Siber Güvenlik Becerileri

"Şirketler güvenlik duvarlarına, şifreleme yöntemlerine ve güvenli erişim cihazlarına milyonlarca dolar harcıyor ancak bu paralar boşa gidiyor; çünkü bu önlemlerin hiçbiri güvenlik zincirindeki en zayıf halkayı ele almıyor: korunan bilgileri içeren bilgisayar sistemlerini kullanan, yöneten, çalıştıran ve bu sistemlerden sorumlu olan insanlar."

- Kevin David Mitnick

Siber güvenlik, geleneksel olarak fiziksel onarımlarla ilişkilendirilmese de, dijital dünyayı ve dijital varlıklarınızı korumak için çok önemlidir. iPhone ekranınızı tamir etmek veya bilgisayarınızın termal macununu değiştirmek nasıl optimum işlevselliği sağlıyorsa, güvenlik açıklarını tanımlamak ve düzeltmek de bir "dijital onarım" olarak kabul edilebilir. Bu sayfa, kullanıcıların çeşitli cihazlar, sistemler ve uygulamalardaki siber güvenlik açıklarını anlamalarına, ele almalarına ve önlemelerine yardımcı olmaya adanmıştır.

• Siber Güvenlik Nedir?
  • Siber güvenlik; dijital sistemleri, ağları ve cihazları hackleme, veri ihlalleri, kötü amaçlı yazılımlar ve kimlik hırsızlığı gibi siber tehditlerden korur.
• Siber Güvenliğin Önemi
  • Siber güvenlik; yetkisiz erişimi önlemek, veri gizliliğini korumak ve güvenli bir çevrimiçi ortam sağlamak için bireyler, işletmeler ve kuruluşlar için temel bir gerekliliktir.

Siber güvenlikte güvenlik açığı; bir sistemde, yazılımda, donanımda veya süreçte kötü niyetli aktörlerin sistemin güvenliğini tehlikeye atmak veya yetkisiz erişim sağlamak için yararlanabileceği bir zayıflığı veya kusuru ifade eder. Güvenlik açıkları, verilerinizi ve sistemlerinizi koruyan dijital zırhtaki zayıflıklar gibi çeşitli biçimlerde var olabilir.

• Potansiyel Etki: Güvenlik açıkları, küçük rahatsızlıklardan ciddi güvenlik ihlallerine kadar değişen etki düzeylerine sahip olabilir. Bazı güvenlik açıkları veri sızıntılarına yol açabilirken, diğerleri bir sistemin veya ağın tamamen ele geçirilmesiyle sonuçlanabilir.
• İstismar: Genellikle hacker veya siber suçlu olarak adlandırılan kötü niyetli aktörler, hedeflerine ulaşmak için aktif olarak güvenlik açıklarını arar ve bunlardan yararlanır. Bu istismar; yetkisiz erişim sağlama, hassas verileri çalma, saldırılar başlatma veya sistem arızalarına neden olma gibi eylemleri içerebilir.
• Risk Azaltma ve Giderme: Siber güvenlik uzmanları ve kuruluşları; yamalama, yazılım güncellemeleri, yapılandırmaları iyileştirme ve güvenlik en iyi uygulamalarını hayata geçirme yoluyla güvenlik açıklarını tanımlamak ve ele almak için aktif olarak çalışır. Bu sürekli süreç, güvenlik açıklarıyla ilişkili riski azaltmak için esastır.

Güvenlik açıkları; yazılım hataları, yanlış yapılandırmalar, tasarım kusurları veya insan hataları şeklinde ortaya çıkabilir. Bunlar, bunlarla sınırlı olmamak üzere, çeşitli türlere ayrılır:

• Yazılım Güvenlik Açıkları: Bunlar; arabellek taşmaları, kod enjeksiyonu ve SQL enjeksiyonu gibi bilgisayar programları veya uygulamalarındaki sorunları içerir.
• Donanım Güvenlik Açıkları: Meltdown ve Spectre gibi mikroişlemcilerdeki güvenlik açıkları gibi fiziksel cihazlardaki veya bileşenlerdeki zayıflıkları ifade eder.
• Ağ Güvenlik Açıkları: Yetkisiz erişim sağlamak veya ağ operasyonlarını aksatmak için yararlanılabilen ağ yapılandırmalarındaki, protokollerindeki veya cihazlarındaki zayıflıkları içerir.

• Açıklama: Sistem yanlış yapılandırması; bir bilgisayar sistemindeki veya ağ altyapısındaki yazılım, donanım veya ağ bileşenlerinin uygunsuz veya hatalı kurulumunu ifade eder. Sistem ayarları, parametreleri veya yapılandırmaları önerilen veya amaçlanan yapılandırmalardan saptığında ortaya çıkar; bu da beklenmedik davranışlara, güvenlik açıklarına veya performans sorunlarına yol açar. Sistem yanlış yapılandırmaları; insan hatalarından, bilgi eksikliğinden, yetersiz testten veya sistemin bağımlılıkları tam olarak anlaşılmadan yapılan değişikliklerden kaynaklanabilir. Sistem yanlış yapılandırmalarını ele almak; bir bilgi işlem ortamının güvenliğini, kararlılığını ve optimum işlevselliğini korumak için çok önemlidir, çünkü bunlar kötü niyetli aktörlerin yararlanabileceği ve sistemin amaçlanan işleyişini bozabileceği güvenlik açıklarını ortaya çıkarabilir.
• Örnek: Bir ağ yönlendiricisinde varsayılan giriş kimlik bilgilerini bırakarak ayarlarına yetkisiz erişime izin vermek.

• Açıklama: Sıfırıncı gün güvenlik açığı; yazılım, donanım veya işletim sisteminde, siber saldırganların satıcının haberi olmadan önce yararlandığı bir güvenlik kusurunu ifade eder. "Sıfırıncı gün" terimi, güvenlik açığının keşfi ile ondan yararlanan ilk saldırı arasındaki sürenin sıfır gün olduğunu belirtir. Satıcının bir çözüm geliştirmek ve yayınlamak için vakti olmadığı için, bu güvenlik açıkları sistemler ve veriler için önemli riskler oluşturur. Sıfırıncı gün güvenlik açıkları; hedefli saldırılar başlatma potansiyelleri nedeniyle siber suçlular ve devlet destekli aktörler tarafından yoğun bir şekilde aranır. Kuruluşlar ve bireyler, potansiyel zararı en aza indirmek için bu güvenlik açıklarını hızla tespit etmek ve azaltmak amacıyla genellikle güvenlik uzmanlarına güvenir. Bir sıfırıncı gün güvenlik açığının keşfi, gelişen tehditlere karşı siber güvenliği korumanın sürekli zorluğunu vurgular.
• Örnek: Bir işletim sisteminde yazılım satıcısının henüz yamalamadığı, yeni keşfedilen bir kusur.

• Açıklama: Eksik veya zayıf yetkilendirme kimlik bilgileri, sistemlerin, uygulamaların veya hizmetlerin kullanıcıları düzgün bir şekilde doğrulamakta ve yetkilendirmekte başarısız olduğu, hassas kaynaklara istenmeyen erişim sağladığı kritik bir güvenlik açığını ifade eder. Yetkilendirme, bir kullanıcının bir sistem içindeki belirli işlevlere veya verilere erişmek için gerekli izinlere sahip olup olmadığının doğrulanmasını içerir. Yetkilendirme kimlik bilgileri eksik veya zayıf olduğunda, saldırganlar yetkisiz giriş sağlamak için bu boşluktan yararlanabilir; bu da gizli verileri, finansal işlemleri veya kritik altyapı üzerindeki kontrolü tehlikeye atabilir. Geçersiz kimlik bilgileri; varsayılan kullanıcı adlarını ve parolaları kullanmayı, kolay tahmin edilebilir kimlik bilgileri kullanmayı veya çok faktörlü kimlik doğrulamayı göz ardı etmeyi kapsayabilir. Kuruluşlar; yetkilendirme mekanizmalarını güçlendirmek, yetkisiz erişimi önlemek, genel güvenlik duruşunu kuvvetlendirmek ve potansiyel ihlallere karşı korunmak için sağlam erişim kontrolleri, şifreleme ve çok faktörlü kimlik doğrulama uygulamalıdır.
• Örnek: Kullanıcıların, uygun doğrulama ve yetkilendirme olmaksızın hassas finansal verilere erişmesine izin vermek.

• Açıklama: SQL enjeksiyonu, siber saldırganların veritabanlarıyla etkileşime giren web uygulamalarındaki güvenlik açıklarını manipüle etmek ve istismar etmek için kullandıkları kötü niyetli bir tekniktir. Bu yöntem, bir web sitesinin veya uygulamanın giriş alanlarına kötü niyetli SQL (Yapılandırılmış Sorgu Dili) kodu eklemeyi ve sistemi istenmeyen veritabanı sorgularını yürütmeye kandırmayı içerir. Bu durum; yetkisiz erişime, veri hırsızlığına, manipülasyona veya veritabanı üzerinde tam kontrole yol açabilir. SQL enjeksiyon saldırıları, zayıf bir şekilde temizlenmiş kullanıcı girişlerini hedef alarak saldırganların kimlik doğrulama mekanizmalarını atlamasını, hassas bilgileri almasını, verileri değiştirmesini veya yönetim komutlarını yürütmesini sağlar. SQL enjeksiyonu risklerini azaltmak için geliştiriciler; saldırganların kötü niyetli kod enjekte etmesini önlemek amacıyla kapsamlı giriş doğrulama, parametreli sorgular ve hazırlanmış ifadeler uygulamalıdır. Düzenli güvenlik değerlendirmeleri ve tanımlanan güvenlik açıklarının hızla yamalanması; web uygulamalarının güvenliğini sağlamak ve hassas verileri potansiyel ihlallerden korumak için çok önemlidir.
• Örnek: Bir veritabanına yetkisiz erişim sağlamak için giriş formuna kötü niyetli SQL kodu girmek.

• Açıklama: Siteler arası betik çalıştırma (XSS), saldırganların zararsız ve güvenilir web sitelerine veya web uygulamalarına kötü niyetli betikler enjekte ettiği bir web güvenliği açığıdır. Bu betikler, daha sonra saldırıya uğrayan siteleri ziyaret eden şüphelenmeyen kullanıcılar tarafından yürütülür; bu da saldırganların hassas bilgileri çalmasına, içeriği manipüle etmesine veya kullanıcı adına eylemler gerçekleştirmesine olanak tanır. XSS saldırıları, bir web uygulaması kullanıcı girişlerini düzgün bir şekilde doğrulayıp temizleyemediğinde meydana gelir ve kötü niyetli kodun kullanıcının tarayıcısında yürütülmesine izin verir. Saklanan (stored), yansıtılan (reflected) ve DOM tabanlı XSS dahil olmak üzere farklı XSS saldırısı türleri vardır ve her biri web uygulamalarının kullanıcı tarafından oluşturulan içeriği nasıl işlediğinin çeşitli yönlerini istismar eder. Geliştiriciler; XSS güvenlik açıklarını azaltmak için giriş doğrulama, çıktı kodlama ve içerik güvenlik politikaları uygulamalıdır. Düzenli güvenlik testleri ve tanımlanan güvenlik açıklarının hızla yamalanması; web uygulamalarının bütünlüğünü korumak ve kullanıcılar için güvenli bir çevrimiçi deneyim sağlamak için çok önemlidir.
• Örnek: Bir web sitesinin yorum bölümüne, kullanıcı giriş kimlik bilgilerini çalan bir betik eklemek.

• Açıklama: Arabellek taşması, bir program veya uygulama bellekteki bir arabelleğe tutabileceğinden daha fazla veri yazmaya çalıştığında ve verileri bitişikteki bellek konumlarına taşırdığında ortaya çıkan kritik bir yazılım güvenlik açığıdır. Saldırganlar, arabelleği taşıran kötü niyetli girdiler oluşturarak ve genellikle bitişikteki bellek bölgelerine zararlı kod enjekte ederek bu güvenlik açığından yararlanır. Bu durum; uzaktan kod yürütmeye, yetkisiz erişime veya sistem çökmelerine neden olabilir. Arabellek taşması güvenlik açıkları, özellikle bellek yönetiminin manuel olduğu C ve C++ gibi dillerde risklidir ve bu da onları hatalı bellek tahsisine karşı savunmasız hale getirir. Arabellek taşmalarını önlemek; titiz bir giriş doğrulama, güvenli kodlama uygulamaları ve uygun bellek yönetimi teknikleri gerektirir. Yazılım sistemlerinin genel güvenliğini artırmak için güvenlik güncellemeleri, yamalar ve düzenli kod denetimleri, arabellek taşması güvenlik açıklarını tanımlamak ve ele almak için çok önemlidir.
• Örnek: Bir yazılım uygulamasında uzaktan kod yürütmeye izin veren yığın tabanlı (stack-based) bir arabellek taşması.

• Açıklama: Eksik güvenlik güncellemeleri; yazılım uygulamalarının, işletim sistemlerinin veya cihazların, bilinen güvenlik açıklarını gidermek için satıcıların sağladığı en son yamalardan ve güncellemelerden yoksun olduğu önemli bir siber güvenlik riskini ifade eder. Yamalanmamış bırakılırsa, kötü niyetli aktörler bu güvenlik açıklarından yararlanarak sistemleri tehlikeye atabilir, hassas verileri çalabilir veya yetkisiz erişim sağlayabilir. Eksik güvenlik güncellemeleri; gözden kaçırma, yamaları uygulamadaki gecikme veya yazılımı düzenli olarak güncelleme ihmalinden kaynaklanabilir. Bu durum, sistemlerin gelişen tehditlere karşı dayanıklı kalmasını sağlamak için güvenlik güncellemelerini hızla kullanmanın önemini vurgular. Yazılımı, işletim sistemlerini ve uygulamaları en son güvenlik yamalarıyla düzenli olarak güncellemek; sağlam bir siber güvenlik duruşunu korumaya ve potansiyel ihlallere karşı korunmaya yardımcı olan temel bir savunma mekanizmasıdır.
• Örnek: Bir işletim sistemini kritik güvenlik yamalarıyla güncellememek, onu bilinen saldırılara karşı savunmasız bırakmak.

Siber güvenlik odaklı işletim sistemleri; sağlam güvenliğe, gelişmiş gizliliğe ve sızma testi desteğine öncelik verir. Örnekler arasında (600'den fazla etik hackleme aracı içeren) Kali Linux ve (güvenlik odaklı performans ve anonimlik sağlayan) Parrot Security OS bulunur. Qubes OS, yüksek güvenlik için bölümlere ayrılmış sanal makineler kullanır. CAINE ise adli analiz araçları sağlar. Bu sistemler; temel siber güvenlik araçlarını, titiz bir güvenliği ve çeşitli kullanım durumları için esnekliği entegre eder.

BlackArch

Kali Linux

Parrot OS

Tails OS

Her çevrimiçi hesap için güçlü, benzersiz parolalar oluşturun. Büyük ve küçük harflerin, rakamların ve sembollerin bir kombinasyonunu kullanın. Güvenli parolaları saklamak ve oluşturmak için güvenilir bir parola yöneticisi kullanmayı düşünün.

Mümkün olduğunca 2FA'yı etkinleştirin. Bu, parolanıza ek olarak telefonunuza gönderilen bir kod gibi ikinci bir doğrulama adımı gerektirerek ekstra bir güvenlik katmanı ekler.

İşletim sisteminizi, yazılımınızı ve uygulamalarınızı güncel tutun. Güncellemeler genellikle güvenlik açıklarını gideren güvenlik yamaları içerir.

İstenmeyen e-postalara, mesajlara veya bağlantılara karşı dikkatli olun. Şüpheli bağlantılara tıklamaktan veya bilinmeyen kaynaklara kişisel bilgilerinizi vermekten kaçının.

Wi-Fi ağınız için güçlü bir parola kullanın ve WPA3 şifrelemesini etkinleştirin. Hassas işlemler için halka açık Wi-Fi kullanmaktan kaçının.

Kötü amaçlı yazılımlara ve yetkisiz erişime karşı korunmak için güvenilir bir antivirüs programı yükleyin ve cihazınızın yerleşik güvenlik duvarını etkinleştirin.

Sosyal medya platformlarındaki, uygulamalardaki ve cihazlardaki gizlilik ayarlarını gözden geçirin ve düzenleyin. Çevrimiçi paylaştığınız kişisel bilgilerin miktarını sınırlayın.

• Siber güvenlik nedir?
• Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA)
• ThreatPost.com