- 9 Kas 2021
- 33
- 34
Anti-Phishing Nedir? E-Posta Güvenliği Neden Bu Kadar Önemli?
İçindekiler
1. Kısaca Phishing Nedir?
2. Phishing'den Nasıl Korunabiliriz?
2.1 Phishing için E-posta Güvenliği
2.2 Phishing Farkındalık Eğitimi
2.3 2FA / MFA Teknolojileri
3. Peki En İyi Phishing Koruması Nedir?
1. Kısaca Phishing Nedir?
Phishing, hackerların hassas bilgileri çalmak için e-posta, kısa mesaj, reklam veya başka yollarla rol yaparak yeni bir kimliğe büründüğü bir tür çevrimiçi dolandırıcılıktır. Bu genellikle, bilgilerinizi doldurmanız için sizi ilgilendiğiniz bir konuya ya da dikkatinizi bir şekilde çekecek bir içerik sunarak ilgilendiğiniz web sitesine götürecek gibi görünecek bir bağlantı ekleyerek yapılır. Ancak web sitesi basit bir aldatmacadır ve sağladığınız bilgiler doğruca phishing saldırısı yapan hacker’a gider.
Özellikle phishing denince akla ilk gelen yöntem e-posta ile kurbana ulaşmaktadır.
Phishing saldırıları her geçen gün daha da artmakla birlikte daha sık ve anlaşılması zor hale gelmektedir. Bir çok role bürünmeye çalışarak bazen deneme yanılma yoluyla; bazen de tam sizin ihtiyaçlarınıza göre bir profil çizmeye çalışırlar.
Ancak ne yaparsak yapalım ne kadar dikkatli olsak bile insanlar hala bu konu hakkında dikkatsiz. Özellikle bankacılık, sağlık veya e-ticaret sektörlerinde phishing saldırıları ile sonuca ulaşan ve belki de sizin hatanız olmasa bile kişisel verilerinizin çalınmasına neden olan firma çalışanları mevcut.
2. Phishing’den nasıl korunabiliriz?
Phishing yönteminin etkisi hem size hem de saldırıyı gerçekleştiren hacker'a bağlıdır. Sizi bir şekilde tanıyorsa e-postaya gömdüğü bağlantıya tıklattırmak için elinden gelen her şeyi yapacaktır. İlgilendiğiniz alanı bulup sanki beklediğiniz bir mailmiş gibi size sunabilir ya da sizi endişelendirmeye yetecek bir şekilde içerik hazırlayarak gafil avlayıp amacına ulaşabilir.
2.1 Phishing için E-posta Güvenliği
Öncelikle phishing’in en büyük kısmı e-postalar ile bizlere ulaşmaktadır. Bu sırasıyla:
2.2 Phishing Farkındalık Eğitimi
Bu tür eğitimler genellikle çok daha fazla zaman ve kaynak gerektirir. Ancak en etkili yöntemlerden biridir. Kişiye farkındalık kazandırmak uzun vadede hem kendi verilerini korunması açısından hem de çalıştığı şirketi zarara uğratmaması açısından gerekli ve önemlidir. Google’da PHaaS (Google phishing as a Service) şeklinde bir arama yaparsanız size phishing alanında yardımcı olabilecek ve personele gerekli eğitimi verebilecek birkaç firmaya ulaşabilirsiniz.
Çünkü bu eğitimin güzel yanı, anlaştığınız şirket sizin çalışanlarınızı denenmek için ve gerçekten kandırılabilip kandırılamayacaklarını analiz etmek iççin phishing saldırısını birebir uygularlar. Daha sonra sonuçlar analiz edilerek buna göre bir eğitim planı oluşturulur. Bu sayede başınıza gerçek bir olay gelmeden önleminizi alabilirsiniz.
2.3 2FA / MFA Teknolojileri
İki faktörlü kimlik doğrulaması “two-factor authentication” veya çok faktörlü kimlik doğrulaması “multi-factor authentication” muhtemelen duymuşsunuzdur. Belki de farkında bile olmadan kullanıyor da olabilirsiniz. Kısaca bahsetmek gerekirse, aslında her gün bu teknolojileri bir şekilde kullanıyoruz. Mesela ATM’lerden para çekerken kartınız bir anahtar, pin kodu veya şifrenizde ikinci faktör koruma olarak kullanıyoruz. Banka kartınızı kaybettiğinizde bile panik yapmadan yeni bir tane çıkarttırıp kullanıyoruz. Çünkü kartımıza bir şekilde ulaşan biri kart elinde bile olsa ikinci aşamayı zaten geçemiyor. Bu gibi bir uygulamanın aynısı sosyal medya hesaplarınızda güvenlik kısmında yeni bir cihazla giriş yaparken de geçerli. Mesela instagram'da iki faktörlü korumayı etkinleştirdiğinizde farklı cihazlardan giriş yaptığınızda sizin telefon numaranıza giriş kodu gönderiyor. Şifreniz bir şekilde çalınsa bile, hesabınıza ikinci faktörü geçmeden giriş imkânı sağlanmıyor. Bu da 2FA teknolojisinin şu ana kadar ki en güvenli yöntemlerden biri olduğunu kanıtlıyor.
Bir diğer benzer yöntem olan multi-factor authentication ise güvenlik anahtarı şeklinde tabir edebileceğimiz USB'ler ile sağlanmakta. Özellikle Google çalışanlarının güvenliği için bu uygulamayı tercih etmekte.
3. Peki En İyi Phishing Koruması Nedir?
Öncelikle kısa bir özet geçmek gerekirse, tüm bu organizasyonu tehlikeye atmak için birkaç standart hesaba veya bir yönetici hesabına erişim elde etmek yeterlidir. İyi eğitimli bir ekibiniz olsa bile yeni bir çalışan yaptığı tek tıklamayla bile tüm şirketi riske atabilir.
Dünyanın en iyi e-posta filtrelemesine sahip bile olsanız, bu filtreleme algoritmalarına karşı bilgili bir hacker tarafınıza göndereceği e-postayı spam algılatmadan yollayabilir. Yani her zaman bu filtrelerin etrafından dolaşmanın bir yolu zor olsa da bulunacaktır.
İki faktörlü veya çoklu faktör güvenlik anahtarının çalınma ihtimali de mevcuttur. Her an nasıl cüzdanınız cebinizden bir şekilde çalınabileceği gibi yanınızda taşıdığınız USB bellek güvenlik anahtarı ya da örneğini verdiğim ATM banka kartınız çalınabilir. Ancak diğer ihtimallerden ziyade bu tür bir hırsızlığa uğrama şansınızın olasılığı daha düşüktür. O yüzden mümkün olan tüm şifrelerinizle birlikte güvenliğiniz açısından iki faktörlü koruma seçeneğini ihmal etmeyin. E-postanız çalınsa bile, SMS yoluyla gelen ikinci bir şifre hesabınızı koruyacak ve zayiatınızı en az düzeye indirecektir.
İçindekiler
1. Kısaca Phishing Nedir?
2. Phishing'den Nasıl Korunabiliriz?
2.1 Phishing için E-posta Güvenliği
2.2 Phishing Farkındalık Eğitimi
2.3 2FA / MFA Teknolojileri
3. Peki En İyi Phishing Koruması Nedir?
1. Kısaca Phishing Nedir?
Phishing, hackerların hassas bilgileri çalmak için e-posta, kısa mesaj, reklam veya başka yollarla rol yaparak yeni bir kimliğe büründüğü bir tür çevrimiçi dolandırıcılıktır. Bu genellikle, bilgilerinizi doldurmanız için sizi ilgilendiğiniz bir konuya ya da dikkatinizi bir şekilde çekecek bir içerik sunarak ilgilendiğiniz web sitesine götürecek gibi görünecek bir bağlantı ekleyerek yapılır. Ancak web sitesi basit bir aldatmacadır ve sağladığınız bilgiler doğruca phishing saldırısı yapan hacker’a gider.
Özellikle phishing denince akla ilk gelen yöntem e-posta ile kurbana ulaşmaktadır.
Phishing saldırıları her geçen gün daha da artmakla birlikte daha sık ve anlaşılması zor hale gelmektedir. Bir çok role bürünmeye çalışarak bazen deneme yanılma yoluyla; bazen de tam sizin ihtiyaçlarınıza göre bir profil çizmeye çalışırlar.
Ancak ne yaparsak yapalım ne kadar dikkatli olsak bile insanlar hala bu konu hakkında dikkatsiz. Özellikle bankacılık, sağlık veya e-ticaret sektörlerinde phishing saldırıları ile sonuca ulaşan ve belki de sizin hatanız olmasa bile kişisel verilerinizin çalınmasına neden olan firma çalışanları mevcut.
2. Phishing’den nasıl korunabiliriz?
Phishing yönteminin etkisi hem size hem de saldırıyı gerçekleştiren hacker'a bağlıdır. Sizi bir şekilde tanıyorsa e-postaya gömdüğü bağlantıya tıklattırmak için elinden gelen her şeyi yapacaktır. İlgilendiğiniz alanı bulup sanki beklediğiniz bir mailmiş gibi size sunabilir ya da sizi endişelendirmeye yetecek bir şekilde içerik hazırlayarak gafil avlayıp amacına ulaşabilir.
2.1 Phishing için E-posta Güvenliği
Öncelikle phishing’in en büyük kısmı e-postalar ile bizlere ulaşmaktadır. Bu sırasıyla:
- Güvenilir bir kaynaktan gönderilmiş gibi görünen bir e-posta alırsınız.
- E-posta göndericisine inanır ve aldığınız talimatları uygularsınız.
- Özel verileriniz tehlikeye girer, kimlik bilgileriniz ise çalınır.
2.2 Phishing Farkındalık Eğitimi
Bu tür eğitimler genellikle çok daha fazla zaman ve kaynak gerektirir. Ancak en etkili yöntemlerden biridir. Kişiye farkındalık kazandırmak uzun vadede hem kendi verilerini korunması açısından hem de çalıştığı şirketi zarara uğratmaması açısından gerekli ve önemlidir. Google’da PHaaS (Google phishing as a Service) şeklinde bir arama yaparsanız size phishing alanında yardımcı olabilecek ve personele gerekli eğitimi verebilecek birkaç firmaya ulaşabilirsiniz.
Çünkü bu eğitimin güzel yanı, anlaştığınız şirket sizin çalışanlarınızı denenmek için ve gerçekten kandırılabilip kandırılamayacaklarını analiz etmek iççin phishing saldırısını birebir uygularlar. Daha sonra sonuçlar analiz edilerek buna göre bir eğitim planı oluşturulur. Bu sayede başınıza gerçek bir olay gelmeden önleminizi alabilirsiniz.
2.3 2FA / MFA Teknolojileri
İki faktörlü kimlik doğrulaması “two-factor authentication” veya çok faktörlü kimlik doğrulaması “multi-factor authentication” muhtemelen duymuşsunuzdur. Belki de farkında bile olmadan kullanıyor da olabilirsiniz. Kısaca bahsetmek gerekirse, aslında her gün bu teknolojileri bir şekilde kullanıyoruz. Mesela ATM’lerden para çekerken kartınız bir anahtar, pin kodu veya şifrenizde ikinci faktör koruma olarak kullanıyoruz. Banka kartınızı kaybettiğinizde bile panik yapmadan yeni bir tane çıkarttırıp kullanıyoruz. Çünkü kartımıza bir şekilde ulaşan biri kart elinde bile olsa ikinci aşamayı zaten geçemiyor. Bu gibi bir uygulamanın aynısı sosyal medya hesaplarınızda güvenlik kısmında yeni bir cihazla giriş yaparken de geçerli. Mesela instagram'da iki faktörlü korumayı etkinleştirdiğinizde farklı cihazlardan giriş yaptığınızda sizin telefon numaranıza giriş kodu gönderiyor. Şifreniz bir şekilde çalınsa bile, hesabınıza ikinci faktörü geçmeden giriş imkânı sağlanmıyor. Bu da 2FA teknolojisinin şu ana kadar ki en güvenli yöntemlerden biri olduğunu kanıtlıyor.
Bir diğer benzer yöntem olan multi-factor authentication ise güvenlik anahtarı şeklinde tabir edebileceğimiz USB'ler ile sağlanmakta. Özellikle Google çalışanlarının güvenliği için bu uygulamayı tercih etmekte.
3. Peki En İyi Phishing Koruması Nedir?
Öncelikle kısa bir özet geçmek gerekirse, tüm bu organizasyonu tehlikeye atmak için birkaç standart hesaba veya bir yönetici hesabına erişim elde etmek yeterlidir. İyi eğitimli bir ekibiniz olsa bile yeni bir çalışan yaptığı tek tıklamayla bile tüm şirketi riske atabilir.
Dünyanın en iyi e-posta filtrelemesine sahip bile olsanız, bu filtreleme algoritmalarına karşı bilgili bir hacker tarafınıza göndereceği e-postayı spam algılatmadan yollayabilir. Yani her zaman bu filtrelerin etrafından dolaşmanın bir yolu zor olsa da bulunacaktır.
İki faktörlü veya çoklu faktör güvenlik anahtarının çalınma ihtimali de mevcuttur. Her an nasıl cüzdanınız cebinizden bir şekilde çalınabileceği gibi yanınızda taşıdığınız USB bellek güvenlik anahtarı ya da örneğini verdiğim ATM banka kartınız çalınabilir. Ancak diğer ihtimallerden ziyade bu tür bir hırsızlığa uğrama şansınızın olasılığı daha düşüktür. O yüzden mümkün olan tüm şifrelerinizle birlikte güvenliğiniz açısından iki faktörlü koruma seçeneğini ihmal etmeyin. E-postanız çalınsa bile, SMS yoluyla gelen ikinci bir şifre hesabınızı koruyacak ve zayiatınızı en az düzeye indirecektir.
