Sosyal mühendislik neden önemlidir ; Siber güvenlik sadece teknik önlemlerden ibaret değildir, insan faktörü de büyük bir öneme sahiptir. Sosyal mühendislik, saldırganların insanların güvenini , psikolojisini , zaaflarını ve davranışlarını kullanarak bilgi elde etmeyi amaçladığı bir siber saldırı türüdür. Sosyal mühendislik testleri, bu tür saldırılara karşı organizasyonların ne kadar savunmasız olduğunu değerlendirmek için yapılır.
Sosyal Mühendislik Saldırıları?
Sosyal mühendislik saldırıları insanları manipüle ederek gizli bilgileri ele geçirmek olarak tanımlanır. Bu saldırılar, genellikle çalışanların dikkatini çekmek, onların güvenini kazanmak ve onları kandırmak üzerine kuruludur. Sosyal mühendislik saldırıları telefon görüşmeleri, e-postalar, sosyal medya ve hatta yüz yüze etkileşimler yoluyla gerçekleştirilebilir.
Sosyal Mühendislik Testinin Amacı
Sosyal mühendislik neden önemlidir, Bir organizasyonun veya bireyin sosyal mühendislik saldırılarına karşı ne kadar duyarlı olduğunu değerlendirmeyi amaçlar. Testlerin amacı, çalışanların farkındalığını artırmak, güvenlik politikalarını gözden geçirmek ve zayıf noktaları belirlemektir.
Sosyal Mühendislik Testinin Aşamaları
- Planlama: Testin kapsamı belirlenir. Hangi yöntemlerin kullanılacağı, hangi departmanların ve çalışanların hedefleneceği planlanır. Ayrıca, testin etik ve yasal çerçevede yapılması için izinler alınır.
- Bilgi Toplama: Hedef organizasyon ve çalışanlar hakkında bilgi toplanır. Bu bilgiler, sosyal mühendislik saldırılarının daha gerçekçi ve inandırıcı olmasını sağlar. Bilgi toplama süreci, sosyal medya profilleri, şirket web siteleri ve diğer açık kaynaklar üzerinden yapılır.
- Saldırı Senaryolarının Hazırlanması: Farklı sosyal mühendislik saldırı senaryoları hazırlanır. Bu senaryolar arasında phishing (oltalama) e-postaları, sahte telefon aramaları ve kimlik avı yöntemleri yer alabilir.
- Saldırıların Gerçekleştirilmesi: Belirlenen senaryolar doğrultusunda saldırılar gerçekleştirilir. Bu aşamada, çalışanların tepkileri ve bilgileri ne kadar kolay paylaştıkları gözlemlenir.
- Sonuçların Analizi: Saldırılar sonucunda elde edilen veriler analiz edilir. Hangi çalışanların ve departmanların daha duyarlı olduğu, hangi yöntemlerin daha etkili olduğu değerlendirilir.
- Raporlama: Test sonuçları detaylı bir rapor halinde sunulur. Bu raporda, tespit edilen zafiyetler, çalışanların eğitilmesi gereken alanlar ve alınması gereken önlemler yer alır. Ayrıca, güvenlik politikalarının gözden geçirilmesi ve güncellenmesi önerilir.
Sosyal Mühendislik Testinin Önemi
Sosyal mühendislik neden önemlidir, organizasyonların insan faktörünü göz önünde bulundurarak güvenlik açıklarını kapatmalarına yardımcı olur. Bu testler sayesinde:
- Çalışanların farkındalığı artırılır ve güvenlik bilinci oluşturulur.
- Olası sosyal mühendislik saldırılarına karşı önleyici tedbirler alınır.
- Güvenlik politikaları ve prosedürleri gözden geçirilir ve güncellenir.
- Organizasyon genelinde bir güvenlik kültürü oluşturulur.
Sosyal mühendislik saldırı teknikleri :
· Phishing (Oltalama):
Sahte web siteleri, e-postalar veya mesajlar yoluyla kurbanlardan hassas bilgileri (şifreler, kredi kartı bilgileri vb.) elde etme tekniğidir.
Genellikle bankalar, sosyal medya siteleri veya diğer güvenilir kurumlar adına gönderilen sahte e-postalar veya mesajlar kullanılır.
· Spear Phishing (Hedeflenmiş Oltalama):
Belirli bir bireyi veya organizasyonu hedef alan, kişiselleştirilmiş phishing saldırısı.
Hedefin adını, pozisyonunu veya diğer kişisel bilgilerini kullanarak daha inandırıcı hale getirilir.
· Pretexting (Önceden Tasarlama):
Sahte bir hikaye veya senaryo kullanarak kurbanı manipüle etme ve bilgi edinme.
Sosyal mühendis, kurbanı belirli bir rol veya kimlikle arayarak bilgi toplar.
· Baiting (Yemleme):
Kurbanı cazip bir teklif veya ödülle kandırarak bilgi veya erişim sağlama.
Fiziksel olarak bırakılan veya dijital olarak sunulan çekici öğeler (USB sürücüler, indirim kuponları, ücretsiz yazılımlar vb.) kullanılır.
· Quid Pro Quo:
Kurbanı, bilgi veya hizmet karşılığında bir şey sunarak manipüle etme.
Genellikle teknik destek veya yardım teklifi şeklinde olur.
· Tailgating (Arkasından Girme):
Yetkisiz kişilerin, yetkili birinin arkasından fiziksel güvenlik önlemlerini aşarak bir yere girmesi.
Genellikle yoğun saatlerde veya dikkatsizlik anlarında gerçekleştirilir.
· Vishing (Sesli Phishing):
Telefon üzerinden gerçekleştirilen sosyal mühendislik saldırıları.
Genellikle telefon çağrıları yoluyla hassas bilgileri toplama.
· Smishing (SMS Phishing):
SMS mesajları yoluyla gerçekleştirilen sosyal mühendislik saldırıları.
Sahte SMS mesajları göndererek kurbanlardan bilgi toplama.
· Watering Hole (Su Kaynağı Saldırısı):
Belirli bir grup veya bireyi hedefleyen web sitelerini veya çevrimiçi kaynakları enfekte ederek bilgi toplama veya zararlı yazılım yayma.
Hedef kitlenin sıkça ziyaret ettiği web siteleri tespit edilerek bu sitelere zararlı yazılım yerleştirilir.
