Virüs denen meretle tanışmamız 1980’li yılların sonlarına denk gelir. Ekranda bir noktayı pinpon topu gibi dolaştıran Ping-pong, DOS ekranındaki karakterleri aşağı döken Cascade, Vienna, AIDS, vb. bir sürü varyetesi ile epeyce canımızı sıkmıştır o zamanlar. Dosyalara bulaşır, yok boot sector’ü bozar, işin yoksa temizle dur.
Yıllar içinde başlı başına bir endüstri haline geldi bu virüs işi. Virüs kavramı yerini zararlı yazılım kavramına terk etti; zararlı yazılım dediğinizde virüs, solucan, Truva atı vb. bilgisayarınıza zarar verebilecek pek çok çalıştırılabilir kodu içeren bir kavramdan bahsediyor oluyorsunuz.
Adına her ne derseniz deyin, bu zararlı yazılımlar bilgisayar sistemlerine zarar vermekten öteye gidemiyordu. Sizin canınız sıkılıyor, işiniz aksadığı ya da veri kaybettiğiniz için maddi zarara da uğruyordunuz ama... Virüsü yazanın bundan maddi bir çıkarı olmuyordu. Yarattığı yaygaranın kendisine getirdiği şan ve şöhret vardı; o şan ve şöhretle büyük firmalara kapağı atanlar da oldu ama o kadar.
Aradan geçen 25 yıl zararlı kod üreten insanların varlığını değiştirmese de bu kişilerin profilini oldukça değiştirdi. Bugün zararlı bir yazılım üreten çoğu siber saldırganın temel amacı yarattığı kod üzerinden doğrudan para kazanmak. Bunu yapabilmek için de eserlerini eskiden yaptıkları gibi olabildiğince yaymak yerine tam tersi bir strateji güdüyorlar. Ürettikleri kod ne kadar bilinmez kalırsa o kadar daha iyi.
İki farklı para kazanma stratejisi söz konusu. Ve ne gariptir ki fiziksel hırsızlık teknikleri ile büyük benzerlikler gösteriyor.
İlki çok kişiden küçük meblağlar yürütmek üzerine kurulu. Yankesicilik bir nevi. Saldırgan burada sürümden kazanıyor ama elde edebildiği kazanç hiç de yabana atılabilecek bir meblağ değil. Bu konuda da mobil cihazlar ve sosyal medya çok rağbet gören saldırı alanları. Bedavaya indirilen uygulamalar mobil cihazlar üzerinden ücretli SMS’ler atarak, aramalar yaparak geniş kitlelerden ufak meblağları saldırganın erişebileceği kaynaklara iletebiliyorlar. Yıl sonuna kadar 1 milyonun üzerinde vadettiği işi yapmak yerine mobil cihazı siber saldırganların kontrolüne verecek yazılım oluşacağı tahmin ediliyor.
Bir diğer strateji ise tek hamlede voliyi vurmak. Müze hırsızlığı deyin buna da. Amaç çoğu zaman kurumsal bir sisteme yerleşerek olabildiğince uzun süre bu sisteme erişim hakkını elinde tutmak. Bu sayede kurum içi para edecek sayısal bilgileri rakip kurum, ülke vb. alıcılara pazarlamak yoluyla milyonlarca dolar kazanmak mümkün. Apple’ın ya da Samsung’un bir sonraki cep telefonu tasarımını ele geçirdiğinizi düşünsenize? Ya da bir bankanın, bir kamu kurumunun veritabanı yöneticisi haklarını?
Saldırganların stratejilerinin değişmesi ile birlikte savunma bacağında da yeni stratejilere ihtiyaç duyuluyor. Daha önce bilinen zararlı yazılım imzalarını eşleştirme ile yapılan yöntemler tek başına yetersiz kalıyor. Artık bilinmeyen, ama sisteminize girdiğinde sağı solu kurcalayan, bir yerlere bir şeyler kopyalamaya çalışan kod parçacıkları aramanız lazım. Kapılarınızı kilitlemeniz yeterli değil; evin içine bir de kamera sistemi kurmanızda fayda var.
Bilgi ve bilişim güvenliği endüstrisi ürün ve çözümlerini bu alana doğru konumlandırdılar çoktan. Ama pek çok başka alanda da olduğu üzere burada da konu donanım ve yazılımlardan çok bunları yöneten kişilerde ve bu konuyla ilgili verilecek uzman danışmanlık hizmetlerinde sonuçlanıyor. Sonuçta saldıran bilişimi kullansa da insan. O yüzden bu konuda biriken deneyimler ile silahlandırılmış savunma odaklı birimlerin oluşturulması gerekiyor.
Tabi dövüş sporlarında olduğu gibi, savunma tekniklerini öğrenirken saldırmayı da öğreniyorsunuz. Artık, “en iyi savunma saldırıdır” deyip siz de birilerinin sistemine dalar mısınız; orası size kalmış. Günün sonunda bir zamanların virüs kurbanı olmaktan, bir siber suç üstadına dönmüş bulabilirsiniz kendinizi.
Bu yazı daha sonra düzenlenerek Telekom Dünyası'nın 132. sayısında yayınlanmıştır.
Yıllar içinde başlı başına bir endüstri haline geldi bu virüs işi. Virüs kavramı yerini zararlı yazılım kavramına terk etti; zararlı yazılım dediğinizde virüs, solucan, Truva atı vb. bilgisayarınıza zarar verebilecek pek çok çalıştırılabilir kodu içeren bir kavramdan bahsediyor oluyorsunuz.
Adına her ne derseniz deyin, bu zararlı yazılımlar bilgisayar sistemlerine zarar vermekten öteye gidemiyordu. Sizin canınız sıkılıyor, işiniz aksadığı ya da veri kaybettiğiniz için maddi zarara da uğruyordunuz ama... Virüsü yazanın bundan maddi bir çıkarı olmuyordu. Yarattığı yaygaranın kendisine getirdiği şan ve şöhret vardı; o şan ve şöhretle büyük firmalara kapağı atanlar da oldu ama o kadar.
Aradan geçen 25 yıl zararlı kod üreten insanların varlığını değiştirmese de bu kişilerin profilini oldukça değiştirdi. Bugün zararlı bir yazılım üreten çoğu siber saldırganın temel amacı yarattığı kod üzerinden doğrudan para kazanmak. Bunu yapabilmek için de eserlerini eskiden yaptıkları gibi olabildiğince yaymak yerine tam tersi bir strateji güdüyorlar. Ürettikleri kod ne kadar bilinmez kalırsa o kadar daha iyi.
İki farklı para kazanma stratejisi söz konusu. Ve ne gariptir ki fiziksel hırsızlık teknikleri ile büyük benzerlikler gösteriyor.
İlki çok kişiden küçük meblağlar yürütmek üzerine kurulu. Yankesicilik bir nevi. Saldırgan burada sürümden kazanıyor ama elde edebildiği kazanç hiç de yabana atılabilecek bir meblağ değil. Bu konuda da mobil cihazlar ve sosyal medya çok rağbet gören saldırı alanları. Bedavaya indirilen uygulamalar mobil cihazlar üzerinden ücretli SMS’ler atarak, aramalar yaparak geniş kitlelerden ufak meblağları saldırganın erişebileceği kaynaklara iletebiliyorlar. Yıl sonuna kadar 1 milyonun üzerinde vadettiği işi yapmak yerine mobil cihazı siber saldırganların kontrolüne verecek yazılım oluşacağı tahmin ediliyor.
Bir diğer strateji ise tek hamlede voliyi vurmak. Müze hırsızlığı deyin buna da. Amaç çoğu zaman kurumsal bir sisteme yerleşerek olabildiğince uzun süre bu sisteme erişim hakkını elinde tutmak. Bu sayede kurum içi para edecek sayısal bilgileri rakip kurum, ülke vb. alıcılara pazarlamak yoluyla milyonlarca dolar kazanmak mümkün. Apple’ın ya da Samsung’un bir sonraki cep telefonu tasarımını ele geçirdiğinizi düşünsenize? Ya da bir bankanın, bir kamu kurumunun veritabanı yöneticisi haklarını?Saldırganların stratejilerinin değişmesi ile birlikte savunma bacağında da yeni stratejilere ihtiyaç duyuluyor. Daha önce bilinen zararlı yazılım imzalarını eşleştirme ile yapılan yöntemler tek başına yetersiz kalıyor. Artık bilinmeyen, ama sisteminize girdiğinde sağı solu kurcalayan, bir yerlere bir şeyler kopyalamaya çalışan kod parçacıkları aramanız lazım. Kapılarınızı kilitlemeniz yeterli değil; evin içine bir de kamera sistemi kurmanızda fayda var.
Bilgi ve bilişim güvenliği endüstrisi ürün ve çözümlerini bu alana doğru konumlandırdılar çoktan. Ama pek çok başka alanda da olduğu üzere burada da konu donanım ve yazılımlardan çok bunları yöneten kişilerde ve bu konuyla ilgili verilecek uzman danışmanlık hizmetlerinde sonuçlanıyor. Sonuçta saldıran bilişimi kullansa da insan. O yüzden bu konuda biriken deneyimler ile silahlandırılmış savunma odaklı birimlerin oluşturulması gerekiyor.
Tabi dövüş sporlarında olduğu gibi, savunma tekniklerini öğrenirken saldırmayı da öğreniyorsunuz. Artık, “en iyi savunma saldırıdır” deyip siz de birilerinin sistemine dalar mısınız; orası size kalmış. Günün sonunda bir zamanların virüs kurbanı olmaktan, bir siber suç üstadına dönmüş bulabilirsiniz kendinizi.
Bu yazı daha sonra düzenlenerek Telekom Dünyası'nın 132. sayısında yayınlanmıştır.
Hiç yorum yok:
Yorum Gönder