11 Mayıs’ta hem İstanbul’da hem de Ankara’da iki önemli siber güvenlik etkinliği düzenlendi. Türkiye’nin ve bölgenin DefCon’u olma yolunda hızla  ilerleyen NopCon ile Ankara’da BTK’nın ev sahipliğindeki Locard Global Siber Güvenlik Zirvesi’nde siber güvenliğin farklı boyutları yerli ve yabancı uzmanlar tarafından değerlendirildi.

Her ne kadar Locard’ın sloganı “Are you safe?” olarak belirlenmiş olsa da, etkinliğin en göze çarpan eksikliği, seçilmiş belirli bir temaya sahip olmamasıydı. Bu durumun en belirgin yansıması, her biri alanında oldukça başarılı olan konuşmacıların sunum konuları arasındaki akışın kopukluğuydu. Tüm programa yer vermek her ne kadar mümkün olmasa da, yazının devamında dikkatimi çeken konuşmalara değinmeye çalışacağım.

Alışıldık sunumlardan farklı olarak pratiğe dayalı bir konu seçen İbrahim Baliç, sunumunda, devletlerle işbirliği konusunda her zaman eşit davranmadığı bilinen Twitter’dan bilgi almadan da bir kullanıcıyı bulabilir miyiz sorusuna cevap aradı. “Şifremi Unuttum” başlığına tıkladıktan sonra karşımıza çıkan hatırlatma seçenekleri arasında paylaşılan kayıtlı telefonun son iki hanesi ve statik bir veri içeren “method hint” bilgileriyle bu arayışa başlayan Baliç, 100 bin ihtimalin arasından istenen telefon numarasını, 45 satırlık ufak bir script aracılığıyla nasıl bulduğunu anlattı. Her ne kadar Baliç, sunumunda bu süreci ustalıkla açıklasa da, dinleyen kişiler arasında eve dönüp, aynı el çabukluğuyla bu veriye ulaşan olduğuna inanmak güç 🙂

Geçmiş etkinliklerden aşina olduğum ve BTK’yla yakın olduğu her halinden belli olan EnigmaSec CEO’su Igor Lukic, sunumunda bir CEO’yu nasıl hackleyebilirsiniz sorusuna cevap aradı. Lukic, özellikle kendi cihazlarını kullanmaya meyilli olan, bu bilgisayarları “admin” haklarıyla kullanan, sürekli hareket halinde ve kamunun göz önünde olan, 3ncü parti uygulamaları sıklıkla kullanan ve hediyeleri seven CEO’ların, siber alanda aslında oldukça savunmasız olduklarını söyledi.

Lukic’in bahsettiği bu savunmasız hal, yüksek mevkili insanları hedef alan, “whaling” yani Balina avcılığı olarak adlandırılan özel oltalama (phishing) saldırılarıyla suiistimal ediliyor.  Bu yöntemi kullanan saldırganların yalnızca sosyal medya analizleriyle bile seçilen şahsın uyku düzenini, bulunduğu konumu, hoşlandığı/hoşlanmadığı şeyleri ve daha pek çok normalde şahsi sayılacak bilgiyi ortaya çıkardığı biliniyor. CEO’ların Excel kullanmayı sevdiğini ve Excel’in hedefli oltalama saldırılarına en imkan veren uygulamalardan biri olduğunu kaydeden Lukic, bu saldırıları mümkün kılan diğer fiziksel oyuncaklardan da bahsetti. Bu oyuncaklar arasında isimlerine aşina olduğumuz Poisontap (cookieleri çalıyor, iç router’ı savunmasız bırakıyor ve kitli bilgisayarlara arka-kapı bırakıyor), Rubberduck (44 dolarlık bir USB üzerinde olan bu yazılım ile herhangi bir bilgisayarın klavyesini ele geçirmeniz mümkün – bütün şifreler, yazışmalar, vb.) ve LAN Turtle’ı (USB Ethernet Adaptörü gibi gözüküp, uzaktan erişime ve Man-in-the-Middle saldırılarına imkan tanıyor) saymak mümkün.

Değinmek istediğim son konuşmacı olan CounterCraft şirketinin CEO’su David Barroso, en ilgimi çeken sunumlardan birini gerçekleştirdi. Konuşmasında, hedefli saldırılarda saldırganları gerçek-zamanlı aktif bir yanıt sistemiyle kandırma, otomatik karşı-istihbarat kabiliyetleri geliştirme konularından bahseden Barroso, temel yaklaşımlarının karşı-istihbaratın taktiksel olarak kullanılması olduğunu belirtti. Büyük şirketlere saldıranları sahte bilgisayarlar, yanlış veriler ve sahte kimlikler üzerinden aktif olarak manipüle ettiklerini söyleyen Barroso’nun sunumu, bir çok yönüyle “sıradışı” ya da “kutunun dışında” (out- of-the-box) düşünce yapısını benimsemedikçe güçlü bir güvenlik ortamı yaratmanın bir hayal olduğunu bir kere daha hatırlattı.

Kanımca bu tarz yaklaşımların temel amacı, size saldırana geri saldırmaktan ya da saldırı ihtimalin tamamen ortadan kaldırmaya çalışmaktan ziyade, size saldıranın saldırı yollarını aksatmak/akamete uğratmak olmalı. Bu sayede savunma yollarını hücuma dönüştürebilmek de mümkün hale gelebilir. Klasik devlet/kurum yapıları karşısında sürekli gelişen ve güçlenen asimetrik ve alışılmadık tehditler,  önümüzdeki dönemde bu ve benzeri düşmanları yönetmeye, davranışlarını çok iyi gözlemleyip manipüle etmeye imkân tanıyacak “asi” yaklaşımların benimsenmesini zorunlu kılacağa benziyor.

Siber Bülten abone listesine kaydolmak için formu doldurunuz