnsan aracı üzerine odaklanan bir sistem içinde hiçbir bilgisayar güvenlik sisteminin sosyal mühendisliğe karşı bağışıklığı temin edilemez. Sosyal mühendislerin hangi sömürü metotlarını kullandıkları, nasıl çeşitli şekilde kişilik özelliklerini değiştirerek başarılı bir sosyal mühendislik yaptıkları aşağıda belirtilecektir. Nitekim bu metotlar kullanılarak kişisel özellikleri de artırmak mümkündür, böylelikle daha başka yeni metotlarda geliştirilebilecektir.
Sorumluluğun yayılımı : Eğer hedefe onların kendi hareketlerinden sadece sorumlu olmadıklarına inandırılırsa, sosyal mühendisin ricasına uygun hareket ederler. Sosyal mühendisler çeşitli faktörlerin de yardımı ile oluşturdukları durumda, kişisel sorumluluk konusunu şaşırtma ile o kadar sulandırırlar ki bir karar vermeye zorlarlar. Sosyal mühendisler karar verme sürecinde diğer çalışanların isimlerini kullanırlar, ya da yüksek seviyeden yetkilendirilmiş bir eylem olduğunu diğer bir çalışanın ağzı ile, iddia ederler.
Göze girme şansı: Hedef eğer bir rica ile razı olan birisi ise, başarılı olma şansı yüksektir. Bir rakip olarak onu yönlendirmede bu çok büyük bir avantaj sağlar, ya da bilinmeyene göre yardım verir, sıcak bayan sesini kullanarak telefon aracılığı ile iletişime girerler. Sistem kırıcıları (hackers) topluluğuna teknoloji ile içli dışlı insanlar olarak toplumsal ilişkilerde çoğu zaman beceriksiz insanlar topluluğu olarak bakılır. Nitekim bu kanı da doğrudur. Sosyal mühendisler etkilemenin yüksek hiçbir formunu kullanmadan bilgi elde ederler.
İlişkilere Güvenmek: Çoğu zaman, sosyal mühendisler belirledikleri kurban ile iyi güvenilir bir ilişki için beklerler ve o zaman bu güveni sömürürler. Bunu takip eden zamanlarda ufak küçük etkileşimlerle ilişkiye girer ve doğal seyir içinde problem ortaya çıkar ve sosyal mühendis büyük hamlesini yapar. Böylece karşı taraftan şans verilmiş olur.
Ahlâkî görev: Hedefi dışarıdan ahlaksal olarak davranmaya cesaretlendirmek ya da başarı şansı için ahlaki hareket arttırmayı sağlamak. Bu durum için hedef olan kişi ya da organizasyondan bilgilerin sömürülerek alınmasını gerektiren bir iştir. Hedef eğer karşıdakine uymanın yanlış olduğuna inanırsa karşıdakini sorgulamanın hoş olmadığını hissederse, başarı şansı artmış demektir.
Suçluluk: Eğer mümkünse çoğu insan suçluluk hissinde olmaktan sakınır. Sosyal mühendisler çoğu zaman, psikodrama üstatlarıdır. Öyle bir mizansen hazırlarlar ki insanın yüreği cız eder, empati ve duygudaşlık meydana getirirler. Eğer suçluluk duygusunu ortadan kaldıracak bir bağışta bulunurlarsa hedef bundan çok fazla memnun olacaktır. Rica edilen bilginin yerine getirilmeyeceğine inanarak, belirleyici problemlerin rica eden kişi tarafından sık sık yeterli ağırlıkta tartılıp denge içinde iyilik olsun diye yapılmasını sağlarlar.
Künye: Sosyal mühendisin hüneri ile daha çok hedef tanımlanır ve bilgiye erişilir. Sosyal mühendisler iletişim anında daha çok zekice bir araya getirilmiş öncelikli, temelli girişimlerle bağlantı kurmaya çalışırlar.
Faydalı olmaya istekli olmak: Sosyal mühendisler diğer insanlara yardım etmeden zevk alanlara güvenerek eylemlerini yürütürler. Kahramanımız karşı kişiden ya bir giriş hakkı ister ya da bir hesaba giriş için yardım etmesini ister. Sosyal mühendisler ayrıca birçok bireyin zayıf reddetme düzeyini bilerek ve işin uzmanına danışmanın dayanılmaz cazibesine sırtlarını dayayarak işlerini yaparlar.
Birbirine göre ayarlama: Hedef ile en az çatışma en iyisidir. Sosyal mühendisler genellikle ortamın gerektirdiği ses tonu ile zekice ve sabırlı sunuş yaparlar. Emir gibi, bir şey sipariş eder gibi, sinirli ve baş belası gibi kazanmak adına nadiren çalışırlar. Sosyal mühendis kahramanları genellikle direkt rica edenler, uydurma durum, kişisel ikna gibi kategorileri kullanırlar.
Direkt rica edenler: muhtemelen en basit metottur, ve başarı için en son olan yoldur. Bir işe basitçe girişildiğinde sorulan bilgidir. Direkt rica genellikle meydan okumadır ve genellikle ret edilir. Başarı şansı düşük olduğundan nadiren tercih edilir.
Uydurma durum: bir şey veya bir organizasyonun özelliğine göre elde edilen bilgilerle yapılan üretilen bir durum, bir kriz veya özel bir an ile ilgili olarak bu durumdan faydalanmadır. Kriz durumları anlık yardım içerir, sosyal mühendisler hedefin güvenini arttırıcı durumun gerekliliği ve yardım edilme ile ilgili ortam oluştururlar. Sosyal mühendislerin taktikleri gerçek üzerine kurulu olsa da şunu unutmamak gerekir ki; kahramanlar gerçek tabanlı şeylere ihtiyaç duymaz, sadece ortalama gerekli şeylerle çalışırlar.
Kişisel İkna , Kişisel olarak yardım yapmayı isteyen bununla ilgili istekli insan gibi davranırlar. Amaçları kuvvetli uyum değildir, gönüllü-uyumlu insan anlayışına ulaşmaya çalışmaktır. Birçok bilişim teknolojisi (IT) güvenliğinde çalışan insan gerekli bilgilerden yoksun bulunmaktadır. Bu işle uğraşanlara yönelik bilgi güvenliği farkındalığı programı uygulanmalıdır. Son kullanıcı kılavuzu, güvenlik öngörüleri ve güvenlik bilgileri olmalıdır. Çalışanların, sosyal mühendis riski ile ilgili eğitimi bu saldırılara karşı kurumların savunma aracıdır. Sosyal mühendisler psikoloji üzerine kurulu ve sosyal hainliklere dayalı yeni hileler ile bizimle paylaşımda bulunurlar (George Stevens:2001). Bu çok özel saldırı metodunun farkındalığında özel süreçlerde eğitim ve çalışma gerektirir
Alıntıdır
Kuruma çalışan olarak sızmak, çalışanlarla arkadaş olmak, teknik servis yada destek alınan bir kurumdan arıyormuş gibi görünerek bilgi toplamak, hedef kişiyle dost olmak , olmadığı halde kendini kız gibi gösterip kişilerin zaaflarından yararlanmak bilinen en iyi örnekleridir.
Sosyal mühendislik aslında hack’in atası olarak bilinir bir nevi ilk hack atağıdır. Sosyal mühendisliğin mucidi olarak Kevin Mitnick bilinir ve bu alanda yazdığı kitapta sosyal mühendislikten bahsetmiştir. Hayatını Okuyup incelediğimiz kadarı ile girdiği sistemlerin %80 nine sosyal mühendislik yöntemleriyle ulaştığını gördük. Kevin Mitnick zamanında FBI tarafından 1. sırada aranan bilişim suçlusu haline gelmiştir ve yakalanmasında başrol oynayan ünlü güvenlik uzmanı Tsutomu Shimomura kevin ile girdiği mücadeleyi anlattığı takedown adlı kitabında özellikle bu yönteme değinmiştir.
Sosyal mühendislik üzerine yapılan araştırmalarda kadın sesinin erkek sesinden daha şanslı Olduğunu göstermiştir. Kısaca Sosyal Mühendislik kişileri kandırarak elindeli gizli bilgileri sorularla veya farklı yollarla fark ettirmeden elinden almaktır...
----------------------------------------------------------------------------------------------------------------
SOSYAL MÜHENDİSLİK ESASLARI, BÖLÜM I: Hacker Taktikleri
GERÇEK BİR HİKAYE
Bundan bir kaç yıl önce bir sabah, bir grup yabancı büyük bir gemi taşıma firmasına hiç bir zorluk olmadan kolaylıkla yürüyerek girdiler ve firma içi ağa ait giriş hakkı ile orayı terk ettiler. Bunu nasıl yaptılar? Bu firmadaki farklı çalışan numarasıyla azar azar küçük giriş miktarı ile elde ettiler. İlk olarak, binanın içine girmeden önce girişimde bulunmak için iki gün boyunca şirket hakkında araştırma yaptılar. Örneğin, İnsan kaynaklarını arayarak anahtar işçi isimlerini öğrendiler.Sonra, ön kapıda anahtarlarını kaybetmiş numarasıyaptılar ve bir adam onları içeri girmesine izin verdi. Sonra, yabancılar kimlik rozetlerini kaybettiklerine inandırıp üçüncü güvenli bölgeye girdiler, gülümsediler ve dost canlısı bir işçi onlara kapıyı açtı.
Yabancılar binanın dışından CFO’yu biliyordu. Bu yüzden onlar onun ofisine girebilirlerdi ve kilidi açılmış bilgisayardanfinansal bilgilerini alabilirlerdi. Bütün kullanışlı dökümanları bulabilmek için, şirkete ait çöpleri karıştırdılar. Bir hademeye çöp kutusunun sordular. Buldukları içerikleri çöpe yerleştirip ve bu verilerin binanın dışına elleriyle taşıdılar. Yabancılar, ümitsizce ağ şifrelerine ihtiyaç duydukları için CFO’ sun çalışanlarının sesini çalıştılar. Böylelikle telefonda bir koşuşturma anında bir CFO’lu oldular. Oradan, olağan hack araçlarını kullanarak sitemde super-user girişi kazandılar.
Aslında, yabancılar CFO’nun güvenliğini çalışanların bilgileri olmadankontrol eden network danışmanlarıydı. CFO hakkında ayrıcalıklı bilgi verilmemişti onlara, fakat istedikleri bütün girişleri sosyal mühendislik aracılığı ile elde ettiler(Bu hikayeyi Kapil Raina anlatmıştır, şuanda Verisign da güvenlik uzmanı ve Ticaret Güvenliği: Başlangıç Rehberinin yazarıdır, eski iş yeri çalışanları ile birlikte gerçek işyeri tecrübelerinedayanır)
TANIMLAR
Sosyal mühendislikle okuduğum bir çok makale şu şekilde tanımlar ile başlar "insanlardan istediklerini öğrenme sanatı ve bilimi", "Dışardan bir hackerın sisteme giriş için ihtiyaç duyduğu bilgileri elde etmek için, bir bilgisayarın makul kullanıcıları üzerinde psikolojik hileler kullanmasıdır" yada "ihtiyaç duyduğun bilgileri elde et"(örneğin bir sistemi kırmaktansa bir kişiden şifreleri al). Gerçekte, sosyal mühendislik bunların hiçbirisi yapamayabilir, bu dahaçok senin nereye oturduğuna bağlıdır . Tek şey, herkes sosyal mühendisliğe kızgın gibi görünür. Genel olarak zeki bir hacker, doğal insanların güvenine eğilimi ustalıkla gerçekleştirirler. Hackerların amacı geçerli bir sistemde izinsiz girebilmeyi başarmak için başkalarının bilgilerini elde edebilmektir ve bubilgilerle sisteme ikamet edebilmektir.
Güvenlik tamamen güvenle ilgilidir. Güven, koruma ve gerçekliktir. Genel olarak, güvenlik zincirinde zayıf bir halka olarak kabul edilir, bizim birçok sömürülebilir ataklarımızı onların münakaşadan dolayı ayrılan birilerine gönüllü bir şekilde kabul ettiririz. Bir çok güvenlik deneyimine sahip bilir kişiler üstüne basarak bu olguyu belirtmektedir. Kaç tane ağ boşluklarıyla, patchlerle ve firewall lar ile ilgili makalenin yayınlanmış olması önemli değildir. Sadece bunlardan gelebilecek tehlikeleri azaltabiliriz
HEDEF VE ATAKLAR
Sosyal mühendisliğin genel amacı hack in genel amacı ile aynıdır; sisteme izinsiz girmeyi elde etme yada bilgileri sırasıyla dolandırıcılık yapmak, ağa davetsiz olarak girmek, endüstriyel casusluk, kimlik hırsızlığı yada basitçe ağa yada sisteme zarar vermektir . Tipik hedefler: telefon şirketleri ve servisleri, büyük şirketler ve finansal kurumlar, askeri ve hükümet acentaları ve hastaneler. İnternetin canlanması endüstriyel mühendis atakların paylaşımı ile iyi bir şekilde başladı Fakat ataklar genel olarak büyük mevcudiyetler üzerine odaklanmaktadır.
Gerçek hayatta sosyal mühendislik örneği bulmak zordur. Hedef organizasyonların hiçbir zarar verdiklerini kabul etmek istemezler(Hepsinden sonra, ana güvenlik kırığını kabul etmek onu sadece benimsememek değildir, organisazyon isimlerine zarar verici olabilir). Saldırılar dokümantasyon edilmediği için gerçekte hiç kimse sosyal mühendislik atağı olup olmadığından emin olamayız.
Organizasyonların hedef boyunca neden sosyal mühendisliğe maruz kaldığına gelince, bir çok teknik hack yapmaktansa, yasadışı giriş elde etmek için çoğunlukla kolay bir yoldur. Teknik insanlar için, çoğunlukla sadece telefonu kaldırmak ve birilerine şifre için sor sormak oldukça basittir ve çoğunlukla, bu sadece bir hacker ın yapacağı iştir.
Sosyal mühendislik iki düzey üzerine kurulmuştur: Biri fiziksel diğeri ise psikolıjitir. İlk olarak, bir saldırı için fiziksel ataklara değinelim: çalışma yerleri, telefonlar, çöpler ve tüm çevirim içi olan her şey. Çalışma yerlerinde hacker kolaylıkla kapıdan içeri girip yürüyebilir, tıpkı film gibi Vebakım çalışması yapacak biri gibiyada organisazyona başarı ile giren bir danışman gibi davranabilir. Sonra davetsiz misafir ofiste kurumla yürüyüş boyunca; daha sonra gece evinden zarar verebilmek için yetecek kadar bilgi ile bina etrafında yatar ve binadan çıkar ta ki giriş için izin bilgilerini elde edene kadar giriş izni alabilmek için diğer bir yöntem ise sadece ayakta durmak ve çalışanların şifrelerini açıkça girdiklerini izlemektir.
TELEFON İLE SOSYAL MÜHENDİSLİK
En etkili sosyal mühendislik ataklarından biride telefon aracılığı ile yapılır. Bir hacker sizi arayabilir ve yetkili biri gibi davranabilir ve yavaş yavaş kullanıcı bilgilerinizi öğrenebilir. Özellikle yardım masaları bu tarz ataklara yatkındır.
Şimdi iyi bir örneğe bakalım : Gecenin bir yarısı sizi arayabilirler:
H: ‘Son altı saat içinde Mısırı aradınız mı? ’
K: ‘Hayır’
H: ‘Sizin kartınız ile Mısıra yapılmış bir arama bulunmaktadır. Bir sorununuz var ve $2000 borçlu gözüküyorsunuz.’
H:‘Mesleğimi göz önünde bulundururum ki sizi bu borçtan kurtarabilirim. Yalnız bana PIN ve kart numaranızı söylemeniz gerekmektedir. Daha sonra sizi bu borçtan kurtaracağım’
(H: Sosyal mühendislik yapan kişi, K: Sosyal mühendisliğe maruz kalan kişi)
Yardım masaları genellikle bu işe eğilimlidirler. Çünkü onlar yardım için ordalar , gerçekte yasal olmayan bilgileri öğrenmeye çalışan kişiler tarafından istismar edilebilir. Yardım masası çalışanları güler yüzlü ve bilgi vermek için eğitilirler. Bu nedenle sosyal mühendislik için altın bir fırsattır. Yardım masası çalışanların çoğu güvenlik için çok az eğitilmişlerdir. Yardım masası çalışanları daha çok sorulan soruları cevaplamaya ve bir sonraki telefona geçmeye eğilimlidirler.Bu da çok büyük bir güvenlik açığı oluşturmaktadır.
Canlı bir Bilgisayar Güvenlik Enstitüsü gösterisinin kolaylaştırılmış, zekice tanımlanmış yardım masası sömürüsü bir telefon şirketini araması ve yardım masasına ulaşmasıyla başlar.
H: Bu geceki nöbetçi idareniniz kim?
K: Betty.
H: Betty ile görüşebilir miyim?
H: (transfer ediliyor) Merhaba Betty, İyi günler dilerim. Sisteminiz neden çalışmıyor?
K: Çalışmıyor mu? Gayet iyi durumda.
H: Daha iyi olması için oturumu kapatın
K: ( Oturumu kapatıyor )
H: Tekrar oturumu açın.
K: ( Oturumu açıyor )
H: Daha bir bip sesi göremedik, bir değişiklik göremedik. Yeniden oturum kapatır mısınız?
K: ( Oturumu kapatıyor )
H: Betty, senin ID ile ne olacağını anlamak için, senin bilgilerinle giriş yapmam gerekiyor. Şifreni ve ID numaranı verirmisin?
Böylelikle şifreyi ve ID yi öğreniyor. Zekice…
(H: Sosyal mühendislik yapan kişi, K: Sosyal mühendisliğe maruz kalan kişi)
Telefon konusunda yapılan bir değişimde telefon ödemeleri yada ATM dir. Hackerlar gerçekte surf yaparlar ve bu yolla PIN ve kredi kartı numaralarını bu yolla elde ederler. (Büyük bir İngiliz hava alanında çalışan bir arkadaşımın başına geldi). İnsanlar daima telefon gişelerinde ayakta dururlar, bu nedenle bu tarz yerler de daha dikkatli olunması gereken yerlerdir.
ÇÖPLERİ BOŞALTMA (Dumpster Diving)
Çöpleri boşaltmak, çer çöpü temizlemek olarak ta bilinir be başka bir sosyal mühendislik metodudur bilgilerin büyük bir çoğunluğu, şirketin çöplerinden toplanmıştır The LAN Times, çöpünüzde bulunan potansiyel güvenlik tehlikelerini şöyle sıralamaktadır: "şirket telefon rehberi, kısa notlar, şirketin idari politika bilgileri, olaylar ve tatil izinleri, sistem işleyiş şekilleri, hassas veriler yada giriş isim ve şifreleri çıktıları, kaynak kod çıktıları, diskler ve bantlar, şirket mektupları ve kısa formlarve eskimiş donanımlar"
Bu kaynaklar hacker lar için zengin bilgi damarlarıdır. Telefon rehberleri hackerlara canlandırılacak yada hedefteki insanların telefon numaralarını ve isimlerini verir. Organizasyon grafikleri organisazyonda ki yetkili posizyon daki kişiler hakkında bilgiler içerir. Küçük notlar giriş oluşturmak için cazip ve ilginç ufak bilgiler içerir. Takvimler çok önemlidir,hangi işçinin ne zaman işyeri dışında olacağını belirtir. Sistem el kitapları, hassas bilgiler ve diğer teknik bilgi kaynakları hackırlaraağa izinsiz girebilmek için gerekli bilgileri verebilir. Son olarak, eski donanımlar özellikle hard diskler yeniden onarılıptüm kullanışlı bilgiler elde edilebilir.
İKNA ETME
Hackerlar kendi kendilerine ataklarda psikolojik bir etki kurabilmek için sosyal mühendislik ile nasıl mükemmelbir psikolojik etki oluşturabileceklerini çalışırlar. İkna edebilmenin basit yolları: taklit etme, kendini sevdirme, riayet etme, sorumluluk yayma ve sade bir arkadaş olarak görünebilmektir. Her şeye rağmen bu metotların kullanımının ana konusu insanların gizlice bilgilerini öğrenebilmek için inandırıcı olmaktır. Bu sosyal mühendisliktir.
Taklit etme genel olarak bazı karakterleri oluşturup, onların rollerini oynamaktır. En basit rol en iyisidir. Bazen bizi sizi arayıp ‘Ben MIS den John, şifrenize ihtiyacım var’ diyebilir. Fakat bu her zaman çalışmaz. Bir yandan hacker lar organizasyon daki gerçek bir bireyi çalışırlar ve o kişi yerine telefon edbilmek için o kişinin binadan çıkmasını beklerler. Bir hacker yaygın objeleri yazar, konuşma esnasında sesleerini gizlemek için küçük kutular kullanır ve konuşma biçimlerini, organizsayon tablosuna çalışır. Bence bu çok az inandırıcı bir ataktır. Çünkü çok fazla hazırlık ister. Ama yinede yapılmaktadır.
Taklit etme yönteminde kullanılan en yaygın rollar şunlardır: tamircilik, IT başkanı, yönetici, güvenli bir 3. parti elemanı (Örneğin başkanın yetkili asistanı sizi arıyor ve bşkanın gerekli bilgileri teyit ettirmek istediğini söylüyor) ve herhangi bir şirket elemanı. Büyük bir şirkette bunları kullanmak zor değildir çünkü herkesi tanıyamazlar. ID ler fake edilebilir. Bir çok çalışan patronlarına kendilerini sevdirmek ister bu nedenlede, kariyer sahibi birinin ihtiyaçlarını sağlamakiçin çok çalışırlar.
Riayet gruba dayalıdır. Fakat, inandırıcı bir kişiile tek başında kullanılabilir. Bu kullanıcılar hacker lara aynı gerekli bilgileri verir. Örneğin hacker IT yönetici rolünü oynuyorsa.
Şüphesiz sosyal mühendisik ile en iyi bilgi edinme yolundan biride arkadaş canlısı olmaktır. Buradaki anafikir telefonda meslektaşlarına inandırıcı olabilmek ve yardım istemektir. Bu nedenle hacker ihtiyaç duyduğu tek şey inandırıcı olabilmektir. Öte yandan bir çok çaşılan telefonlara cevap vermektedirler özelliklede bayanlar.
Bazen bir gülümseme, kibar bir teşekkür yada ‘kafam karıştı bana yardım edebilir misiz?’ cümlesi size çok yardımcı olacaktır.
ON-LINE SOSYAL MÜHENDİSLİK
İnternet aradığımız şifreleri sosyal mühendisilik ile elde etmek için verimli bir alandır. Bir çok kullanıcının yaptığı başlıca hata aynı şifreyi bir çok account ta kullanmasıdır: gmail, yahoo vs. . Bir hacker bir kullanıcının şifresini elde ettiği zaman onu bir çok accountta dener.Hacker ın bunu yapmasının bir yolu on-line forumlardır. Mesela hackerlar bazı para kazandıran kumar bilgilerini bu form ile gönderir ve kullanıcıdan isim ve şifre yazmasını ister.(email adresi içeren, keza şifrede) Bu formlar mail ile gönderilir. Mail iyi bir görünüm verir ve para kazandıran kumar da kanuni bir yatırım gibi görünür.
Diğer bir yöntemde hacker network admini gibi görünür ve size networkten bir şifre gönderip şifrenizi sorar. Bu tarz sosyal mühendislik atakları genelde çalışmaz. Kullanıcılar on-line iken hackerdan haberdardır. Ama genelde not bırakırlar. Ayrıca hacker larnetworkun bir kısmına benzeyen, şifre ve kullanıcı adınızı girmenizi istiyen pop-up pencereleri kurabilirler. Şu noktaya da değinelim, bir çok kullanıcı temiz bir text ile şifresini göndermez. Fakat nadiren sistem adminlerin güvenlik ölçümünün geri kalanına sahiptir. Daha iyisi, bazen sistem adminleri kullanıcılarını şifrelerini gizlemeleri, diğer bir yandan yüz yüze güvenilir ve yetkili bir çalışanla konuşma yapmaları konusunda uyarıda bulunmaktadır.
Ayrıce e-mail bir sisteme başarı ile girebilmek için direkt bir yoldur. Örneğin, yetkili kişinin mail e yaptığı eklentilerde virüs, worm, trojan atı bulunur. Buna en iyi örnek VIGILANT tarafından dokumantasyonedilen AOL hackidir: “Öyleyse bir hacker kendini AOL teknik destekleyicisi gibi tanır, bir saat kurbanla konuşur. Konuşma esnasında kendisini satışta olan çok ucuz bir arabası oldugunu söyler. Kurbanın ilgisini çeker ve hacker araba resminin olduğu bir e-mail gönderir. Araba resmi yerine mail bir backdoor exploit çalıştırmaktadır. Bu exploit AOL dışından firewall arasından bir bağlantı kurmaktadır ”
TERS MÜHENDİSLİĞİ
Son olarak, yasadışı bilgi edinme için daha gelişmiş kazanç metotlarından biri ‘ters sosyal mühendisliği’ olarak bilinir. Bu, hacker yetkili bir kişinin karakterterini oluşturduğu zaman olur. Bu nedenle işçiler diğer yoldan ziyade ona bazı bilgiler için soru sorarlar. Şayet inceden inceye araştırılıp, planlanır ve iyi çalışılırsa, ters sosyal mühendislik atakları belki hacker a işçilerden daha şansla değerli verileri elde etmek için gösterilebilir. Fakat bu istek çok büyük hazırlık, araştırma ve ön hack için kürek çekmektir.
Rick Nelson’un raporuna göre ters sosyal mühendisliği üç kısımdan oluşmuştur: sabotaj yapmak, reklam yapmak ve yardım etmektir. Hacker lar bir networku sabote ederken bir problem artışı olabilir. Hacker sabit problem ile uygun iletişime geçer ve o çalışanlardan kesin bilgileri ister ve gerçekte elde etmek için geldiği şeyi elde eder. Onlar bilir ki aslında o kişi hacker dır. Çünkü diğer müşterilerinin network sisteminden bir sorunları yoktur ve mutludurlar.
SONUÇ
Elbette ki, hiçbir sosyal mühendislik ile ilgili makale Kevin Mitnick in anmadan bitirilmez: Bir makaleden alınmış yazı ile sonuçlandıralım.”Sizler servislere ve teknolojiye bir servet harcayabilirsiniz.. Sizin ağ teknolojiniz hala eskiye karşı savunmasız kalabilir-şekillendirilmiş idare”
----------------------------------------------------------------------------------------------------------------
1. Seneryo: Hacker: Alo, iyi günler. Ben bilgi işlem bölümünden arıyorum. Sizin bilgisayarınızda bir sorun olduğu görünüyor. Sorunu çözmek için de yardımınıza ihtiyacımız var..
Kullanıcı: Aaa öylemi? Peki nasıl yardımcı olabilirim?
Hacker: Lütfen kullanıcı isminizi ve şifrenizi söyler misiniz?
Kullanıcı: Tabii, kullanıcı ismim X, şifrem de 12345.
2. Seneryo:
Hacker: İyi günler. Ben X internet hizmetlerinden (Superonline, Turk.net, E-kolay.net...) arıyorum. Bilgi işlem yetkilisiyle görüşebilir miyim?
Yetkili: Ben bilgi işlem şefi X X, Buyurun...
Hacker: X Bey bildiğiniz gibi son zamanlarda hızla artan virusler internet ve ağ güvenliğini ciddi bir şekilde tehdit eder hale geldi. Biz de bu tehlikeden hem kendimizi hem de siz müşterilerimizi korumak istiyoruz. Bu amaçla e-posta yoluyla gelen virüslere karşı bir önlem olarak, tüm müşterilerimizin e-postalarını taramak istiyoruz. Kesinlikle e-postaların içeriğine bakılmayacak ve bu hizmet için ekstra ücret istenmeyecektir. Bu konuda sizin fikrinizi almak istiyoruz.
Yetkili: Gerçekten çok güzel bir olay. Tabii ki biz de bu hizmetten yararlanmak isteriz..
Hacker: Güzel, X Bey öncelikle bizdeki bilgilerinizi doğrulamak için lütfen şu sorulara cevap veriniz. Doğum yeriniz, doğum tarihiniz ve annenizin kızlık soyadı?
Yetkili: X, XX.XX.XXXX, X
Hacker: Tamam, kullanıcı isminiz ve şifreniz?
Yetkili: X, X.
3. Senaryo:
Hacker: Alo, iyi günler. Ben şirketin reklam bölümünde bugün işe başladım. Bilgisayara girebilmem için bir kullanıcı ismine ve şifreye ihtiyacım var. Bana yardımcı olabilirmisiniz?
Yetkili: Tabii, adınızı söyler misiniz?
Hacker: X X.
Yetkili: Peki X Hanım, kullanıcı isminiz X, şifrenizde X
Yukarıda anlatılan hayali senaryolar, aslında günlük hayatta sıkça karşılaşılan Sosyal Mühendislik yöntemlerini göstermektedir. Sosyal Mühendislik hacker'lar arasında sıkça kullanılan bir terimdir. Genellikle
telefon görüşmesi vasıtasıyla, kullanıcının zafiyetinden yararlanarak şifreleri, kullanıcı isimlerini ya da önemli bilgileri almak için kullanılan bir yöntemdir.
Sosyal Mühendislik yöntemi, çabuk sonuca ***ürmesi, hızlı ve basit olması nedeniyle hacker'lar tarafından sıkça kullanılır. Gelmiş geçmiş en iyi ve en ünlü hacker'lardan biri olarak kabul edilen Kevin Mitnick'in
de bir Sosyal Mühendislik dehası olduğu söylenir. Hatta Mitnick'in girdiği sistemlerin % 85'ine Sosyal Mühendislik yöntemleriyle ulaştığı bilinir. Mitnick'in yakalanmasında başrol oynayan ünlü güvenlik
uzmanı Tsutomu Shimomura, Kevin Mitnick ile girdiği mücadeleyi anlattığı "Takedown" adlı eserinde Mitnick'in bu yönüne işaret etmektedir. (TAKEDOWN). Mitnick, hapisten çıktıktan
sonra yazdığı "The Art of Deception: Controlling the Human Element of Security" adlı kitabında, Sosyal Mühendisliğin sırlarını anlatmış ve yazdığı pek çok hayali senaryolarla güvenlikte insan faktörünün ne denli önemli olduğunu vurgulamıştır.
Hacker Sosyal Mühendislik yöntemine başvurmadan önce şirket hakkında kısa bir araştırma yapmak zorundadır. Şirketin ne üzerine çalıştığını, bölümlerini ve yapısını bilmelidir. Aksi halde hiç reklam bölümü
olmayan bir şirketi arayıp, "Bugün reklam bölümünde işe başladım, bilgisayara girmek için kullanıcı ismine ve şifreye ihtiyacım var." derse, başaramayacağı ve üstüne hakaretler yiyeceği de kesindir.
Sosyal Mühendislik yöntemleri üzerine yapılan araştırmalar, bu konuda kadın sesinin her zaman erkek sesinden daha şanslı olduğunu ve karşıdaki kişininde daha çabuk etkilendiğini göstermiştir. Bu yüzden Sosyal Mühendislik yöntemini kullanacak olan hacker, genellikle kız arkadaşlarından yardım alır (tabii kendisi kız değilse). Bu konuda kimseden yardım almak istemeyenler ise kendi seslerini "voice changer" denilen cihaz ve programlarla kadın sesine dönüştürürler. Nitekim bu ses dönüştürme işi, iyi bir ses kartı, hoparlör ve bir mikrofonla kolaylıkla yapılabilir.
Önlemler
Kullanıcılarınızı Eğitin: Sosyal Mühendisliğe karşı alınacak en iyi tedbir, kullanıcıları eğitmekten geçer. Bu eğitime en alt kademedeki kullanıcıdan, en üst kademedeki kullanıcıya kadar herkes katılmalıdır.
Hacker'ların kullandığı bu yöntem her yönüyle anlatılmalı, örnekler verilmeli ve kullanıcılar bilinçlendirilmelidir. Telefonda arayan hiç kimseye karşıdaki kişiyi tam olarak tanımadıkça şifrelerin ve önemli bilgilerin verilmeyeceği belirtilmelidir. Büyük şirketlerde "help des" denilen bölümler vardır. Bu bölümleri arayıp bazı bilgileri öğrenmek amacıyla sözde yardım isteyen kişilere gerekli sorular sorulmalı, kimlik tespiti işlemi tam olarak gerçekleştirilmelidir.
----------------------------------------------------------------------------------------------------------------
Türkiye'nin En Büyük Sosyal Mühendisi
Daha Sonra ‘dolandırıcılar kralı sülün Osman’ adını alacak olan Osman ziya sülün, 1923 yılında fatih’te bir memur ****** olarak dünyaya geldi. ilk işini 1948 yılında fatih’te yeni tuttuğu evin sahibini dolandırarak yaptı. mesleğin inceliklerini kum kapılı bir rum olan aleko’dan öğrendi. en iyi işlerini 50 ve 60’lı yıllarda tuttu. tramvay, galata kulesi, kent meydanlarındaki saatler, şehir hatları vapurları gibi kamu mallarını saf vatandaşlara ‘satarak’ yada ‘kiraya vererek’ efsane haline geldi. galata köprüsü’nü satmak üzereyken tesadüfen yakalanmıştı. soyadı ‘sülün’, 1952 yılında bir meydan saatini satarken yakalandıktan sonra lakabı oldu. ona ilişkin son bilgi 1984 yılının temmuz ayında Beyoğlu’nda sürekli kaldığı otelde bir kalp spazmı geçirdiği yönünde. polisin tahminine göre sülün Osman bir yerde ölüp kaldı ve kimlik taşımadığı için de kimsesizler mezarlığına gömüldü.
Galata köprüsünü pazarlayan adam budur.Büyük paralar Kazanmıştır
Bir de çok taktik adamıymış, yankesici misali değil planlı ve organize suçlar işliyormuş. Yani adamımız tam bir sosyal mühendis usulü dolandırıcılık yapıyormuş.
23 ocak 1961’de Zeytinburnu’nda kumar oynarken yakalanmıştır.
Sülün Osman’ın özelliği ava gidenleri avlamaktır.
Şöyleki;
Çünkü asıl kötü niyetli olan kişiler sülün Osman mağdurlarıdır.
İzmir saat kulesini yada dolmabahçe saat kulesini kapatıp her saate bakandan para almak,boğaz köprüsünün gelirine bilmem kaç liraya sahip olmak isteyen bir insanın iyi niyetli olduğu söylenemez
Bu insanları bulup da paralarını aldığı için sülün Osman’ın da "saf insanları kandırdığı".söylenemez.Yani aslında Böyle bencil insanları dolandırdığı için de pek kızmamak lazım.
Galata Köprüsünü,Beyazıt Kulesini daha pek çok şeyi satarak nam yapan meşhur dolandırıcı Sülün Osman..Muhtemelen yanındaki ailesi ama tabii bunda da bir üçkağıt olabilir
Elektrikli tramvay (İstanbul’daki eski tramvay) ,galata kulesi, boğaz köprüsü ,galata köprüsü bu amcanın(MÜHENDİS) sattığı ürünlerdir.Polis kayıtlarına geçmiş, hakkında kitap yazılmış ilginç bir karakterdir.
Sadece gayrimenkul değil menkul satışında da mühim başarılara imza atmış olan sülün Osman’nın zamanında dolmabahce önünde demirlemiş bulunan amerikan 6.filosu’na ait bir uçak gemisini sattığı da rivayet edilmektedir.
Bir savaş gemisini satın alan adam neden böyle bir şeye ihtiyaç duyar?
Dediğimiz gibi; Sülün Osman’ın özelliği ava gidenleri avlamaktır
Ünlü yazar ve bilgin Aziz Nesin’in esinlenip fil Hamdi karakterini yarattığı eski dolandırıcı
Kendisine ‘oğlum, galata kulesi’ni satmaya utanmadın mı’ diye soran Komisere, ‘komiserim, bu memlekette galata kulesi’ni satın alacak eşek olduğu sürece ben bu kuleyi satarım, hiç kusura bakmayın’ diyen ve pek de haklı olan dolandırıcı.
BİR cezaevinde "Alınteri ile yaşamak" konulu konferans da vermiştir ki akıllara zarar bir vakadır. (Belki de Hapis’e girdiği sıralarda tövbe etmiştir)
Müjdat Gezen’in anlattığına göre bir keresinde de taksim parkının girişine bir paspas atmış, bir de sandalye koyup kurulmuş. Gelenden gecenden giriş parası alıyormuş. Ama tabi herkesten istemiyor, Kimin verip kimin tersleyeceğini biliyormuş. Sonra biri sikayet etmiş de yakalanmış. Çok sayıda içeri girdikten sonra tövbe etmiş. Tövbesinden sonra Mühendisimiz İzmir de ortaya çıkmış Bir gün İzmir saat kulesinin önünde beklerken de biri gelip "Dayı şu saat satılık mı ?diye Sormuş O da "lem tövbe ettim s…. gidin başımdan" diye terslemiş.
Osman sülün bize şu atasözünü hatırlatmıştır.Her malın alıcısı çıkar
Mühendisimizin hakkında sadece kitap değil.Filmlere bile konu olmuştur.1982 yapımıEn büyük Şaban adlı filmde ‘’Boğaz içi köprüsü satan adam’’ kahramanımızı Hikmet Karagöz Canlandırmıştır.
----------------------------------------------------------------------------------------------------------------
SosyaL Mühendislik : Çoğunuzun mail kutusuna hergün onlarca tanımadığınız insandan değişik taleplerde bulunan mailler geliyordur.Mesela "Çekilişte 100$ kazandınız,Kampanyamızdan bedava tatil kazandınız...vs" bunlar acaba gerçekmi yoksa sadece basit bir oyunun kağıtlarımı ?
İşte Social Engineering(Sosyal mühendislik) burada başlar.Kısaca insanları aldatarak kişisel bilgilerine veya direk şifrelerine ulaşma yöntemidir.Çok basit bir yöntem olmasına rağmen en etkili ve en çok kullanılan yöntemlerden biridir.
Dünya’nın en tanınmış hackerlarından biri olan Kevin Mitnick’in büyük bir sosyal mühendis olduğunu biliyormuydunuz ?Kevin kendi kitabında (Aldatma Sanatı) dünyanın büyük bankalarına , kamu kuruluşlarına , büyük şirketlerin hesaplarına bir kaç telefon görüşmesiyle ulaşılabileceğini anlatmış.Peki nasıl yapılıyor bu ?
Sosyal Mühendisliği temelde 2 ye ayırabiliriz.İnsan kaynaklı ve bilgisayar kaynaklı olarak.2 yöntemdede temelde aynı şey yapılabilir.Mesela bir x şirketindeki y kullanıcının hesap bilgilerine ulaşmak istiyoruz.İlk yapacağımız şey x bankasına kayıtlı y kullanıcısına bir şekilde ulaşmak çünkü işimiz aldatmak.y kullanıcısına ulaştıktan sonra ona biz sizin hesabınıza ulaşmak istiyoruz lütfen verin demiyeceğiz bu yüzden sosyal mühendisliğe başvurmamız gerekecek.Mesela önce y kullanıcısını arayıp
-Merhaba,biz x bankasının müşteri temsilcisiyiz hesaplardaki bir karışıklık nedeniyle bilgilerinizi doğrulamanız gerekmektedir.
deriz.Fakat burada alacağımız bilgiler y kişisinin direk bankayla alakalı bilgileri olmamalıdır çünkü hiçbir banka bu bilgileri istemez buda sizi eleverir.Şimdi y kullanıcısının hesap kayıt tarihi son giriş tarihi hesap numarası gibi bilgilerini öğrendik bundan sonrasıyla y kullanıcısyla işimiz olmuyacak.Yapacağımız işlem x bankasını aramak olacaktır.
-Merhaba ben x,bankanıza şu hesaplı kullanıcısıyım,en son girişim şu tarihtedir ve banka hesabıma giremiyorum...
ve gerisi gelecektir.(yukardaki örnekle kimseyi kandıramazsınız işin mantığını anlatmak için böyle bir örnek verdim.Gerçekte yapılan diyaloglar daha profosyonel ve daha tekniktir bunun için mesela bir banka hesabıyla uğraşıyorsanız bankacılıkla ilgili bayağı bir birikime sahip olmanız gerekmektedir.)
Yazının başında "Çekilişten şu kadar para kazandınız" diye bir örnek vermiştim.Şimdi bunu inceliyelim.Eğer böyle bir mail aldıysanız incelemişsinizdir.Size şu kadar para kazandınız şu tarihte bu parayı alabilmeniz için bir kontrol yapmamız lazım lütfen şu şu bilgileri vererek şu maile aşağıdaki onay koduyla birlikte yollayınız.Bunun hakkında bilgisi olmayan biri şöyle düşünür
-aaaa acaip para kazanmışım.Dur bi dakka ya belki sahtedir dur bakayım ne istiyorlar "isim,soyisim,adres,kullandığım geçerli mail,doğduğum şehir" e bu bilgileri versem ne olur vermesem ne olur en iyisi göndereyim bakarsın parayı alırım.
Gönderir ve birkaç gün sonra aklına birşey gelir.
-Benim mailin gizli sorusu Doğum yerim değilmiydi ?!!!
Ve mailini kaptırır.
Daha büyük bir örnek verelim.Dünyada yüzlerce şirket var ve çoğu birbiriyle rekabet içinde yapılan basit hatalar bile milyonlarca dolar kaybına yolaçabilir.Bu şirketler nasıl birbirine üstünlük sağlayabilir.En basidinden eğer ben rakip şirket hakkında bazı yeni bilgilere ulaşabilirsem ne yapacaklarını görürüm ve ben bir adım öne geçmek için hamle yapabilirim tıpkı satranç oyunu gibi.Rakibin ne yapacağını önceden kestirmek.Tabi biz kestirmeyl zaman harcayamayız bunun için sosyal mühendisliğe başvurarak karşı şirketin teknik elemanını "tuş" edebiliriz.
Müşteri(Sosyal Mühendis):Merhaba,ben sizin firmanızın çıkardığı şu ürünü almak istiyorum şu özelliği çok iyi fakat geliştirilmesi lazım bu yüzden piyasadaki diğer ürünleri cazip görüyorum.Bir müşteri olarak size bu şikayetimi bildirmek istedim.
Sazan Teknik Eleman:Efenim,Firmamız kendini sürekli geliştirmekte ve şuanda piyasadaki tüm diğer rakiplerine nazaran en iyi teknolojiyi sunmakta.Bahsettiğiniz ürün için daha yeni teknolojiler üretmekteyiz bu sayede gene öncü olacağımızı söyleyebilirim.
Müşteri(Sosyal Mühendis):Ne gibi yenilikler yapmayı planlıyorsunuz.yani ben bir müşteri olarak önceden bilmek isterim çünkü şu ürünü eğer daha iyisi olmayacaksa şu firmadan almayı düşünüyorum.
Sazan Teknik Eleman:Efenim,şu ürünümüzün şu özelliği dünyada ilkkez geliştirilmiş şu teknoloji sayesinde size şunu sunacaktır.Rakiplerimiz hala eski teknolojiyle boğuşurken biz ilkkez bunu piyasaya sürerek siz müşterilerimizi memnun etmeyi planlıyoruz.
...
Devam edecek...
Peki sosyal mühendislik saldırılarına karşı nasıl korunabiliriz ?
Bunun için Komiser Güven ŞEKER’in bu konu hakkında yazdığı yazıyı inceleyebiliriz
Sosyal Mühendislere Karşı Savunmayı Arttırma
Davetsiz misafirler yada sistem kırıcılar (hackers) sürekli olarak değişik taktikleri de kullanarak bilgisayar sistemlerine yönelik yasal olmayan şekilde erişmeye çalışırlar. Kurumlar da bu tehlikeye karşı ağlarını (network) korumak için daha fazla zaman ve para harcarlar. Daha çok, yapılan harcamalar teknolojik güvenlik önlemleridir; sistem yükseltmeleri,güvenlik sistem paketleri, en son teknoloji kripto sistemleri gibi. Fakat yeni bir yol olan sosyal mühendislik bu önlemleri önemsemeden yasal olmayan uygulamalarına devam etmektedir.Bu tip saldırılara karşı kurumların savunmaları için iyi politikalara sahip olmaları gerekmektedir. Tabi ki bu durumda en iyi savunma eğitimdir. Günümüzün güvenlik uzmanları sürekli bir değişmez mücadele içerisinde, son teknolojik değişimlere ayak uyduran ama bunun her zaman sistem kırıcıların (hacker) ve script şakacılarının (script kiddes) bir adım önünde yapan kişilerdir. Yayınlanan güvenlik bültenlerinde güvenlik açıkları, yeni zayıf noktalara yönelik bilgilendirmeleri, yeni yamaları, onarımları, yeni güvenlik ürünlerini, güvenlik uzmanları takip etse de yeni standart, ürünlerin standartdını sağlama açısından takip etme çok fazla zaman ve imkan gerektirmektedir. Sosyal mühendisler, güvenlik zincirinin en zayıf yerindeki, karmaşık güvenlik araçlarının bir yere toplanarak kullanımı ile çalışan insan aracına farklı yollardan giderler.
Dünyada hiçbir bilgisayar sistemi yoktur ki; insanı merkeze almasın. Bunun anlamı güvenlik zayıflıkları programların, platformun, ağın (network) yada donanımların bağımsızlığı ile ilgili olmayan evrensel bir şeydir. Bütün bilgisayar güvenlik sistemleri fonksiyonlarında insanî aracılık sistemleri gerektirir. İnsan aracı üzerine odaklanan bir sistem içinde hiçbir bilgisayar güvenlik sisteminin sosyal mühendisliğe karşı bağışıklığı temin edilemez. Sosyal mühendislerin hangi sömürü metotlarını kullandıkları, nasıl çeşitli şekilde kişilik özelliklerini değiştirerek başarılı bir sosyal mühendislik yaptıkları aşağıda belirtilecektir. Nitekim bu metotlar kullanılarak kişisel özellikleri de artırmak mümkündür, böylelikle daha başka yeni metotlarda geliştirilebilecektir.
Sorumluluğun yayılımı : Eğer hedefe onların kendi hareketlerinden sadece sorumlu olmadıklarına inandırılırsa, sosyal mühendisin ricasına uygun hareket ederler. Sosyal mühendisler çeşitli faktörlerin de yardımı ile oluşturdukları durumda, kişisel sorumluluk konusunu şaşırtma ile o kadar sulandırırlar ki bir karar vermeye zorlarlar. Sosyal mühendisler karar verme sürecinde diğer çalışanların isimlerini kullanırlar, ya da yüksek seviyeden yetkilendirilmiş bir eylem olduğunu diğer bir çalışanın ağzı ile, iddia ederler.
Göze girme şansı: Hedef eğer bir rica ile razı olan birisi ise, başarılı olma şansı yüksektir. Bir rakip olarak onu yönlendirmede bu çok büyük bir avantaj sağlar, ya da bilinmeyene göre yardım verir, sıcak bayan sesini kullanarak telefon aracılığı ile iletişime girerler. Sistem kırıcıları (hackers) topluluğuna teknoloji ile içli dışlı insanlar olarak toplumsal ilişkilerde çoğu zaman beceriksiz insanlar topluluğu olarak bakılır. Nitekim bu kanı da doğrudur. Sosyal mühendisler etkilemenin yüksek hiçbir formunu kullanmadan bilgi elde ederler.
İlişkilere Güvenmek: Çoğu zaman, sosyal mühendisler belirledikleri kurban ile iyi güvenilir bir ilişki için beklerler ve o zaman bu güveni sömürürler. Bunu takip eden zamanlarda ufak küçük etkileşimlerle ilişkiye girer ve doğal seyir içinde problem ortaya çıkar ve sosyal mühendis büyük hamlesini yapar. Böylece karşı taraftan şans verilmiş olur.
Ahlâkî görev: Hedefi dışarıdan ahlaksal olarak davranmaya cesaretlendirmek ya da başarı şansı için ahlaki hareket arttırmayı sağlamak. Bu durum için hedef olan kişi ya da organizasyondan bilgilerin sömürülerek alınmasını gerektiren bir iştir. Hedef eğer karşıdakine uymanın yanlış olduğuna inanırsa karşıdakini sorgulamanın hoş olmadığını hissederse, başarı şansı artmış demektir.
Suçluluk: Eğer mümkünse çoğu insan suçluluk hissinde olmaktan sakınır. Sosyal mühendisler çoğu zaman, psikodrama üstatlarıdır. Öyle bir mizansen hazırlarlar ki insanın yüreği cız eder, empati ve duygudaşlık meydana getirirler. Eğer suçluluk duygusunu ortadan kaldıracak bir bağışta bulunurlarsa hedef bundan çok fazla memnun olacaktır. Rica edilen bilginin yerine getirilmeyeceğine inanarak, belirleyici problemlerin rica eden kişi tarafından sık sık yeterli ağırlıkta tartılıp denge içinde iyilik olsun diye yapılmasını sağlarlar.
Künye: Sosyal mühendisin hüneri ile daha çok hedef tanımlanır ve bilgiye erişilir. Sosyal mühendisler iletişim anında daha çok zekice bir araya getirilmiş öncelikli, temelli girişimlerle bağlantı kurmaya çalışırlar.
Faydalı olmaya istekli olmak: Sosyal mühendisler diğer insanlara yardım etmeden zevk alanlara güvenerek eylemlerini yürütürler. Kahramanımız karşı kişiden ya bir giriş hakkı ister ya da bir hesaba giriş için yardım etmesini ister. Sosyal mühendisler ayrıca birçok bireyin zayıf reddetme düzeyini bilerek ve işin uzmanına danışmanın dayanılmaz cazibesine sırtlarını dayayarak işlerini yaparlar.
Birbirine göre ayarlama: Hedef ile en az çatışma en iyisidir. Sosyal mühendisler genellikle ortamın gerektirdiği ses tonu ile zekice ve sabırlı sunuş yaparlar. Emir gibi, bir şey sipariş eder gibi, sinirli ve baş belası gibi kazanmak adına nadiren çalışırlar. Sosyal mühendis kahramanları genellikle direkt rica edenler, uydurma durum, kişisel ikna gibi kategorileri kullanırlar.
Direkt rica edenler: muhtemelen en basit metottur, ve başarı için en son olan yoldur. Bir işe basitçe girişildiğinde sorulan bilgidir. Direkt rica genellikle meydan okumadır ve genellikle ret edilir. Başarı şansı düşük olduğundan nadiren tercih edilir.
Uydurma durum: bir şey veya bir organizasyonun özelliğine göre elde edilen bilgilerle yapılan üretilen bir durum, bir kriz veya özel bir an ile ilgili olarak bu durumdan faydalanmadır. Kriz durumları anlık yardım içerir, sosyal mühendisler hedefin güvenini arttırıcı durumun gerekliliği ve yardım edilme ile ilgili ortam oluştururlar. Sosyal mühendislerin taktikleri gerçek üzerine kurulu olsa da şunu unutmamak gerekir ki; kahramanlar gerçek tabanlı şeylere ihtiyaç duymaz, sadece ortalama gerekli şeylerle çalışırlar.
Kişisel İkna , Kişisel olarak yardım yapmayı isteyen bununla ilgili istekli insan gibi davranırlar. Amaçları kuvvetli uyum değildir, gönüllü-uyumlu insan anlayışına ulaşmaya çalışmaktır. Birçok bilişim teknolojisi (IT) güvenliğinde çalışan insan gerekli bilgilerden yoksun bulunmaktadır. Bu işle uğraşanlara yönelik bilgi güvenliği farkındalığı programı uygulanmalıdır. Son kullanıcı kılavuzu, güvenlik öngörüleri ve güvenlik bilgileri olmalıdır. Çalışanların, sosyal mühendis riski ile ilgili eğitimi bu saldırılara karşı kurumların savunma aracıdır. Sosyal mühendisler psikoloji üzerine kurulu ve sosyal hainliklere dayalı yeni hileler ile bizimle paylaşımda bulunurlar (George Stevens:2001). Bu çok özel saldırı metodunun farkındalığında özel süreçlerde eğitim ve çalışma gerektirir
Alıntıdır
