140journos belgeseli için attığım tweet için saldırmaya gelenler gittiğine göre ilk ve büyük ihtimal son kez olay hakkında uzman bir şekilde düşüncelerimi aktaracağım. Böyle konseptte tweetler atmak istemiyorum. Ben kimim ? Hatırı sayılır bir amerikalı siber güvenlik şirketinde zafiyetli sanal makine uzmanı olarak çalışıyorum. İnsanların hacklemesi için bilerek zafiyetli tasarlanan lablar üretiyorum. İşin eğitim tarafındayım. Bir süre de bugbounty ile uğraştım. Bir şeylere az çok hakim olduğumu düşünüyorum. Kişisel verilerin sızdırılmadığını söylemek aptallık olur. Hali hazırda zaten her şey dışardayken bir şeylerin olduğu çok bariz bir şey. Objektif bir şekilde veri sızıntısı doğurabilecek senaryoları ve bunların risk-aksiyon-maddiyat-knowhow arasındaki ilişkilerini anlatacağım. Olabildiğince yüzeysel gitmeye çalışacağım çünkü detaylara girip boğmak boğulmak istemiyorum. Aşağıdaki her bir başlık hakkında saatlerce konuşabiliriz. Insider joblar İçeriye erişimi hali hazırda sahip olan insanlar belli bir para karşılığı verileri satarlar. Bu çok bilindik bir şeydir. Karanlık forumlarda gezerseniz Z çalışanlı şirkette şu şu detaylı erişim satıyorum fiyatım şudur gibi ilanlar görürsünüz. İnsanlar neden bunu yaparlar ? Para ve bazılarına bu olay çok masum gelir. Rakamlar da o kadar yüksektir ki çok eminim bir çok insanın etik değerleri sorgulanır, sarsılır bu noktada. Şirketlerde X çalışanı hacklendiği/bilgi sızdırdığı senaryoda çok ileri gidemesin diye auth - permission matrixleri oluşturulur. Internal pentestlerin yegane amaçlarından biri budur. Büyük büyük amerikali vb gelişmiş ülkelerin şirketlerinin canı bu yüzden çok yanmıştır. Kuzey kore ve çinliler fake CVler ile interviewlara girip, işe alınıp casusluk hizmeti sürdürmektedir(Türkiyede böyle oldu diye demiyorum örnek veriyorum). Devlet kurumlarından bir sızıntının motivasyonu para bile olmayabilir. Bir düşmanının hakkında bilgi almak istemek kadar basit bir şey bile olabilir. Böyle durumlara karşı önlem almak tahmin edeceğiniz üzere daha da karmaşıklaşmaktadır(kimin, neyi, nasıl, ne şekilde sızdırdığını bulmak) ve pahalılaşmaktadır. Bireysel bilinç de gerekmektedir. Siber güvenlikten hiç anlamayan giriş seviyesinde elemanın bile bir seviyede siber güvenlik farkındalığı olması gerekmektedir. darkreading.com/vulnerabilit… zdnet.com/article/yandex-sai… threatpost.com/trend-micro-r… Zafiyetler Zafiyetler sistemin dizayn edilme amacından daha fazlasını yapmasına zorlanmasında kullanılır. Videoda bahsedilen F12 ve ratelimit olayının fazlasıyla doğru olduğunu düşünüyorum. Orada bahsedilen şey OTPnin client side bir şekilde bypasslanması olarak baz alabiliriz. Biraz appsec ve bugbounty ile uğraşanlar bilecektir ki bunlar fazlasıyla karşılaşılan şeyler. Kendim ve diğer araştırmacı arkadaşlarım çok daha kötülerine şahit olduk. Peki bu zafiyetler nasıl fixlenmeli ? SDLCda mutlaka ve mutlaka security testing aşaması olmalı. Developerların security kısmında knowhowı olması beklenmez ama testing kısmında security testlerinin de olması gerekir. Hele devletin kritik kurumları söz konusu olunca bu çok daha fazla önem arzediyor. Bahsedilen zafiyetler prod ortamlarında karşılaşılması asla kabul edilemez ve bunlar da SDLCda bazı eksiklikler olduğunu bariz bir şekilde gözler önüne seriyor. Zafiyetler hep çıkacaktır ve zafiyetlerin aktif bir şekilde belirli periyotlarla kontrol edilmesi gerekmektedir. Bu kontrollerin bir çok otorite ve şirket tarafından yapılması gerekmektedir. Çünkü burası objektif bir alan ve ihale vermeyle çözülebilecek bir şey değildir. 15 yaşında çocuklar edevleti hackleyebiliyorsa bunlar çok zeki insanlar ve devletin bunlara destek çıkması lazım mı ? Evet 10 yaşında bir çocuk bile bir yerleri hackleyebilir. Bu demek değildir ki bu çocuk zekidir ve alınıp yetiştirilmesi lazım. 10 yaşındaki bir çocuk sokaktan geçen bir insanı öldürebilir veya bir kuyumcu da soyabilir. Hanginiz gidip helal olsun be 10 yaşında bunu yapmış diyebilirsiniz böyle bir çocuğa ? 100 tane açık fixleyebilirsiniz ama bir çocuğun bir şeyler başarması için 101.yi bulması yeterli olacaktır. Bu bir suçtur ve yaptırımları olması gerekmektedir. Teknik kompleksite açısından bence devlet kurumlarından çok daha karmaşık ve ileri seviye teknoloji şirketleri (rockstars, nvidia, uber vs.) tarihte hep hacklenmişlerdir. Evet, hacklenmeye devam edecektir. Çünkü zafiyetler hep doğacaktır ve bunlar fixlenecektir. Havacılıkta popüler bir söz vardır havacılık kuralları kanla yazılmıştır diye. Siber güvenlik de çok farklı değildir. Bir yerler hacklenir, canlar yanar ve sonrasında düzelir malesef. axios.com/2023/08/23/lapsus-… mashable.com/article/uber-te… abcnews.go.com/Technology/st… Bugbounty Yukarıda maddeye istinaden. Bugbounty konsepti tamamen buna dayalıdır. Şirketler herkesin kendilerini hacklemelerine izin verirler ve bunu etik bir şekilde paylaştığınız takdirde size para ödülü verirler. Bence devletin kurumlarında kesinlikle böyle programların veya knowhowın oturması-olması gerekiyor. Security 1-2 otoriteye bırakılacak kadar kolay bir şey değildir. Kümülatif bir bilinç sağlanması gerekmektedir. Kötü niyetli hackerlardan önce açıkları bulabilecek iyi niyetleri hackerların küstürülmemesi ve olabildiğince teşvik edilmesi gerekiyor. Bugbounty her şeyi çözer mi Hayır. Bugbounty eksikleri ve artılarıyla gelir. Bugbounty konseptinin çok uyarlanabileceğini de sanmıyorum. Düşünsenize X belediyesinin bugbounty kurumu var ve devletten buraya Y miktar bütçe çıkmış. Bu bütçenin X belediyesi yandaşlarına dağıtılmayacağını düşünmek saçmalık olurdu. Ek olarak bugbounty çok gürültü oluşturan bir şeydir. İnsanlar "aa bak buranın bugbountysi varmış" diyip daha fazla rahat bir şeyler denemeye başlarlar. Bir şeyleri denerken garip veri girdileri ve potansiyel sistem outageları beklenir. Ama aynı zamanda da asla yapılmayacak bir şey değildir. VDP(para ödülsüz) programları düzenlenebilir. Amerika bunu uzun süredir bugcrowd ve hackerone gibi şirketlerde çok güzel sürdürüyor. Bireysel olarak ben de DoD, NASA, DHS gibi devlet kurumlarında açıklar bulup, raporlayıp, fixletmiştim. Amerikanın yaptığı hack the pentagon gibi hack the mit gibi etkinlikler olsa. Orada yetenekli hackerlar hünerlerini gösterse, zafiyetler fixlense, parlayan insanlar işe alınsa vs ne güzel olurdu değil mi ? hackerone.com/hack-the-penta… defense.gov/News/News-Storie… linkedin.com/posts/bugcrowd_… Sızdırılmış parolalar Dijital ayak izinizi bir düşünün. Kaç tane siteye üyeliğiniz vardır ve kaçında şifreleriniz aynıdır ? Hacklenmelerin sebeplerinden bir tanesi budur. Sizin 2012de oyun oynamak için kayıt olduğunuz bir sitenin hacklenmesi sizin 2025 yılında üniversite portalınıza sızılmasına sebep olabilir. Madem sen bu kadar iyi biliyosun niye devleti korumaya yardım etmedin Siber güvenlik bu kadar basit bir şey değil. Çok fazla komponent ve detay var. Hiç bir şekilde zafiyetli olmayan bir şey en baştaki mimari tarafından zafiyetli olabilir. Siz her şeyi güvenli yapabilirsiniz ama third party bir uygulamadaki zafiyet sizi zafiyetli yapabilir. Bu kadar basit olsaydı kimse hacklenmezdi. Yeterli zaman ve efor verilirse hacklenemeyecek hiç bir yer yoktur. Bunun için bir kaç atak vektörünü aşağı bırakıyorum sadece hayal etmeniz için. bitdefender.com/en-us/blog/h… nytimes.com/2020/01/22/techn… portswigger.net/research/lis… Security know-howı Security alanı çok fazla know-how/tecrübe gerektiren ve bence bilgisayar alanlarından en zor alanlardan bir tanesi. Buraya alım yapmak normal bir yazılımcı almaktan kat be kat daha zor. Security knowhowı oluşması için daha fazla uğraşılması lazım. Zafiyetlerin kötü şeyler olarak atfedilmesinden sıyrılıp bunların kümülatif bir şekilde fixlenmesine uğraşılması gerekmektedir. Ek olarak her hangi bir startup konferansına giderseniz 100lerce startup içinde security startupları 1-2yi geçmez. Bu da bu alanda ne kadar eksik ve çekingen olduğumuzu gösteriyor. Siber yarışmalar, yerel cyber rangeler, hacker ihtiyacı Cyber rangeler siber savaş alanıdır. İnsanların pratik yaptığı ve hacklemeyi deneyimlediği alanlardır. Bunların desteklenmesi ve arttırılması gerekiyor. Bahsettiğim motivasyonun kazanılması, yeteneklerin seçilmesi için bu cyber rangeler önemlidir ve ek olarak daha fazla ve daha kaliteli siber yarışma düzenlenilmesi gerekmektedir. Etik hacker yetiştirmek de bulmak da çok zordur. Knowhowı tutmak da zordur çünkü etik bir hacker diğer bilgisayar alanlarına kıyasla çok daha rahat bir şekilde yurt dışına çalışıp çok fazla paralar kazanabilir. Şu an günümüzde etik bir şekilde disclose edildiği takdirde RCE zafiyetine min 10k$ kazanabilirsiniz. Ya iyi de kardeşim veriler çalındı mı çalınmadı mı nasıl koruyamadınız nasıl siber güvenlikçisiniz siz 2 tane veriyi nasıl koruyamıyosunuz ? Dostum ben de gerçekten her şeyin bu kadar basit olduğu bir evrende yaşamak istiyorum.