2014'de Veda Ederken

"Tarih tekerrürden ibarettir" sözünün doğruluğu tartışılabilir ancak önümüzü görebilmek ardımızda kalanlardan öğrenebileceklerimizin olduğunu inkar edemeyiz.

Bazı alanlarda 2014 yılında yaşanan en önemli güvenlik ihlallerini kısaca toparladım, sıralamaları az önemliden, daha önemliye doğru yaptım. 

En çok kayıt çalınan 5 olay

5- Michaels Stores: Resim ve hobi malzemesi satan mağazalar zinciri 2.6 milyon müşterisine ait kimlik ve kredi kartı bilgilerinin çalındığını açıkladı.

4- Community Health Systems: Amerikalı hasten işletme devi 4.5 milyon hastasına ait kişisel bilgilerinin çalındığını duyurdu.

3- Home Depot: Amerikalı yapı marketin 53 milyon müşterisinin eposta adresleri çalındı. Bu bilgi geniş çaplı hedefli bir oltalama saldırısı kampanyası yürütmek için uygun bir zemin oluşturacaktır.

2- JP Morgan Chase Bankası: 7 milyonu kurumsal olmak üzere, 76 milyon müşterisine ait hassas bilgiler çalındı. Bankanın aynı zamanda büyük bir yatırım şirketi olması nedeniyle çalınan bilgilerin kredi kartı bilgilerinden fazlasını içerdiği tahmin edilmektedir.

1- Ebay: Mayıs ayında online alışveriş sitesinin 145 milyon kullanıcısının eposta adresi ve şifreli parolaları çalındı.

En çok ses getiren 5 olay

5- Sony: Kuzey Kore tarafından düzenlendiği düşünülen olayda SONY’nin ağ ve sistemlerinden yüklü miktarda veri çalındı. Obama bu işi “siber savaş” olarak adlandırmak yerine “siber Vandalizm” demeyi tercih etmiştir.

4- iCloud: Ünlülerle gereğinden fazla “samimi” olduğumuz malum olay. Çıkarılacak çok ders var. Web arayüzü üzerinden yapılan kontrollerin API ile entegrasyon sağladığımız noktalarda da yapılması gerektiği, basit parola kullanmamamız gerektiği, bu tür olayların zararlı yazılım dağıtımı için kullanıldığı ve en önemlisi: İnternet’te görmek istemediğimiz fotoğrafları çekmemekte fayda olduğunu.

3- BadUSB: USB belleklerin çeşitli yazılımlarla güvenlik çözümlerini atlatabilen, veri sızdırmak, sistemleri ele geçirmek için kullanılabilen tehlikeli hale getirilebileceğini gördük.

2- JP Morgan Chase: http://www.alperbasaran.com/2014/08/bosa-giden-250-milyon-dolar.html adresindeki yazımda ele aldığım olayın sebebinin, yapılan araştırmalar sonucunda, 2 aşamalı kimlik doğrulama sistemine (2 factor authentication) geçirilmemiş olan bir sunucudan kaynaklandığı görüşü ağırlık kazanmıştır.

1- Satır ve Regin: http://www.alperbasaran.com/2014/12/irann-stuxnete-cevab.html adresindeki yazımda “Satır operasyonundan söz ettim”. Regin zararlısının ise Belçikalı Telekom operatörü Belgacom’un ağına sızmak ve aylarca (yıllar demek mümkündür) fark edilmemeyi sağladığını gördük. BU olaylar bize dikkate almamız gereken gelişmiş saldırganların sadece Batı’dan değil, Doğu’dan da çıkabildiğini ve bize saldırıların müttefiklerimiz olabileceğini (Belgacom olayının ardında İngiliz istihbarat örgütünün olduğu düşünülmektedir) gördük.

En kritik 5 güvenlik zafiyeti

Bu başlık içime sinmedi. Bence saldırganın sistemden veri okumasına ve silmesine izin veren bütün açıklar kritiktir ama bu sene logosu bile olan bir zafiyetimiz olduğu için en yaygın olarak görülenleri derledim.

5- Heartbleed: Logosu olan çok zafiyet girmiyor hayatımıza. Kısaca bu zafiyetin bulunduğu şifreleme algoritması kullanıcı adı, parola, e-posta, anlık ileti gibi şifreli olması gereken iletişimin okunmasına imkan veriyor.

4- Shellshock: Bash (Bourne-Again Shell) üzerinde bulunan bir dizi zafiyettir. Bu zafiyeti istismar eden saldırganlar internete açık olan ve internet üzerinden gelen talepleri işlemek için bu kabuğu kullanan sistemlerde komut çalıştırabilmektedir.

3- Poodle: Ağ trafiğini üzerine alabilen (Man-in-the-Middle) saldırganların paketleri daha az güvenli olan SSL 3.0 sürümünü kullanmaya mecbur bırakabildiği bu zafiyetle geçen trafiğin okunması mümkün olmaktadır.

2- Winshock: Savunma olarak bir adım önde olduğumuz, en azından önde olduğumuzu düşündüğümüz ender durumlardan biri. Saldırganların hedef sistem üzerinde komut çalıştırmasına imkan veren bu kritik zafiyet (CVE-2014-6321) Microsoft tarafından yayınlanan bir güncelleme sonucunda duyuldu. Bu durumda çözümü gayet basit olan bir zafiyet; güncellemeleri yapılması.

1- Yapmayı unuttuğunuz basit güncellemeler: Ağınız üzerindeki sistemler ve bu sistemler üzerinde çalışan yazılımlar için yayınlanan bütün güncellemelerin yapılması çok önemlidir. NTP (Network Time Protocol) üzerinde geçtiğimiz hafta ortaya çıkan zafiyet de dahil olmak üzere, kritik zafiyetlerin önemli bir kısmı Heartbleed gibi logoya ve medya ilgisini mazhar olmaz. Bu nedenle sistemlerimizin güncellemelerinin zamanında yapılması çok önemlidir.

2015 yılının güvenli geçmesi dileğiyle.