OzzTech - Parola Saldırılarına Karşı Koruma İçin 6 Anahtar Yöntem

Parola Saldırılarına Karşı Koruma İçin 6 Anahtar Yöntem

Parola Saldırılarına Karşı Koruma

Gelişen ve hızla yeni teknolojik yöntemlerin arttığı yeni dünyada, önemli ve hassas verilerinizi koruyabilmek için güçlü parolalar oluşturarak ilk adımı siz atmalısınız. Sadece güçlü parola oluşturmak ne yazık ki yeterli olmayabilir. Aynı zamanda şifrenizi korumanın etkili yollarını da bilmelisiniz. IT departmanından ne kadar güçlü parola önerileri alsak bile genel olarak hepimiz hatırlanması kolay ve basit bir şifre oluşturduktan sonra aynı parolayı birbirinden farklı yerlerde tekrar tekrar kullanma eğilimindeyiz. Bu yazımızda parolalara karşı ne tür saldırılar düzenlendiğini ve kuruluşunuzu parola saldırılarına karşı koruma için en ideal 6 anahtar yöntemi sizlere açıklayacağız.

Parola Saldırıları Türleri

Kullanılan yöntemlerden bazıları

Sözlük Saldırıları – Bir sözlük saldırısı, saldırganların bir sisteme girmek için İngilizce, Fransızca veya İspanyolca gibi ortak dil sözlüklerindeki her bir kelimeyi sistematik olarak denemeleri ve insanların ortak eğilimlerine dayanarak tek, gerçek bir kelimeyi kullanma alışkanlıklarına göre seçilir. Ancak, şu an saldırganlar sadece sözlükleri kaynak almak yerine internette de rahatça bulunabilir olan parola listelerini de kullanmayı alışkanlık edindiler. IT'nin verdiği parola önerilerine rağmen, hala en çok kullanılan parolalar arasında; Password, 1234567, password1, 111111 ve qwerty kelimeleri yer alıyor.

Kaba Kuvvet Saldırıları –  Sözlük saldırılarında kullanılan düz metin şifrelere odaklanmak yerine, kaba kuvvet saldırılarında rastgele her harf ve her rakam kombinasyonları üzerinde deneme yanılma yöntemiyle saldırılarını gerçekleştiriyorlar. Kaba kuvvet saldırganlarının bu yöntemi tercih etmesindeki en büyük motivasyon çoğu kullanıcının parolalarını kısa karakterlerle oluşturmasından faydalanır. Parolanız ne kadar kısaysa saldırı o kadar hızlı sonuç verir.

Hibrit Saldırılar –  Başka bir saldırı yöntemi olan bu saldırı biçiminde iki farklı  saldırı yöntemini birleştirerek yeni bir saldırı türünü oluşturur. Bu yöntemde hem sözlük hem de kaba saldırı yöntemi kullanılarak parolaları daha kısa sürede daha olası kombinasyonlarla tahmin edilebilir hale getirir.

Parola Püskürtme –  Diğer bilinen adıyla Kimlik bilgisi doldurma olan parola püskürtme yönteminde, kimlik bilgileri çalınırken; Phishing (kimlik avı) gibi sosyal mühendislik kullanılır veya bir sözlük, kaba kuvvet veya hibrit saldırıdan elde edilen başarılı sonuçları kullanılır. Saldırgan, en az bir sistemde veya bir uygulamada kullanıldığı bilinen bir parolayı alarak, başka yerlerde çalışıp çalışmayacağını öğrenebilmek için bir kuruluşta dener ve erişim imkanını bu şekilde arttırmış olur. Kullanıcılar aynı parolaları defalarca kullandığı için kimlik bilgisi doldurularak yapılan saldırılar çoğunlukla başarılı olmaktadır.

Parola Saldırılarına Karşı Alabileceğiniz 6 Yöntem

1. Penetrasyon Testi: 

Çalıştığınız firmanın parola saldırılarına karşı hazırlıklı olup olmadıklarını anlamanın en kullanışlı yollarından biri de penetrasyon testi yaparak kendi parolanızı başlatmanız olacaktır. Parola saldırılarını hızlıca çalıştırmak için otomatik penetrasyon test araçlarını kullanabilirsiniz. Tam Türkçesi sızma testi olan penetrasyon testinin ne olduğuna ve nasıl çalıştığına dair daha fazla bilgi almak isterseniz bloğumuzda yayınlanan penetrasyon testi yazımızı da okumanızı öneririz. Daha iyi anlaşılması adına örnek verecek olursak, bulunduğunuz ortamın ne ölçüde ve hangi boyutta korunduğunu görmeniz ve hangi makinaların kimlik bilgilerinizi açığa çıkarttığını görebilmek için bir parola püskürtme senaryosu kullanılabilir. Bu yöntem sayesinde, saldırıya uğramadan önce parolanızı değiştirebilmenize olanak tanır. Ayrıca, parolaların nasıl oluşturulduğuna ve uygulandığına ilişkin yeniden bir değerlendirme talep edilir. Saldırganların, phishing yoluyla kimlik bilgilerini başarıyla çalmasıyla birlikte, Kimlik bilgisi doldurma saldırıları başlar. Phishing simülasyonları, kötü amaçlı kimlik avı (Phishing) kampanyalarını taklit etme yöntemini kullanarak kuruluşların herhangi birinin açılıp açılmadığını, tıklanıp tıklanmadığını veya kimlik bilgilerinin girilip girilmediğini takip edebilmenizi sağlar. Bu simülasyonlarla hangi çalışanlarınızın phishinge karşı savunmasız olduğunu ve ne tür bir saldırı gerçekleşebileceğini öğrenmenize yardımcı olur.

2. Çok Faktörlü Kimlik Doğrulama (MFA) 

Kendinizi daha fazla korumaya almak istediğinizde kullanabileceğiniz en işlevsel yöntemlerden birisi de, birden fazla doğrulama işlemi ve kanıt doğrulamayı gerektiren MFA yöntemidir. Bu yöntem, saldırı yapmaya çalışan kötü niyetli aktörlere karşı ek engeller oluşturur. Saldırgan oturum açmak istediğinde birden fazla kanıt doğrulama gerekeceği için ek engel koymuş olursunuz. Kanıt kategorileri arasında bilgi, mülkiyet ve öz bilgiler bulunmaktadır. Bu, parola gibi yalnızca kullanıcının bilebileceği, telefon veya güvenlik göstergesi yalnızca kullanıcının sahip olduğu parmak izi ve göz taramaları gibi yalnızca kullanıcının sağlayabileceği hassas verileri içerir. Daha yüksek güvenlik öğelerinde parmak izleri veya göz taraması kullanılırken, çoğu cihaz iki faktörlü bir kimlik doğrulama işlemi için bilgi ve sahiplik kullanır. Ne kadar çok doğrulama faktörü oluşturursanız saldırganın girişini o kadar önlemiş olacaksınız.

3. Güçlü Parolaları Uygulama ve Yönetme:

Çok faktörlü kimlik doğrulaması sayesinde saldırganın önüne ek engeller eklerken, engellerin de olabildiğince güçlü ve kırılması zor olması gerekir. Mesela, MFA oturum açma yönteminin çoğu, yalnızca birincisi doğrulandıktan sonra ikinci kimlik doğrulamayı ister. Bu durum, bir saldırganın giriş yapamayacağını ancak ancak doğru kimlik bilgilerine sahip olduğunu bilmesini sağlar. İkinci adımdan sonra, ağın geri kalanına karşı parola püskürtme saldırı yöntemi kullanılarak iki faktörlü kimlik doğrulamaya sahip olmayan uygulamalarla karşılaşabilirler. Bu nedenle, parolalarınızı yapabildiğiniz kadar karmaşık ve güçlü olması oldukça önemlidir. Güçlü parola politikası kullanarak ürettiğiniz parolalarla kendinizi daha fazla korumaya alabilirsiniz. İdeal olarak, şifreler 12'den fazla karakterden oluşmalı ve rastgele sayı, sembol ve harflerden oluşmalıdır. Birçok kuruluş, çalışanlarına Eyel0vech3zz gibi karmaşık ve bulunması zor ifadelerin kullanılmasını önerir.

4. Yapılan işlemleri takip edin çünkü saldırganlar yakalanmayacaklarını düşünürler

BIT ortamında çok fazla işlem gerçekleştiği için açılan boşluklardan kolaylıkla bir saldırı gerçekleşebilir. Bir SIEM programı yardımıyla yapılan aktiviteleri izleyerek, olağandışı sayıda gerçekleşebilecek oturum açma girişimlerini işaretler, ve saptanan sorunu otomatik olarak güvenlik ekibine iletir ve böylece riskleri hızla önler ve etkisiz hale gelmesine olanak tanır. Yapılan analizler ve raporlama sonucu ekip üyelerinizin ve analistlerinizin daha fazla araştırma yapmalarının gerekip gerekmediğini öğrenebilir ve rapor sonucuna göre açıklarınıza yönelik korunma yöntemlerinizi geliştirebilirsiniz. Ek olarak, birçok SIEM çözümü, belirli sayıda başarısız denemeden sonra bir kullanıcıyı kilitleyerek otomatik olarak hareket edebilir. 

5. Güçlü Bir Güvenlik Duruşu için Katmanlı Savunma 

Saldırganlara karşı korunmak çok daha komplike ve karışık hale geldi. Güvenlik strateji ve yöntemleri, korudukları altyapılar kadar çok yönlü olmalıdır. Parola yöneticileri ve çok faktörlü kimlik doğrulama gibi parola odaklı oluşturulmuş koruma araçları, antivirüs ve diğer tehdit algılama biçimleri gibi diğer çözüm yollarıyla eşleştirilmelidir. Bunlar, malware saldırılarına karşı önleyici ve çok amaçlı bir önlem olarak veya bir sistemi etkileyen gelişmiş kalıcı tehditlere karşı proaktif bir yöntem olarak kullanılabilir. Dinamik risk yönetimi uygulanması sayesinde, kuruluşunuz veya makineniz her türlü güvenlik tehdidi veya kesintisine hazır olabilir.

6. Tutarlı Eğitimler ve İncelemeler 

Her ne kadar çalışanlarınız en büyük kazanç kaynağınız ve varlığınız olsa bile kuruluşunuzun en büyük güvenlik tehditi olma riskine sahiptir. Penetrasyon testleri, en savunmasız açığınızı tespit ettikten sonra, çözüm üretip uuygulanmaya koyulmasıyla birlikte olası riskleri azaltacaktır. Bununla birlikte, çalışanlarınıza siber güvenlik sorunlarının oluşturabileceği riskleri, parola güvenliğinin önemini anlamaları, kimlik bilgilerinin çalınma yollarını anlamalarını sağlamak için düzenli eğitim almalarını sağlamalı ve oryantasyon programları düzenlemelisiniz. Böylece sadece kurum sahibi yönetici değil çalışanların da siber güvenlik hakkında hem kendi hayatlarında hem de iş hayatlarında bilgi almalarını ve güvenlik kültürü oluşturmalarını sağlayabilirsiniz. Örneğin, Phishing saldırılarına açık olarak bulgulanan sistemler, şüpheli e-postaları daha iyi tespit edip zararlı yazılımları bu mailler aracılığıyla indirmemeleri için eğitim planlamaları gerekir.

Sonuç olarak Phishing simülasyonlarının düzenli periyotlarla çalıştırılması gereklidir. İşe yeni bir çalışanın alınması tüm hata sürecini tekrardan başlatabilir ve yeni bir risk faktörü oluşur. Bu sebeple düzenli yapacağınız testler ve çalışan eğitimleriyle kurumunuzun hem maddi hem de manevi kalitesini sürdürmeye devam etmiş olursunuz. Son olarak güncel ve yeni teknikler ortaya çıktıkça güvenlik stratejilerini iyileştirmek için güvenlik duruşunuzu ve parola politikalarınızı düzenli olarak gözden geçirmelisiniz. Örneğin, MFA yalnızca son birkaç yıldır popüler olan ve oldukça etkili bir parola koruma yöntemidir. Doğru önlemleri aldığınızda, parolalar kuruluşunuz için en pratik ve önemli savunma hattı olmaya devam edecektir.


İlginizi Çekebilecek Makaleler
FortiGate ACME Sertifika Desteği
Siber Güvenlik

FortiGate ACME Sertifika Desteği

Ocak 24, 2022 1:22

Otomatik Sertifika Yönetim Ortamı (ACME), RFC 8555’te tanımlandığı üzere, ücretsiz SSL sunucu sertifikaları sağlamak için genel Let’s...

Android Reverse Mühendisliği Araçları Örnek Vakalar
Siber Güvenlik

Android Reverse Mühendisliği Araçları Örnek Vakalar

Ocak 24, 2022 12:39

Bir önceki yazıda yeni çıkan android reverse mühendisliği araçları hakkında bilgi vermiştim. Bu yazımda...

Emotet Artık Alışılmadık IP Adreslerini Kullanıyor
Siber Güvenlik

Emotet Artık Alışılmadık IP Adreslerini Kullanıyor

Ocak 24, 2022 9:44

Emotet kötü amaçlı yazılım botnetinin dağıtımını içeren sosyal mühendislik kampanyaları, güvenlik çözümlerinin tespitinden kaçınmak...

FortiWeb Kurulumu 5-Operation Modu
Siber Güvenlik

FortiWeb Kurulumu 5-Operation Modu

Ocak 24, 2022 7:49

FortiWeb kurulumunu anlattığımız beşinci yazımızda operation modu ve FortiWeb cihazı açıldıktan sonra, FortiWeb cihazını...

FortiWeb Kurulumu 4- Admin Şifresi Değiştirme
Siber Güvenlik

FortiWeb Kurulumu 4- Admin Şifresi Değiştirme

Ocak 23, 2022 10:21

FortiWeb kurulumunu anlattığımız serinin dördüncü yazısında Admin şifresi nasıl değiştirceğinizi, saat ve günü nasıl...

Metasploittable 2
Siber Güvenlik

Metasploittable 2

Ocak 22, 2022 11:57

Metasploittable 2 Nedir? Neden Kullanılır? Nasıl Kurulur? Metasploittable 2 Metasploit firması tarafından bizlerin güvenli...

FortiWeb Kurulumu 3- Firmware Güncellenmesi
Siber Güvenlik

FortiWeb Kurulumu 3- Firmware Güncellenmesi

Ocak 22, 2022 11:56

FortiWeb kurulumunu anlattığımız serinin üçüncü yazısında Firmware güncellemesini anlatacağız. FortiWeb cihazınız gönderildiğinde en son...

FortiWeb Kurulumu 2- Web UI ve CLI Bağlama
Siber Güvenlik

FortiWeb Kurulumu 2- Web UI ve CLI Bağlama

Ocak 21, 2022 7:50

FortiWeb kurulumu yazımızın ikinci serisinde Web UI veya CLI bağlamanın nasıl yapılacağını anlatacağız. Eğer...

Yapay Zeka Nedir?
Yazılım Geliştirme

Yapay Zeka Nedir?

Ocak 20, 2022 10:57

Sürekli olarak değişen, gelişen ve oldukça hızlı bir şekilde boyut atlayan, günümüze kadar gelen...

İletişim
OZZTECH Bilgi Teknolojileri olarak siber güvenlik danışmanlığı ve bilgi güvenliği eğitimleri alanlarında 10 yılı aşkın bir süredir ülkemizin önde gelen kurumlarına hizmet vermeye devam etmektedir. Detaylı bilgi ve danışmanlık hizmetlerimiz için aşağıdaki formu kullanarak veya [email protected] adresimiz üzerinden bizlerle iletişime geçebilirsiniz.