Sosyal mühendislik, bir bilgi işlem sisteminin kullanıcılarını, bir bilgisayar sistemine yetkisiz erişim elde etmek için kullanılabilecek gizli bilgileri ifşa etmeleri için manipüle etme sanatıdır. Terim, kısıtlı erişime sahip binalara erişim elde etmek veya kullanıcıları arka kapı yazılımı yüklemeye zorlamak için insan nezaketini, açgözlülüğü ve merakı kullanmak gibi faaliyetleri de içerebilir.
Bilgisayar korsanlarının kullanıcıları diğerlerinin yanı sıra hayati oturum açma bilgilerini vermeleri için kandırmak için kullandıkları hileleri bilmek, bilgisayar sistemlerini korumada esastır.
Bu eğitimde, size yaygın sosyal mühendislik tekniklerini ve bunlara karşı güvenlik önlemlerini nasıl alabileceğinizi tanıtacağız.
Sosyal Mühendislik Nasıl Çalışır?
- Bilgi Toplayın : Bu ilk aşamadır, amaçlanan kurban hakkında elinden geldiğince çok şey öğrenir. Bilgiler, şirket web sitelerinden, diğer yayınlardan ve bazen de hedef sistemin kullanıcılarıyla konuşularak toplanır.
- Saldırıyı Planla : Saldırganlar, saldırıyı nasıl gerçekleştirmeyi planladığını ana hatlarıyla belirtir
- Edinme Araçları : Bunlar, bir saldırganın saldırıyı başlatırken kullanacağı bilgisayar programlarını içerir.
- Saldırı : Hedef sistemdeki zayıflıklardan yararlanın.
- Edinilen bilgileri kullanın : Evcil hayvan adları, kuruluş kurucularının doğum tarihleri gibi sosyal mühendislik taktikleri sırasında toplanan bilgiler, parola tahmin etme gibi saldırılarda kullanılır.
Yaygın Sosyal Mühendislik Teknikleri:
Sosyal mühendislik teknikleri birçok şekilde olabilir. Yaygın olarak kullanılan tekniklerin listesi aşağıdadır.
- Aşinalık İstismarı: Kullanıcılar aşina oldukları insanlardan daha az şüphelenirler. Saldırgan, sosyal mühendislik saldırısından önce hedef sistemin kullanıcılarını tanıyabilir. Saldırgan, kullanıcılarla yemek sırasında, sigara içerken, sosyal etkinliklerde vb. etkileşime girebilir. Bu, saldırganı kullanıcılara tanıdık hale getirir. Kullanıcının erişim elde etmek için erişim kodu veya kart gerektiren bir binada çalıştığını varsayalım; Saldırgan, kullanıcıları bu tür yerlere girerken takip edebilir. Kullanıcılar, aşina oldukları için saldırganın girmesi için kapıyı açık tutmayı severler. Saldırgan, eşinizle nerede tanıştığınız, lise matematik öğretmeninizin adı gibi soruların da yanıtlarını isteyebilir. Kullanıcılar, tanıdık yüze güvendikleri için yanıtları büyük olasılıkla ortaya çıkarır.
- Korkutucu Durumlar : İnsanlar, etraflarındaki diğer insanları korkutan insanlardan kaçınma eğilimindedir. Saldırgan bu tekniği kullanarak telefonda veya plandaki bir suç ortağıyla hararetli bir tartışma yaşıyormuş gibi yapabilir. Saldırgan daha sonra kullanıcılardan, kullanıcının sisteminin güvenliğini tehlikeye atmak için kullanılacak bilgileri isteyebilir. Kullanıcılar, saldırganla karşı karşıya gelmemek için büyük olasılıkla doğru yanıtları veriyor. Bu teknik, bir güvenlik kontrol noktasında kontrol edilmekten kaçınmak için de kullanılabilir.
- Kimlik Avı (Phishing) : Bu teknik, kullanıcılardan özel verileri elde etmek için hile ve aldatma kullanır. Toplum mühendisi Yahoo gibi gerçek bir web sitesinin kimliğine bürünmeye çalışabilir ve bundan şüphelenmeyen kullanıcıdan hesap adını ve parolasını doğrulamasını isteyebilir. Bu teknik, kredi kartı bilgilerini veya diğer değerli kişisel verileri almak için de kullanılabilir.
- Tailgating : Bu teknik, kısıtlı alanlara girerken kullanıcıları arkasından takip etmeyi içerir. Bir insan nezaketi olarak, kullanıcının toplum mühendisinin kısıtlı alana girmesine izin vermesi muhtemeldir.
- İnsan merakını istismar etmek : Bu tekniği kullanarak, toplum mühendisi virüs bulaşmış bir flash diski kullanıcıların kolayca alabileceği bir alana kasıtlı olarak düşürebilir. Kullanıcı büyük olasılıkla flash diski bilgisayara takacaktır. Flaş disk virüsü otomatik olarak çalıştırabilir veya kullanıcı, aslında virüslü bir dosya olabilecek Çalışanlar Yeniden Değerleme Raporu 2013.docx gibi bir ada sahip bir dosyayı açmaya cazip gelebilir.
- İnsan açgözlülüğünü sömürmek : Bu tekniği kullanarak toplum mühendisi, bir formu doldurarak kullanıcıyı çevrimiçi çok para kazanma vaatleriyle kandırabilir ve kredi kartı bilgilerini vb. kullanarak ayrıntılarını onaylayabilir.
Sosyal Mühendislik Karşı Tedbirleri
Toplum mühendisleri tarafından kullanılan çoğu teknik, insan önyargılarını manipüle etmeyi içerir. Bu tür tekniklere karşı koymak için bir kuruluş;
- Aşinalık istismarına karşı koymak için, kullanıcıların aşinalığı güvenlik önlemleriyle değiştirmeyecek şekilde eğitilmesi gerekir. Tanıdıkları kişiler dahi belirli alanlara ve bilgilere erişim yetkisine sahip olduklarını kanıtlamak zorundadır.
- Göz korkutucu durum saldırılarına karşı koymak için kullanıcılar, hassas bilgiler için balık avlayan ve kibarca hayır diyen sosyal mühendislik tekniklerini tanımlayacak şekilde eğitilmelidir.
- Kimlik avı tekniklerine karşı koymak için Yahoo gibi çoğu site, verileri şifrelemek ve iddia ettikleri kişi olduklarını kanıtlamak için güvenli bağlantılar kullanır. URL’yi kontrol etmek, sahte siteleri tespit etmenize yardımcı olabilir. Kişisel bilgilerinizi vermenizi isteyen e-postalara yanıt vermekten kaçının .
- Arkadan takip saldırılarına karşı koymak için, kullanıcıların kısıtlı alanlara erişim elde etmek için başkalarının güvenlik iznini kullanmasına izin vermeyecek şekilde eğitilmesi gerekir. Her kullanıcı kendi erişim iznini kullanmalıdır.
- İnsan merakına karşı koymak için, alınan flash diskleri tercihen izole edilmiş bir makinede virüslere veya diğer enfeksiyonlara karşı taraması gereken sistem yöneticilerine göndermek daha iyidir .
- İnsan açgözlülüğünü istismar eden tekniklere karşı koymak için çalışanlar bu tür dolandırıcılıklara düşmenin tehlikeleri konusunda eğitilmelidir.
ÖzetSosyal mühendislik, yetkisiz kaynaklara erişim elde etmek için insan unsurlarını kullanma sanatıdır.
Sosyal mühendisler, kullanıcıları hassas bilgileri ifşa etmeleri için kandırmak için bir dizi teknik kullanır.
Kuruluşların sosyal mühendislik karşı önlemleri olan güvenlik politikaları olmalıdır.
Siber Güvenlik
