İPUCUTeknikten çok insanı “hack’leyen” bir
Sosyal Mühendislik ustası ve hacker imajını popüler kültüre taşıyan en bilinen figürlerden biri.
UYARIBu yazıyı “yasa dışı hack romantizmi” diye okuma. Mitnick örneği; sistemi değil, çoğu zaman insanı kandırmanın kazandırdığını gösterir. Bu da övülecek bir şey değil; korunulacak bir zayıflıktır.
MIND MAP
ÖNEMLİ
- Eski siyah şapkalı hacker, sonrasında etik hacker
- Teknik açıklardan çok ikna ve rol yapma yeteneği
- Güvenlik, insan davranışı anlaşılmadan tamamlanmaz
- Süreç, doğrulama, farkındalık ve simülasyon
KEVIN MITNICK KİMDİ ?
Kevin Mitnick, bir dönem siyah şapkalı hacker olarak anılıp sonrasında güvenlik danışmanı kimliğiyle devam eden, “en ünlü aranan hacker” anlatısının merkezine yerleşmiş bir isim dostum. Onu özel yapan şey, teknik numaralardan çok insanlara oynadığı oyunlarla anılması: doğru cümle, doğru ton, doğru senaryo ve farklı manipülasyon teknikleri.
Zaman çizelgesini kısa tutarsak:
- 1980’ler: telefon sistemleri, Phreaking kültürü ve erken dönem faaliyetleri
- 1990’lar: yoğun takip altına alındığı dönem
- 1995: yakalanma ve tutuklanma
- 2000: yaklaşık 5 yıla yakın hapis sonrası serbest kalma
- 2000’ler: danışmanlık, konuşmalar, kurumsal güvenlik çalışmaları
- 2023: vefat
NEDEN BU KADAR KONUŞULDU?
Kevin Mitnick, güvenliğin sadece yazılım ve donanım meselesi olmadığını,
Buradaki kritik sorun şudur aslında dostum, senaryoya bağlayalım ki aklımızda canlansın: Güvendiğin bir arkadaşının evindesin. Kahveni içtin, sohbetini ettin ve oradan ayrıldın. Daha sonra bankaya uğradın, avmye gittin, alışveriş yaptın… Saatler sonra eve gitmek için yola çıktın. Evin kapısında farkettin ki anahtarın yok. Düşürdüğün için üzüldün ve misafir olarak gittiğin arkadaşını aradın. “Anahtarımı sende unutmuş olabilir miyim?” diye sordun ve arkadaşın “Evet, bende kalmış” dedi. Arkadaşına gittin, anahtarını aldın ve evine girdin. Aradan bir ay geçti. Bir ay sonra 3 günlüğüne tatile şehir dışına gitmeye karar verdin. Tatilden döndün, evine hırsız girdiğini farkettin.
Hırsız kim?
Belki uçuk bir hikaye gibi gelebilir fakat hikayenin duygusal ve ahlaksal yönlerine değil, mantıksal ve gerçek yönlerine odaklanalım. Bizim kapımızı kilitliyor olmamız, güvende olduğumuz anlamına gelmez. Bir dalgınlıkla arkadaşımızda(!) unuttuğumuz anahtarımız kopyalandığında çelikten kapının kilidi bir anlam ifade etmez. Aslında Mitnick bu konulara değiniyor. Şirketin kapıları kilitli, ancak anahtar dalgın bir çalışanın cebindeyse bu kilit bir anlam ifade etmez. “Biz sistemlerimizde 20 karakterli parolalar kullanıyoruz.”, gerçekten mi? Umarım, bu 20 karakterli parolanızı unutmamak için not defterine yazan bir personeliniz yoktur.
Sosyal Mühendislik Dersleri
Mitnick hikâyesini bugüne taşıyan şey “etiket” değil, tekrar eden desenler. Bugün Pentest ya da bug bounty dünyasında bile, teknik açık bulamadığında süreç açığı bulursun; süreç açığı yoksa insan davranışı açığına çarparsın. Günümüzde birinin nerede çalıştığını bilmiyorsak, doğru yerlere bakmıyoruzdur. LinkedIn? Kullanmıyor musunuz? Sadece LinkedIn’den bahsetmiyorum. Instagram, facebook… Biyografinize nerede çalıştığınızı yazmanıza gerek yok. Bir sosyal mühendis için, iş arkadaşınızla paylaştığınız bir fotoğraf yeterlidir. Ya da tabelalar bazen gereken mesajı verir. Desenler.. Nasıl yani ?
Örneğin; X firmasında bir çalışansınız. Çok yoğun bir gün geçirdiniz. Hala bilgisayarda çalışıyorsunuz ve arkadaşlarınız için masum bir şekilde instagram üzerinden hikaye paylaştınız. Bu paylaştığınız hikaye de şirket için de kullanmış olduğunuz Y adındaki bir yazılımın adı gözüktü. Saldırgan, böyle bir fotoğraf gördüğünde Y isimli bu yazılımın açıklarından faydalanabilir… Y yazılımının sahibi olan şirketi araştırır. Ardından sizin şirketinizi arar.
– Merhaba, sizi falan şirketten arıyorum. Y yazılımı için kritik bir güncelleme var. Sizde kurulu görünüyor ama admin tarafında bir uyumsuzluk çıkmış. – Biz güncellemeyi dün yaptık. – Doğru, ana paket geçmiş. Sorun genelde Y sürüm 4.2’den önce kalan sistemlerde oluyor. Sizde hâlâ o sürümden kalan bir node var gibi. – Hmm… olabilir. Zaten biz Y’yi 4.1’den yükseltmiştik. – Tamam, aradığım bilgi buydu. O zaman etkilenen modül Z eklentisi. Onu ayrı güncelleyeceğiz. Kısa duraklama. – Bu arada, Y sizde Windows üzerinde mi, yoksa Linux sunucuda mı çalışıyor? – Linux. Ubuntu 20.04. – Anladım, teşekkürler. Ben notumu aldım, ekibe iletiyorum. Gün içinde tekrar döneriz.
Bir Telefonla Başlayan Zincir
Klasik örüntü şuna benzer:
- güven oluştur,
- acele ettir,
- otorite kur,
- küçük bir bilgi al,
- o bilgiyle daha büyük kapıyı aç.
Burada
Mitnick’in sık tekrar edilen yaklaşımı da bunu besler: En güçlü exploit
SONUÇ VE ÇIKARIM
Mitnick’in kalıcı etkisi,
REFLEKS
UYARIBir talep “acil” ve “otorite” kokuyorsa, önce kimlik ve yetki doğrulaması yapacağım; ikna edilmiş hissettiğim an, teknik değil süreç zafiyeti aramalıyız.
Bu yüzden sosyal mühendislik bir “hacker yeteneği” değil, her organizasyonda varsayılması gereken bir insan davranışıdır.
MINIMUM BİLGİ SETİ
UYARIANA MESAJ
- Kevin Mitnick örneği şunu öğretir: Güvenlik sadece teknoloji değil; insan davranışı ve süreç tasarımıdır.
UNUTMA
- İkna, en hızlı bypass yöntemidir. Bu yüzden “kural” kadar “alışkanlık” da önemlidir: geri arama, ikinci onay, kayıt altına alma, minimum yetki, net kimlik doğrulama adımları.
ÖNERİ
- En iyi savunma şüphe değil prosedür: kritik isteklerde tek tuş değil, iki adım kuralı.
Daha fazla bilgiye şu kaynaktan ulaşabilirsin;
Bazı bilgiler güncel olmayabilir.
