Güvenlik ve insanları aldatmanın kolaylıklarını anlatan Kevin Mitnick’in The Art Of Deception kitabını okurken iş dünyasında kitapta anlatılan tekniklerin ne kadar kolay uygulanabileceğine şahit oldum. İşe alınan personelin bulunduğu konuma göre mutlaka bir güvenlik eğitimine sokulması ve gelen taleplere göre nasıl tepkiler vermesi gerektiği uzman kişiler tarafından anlatılması gerekiyor. Şirketiniz enson güvenlik teknoloji ve yazılımları ile donatılmış olsa da tekbir çalışanın güvenlik presiplerini görmemezlikten gelmesi ile zayıf duruma düşebilir.

Büyük ve orta ölçekli şirketlerde veriler mutlaka sınıflandırılmalıdır. Confidential veriler şirketin geliştirmekte olduğu projeler, önemli raporlar, stratejik planlardan oluşan ve sadece ilgili kişilerin bilmesi gereken verilerdir. Bunların kesinlikle yetkisi olmayan kişilerle paylaşılmaması gerekiyor. İkinci önemli sınıfta Private olarak adlandırılan çalışanların veya firmanın özel bilgileri bulunuyor. Çalışanların banka hesap numaraları, ücretlerle ilgili bilgiler, kişisel CVler bu kategorilere giriyor. Bu bilgilerin de özenle korunması gerekmektedir. Saldırı yapacak kişi bu bilgileri öğrendikten sonra kolaylıkla şirket çalışanlarından biri gibi telefon edebilir, hatta photoshop gibi yazılımları kullanaran kendi kimlik kartını hazırladıktan sonra şirket içinde serbestçe dolaşabilir. Internal veriler adını verdiğimiz ve şirket içerisinde kullanılan kısaltmalar, server isimleri, departman adları gibi tüm şirket çalışanları tarafından bilinen verilerin de şirketin güvenlik politikasına göre gerekli hassasiyette yaklaşılmalıdır. Son kategori ise Public adı verilen şirket telefonu, web adresi, mail grupları gibi müşteri ve dış dünya ile paylaşılabilen bilgilerdir.

Bunların dışında dikkat edilmesi gereken bir çok konu kitapta temiz bir dille anlatılmış. Takedown diye bir film vardı. 2000 yapımı. Daha önce izlemiştim, evde arşivimde duruyor. Onu izleyeceğim tekrar Kevin bu proje için kendi oynayacakmış hatta Hollywood ile kontrat yapmış fakat geçen süre içerisinde iyi para kazanmış ve 2 sene sonunda kontrat bitince film yapımcıları kontratı uzatmak istemişler ama Kevin parası olduğu için kabul etmemiş. Sonunda Skeet Ulrich(screamdan hatırlarsınız) filmde Kevin rolünü üstlenmiş.

Kitabın içinde birçok hikaye var. Teknolojinin yanında social engineering daha fazla ön planda. Telefon ile şirketlerin önemli bilgilerini elde etmenin birçok yolunu yazmış. Hikayelerden birini aşağıda yazdım. Hikaye Amerikan bankacılık sistemine göre o zamanın koşullarından yola çıkılarak kurulmuş;

Bankalar arası işlemler yaparken çalışanlar hergün değişen güvenlik kodları kullanıyorlar. Güvenliğe önem veren bankalarin kod sayısı 3le 5 arasında değişiyor. Hikaye bunun üzerine gelişiyor. Amaç bankada bulunan bir müşterinin hesap bilgilerini elde etmek. Öncelikli olarak bankada çalışan bir personelin telefon numarasını tespit eden girişimci personele hizmet aldıkları firmalardan birisinin güvenlik anketine katılmasını rica ediyor. Bunun için öğlen yemeğinin hemen bitiminde aramayı teklif ediyor. Bunun üzerine personel 12:45te yemeğe çıkacağını ve 1:30da geri döneceğini ve bu süre bitiminde ankete katılabileceğini belirtiyor. Bütün bu konuşma sırasında arayan kişi son derece sıcak ve profesyonel bir tutum izliyor. Anket yapan anketör rolünü de iyi oynuyor.

Saat 12:50 olduğunda bankayı arayıp sabah konuşmuş olduğu şahsın orada olup olmadığını soruyor. Telefonu açan kişi o kişinin yemeğe çıktığını söylüyor. Bunun üzerinde girişimci planladığı oyunu sahneye koyuyor. Yemekte olan kişinin şubemizden acil bir fax beklediğini ve bunun için bir fax numarası gerektiğini söylüyor. Telefonu açan kişi fax numarasını veriyor. Bunun üzerine girişimci faxı göndermesi için güvenlik numarası gerektiğini belirtiyor. Kendisinin beklemediği bir fax için güvenlik numarası vermemesi gerektiğini düşünen çalışan yemekte olan kişiyi beklemeyi öneriyor. Bunun üzerine social engineering yeteneklerini kullanıp durumun acil olduğunu kendisinin de doktorla randevusu olduğunu eğer şimdi faxı gönderemezse bunun yarına sarkacağını söylüyor. Bu durumda çalışan hangi güvenlik numarasını istediğini soruyor. Bi diyor ve Bi yi aldıktan sonra hayır Di diye değiştiriyor. Tek taşta 2 güvenlik numarası. Duruma göre E denilip 3 numaraya kadar zorlama yapılabilir diye de not düşülmüş. Teşekkür edip kapatıyor.

Bundan sonrası işin kolay kısmı. Aynı bankadan başka bir personeli arayıp. Gerekli hesap sahibi kişinin bilgilerinin faxlanmasını talep ediyor. A güvenlik numarası sorulduğunda ise bilgisayarımın başında değilim az önce B ve D yi kullandım isterseniz o ikisini verebilirim diyor. B talep ediliyor ve bilgiler faxlanmak üzere yolda…

Bu arada kitabın amacı çalışanlarda güvenlik bilincinin oluşması ve insan doğasında olan yardım duygularının kötü yönde kullanılmasını engellemek…