İçerik
- 01. Sosyal mühendislik
- 02. Düşük teknolojili dahili tehdit
- 03. Yemleme
- 04. Abonelikten çıkma düğmeleri
- Generate New York için biletinizi şimdi alın
Saldırganların her zaman daha karmaşık virüsler ve kötü amaçlı yazılımlar geliştirdikleri doğru olsa da, gittikçe ve sıklıkla unutulurken, işletmeler için en büyük güvenlik tehdidi aslında yazılımdan değil, insanların kendisinden geliyor.
Şirketler, güvenlik duvarları, VPN'ler ve güvenli ağ geçitleri gibi çözümlerle verilerini dış tehditlerden korumak için dünyadaki en güvenli altyapıyı oluşturabilir, ancak bu, kuruluşun içinden gelen kötü niyetli veya başka türlü tehdit riskini azaltmaz. Bu düşük teknolojili hackleme yöntemi, son yıllarda giderek daha popüler hale geldi ve tanınmış markalar, LinkedIn araştırması yaptıktan sonra küçük finans yöneticileriyle temasa geçerek fon talep eden dolandırıcıların kurbanı oldu.
- En iyi VPN'ler 2019
Ek olarak, internet çoğu insanın günlük rutininin büyük bir kısmını oluşturduğu ve birçok çalışanın işyerinde kişisel hesaplarında oturum açtığı göz önüne alındığında, konu çevrimiçi güvenlik söz konusu olduğunda kişisel bilgiler ile iş bilgileriniz arasında da bir geçiş olduğunu hatırlamak önemlidir. Bir bilgisayar korsanı kişisel bilgilerinizi ele geçirirse, profesyonel bilgilerinize de erişebilir.
Öyleyse burada, bilgisayar korsanlarının güvenliğinizi atlayıp verilerinizi çalmasının dört yolu var.
01. Sosyal mühendislik
İnsanların neden olduğu herhangi bir siber güvenlik tehdidinin kaynağı sosyal mühendisliktir; bir bireyin gizli verilerini değiştirme eylemi. Elbette, bilgisayar korsanları bir ağa kötü amaçlı yazılım bulaştırabilir ve arka kapıdan girebilir veya daha da iyisi, bir çalışanı bir parola vermesi için kandırabilir ve herhangi bir alarm zilini yükseltmeden doğrudan önden içeri girebilir. Bir bilgisayar korsanı bir kişinin şifresine sahip olduğunda, etkinliği yetkili görüneceğinden onu durdurmak için yapabileceğiniz çok az şey vardır.
Ortalama bir kullanıcı bilgisayar korsanlarının kullandığı geleneksel yöntemlere karşı daha bilinçli hale geldikçe, sosyal mühendislik teknikleri yıllar içinde daha karmaşık hale gelmek zorunda kalmıştır. Dolayısıyla bilgisayar korsanlarının artık veri elde etme yöntemlerinde daha akıllı olmaları gerekiyor. Ticari anlamda, bir kullanıcıyı kötü amaçlı bir bağlantıya tıklaması için kandırmak kadar basit bir şey, saldırganın tüm ağa erişmesini sağlayabilir. İnsanlar banka bilgilerine çaresizce ihtiyaç duyan yabancılardan gelen e-postaları görmezden gelmeyi bilirler, ancak bu e-posta tanıdığınız birinden geldiğinde "Spam olarak işaretle" seçeneğini tıklama olasılığınız çok daha düşüktür.
Bilgisayar korsanları, kurbanın bir arkadaşının adını bulmak için potansiyel bir hedefin Facebook hesabında kolayca gezinebilir. Daha sonra kurbana, o arkadaşmış gibi davranan bir e-posta gönderebilirler ve kurban, tanıdıkları birinden geldiğini düşünürse, buna kanma olasılığı daha yüksek olacaktır.
İPUCU: Sosyal medya konusunda verdiğiniz kişisel detaylara dikkat edin. 'Rap adınızın ilk evcil hayvanınızın adı ve annenizin kızlık soyadı olduğu' zararsız bir oyun gibi görünen şey, aslında genel hesap kurtarma sorularının yanıtlarını bulmak için kullanılan bir kimlik avı dolandırıcılığı olabilir.
02. Düşük teknolojili dahili tehdit
Yüzü olmayan bir düşman yerine, çoğu iç siber güvenlik tehdidi aslında mevcut veya eski çalışanlardan gelir. Bu çalışanlar, gizli verilere yetkisiz erişim elde edebilir veya ağa kötü amaçlı bir şey bulaştırabilir. Bu dahili tehditler birçok şekilde olabilir:
- Omuz sörfü
"Omuz sörfü", bir kişinin şifresini yazarken gördüğü basit eylemdir. Bunun olmasının emsali var. Hoşnutsuz veya yakında ayrılacak bir çalışan, rasgele bir masanın arkasında durabilir ve diğer çalışanların şifrelerini yazdıklarını gözlemleyebilir. Bu basit eylem, bir işletmeye felaket getirebilecek yetkisiz erişime yol açabilir. - Post-it notlarındaki şifreler
Omuz üzerinden gözlenen bir parolayı ezberlemekten daha kolay olan dahili tehditler, çalışanların parolaları yazıp bilgisayar monitörlerine yapıştırmalarından kaynaklanabilir - evet, aslında bu olur. Açıkçası bu, birisinin daha sonra bir şirketi dolandırmak veya ona virüs bulaştırmak için kullanılabilecek oturum açma bilgilerini elde etmesini inanılmaz derecede kolaylaştırır. İyi haber şu ki, bu dikkatsizliğin giderilmesi kolaydır. - Bilgisayarlara takılan başparmak sürücüleri
Çalışan makinelere, basit bir USB sürücüsüne yüklenen keylogging yazılımı bulaşabilir. Bir saldırganın USB sürücüsünü bir bilgisayarın arkasına gizlice sokması ve kullanıcının kişisel bilgilerine ve şifrelerine erişmesi gerekir.
İPUCU: Bu iç tehditlerden kaçınmak için işletmeler, çalışanlarını şifreleri konusunda uyanık olmanın önemi konusunda güvenlik kursları ve iletişimlerle eğitmelidir. KeePass veya Dashlane gibi şifre yöneticisi yazılımları, şifreleri güvenli bir şekilde saklayabilir, böylece hepsini hatırlamak zorunda kalmazsınız. Alternatif olarak, yetkisiz cihazlara USB aracılığıyla erişilmesini önlemek için iş istasyonlarınızın USB bağlantı noktalarını da kilitleyebilirsiniz. Bununla birlikte, her yeni USB cihazının kullanılabilmesi için onay gerektireceğinden, her iş istasyonunu çok daha az esnek hale getirdiği ve BT departmanının iş yükünü artırdığı için bu yaklaşımın dikkatlice değerlendirilmesi gerekir.
03. Yemleme
Sosyal mühendisliğe benzer şekilde, yemleme yöntemleri, kişi hakkında elde edilen bilgileri kullanarak kullanıcıları kandırır. Örneğin, bir bilgisayar korsanı sosyal medya sitelerini kontrol edebilir ve hedefin Game of Thrones ile ilgisi olduğunu öğrenebilir. Bu bilgi saldırgana biraz yem verir. Saldırgan, genel bir e-posta yerine hedefe 'En son Game of Thrones bölümünü izlemek için burayı tıklayın' yazan bir e-posta gönderebilir. Kullanıcının, Game of Thrones'un en son bölümü değil, aslında bir kötü amaçlı yazılım bağlantısı olan düğmeyi tıklama olasılığı daha yüksektir.
Benzer şekilde, LinkedIn'de halka açık olarak listelenen bu kadar çok bilgiyle, saldırganların bir raporlama yapısını araştırması, CEO gibi davranan bir genci hedeflemesi ve belirli bir hesaba para transferi talep etmesi de kolay olabilir. Öyle görünse de, bunun meydana geldiği çok iyi bilinen olaylar var. Gizlice dinleme, saldırganların kafelerde, toplu taşıma araçlarında ve hatta bir ofis ortamında bir tedarikçi olarak iş konuşmalarını dinlediği benzer bir yöntemdir.
04. Abonelikten çıkma düğmeleri
Saldırganların kullanıcıları e-postalardan kötü amaçlı yazılım indirmeleri için kandırmasının bir başka yolu da abonelikten çıkma düğmeleridir. Yasaya göre, her pazarlama e-postasında, tüketicilerin iletişimleri almayı tercih etmemeleri için bir abonelikten çıkma bağlantısı bulunmalıdır. Bir saldırgan, bir giyim şirketinden (veya benzerinden) özel pazarlama teklifleri gibi görünen bir kullanıcıya tekrar tekrar e-postalar gönderebilir. E-postalar yeterince zararsız görünüyor, ancak kullanıcı şirketle ilgilenmiyorsa veya e-postaların çok sık olduğunu düşünüyorsa, e-postaları almayı durdurmak için abonelikten çık düğmesine basabilir. Bu bilgisayar korsanının kimlik avı e-postası dışında, abonelikten çık düğmesini tıklamak kötü amaçlı yazılımı indirir.
İPUCU: Düzgün yapılandırılmış bir anti-spam filtresi bu e-postaları durdurmalıdır, ancak yine de tetikte olmak en iyisidir.
Temel çıkarım, bilgisayar korsanlarının verilerinizi çalmak için kullanabilecekleri yöntemler dizisi konusunda tetikte ve güncel kalmaktır. Çalışanlarınızı, bu makalede listelenen ve oturum açma bilgileri veya kişisel verileri gibi içerik elde etmek için kullanılabilecek tekniklerden haberdar olmaları için eğitin. Çalışanları tanımadıkları kişileri sorgulamaya ve sohbetleri dinleyen veya omuz sörfü yapanların farkında olmaya teşvik edin.
Ancak tüm bunları bir kenara bırakırsak, internetin son derece olumlu ve yaratıcı bir yer olmaya devam ettiğini ve dünyanın bunun için önemli ölçüde daha zengin olduğunu hatırlamakta fayda var. Tetikte olmanız şartıyla, hepimiz onun avantajlarından yararlanmaya devam edebiliriz.
Bu makale ilk olarak 303 sayısında yayınlanmıştır. ağ, web tasarımcıları ve geliştiricileri için dünyanın en çok satan dergisi. Sayı 303'ü satın al veya abone olun.
Generate New York için biletinizi şimdi alın
Sektörün en iyi web tasarım etkinliğiNew York'u Oluşturgeri döndü. 25-27 Nisan 2018 tarihleri arasında gerçekleşen ana konuşmacılar arasında SuperFriendly's Dan Mall, web animasyon danışmanı Val Head, tam yığın JavaScript geliştiricisi Wes Bos ve daha fazlası yer alıyor.
Ayrıca tam bir günlük atölye çalışmaları ve değerli ağ oluşturma fırsatları var - bunu kaçırmayın.Generate biletinizi şimdi alın.
