Bir bilgisayar korsanından çevrimiçi ortamda güvenliğinizi sağlayacak 5 ipucu

[™ Admin]

Bir bilgisayar korsanından çevrimiçi ortamda güvenliğinizi sağlayacak 5 ipucu

Etik bir bilgisayar korsanı olarak günlük çalışmalarımda (ben penetrasyon test cihazı terimini tercih ederim, ancak işiniz ne olursa olsun), bilgisayar sistemlerinize yetkisiz erişim sağlamama izin veren bir dizi yaygın güvenlik hatasıyla karşılaşıyorum. Birisinin masasına şifresini yazılı olarak bırakması iş günümü çok kolaylaştırıyor; ancak tembel olan ve kolay kazanmayı seven tek kişi ben değilim.

Ekonomik odaklı siyah şapkalı bilgisayar korsanları genellikle en alttaki meyveyi ararlar ve birkaç kolay değişiklikle birisinin güvenliğinizi gelişigüzel ihlal etmesini ve gizliliğinizi ihlal etmesini çok daha zorlaştırabilirsiniz. Bu amaçla, bir bilgisayar korsanının bakış açısından interneti kullanırken değiştirmeniz gereken en önemli beş alışkanlığın bir listesini derledim. Bunlardan birkaçını zaten tanıyor olabilirsiniz ancak diğerleri, saldırıya uğramanız ile kendinizi güvende tutmanız arasındaki fark olabilir.

1. VPN kullanın

Şifreleme önemlidir ve ideal bir dünyada her web sitesi minimum olarak HTTP Sıkı Aktarım Güvenliği ile TLS kullanıyor olacaktır. Ne yazık ki bu mükemmel bir dünya değil, bu nedenle diğer her şey için sanal özel ağlarımız (VPN'ler) var. İnternet trafiğinizi cihazınız ile sağlayıcının VPN sunucuları arasında yönlendiren şifreli bir tünel oluştururlar; bu, çok seyahat ediyorsanız ve açık Wi-Fi noktalarına bağlanıyorsanız çok önemlidir. Cidden. Bir gün dizüstü bilgisayarınızda Wireshark'ın bir kopyası yüklü olarak dışarı çıkın ve telefonunuz aracılığıyla Ücretsiz Havaalanı Wi-Fi üzerinden ne tür bilgiler yaydığınızı görün. Hiç hoş değil.

Kuşkusuz, güvenlik uzmanları arasında VPN kullanmanız gerekip gerekmediği konusunda bazı tartışmalar var. VPN kullanımına karşı, öncelikle verilerinizin potansiyel olarak güvenilmeyen bir üçüncü tarafa yönlendirilmesinin emanet edilmesine odaklanan geçerli argümanlar mevcuttur. Benim iddiam şu: Hükümetin izni olmadan çalışamayacak olan İSS'nize zaten güveniyorsunuz. Hükümetiniz de muhtemelen sizi gözetliyor. Neden işi biraz daha zorlaştırmıyorsun? Karşılaştığınız herhangi bir VPN sağlayıcısını kullanmanızı tavsiye etmesem de, denetlenen, kayıt tutmayan bir VPN'i tercih etmek, devlet gözetimine karşı başka türlü sağlayamayacağınız bir koruma derecesi sağlayabilir.

Daha da önemlisi, yüksek kaliteli bir VPN iki önemli avantaj sunar: birincisi, IP adresinizi gizleyerek gerçek konumunuzu takip etme girişimlerini önemli ölçüde karmaşık hale getirir; ikinci olarak, yaygın kötü amaçlı yazılım dağıtıcılarını ve güvenliği ihlal edilmiş reklamverenleri DNS blokları aracılığıyla filtreler. Reklamları engellemek zaten çok büyük bir kötü amaçlı yazılım vektörünü azaltıyor, bu nedenle yalnızca bunun için bir tane öneriyorum.

2. Bir JavaScript engelleyici veya beyaz liste kullanın

İnternetin mimarisi, tarayıcınızda karşılaştığınız içeriğin çoğunun JavaScript aracılığıyla iletildiği anlamına gelir. JavaScript web sitelerinin daha iyi görünmesini ve hissettirilmesini sağlarken, aynı zamanda tıklama hırsızlığı, hizmet reddi, siteler arası komut dosyası oluşturma ve sahtecilik isteği ve hatta bazı durumlarda keyfi kod yürütme gibi çok çeşitli saldırılar için bir vektör görevi de görür.

Bir JavaScript engelleyici veya beyaz liste kullanarak, kötü amaçlı veya izinsiz giriş yapan komut dosyalarıyla ilişkili riskleri azaltırken güvenilir kaynaklardan gelen komut dosyalarına seçici olarak izin verebilirsiniz. Bu, kötü amaçlı reklamlardan kaynaklanan saldırıları azaltır ve bir saldırı sırasında oturum kimlik bilgilerinizin çalınması olasılığını büyük ölçüde azaltır. NoScript, Javascript engelleme paketleri için hala altın standarttır. Bunu ve uBlock Origin'i çevrimiçi bazlarımın çoğunu kapsamak için kullanıyorum.

3. Kendinizi takip edin

Çok az insan, kişisel hayatlarıyla ilgili internette ne kadar çok bilginin dolaştığını biliyor, sadece birisinin noktaları birleştirmesini bekliyor. Bir şirketin çalışanları, teknolojileri ve fiziksel konumları hakkında bilgi toplamak için sıklıkla LinkedIn'i kullanıyorum, ancak hedeflenen bilgisayar korsanlarıyla uğraşmak biraz farklı bir yaklaşım gerektiriyor.

E-posta adresiniz veya kullandığınız kullanıcı adı gibi halka açık bir bilgi alın. Temel açık kaynak istihbarat tekniklerini ve bazı özel Google araştırmalarını kullanarak, gerçek adınız, adresiniz ve daha fazlası dahil olmak üzere ne kadar çok kişisel veriye kolayca erişilebildiğine şaşıracaksınız.

Birisinin çevrimiçi ve gerçek kimliklerinizi birbirine bağlamak için atması gereken adımlar hakkında bir fikriniz olduğunda, bu bilgilerin çevrimiçi hesaplarınızdan kaldırılması veya silinmesi bağlantıyı kesebilir. Bu, kötü niyetli aktörlerin kişisel bilgilerinizi istismar etmesini çok daha zorlaştırır (bu da, çok fazla zamanı olan dengesiz bir Call of Duty oyuncusunun kurbanı olma ihtimalinizi çok daha azaltır).

Bu özellikle Facebook ve Twitter gibi platformlar için önemlidir. Birinin Facebook duvarında veya Twitter akışında hızlıca gezinerek güvenlik sorularına ne kadar çok yanıt bulabileceğinize şaşıracaksınız. Bunu yaparken, kişisel bilgilerinize yalnızca tanıdığınız kişilerin erişebilmesini sağlamak için sosyal medya sitelerinin sunduğu gizlilik ayarlarını incelediğinizden emin olun. Açık kaynak istihbaratının (OSINT) ustası olmak bir gecede gerçekleşmez, ancak biraz çabalamak bile hiç yoktan iyidir.

4. Uygulamalarınızı güncelleyin

Evet, sıkıcı bir tavsiye. Maalesef siber güvenlikte başarı ile başarısızlık arasındaki kritik farkı çoğu zaman temel önlemler oluşturur. Güncel olmayan yazılım sürümleri her yerdeki güvenlik profesyonelleri için baş ağrısına neden olur; bu nedenle lütfen işletim sisteminizi ve yazılımınızı (özellikle internete bağlıysa) düzenli olarak güncelleyin. Ortak Güvenlik Açıkları ve Etkilenmeler listesine yalnızca bir göz atmak bile, size mevcut yazılım istismarlarının çokluğu hakkında bir fikir verecektir.

Bu, genellikle son derece hassas bilgilerin depolandığı, yani bir bilgisayar korsanının cenneti olan mobil cihazlar için daha da önemlidir. Muhtemelen bir noktada Pegasus casus yazılımını duymuşsunuzdur; bu yazılım iOS ve Android işletim sistemlerinde çeşitli karmaşık açıklardan yararlanarak önde gelen medya figürlerinin telefonlarını kısa mesaj yoluyla tamamen uzaktan hackler.

Ancak bu saldırıların gerçekleştiği tek yer telefonlar değil. Özellikle eski tarayıcılar, yalnızca şüpheli bir bağlantının ziyaret edilmesiyle bilgisayarınızın güvenliğinin tehlikeye atılmasına neden olan sıfır tıklamayla kötü amaçlı yazılım saldırılarının kolay hedefleridir.

Kullanımdan kaldırılmış yazılım sürümlerini çalıştırmak gibi eski amaçlarla eski bir işletim sistemini korumanız gerekiyorsa, bunları sanal makineler veya internet bağlantısı olmayan hava boşluklu sistemler olarak izole etmeyi düşünün.

5. Şifrelerinizi tekrar kullanmayı bırakın

Eminim bu sana binlerce kez söylendi ama bunun bir nedeni var. Şifrelerinizi emanet ettiğiniz sayısız güvenli olmayan site ve uygulama var. Bazıları şifrelerini hala düz metin veya tuzsuz MD5 (esasen sizi korumayan değersiz şifreleme) olarak kaydediyor.

Bunları yeniden kullanırsanız, bu platformlardan birinin saldırıya uğraması ve şifrenizin karanlık ağda dolaşmaya başlaması saatli bir bombadır. Bu gerçekleştiğinde, birinin e-posta-şifre kombinasyonunuzu popüler web sitelerinde deneyip sonuç alması an meselesidir.

Kimlik bilgileriniz sızdırılmamış olsa bile ortak parolalar kullanmak sizi saldırılara karşı savunmasız hale getirir. Kaba kuvvet saldırıları genellikle veri ihlallerinden derlenmiş şifre listelerini kullanır ve işe yarayan oturum açma kimlik bilgilerini bulmak için gereken süreyi büyük ölçüde azaltır.

Bir sisteme sızmaya çalıştığımda tek bir kullanıcıya bakıp bildiğim her şifreyi denemiyorum. Sistemdeki her kullanıcıya karşı en yaygın üç şifreyi denerim. Bunun bu kadar sıklıkla işe yaraması moral bozucu. Şifreni değiştir!

Bununla birlikte, giriş yapacağınız her site için bir şifreyi hatırlamak zor olabilir. Bir şifre yöneticisi kullanmayı (veya en azından iki faktörlü kimlik doğrulamayı etkinleştirmeyi) düşünmelisiniz. Ayrıca haveibeenpwned gibi araçlar aracılığıyla hesaplarınızdan herhangi birinin ele geçirilip geçirilmediğini veya yaygın olarak kullanılan bir şifre kullanıp kullanmadığınızı kontrol edebilirsiniz.

Hiçbir şeye güvenme

Kişisel bilgilerinizi korumak için çevrimiçi olarak alabileceğiniz çok sayıda başka önlem vardır, ancak yukarıdaki beş adım çok önemlidir. Deneyimlerime göre, bilgisayar korsanları genellikle olağanüstü teknik beceriler veya karmaşık mühendislik becerileri sayesinde değil, insanın tembelliğinden ve dikkatsizliğinden yararlanarak başarılı olurlar. Birisi arka kapıyı açık bırakmışsa, neden kilidi açmaya çalışasınız ki? Alışkanlıklarınızda birkaç değişiklik yaparak, bir hack saldırısının kurbanı olma olasılığını önemli ölçüde azaltabilirsiniz (ve işimi çok daha zorlaştırabilirsiniz).

İşte size bir bonus ipucu: Güvendiğiniz birinden bir dosyayı kontrol etmenizi isteyen tuhaf bir e-posta alırsanız, gidip onu arayın ve dosyayı gönderdiklerinden emin olun. Bu konuda bana güven. Hedef odaklı kimlik avı olması gerekenden çok daha sık işe yarıyor.

Kaynak: TechRadar