- 17 Kas 2020
- 924
- 2
- 513
"Beyaz şapkalı hacker" tabiri, olumlu anlamda kullanılmakta, bilişim suçu işleyen ve siyah şapkalı hacker diye tabir edilen kişilerin yapabileceklerini, eylemlerini tahmin etmek ve öngörmek için onların kullandıkları yöntemleri, araçları, teknikleri bilen, kullanabilen, tanıyan iyi niyetli kişileri ifade eder. Bu kişiler ayrıca etik hacker, beyaz hacker veya iyi niyetli bilgisayar korsanı gibi tabirlerle de anılırlar.
Diğer adı bilgisayar korsanı olan hacker’lar sistemlere sızabilir, verilere erişebilir ve bunları kötü amaçlar için kullanma yetisine sahiptirler fakat bunu kimisi kullanır kimisi ise bunlara engel olmak için bu yolları öğrenirler. Bu da bir tercih konusudur; yani kötü amaçlar için kullanmak da iyi amaçlar için kullanmak da kişinin kendi elindedir. Beyaz şapkalı hacker’lar, güvenlik sistemlerini, sisteme veya kullanıcılara zarar vermek için kırmazlar. Bu kırma işlemini, sistemin zayıf noktalarını ortaya çıkarmak için yapar ve yazılım üreticisiyle ortak çalışabilirler. Ayrıca cihazlardaki, web uygulamalarındaki, ağlardaki açıkları veya zafiyetleri bulup firmalar veya kuruluşlara bunları bildirerek onlara siber güvenlik konusunda yardımcı olabilirler. Genel anlamda şöyle diyebiliriz; hizmetleri ve sistemleri saldırılara karşı korumak için mesleki becerilerini siber tehdit analizleriyle birlikte kullanarak olası güvenlik açıklarını en aza indirme veya giderme görevlerini beyaz şapkalı hacker’lar üstlenir. Güvenliği gerçek zamanlı olarak sağlayabilir, yani saldırı henüz gerçekleşmeden veya gerçekleşmek üzereyken onu engelleyebilirler.
Etik hacker’lar için gerekli olan genel donanımlar:
Beyaz şapkalı hacker’ların ne kadar bilirse o kadar işlerine yarayacak olan bilgi donanımları:
Beyaz şapkalı hacker’ların bilmesi gereken hacking yöntemleri:
DoS ve DDoS saldırısı (Denial of Service and Distributed Denial of Service Attack), hedef sitenin sunucularına sistemin kaldıramayacağı kadar yük bindirmek için çok sayıda anlık istek gönderilip sunucunun isteklere cevap veremeyecek hale gelmesine sebep olur. Örneğin, Cloudflare gibi birçok ağ servisi kullanılarak sunucular DDoS saldırısından korunulabilir.
Kaba Kuvvet Saldırısı (Brute force attack), veri çalma amacıyla kullanılıp dolandırıcılık gibi suçlar işlenebilmektedir. Deneme - yanılma yöntemiyle parola, kullanıcı adı bulmak, gizli bir web sayfası bulmak; şifreli mesajları çözmek için kullanılabilir. Bu yöntem, güvenlik analistleri tarafından da güvenliğin test edilmesi için kullanılır.
SQL Injection Saldırısı, web sitelerin veritabanına erişebilmek için SQL açıklarından faydalanılarak gerçekleştirilen yöntemdir. Bu açıkların kapatılması için beyaz şapkalı hacker, sistemdeki, uygulamalardaki eksiklikleri gidererek SQL injection saldırı riskini azaltmış olur.
Keylogger, dokunulan klavye harflerini okuyabilen casus yazılım sistemidir.
Kimlik avı (Phishing) saldırısı, kullanıcıların önemli verilerini ele geçirmek için kullanılan yöntemden oluşur.
Truva Atı (Trojan), cihaza zararlı yazılım yükleyebilen programdır. Kullanıcının ilgisini çekecek şekilde görülür.
Sıfır Gün Saldırısı (Sıfırıncı Gün-Zero Day Attack), sistemlerdeki açıkların kapatılmasından hemen önce gerçekleştirilen saldırı türüdür. Yayınlanan yama henüz yazılıma yeni indirilirken veya açıklar henüz kapatılamamışken sistem saldırıya uğrayabilir.
Kötü niyetli yazılım (Malware), kullanıcı fark etmeden sistemlere sızdırılabilir, cihazları ve sistemleri çalışamaz hale getirebilir veya sisteme erişim sağlanarak uzaktan kontrol edilme imkânı verebilir.
Man in The Middle ile saldırganlar bu saldırı türünde kendilerini bir web servisi veya ağ sisteminde gizleyerek kullanıcıların hassas verilerini toplayabilirler.
Cryptojacking, kötü amaçlı kodlar veya yazılımlarla başkasının bilgisayarı, kullanıcının bilgisi olmadan kullanılarak kripto para (cryptocurrency) madenciliği yapılabilen saldırıdır.
Eavesdropping, ağa sızılarak ve dinleme yapılarak kullanıcıların o ağ aracılığıyla gönderdikleri kişisel verilerinin ele geçirildiği saldırıdır.
Sosyal mühendislik ile kullanıcıyı manipüle ederek (yönlendirerek) bilgileri ele geçirilebilir.
Etik hacker’lar, cihazdaki sorunların ne olabileceğini, saldırının hangi yöntemlerle, hangi yolla yapılabileceğini anlamaları için kötü niyetli hacker’lar gibi düşünebilmeli ve onların kullandıkları araç ve teknikler hakkında bilgi ve tecrübe sahibi olmalıdırlar. Bu teknikler genel anlamda şöyledir:
Güvenlik ve korunma için saldırganları tanımak ve saldırı türlerinin hangi yöntemler içerdiğini bilmek önemlidir. Çünkü saldırı tekniği bilinmeden ondan korunmak çok zordur. Siber suçların nasıl işlendiğini ve saldırıların nasıl etkili olduğunun ayrıntılarının bilinmesi, siber güvenliğin sağlanması en önemli gerekçelerden biridir.
Beyaz Şapkalı Hacker Ne İş Yapar?
Etik hacker’ların görev aldıkları yere göre yaptıkları işler değişebilir. Örneğin; bilgisayar sorunları çözümü, sistemlerin güvenliğinin sağlanması, güvenlik zafiyetlerinin tespiti, zafiyetin nasıl oluştuğu ve giderilmesi, zafiyetlerin raporlanarak sistem sahiplerine veya çalıştıkları kuruma bildirmeleri gibi görevleri olabilir.
Kazanabilecekleri unvanlar da çalıştıkları yerlere göre değişecektir. Bu unvanlar; Sızma Testi Uzmanı (Pentester), Siber Güvenlik Uzmanı, Bilgi Güvenliği Uzmanı, Bilişim Hukukçuluğu, Adli Bilişim Uzmanlığı, Ağ Güvenliği Danışmanı şeklinde sayılabilir.
Herhangi bir yere bağlı olmadan da freelance olarak çalışabilirler ve iş teklifleri alarak, başvuru yaparak veya belli işyerleriyle anlaşarak belirli zamanlarda düzenli olarak talep edilen iş isteklerine cevap verebilirler. Bu durumlar hem özel hem kamu kurumları için geçerlidir.
Diğer adı bilgisayar korsanı olan hacker’lar sistemlere sızabilir, verilere erişebilir ve bunları kötü amaçlar için kullanma yetisine sahiptirler fakat bunu kimisi kullanır kimisi ise bunlara engel olmak için bu yolları öğrenirler. Bu da bir tercih konusudur; yani kötü amaçlar için kullanmak da iyi amaçlar için kullanmak da kişinin kendi elindedir. Beyaz şapkalı hacker’lar, güvenlik sistemlerini, sisteme veya kullanıcılara zarar vermek için kırmazlar. Bu kırma işlemini, sistemin zayıf noktalarını ortaya çıkarmak için yapar ve yazılım üreticisiyle ortak çalışabilirler. Ayrıca cihazlardaki, web uygulamalarındaki, ağlardaki açıkları veya zafiyetleri bulup firmalar veya kuruluşlara bunları bildirerek onlara siber güvenlik konusunda yardımcı olabilirler. Genel anlamda şöyle diyebiliriz; hizmetleri ve sistemleri saldırılara karşı korumak için mesleki becerilerini siber tehdit analizleriyle birlikte kullanarak olası güvenlik açıklarını en aza indirme veya giderme görevlerini beyaz şapkalı hacker’lar üstlenir. Güvenliği gerçek zamanlı olarak sağlayabilir, yani saldırı henüz gerçekleşmeden veya gerçekleşmek üzereyken onu engelleyebilirler.
Etik hacker’lar için gerekli olan genel donanımlar:
Beyaz şapkalı hacker’ların ne kadar bilirse o kadar işlerine yarayacak olan bilgi donanımları:
- Teknolojik cihazların profesyonelce kullanımı
- Ağ teknoloji yapıları
- Veri tabanı sistemleri
- Programlama dileri
- İnternet ağları
- Güvenlik araçları
- Hem sanal hem sanal olmayan tüm işletim sistemleri
- Temel donanım birimleri
- Tersine mühendislik
- Kriptografi
DoS ve DDoS saldırısı (Denial of Service and Distributed Denial of Service Attack), hedef sitenin sunucularına sistemin kaldıramayacağı kadar yük bindirmek için çok sayıda anlık istek gönderilip sunucunun isteklere cevap veremeyecek hale gelmesine sebep olur. Örneğin, Cloudflare gibi birçok ağ servisi kullanılarak sunucular DDoS saldırısından korunulabilir.
Kaba Kuvvet Saldırısı (Brute force attack), veri çalma amacıyla kullanılıp dolandırıcılık gibi suçlar işlenebilmektedir. Deneme - yanılma yöntemiyle parola, kullanıcı adı bulmak, gizli bir web sayfası bulmak; şifreli mesajları çözmek için kullanılabilir. Bu yöntem, güvenlik analistleri tarafından da güvenliğin test edilmesi için kullanılır.
SQL Injection Saldırısı, web sitelerin veritabanına erişebilmek için SQL açıklarından faydalanılarak gerçekleştirilen yöntemdir. Bu açıkların kapatılması için beyaz şapkalı hacker, sistemdeki, uygulamalardaki eksiklikleri gidererek SQL injection saldırı riskini azaltmış olur.
Keylogger, dokunulan klavye harflerini okuyabilen casus yazılım sistemidir.
Kimlik avı (Phishing) saldırısı, kullanıcıların önemli verilerini ele geçirmek için kullanılan yöntemden oluşur.
Truva Atı (Trojan), cihaza zararlı yazılım yükleyebilen programdır. Kullanıcının ilgisini çekecek şekilde görülür.
Sıfır Gün Saldırısı (Sıfırıncı Gün-Zero Day Attack), sistemlerdeki açıkların kapatılmasından hemen önce gerçekleştirilen saldırı türüdür. Yayınlanan yama henüz yazılıma yeni indirilirken veya açıklar henüz kapatılamamışken sistem saldırıya uğrayabilir.
Kötü niyetli yazılım (Malware), kullanıcı fark etmeden sistemlere sızdırılabilir, cihazları ve sistemleri çalışamaz hale getirebilir veya sisteme erişim sağlanarak uzaktan kontrol edilme imkânı verebilir.
Man in The Middle ile saldırganlar bu saldırı türünde kendilerini bir web servisi veya ağ sisteminde gizleyerek kullanıcıların hassas verilerini toplayabilirler.
Cryptojacking, kötü amaçlı kodlar veya yazılımlarla başkasının bilgisayarı, kullanıcının bilgisi olmadan kullanılarak kripto para (cryptocurrency) madenciliği yapılabilen saldırıdır.
Eavesdropping, ağa sızılarak ve dinleme yapılarak kullanıcıların o ağ aracılığıyla gönderdikleri kişisel verilerinin ele geçirildiği saldırıdır.
Sosyal mühendislik ile kullanıcıyı manipüle ederek (yönlendirerek) bilgileri ele geçirilebilir.
- Sistem hackleme
- Kablosuz ağ hack’leme
- Web uygulamaları hack’leme
- Web sunucusu hack’leme
- Sosyal mühendislik
Güvenlik ve korunma için saldırganları tanımak ve saldırı türlerinin hangi yöntemler içerdiğini bilmek önemlidir. Çünkü saldırı tekniği bilinmeden ondan korunmak çok zordur. Siber suçların nasıl işlendiğini ve saldırıların nasıl etkili olduğunun ayrıntılarının bilinmesi, siber güvenliğin sağlanması en önemli gerekçelerden biridir.
Beyaz Şapkalı Hacker Ne İş Yapar?
Etik hacker’ların görev aldıkları yere göre yaptıkları işler değişebilir. Örneğin; bilgisayar sorunları çözümü, sistemlerin güvenliğinin sağlanması, güvenlik zafiyetlerinin tespiti, zafiyetin nasıl oluştuğu ve giderilmesi, zafiyetlerin raporlanarak sistem sahiplerine veya çalıştıkları kuruma bildirmeleri gibi görevleri olabilir.
Kazanabilecekleri unvanlar da çalıştıkları yerlere göre değişecektir. Bu unvanlar; Sızma Testi Uzmanı (Pentester), Siber Güvenlik Uzmanı, Bilgi Güvenliği Uzmanı, Bilişim Hukukçuluğu, Adli Bilişim Uzmanlığı, Ağ Güvenliği Danışmanı şeklinde sayılabilir.
Herhangi bir yere bağlı olmadan da freelance olarak çalışabilirler ve iş teklifleri alarak, başvuru yaparak veya belli işyerleriyle anlaşarak belirli zamanlarda düzenli olarak talep edilen iş isteklerine cevap verebilirler. Bu durumlar hem özel hem kamu kurumları için geçerlidir.
Son düzenleme:
