Güvenlik Farkındalığı Eğitimi ve Kimlik Avı Önleme Denetimleri

Güvenlik duvarları, şifreleme ve MFA gibi teknik kontroller gereklidir; ancak insan unsuru, çoğu veri ihlalinde en çok istismar edilen zayıflık olmaya devam eder. Security farkındalığı eğitimi, çalışanların tehditleri tanıdığı, güvenli uygulamaları izlediği ve eylemlerinin sonuçlarını anladığı Security odaklı bir kültür oluşturmayı amaçlar. Security+ sınavı, yalnızca hangi konuların ele alınacağını değil, etkili farkındalık programlarının nasıl tasarlanıp ölçüleceğini anladığınızı sınar. Yılda bir kez yapılan, yalnızca kutucuğu işaretlemeye dayalı etkisiz bir uygulamanın etkisi çok azdır; etkili bir program süreklidir, ilgi çekicidir ve ölçülebilirdir.

Etkili bir Security farkındalığı programı, birlikte çalışan birden çok bileşen içerir. Role dayalı eğitim, içeriği belirli işlevlere göre uyarlar: yöneticilerin whaling ve BEC farkındalığına, geliştiricilerin güvenli kodlamaya, finans çalışanlarının ise banka havalesi dolandırıcılığı prosedürlerine ihtiyacı vardır. Phishing simülasyonları, gerçekçi uygulama olanağı sunar ve tıklama oranlarını ölçer. Zamanında eğitim, simülasyondaki başarısızlığın hemen ardından bir öğrenme fırsatı sağlar. Security bültenleri ve iletişimler, Security konusunu sürekli gündemde tutar. Simülasyon tıklama oranları, eğitim tamamlama oranları ve bildirilen kimlik avı girişimleri gibi ölçümler, programın zaman içindeki etkililiğini gösterir.

Phishing simülasyonu, çalışanların etkilenebilirliğini ölçmek ve eğitim ihtiyaçlarını belirlemek için gerçekçi sahte kimlik avı e-postalarıyla çalışanları sınar. KnowBe4, Proofpoint Security Awareness ve Cofense gibi platformlar hazır kampanyalar ve analizler sunar. En iyi uygulamalar şunları içerir: başlangıçtaki tıklama oranını ölçmek için eğitimden önce başlangıç testi yapmak, farklı bahaneleri (kimlik bilgisi ele geçirme, ek, BEC) kapsayacak şekilde kimlik avı şablonlarını çeşitlendirmek, tıklayan çalışanlara hemen eğitim vermek, yüksek riskli grupları bulmak için sonuçları departmana göre ayırmak ve tıklama oranlarının zamanla azaldığını doğrulamak için tekrarlı testler yapmak. Simülasyonları asla cezalandırma amacıyla kullanmayın.

SPF (Sender Policy Framework), bir domain adına e-posta göndermeye yetkili posta sunucularını belirleyen DNS tabanlı bir mekanizmadır. Domain sahibi, yetkili IP adreslerini veya sunucu ana bilgisayar adlarını listeleyen bir SPF kaydı (DNS içindeki bir TXT kaydı) yayımlar. Alıcı bir posta sunucusu example.com adresinden geldiğini iddia eden bir e-posta aldığında, example.com için SPF kaydını DNS üzerinden sorgular ve gönderen sunucunun IP adresinin yetkili olduğunu doğrular. Yetkisiz sunuculardan gelen e-postalar spam olarak işaretlenebilir veya reddedilebilir. SPF tek başına görünen From adresini korumaz; yalnızca zarf gönderenini (Return-Path) korur.

DKIM (DomainKeys Identified Mail), giden e-posta iletilerine kriptografik bir imza ekler. Gönderen posta sunucusu, e-posta üst bilgilerini ve gövdesini domain'in özel anahtarıyla imzalar ve imzayı bir DKIM-Signature üst bilgisine ekler. Alıcı sunucu, ilgili genel anahtarı DNS'ten (selector._domainkey.example.com TXT record) alır ve imzayı doğrular. DKIM, e-postanın aktarım sırasında değiştirilmediğini ve özel anahtara erişimi olan biri tarafından gönderildiğini kanıtlar. SPF'nin aksine DKIM, Header From adresini korur ve e-posta yönlendirmelerinden etkilenmez.

DMARC (Domain-based Message Authentication, Reporting, and Conformance), her iki denetimde de başarısız olan bir e-posta için alıcı posta sunucularının hangi işlemi yapması gerektiğini belirleyerek ve raporlama sağlayarak SPF ile DKIM'i temel alır. p=reject değerine sahip bir DMARC Policy'si, alıcılara domain için SPF ve DKIM uyumluluğunda başarısız olan e-postaları atmalarını bildirir. DMARC ayrıca uyumluluk kavramını getirir: Header From domain'i, SPF/DKIM tarafından doğrulanan domain ile eşleşmelidir. DMARC toplu raporları (rua), domain'inizi kullanarak kimlerin e-posta gönderdiğini gösterir ve yetkisiz gönderenleri ve etkin sahtecilik kampanyalarını ortaya çıkarır.

Güvenli E-posta Ağ Geçidi (SEG), gelen ve giden tüm e-postaları teslim edilmeden önce kötü amaçlı içerik açısından tarar. SEG'ler birden çok algılama teknolojisini birleştirir: spam karşıtı filtreleme, SPF/DKIM/DMARC doğrulaması, URL yeniden yazma (güvenli tarama için bağlantıları vekil üzerinden geçen sürümlere dönüştürme), ekleri korumalı alanda çalıştırma (şüpheli dosyaları yalıtılmış ortamlarda çalıştırma) ve veri kaybı önleme (giden e-postaları hassas veriler açısından tarama). Yaygın SEG tedarikçileri arasında Proofpoint, Mimecast, Microsoft Defender for Office 365 ve Cisco Secure Email bulunur. SEG'ler e-posta tabanlı saldırılara karşı ilk teknik savunma hattını oluşturur.

Security farkındalığı eğitiminin en değerli sonuçlarından biri, çalışanların suçlanma veya alay edilme korkusu olmadan şüpheli etkinlikleri güvenle bildirebildiği bir ortamdır. Çalışanlar bir kimlik avı bağlantısına tıkladıkları için cezalandırılmaktan korkarsa bunu bildirmek yerine gizler ve saldırganlara ağ içinde daha fazla zaman kazandırır. Suçlamaya dayanmayan bir bildirme kültürü; şüpheli e-postaları bildiren çalışanlara (yanlış pozitifler için bile) teşekkür etmeyi, simülasyon başarısızlıklarını ceza yerine öğrenme fırsatı olarak kullanmayı ve özel e-posta takma adları veya tarayıcı eklentileri aracılığıyla bildirmeyi kolaylaştırmayı içerir. Amaç, insan performansının kusursuz olması değil, hızlı algılamadır.

Teknik kontroller, kullanıcılara ulaşan kimlik avı girişimlerini yakalayarak eğitimi tamamlar. Tarayıcıda kimlik avına karşı koruma, kullanıcıları bilinen kötü amaçlı siteleri ziyaret etmeden önce uyarmak için gerçek zamanlı URL itibarı veritabanlarını (Google Safe Browsing, Microsoft SmartScreen) kullanır. DNS sinkhole'ları, kötü amaçlı domain'leri yönlendirilemeyen adreslere çözümler ve istemci tarafında herhangi bir işlem gerektirmeden ağ katmanında erişimi engeller. Vekil filtreleme, URL kategorilerinin engellenmesini sağlar. Kullanıcı eğitimini bu teknik kontrollerle birleştirmek, kimlik bilgilerinin ele geçirilmesine veya kötü amaçlı yazılım yüklenmesine yol açmadan önce kimlik avı girişimlerini yakalamak için birden çok bağımsız fırsat oluşturur.

Security farkındalığı programları, yatırımı gerekçelendirmek ve sürekli iyileştirmeyi yönlendirmek için ölçülmelidir. Temel performans göstergeleri şunları içerir: phishing tıklama oranı (başlangıç değerine kıyasla eğitim sonrası), bir kimlik avı e-postasını bildirmek için geçen ortalama süre, departmana göre eğitim tamamlama oranı, insan hatasını içeren doğrulanmış olayların sayısı ve zaman içindeki kimlik bilgisi tabanlı ihlallerde azalma. Yönetim raporlaması eğilimleri (iyileşme veya kötüleşme) göstermeli ve hedefli müdahaleye ihtiyaç duyan departmanları vurgulamalıdır. Ölçümleri iş riskiyle uyumlu hâle getirin: finans bölümündeki %5'lik tıklama oranı, bakım bölümündeki %5'lik orandan daha yüksek risk taşır.

Farkındalık eğitimi, uygulanabilir policies ile desteklenmelidir. Bir Acceptable Use Policy (AUP), çalışanların kuruluşun sistemlerini, ağlarını ve verilerini nasıl kullanabileceklerini ve nasıl kullanamayacaklarını tanımlar. Çalışanlar, AUP'yi her yıl ve policies değiştiğinde imzalı bir sözleşmeyle kabul ettiklerini belirtmelidir. AUP, çalışanlar güvenlik policies'lerini ihlal ettiğinde disiplin işlemi uygulanması için yasal dayanak oluşturur — kimlik avı bağlantısına tıklamak bir eğitim başarısızlığıdır; kimlik bilgilerini kasten paylaşmak bir policy ihlalidir. Diğer ilgili policies arasında sosyal medya policy'si (kuruluş hakkında nelerin paylaşılabileceği), medya işleme policy'si ve temiz masa policy'si bulunur.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını ne kadar anladığınızı test edin.

Bu derste şunları öğrendiniz: etkili güvenlik farkındalığı programları, insan faktöründen kaynaklanan riski azaltmak için role dayalı eğitimi, kimlik avı simülasyonlarını, tam zamanında öğrenmeyi ve ölçülebilir KPI'ları bir araya getirir; SPF, DKIM ve DMARC, email gönderenlerini doğrulamak ve alan adı sahteciliğini önlemek için birlikte çalışır; güvenli email ağ geçitleri ise gelen ve giden email için ek dosyaları Sandbox'ta çalıştırma, URL'leri yeniden yazma ve DLP dahil katmanlı teknik savunmalar sağlar. Sırada kötü amaçlı yazılım türlerini ve davranışlarını inceleyeceğiz.