ÖMER ALTUNDAL tarafından yazılmış tüm yazılar

Siber güvenlik alanındaki kariyerine Borusan Telekom'da başlayan ve Şekerbank ile devam eden Ömer Altundal, sonrasında TTNET, Boyner Grubu ve Doğuş Grubu'nda yönetici olarak devam etmiştir. Halen kendi girişimi olan İngiltere merkezli RedSpark Cyber Security şirketinde siber güvenlik danışmanı olarak kariyerini devam ettirmektedir. Evli ve bir çocuk babasıdır.
Makale & Analiz

Bizimkisi bir hack hikayesi

Yorum yapın

Gün geçmiyor ki büyük bir şirketin web sitesinde, mobil uygulamasında, API’larında vs tespit edilen bir açıklık nedeniyle kuruma ilişkin veriler ya da müşterilere ait kişisel veriler sızmasın. Bazen öyle durumlar oluyor ki, sadece müşteri verileri değil, potansiyel müşterilere ait veriler de sızdırılabiliyor.

Potansiyel müşteri mi? Nasıl yani?

Evet yanlış okumadınız, bazen öyle zafiyetler tespit edilebiliyor ki, kurumun sadece mevcut müşterileri değil, bu kurumun kullandığı web servisler aracılığıyla data çektiği 3. taraflardan tüm vatandaşların bilgileri dahi çekilebiliyor. Bu seferki anlatacağım hikayeyi doğrudan kendim gerçekleştirdim. Herhangi bir yasal sonuca sebep olmamak adına firma adını ve sektörü paylaşmayacağım.

Geçtiğimiz haftasonu, kendi ihtiyacım olan bir ürün için farklı firmaların web sitelerini dolaşıyordum. Bir tanesi ilgimi çekti. Verdiği ürünün fiyatından ziyade, bana bu ürünü sunuş şeklinde bir gariplik vardı. Ürün bilgileri için detayları TC Kimlik Numarası ile birlikte girdiğinizde size sadece fiyat gösteriyordu. Fakat o da ne? Belki şuraya küçük şirin bir link koyalım diye düşünmüşler ve potansiyel müşterilerine daha fazla bilgi vermek istemişlerdi.

Baktığınızda çok güzel geliyor. Bana ayrıntılı şekilde ürünü anlatan bir firma. Hemen o heyecanla linke tıklıyorsunuz ve sizin için oluşturulan PDF dokümanını görüyorsunuz. Bu PDF dosyasında ilk gözüme çarpan şey Adım Soyadım olmuştu. Ad-Soyad bilgisinin ne zararı olsundu ki… Ama bir saniye, ben adımı girmedim ki? Hatta TCKN dışında girdiğim tüm bilgiler sahteydi. (Öyle her siteye doğru bilgi girecek halimiz yok tabi, TCKN’nin gerçek olması gerekiyordu). Çok ilginç, ben kimlik numaramı girdim fakat o bilginin bana ait olduğunu teyid edecek 2. hatta 3. bilgi  (ad, soyad, baba adı vs) istemeden:

 

  • Adım
  • Soyadım
  • Türkiye’deki adresim
  • Doğum yılım

 

karşımdaydı. O anda bana bakan birisi beni aşağıdaki şekilde görmüştür sanırım.

Güvenlik alanındaki arkadaşlar, böyle bir durumda neler hissettiğimi tahmin ederler. Tabi ki bir sonraki adım bunun suistimal edilip, edilemeyeceğini anlamak olacaktı.

Zafiyetin varlığını doğrulama aşaması…

Evet bu bir kez benim için çalışmıştı, peki tekrar edilebilir bir şey miydi? Bir zafiyeti raporlayabilmek için tekrar edilebilir, yeniden üretilebilir olması gerekir. Sistem artık güven vermemeye başladığından, kendi ailemin vs kimlik bilgisini girmek istemedim.

Burada en güzel yöntem gerçek kişiler yerine, rastgele TCKN kullanmak olacaktır. Peki TCKN nereden bulacaksınız?

TCKN 11 karakterli uzun bir sayıdır fakat sadece 11 karakterli olması ya da çift sayı olması bizim için yeterli değil. TCKN’nin, kredi kartı numarası algoritmasına benzeyen bir algoritması var. Burada ayrıntılı yazmayacağım, bir arama motorunda ararsanız hemen bulursunuz.

Bu aşamada TCKN algoritmasına uygun sayı üretmem gerekiyordu. Bunun için excelde basitçe random fonksiyonlarını kullanarak ve basamaklar arasındaki işlemi yaparak algoritmaya uygun 20 kadar sayı ürettim. Bunlar ile sisteme fuzzing yaptığımda, bir kısmına ilişkin PDF dokümanı linki oluştuğunu gördüm.

SİBER BÜLTEN OKURLARINA ÖZEL İNDİRİM: BU EĞİTİMİ KAÇIRMAYIN

Bu PDF dokümanlarını açtığımda tam tahmin ettiğim gibi, isimler, adresler, doğum yılları…

Bu zafiyetin 1. kısmıydı. Yani gönderdiğim TCKN’lere karşılık sahibine ilişkin ayrıntıları elde ettim. 2. Kısımda ise, hiçbir TCKN vermeden, oluşan linkteki sıralı numarayı fuzz ederek geçmişte oluşturulmuş tüm dokümanların da ulaşılabilir olduğunu gördüm. Eğer normal şartlarda bir authentication olan bir süreç olsaydı, bu zafiyetin adı IDOR olabilirdi: Insecure Direct Object Reference

Yani özetle sitede 2 tane büyük açıklık vardı. Tabi ki ilkinde tüm vatandaşların bilgilerini alabildiğiniz için çok daha büyük bir risk.

Buradan şunu da görmüş olduk, sadece sabah akşam Acunetix çalıştırıp XSS, SQLi arayarak böyle zafiyetleri bulamazsınız. Bu tip zafiyetler tamamen el yordamıyla çıkacak zafiyetlerdir.

Bu arada kurumun sayfasında gayet güzel yazılmış, çok ayrıntılı bir “KVKK Aydınlatma Metni” var. Siz usandınız duymaktan ama ben söylemeye devam edeceğim, Aydınlatma Metni, Açık Rıza vs ile şirketin, verilerinizi işleme ve paylaşması konusunda sadece belli bir disipline girmesine ufak katkınız olur ama bunlarla kişisel verileri koruyamazsınız. Görüldüğü üzere korumadı.

ÖMER ALTUNDAL YAZDI: 

KVKK her kurumda süreci kimin yönettiğine göre şekil alıyor

Nerede durmalıyız?

Burada durmalıyız, tam olarak burada. Örnek birkaç numara soguladık, bilgilerin her seferinde geldiğini gördük (tabi ki algoritmaya uygun her sayı TCKN değildir), raporlayabilecek kadar ekran görüntüsü aldık. Artık durma vaktidir. Eğer ethical hacker şapkasıyla birşeyler yapıyorsanız burada durmalısınız.

Sistemleri sömürmek, burada bulunan zafiyeti suistimal ederek data çekmek, uzun sürecek olsa da (11 haneli olması 100 milyar ihtimal demek değil, algoritmayı unutmayın) tüm TC vatandaşlarının bilgilerini çekmek (ölü ya da diri) çok büyük bir suçtur. Bunları yaptıktan sonra firmayı bilgilendirseniz dahi yapılan şey sahte kahramanlık olur. Yapılan işlem bilişim suçları kategorisinde değerlendirilir ve ciddi yaptırımları olur, olmalıdır da. Olsun lütfen!

Peki ne yapmalıyız?

Bu aşamada eğer zafiyeti tespit ettiğiniz şirketin Bug Bounty programı varsa şanslısınız. Bunu uygun kanaldan ilettiğiniz takdirde, size parasal bir ödül, kuruma ait eşantiyon ya da Hall of Fame’de adınızın yazılması olarak geri dönecektir. Tabi ki Türkiye’deki şirketlerin bu konuda oldukça çekingen olduğunu biliyoruz. Ben eski şirketlerimden birinde bunu uygulatmaya çalışmıştım fakat çok destek alamadım.

Ben de herhangi bir beklenti olmadan, aldığım ekran görüntüleriyle destekleyerek bir rapor hazırladım ve önce şirketin CEO’suna ulaşmaya çalıştım. Neden CEO diyebilirsiniz. Kişisel Veriler konusunda bir kurumda tepe yönetim sorumludur. En yüksek farkındalık orada olması gerekir. Çabalarım sonuç vermedi, IT direktörü pozisyonunda olduğunu gördüğüm kişinin kurumsal adresine (tabi adresi bilmiyorum) email ile bilgi verdim. Emaili bilmediğimden ad.soyad@kurum, asoyad@kurum, adsoyad@kurum gibi en olası formatlarda oluşturduğum adreslere ilettim. Yine cevap gelmedi. 1 ya da 2 gün sonra ilgili yönetici de, kendisine bağlı başka bir ekip üyesi email ile dönüş yaptı. Kendisine raporu ilettim. Telefonla da görüştük, aksiyon alacaklarını iletti ve teşekkür etti.

Zor ulaşsam da yaklaşım şekillerinden dolayı kendilerine teşekkür ediyorum ben de. Her zaman böyle yaklaşım göremeyebilirsiniz. Bir devlet hastanesinde bulduğum zafiyeti bildirğim için dayak yemediğim kalmıştı. Bir daha da bulaşmamaya söz verdim.

 

 

Bug Bounty Programları

Yukarıda kısaca değindiğim gibi, bazı şirketler Bug Bounty programları ile kendilerine zafiyet bildirimi yapan kişilere çeşitli ödüller veriyor. Özellikle Google, Facebook, Twitter, Apple vb şirketler bu konuda oldukça cömert olabiliyorlar.

Bulduğunuz zafiyetleri bildirmenin çeşitli yolları bulunuyor. Bazı şirketlere doğrudan bildirim yapabileceğiniz gibi, bazılarına ise farklı platformlardan ulaşabiliyorsunuz. Örneğin Hackerone, Synack, BugCrowd bunlardan birkaçı.

Buralarda alacağınız ödüller 1 milyon dolara kadar (rakamla 1.000.000) çıkabiliyor. Örneğin Apple, iOS’un kernelını, kullanıcı hiçbir şeye tıklamadan hackleyebilirseniz bu parayı size vermeyi vaad ediyor. Açıkçası böyle bir şey bulursanız gizli servislere daha yüksek fiyata satabilirsiniz bence.

https://developer.apple.com/security-bounty/

Son olarak tekrar hatırlatayım. Ofansif güvenlik çok eğlenceli gelebilir fakat sadece saldırarak bir kurumda güvenlik sağlayamazsınız. 360 Derece Bilgi Güvenliği konusunda yazdığım yazıyı okumanızı tavsiye ederim.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Makale & Analiz

360 Derece Bilgi Güvenliği

Yorum yapın

Bir önceki yazımı Maslow’un “Elinde çekiç olan, her şeyi çivi sanar” sözüyle bitirmiştim. Yazıyı bu anlamlı sözle bitirmemin tek sebebi hukukçular ile güvenlikçiler arasındaki ayrımı göstermek değildi. Bu söz hayatın çoğu noktasında karşılığını bulduğu gibi, bilgi güvenliği uzmanlarının kendi içinde de geçerli. O yazımın sonunda bu yazıma ufak bir gönderme yapmıştım.

Bilgi Güvenliği tek başına belli bir disiplinden ibaret değildir.Tam tersine, belki de bilgi teknolojileri alt dalları içerisinde en fazla konuya dokunan alan diyebilirim. Sistemden, networke, yazılımdan, insan kaynakları süreçlerine, fiziksel güvenliğe, regülasyonlara vs pek çok alana dokunur. Bu yüzden kurum içerisinde de etkin bir bilgi güvenliği yapısının tesis edilmesi için tüm bu konuları bilmek ve bu işlerin asıl sorumlularıyla iletişim halinde olmak, süreçlerin içinde olmak gerekir. Yani “büyük resmi görmek” için 360 derecelik bir bakış açısına sahip olmak gerekiyor.

Yukarıda bahsettiğimiz büyük resim gerçekten organizasyonun ve hatta organizasyon dışı faktörlerin tamamını kapsıyor. Burada organizasyon dışı faktörler biraz kafa karıştırmış olabilir, buna birazdan tekrar değiniriz.

Bilgi Güvenliği sadece Gizlilik demek değildir

 Bilgi Güvenliği’nde önce şu en temel şeyi tekrar hatırlamamız gerekiyor, biz bilginin sadece Gizlilik (Confidentiality) bileşenini değil, Bütünlük (Integrity) ve Erişilebilirlik (Availability) bileşenlerini de korumak durumundayız.

Gizliliğin ne olduğu az çok herkes biliyor. Örneğin sizin bir müşteri veritabanınız var, bu veritabanına sadece yetkili kişiler için erişim izni vermek ve diğer herkese karşı korumak gizliliğin sağlanmasıdır.

Diğer bileşenler için saldırı tiplerinden örnek vermek daha açıklayıcı olabilir. Sizin bir web siteniz var, bir sabah ofise geldiğinizde baktınız ki web sitesinin ana sayfasında X örgüte ilişkin propaganda mesajları var. İşte bu durumda sizin müşteri ya da diğer gizli bilgilerinize erişilmemiş ya da halen web siteniz erişilebilir olduğundan Erişilebilirlik bileşeni de zarar görmemiş olabilir. Gerçekleşen şey, olması gereken içeriğin bozulması, yani Bütünlük bileşeninin zarar görmesidir. Özetle Bütünlük, verinin bulunduğu ya da iletildiği ortamda bilinçli ya da bilinçsiz şekilde bozulmasının önlenmesidir.

Erişilebilirlik konusunda vereceğim örneği tahmin ediyorsunuzdur. DDoS saldırısı tam olarak bunu hedefler fakat sadece bu değil. Fidye amacıyla kullanılan ve diskinizdeki bilgilerin şifrelenmesine neden olan crypto zararlılarının da hedefi Erişilebilirlik’tir. Bu Bütünlük’e de zarar verse de aslında temel hedef Erişilebilirlik’tir.

Diyebilirsiniz ki “ama verdiğin tüm örnekler siber saldırılarla ilgili”, haklısınız. O zaman 1-2 tane de fiziksel dünyadan örnek verelim. Sel olması ve tek veri merkezinizdeki sistemlerinizin sular altında kalması, çalışması kazısı sırasında fiber kabloların kopması, yetkisiz birinin arşiv odasına girip tüm müşteri evrakını karıştırması vs. fiziksel dünyadan gelebilecek tehditlere sadece birkaç örnek.

Öncelikle bu giriş kısmıyla güvenliğin Gizlilik’ten ibaret olmadığını ortaya koymak istedim. Yazının devamında da kontrollerin de tek tip olmadığını, güvenliğin sadece teknik kontrollerden meydana gelmediğini göreceğiz.

 

 

 

 

 

 

 

 

 

 

 

360 Derece Bilgi Güvenliği ile neyi kast ediyoruz?

Bilgi Güvenliği sadece teknik kontroller ile sağlanabilecek bir konu değildir. Örneğin kilitli olmayan arşiv odasına misafirlerin girmesi, orada bulunan müşteri klasörlerini alıp götürmesi DLP ile engelleyebileceğiniz bir konu değildir. Ya da dere yatağına yapılmış veri merkezinizi sel basması ve sistemlerinizin 1-2 hafta çalışamaması Firewall ile engelleyebileceğiniz bir risk değildir.

Bunlar ve daha pekçok riski azaltmak için çok farklı kontroller uygulamak gerekmektedir. Bunlar Fiziksel Kontroller olabileceği gibi, İdari/Yönetsel Kontroller de olabilir. Örneğin işe giriş sırasında personele imzalatılan Kabul Edilebilir Kullanım Politikası, Parola Politikası, Gizlilik Sözleşmesi vs Yönetsel Kontroller’e örnektir.

Peki uygulayacağımız kontroller her zaman riski önlemeye yönelik kontroller midir? Hayır! Kontrol dediğimizde aklımıza ilk gelen şey Firewall, AV gibi Önleyici Kontrol grubundaki bileşenler olsa da, pekçok farklı kontrol Önleyici Kontrol kategorisine girmez.

Fiziksel kontrollerden başlarsak, örneğin kamera bir önleyici kontrol değil, İzleme Kontrolü’dür. Ya da bina içerisinde özel alanlara girişte yazan “Personel Harici Giremez” benzeri uyarı levhaları Caydırıcı Kontrollerdir. Ya da bir sisteme login olurken çıkan uyarı mesajları yine caydırıcı kontroldür.

Yönetsel Kontrol’ler ise daha çok sözleşme, mevzuat, standart vb kontrollerdir. Mesela GDPR/KVKK, yasal mevzuat ve yaptırımı olan bir mevzuat olsa da, önleyici bir kontrol değildir. Yasalar daha çok caydırıcı kontrollerdir. İçeriğine göre denetim gibi maddeler içeriyorsa İzleme Kontrolleri arasına da dahil edebiliriz.

En çok kullanılan başlıklara gore aşağıdaki tabloyu ve birkaç örneği hazırladım. Bazı örnekler yukarıda belirttiğim gibi birden fazla kategoriye de dahil olabilir. Tabi örnek sayısı da arttırılabilir.

 

 GÜVENLİK KONTROLLERİ Önleyici Kontroller
(Preventive Controls) 		İzleme Kontrolleri
(Detective Controls) 		Caydırıcı Kontroller
(Deterrent Controls)
 GÜVENLİK KONTROLLERİ Önleyici Kontroller
(Preventive Controls) 		İzleme Kontrolleri
(Detective Controls) 		Caydırıcı Kontroller
(Deterrent Controls)
Teknik Kontroller
(Technical Controls) 		Firewall, IPS, DLP, WAF, Endpoint Security vs Yama Yönetimi

Yedekleme

…

  SIEM, DAM, EDR vs Zafiyet Tarama

Sızma Testleri

…

  Logon mesajları

…
Fiziksel Kontroller
(Physical Controls) 		Turnike, bariyer, güvenlik görevlisi

Yedekli kablolama

…

  Kamera

Duman dedektörleri

…

  Uyarı tabelaları

…
İdari / Yönetsel Kontroller
(Administrative Controls) 		 Politikalar

Görevler ayrılığı

Farkındalık Eğitimleri

…

  İç ve Dış Denetimler  Sözleşmeler

Regülasyonlar

 

Bazı kaynaklarda Düzeltici Kontroller (Corrective Controls)  başlığı da görebilirsiniz. Bu da çok yaygın olarak kullanılan bir kategoridir. Bu daha çok bir denetim sonrası ortaya çıkan eksiklikleri giderme amacıyla uygulanan kontrollerdir. Örneğin bir pentest sonucu çıkan bulguların giderilmesi için alınan aksiyonları bu kategoriye koyabilirsiniz. Ya da yapılan bir iç/dış denetim sonrası gelen rapordaki uygunsuzlukarın giderilmesi için alınan aksiyonları (sistem odası girişine kart okuyucu koymak, sözleşmelere KVKK maddeleri eklemek, Veri Sınıflandırma Sistemi kurmak vs) yine Düzeltici Kontrol grubuna koyabiliriz.

Organizasyon dışı faktörler demiştiniz, açar mısınız?

Aslına bakarsanız uyguladığımız kontrollerin pek çoğu organizasyon dışındaki faktörlere karşı ya da onların talebiyle uyguladığımız kontrollerdir. Peki neler olabilir bu organizasyon dışı faktörler?

  • Yasa koyucu
  • Saldırganlar
  • Rakipler
  • Müşteriler
  • İş ortakları
  • …

Bunlar gibi pek çok etmeni göz önünde bulundurmamız gerekir bilgi güvenliğini tesis ederken. Bunlardan gelebilecek riskleri değerlendirmeliyiz. Örneğin devletin koyduğu mevzuata uyulmazsa ceza alınabilir. Diğer taraftan saldırganlar zaten en çok değerlendirilen dış faktörlerdir. Rakiplerimizin sanayi casusluğu yoluyla bizden sızdırabileceği ya da gereksiz bilgileri ifşa etmemiz nedeniyle pazar avantajı sağlaması başka bir risktir. Bu gibi senaryoların tamamını göz önünde bulundurmamız gerekiyor.

Kontrolleri uygulamada sınırımız ne olmalı?

Tüm bu yukarıda bahsettiğimiz alanlarda kontroller planlayıp, uygulayıp, iyileştirirken bilgi güvenliği ekibinin/sorumlusunun asıl hedefinin iş süreçlerine katkıda bulunmak, onları desteklemek olduğunu, alınan önlemlerin şirket ana faaliyetlerine köstek olmaması gerektiğini unutmamamız lazım. İngilizce tabirle “business blocker” değil, “business enabler” olmayan bir güvenlik yapısı, şirkete zarar verir. Örneğin bir e-ticaret işi yapıyor şirketiniz. Siz güvenlik konusunda uygulayacağınız kontrollerde müşteri deneyimi gibi en önemli business faktörünü göz ardı ederseniz, iş birimi gerekli onayları çok üst seviye yöneticilerden alacak ve sonraki gelişmelerin de büyük kısmını sizi by-pass ederek hayata geçirecektir. Fakat bu demek değildir ki siz her şeyi kabul edeceksiniz, tam tersi, risk sizin riskiniz değil zaten. Altına imzayı da o yüzden siz atmamalısınız. Biraz kafa karıştırabilir, bunu da ileride daha detaylı tartışabiliriz.

Bilgi güvenliğini gerçek anlamda tesis etmek için odağa sadece müşteri verilerini de koymamak gerekir. İyi bir yapıda, bilgi güvenliği yöneticisi organizasyon içindeki tüm departmanlarla (İK, İdari İşler, IT, Pazarlama, Müşteri İlişkileri vs) sürekli iletişimde olmalı ve riskleri onlarla beraber değerlendirmelidir. Aksi takdirde sadece IT odaklı bir bilgi güvenliği anlayışı çok eksik kalacaktır.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Makale & Analiz

KVKK her kurumda süreci kimin yönettiğine göre şekil alıyor

Yorum yapın

Nisan 2016’da yayınlanan ve 2 senelik uyum süresi geçen sene Nisan’da dolan KVKK ile ilgili tartışmalar bitmiyor. Herkesin kafasında çeşitli sorular var.

Burada benim gördüğüm en önemli sorunlardan birini “Çok fazla gri bölge içeren hukuk ile, tamamen 1 ve 0 kadar yalın sonuca gitmeyi hedefleyen IT’ci bakış açısının çakışması” oluşturuyor.

Hemen her yasal mevzuatta olduğu gibi burada da yoruma açık pek çok nokta var. Mesela Veri Sahibi’nin, Veri Sorumlusu’na yapacağı istek, şikayet gibi konular. Mevzuat tam olarak hangi yöntemin kullanılması gerektiğini belirtmediği için, Veri Sorumlusu da (biraz da gelebilecek asılsız istek ve şikayetlerin miktarını azaltmak, frenlemek için) “Veri Sahibi’ni doğrulama” adıyla işi zorlaştırabiliyor. KEP (Kayıtlı Elektronik Posta) adresinden gelmesi vb yöntemler talep ediyor. Açıkçası bence çok da haksız değiller. Sonuçta ben Ömer Altundal olarak X firmasından bana ait hangi verileri tuttuğunu öğrenmek ve onları sildirmek vs istiyorsam, X firmasının benim ben olduğumu onaylaması lazım. Yani benim Ömer Altundal olduğumu iddia etmem Identification, onların benim kimliğimi doğrulaması Authentication. Bilgi Güvenliği’nin en temel kavramları olan bu adıma kimse itiraz edemez.

Bu sadece bir örnek. Bu spesifik örnek dışında, Kanun’la ilgili genellikle sıkıntı duyulan noktalardan bir tanesi uyum sürecinin, ilgili kurum içerisinde kimler tarafından yürütüldüğüne bağlı olarak yorumlanması.

ASIL AMACIN KİŞİSEL VERİLERİ KORUMAK OLDUĞU UNUTULMAMALI

 

Genel olarak 2 farklı grup var diyebiliriz.

Hukukçular tarafından yönetilen uyum sürecinde, tamamen mevzuatta bulunan kelimelere odaklanılıp, sadece prosedürel konulara öncelik veriliyor. Örneğin bir aydınlatma metninin yazılması için tekrar tekrar toplantılar yapılıp, “virgülü nereye koysak, enter’a 2 defa basıp paragrafın arasını açsak mı” gibi kanunun amacından çok çok uzak konularda patinaj çekilebiliyor. Verbis’e yüklenecek envanterin oluşturulması için aylarca uğraşan şirketler biliyorum.

Diğer grubu ise daha çok güvenlik ekipleri tarafından yönetilen süreçler oluşturuyor. Bu grubun kanunun da amacına uygun olarak kişisel verileri koruma konusunda pratik adımlara daha fazla yoğunlaştığını ifade edebilirim. Kanunun amacı Kişisel Verileri Korumak. Aydınlatma metni, veri sahibinin itiraz süreci vb konular daha çok “şeffaflaşma” ile ilgili konular. Tabi ki şeffaflığın da güvenliğe katkısı olacağı kabul ediliyor fakat arka tarafta diğer tedbirlere odaklanılmamış, büyük bir açık kapı bırakılmışken, bu tedbirleri almak için yatırım yapılmazken, hukuki danışmanlığa çuvalla para dökülmesi müşteri verisini korumayacak, sadece metin anlamında ilgili kişileri tatmin edecektir.

Yazacağınız Aydınlatma Metni’nin, web sitenizde bulunan ve tüm müşteri verilerini sızdıran SQL Injection açığını gidermeye hiçbir faydası olmayacaktır. Ya da Verbis’e yüklediğiniz Veri Envanteri, 3.taraflarla kurduğunuz bağlantılarda kullandığınız API’larda bulunan açık nedeniyle müşteri verilerinizin sızmasını engellemeyecektir. SSH bağlantısı açık ve erişim bilgileri admin/admin olan bir firewall ve arkada yine düzgün yapılandırılmamış veritabanı sunucusu ile parkta yürür gibi şirketin veri tabanına girip çıkıyorken, aslında kopyala yapıştır yapılabilecek kadar kolay (azıcık kendi şirketinize uyarlamayla) olan Aydınlatma Metni yazdırmak için 5-6 basamaklı bütçeler ayırmanın faydası ne yazık ki yok.

GÜVENLİKÇİLER SADECE KENDİ UZMANLIKLARINA TAKILMAMALI

“Zarfa değil, mazrufa bakmak” şeklinde güzel bir deyişimiz vardır. Hukuk penceresinden yapılan KVKK uyum çalışmaları ne yazık ki işin şekline, ambalajına odaklanmakta. Kanun nezdinde ilk planda kurumunuzu güvenli bölgede tuttuğu görüntüsü olsa da,  gerçekten bir vaka yaşadığınızda, yapılacak incelemede güvenlik konusunda gerçekten önlem alıp, almadığınız irdelenecektir. Hazırladığınız süslü, püslü, bol eski Türkçe içeren metinlerin bir kıymeti harbiyesi kalmayacaktır. (Görüldüğü üzere teknik insanlar da bu tarz kelimeler kullanabiliyor ?)

Şimdiye kadar hep işin güvenlikçiler tarafından yürütülmesini savunsam da, güvenlikçiler olarak bizlerin de sadece sahip olduğumuz uzmanlığa takılıp, her şeyi o çerçevede çözmeye çalışmamamız gerekir. Maslow’un güzel sözü ile bitirmek istiyorum : “Elinde çekiç olan, her şeyi çivi sanar”. Bu, problemlere sığ bir bakış açısıyla yaklaşmamıza neden olur. Hukuki bakış açısı olmadan da Administrative Controls ya da Deterrent Controls dediğimiz, sözleşmeler, sisteme erişimlerdeki uyarlar vs gibi kontrolleri sağlamakta zorlanırız.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Konuk Yazar, Makale & Analiz

Siber güvenlikte hangi alan için hangi sertifika alınmalı?

Yorum yapın

İş hayatında, icra ettiğimiz mesleğin türüne göre bizim yetkinliğimizi gösteren çeşitli belgeler vardır. Bu bazen diploma, bazen zanaatkarlık belgesi, bazen sertifika olabiliyor. Her meslekte az çok bu durum bulunmakta. Peki IT alanında bizim yetkinliğimizi gösterebilmemiz için ne gerekiyor?

Eğer üniversite mezunuysanız (ya da meslek lisesi), mezun olduğunuz bölüme ilişkin diploma ilk iş arama sırasında gösterebildiğimiz tek şey oluyor eğer ekstra bir çaba sarf edip proje vs. gösteremiyorsak. Bu durumda da bizi diğer adaylardan ayıran şey üniversitenin adı oluyor. Yıllar geçti, üniversiteden mezun oldunuz ve 3-5 senelik deneyime sahipsiniz artık. Bu saatten sonra açıkçası üniversitenin adıyla ilgilenen kişi sayısı azalıyor. Daha çok nerede çalıştınız, neler yaptınız vs gibi sorular gündeme geliyor. Açıkçası olması gereken bu, müstakbel yöneticiniz aynı okuldan mezun birine kol kanat germe ihtiyacı duymadığı sürece… Hemşehriliği karıştırmıyorum bile.

127.0.0.1’e ping atmış insanın alabileceği sertifikalar

Şimdi daha da özele inersek, siber güvenlik alanında çalışıyorsunuz ya da çalışmak istiyorsunuz, bu alanda bölüm sayısı da az ya da hiç yok. Diploma gösteremezsiniz. Bilgisayar Mühendisliği diploması güvenlik bildiğinizi kanıtlamaz. Güvenlikçiler de genelde alaylı olur zaten (ben Elektronik Haberleşme Mühendisliği mezunuyum mesela) Bu durumda ne yapacaksınız? İşte tam bu noktada sertifika konusu devreye giriyor. Hepsi için söylemiyorum fakat bazı kuruluşlardan aldığınız sertifikalar, sizin o konuda belli seviyede bilgiye sahip olduğunuzu gösteriyor. Sertifikanın türüne göre de teorik ya da pratik (hands-on experience) tecrübeye sahip olduğunuz kanıtlanabilir.

Peki neden bazı kuruluşlarca verilen sertifikalar dedim? Bunun en temel sebebi şu: bazı sertifikaların sınav soruları ‘dump’ şeklinde piyasada bulunmakta ve yeterli İngilizceye sahip birisi, hayatında en fazla komut satırını açıp 127.0.0.1’e ping atmış olsa bile bu soru havuzunu ezberleyip, ilgili sertifikayı alabilir. Hatta bu ping’e cevap alamamışsa dahi sertifikayı alabilir 🙂

Bununla beraber, sertifikayı veren kuruluş eğer size deneyim soruyor ve bunu kanıtlamanızı bekliyorsa, bu da yine ilgili sertifikayı mûteber yapar. Bu yüzden ISC2 ve ISACA’nın sertifikaları sektör tarafından kabul görüyor. Çünkü ortalama 5 sene deneyim isteniyor bu sertifikaları almanız için. Yani sınavı geçmeniz yetmiyor.

Peki hangi sertifika?

Bu sorunun cevabı biraz yoğunlaştığınız alana bağlı olarak değişebiliyor. Ben bunları birkaç parçaya bölmek istiyorum. Böylece hangi alanda ilerliyorsanız, o tarafta kabul gören sertifikalara yönelmek daha doğru olacaktır.

Network Security : İçinde network kelimesi geçiyorsa CCNA ile başlayıp, CCIE Security’ye kadar giden süreç sizi bekliyor. Genel olarak üretici sertifikalarına bağlı kalınmamasını tavsiye etsem de, Cisco’nun sertifikaları (özellikle CCNA) kapsadıkları konular açısından sizin gerçekten de belli seviyede bilgi sahibi olmanızı bekliyor. Tabi ki dump ezberleyip, girmezseniz J Bunun dışında yine üreticilere özel sertifikalar alınabilir

Ofensif Security : Özellikle mavi, kırmızı takım gibi ekiplerde çalışacaksanız buralarda size göre sertifikalar bulunuyor. SANS (GPEN, GWAPT vb) ve Offensive Security (OSCP, OSCE vb) sertifikaları sektörde en çok kabul gören sertifikalar. Bunun yanında EC Council’ın CEH sertifikası da yaygın olarak tercih edilse de, bir kesim tarafından ‘ayağa düşmüş’ olarak da görülmekte. Tercih sizin J

Denetim : Eğer güvenliğin denetim ya da risk yönetimi alanındaysanız ISACA’nın CISA sertifikası, diğer tarafta da ISO 27001 Lead Auditor sertifikaları en çok kabul gören sertifikalar. Risk yönetimi tarafında da yine ISACA’nın CRISC sertifikası kabul görüyor.

Genel Sertifikasyon : Bence (sektörce de) en çok kabul gören sertifika belki de ISC2 tarafından verilen CISSP. Bu sertifika, sizin güvenlik alanındaki pek çok domain hakkında bilgi sahibi olmanızı bekliyor. Bunun yanında yukarıda belirttiğim deneyim şartı da sertifikayı almayı zorlaştırırken, değerini arttırıyor. ISACA tarafından verilen CISM sertifikası da bu şekilde değerlendirilebilir. Fakat genel kanaat yine CISSP tarafında. Benim şahsi güvenlik anlayışımla da, yani 360 derece güvenlikle birebir örtüşüyor.

Peki sertifikaya inanmayan arkadaşlar ne yapacak?

Yerçekimine, dünyanın şekline, elektriğin çarpmasına vs inanıyorsanız, bazı sertifikaların gücüne de inanacaksınız. Türkiye’nin en iyi üniversitesinden mezun oldunuz diyelim. Hangisi olsun, Boğaziçi, ODTÜ??? Güzel, peki yurt dışına gitseniz bunları kim tanıyor? Türkiye’nin en büyük ulusal şirketlerinde çalıştınız diyelim, emin olun onlar da tanınmıyor. E sizin referanslarınızı da kimse aramaz CV’ye bakıp, kusura bakmayın. Orada sertifikalar sizin uluslar arası alandaki denkliğinizi sağlayan tek şey oluyor.

Nasıl hazırlanmalıyım?

Güzel soru. Eğer Ofensif Security tarafındaysanız, kesinlikle hands-on tecrübe yapın. DVWA gibi uygulamaları indirin, sızmaya çalışın. Kali muadili pentest OS’ler ve içerisindeki toolları öğrenin. Bol bol araştırın ama bol bol da pratik yapın, oumak yetmez.

Diğer alanlarda ise sizi başarıya ulaştıracak şey yine okuma ve deneyim. Son aldığım sertifika ISC2’nin cloud sertifikası olan CCSP. Açıkçası çok çok az çalıştım diyebilirim. Deneyimlerinizle doğru cevapları sınav anında bulabiliyorsunuz. Bunun dışında resmi yayınları ya da Sybex gibi yayınevlerinden çıkan yayınları okuyabilirsiniz. Bu arada CISSP hazırlık materyalleri sorulduğunda tek kalemde geçilen Shon Harris’e de Allah’tan rahmet diliyorum.

%100 güvenlik yoktur ve en zayıf halka insandır klişeleriyle bitireyim 🙂

Sertifikasyon ya da siber güvenlikle ilgili aklınıza ne gelirse benimle iletişime geçebilirsiniz. Elimden geldiğince yardımcı olmaya çalışırım. (Twitter: @ofaltundal)

Siber Bülten abone listesine kaydolmak için formu doldurunuz