Kimlik Avı, Hedefli Kimlik Avı ve Yönetici Avı

E-posta, siber saldırılarda en yaygın ilk erişim aracıdır. Kimlik avı; alıcıları kötü amaçlı bağlantılara tıklamaya, virüslü ekleri açmaya veya kimlik bilgilerini vermeye ikna etmek için insan psikolojisini — aciliyet, otorite ya da korku oluşturarak — istismar eder. Yamalanabilen teknik güvenlik açıklarının aksine, insanların sosyal baskıya karşı duyarlılığı bir yazılım güncellemesiyle ortadan kaldırılamaz. Security+ adayları, milyonlarca rastgele alıcıyı hedefleyen geniş kapsamlı kampanyalardan belirli bir kişi için özenle hazırlanmış son derece hedefli mesajlara kadar kimlik avı saldırılarının kapsamını anlamalıdır.

Toplu kimlik avı (veya toplu gönderimle kimlik avı), aynı kötü amaçlı e-postayı binlerce ya da milyonlarca adrese aynı anda gönderir ve küçük bir başarı yüzdesine ulaşmak için hedeflerin çokluğuna güvenir. Yaygın tuzaklar arasında sahte banka uyarıları, paket teslimat bildirimleri, parola süresinin dolduğuna ilişkin uyarılar ve vergi iadesi teklifleri bulunur. E-postalar geneldir; saldırgan alıcıları kişisel olarak tanımaz. Gelişmişlik düzeyi düşük olsa da toplu kimlik avı kampanyaları dünya genelinde çok büyük sayıda mağdur oluşturur ve kimlik bilgisi hırsızlığı olaylarının çoğundan sorumludur.

Hedefli kimlik avı, saldırganın belirli bir kişi veya küçük bir grup için mesajı özelleştirdiği bir kimlik avı türüdür. Saldırganlar, gerçek adlara, iş unvanlarına, projelere veya iş arkadaşlarına atıfta bulunan ikna edici mesajlar hazırlamak için hedeflerini LinkedIn'de, sosyal medyada, şirket web sitelerinde ve veri ihlali veritabanlarında araştırır. Hedefli bir kimlik avı e-postası, hedefin yöneticisinden geliyormuş gibi görünüp acil bir banka havalesi onayı isteyebilir veya İK biriminden geliyormuş gibi görünen bir 'yan haklar güncellemesi' eki içerebilir. Kişiselleştirme, genel kimlik avına kıyasla başarı oranını büyük ölçüde artırır.

Balina avı, özellikle yüksek değerli kişileri — CEO'ları, CFO'ları, yönetim kurulu üyelerini ve diğer üst düzey yöneticileri — hedefleyen hedefli kimlik avıdır. Bu hedefler büyük mali işlemleri onaylama, hassas verilere erişme ve güvenlik politikalarını geçersiz kılma yetkisine sahiptir. Başarılı bir balina avı saldırısı, bir CFO'yu saldırganın denetimindeki bir hesaba milyonlarca dolarlık banka havalesi yapma yetkisi vermesi için kandırabilir. Business Email Compromise (BEC) olarak bilinen bu yöntemde FBI, BEC kaynaklı kayıpların yıllık 3 milyar doları aştığını tahmin etmiştir. Yöneticiler ayrıca fikrî mülkiyete, birleşme ve satın alma bilgilerine ve stratejik planlara erişimleri nedeniyle hedef alınır.

Angler kimlik avı, sosyal medya platformlarındaki kullanıcıları hedefler. Saldırganlar büyük markalar için sahte müşteri hizmetleri hesapları oluşturur ve şikâyet paylaşan kullanıcılara yanıt vererek onları sahte giriş sayfalarına yönlendirir. Klon kimlik avında geçerli bir e-posta (yakın tarihli bir fatura veya bülten) kopyalanır, bağlantılar ya da ekler kötü amaçlı sürümleriyle değiştirilir ve ardından düzeltilmiş sürüm olduğu iddiasıyla sahte bir adresten yeniden gönderilir. Klon kimlik avı özellikle etkilidir; çünkü alıcı e-posta biçimini ve göndereni tanır, bu da şüphesini önemli ölçüde azaltır.

Pharming, kurbanların bir kimlik avı bağlantısına tıklamasını gerektirmeden onları kötü amaçlı web sitelerine yönlendirir. Bu genellikle DNS önbellek zehirleme yoluyla (meşru alan adının saldırganın sunucusuna çözümlenmesi için bir çözümleyiciye sahte DNS kayıtları eklenerek) veya kurbanın yerel hosts dosyası değiştirilerek gerçekleştirilir. Kurbanın işlem yapmasını gerektiren kimlik avının aksine pharming, kullanıcı doğru URL'yi doğrudan tarayıcısına yazsa bile çalışır. DNSSEC ve HTTPS sertifika doğrulaması, temel teknik savunmalardır.

En kritik kimlik avı becerilerinden biri, sahtecilik tekniklerini belirlemek için URL'leri analiz etmektir. Saldırganlar çeşitli yöntemler kullanır: yazım hatası taklidi (paypa1.com, g00gle.com), alt alan adı hileleri (paypal.com.attacker.com — gerçek alan adı attacker.com'dur), gerçek hedefi gizleyen URL kısaltıcılar ve ASCII gibi görünen Unicode karakterlerinin kullanıldığı homograf saldırıları (xn--pple-43d.com, apple.com'u taklit etmek için Kiril alfabesindeki 'а' karakterini kullanır). Güvenlik uzmanları, tıklamadan önce her zaman bağlantıların üzerine gelmeli ve kısaltılmış URL'leri güvenli biçimde genişletmek için URL analiz araçlarını kullanmalıdır.

Kullanıcılara kimlik avını tanımayı öğretmek için belirli uyarı işaretlerini açıklamak gerekir. Şunları inceleyin: gönderen adresini (görünen ad gerçek e-posta alan adıyla eşleşiyor mu?), e-posta üst bilgilerini (Return-Path veya Reply-To, From adresinden farklı mı?), hızlı işlem yapılması için baskı oluşturan aciliyet veya tehdit dilini, istenmeyen ekleri veya beklenmedik parola sıfırlama isteklerini ve belirtilen hedefle eşleşmeyen bağlantıları. Tek bir işaret şüphe uyandırmalıdır; birden fazla işaretin birlikte görülmesi kimlik avına güçlü biçimde işaret eder. Kuruluşlar, şüpheli e-postaların bildirilmesi için açık bir süreç tanımlamalıdır.

Birçok kimlik avı kampanyası, kurbanları meşru web siteleriyle aynı görünen sahte giriş sayfalarına yönlendirir. Saldırganlar gerçek sitelerin HTML/CSS içeriğini kopyalar ve bunları benzer görünümlü alan adlarında veya ele geçirilmiş web sitelerinde barındırır. Modern evilginx2 ve Modlishka araçları, ters proxy'ler olarak çalışır; kurbanı gerçek siteye yönlendirirken oturum belirteçlerini gerçek zamanlı olarak ele geçirir ve böylece MFA'yı bile atlar. Kullanıcılar asma kilit simgesini (HTTPS) aramalıdır; ancak HTTPS'nin yalnızca bağlantının şifreli olduğunu doğruladığını, sitenin meşru olduğunu doğrulamadığını unutmamalıdır. Certificate Transparency günlükleri, benzer görünümlü alan adlarını kullanan kimlik avı sitelerini ortaya çıkarır.

Kötü amaçlı ekler, kötü amaçlı yazılımları doğrudan kurbanın uç noktasına ulaştırır. Yaygın biçimler arasında kullanıcı makroları etkinleştirdiğinde VBA betiklerini çalıştıran makro etkin Office belgeleri (.docm, .xlsm), gömülü JavaScript veya bağlantılar içeren PDF dosyaları, Windows'un Web İşareti korumalarını aşmak için kullanılan ISO/IMG disk görüntüleri ve yanıltıcı uzantılarla yeniden adlandırılmış çalıştırılabilir dosyalar içeren sıkıştırılmış arşivler (.zip, .rar) bulunur. Kuruluşlar, Group Policy aracılığıyla Office makrolarını varsayılan olarak devre dışı bırakmalı ve e-posta ağ geçitlerini yüksek riskli dosya türlerini engelleyecek şekilde yapılandırmalıdır.

Yöneticileri balina avcılığı saldırılarından korumak, teknik ve süreç denetimlerinin bir bileşimini gerektirir. Teknik açıdan: kuruluşun alan adından geliyormuş gibi gösterilen sahte e-postaları reddetmek için DMARC uygulayın, e-posta ağ geçidini harici e-postalara uyarı başlıkları ekleyecek şekilde yapılandırın ve yöneticileri kimlik avına dayanıklı MFA (FIDO2) sistemine kaydedin. Süreç açısından: e-posta ne kadar acil görünürse görünsün, banka havalesini onaylamadan veya hassas veri paylaşmadan önce bant dışı doğrulama prosedürleri oluşturun (istekte bulunan kişiyi bilinen bir telefon numarasını kullanarak doğrudan arayın). Genel güvenlik farkındalığı eğitimi çoğu zaman üst düzey yönetime ulaşmadığından, yöneticileri özellikle balina avcılığı senaryoları konusunda eğitin.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: kitlesel kimlik avı, rastgele alıcıların küçük bir bölümünü tuzağa düşürmek için büyük hacme dayanır; hedefli kimlik avı, belirli kişilere yönelik ikna edici iletiler hazırlamak için OSINT araştırmasından yararlanır ve kişiye özel olarak tasarlanır; balina avcılığı ise mali durum ve hassas veriler üzerinde yetkisi olan yöneticileri hedef alır — buna karşı DMARC, kimlik avına dayanıklı MFA ve bant dışı doğrulama prosedürleri kullanılır. Sırada vishing, smishing ve pretexting yoluyla gerçekleştirilen ses ve SMS tabanlı saldırıları inceleyeceğiz.