Kişiler İçin Bilgi Güvenliği Rehberi

Yayınlayan
Yunus Emre Çoban
Yayınlanma tarihi
26-05-2022
Okuma süresi
20 DK

Kişiler İçin Bilgi Güvenliği Rehberi

Bilgi, bilindiği üzere herhangi bir kişiyi, sistemi veya oluşumu tamamlayan veri bütünüdür. Bilgi ham ve işlenmiş olmak üzere ikiye ayrılmaktadır. Ham veri kişiyi, sistemi veya oluşumu tam anlamıyla tanımlamazken, işlenmiş veri ise bu kavramları tam anlamıyla tanımlamaktadır. İster ham ister işlenmiş verileri internet ile konuşan bütün sistemlerde güvenliği sağlamak için yerel ve global standartlar ve kanunlar oluşturulmuştur. Bu standart ve kanunlara GDPR (General Data Protection Regulation/Genel Veri Koruma Tüzüğü), ISO/IEC 27001 ve KVKK (Kişisel Verileri Koruma Kurumu) yönetmeliği olan Kişisel Verilerin Korunması Kanunu örnek verilebilir.

Bilgi güvenliği son kullanıcıların bilgilerinin siber alemde korunurluğunu oluşturmaktadır. Kişisel ve kurumsal olarak nitelendirilebilen bilgi güvenliği günün sonunda son kullanıcıların verilerini korumak üzere tasarlanmıştır. Şirketler ticari faaliyetleri için, kurumlar ülke vatandaşlarına veya ziyaretçilerine yerel hizmetleri için kuruluş ve organizasyonlar ise gönüllü hizmetler için son kullanıcı verilerini barındırmaktadır. Bahsi geçen verilerin içerisinde son kullanıcıya ait vatandaşlık bilgileri olan Türkiye Cumhuriyet Kimlik Numarası (TCKN) ve SSN (Social Security Number) bilgileri de yer almaktadır. Son kullanıcının telefon numarası, adres bilgisi, soy ağacı bilgileri, vergi borcu, adli sicil kaydı veya sosyal aktivite bilgileri gibi bilgiler mahremiyeti oluşturan bilgilerdir. TCKN ve SSN bilgileri ile son kullanıcının mahremiyet bilgilerine erişim sağlanabileceğinden bilgi güvenliği kavramı devreye girmektedir. Yukarıda bahsedilen bilgi güvenliği parametrelerini genel itibariyle şirketlerin/kurumların veya kuruluşların göz önünde bulundurması gerekmektedir. Son kullanıcının ise şahsi fiziksel güvenliği ve bilgi güvenliği parametrelerine dikkat edeceği hususlar da yer almaktadır. Sosyal medya hesapları veya sosyal medya konuşmaları bu hususlar içerisinde yer almaktadır. Bu bilgilerin ifşa olması son kullanıcının başkası tarafından profillenmesine, dolayısıyla sosyal mühendislik saldırılarına maruz kalabilmesine olanak sağlar. Günümüzde bilgi güvenliğinin sağlanmaması, siber zorbalık gibi durumlara sebep olabilirken fiziksel özgürlüğe de etki edebilmektedir.

Son kullanıcıların bilgilerinin barındığı sisteme ait güvenlik zafiyetleri haricinde kendilerine ait bilgilerin güvenliği için alması gereken birtakım önlemler söz konusudur. Sistemde bulunan zafiyet haricinde son kullanıcı yapmış olduğu hatalı aktiviteler veya göz ardı ettiği bazı önlemlerden doğacak sorunlardan kendisi sorumludur. Dolayısıyla her kullanıcı aşağıda bahsedilecek başlıklar için kendisi önlem almalı ve bilgi güvenliğini korumalıdır.

Bilgi güvenliği rehberi ise kişilerin veya kurum/kuruluşların son kullanıcıya ait bilgilerin gizliliğini korumak adına oluşturulan ve var olan standartlar ile kanunların baz alınarak oluşturulduğu bir çerçevedir.

1. Güçlü Parola Kullanımı

Teknolojinin gelişmesiyle birlikte kullanıcıların belirlemiş oldukları parolalar güçlü sistemler tarafından kırılabilmektedir. Canlı sistemlerde bruteforce (kaba kuvvet) saldırılarına karşı güvenlik ürünleri bunları algılayabiliyorken, saldırganlar parolaya ait hash bilgilerini elde etmesi halinde kendi ortamlarında bu parolaları kırabilmektedir. Harici olarak kullanılan sistemlerde anomali tespitini yapacak güvenlik ürünleri bulunmuyorsa parolalar, saldırganlar tarafından çeşitli araçlar kullanılarak da kaba kuvvet saldırılarına maruz bırakılabilir. Netice olarak kullanıcıların bu ihtimallere yer vermeden kendi parolalarını aşağıda belirtilen tabloya göre minimum on iki karakterden oluşan ve içerisinde küçük-büyük harf, rakam ve sembollerden oluşan karakterlerden oluşacak şekilde oluşturmaları tavsiye edilmektedir.

Parolalar kullanılan uygulama hesaplarında, bilgisayarlarda, telefonlarda ve hatta kullanılan modemin arayüz ve Wi-Fi parolasında güçlü olarak ayarlanmalıdır.

Güçlü parola belirleme tablosu:

2. Güncel Yazılım Kullanımı

Günlük yaşantı ihtiyaçlarının bile siber ekoloji üzerinden giderildiği günümüzde son kullanıcıların kullandıkları işletim sistemleri ve yazılımların güncel olduğundan emin olması önem arz etmektedir. Sistemlerde veya yazılımlarda ortaya çıkan güvenlik zafiyetlerinin üreticiler ve firmalar tarafından güvenlik güncellemeleri sağlanmaktadır. Kullanılan bilgisayarın işletim sisteminden, kullanılan yazılımına, telefon işletim sisteminden akıllı saatin işletim sistemi güncellemelerine kadar kullanıcıların güvenlik güncelleştirmelerini takip etmesi ve gerekli güncelleştirmelerini yüklemeleri yine önem arz etmektedir. Saldırganlar veya güvenlik uzmanları tarafından tespit edilen, sömürülen/bildirilen bu zafiyetler kullanılarak kötü niyetli kişiler tarafından Uzaktan Kod Yürütme (RCE) gibi saldırı vektörleri kullanılabilmektedir. Dolayısıyla zafiyet aracılığıyla kullanılan sistemin veya yazılımın uzaktan yönetimi sağlanabilmektedir.

3. Bilinmeyen/Doğrulanmayan Kaynakların Kullanımı

Teknoloji kullanımının artması, maalesef bilinçsiz kullanımın artmasına da sebep olmaktadır. Son kullanıcıların gerek bilgisayarlarında gerek mobil cihazlarında kullanacakları bütün uygulamaları doğrulamadan yüklemeleri/kullanmaları veri ihlallerine sebep olabilmektedir.

Saldırganlar; kullanıcılar tarafından en fazla kullanılan uygulamaları tespit edip, kullanıcılara orijinal uygulama gibi görünen zararlı yazılımlar tasarlamaktadır. Tasarlanan zararlı yazılımlar kaynağı güvenilir olmayan web sitelerinde anonim hesaplar tarafından paylaşılabilmektedir veya kullanıcılara e-posta yolu ile ulaştırılabilmektedir. Kullanıcılar bu tarz uygulamaları kullandıklarında sistemlerindeki bütün bilgiler saldırgana aktarılmaktadır. Günümüzde tasarlanan zararlı yazılımlar, son kullanıcıların kullandıkları Anti-Virüs güvenlik ürünlerini atlatabilmektedir; çünkü birçoğu imza tabanlı çalışmaktadır. Dolayısıyla kullanıcılar uygulamaları kullanmadan önce çeşitli platformlardan [1] kontrol etmelidir veya uygulamanın kendi kaynağından yüklendiğine emin olmalıdır.

Uygulamalar, bu tarz platformlar üzerinde kontrol edilirken, topluluğun da yapmış olduğu yorumlar göz önünde bulundurulmalıdır.

4. Siber Zorbalık ile Mücadele

İnsanlar günlük hayatta yaptıkları bütün aktiviteleri gerek anı olması amacıyla gerek sosyal etkileşim açısından sosyal medya platformlarında paylaşmaktadır. Bilgi güvenliğinin fiziksel güvenliği de kısıtladığı günümüzde, kullanıcıların bütün internet mecrasında yaptıkları paylaşımlar maalesef siber zorbalığa maruz bırakabilmektedir. Sosyal medyada kişisel hayatın mahremiyetine zarar verecek bilgiler paylaşılmamalıdır. Özellikle çocuk yaşta bireylerin sosyal medya kullanımını, ebeveynlerin kontrol altında tutması gerekmektedir.

E-ticaretin gelişmesiyle uygulamaları abonelik sırasında bazı kişisel bilgilerin paylaşılmasıyla ardından uygulama sahibi firmanın veri ihlaline karışmasında sonra bu bilgiler dark web ve deep web platfromlarında paylaşılabilmektedir. Bu tarz durumlarda e-posta ve parola değiştirilebilir ki parola değişikliği kesinlikle önem arz etmektedir; fakat kişisel bazı bilgiler maalesef değiştirilememektedir. Dolayısıyla internete erişimi olan her bir bireyin dijital parmak izi artık gerçek parmak izinden farksız hale gelmiş bulunmaktadır.  


1-Zararlı yazılım analizi için malwation.com

 

Diğer Blog Yazıları_

Sosyal Medya Kullanımının Riskleri
Sosyal Medya Kullanımının Riskleri
Infraskope Server ve Özellikleri
Infraskope Server ve Özellikleri
Kritik Sunucular Üzerindeki Aktivitelerin Loglanması
Kritik Sunucular Üzerindeki Aktivitelerin Loglanması
Kurumlarda Ağ Güvenlik Stratejileri
Kurumlarda Ağ Güvenlik Stratejileri
WPA-WPA2 Güvenlik Standartlarına Yönelik Saldırı: KRACK (KEY-REINSTALLATION-ATTACK)
WPA-WPA2 Güvenlik Standartlarına Yönelik Saldırı: KRACK (KEY-REINSTALLATION-ATTACK)
Log Yönetiminde Ajanlı/Ajansız Çözümler
Log Yönetiminde Ajanlı/Ajansız Çözümler
Herkesin aklındaki soru: Yapay Zeka Nedir?
Herkesin aklındaki soru: Yapay Zeka Nedir?
Discovery of DLL Hijack on Trend Micro AntiVirus+ | CVE-2018-18333
Discovery of DLL Hijack on Trend Micro AntiVirus+ | CVE-2018-18333
Web Cache Poisoning
Web Cache Poisoning
XML EXTERNAL ENTITY INJECTION AND OOB (OUT-OF-BAND) DATA RETRIEVAL
XML EXTERNAL ENTITY INJECTION AND OOB (OUT-OF-BAND) DATA RETRIEVAL
ARP Poisoning
ARP Poisoning
Cross-Site Request Forgery (CSRF) Zafiyeti
Cross-Site Request Forgery (CSRF) Zafiyeti
SSRF (Server Side Request Forgery)
SSRF (Server Side Request Forgery)
BlueBorne
BlueBorne
Server Side Template Injection Nedir?
Server Side Template Injection Nedir?
Linux Restricted Shell Atlatma Teknikleri
Linux Restricted Shell Atlatma Teknikleri
Discovery of Sandbox Escape on Comodo Container(Antivirus&Firewall)
Discovery of Sandbox Escape on Comodo Container(Antivirus&Firewall)
SDR-Sharp Kullanımı
SDR-Sharp Kullanımı
Log Yönetimi | Log Management | Veritabanı Log | Siem
Log Yönetimi | Log Management | Veritabanı Log | Siem
Cyber Kill Chain, Bir Siber Saldırının Yaşam Döngüsü
Cyber Kill Chain, Bir Siber Saldırının Yaşam Döngüsü
Phishing Nedir?
Phishing Nedir?
“GOLD” Affix Phishing Attack
“GOLD” Affix Phishing Attack
Sızma Testi ve Ödül Avcılığı Hizmetleri
Sızma Testi ve Ödül Avcılığı Hizmetleri
Güvenilir Olarak CAPTCHA Yapılandırılması
Güvenilir Olarak CAPTCHA Yapılandırılması
Basit Kriptolojiden Günümüze Evrilişi
Basit Kriptolojiden Günümüze Evrilişi
Dosya Sistem Analizinin Önemi
Dosya Sistem Analizinin Önemi
HTTP Request Smuggling (HTTP İstek Kaçakcılığı) Nedir?
HTTP Request Smuggling (HTTP İstek Kaçakcılığı) Nedir?
KVKK Kapsamında Veri Keşfi Maskeleme ve Şifreleme
KVKK Kapsamında Veri Keşfi Maskeleme ve Şifreleme
Sosyal Medya Kullanımının Riskleri
Sosyal Medya Kullanımının Riskleri
Sızma (Penetrasyon) Testi Nedir?
Sızma (Penetrasyon) Testi Nedir?
Start Up Kültürü
Start Up Kültürü
Sigma Kuralları ile SIEM Ürünlerinde Tehdit Avı
Sigma Kuralları ile SIEM Ürünlerinde Tehdit Avı
Kritik Altyapılar ve SCADA Güvenliği
Kritik Altyapılar ve SCADA Güvenliği
Zararlı Yazılım Analiz Teknikleri
Zararlı Yazılım Analiz Teknikleri
Uzaktan Çalışma Modellerinde Siber Güvenlik Riskleri
Uzaktan Çalışma Modellerinde Siber Güvenlik Riskleri
Pandemi Sürecinde Siber Güvenlik Riskleri
Pandemi Sürecinde Siber Güvenlik Riskleri
SOC Nedir ve SOC Merkezleri Nasıl Çalışır?
SOC Nedir ve SOC Merkezleri Nasıl Çalışır?
PHISHING Hakkında Her şey
PHISHING Hakkında Her şey
Sosyal Mühendislik Nedir?
Sosyal Mühendislik Nedir?
Siber Hijyen
Siber Hijyen
Adli Bilişim (Digital Forensic) Nedir?
Adli Bilişim (Digital Forensic) Nedir?
DHCP Spoofing Saldırısı Nedir, Nasıl Yapılır?
DHCP Spoofing Saldırısı Nedir, Nasıl Yapılır?
FAIL2BAN İLE SSH BRUTE FORCE SALDIRILARINI ÖNLEME
FAIL2BAN İLE SSH BRUTE FORCE SALDIRILARINI ÖNLEME
BULK EXTRACTOR ARACIYLA DİSK İNCELEME
BULK EXTRACTOR ARACIYLA DİSK İNCELEME
SolarWinds Vaka Analizi
SolarWinds Vaka Analizi
Frida ile SSL Pinning Bypass
Frida ile SSL Pinning Bypass
COOKİE Nedir? Nasıl Çalışır?
COOKİE Nedir? Nasıl Çalışır?
Bilgi Güvenliği Test ve Değerlendirmeleri Teknik Kılavuzu
Bilgi Güvenliği Test ve Değerlendirmeleri Teknik Kılavuzu
Dridex Bankacılık Trojanı Teknik Analiz Raporu (TR)
Dridex Bankacılık Trojanı Teknik Analiz Raporu (TR)
Adwind Rat Technical Analysis Report (ENG)
Adwind Rat Technical Analysis Report (ENG)
SOC Nedir, Firmalar İçin Neden Önemlidir?
SOC Nedir, Firmalar İçin Neden Önemlidir?
Blockchain Nedir?
Blockchain Nedir?
İşlemcilerin Koruma Mekanizması ve Koruma Mekanizmasının Atlatılması
İşlemcilerin Koruma Mekanizması ve Koruma Mekanizmasının Atlatılması
Active Directory Güvenlik İpuçları
Active Directory Güvenlik İpuçları
Nisan 2022 Siber Güvenlik Bülteni
Nisan 2022 Siber Güvenlik Bülteni
Mavi Takım Üyeleri İçin Windows Core Process
Mavi Takım Üyeleri İçin Windows Core Process
Kişiler İçin Bilgi Güvenliği Rehberi
Kişiler İçin Bilgi Güvenliği Rehberi
DDoS Nedir?
DDoS Nedir?
C Dilinde Dosya Yönlendirmeleri (IO Redirection)
C Dilinde Dosya Yönlendirmeleri (IO Redirection)