Pentest Siber Güvenlik Eğitimleri

Pentest Siber Güvenlik Eğitimleri - Terimler Açıklamalar ve Anlamları Bölüm -1

Sizlere bu konumuzda Siber Güvenlik (Pentest) alanına giren bazı kavramlara açıklamalar yapmaya çalıştık. Konumuzu anlatırken elimizden geldiğince anlaşılır bir doküman formatında olması adına, gereken ehemmiyeti göstermeye çalıştık.

Yararlı olması dileğiyle.

Konu İçerik Başlıkları

1. Sibernetik Kavram Anlamı Nedir?

2. Gray Hat Black Hat kavramları

    2 .1 Gray Hat Black Hat kavram Farkları

3. White Hack Neler Yapar Özet

4. Hack Etiği Nedir?

5. Siber Uzay Kavramı Nedir?

6. Case And Molly Nedir?

7. CIA üçlüsü Nedir?

8. Hacktivizm nedir? 

9. Dijital Aktivizm Nedir?

    9.1 Hacktivizm - Dijital Aktivizm Farklar Nelerdir?

10. Advocacy Kavramı Nedir?

11. Hacker Grupları

12. Siber Suç nedir? 

13. IMINT ve OSINT Kavram Açıklamaları

 Anlatımını yapacağımız konu başlık yol haritası yukarıdaki gibi olacaktır. Konuya dair sorularınızı yorum bölümünden yazabilirsiniz.

1. Sibernetik Kavram Anlamı Nedir?

Birbirleriyle ilinti (ilişkili yani canlı veya cansız varlıklar arasındaki her türlü bağlantı) içerisinde olan durumların uyum sağlanabilmesi, her türlü bağlantılı ilişkilerin uygunluk içerisinde olması şeklindeki dizilerin her birini sibernetik kavramıyla açıklayabiliriz. Matrix filmi için sibernetik kavramı örneği verebiliriz. Filmde matrix dünyası (sözde gerçek dünya) ile normal dünyamız (sözde gerçek olmayan dünya) arasındaki ilişkiyi ele aldığını görüyoruz filmde.  2000’li yılların başında dünya sahnesinde yerini alan bu filmde, yirmi yıldan daha uzun bir süre öncesinde yapay zekâ kavramları ile tanışıyoruz. Oysa yine eğitim dokümanınızdan anlıyoruz ki; William Gibson, Couffignal, Norbert Wiener ve hatta çok daha eskilere giderek ünlü âlimlerimizden El-Cezeri’nin sibernetik alanlarında çalışmalar yaptıklarını öğreniyoruz.

Gray Hat - Black Hat Kavram Açıklamaları

Cevap: Gray ve Black Hat kavramları arasındaki farka değinmeden önce bu iki terimin açıklamalarını yapalım. Öncelikle Gray hat kavramına değinecek olursak;

Gray Hat: 

Gray terim olarak her ne kadar gri anlamına gelse de Hat anlamıyla birleştirdiğimizde çok daha farklı bir anlama geldiğiniz söyleyebiliriz. Gray Hat kavramının Türkçedeki anlamına karşılık özetle, Gri Şapkalı Hacker olarak nitelendirebiliriz. Daha açık bir ifadeyle; hedef sistemlere zarar vermeksizin, sistemlere illegal bir biçimde erişim yapmaları ve amaçları itibariyle sistemlere, kişilere veya kurumlara zarar vermeyen kişilerin kendilerini bu kategoriye aldıklarını söyleyebiliriz. Özet cümle olarak sistemlere erişimleri illegal (yasadışı) olsa da amaçları zarar vermeden işlemleri yapmaları diyebiliriz. 

Gray Hat grubundaki kişilerin yaptığı faaliyetlerinin hukuki sonuçlarına baktığımıza yükümlülükleri var mıdır? Derseniz, elbette vardır. Her ne kadar zarar verme düşüncesi ile hareket etmeseler de, yaptıkları illegal yöntemlerle sistem erişimlerine giriş yapmaları hukuki olarak sorumludurlar. (Özel hayatın ihlali söz konusu veya kişisel verilerin ihlali. KVK).

Black Hat: 

İngilizce bir terim olup Türkçe olarak Siyah şapkalı hacker diyebiliriz. Peki bu hacker grubu genel olarak neler yapabilir veya amaçları nelerdir? Bilgisayar korsanlarının amaçları (tamamıyla illegal) doğrultusunda hedefindeki sistemlere zarar verme, veri politikalarını ihlal etme, kurumların – bireylerin bilgilerini ele geçirerek kâr amaçlı (fidye talepleri gibi…) olarak yapabildikleri her türlü zarar verici eylemler vs. birçok faaliyetlerini veya amaçlarını yazabiliriz. 

2.1 Black Hat ve Gray Hat Arasındaki farklar

Yukarıda özet olarak verdiğimiz bilgilerden yola çıkarak bu iki terim arasındaki farklara kısaca değinecek olursak;

Black Hat özellikle kâr amaçlı yapılan her türlü illegal faaliyetlerinin yanı sıra sadece zarar verme amaçlı olarak faaliyetlerini yürütebilirler. 

Gray Hat ise Black Hat kavramından çok daha farklı olmaksızın aralarındaki zarar verip vermeme söz konusudur. Örneğin iyi niyetle hareket eden Gray Hat grubuna giren kişinin yaptığı çalışma yöntemleri illegal olsa bile zarar verme amacı güdümüyle hareket etmezler. Black Hat grubuna giren kişilerin yaptıkları çalışma yöntemleri illegal olduğu gibi, çalışma faaliyetleri sonucunda başarılı olmaları durumda keyfi veya kâr amaçlı zarar verici sonuçlar doğuran eylemleri olabilmektedir.

3. White Hack Neler Yapar Özet

White Hat (Beyaz Şapkalı Hacker) kavramına dair daha açıklayıcı cümleler ile açıklama yapacak olursak:

• Sorumluluk anlayışla hareket ederler.
• Yıkıcı (zarar verme) düşünceleri yoktur. Yapıcılı (olumlu) çalışma faaliyetleri sergilerler.
• Saldırılara karşı önlem almaya çalışırlar (Sistemdeki açıkları kapatma veya saldırıların yıkıcı etkilerine maruz kalmamak için tedbirlerin alınması gibi).

Gibi birçok açıklamalar yapabiliriz.

4. Hack Etiği Nedir?

Hack etiği nedir? Her Hacker kötü müdür? 

Hack etiği kavramını Black Hat Hacker grubunda yer alan kişilerin yapmış oldukları illegal faaliyetlerinin tersi diyebiliriz. Yani Black Hat kavramının zıttı olan White Hat grubu çalışmaları, aslında Hack Etiği ifadesiyle özdeş olarak düşünürsek daha doğru bir ifade olacaktır. Hack Etiği ile White Hack çalışma faaliyetlerine baktığımız zaman, eş anlamlı bir mana ile özdeş terimler olarak düşünebiliriz. Vermiş olduğunuz eğitim dokümanındaki etik kavramının Türk Dil Kurumu açıklamasına baktığımızda “Çeşitli meslek kolları arasında tarafların uyması veya kaçınması gereken davranışlar bütünü.” Şeklinde belirtilmiştir. Bu cümleden yola çıkarak sorumluluk anlayışıyla hareket eden Hackerlerin White Hat grubunda yer aldıklarını söyleyebiliriz. 

5. Siber Uzay Kavramı Nedir?

Cevap: Siber uzay nedir? Bu kavram üzerine birçok tanımlamalar yapılsa da, aslında her bir farklı tanımlamanın sonucu aynı neticeye bağlandığını görebiliyoruz. Siber Uzay kavramına açıklık getirecek olursak sizlere aşağıdaki gibi cevaplar verebiliriz.

1. Bilgi teknolojilerinin alt yapılarının bütünleşmiş halinde olması yani birbirleriyle ilişkili olması,

2. Her ne kadar bağımsız çalışma alanları (mobil ağlar, uzay istasyonları, telefon-tablet-bilgisayar cihazların kullanımları gibi vs.) olsa da, küresel bir ağ içerisinde oldukları bütünleşik halde. Yani görünürde bağımsız gibi bir çalışma faaliyetlerini sergiledikleri halde aslında hepsi bir birleriyle ilişkili,

3. Küresel ağlar, İnternet-Telekomünikasyon ağları, Global uzay istasyon ağları vs. gibi kavramların tümünü içine alan ve “Siber Uzay” alanında farklı farklı açıklamalar olsa da, aslında sonuç itibariyle aynı noktaya vardığımızı görebiliyoruz. 

6. Case And Molly Nedir?

Case And Molly nedir? Kavramına değinelim.

Özet bilgi geçersek, verilen eğitim dokümanında “Neuromancer” adlı bir romanda esinlenen oyunun prototipi olarak karşımıza çıktığını söyleyebiliriz. 

Her ne kadar bu kitabı okumasak da oyunun içeriğine dair verilen temel bilgilerden yola çıkarak ön bilgiler vermeye çalışalım yinede. Siber Ortam, IT Kavramları, Akıllı Telefon veya Oyunlar, Dijital Ağlar, gibi terimlerin yer aldıklarını ve kitaptaki karakterler arasında farklı bir iletişim senaryolarının yer aldığı veya çözülmesi gereken olayları bir şekilde analiz etmeye ve neticeye ulaştıklarını anlayabiliyoruz. Molly ve Case’in içinde bulundukları labirent döngüsünden çıkmaları için yukarıda saydığımız kavramlar ile bunu başarmaya çalıştıklarını görüyoruz.

7. CIA üçlüsü Nedir?

CIA üçlüsü olarak bilinen kavramın maddelerini ve ne olduğuna yönelik özet bilgiler verelim.

Bilgi güvenliğin temelinde (reel hayatta ve sanal dünyada fark etmeksizin) "gizlilik" kavramı daima öncelikli olarak yer aldığını söyleyebiliriz. Elbette bununla birlikte “tutarlılık” kavramının yanı sıra “uygunluk” kavramıyla birlikte siber güvenlik alanında bu kavramların bir arada kullanıldığını veya kullanılması gerektiğini bazı kaynaklarda görebiliyoruz. Verilen eğitim dokümanındaki bu üç kavramın bir araya gelerek ve “CIA Üçlüsü” olarak adlandırıldığı bilgisini öğreniyoruz. Bilgi güvenliğini yukarıda bahse konu olan üç kavram ile sınırlandırmak tabii ki de doğru olmayacaktır. Bahsettiğimiz kavramları genişletebiliriz. Örneğin “Verilerin Hassasiyeti”, “Kritiklik”, “Mahremiyet”, ve “Depolama”, gibi birçok kavram aslında bilgi güvenliğinin temelinde yer aldığını söyleyebiliriz. 

Önem sıralamasına göre CIA Üçlüsünü maddeler halinde yazacak olursak;

• 1. Gizlilik (Confidentiality)
• 2. Tutarlılık (Integrity)
• 3. Uygunluk (Availability)
• 4. Kritiklik (Criticality)
• 5. Mahremiyet Gizliliği (Privacy)
• 6. Veri Hassasiyeti (Sensitivity)

Gibi birçok maddeleri ekleyebiliriz.

8. Hacktivizm nedir? 

Cevap: Özellikle politik değişikliklerin gerçekleşmesi için yapılan faaliyetler sonucunda, toplumsal değişime sebebiyet veren grupta yer alan kişiler için “atkivist” kavramı kullanılır. Bu kavram içerisinde yer alan kişilerin yaptıkları eylemi “aktivizm” şeklinde nitelendirebiliriz. 

9. Dijital Aktivizm Nedir?

Aktivizm kavramına getirdiğimiz tanımdan yola çıkarak bu grupta yer alan kişilerin yapmış oldukları faaliyetleri dijital yani siber dünyaya taşıması olayına “Dijital Aktivizm” diyebiliriz.

Hacktivizm kavramına baktığımız zaman; aktivizm grup faaliyetlerinin dijital dünyada sergilediklerinde biraz daha farklılıklar göstermektedir. Bir örnekle açıklama yapacak olursak; Hacktivizm, dijital dünyada teknolojinin bütün imkânlarından yararlanarak yaptıkları faaliyetleri legal veya illegal yöntemlerle (Hacking faaliyetleri, siber saldılar, illegal veri erişimleri gibi…) daha profesyonel çalışmalar ile eylemlerini yaptıklarını söyleyebiliriz.

Örnekler verecek olursak:

Cyber-Warrior TIM - Evliyim ama uygunum operasyonu

Cyber-Warrior TIM tarafından USA Sitelerine yapılan saldırı haberleri, Anadolu Ajansı tarafından Türkiye’de ve dünyada büyük bir yankı uyandırması.

9.1 Hacktivizm Dijital Aktivizm Arasındaki Farklar Nelerdir?

Bu iki kavram arasındaki en temel farklar (Dijital Aktivizim-Hacktivizm):

İki kavramında dijital dünya kavramıyla ilişkisi olabilir. Ancak Hacktivizm eylemlerine baktığımız da, teknoloji alanında (Yazılım, Siber saldırı, Hacking eylemleri, Sızma testleri, gibi…) çok daha ileri seviye kullanıcılardan oluştuğunu görebiliriz.

Dijital aktivizm grupları, sosyal medya alanında (Twitter gibi) #Hashtagler ile seslerini duyurma çalışmalarına örnek verebiliriz. 2013 yılı gezi parkında bir araya gelmeleri etkili (twitter sayesinde) olmuştu. Ülkemizde kaosa sebep veren bu eylemin dünya çapında ses duyurmasının önündeki en büyük etkinlik dijital aktivite çalışmaları olmuştur.

10. Advocacy Kavramı Nedir?

Advocacy kavramını tanımlayarak bir örnek verelim.

Kelime anlamı olarak savunma, müdafaa veya avukatlık anlamı içerdiğini söyleyebiliriz. Verdiğiniz eğitim dokümanından yola çıkarak kavrama dair bilgiler verecek olursak: Dijital ortamlarda daha çok yapıcı (olumlu) amaçlar doğrultusunda düzenlenen kampanyaların, hizmet niteliği taşıyan çalışmaları şeklinde ifade edebiliriz. Bu ifade için kullanılan eş bir diğer kavram ise “Slacktivism” olarak eğitim dokümanından öğreniyoruz. 

Örnek olaylar: 

Change.org sitesinde “MS HASTALARI” başlığında yer alan birçok yardım amaçlı kampanyalarının düzenlendiğini görüyoruz veya vermiş olduğunuz farklı bir örnekte Neslican Tay veya benzeri kanser hastalarına yardım amaçlı birçok farklı sosyal medyalarda (Tiwtter, Instagram veya Change.org gibi) kampanyaların dijital ortamlarda düzenlemesi “Slacktivism” veya Advocacy kavramlarını içinde barındırmaktadır. 

11. Hacker Grupları

Hacker gruplarının ne olduğunu açıklayarak, Türkiye’den bir tane Hacker grubu örneği verelim.

Konumuza giriş yapmadan önce Hacker kavramına kısaca değinelim. 

Dijital ağ dünyasında belli bir bilgiye sahip kişilerin, bazı problemleri çözebilmek adına edinmiş veya öğrenmiş oldukları bilgileri çok daha ileri seviye taşıyarak, amaçları doğrultusunda hizmet eden kişilere Hacker diyebiliriz. Dijital ağlarda belli bir amaca hizmet eden (legal veya illegal – fark etmeksizin)   kişilerin, kendilerini tanımladıkları misyonları (amaçları) doğrultusunda gruplaşma hareketlerine “Hacker Grupları” şeklinde tanımlayabiliriz. 

Çeşitli Hacker Grupları

Ülkemizde 10 yılı aşkın öncesinde “Hacking faaliyetleri” yürüten veya eğitimler vermeye çalışan birçok grupların siber dünyada yer aldıklarını söyleyebiliriz. Günümüzde ise maalesef bu grupların birçoğunun artık dijital dünyada yer almadıklarını ve yapmış oldukları çalışmaların geçici olduklarına şahit oluyoruz. Tüm bu zorluklara rağmen neredeyse 20 yıla yakın ayakta kalmayı başarmış olan tek bir “Hacker Topluluğu” örneği gösterebiliriz. Bahsedeceğimiz topluluğun siber dünyada Türkiye’de ve dünya ülkelerinde adını duyurmuş olan “Akıncılar” grubunun halende günümüzde aktif olarak faaliyetlerini yürüten tek bir Hacking grubu olduğunu söylersek, yanılmış olmayız. Profesyonel bir çalışma ile Cyber-Warrior TIM bünyesinde yer alan bu grubun dünyaca tanınan bir grup olduğunu, gerek misyonu gerekse vizyonu doğrultusunda yaptıkları çalışmaları özellikle devlet kurumlarınca takdire şayan bir topluluk olarak görüyoruz.

12. Siber Suç nedir? Detaylı Açıklama

Siber Saldırı kavramına ilişkin, bilişim sistemlerine yapılan ele geçirme, yok etme, bilgi çalma, imha etme, veri değiştirme, sızma, takip etme, istihbarat vb. tabirlerin bütününü oluşturan bir kavramdır biçiminde ifade etmiştiniz. Buradaki açıklamanızdan yola çıkarak “Siber Suç” kavramına yönelik açıklamada bulunduğunuzu görebiliyoruz. 

Siber Suç” kavramına açıklama yapacak olursak: 

Dijital ortamlarda yasadışı (illegal) olarak yapılan her türlü işlem, siber suçlar kategorisine girmektedir. Siber Suç faaliyetleri daha çok “Black Hat” grubunda yer alan kişilerin kasıtlı olarak yapmış oldukları (zarar verici veya yıkıcı olumsuz etkileri bırakan) her türlü faaliyetleri kapsamaktadır. Vermiş olduğunuz ilk eğitim dokümanından yola çıkarak Black-Hat grubunda yer alanların amaçları, karşı taraflara kasten zarar verme düşünceleri ile hareket ettiklerini belirtmiştiniz. Amaçlarına baktığımız zaman keyfi olarak zarar verme, maddi kazanç sağlama, siyasi veya toplumsal kaos (kargaşa) yaratma gibi yıkıcı etkileri olduğunu görebiliyoruz. Siber suç kavramını sadece Black-Hat ruhuna sahip olan kişiler ile sınırlandırmak elbette doğru olmaz. Yine aynı şekilde vermiş olduğunuz ilk eğitim dokümanında Gray-Hat Kavramına tanımlama yaparken “White Hat ve Black Hat arasında kalmış hackerlara tanımlanan bir profil.” Bu cümleden yola çıkarak Gray-Hat ruhuna haiz kişilerinde farkında olmadan veya kasıtlı olarak yukarıda saydığımız dijital illegal suçlara karışabilirler. 

Konuya daha geniş bir bakış açısını getirecek olursak, bir yakınımızın telefonunu elimize alıp ve web.whatsapp.com üzerinden QR kod tanımla işlemini yaparak mesajlarına erişimi sağlamaya çalışma eyleminin de siber suçlar kategorisine girdiğini söyleyebiliriz. Buradaki işlemi yapan kişinin Hacking ile alakası olmasa bile yaptığı hareket, aslında bir siber suç örneği. 

Yaşanmış talihsiz bir örnek: Necati Şaşmaz yani Polat Alemdar eşinin Whatsapp konuşmalarına bu şekilde (QR kod tanımlama) erişimi sağlamıştı. Kişisel Verilerin Korunma Kanunu İhlal ettiği gerekçesiyle başına belayı alması.

13. IMINT ve OSINT Kavram Açıklamaları

IMINT ve OSINT kavram açıklamasına değinelim. Bu kavramlara yönelik açıklamalarımızı yaparken, bu alanda yapılan çalışmalara birer örnek verelim. Böylece konumuz daha da anlaşılır olacaktır.

IMINT kavramına özet açıklama yapacak olursak; İnternet üzerinde edinmiş olduğumuz bilgilerden de yola çıkarak IMINT kavramına dair kurabileceğimiz açıklamalar şöyle olacaktır:

İngilizceden çeviri olan dilimize geçmiş iki kelimenin birleşimi olarak (Im-Int) karşımıza çıksa da bu terim, Türkçe olarak görsel-görüntünün yanı sıra seslerinde analiz edildiği bir tür istihbarat (bilgi) toplama çalışmaları olarak görebiliyoruz. 

Örnek:  

Amerikan filmlerinde izlediğimiz bazı sahneler için hepimizin bildiği gibi, uzaydan alınan veriler ile operasyon yapılacak alana dair bilgilerin verilmesini IMINT kavramı içinde değerlendirebiliriz. Hatta bu film örneğini gerçek hayata getirdiğimiz zaman, 2020 yılı başlarında ABD’nin yapmış olduğu saldırıda ölen İranlı General Kasım Süleymani için uzaydan alınan bilgiler ile nerede olduğu ve ses analizinden de kesin teyit edilerek Bağdat Havaalanında yeri kesinleştikten sonra Kasım Süleymani öldürülmüştü. 

IMINT kavramına açıklık getirdikten sonra şimdide OSINT kavramına değinelim. IMINT kavramı gibi OSINT kelimesi de İngilizce olarak karşımıza çıktığını görüyoruz. Birkaç kelimenin baş harfleriyle tanımlanan bu kelimenin açılımı ise “Open Source Intelligence”. Dilimize çevirdiğimizde Açık Kaynak İstihbarat şeklinde tanımlayabiliriz. Konumuza dönerek ve vermiş olduğunuz dokümanın yanı sıra internet üzerinden de edindiğimiz farklı bilgiler ile OSINT kavramının ne olduğuna dair daha açıklayıcı cümleler ile tanımlamayı yaptıktan sonra vereceğimiz bir örnek ile ödev dokümanımızı sonlandıralım.

OSINT kavramına dair yukarıda bazı bilgiler vermiştik. Esasen bu kavramın detayına indiğimiz zaman siber dünyasının olmazsa olmazlarından bir kavram olarak karşımıza çıkmaktadır. Verilen eğitim dokümanında daha geniş bir ifadeyle “Medya ve Açık Kaynak İstihbarat” olarak ifade edildiğini görüyoruz. İfadeye baktığımız zaman TV, Radyo, Dergiler, Bildiriler vb. gibi birçok yayınları kapsadığı bir gerçek. Buradan da anlaşılacağı üzere insanların nerede yaşadığı, kimlerle birliktelikler içerisinde olduklarını veya siyasi – dini görüşlerine dair OSINT sayesinde bilgilere erişim yapmanın mümkün kıldığı gerçeği görüyoruz. Zaten günümüzdeki istihbarat birimleri faaliyet alanının büyük bir çoğunluğu Medya ve Açık Kaynak sistemi sayesinde yürüttüklerini biliyoruz. 

Örnek:  

Günümüzdeki en büyük İstihbarat Servisi sağlayıcısı şüphesiz, Facebook’tur. Her ne kadar verilerin güvenirliği konusunda kullanıcılarına teminatı vermeye çalışsa da, bilinen bir gerçek ise bilgilerimizin kendi veri tabanında tuttuğunu ve gerekli istihbarat servisleriyle (MI5—MI6, FBI, MOSSAD) paylaşıldığı gerçeğinin farkına varmamız gerek. Hatta bu kuruluşun (Facebook) birçok sosyal medya platformlarını satın alarak (Instagram, Whatsapp gibi.) bünyesinde yer aldığı platformlar sayesinde özellikle Görsel İstihbarat alanında son derece mükemmel bir işleyiş ile varlığını yürüttüğünü bilmemiz gerek. Örneğin Facebook, Instagram veya Whatsapp ya da Telegram gibi sosyal medya platformlarında paylaştığımız görseller, videolar veya durumlar gibi her bir paylaşım aslında dini, siyasi veya farklı görüşlerimizi tek bir sunucuda analiz edilip ve her bir kullanıcı için veri tabanında kayıtların alındığı üzücü bir gerçek. OSINT kavramına yönelik özellikle günümüzde Medya Açık Kaynak İstihbaratı en iyi şekilde kullananların sosyal medya platformları olduğunu söylersek, doğru bir ifade olacağını düşünüyoruz. 

Pentest Siber Güvenlik Eğitim Kavramları | Bölüm 1

Kaynak

Kaynak: akblog.net | siberguvenlik.akblog.net