Siber Güvenlikte Saldırı Tipleri: Temel Rehber
Günümüzde teknoloji hayatımızın her alanında aktif bir şekilde kullanılıyor. Eğlence, bankacılık, alışveriş v.b alanlarda neredeyse tüm işlemlerimizi çevrimiçi yapıyoruz. Fakat bu kolaylığın yanında büyük bir riskler geliyor, siber tehditler. Siber tehditler, kurumsal veya bireysel verilerin ele geçirilmesi, sistemleri zarara uğratmak ya da hizmetleri sekteye uğratmak amacıyla gerçekleştirilen kötü niyetli girişimlerdir. Günümüzde bu saldırıların sayısı ve çeşitliliği büyük ölçüde artmaktadır. Özellikle fidye yazılımları (Lockbit, Qilin, Akira v.b), oltalama (phishing) e-postaları gibi saldırılar sıkça gündeme gelmektedir.
Peki bu saldırılar tek tip tek çeşit mi? Elbette hayır. Siber tehditler hedefe yönelik farklı yöntem ve tekniklerle ayrılmaktadır. Bu yazımda siber tehditlerde en çok karşılaşılan saldırı tiplerine genel bir bakış atacağız. Her saldırı türünü bu yazımda kısaca sizlere tanıttıktan sonra, ayrı başlıklar altında bu saldırı türlerini daha detaylı bir şekilde ele alacağız.
Malware (Zararlı Yazılımlar)
Malware, “malicious software”’non kısaltması olarak kullanılır. Bu tarz yazılımlar sistemleri bozar, veri çalar ve cihazı kullanılamaz hale getirebilir.
- Virüsler : Dosyalara, dizinlere bulaşarak yayılır.
- Solucanlar: Ağlar üzerinden sistemde yayılır.
- Truva Atı: Zararsız bir yazılım gibi görünse de arka planda zararlı işlemler yapar.
- Ransomware: Dosyaları şifreler, veriler okunamaz ve erişilemez hale gelir. Çözüm karşılığında genelde para talep edilir.
Phishing (Oltalama)
Yayın bir saldırı yöntemidir. Özellikle kurumsal mail müşterileri hedef alınır. Sahte e- postalar, web siteleri veya virüslü dosyalar maile eklenerek hedef mail adresine iletilir. Popüler olarak “şifrenizi güncelleyin”, “şifre süreniz doluyor” v.b konu başlığında gönderilir.
- Spear Phishing: Belirli kişilere veya kurumlara özel hazırlanmış oltalama.
- Whaling: Üst düzey yöneticileri hedef alan saldırılardır.
DoS ve DDoS Saldırıları
DoS (Denial of Service), saldırıları sistemi aşırı trafik ile doldurup erişilemez hale getirmektir. DDoS (Distributed Denial of Service) ise bu saldırının çok sayıda cihazdan aynı anda yapılmış halidir. Özellikle finans, e-ticaret v.b gibi siteler için kritik sonuçlar ortaya çıkarabilir.
Man-in-the-Middle (Ortadaki Adam)
Bu saldırı tipinde saldırgan, iki taraf arasındaki iletişime sızar. Verileri dinleyip, değiştirebilir veya yönlendirme yapabilir. Genelde halka açık Wi-Fi ağlarında yaygın olarak görülmesi mümkündür. Eğer HTTPS kullanılmıyorsa risk oldukça yüksektir.
Parola Saldırıları
Zayıf ve tahmin edilebilir şifreler en büyük güvenlik açıklarına yol açar. Bu tarz saldırılar brute force, dictionary attack ve credential stuffing olarak adlandırılır.
- Brute Force: Kaba saldırı olarak adlandırılır ve tüm ihtimallerin denenmesidir.
- Dictionary Attack: Önceden hazırlanan parola listelerinin denenmesidir.
- Credential Stuffing: Zafiyetlerden dolayı sızdırılan şifrelerin başka sistemlerde denenmesidir.
Bu saldırılara önlem olarak 2FA,MFA (Çok faktörlü kimlik doğrulama) etkinleştirilirse şifreler ele geçirilmiş olsa bile yapılan saldırıların önüne geçmekte büyük önem taşır.
Uygulama Katman Saldırıları
Web uygulamaları normal sistemlere nazaran dış dünyaya daha çok açık olduğundan saldırganların hedefi halindedir. Bu saldırılardan bir kaçı;
- SQL İnjection: Veri tabanına yetkisiz komutların enjekte olmasına olanak sağlar.
- XSS (Cross-Site Scripting): Javascript, jQuery v.b kodlarında bulunan zafiyetlerden dolayı ortaya çıkan açıktan yararlanılarak kullanıcı tarayıcıları üzerinde zararlı kodlar çalıştırmaya olanak sağlar.
- CSRF (Corss-Site Request Forgery): Kullanıcı farkında olmadan yetkili işlemler yapılabilmesine olanak sağlar.
Zero-Day Exploits
Adından da anlaşılacağı üzere ilgili yazılımlar üzerinde ilk keşfedilen zafiyetlere verilen addır. Üretici firma tarafından tespit edilmemiş ve yama güncellemeleri yapılmamış zafiyetlerin kullanılmasıdır. Bu saldırılar çok tehlikelidir çünkü savunma mekanizması gelişmediğinden sistemler hazırlıksız yakalanır.
Sosyal Mühendislik
Sistemlerden çok insanların zaaflarını hedef alarak zafiyet ortaya çıkarılmasını hedefler. Örnek olarak;
- Bir çalışanın şifre sıfırlama güvenlik sorusu “İlk evcil hayvanının ismi” olduğunu varsayalım, saldırgan kullanıcıdan bu bilgiyi, kullanıcının farkında olmadan elde etmesi,
- Bir çalışana it personeliymiş gibi iletişime geçip telefona gönderilen şifreyi istemek gibi.
Gelişmiş Süreli Tehditler(APT)
APT saldırıları belirli bir hedefe uzun süreli ve gizlice odaklanır. Çoğunlukla devlet desteği verilen gruplar üzerinden yapılır. Amaç bilgi hırsızlığı ve casusluktur.
Siber saldırıların türleri çok çeşitli olsada hepsinin ortak noktası, sistemlerin ve kullanıcıların zafiyetlerinden yararlanmalarıdır. Bu temel rehber, saldırı tiplerine aşina olabilmeniz adına hazırladım. Bu sayede yapılan saldırıların mantalitesini öğrenebilecek ve gerektiği zaman nasıl önlem alabileceğiniz hakkında temel rehber olacaktır. Bir sonraki yazılarda her saldırı tiplerini ayrı ayrı detaylı bir şekilde inceleyeceğiz ve korunma yöntemlerini paylaşacağız.
