İş hayatımızın vazgeçilmez bir parçası olan Microsoft Teams, Outlook veya Zoom davetleri, son zamanlarda siber saldırganların en sevdiği kamuflaj haline geldi. Geleneksel oltalama (phishing) e-postalarına karşı hepimiz az çok bir refleks kazandık: Şüpheli ekleri açmıyor, garip adreslerden gelen linklere tıklamıyoruz. Peki ya doğrudan e-posta istemcinizin (Outlook vb.) kendi orijinal paneline yerleşen, üzerinde “Kabul Et” (Accept) veya “Reddet” (Decline) butonları olan resmi görünümlü bir toplantı talebi gelirse?

İşte siber güvenlik dünyasında giderek yükselen, sıradan kullanıcıları hedef alan “Takvim ve Toplantı Daveti Oltalama Saldırıları” hakkında bilmeniz gerekenler.

Toplantı Daveti ile Gelen Saldırı Nedir?

Bu saldırı türünde siber saldırganlar, size düz bir e-posta göndermek yerine, e-posta protokollerinin açıklarını kullanarak doğrudan e-posta kutunuzun üzerinde orijinal Kabul Et / Reddet butonlarının çıkmasını sağlayan özel “Takvim Daveti” formatında (MIME/iCalendar) mesajlar gönderirler.

Siz maili açtığınızda karşınızda standart bir yazı değil, Outlook’un kendi güvenli arayüzü tarafından üretilmiş gibi duran, hatta takviminize otomatik olarak işlenmiş bir etkinlik görürsünüz.

Bu Saldırılar Neden Bu Kadar Tehlikeli?

Calendar Phishing olarak bilinen sahte toplantı davetlerinin siber saldırganlara sağladığı ve bizim için risk oluşturan 3 büyük faktör vardır:

• Sistem Güvenini İstismar Etmesi: E-posta istemciniz (örneğin Outlook), gelen mesajı bir “Takvim Talebi” olarak algıladığı için kendi arayüz butonlarını (Kabul Et/Reddet) mailin tepesine yerleştirir. Kullanıcı bu butonları görünce, uygulamanın bu maili “güvenli” olarak doğruladığını düşünür. Oysa uygulama sadece formatı okumaktadır.

• Merak ve Refleks Yönetimi: “Acil Dönemsel Planlama”, “İK Güncellemesi” veya “Performans Değerlendirmesi” gibi başlıklarla gelen davetler, çalışanlarda hızlıca ajandayı yönetme veya içeriği öğrenme merakı uyandırır.

• Geleneksel Filtreleri Aşabilmesi: Birçok e-posta güvenlik duvarı (Gateway), ham takvim verisi (iCalendar) içeren mailleri kurumsal iş akışlarını bölmemek adına daha esnek tarayabilir. Bu da saldırının doğrudan gelen kutunuza düşme ihtimalini artırır.

“Kabul Et” veya “Reddet” Butonlarına Basınca Ne Olur?

Saldırganlar bu kurguyu iki farklı tuzakla hazırlar:

1. Gövde İçi Tuzaklar: Mailin üstündeki yerel butonlara bastığınızda toplantı takviminize eklenir. Ancak saldırgan asıl tuzağı mail gövdesine gizlemiştir: “Toplantı öncesi incelenmesi gereken dökümanlar için tıklayın” veya “Toplantı katılım linki” yazan bağlantıya tıkladığınızda, kurumsal giriş sayfanızı (Microsoft 365, Google vb.) taklit eden sahte bir kimlik avı sayfasına yönlendirilirsiniz. Şifrenizi girdiğiniz an hesap ele geçirilir.

2. “Reddet” Tuzağı: Birçok kullanıcı sahte olduğunu anladığı maili yok etmek için “Reddet” (Decline) butonuna basar. Ancak bazı senaryolarda bu butona basmak, saldırganın sunucusuna “Bu e-posta adresi aktif ve gerçek bir insan tarafından kullanılıyor” sinyalini (MIME Reply) gönderir. Bu da sizi gelecekte daha büyük saldırıların hedefi yapar.

Nelere Dikkat Edilmelidir? (Kendinizi Koruma Rehberi)

Gelen kutunuzdaki bir toplantı davetinin sahte olup olmadığını anlamak için şu 4 altın kuralı unutmayın:

• Göndericinin Gerçek Adresini Kontrol Edin: Görünür isme (Örn: Sistem Yönetimi) değil, yanındaki gerçek e-posta adresine bakın. Şirket dışı veya garip bir alan adından (@xyz-destek.com gibi) mı geliyor? Şirket dışından gelen maillerdeki [EXTERNAL / HARİCİ] etiketini mutlaka önemseyin.

• Tanımadığınız Kişilerden Gelen Davetleri Sorgulayın: Hiç ortak projeniz olmayan, organizasyon şemasında yer almayan veya tanımadığınız harici bir isimden gelen “Durum Değerlendirmesi” davetlerine şüpheyle yaklaşın.

• Gövdedeki Linkleri İnceleyin: Toplantı detaylarını görmek veya döküman indirmek için e-posta içerisindeki bağlantılara tıklamanız isteniyorsa, tıklamadan önce farenizi linkin üzerine getirerek (Hover) sol altta beliren gerçek web adresini kontrol edin. Kurumsal adresinizle uyuşmuyorsa asla tıklamayın.

• Refleksle Hareket Etmeyin: Şüphelendiğiniz bir takvim davetini sonlandırmak için “Reddet” butonuna basmak yerine, e-postayı doğrudan şirketinizin “Siber Güvenlik / Bilgi Güvenliği” ekibine raporlayın veya silin.

Unutmayın: Siber saldırganlar sadece sistem açıklarını değil, bizim iş yoğunluğumuzu ve reflekslerimizi hacklemeye çalışırlar. Dijital dünyada şüpheci kalmak, en güçlü savunma hattımızdır.

Gelen Kutumuzun Yeni Tehdidi: Sahte Toplantı Davetleri (Calendar Phishing) yazısı ilk önce PhishGuard Siber Farkındalık üzerinde ortaya çıktı.

SOAR ile E-posta Tehdit Analizi yazısı ilk önce PhishGuard Siber Farkındalık üzerinde ortaya çıktı.

Yapay zeka (YZ), pek çok sektörde olduğu gibi siber güvenlik alanında da önemli değişimleri beraberinde getiriyor. Ancak bu teknolojinin güvenliği ne yönde değiştireceği henüz netlik kazanmış değil. Bir yanda savunma mekanizmalarını güçlendiren bir yardımcı, diğer yanda ise saldırı yöntemlerini çeşitlendiren bir araç olarak karşımıza çıkıyor. Bu karmaşık dengeyi ve tarafların konumlanışını yakından inceleyelim.

Çift Taraflı Bir Güç: Siber Dünyada Yapay Zeka Dengesi

Yapay zeka, siber güvenlik dünyasında her iki tarafın da kapasitesini artıran stratejik bir faktör olarak rol alıyor. Bu teknolojinin etkisini net bir şekilde görebilmek için savunma ve saldırı taraflarındaki kullanımını, aralarındaki dengeyi gözeterek kıyaslamak gerekir.

Savunma ve Saldırı Arasındaki Dinamik Mücadele

Yapay zeka bir yandan kurumsal yapıların direncini artırırken, diğer yandan saldırganlara yeni kapılar açmaktadır:

• Hız ve Otomasyon: Savunma tarafında YZ, ağ trafiğindeki olağan dışı hareketleri öğrenerek yeni nesil saldırıları standart yazılımlardan daha hızlı tespit edebilir ve insan müdahalesi olmadan anlık müdahale (erişim engelleme, karantinaya alma) gerçekleştirebilir. Buna karşılık saldırganlar da süreci otomatize ederek sistemlerdeki zayıf noktaları tespit etme hızlarını artıracaklardır. Savunma tarafı tespit süresini kısaltsa da, saldırganlar da saldırı sıklığını aynı oranda artırarak bu dengeyi zorlayacaktır.
• İnsan Faktörü ve Sosyal Mühendislik: Savunma sistemleri yazılımsal zayıflıkları ve yapılandırma hatalarını tarayarak riskleri azaltmaya çalışırken; saldırganlar YZ’yi “insanı” hedef almak için kullanmaktadır. YZ yardımıyla oluşturulan, hedeflenen kişinin iletişim diline uygun ve son derece ikna edici sosyal mühendislik saldırıları, savunmanın teknolojik başarısını insan zaafıyla delmeye çalışacaktır.
• Maliyet ve Erişilebilirlik: Kurumsal yapılarda YZ destekli sistemler şu an için önemli bir avantaj sağlasa da, bu teknolojilerin daha ulaşılabilir hale gelmesi siber saldırıların maliyetini de düşürmüştür. Artık teknik bilgisi kısıtlı gruplar bile karmaşık saldırılar düzenleyebilecek araçlara erişebilirken, savunma tarafı güvenlik yazılımlarının tanıma algoritmalarını analiz eden ve sürekli form değiştiren zararlı yazılımlarla mücadele etmek zorundadır.

Özetle: Yapay zeka, günümüz siber savunması için bir tercih değil, zorunluluk haline gelmiştir; onsuz mevcut tehdit hacmiyle başa çıkmak güçleşmektedir. Ancak bu teknoloji, saldırganların kapasitesini de benzer oranda artırdığı için taraflar arasındaki yarışı yeni bir seviyeye taşımıştır. Savunma tarafının bu araçları daha sistematik kullanması güvenliği bir miktar ileriye taşısa da, taraflar arasındaki asimetrik mücadele ve yöntem geliştirme yarışı devam etmektedir.

Öngörüler

Yapay zekanın hangi tarafa nasıl etki edeceğine baktık. Peki bu etkilerin sonuçları nasıl olacaktır, öngörüler nelerdir?

a) Kurumsal Şirketler

Yeterli bütçeye ve veriye sahip büyük kuruluşlar, YZ tabanlı sistemlerle savunma kapasitelerini artıracaklardır. Bu durum, organize saldırıların bu tür kurumlara sızmasını zorlaştırarak saldırganların hareket alanını daraltabilir. Ancak bu, mücadeleyi Kurumsal Şirketlerin kazanacağı anlamına gelmiyor, şu nedenlerle:

• i. Yaratıcı Düşünme: Herhangi bir iki taraflı mücadelede saldıran savunana göre daha yaratıcı düşünerek savunmada boşluklar arar. Önceden insan hayal ve düşünce gücüyle sınırlı olan saldırı senaryoları YZ ile birlikte neredeyse sınırsız bir potansiyel kazanmış olacaktır. Dolayısıyla saldırının savunma sistemlerinin eğitilmediği ve hazır olmadığı alanlardan gelme ihtimali eskiye göre artık daha yüksektir.
• ii. Yıkıcı Sonuç olasılığı: Dünyada her gün yüzlerce, binlerce siber saldırı gerçekleşmektedir ancak en çok ses getiren saldırılar yıkıcılığı yüksek olan saldırılardır. YZ, siber saldırganlara olası başarılı siber saldırıların çok daha yıkıcı sonuçlara yol açma potansiyelini sunmaktadır. Bunu elinde atom bombası olan Kuzey Kore gibi düşünün. Evet, kimseye atom bombası atmıyor ama atarsa sonuçları çok yıkıcı olur.

b) KOBİ’ler ve Artan Riskler

Öte yandan, siber güvenliğe kısıtlı bütçe ayıran küçük ve orta ölçekli işletmeler (KOBİ) için durum farklılaşabilir. KOBİ’ler minimal güvenlik araçlarına dahi yatırım yapamazken, yüksek maliyetli YZ savunma sistemlerine erişmekte çok daha zorlanacaklardır. Saldırganlar ise ellerindeki düşük maliyetli YZ araçlarıyla bu işletmeleri daha etkili şekilde tehdit edebilirler. Bu nedenle, siber savunma / siber saldırı denkleminde KOBİ’ler açısından durum aleyhte olabilir.

c) Sosyal Mühendislik

Sosyal mühendislik alt başlığı hem Kurumsal şirketleri, hem KOBİ’leri, hem de bireyleri kapsamaktadır. YZ’nin gelişmesiyle birlikte altyapı güvenliğinde önemli gelişmeler yaşanıyorken, insan farkındalığı konusunda yapılabilecekler maalesef şimdilik sınırlıdır. Düşük maliyetle oluşturulabilen gelişmiş phishing saldırıları, deepfake senaryoları ise siber saldırganları daha etkili kılmaktadır. Sosyal Mühendislik saldırıları konusunda ibre siber saldırganlardan yana olabilir.

d) Yapay Zeka Güvenliğine Odaklanma

YZ kullanımıyla birlikte, sistemlerin kendisi yeni bir saldırı noktası haline gelmektedir. YZ sistemlerinin karşılaşabileceği siber saldırılardan bazıları şunlardır:

• Model Zehirlenmesi: Savunma yapan YZ’nin eğitim verilerine müdahale ederek yanlış kararlar vermesini sağlamak.
• Model Çıkarımı: Güvenlik modelinin çalışma mantığını çözerek, onun fark edemeyeceği yeni saldırı yolları geliştirmek.
• Model Manipülasyonu: YZ’yi kullanım anında kandırarak kendi kurallarını çiğnemesini veya kötü niyetli komutları yerine getirmesini sağlamak. (Prompt Injection olarak da bilinir)

Yani YZ yeni bir saldırı yüzeyi ekleyerek Siber Savunmanın işini biraz daha zorlaştırmaktadır.

Sonuç

YZ’nin nasıl evrileceğini kestirmek kolay değil. Ancak eldeki veriler geçmiş deneyimlerle birleştirildiği zaman YZ’nin siber savunmaya önemli katkılar yapabileceği gibi siber saldırganlara da fırsatlar sunacağı görülebiliyor. Bu nedenle, YZ destekli ürün ve teknolojilerin topyekûn bir savunma kalkanı oluşturmayacağını, siber savunma prensiplerinin yeni döneme uyarlanması ve daha da sıkılaştırılması gerektiğini bilmek önem arz etmektedir.

Siber Savaşlarda Yapay Zeka: Savunma mı Güçlendi, Saldırı mı Kolaylaştı? yazısı ilk önce PhishGuard Siber Farkındalık üzerinde ortaya çıktı.

Yapay Zeka Güvenliği yazısı ilk önce PhishGuard Siber Farkındalık üzerinde ortaya çıktı.

Prompt Injection ve Yapay Zeka Modellerinin Korunması yazısı ilk önce PhishGuard Siber Farkındalık üzerinde ortaya çıktı.

nslookup example-fake-domain.com

PhishGuard ile güvenli farkındalık testleri:

Simülasyon çalışmalarınızı güvenli yapı taşlarıyla tasarlayın: ürün ve hizmetlerimiz için lütfen iletişime geçin.

Phishing Simülasyonlarında Sahte Alan Adı Çakışması yazısı ilk önce PhishGuard Siber Farkındalık üzerinde ortaya çıktı.

Honeypot, siber güvenlik dünyasında saldırganları tespit etmek, analiz etmek veya dikkatlerini gerçek sistemlerden uzaklaştırmak amacıyla oluşturulan kasıtlı tuzak sistemleridir. Bu sistemler genellikle gerçek kullanıcılar tarafından erişilmeyecek şekilde konumlandırılır ve herhangi bir etkileşim, potansiyel bir kötü niyetli faaliyetin göstergesi olarak değerlendirilir. Bu sayede, kurumlar gerçek sistemlerini korurken aynı zamanda saldırı yöntemlerini ve kaynaklarını analiz etme fırsatı bulurlar.

Bu geleneksel yaklaşım, günümüzün e-posta tabanlı saldırı tehditlerine karşı da uyarlanabilir durumdadır. Özellikle bazı güvenlik senaryolarında, phishing (oltalama) simülasyonları birer email honeypot’una dönüştürülebilir. Bu yöntemle, simülasyonlara gelen olağandışı etkileşimler analiz edilerek bir e-posta hesabının yetkisiz kişilerce kullanılıp kullanılmadığı hakkında ipuçları elde edilebilir. Böylece phishing simülasyonları, sadece farkındalık aracı olmanın ötesine geçerek birer güvenlik denetim aracı haline gelebilir.

Phishing Simülasyon çözümümüz için lütfen tıklayın.

Phishing Simülasyonlarıyla Honeypot İşlevselliği Nasıl Sağlanır?

Phishing simülasyonları, doğru şekilde yapılandırıldığında sadece kullanıcı farkındalığını ölçmekle kalmaz, aynı zamanda eposta hesaplarının yetkisiz erişimlere maruz kalıp kalmadığını da gösterebilecek birer siber gözlem noktası haline gelebilir. Simülasyonlar sırasında toplanan veriler sayesinde normal dışı davranışlar tespit edilebilir; özellikle tıklama zamanı, IP adresi, cihaz bilgisi gibi detaylar bir araya getirildiğinde, bir e-posta hesabının gerçek  kullanıcısı tarafından mı yoksa başka biri tarafından mı kullanıldığı anlaşılabilir.

Bu çalışmaların başarılı olması için öncelikle iyi bir hazırlık yapılması gerekir. Daha sonra ise kampanyaların hangi göstericilerinin anlam ifade edeceği belirlenerek bunların izlenmesi gerekir.

Email Honeypot Hazırlık Aşaması

Bu çalışmalarda amaç siber saldırganların eline geçmiş olabilecek eposta hesaplarının tespit edilmesidir. Bu tarz durumlarda genelde epostalar hem eposta hesabının gerçek sahibi hem de siber saldırgan tarafından kontrol edilmektedir. Tabi, siber saldırgan kendini belli etmemek için bunu sessiz bir şekilde yapar. Bu nedenle bu tarz hesapların bulunduğunu varsayıp bu yetkisiz kişileri nasıl ortaya çıkarabileceğimize odaklanmalıyız.

Bunun için hazırlık aşamasında dikkat edilmesi gereken noktalar var:

1. Öncelikle, simülasyon senaryosunun çok daha profesyonelce hazırlanması gerekir. Basit, normal çalışanların tıklayabileceği bağlantılar siber saldırganlar için çoğu zaman ilgi çekici olmaz. Zira siber saldırganlar bu konularda çok daha bilgililerdir ve epostanın bir phishing simülasyon olduğunu kolayca anlayabilirler.
2. Siber saldırganların dikkatini çekebilecek eposta şablonlarının belirlenmesi gerekir. Örneğin; “Kredi kartınıza para iadesi yapacağız” şeklindeki bir simülasyon senaryosu siber saldırgan için dikkat çekici olmayabilir. Zira kredi kartı eposta hesabının gerçek sahibi tarafında kontrol edilmektedir ve buraya yapılacak bir iadenin siber saldırgana bir yararı yoktur. Diğer taraftan, “Sunucu erişim talebiniz onaylanmıştır, aşağıdaki bağlantıya tıklayarak erişebilirsiniz” şeklindeki, yetki ve erişim odaklı simülasyon senaryoları siber saldırganlar için çok daha ilgili çekici olur.
3. Hedef kullanıcı profilleri ile simülasyon senaryosunun alakasız olması başarı oranını artırabilir. Örneğin; İnsan Kaynakları ekibine “Sunucu erişim talebiniz onaylanmıştır” şeklinde bir eposta gitmesi bu ekip çalışanlarının dikkatini çekmeyip gerçek kullanıcı tıklamalarını minimal seviyede tutabilir. Diğer taraftan, bu tarz bir eposta siber saldırganlar için cazip bir epostadır. Bu çalışmanın amacı çalışan farkındalığını test etmek değil, yetkisiz erişimleri ortaya çıkaracak bir email honeypot oluşturmaktır. Bu nedenle hedef kullanıcı profilinin ilgi alanına girmeyip, siber saldırganların ilgi alanına girecek senaryoların kullanılması önemlidir.

Hazırlık aşaması tamamlandıktan sonra phishing simülasyon kampanyası başlatılır, epostalar gönderilir ve kampanya süresiz olarak erişime açık tutulur.

İzleme Aşaması

Yetkisiz kişilerce kontrol edilen eposta hesaplarının tespiti içi izlenmesi gereken farklı parametreler vardır. Bu parametreler ve bunların nasıl değerlendirilmesi gerektiği ile ilgili detaylar aşağıdaki gibidir.

1. Gecikmeli ve Beklenmeyen Tıklamalar

Simülasyon e-postalarına gerçek kullanıcılar tarafından gelen tıklamalar genelde eposta gönderildikten sonra ilk birkaç gün içinde gerçekleşir.  Eposta gönderildikten belirli bir süre sonra (2-3 hafta) gelen tıklamalar, alışılmış kullanıcı davranışlarının dışında değerlendirilebilir. Özellikle kullanıcı bu tıklamayı gerçekleştirmediğini söylüyorsa, e-posta kutusuna yetkisiz erişim ihtimali göz önüne alınmalıdır.

2. Mesai Dışı Tıklamalar

Simülasyon bağlantılarına gece yarısı, hafta sonu ya da resmi tatil gibi mesai saatleri dışında gelen etkileşimler, olağandışı erişim ihtimaline işaret edebilir. Örneğin, İnsan Kaynakları birimiden Merve hanım gece 01:30’da neden “Sunucu erişim” epostasındaki bağlantıya tıklasın ki?

3. IP Adresi

Simülasyon çözümleri genellikle tıklama anında tıklayanın IP adresini  kaydeder. Eğer bu bilgi kullanıcının çalıştığı ofisten farklıysa, bu durum dışarıdan erişimin  habercisi olabilir.

4. İşletim Sistemi Uyumsuzluğu

Tıklama sırasında kaydedilen işletim sistemi bilgisi, kullanıcının kurum içinde kullandığı sistemlerle uyuşmuyorsa, erişimin farklı ya da yetkisiz bir cihazdan gerçekleşmiş olabileceği değerlendirilebilir. Örneğin, kurum bünyesinde Windows ve iOS cihazlar kullanılıyorsa neden bir Android cihazdan tıklama yapılmış olsun ki?

5. Farklı Cihazlardan tıklanması

Aynı bağlantıya hem PC, hem de Mobil Cihaz’dan tıklanması da şüpheli bir durumdur, zira kullanıcı bağlantıya bir kere tıkladıktan sonra bağlantının neyle ilgili olduğunu artık görmüştür ve ikinci kez, hem de farklı bir cihazdan tıklaması normal şartlar altında beklenmez.

6. Farklı Tarayıcılar

İster aynı cihazdan olsun, ister farklı cihazlardan, bir kullanıcı aynı bağlantıya neden iki farklı tarayıcıdan tıklasın ki?

7. Çok sayıda Tıklama

Normal şartlarda bir bağlantıya gerçek bir kullanıcı 1 defa tıklar. Bazı durumlarda 2 tıklama da yapılabilir ancak bir bağlantıya 5 defa tıklandıysa bu bir yetkisiz erişim göstergesi olabilir.

8. Pasif Hesaplarda Tıklama

İşten ayrılmış bir çalışana ait e-posta hesabına simülasyon gönderildiğinde hâlâ tıklama gerçekleşiyorsa, bu durum hesabın erişime açık olduğunu ve yeterince denetlenmediğini gösterebilir.

Simülasyon Çözümlerinin Güvenlik Mimarisine Katkısı

Böylelikle, Phishing simülasyon ürünleri sadece farkındalık ölçümü için değil,  farklı amaçlar için de kullanılabilir.  Bu kullanım alanlarından biri de email honeypot sistemidir. Bu çok amaçlı kullanım, simülasyon çözümlerinin güvenlik mimarisi içinde daha stratejik bir yere konumlanmasına olanak tanır.

Phishing Simülasyon Çözümlerinin Email Honeypot Olarak Kullanılması yazısı ilk önce PhishGuard Siber Farkındalık üzerinde ortaya çıktı.

GoPhish Nedir?

GoPhish, açık kaynaklı bir phishing (kimlik avı) simülasyonu ve farkındalık testi aracıdır. Siber güvenlik ekiplerinin ve IT yöneticilerinin, çalışanların phishing saldırılarına karşı farkındalıklarını test etmelerini sağlar. Kullanıcı dostu bir arayüze sahiptir ve herhangi bir kod yazma gerektirmeden phishing kampanyaları düzenlemeye olanak tanır.

Şirket altyapınızda bir Linux sunucuya kurarak kullanabileceğiniz GoPhish şu özellikleri sunar:

• Phishing Simülasyon: Kolayca yapılandırılabilen phishing senaryoları ile çalışan farkındalığını ölçebilirsiniz.
• Raporlama ve Analiz: Açılan e-postalar, tıklanan bağlantılar ve girilen kimlik bilgilerini takip ederek detaylı raporlar oluşturabilirsiniz. Raporlar görsel ve Excel dosyası şeklinde oluşturulabilir.

GoPhish kurulumu ve kullanımı kolay bir ürün olmakla birlikte bazı artıları ve eksileri bulunmaktadır.

Artıları

Ücretsiz ve Açık Kaynaklı: GoPhish tamamen ücretsizdir ve açık kaynak kodlu olduğu için özelleştirilebilir. Kurumlar, ihtiyaçlarına göre sistemi değiştirebilir.

Kullanıcı Dostu Arayüz: Web tabanlı arayüzü sayesinde phishing kampanyaları hızlı ve kolay şekilde oluşturulabilir ve yönetilebilir.

API Desteği ile Entegrasyon Kolaylığı: GoPhish, sunduğu API desteği ile birlikte farklı altyapı ve güvenlik sistemleriyle entegre edilebilir.

Eksileri

Teknik Özellikleri Kısıtlı: Temel phishing özelliklerini iyi bir şekilde sunsa da detaylı bir phishing çalışması için gerekebilecek bazı teknik özellikleri eksiktir.

Phishing Simülasyon Kütüphanesi Yok: Profesyonel ürünlerde bulunan phishing simülasyon kütüphanesi GoPhish’te bulunmamaktadır. Bu kütüphanenin kullanıcı tarafından  oluşturulması gerekmektedir ki bu da zaman ve efor gerektirir.

Eğitim Modülü Yok: GoPhish sadece phishing simülasyonu yapar, ancak başarılı veya başarısız olan çalışanlara eğitim atama gibi özellikler sunmaz. Kurumların farkındalık eğitimlerini ayrı bir platform üzerinden yürütmesi gerekir.

Hazır GoPhish simülasyon template’leri için lütfen iletişime geçiniz.

Profesyonel Phishing ve Farkındalık Eğitimi çözümü için tıklayın.

Kurulum

Yapılacak işlemler, kurumsal bir kullanım olacağı düşünülerek Ubuntu Linux için anlatılmıştır, diğer Linux versiyonları için de adımlar aynıdır. Kurulumun yapılacağı sistemin IP adresinin 192.168.1.101 olacağı varsayılmıştır ve adımlar bu IP adresine göre belirtilmiştir. İlgili adımları, sisteminize vereceğiniz IP adresine göre düzenleyebilirsiniz.

Kurulum adımlarına GoPhish’in resmi dökümantasyonu üzerinden de ulaşabilirsiniz: Installation | GoPhish User Guide. Dökümantasyonda belirtilen “build” yöntemi güncel Linux sürümlerinde maalesef başarısız olmaktadır. Bu nedenle “pre-built binary”leri indirerek kullanmak işinizi kolaylaştıracaktır. Bunun için aşağıdaki komutları çalıştırabilirsiniz.

Gerekli Paketlerin Yüklenmesi

GoPhish’in İndirilmesi ve ayarlarının yapılması

Varsayılan olarak GoPhish yönetim konsoluna sistem IP adresi (bizim durumumuzda 192.168.1.101) ve 3333 portu üzerinden erişilebilmektedir. Yani http://192.168.1.101:3333 gibi. Portu değiştirmek isterseniz, bulunduğunuz GoPhish dizini içerisindeki config.json dosyasından değiştirebilirsiniz.

GoPhish’in Başlatılması

Dikkat: Eğer komutu & olmadan çalıştırırsanız, terminalde başka komut çalıştıramazsınız. & işareti, komutun arka planda çalışmasını sağlar.

Olası Hatalar:

• Komutu çalıştırdıktan sonra “Exit” kodu görürseniz, uygulama başarılı bir şekilde çalışmamış demektir. Ekrandaki hata mesajlarını incelemek gerekir. Genelde linux sistemi üzerinde Apache gibi 80. portu kullanan bir uygulama çalışıyorsa hata alınabilir. Bu durumda Apache veya ilgili uygulamanın durdurulması veya kaldırılması gerekir.

Komut başarılı şekilde çalıştıktan sonra ekrana, sisteme erişim için kullanacağımız kullanıcı adı ve şifre ile birlikte IP adresi ve port bilgisi yazılacaktır. Bu bilgileri not edin. Daha sonra kişisel bilgisayarınızda burada belirtilen IP adresi ve port bilgisini tarayıcınıza girerek GoPhish admin arayüzüne erişebilirsiniz. Örneğin; http://192.168.1.101:3333 gibi.

Ayarlar ve Kullanım

Daha önce de belirttiğimiz gibi, GoPhish kullanımı genel olarak kolaydır. Bir phishing simülasyonu başlatmak için User Group, Email Template, Landing Page, Sending Profile oluşturup, daha sonra bu 4 bileşeni yeni bir Campaign altında birleştirmeniz gerekmektedir.

• User Group: Hedef kullanıcı listesinin oluşturulduğu alandır. Kullanıcı listesini bir CSV dosyası aracılığıyla da yükleyebilirsiniz.
• Email Template: Bu alandan kullanıcılara gönderilecek olan phishing e-posta içeriği oluşturulur.
• Landing Page: Bu alandan, kullanıcı e-postadaki bağlantıya tıkladığında açılacak sahte web sitesi ayarları yapılır.
• Sending Profile: Phishing simülasyon e-postasının hangi gönderici e-posta adresinden ve hangi SMTP sunucusu üzerinden gönderileceği ayarlanır.

Bu ayarlarla ilgili detaylara GoPhish resmi dökümantasyonu üzerinden ulaşabilirsiniz: Building Your First Campaign | GoPhish User Guide.

Bunlar arasında ön çalışma gerektiren en önemli ayar Sending Profile ayarıdır, buraya bir parantez açmak gerekir.

Sending Profile Ayarı (SMTP Yapılandırması)

Sending Profile ayarından göndereceğiniz simülasyon e-postalarının hangi SMTP sunucusu üzerinden gönderileceğini ayarlayabilirsiniz. Burada iki seçeneğimiz var; Mevcut bir SMTP sunucusunun kullanılması veya GoPhish sunucusu üzerine SMTP servisinin kurulması.

Mevcut SMTP Sunucusu

İlk seçenek olarak şirketinize ait bir SMTP sunucusu üzerinde bir hesap oluşturup, daha sonra bu hesap bilgilerini (SMTP hostname, username, password) Sending Profile alanına girerek simülasyon e-postalarını bu SMTP sunucusu üzerinden gönderebilirsiniz.

Yerel SMTP Kurulumu

GoPhish sunucunuza Postfix SMTP servisi kurarak gönderimi buradan yapabilirsiniz. Bunun için izlenmesi gereken adımlar aşağıdaki gibidir:

Postfix SMTP Kurulumu

Varsayılan olarak postfix, kurulu olduğu makineden e-posta gönderimine izin verir. Ancak emin olmak için aşağıdaki komutla postfix konfigürasyon dosyasına bakılarak 127.0.0.1 IP adresinin e-posta gönderimine izin verilen IP adresleri arasında olup olmadığı kontrol edilir:

“mynetworks = 127.0.0.0/8” gibi bir satır görüyorsanız herhangi bir şey yapmanıza gerek yok, görmüyorsanız “mynetworks” parametresinin karşısına “127.0.0.0/8” sözcüğünü de eklemeniz gerekir.

Bu ayarı yaptıktan sonra GoPhish sunucunuz artık bir SMTP sunucusu olarak da çalışacaktır. Sending Profile ekranında Host’a “localhost” veya 127.0.0.1 girerek, username ve password girmeden ayarı kaydedebilir ve daha sonra kullanabilirsiniz.

Alternatif Seçenekler

GoPhish, kullanımı kolay ve ücretsiz bir phishing simülasyon aracıdır. Ancak teknik özellikleri kısıtlıdır ve Email Template ve Landing Page kütüphaneleri bulunmamaktadır. Bu nedenle kullanımı bazı zorlukları da beraberinde getirebilmektedir. Daha profesyonel ürün gereksiniminiz veya GoPhish için hazır e-posta ve Landing Page template arayışınız olması durumunda bizimle iletişime geçebilirsiniz.

GoPhish Phishing Framework Kurulumu ve Kullanımı yazısı ilk önce PhishGuard Siber Farkındalık üzerinde ortaya çıktı.

Log4j Nedir?

Log4j, Java tabanlı bir log işleme aracıdır ve birçok uygulamada kullanılmaktadır. Log4j, uygulamalar tarafından üretilen log kayıtlarını yönetmek ve kontrol etmek için yaygın olarak kullanılır; hata ayıklama, izleme ve sorun gidermeye yardımcı olur.

Log4j Zafiyeti Nedir?

Log4j güvenlik açığı (Log4Shell zafiyeti olarak da bilinir), Apache Log4j 2 kütüphanesinde keşfedilen kritik bir güvenlik açığıdır. Bu zafiyet, siber saldırganların log kayıtlarına kötü amaçlı kod enjekte etmelerine olanak tanır.  Log4j bu mesajları işlediğinde, kötü amaçlı kod dizinlerini de yürütür ve bu da uzaktan kod yürütme ve yetkisiz erişime yol açabilir. Log4j zafiyeti, siber saldırganların uzaktan kod yürütmesi için kimlik doğrulama veya yetkilendirme gerektirmeksizin bir fırsat sunar; bu da sistemleri ve verileri riske sokabilir.

Uygulamalı Log4j eğitimi için tıklayınız.

Log4j Zafiyeti Ne Zaman Ortaya Çıktı?

Güvenlik açığı, ilk kez 9 Aralık 2021 tarihinde kamuoyuna açıklandı. Apache Log4j 2 kütüphanesindeki bu kritik güvenlik açığı, uzaktan kod yürütme ve yetkisiz erişim potansiyeli nedeniyle geniş çapta dikkat çekti. Log4j’nin bakımını üstlenen Apache Yazılım Vakfı, açığı gidermek amacıyla yamalar ve güncellemeler yayınladı. Dünya genelindeki organizasyonlar, riski azaltmak amacıyla Log4j kütüphanelerini güvenli sürümlere güncellemek için hızlı bir şekilde harekete geçti.

Log4j Zafiyeti Ne Tür Sorunlara Sebep Olur?

1. Veri Hırsızlığı

Siber saldırganlar, ilgili güvenlik açığını kullanarak hedef  sistemlerde bulunan hassas verilere yetkisiz erişim sağlayabilirler. Bu, kişisel tanımlayıcı bilgiler, finansal veriler, iş sırları ve daha fazlasını içerebilir.

2. Hizmet Kesintisi

Log4j zafiyetini kullanan siber saldırganlar, uygulamaların, hizmetlerin ve sistemlerin normal işleyişini bozabilir, böylece kullanıcılar için hizmet kesintileri ve aksaklıklar meydana gelebilir.

3. Uzaktan Kontrol

Log4j zafiyeti, siber saldırganların hedef sistemler üzerinde uzaktan kontrol sağlamalarına olanak tanır. Bu kontrol, sistemleri çeşitli kötü niyetli amaçlar için manipüle etmek veya kötüye kullanmak için kullanılabilir.

4. Kötü Amaçlı Yazılım Yayılması

Siber saldırganlar, Log4j’yi kullanarak hedef sistemlere fidye yazılımı veya casus yazılım gibi kötü amaçlı yazılımlar enjekte edebilir ve dağıtabilirler.

Log4j Zafiyeti’nden Etkilenen Şirketler

Log4j zafiyetinden etkilenen şirketlerden bazıları aşağıda listelenmiştir:

Apple: Teknoloji devi Apple, bazı ürünlerinin Log4j güvenlik açığından etkilendiğini doğruladı. Ancak, güvenlik önlemleri nedeniyle ürünlerinin çoğunun etkilenmediğini belirttiler.

Amazon: Amazon Web Services (AWS),bir bulut bilişim platformu olarak, Log4j zafiyetinin  etkisini kabul etti. Konuyla ilgilenen Amazon  ekibi, AWS hizmetlerinin Log4j sürümünü kullandığı durumları tespit etti ve riskleri azaltmak için hızlı bir şekilde harekete geçti.

Facebook: Sosyal medya platformu Facebook, Log4j zafiyetini tespit etmek için sistemlerini değerlendirdi ve kullanıcı verilerini korumak için platformlarını yamalayıp güvence altına aldı.

Twitter: Siber saldırganlar, Log4j zafiyetini kullanarak Twitter’ın sistemlerini etkilemeye çalıştılar. Twitter herhangi bir saldırıyı doğrulamasa da , potansiyel riski kabul etti.

Microsoft: Microsoft’un Azure bulut hizmetleri de Log4j zafiyeti nedeniyle etkilendi. Microsoft ilgili zafiyeti araştırdı ve hizmetlerini güvence altına aldı.

PayPal: Çevrimiçi ödeme servisi PayPal, hizmetlerini ve müşteri bilgilerini korumak amacıyla Log4j zafiyetine öncelik verdi.

Baidu: Çin teknoloji şirketi Baidu’nun da Log4j zafiyetinden etkilendiği bildirildi.

Log4j Zafiyetinden Nasıl Korunulur?

Log4j zafiyetinden sistemlerinizi korumak için aşağıda yer alan önlemleri uygulayabilirsiniz :

Yamaları Uygulayın: Log4j geliştime ekibi veya yazılım sağlayıcınız tarafından bir yama yayımlandıysa ,hemen yamayı uygulayın. Yamalar genellikle zafiyeti düzeltmek ve istismarı önlemek amacıyla yayımlanır. Yamaları yalnızca güvenilir kaynaklardan indirdiğinizden emin olun.

Log4j’yi Güvenli Sürüme Güncelleyin: Eğer mevcut sürümünüz için bir güvenlik yaması bulunmuyorsa, Log4j’yi güvenli bir sürüme güncellemeniz gerekecektir. 2.15 ve sonraki sürümler, ilgili zafiyeti ele almak için tasarlanmıştır.

JNDI’yi  Devre Dışı Bırakın: JNDI (Java Naming and Directory Interface), çeşitli adlandırma ve dizin hizmetlerine erişmek için kullanılan bir Java API’dir. Siber saldırganlar , JDNI aramalarını, kötü amaçlı yazılım enjekte ederek ,kötüye kullanabilirler. Bu nedenle, JDNI’yi devre dışı bırakarak Log4j zafiyeti riskini önemli ölçüde azaltabilirsiniz.

Filtreleme ve Beyaz Listeleme (WhiteList) Uygulayın: Güvenlik duvarlarınızı, sızma tespit sistemlerinizi ve diğer güvenlik araçlarınızı, potansiyel olarak zararlı yükler içeren gelen istekleri engellemek veya izlemek üzere yapılandırabilirsiniz.

Ağ Tabanlı Filtreleme: Cloudflare, Imperva veya Akamai gibi hizmetleri kullanarak Log4j güvenlik açığını hedef alan saldırı girişimlerini tespit edip engellemek mümkündür.

Uygulamaları Tarayın: Yönetilen uygulamaları tarayarak Log4j güvenlik açıklarını tespit edebilirsiniz. İlgili işlem için CERT-CC ve CISA’nın açık kaynak tarama araçlarını kullanabilirsiniz.

Kötü Amaçlı Etkinlikleri İzleme: Tehdit avı ve sürekli izleme yöntemlerini kullanarak sızma ve şüpheli etkinlikleri tespit edebilirsiniz.

Web Uygulama Güvenlik Duvarları (WAF) Kurun: WAF, zararlı istekleri filtreleme, saldırı girişimlerini engelleme, sanal yama sağlama, hız sınırlama, davranış analizi ve gerçek zamanlı izleme gibi işlevlerle koruma sağlar. WAF kurulumu ile uygulamalarınızı Log4j zafiyeti risklerine karşı koruyabilirsiniz.

Düzenli Bir Şekilde Güvenlik Denetimlerini Yapın: Sistem günlüklerinizi ve ağ trafiğinizi yetkisiz veya şüpheli faaliyet belirtileri açısından izlemek için düzenli güvenlik denetimleri ve zafiyet değerlendirmeleri yapın.

Güvenli yazılım geliştirme eğitimlerimizle ilgili detaylı bilgi için lütfen iletişime geçin.

Log4j zafiyeti nedir? Uygulamalı Eğitim yazısı ilk önce PhishGuard Siber Farkındalık üzerinde ortaya çıktı.

SQL Injection, bir web uygulamasının güvenlik açığını sömürerek veritabanı (MySql, MSSql, Oracle gibi) üzerinde istenmeyen SQL sorgularının çalıştırılmasına izin veren bir saldırı türüdür. Bu saldırıcı sonucunda saldırgan normalde şartlarde erişememesi gereken verilere erişebilir, bu verileri silebilir veya değiştirebilir.

Web uygulamaları genellikle kullanıcı girişi veya farklı formlar (üye olma, üyelikten ayrılma gibi) aracılığıyla kullanıcıdan veri gerişi yapmasını ister ve bu verileri veritabanına işler. SQL Injection zafiyeti, kötü niyetli bir kullanıcının kullanıcı girişi veya form alanlarına özel olarak oluşturulmuş kötü amaçlı veriler göndererek, uygulamanın veritabanı sorgularını  kötüye kullanmasına olanak tanır.

SQL Injection Nasıl Yapılır?

Web uygulamalarında kullanıcı girişi, üyelik veya arama formları gibi giriş alanları, saldırganların injection yapabilecekleri hedef noktalarıdır. Siber saldırganlar, bu giriş alanlarına kötü amaçlı SQL kodlarını enjekte ederek veritabanına zarar verebilir veya hassas verilere erişebilirler.

SQL Injection saldırısının nasıl yapıldığını aşağıdaki görsel üzerinden hızlıca ve basit şekilde anlatabiliriz. Görselde yer alan web sitesinde bir “Unsubscribe”, yani üyelikten ayrılma formu görülmektedir. Normal şartlarda bu forma bir eposta adresi girilmesi lazım. Fakat saldırgan eposta adresi yerine, eposta adresine eklenmiş bir SQL sorgusu gönderir. Eğer web sitesinde söz konusu zafiyet varsa bu sorguyla erişmemesi gereken verilere erişebilir.

Siber saldırganlar, web uygulamalarında kullanılan sorgu dizinlerini inceleyerek injection yapabilecekleri açıklar bulabilirler. Özellikle kullanıcı tarafından sağlanan verileri doğrudan sorgu dizinlerine birleştiren uygulamalarda bu tür zafiyetler sık görülür.

Uygulamalı SQL Injection eğitimi için tıklayınız.

SQL Injection Saldırı Türleri

Union-Based Injection

Bu saldırı türünde, siber saldırgan UNION operatörünü kullanarak SQL sorgusuna başka bir sorguyu ekler. Bu, saldırganın veritabanındaki farklı tabloları birleştirmesine ve verileri ele geçirmesine olanak tanır.

Error-Based Injection

Bu saldırı türünde, siber saldırgan SQL sorgusunda bir hata oluşturarak veritabanından hata mesajlarını elde etmeye çalışır. Bu hata mesajları, saldırganın veritabanı yapısını keşfetmesine ve hassas bilgilere erişmesine yardımcı olabilir.

Blind SQL Injection

Bu saldırı türünde, saldırganın veritabanından doğrudan hata mesajları veya sonuçlar alması mümkün olmayabilir. Ancak, saldırgan mantıksal ifadeleri kullanarak doğru ve yanlış koşullarını test edebilir. Bu yöntemle, siber saldırganlar veritabanında saklanan bilgilere ulaşabilirler.

Time-Based Injection

Bu saldırı türünde, siber saldırganlar sorgunun işlem süresini etkileyerek doğru ve yanlış koşullarını test ederler. Sorgu zamanlaması üzerinden yapılan testlerle, siber saldırganlar veritabanı yapısını keşfedebilir veya veri çalma işlemini gerçekleştirebilir.

Stored Procedure Injection

Bu tür saldırıda, saldırganlar veritabanında saklanan prosedürlere SQL enjeksiyonu yaparlar. Saldırganlar, prosedürlerin davranışını değiştirerek veya ek kod ekleyerek veritabanında istenmeyen işlemler gerçekleştirebilir.

Second-Order Injection

Bu saldırı türünde, siber saldırganlar ilk etapta kötü amaçlı SQL kodu enjekte etmezler, ancak giriş verileri veritabanında saklanır ve daha sonra başka bir işlem sırasında etkinleştirilir. Bu yöntemle saldırganlar, veritabanı üzerinde daha ileri bir yetki elde edebilirler.

SQL Injection saldırısına Maruz Kalmış Şirketler

Sony Pictures

2014 yılında Sony Pictures Entertainment, bir SQL Injection saldırısıyla karşı karşıya kaldı. Siber saldırganlar, şirketin veritabanına erişerek hassas bilgileri ele geçirdiler ve büyük miktarda veri sızdırdılar. Bu saldırının ardında politik ve finansal nedenler olduğu düşünülmektedir.

Heartland Payment Systems

Büyük bir ödeme işleme şirketi olarak bilinen Heartland Payment Systems 2008 yılında bir SQL Injection saldırısına maruz kaldı. Siber saldırganlar, şirketin ödeme sistemleriyle ilişkili veritabanına erişerek milyonlarca kredi kartı bilgisini çaldılar.

Yahoo

2012 yılında  Yahoo’nun Yahoo Voices adlı bir bölümüne yapılan  saldırı sonucunda, siber saldırganlar 450.000’den fazla kullanıcının kullanıcı adı ve şifresini elde ettiler.

Equifax

Equifax, 2017 yılında SQL injection saldırısı sonucunda milyonlarca kişinin kişisel verilerinin tehlikeye girdiği bir güvenlik ihlali yaşadı.

TalkTalk

İngiltere merkezli telekomünikasyon şirketi TalkTalk, 2015 yılında gerçekleşen bir SQL injection saldırısına maruz kaldı. Siber saldırganlar, TalkTalk’ün web sitesine  saldırı düzenleyerek müşteri veri tabanına eriştiler. Saldırı sonucunda, 157.000’den fazla müşterinin kişisel bilgileri (adresler, e-posta adresleri, kredi kartı bilgileri vb.) tehlikeye girdi.

SQL Injection Saldırısı Nasıl Önlenir?

Injection saldırılarından korunmak için aşağıdaki önlemlerin alınması gerekmektedir:

Parametre Doğrulama ve Filtreleme

Giriş alanlarından veya form verilerinden gelen parametreleri doğrulayın ve filtreleyin. Bu, parametrelerin türünü, uzunluğunu ve geçerli değerlerini kontrol etmek için giriş doğrulama tekniklerini kullanmanız gerekir.

Parametre Bağlama veya Hazır Sorgular Kullanma

SQL sorgularını dinamik olarak oluştururken parametre bağlama veya hazır sorgular tekniğin kullanın. Bu, verilerin sorgu metnine doğrudan birleştirilmesi yerine parametre olarak tanımlanmasını sağlar. Parametre bağlama veya hazır sorgular, SQL Injection zafiyetinin ortadan kalkmasını sağlar.

Uygun Kodlama

Güvenli yazılım geliştirme ilkelerine uygun olarak kod yazın. Veritabanı sorgularını oluştururken parametre bağlama yöntemlerini kullanmak, kullanıcı tarafından sağlanan verilerin güvenli bir şekilde işlendiğinden emin olmanızı sağlar.

Minimum Yetkilendirme

Web uygulaması üzerinden veritabanına erişim sağlayan kullanıcı hesaplarının minimum yetkilere sahip olmasını sağlayın. Bu, siber saldırganların veritabanı üzerinde istenmeyen işlemler gerçekleştirme olasılığını azaltır. Her bir kullanıcı hesabına sadece ihtiyaç duyulan yetkileri verin.

Güvenlik Duvarı (Web Application Firewall – WAF)

WAF, SQL Injection gibi yaygın saldırıları algılamak ve engellemek için kullanılabilir. WAF, zararlı SQL sorgularını tanımlamak için belirli kalıpları veya imzaları tarama yapabilir ve saldırıları önleyici önlemler alabilir.

Güncel ve Güvenli Yazılımlar

Kullanılan web uygulaması, veritabanı sistemleri ve diğer bileşenlerin güncel ve güvenli sürümlerini kullanın. Yazılım güncellemeleri genellikle güvenlik açıklarını düzeltir ve saldırılara karşı daha güçlü koruma sağlar.

Güvenli yazılım geliştirme eğitimlerimizle ilgili daha detaylı bilgi için lütfen iletişime geçin.

SQL Injection nedir, nasıl çalışır, nasıl engellenir? yazısı ilk önce PhishGuard Siber Farkındalık üzerinde ortaya çıktı.