Giriş
Zararlı yazılımların tarihi neredeyse bilgisayar biliminin tarihi kadar eskidir.
İlk modern bilgisayarların inşaa edildiği dönemler, ünlü matematikçi John von Neumann
kendini kopyalayabilen ve sistem içerisinde yayılan programlar konsepti üzerinde çalışmalar yürütüyordu.
Bu çalışma Neumann'in vefatindan sonra ilerletilip 1966 yılında 'Theory of Self-Reproducing Automata' (Kendini Çoğaltabilen Otomatalar Kuramı) adı ile yayınladı.
O tarihten yaklaşık 5 yıl sonra, ARPANET (günümüz internetinin öncesinde geliştirilen bir ağ) bilgisayarları üzerinde çalışması hedeflenen
'Creeper Worm' isimli zararlı yazılım geliştirildi. Yıllar boyunca zararlı yazılımlar çoğaldı, bazıları dünyayı kasıp kavurdu,
milyarlarca dolarlık zarara, işlerin aksamasına ve veri kaybına sebebiyet oldu.
Sizlere burada en kötü şanlı zararlı yazılım türlerinden olan fidye yazılımları anlatacağım.
Fidye Yazılım Nedir?
Zararlı yazılımların fazlaca türü vardır. Bunlar arasında en çok fark gördüğümüz özellik yazılımın amacı ve yöntemidir.
Bir zararlı yazılım tek bir türün özelliklerini taşımak zorunda değildir, diğer türlerden de özellik barındırabilir.
Sizlere basitçe birkaç türü ve amaçlarını listeledim:
- Worm (Çoğalır ve farklı bilgisayarlara/ağlara yayılır)
- Virus (Çoğalır ve Sistemde çalışan diğer programlara/dosyalara bulaşır)
- Trojan (Gerçek yazılımları taklit eder)
- Spyware (Kullanıcı aktivitelerini kaydeder)
- Rootkit (Bilgisayarda normalde erişilemeyen sistemlere erişim sağlamak için yol açar)
Peki fidye yazılımlar nedir? Aslında amaçlarını adından az çok anlayabiliriz. Bulaştığı sistemlerde kullanıcıdan fidye isteyen yazılımlar.
Tamam, peki bu yazılımlar tam olarak neyi alıkoyuyor ki hedeflerinden fidye talep edebiliyorlar? Cevap verecek olursak, verilerini.
Bunun için kullanıcının dosyalarına olan erişimini kesiyorlar veya dosyaları dışarı sızdırarak halka yayma ile tehdit ediyorlar.
Erişim engellemek için fidye yazılımı dosyaları kriptografi kullanarak şifreliyor.
Ödeme yöntemleri olarak genllikle belirli bir ücreti kripto para veya nakit kart olarak talep ediyorlar.
Saldırı gidişatına daha detaylı olarak değineceğiz.
Bu saldırı yönteminin hedefleri özellikle şirketler, devletler ve çalışması kritik önem arz eden operasyonlar oluyor.
Sistemlerin çalışmayı durdurması ne kadar hasar veriyor ise sistemler saldırı için o kadar iyi bir hedef haline geliyor.
Bu sayede hedeflerden yüklü miktarda fidye isteyebiliyorlar.
Fidye Yazılımların Tarihi
İlk saldırı 1989 yılında bir mail listesinde postalanan floppy diskler aracılığıyla yayılan 'AIDS Trojan' isimli bir yazılım olmuştu.
Aslında bu yazılım o kadar kötüydü ki ödeme olmadan da dosyalara kolaylık ile erişilebiliyordu. Yazılım yalnızca isimleri şifreliyip dosyaları ise
şifrelemeden gizliyordu. İsimleri şifrelemek için kullanılan anahtar aslında programın içinde bulunuyordu. Ödeme yöntemi ise Panama'da bulunan bir
posta kutusuna para göndermekti.
1996 yılında ise açık anahtar kriptografisi kullanarak veri rehin alma kavramı ortaya atıldı.
Bunun sayesinde anahtarı programın içine gömmeye gerek kalmadı.
2005-2013 yılları arasında daha güçlü şifreleme ve kullanıcıyı kısıtlama teknikleri (ekranı kilitlemek vb.) kullanan yazılımlar ortaya çıktı.
2013-2016 yıllarında ise kripto paranın daha kullanıma uygun bir ödeme yöntemi olduğu görüşü yayıldı ve 'CryptoLocker' isminde ünlü bir yazılım ile
fidye yazılımların popülerliği gittikçe arttı. CryptoLocker bulaştığı sistemlerden yaklaşık 27 milyon dolarlık Bitcoin aldı.
12 Mayıs 2017'da küresel çaplı bir siber saldırı gerçekleşti. 'WannaCry' isimli bir fidye yazılımı Windows kullanan bilgisayarlar arasında hızla ilerliyordu.
Saldırı 07.15 UTC saatinde başladı. Marcus Hutchins'in yazılıma konulmuş durdurma yöntemini keşfetmesi ile saldırı 15.03'te aksaklığa uğradı.
Sadece 8 saat geçmesine rağmen 150 ülke arasında 200 bin bilgisayara bulaştı ve verdiği hasarın yüzlerce milyon dolar ile milyarlarca dolar arasında olduğu tahmin ediliyor.
Bu kadar hızlı yayılmasının arkasındaki sebep NSA tarafından geliştirilen ve saldırıdan bir ay önce çalınan EternalBlue isimli bir zaafiyetin kullanılmasıydı.
EternalBlue ile bir ağda Windows çalıştırılan her cihaza erişim sağlanabiliyordu.
Durdurma yöntemi keşfedilmeseydi veya saldırı kritik altyapıyı hedef alsaydı sonuçlar çok daha kötü olabilirdi.
2018 yılının başından yarısına kadar 181.5 milyon fidye yazılım siber saldırısı gerçekleştirildiği söyleniyor. 2017 ye kıyasla iki katından fazla.
2020 yılında ise 'Thanos' isimli bir yazılım geliştiriliyor. Bu yazılım RaaS (Ransomware as a Service) örneklerinden biri.
Amaç, yazılımı insanlara hizmet olarak satmak. Hizmeti kullananlar fidye yazılım oluşturup kullanabiliyorlar. RaaS'ın ilk örneği 2012 civarı ortaya çıkıyor.
Günümüzde RaaS yazılımları oldukça popüler.
Saldırılar Nasıl Gerçekleşiyor?
Aslında fidye yazılımı saldırılarının çoğu aşaması herhangi bir zararlı yazılım için geçerli olabilir.
Ben sizlere saldırganların uyguladığı işlemleri ve kullandıkları yöntemleri genelgeçer olarak sunacağım.
Bu başlık ve savunmaya dair başlık altında anlattıklarım hedeflerin bireylerden ziyade organizsyonlar, şirketler, kurum ve kuruluşlar gibi tüzel kişiler olduğu durumlar için.
Buraya dahil ettiğim aşamalar hakkında her saldırı bunları kesinlik ile yapıyor veya belirli bir sıraya göre yapıyor demek mümkün değil.
Saldırılar arasında fark eden bir başka değişken de süre. Bazı saldırılar çok hızlı gerçekleşebiliyorken
bazı saldırılar ilk erişimden sonra aylar sürebiliyor.
Bu süreyi değiştiren en önemli etmenlerden biri saldırganların hedefleri.
Saldırganların hedef sistemlerin işleyişini fark edilebilir bir şekilde aksatmadan önce ne kadar yayılacağı, ne kadar tarama yapacağı, ne kadar bilgi çalacağı hedeflere örnek gösterilebilir.
Saldırıyı şu aşamalara bölebiliriz:
- İlk Erişim
- Yerleşme ve Kalıcılık
- Yetki Yükseltme ve Tarama
- Yatay Yayılım ve Kimlik Bilgileri Erişimi
- Değerli Bilgileri Çıkarma
- Savunma Atlatma ve Tamir Zorlaştırma
- Şifreleme ve Veri Çıkarma
00 - İlk Erişim
Saldırgan; phishing saldırısı, sosyal mühendislik, zaafiyet kullanımı, internete açık hizmetler gibi farklı yollardan ortama erişim sağlıyor.
Buraya eklediğim yöntemler, daha içerideki sistemlere veya farklı sistemlere erişmek için birlikte de kullanılabilmekte.
01 - Yerleşme ve Kalıcılık
Burada amaç hedef sistemde zararlı yazılım yerleştirmenin yanı sıra sistemde bulunan zararsız yazılımları zararlı biçimde kullanmak, geçerli kimlik bilgilerini kullanmak gibi yöntemlerle
yeniden başlatma, kimlik değişimi, kullanıcı çıkışı gibi işlemlerden etkilenmeyecek bir erişim elde etmek.
02 - Yetki Yükseltme ve Tarama
Bu aşamada saldırganlar daha aktif ve gürültülü bir şekilde hedef ortamı anlar ve tarar.
Kritik sistemler, önemli dosyalar ve veritabanları, yönetici yetkili kimlikler, güvenlik ve yedek sistemler hakkında bilgi edinilir.
Bunun yanı sıra sistemlerde (örn. işletim sistemi) veya kaynaklarda (örn. veritabanı, web server admin paneli) daha yüksek yetkiye sahip kimlik bilgileri elde edilir.
03 - Yatay Yayılım ve Kimlik Bilgileri Erişimi
Tek bir sistemin tehlikeye atılması bu aşamada bir organizasyonun tehlikeye atılmasına dönüşür.
Hedef ortamda tespit edilen diğer sistemlere erişim sağlanır. Bulunan kimlik bilgileri yeniden denenir, sistemler ve hizmetler arasındaki güven bağları kötüye kullanılır.
04 - Değerli Bilgileri Çıkarma
Üç alt adıma ayırabiliriz. Ortamda değerli bilgiler aranır, erişilir ve toplanır.
Ardından, toplanan bilgiler transfer için hazırlanır. Bu aşamada bilgiler organize edilebilr, arşivleme veya sıkıştırma kullanılabilir.
Son adım olarak, bilgi, hedefin erişiminin dışına transfer edilir. Burada komuta ve kontrol kanalları, farklı protokoller kullanmak gibi yollar kullanılır.
05 - Savunma Atlatma ve Tamir Zorlaştırma
Hedef organizasyonun işleyişini görülebilir bir şekilde aksatmadan önce saldırganlar mümkün olduğu kadar ortamdaki savunma sistemlerini zayıflatmak isteyebilir.
Bu kapsamda saldırganlar organizasyonun hareket görme, tespit etme ve durdurma kapabilitelerini azaltmayı amaçlayan yöntemler kullanır.
Bunlara örnek olarak endpoint güvenlik ayarlarını değiştirmek, kayıt tutmayı engellemek ve kayıtları temizlemek, gözlem araçlarının ayarlarını değiştirmek verilebilir.
Tamir zorlaştırmada ise, organizasyonun saldırıdan sonra işleyiş durmuna geri dönme çabalarını zorlaştırmaya yönelik adımlar atılır.
Bunun için yedeklerin modifiye edimesi veya silinmesi, yedekleme ayarlarını değiştirme gibi yöntemler örnek verilebilir.
06 - Şifreleme ve Veri Çıkarma
Bu aşamada artık organizasyon saldırının farkında oluyor.
Fidye yazılımı ile saldırganların erişimi olan sistemler etkisiz hale getiriliyor, veriler şifreleniyor ve dışarı transfer ediliyor.
Burada saldırganlar iki şekilde fidye isteyebiliyor. İlki şifrelenmiş verilerin anahtarı için ücret talebi,
diğeri ise dışa aktarılan verinin yayılması tehditi ile ücret talep etme.
Sizlere bu sürecin detaylarından da bahsetmek isterim. Fidye yazılımlarının uyguladığı teknikler arasında:
- Erişilebilen dosyaları ve depolama birimlerini tarama
- Şifreleme süreci için kriptografik materyal üretimi veya temini
- Dosyaları okuma ve şifreleme
- Dosya adlarını değiştirme ve fidye notu bırakma
Şifrelemede genellik ile hibrit şifreleme kullanılıyor.
Anahtar yönetimi konusunda tam olarak uygulanan işlemler fidye yazılım ailelerine göre değişiklik gösterebilir.
Hibrit şifreleme için konuşacak olursak bir asimetrik anahtar çifti üretiliyor (gizli ve açık) ve açık anahtar (yalnızca şifrelemek için, şifre çözemez) yazılıma yerleştiriliyor.
Çalışma esnasında bir simetrik anahtar üretiliyor ve açık anahtar ile şifreleniyor. Bunun sayesinde simetrik anahtar korunmuş oluyor ve saldırganların kullanımı için dışarı aktarılabiliyor.
Veri simetrik anahtar ile şifreleniyor ve aynı zamanda dışarı aktarılıyor.
Saldırganlar asimetrik şifrelenmiş simetrik anahtarı kendilerinde sakladıkları gizli anahtar ile çözüp şifrelenmiş dosyaları da simetrik anahtarla çözebiliyor.
Bunun için gerçek hayattan bir örnek verecek olursak WannaCry yazılımı burada geçen anahtar yönetimi modelinin üstüne bir kat daha eklenmiş halini kullanıyor.
Simetrik anahtarı şifrelemek için kullanılan anahtar çifti hedefe özel olarak üretiliyor ve
üretilen çiftin gizli anahtarı saldırganların oluşturduğu ayrı bir asimetrik anahtar çiftinin açık anahtarı ile şifreleniyor.
Hibrit şifreleme sayesinde hem simetrik şifreleme sayesinde gelen hız (asimetrik şifreleme daha yavaş) hem de asimetrik şifrelemenin koruması geliyor.
Asimetrik şifreleme sadece simetrik anahtarın güvenliği için kullanılıyor, simetrik şifreleme asıl ağır yük için kullanılıyor.
Fidye Yazılımdan Korunmak
İşin savunma kısmında, saldırının aşamalarının her biri için nasıl bir yaklaşım sergilenmesi gerektiğini incelememiz gerekiyor.
Şirket, güvenlik politikalarını ve saldırı esnasında uygulanacak olan protokolleri oluştururken saldırıların esnekliğini göz önünde bulundurmaları gerekiyor.
Önceki başlıkta saldırganların ne kadar çeşitli yöntem kullandıklarını gördük, ideal olarak bu yöntemlerin hepsinin engellenmesi, tespit edilebilmesi ve sonradan incelenebilmesi lazım.
Aynı zamanda bu saldırı adımlarının fidye yazılım kullanan saldırılara özgü olmadığından bahsetmiştik. Son adıma kadar bu doğru. Savunma için de aynı durumdan bahsedebiliriz.
Öyleyse, uygulanabilecek savunma yöntemlerine bakalım:
00 - İlk Erişim
Önlemler
Çok faktörlü doğrulama (MFA) kullanımının zorunlu kılınması ve yetkili kullanıcılar için phishing engelleyici yöntemler kullanılması önemlidir.
İnternetten erişilebilen servislerin risk seviyesini göze alarak güvenliğinin sağlanması gerekir.
Sistemde bulunan fakat kullanılmayan uzaktan erişim yöntemlerinin kullanımdan çıkarılması, yönetici yetkilerini kullanmak için kontrollü erişim yolları kullanılmalı.
E-posta güvenliğine dikkat edilmeli, ekler taranmalı ve filtreler uygulanmalı.
https://tr.wikipedia.org/wiki/Hibrit_%C5%9Fifreleme
Tespit
Kimlik sign-in kayıtlarının takibi, E-posta güvenlik uyarılarının kullanılması, web server kayıtlarının takibi gerekir.
Kullanıcılara farklı coğrafi konumlardan veya cihazlardan giriş yapılması ve şüpheli yetkilendirme paternleri önemli işaretlerdir, bunun tespit edilmesi gerekir.
Yanıt
Tehlikeye atılmış kimliklerin ve oturumların yetkisiz bırakılması veya kullanıma kapatılması önemlidir.
Bu kimliklerin kullanıldığı başka yerler var ise onlar da incelenmelidir.
Etkilenmiş uç noktaların izole edilmesi önemlidir.
01 - Yerleşme ve Kalıcılık
Önlemler
İş istasyonlarına ve sunuculara uç nokta tespit ve yanıt (EDR) sistemlerinin kurulması gerekir.
Kullanıcılara mümkün olduğunca az yetki verilmelidir, onaylanmamış araç ve yazılım kullanımı tespit edilmelidir.
Doğru konfigürasyon çok önemlidir, aynı zamanda uygulamaların çalıştırma poliçeleri de doğru ayarlanmalıdır.
Tespit
Genel olarak, antivirüs uygulamalarının da yaptığı şekilde, sunucuda veya iş istasyonunda uygulamaların, hizmetlerin vb. çalışma esnasında dinamik olarak analizi yapılmalıdır.
Örneğin, eğer bir ofis programı şüpheli bir alt işlem oluşturduysa bunun tespit edilmesi gerekir,
geçici klasörde çalışan imzalanmamış uygulamaların tespit edilmesi gerekir,
yeni hizmetlerin oluşturulmasının takip edilmesi gerekir.
Bu saydıklarımız aslında kesinlikle zararlı yazılım çalıştığını belirtmeyebilir fakat önemli ipuçlarıdır.
Yanıt
Cihazların izolasyonu sağlanmalıdır. Olayın kapsamı, kaç cihazın etkilendiği ölçülmeli ve adli inceleme için kanıtlar toplanmalıdır.
02 - Yetki Yükseltme ve Tarama
Önlemler
Standart kullanıcı hesapların ve yetkili hesapların ayrımının doğru yapılması gerekir.
Yerel yönetici hesabının yetkilerinin doğru şekilde kısıtlanması gerekiyor.
Kimlik sağlayıcı servislerin, alan adı kontrolcülerinin ve bulut kontrol düzlemlerinin erişimini daha zorlaştırmak önemli.
Hizmet için oluşturulan hesapların incelenmesi, verilen yetkilerin kontrolü ve kullanılmayan kimliklerin etkisiz hale getirilmesi de lazım.
Tespit
Amacımız, saldırganların ortamda şüpheli erişimlerini ve yetkiye dair yaptıkları değişiklikleri tespit edebilmektir.
Bu konuda yetkili gruplara veya rollere beklenmeyen eklentilerin ve yeni servis hesapları açılması/yetkilendirlmesini işlemlerinin tespiti gerekir.
Ayrıca, kimlik poliçelerinin ve güvenlik ayarlarının değiştirlmesi de takip edilmelidir.
Yanıt
Tehlikeye atılmış kimliklerin, kullanıcıların ve servislerin askıya alınması veya kısıtlandırılması kritiktir.
Oturum ve tokenlerin yetkisiz bırakılması çok önemlidir.
Etkilenen kimliklerin değiştirilmesi gerekir.
03 - Yatay Yayılım ve Kimlik Bilgileri Erişimi
Hatırlatma olarak, saldırganlar bu adımda keşfettiği diğer cihazlara veya sistemlere buldukları kimlikler ile erişim sağlar.
Önlemler
İş istasyonlarının, prodüksiyon sunucularının, kimlik altyapısının ve yedekleme sistemlerinin doğru bir şekilde ayrılması, segmentasyonu gerekir.
Sadece doğrulanmış kişilerin uzaktan erişim kullanabilmesi sağlanmalıdır.
Yetkilendirilmiş girişler sadece gerektiği yerlere kısıtlanmalıdır.
Tespit
Farklı sunucular veya cihazlar arasında beklenmedik yetkilendirme trafiğini görebilmek çok önemli.
Örnek verecek olursak, normalde tek bir iş istasyonuna erişim sağlayan bir kimlik aynı anda birçok alakasız sisteme erişmeye çalışır ise bu büyük bir ipucudur.
Yanıt
Şüpheli hesapların yetkileri alınabilir, aynı kimliğin erişmeye çalıştığı sistemleri tespit etmek gerekir.
Etkilenen sistemler olabildiği kadar izole edilmelidir.
04 - Değerli Bilgileri Çıkarma
Önlemler
Hassas bilgi içeren veri kaynaklarına ve bulut depolamaya erişim kısıtlanmalıdır.
Tespit
Dosya erişimleri ve kimlik hareketliliği arasında bağ kurarak saldırganları takip etmek mümkündür.
Örneğin, eğer hassas bilgiye erişimin ardından dış yöne yüksek hacimli trafik oluşuyor ise bu bizim için bir ipucu niteliği taşır.
Yanıt
Burada tekrarlayan bir temadan bahsetmek istiyorum.
Şu ana kadar bahsettiğimiz hemen hemen tüm adımlara yanıt olarak bir çeşit yetki kısıtlaması, cihaz izolasyonu veya askıya alım kullanıldığını gördük.
Bu durum, yöntemin önemini açıkça ortaya seriyor. Saldırganların hamlelerini kısıtlamak ve onları bir çıkmaza sokmak çok önemli.
Bu adımda da bu yöntemler kullanılmalıdır.
Ortamdan hangi verilerin ne kadar çıkarıldığının analizi ve takibi yapılmalıdır.
Ayrıca, bilgilere erişime dair kanıt toplamak, yasal sorunlar ve gizlilik sorunlarını çözmeye yönelik çalışmalar yürütmek gerekir.
Konu özellikle müşterilerin verisi veya gizli tutulması gereken veri olunca olayın ciddiyeti çok büyüktür.
05 - Savunma Atlatma ve Tamir Zorlaştırma
Önlemler
EDR sistemlerinin, antivirüs yazılımlanın, kayıt defterlerinin ve yedekleme sistemlerinin konfigürasyonuna erişim kısıtlanmalıdır.
Önemli kayıtlar, erişimin zor olduğu ayrı bir sisteme yönlendirilmelidir.
Değiştirilemez veya offline (erişime kapalı) yedekleme sistemleri kullanılmalıdır.
Denetim ayarlarına, yedek izinlerine, güvenlik poliçelerine yapılan değişikliklerde uyarı sistemi kullanılmalıdır.
Tespit
Uyarı sistemlerinin kullanımı çok önem arz etmektedir.
Genel olarak tüm aşamalar için bir uyarı veya bildirim sistem kullanımı, yanıt hızını ciddi bir şekilde arttırabilmektedir.
Bu aşama için de, bahsettiğimiz gibi, konfigürasyonlara, poliçelere vb. yapılan değişikliklerin takibinde kullanılması çok faydalıdır.
Başka dikkate alınması gereken nokta ise yedeklerin değiştirilmesi, silinmesi veya yedekleme ayarlarının değiştirilmesidir.
Yanıt
Bahsi geçen ayarlarda bir değişiklik tespit edildiğinde hızlıca harekete geçilmelidir.
Tabii ki tekrardan mümkün oldukça yetki kısıtlama yöntemi uygulanmalıdır.
Yedekler kontrol edilmeli ve koruma altına alınmalıdır.
06 - Şifreleme ve Veri Çıkarma
Bu aşamada saldırıyı tamamen önleyemedik demektir. Buna rağmen hızlı davranarak verilen hasarı azaltabiliriz.
Önlemler
Kritik veriye ve ortak dizinlereki yazma işlemlerini limitlemek iyi bir seçenek olabilir.
Tabii ki EDR yazlımlarının kullanımı yardımcıdır.
Tekrardan değinecek olursak kritik sistemlerin segmentasyonu verilen hasarı azaltabilir. ve
Defalarca bahsi geçen yedekler tam burada işe yarar.
Tespit
Artık bu aşamada sinyaller fazlasıyla bariz.
Kısa sürede fazla sayıda dosyanın kullanılamaz olması da elbette çok kritik bir sinyal.
Dosya modifikasyonlarında ve ad değiştirmede ani artış önemli bir sinyal. Burada ufak bir not geçmek istiyorum.
Bu sinyal geçerli sebepler tarafından da oluşabilir.
Toplu işleme, zararsız şifreleme yazılımları, migrasyon işlemleri istatistikler üzerinde zararlı süreçlerle benzer izler bırakabilir.
Sinyal alındıktan sonra incelemesi yapılmalıdır.
Uyarı sisteminden ard arda gelen bildirimlerde büyük bir olayın habercisidir.
Yanıt
Artık olay müdahale işlemlerine hızla başlanmalıdır.
Acilen etkilenen cihazlar izole edilmelidir. Ağ paylaşımlarına erişim kısıtlanmalıdır.
Fidye notları, kayıtlar gibi kanıtlar toplanmalıdır.
07 - Tamir Süreci
Burada saldırganların sistemlere erişiminin tamamen kapatıldığından emin olunmalıdır.
Erkenden tamire başlamak saldırganlara yine bir fırsat tanımak olabilir.
Ardından, saldırıdan etkilenen sistemleri güvenilir kaynaklardan gelen medya veya doğruluğu bilinen imajlar kullanarak tamir etmek gerekir.
Yedekleme ortamının güvenliğinden emin olduktan sonra bulunan yedekler ile sürece devam edilir.
Tehlikeye atılmış kimliklerin değiştirilmesi, tokenlerin veya oturumların geçersiz kılınması önemlidir.
Sistemlerde zaafiyet var ise yamalanmalıdır.
Kimlik altyapısının, güvenlik kontrol sistemlerinin ve kritik sistemlerin sağlığı kontrol edilmelidir.
Bundan sonra testler yürüterek sistemlerin, uygulamaların, gözlem ve bildirim mekanizmalarının çalıştığının kontrolü yapılmalıdır. Saldırganların kullandıkları zaafiyetlerin
düzeltildiğinden emin olunmalıdır.
Fidye Yazılımların Bireyler ve Tüzel Kişiler Üzerinde Etkisi
Artık anlayacağınız üzere, fidye yazılımların etkileri çok büyük olabiliyor. Şimdi saldırıların bireyler ve organizasyonlar üzerindeki etkisini ayrı ayrı ele alalım.
Bireyler kapsamında eğer şahıs yedekleme yapmıyorsa önemli dosyalarını, parolalarını kaybedebilir.
Yedekleme yapıyorsa da yedeğin yeniliğine göre kaybı az veya fazla olabilir. Kayıpların bir de finansal boyutu var. Fidye ücreti, ödenmedi ise kurtarma çalışmaları için ücretler ortaya çıkabilir.
Finansal kimlik bilgileri çalındı ise ileride farklı sorunlara sebebiyet verebilir.
Eğer saldırganlar ele geçirdikleri verileri tekrardan kötüye kullanmak isterlerse bireyler kimlik hırsızlığı, şantaj gibi olaylara maruz kalabilirler.
Ayrıca elbette bireylerin işleri aksaklığa uğrar, tekrardan düzene oturması zaman alır.
İşin ayrıca psikolojik tarafı da bulunuyor. Kişilerin duygusal anlam taşıyan fotoğrafları vb. dosyalar da saldırıdan etkileniyor.
Genel olarak fidye yazılımdan etkilenmenin insanlar için stresli bir durum olma olasılığı çok yüksek.
Tüzel kişilere bakarsak etkilerin birazından yazının önceki başlıklarında bahsettim. Elbette ki etkiler bunlarla sınırlı değil.
Saldırının büyüklüğü, hedef organizasyonun yaptığı iş gibi farklılıklar etkiyi değiştirebilmekte.
Öncelikle, organizasyonun işleri aksar. Verilen hizmetler yerine getirilemeyebilir.
Bu, maddi kayıpları gittikçe arttırır çünkü gelir kaynağına zarar gelmiştir.
Gider listesine ayrıca adli bilişim, tamir gibi ücretli hizmetler de eklenebilir.
Bunun yanı sıra veri kaybından bir çok farklı boyutta sonuçlar karşımıza çıkar.
Yasal sorunlar, fikri mülkiyetin çalınması, itibar zedelenmesi, kritik sistemlerde güvenlik problemleri gibi durumların oluşması oldukça mümkündür.
Müşteri bilgilerinin çalınması onları da tehlike altına sokabilir.
Kritik sistemler örnek vereceksek hastanelere yönelik bir saldırı insanların hayatını riske atabilir. Enerji sistemlerine yönelik bir saldırı çok büyük çaplı bir krize sebebiyet verebilir.
Sonuç olarak, fidye yazılım saldırıları sadece finansal zarar veya veri kaybı ile sonuçlanmaz. Verilen hasarın hem kişiler hem de organizasyonlar için fazlaca boyutu vardır.
Kapanış
Birlikte fidye yazılımı kısa bir yazıda olabildiği kadar gördük. Tanımı, tarihi, saldırılarda kullanımı, nasıl savunulduğunu ve etkisini işledik. Umarım sizlere faydalı bilgi aktarabilmişimdir.
Yazımı okumaya ayırdığınız zaman için teşekkür ederim.
