Bu işler Televizyonda gördüklerinize benzemiyor.
Hack’leme işi, kahramanların saldırganları uzak tutmak için klavyedeki tuşlara aynı anda bastığı filmlerdeki gibi işlemiyor. Bilgisayar güvenliği söz konusu olduğunda, neyin önemli olduğu ve neyin olmadığıyla ilgili her türden yanlış anlama bulunuyor.
İşte sibergüvenlikle ilgili bazı efsaneler, araştırmalar ve uzman kaynakların söylediği şeyler.
Efsane: Çoğu hack işi, süper dahi bilgisayar ineklerinin işi
TV yapımlarında hack’leme gördüğümüzde, arkasında kendi yeteneklerinden başka hiçbir şey kullanmadan ağlara sızan süper dahi bir bilgisayar kişisi görüyoruz. Böyle bir şey olabilir ve olur da ama insanları kandırmak genelde çok daha kolaydır.
22.000’den fazla güvenlik olayının derlendiği ve oldukça saygın bir sibergüvenlik araştırması olan Verizon 2025 Veri Sızıntısı Araştırmaları Raporu’na göre gerçek hayattaki tehditler çoğunlukla böyle işlemiyor. Raporda, “incelediğimiz vakaların çoğunda insanların yer aldığı sızıntılar vardı” şeklinde belirtiliyor.
Bu ne anlama geliyor? Büyük veri sızıntılarının yüzde 60’ı, “bir sızıntıya yol açan tam otomatik suistimal zincirleri veya hack’leme faaliyeti”nin aksine işe insanların dahil olmasıyla başlıyor. Diğer bir ifadeyle çoğu sızıntı, erişim sağlamak için kod yazan süper deha bir bilgisayar korsanıyla değil, birtakım üçkağıtçılıklarla başlıyor.
Rapora göre bunun en yaygın biçimi, sızdırılan kullanıcı adları ve şifrelerin kullanılması. Sonrasında ise birinin erişim elde etme amacıyla bir kişiyi arayabildiği, ona mesaj ya da eposta gönderebildiği sosyal mühendislik bulunuyor. Bir diğer sürekli problem de insan hataları.
Burada işi basitleştiriyoruz ama temel nokta, çoğu güvenlik ihlalinde teknoloji yerine insanlardan yararlanılması. O halde kendinizi savunmanın en iyi yöntemi, kendinizi eğitmek.
Efsane: İki Faktörlü Kimlik Doğralaması Bir Zaman Kaybı
Uğraşacak bir şey daha olmasını kimse sevmez, bu yüzden pek çok kişinin iki faktörlü kimlik doğrulama ayarlamakla uğraşmaması şaşırtıcı değil. İki faktörlü kimlik doğrulamasıyla birlikte, oturum açmak için bir kullanıcı adı ve parola yetmiyor; başka bir şey gerekiyor. Bu şey telefonunuzda kimliğinizi doğrulayan bir uygulama ya da fiziksel bir USB bellek gerektiren bir şey olabilir. Problem ise bunların bir nevi can sıkıcı olması. Dolayısıyla bazı kişiler bu yöntemin aslında yararlı olmadığını düşünüyor olabilir.
Fakat iki faktörlü kimlik doğrulamasının faydası oluyor. Yukarıda, sızdırılan kullanıcı isimleri ve şifrelerinin nasıl en yaygın ihlal şekillerinden biri olduğundan bahsetmiştik. İki faktörlü güvenlik, sızdırılan kimlik bilgilerinin dışarıdaki birinin erişim sağlaması için yeterli olmadığı anlamına geliyor. ABD Sibergüvenlik ve Altyapı & Güvenlik Ajansına (CISA) göre iki faktörlü kimlik doğrulaması bulunan bir hesabın hack’lenme ihtimali %99 oranında daha düşük.
Şimdi iki faktörlü kimlik doğrulama yöntemlerinin hepsi aynı değil; SMS doğrulama gibi bazı biçimlerin, uygulama tabanlı ya da fiziksel doğrulamadan daha güvensiz olduğu kanıtlanmış durumda. Fakat CISA, SMS tabanlı güvenliğin bile hiç yoktan iyi olduğunu belirtiyor, dolayısıyla tek seçenek buysa onu kullanabilirsiniz. Evet, oturum açmak biraz daha can sıkıcı olacak ama bir veri sızıntısı kadar değil.
Efsane: VPN’ler Tamamen Gizlidir
Eğer özel hayatınızı korumak ve güvende kalmak istiyorsanız bir VPN’ye ihtiyacınız var… değil mi? O kadar basit değil. Bu hizmetlerin kullanım alanları var ama görünüşe göre bazı kişiler onların güvenlik için sihirli bir düğme olduğunu düşünüyor. Electronic Sınır Vakfı‘na göre bu hiç doğru değil.
Kâr amacı gütmeyen araştırma ve savunma grubu şöyle yazıyor: “VPN sağlayıcıları genelde yaptıkları reklamlarda VPN’nin siber suçluları, kötü yazılımları, devlet gözetimini ve online takibi durdurmak için ihtiyacınız olan tek şey olduğunu belirterek güvenlik açısından sundukları faydaları abartıyor. Fakat bu reklamlarda, VPN’lerin faydaları aşırı övülüyor. Gerçek ise VPN’lerin sadece tek bir şeyde en uygun olması: Ağ bağlantınızı farklı bir ağdan geçirmekte.”
Şimdi bu demek değil ki VPN’lerin faydası yok. İnternet gezintinizi gerçekten internet hizmet sağlayıcınızdan (ISP) koruyabilirler ama bunu, bütün gezintinizi VPN sağlayıcı ile paylaşarak yaparlar. VPN sağlayıcıya güveniyorsanız bunun bir önemi olmayabilir. Araştırma yapmanız bu yüzden önemli.
Efsane: Güncellemeler O Kadar Önemil Değil
İnsanların yapmayı sevmediği şeylerden bahsetmişken, bunlardan bir diğeri de güncellemeleri yüklemek. Siz de çoğu kişi gibiyseniz, o an tekrar başlatmak istemediğiniz için telefonunuz ya da bilgisayarınızdaki bir güncellemeyi yüklemeyi erteliyorsunuzdur ve bu anlaşılabilir bir durum. Fakat güncellemeleri çok fazla ertelemek iyi bir fikir değil.
Bu yılın başlarında güncellemelerin aslında neden önemli olduğunu yazmıştık ve temel noktaları anlamak o kadar da zor değil. Her güncelleme, belirli güvenlik açıklarını kapatıyor ki bu iyi bir şey ama aynı zamanda dünyaya, yazılımın o eski sürümünün güvenlik açığı taşıdığını ilan ediyor.
Akılda tutmanın önemli olduğu bir benzetme: Şehrinizdeki hırsızların, 2021 yılından önce yapılmış tüm kilitleri açabilen bir maymuncuğa erişebildiklerini öğrendiğinizi ve hırsızların bu anahtarı çoğaltıp birbirleriyle paylaşmaya başladıklarını hayal edin. Kilidi değiştirir miydiniz? Güvenlik güncellemeleri de aynı şekilde işliyor.
Yazar: Justin Pot/Popular Science. Çeviren: Ozan Zaloğlu.
