Çalışan listesi ve sosyal ağlar

Bir kurumun insan haritası çoğu zaman açık profillerde durur. Bu derste o haritayı kişi düzeyinde değil, rol düzeyinde okursun. Amaç bir çalışanı izlemek değildir.

Amaç, hangi birimin hangi sistemi kullandığını ve dışarıya ne kadar bilgi sızdığını anlamaktır. Bu ayrım hem yasal hem mesleki bir çizgidir. Rol bilgisi kurumu anlatır ve kurumsal araştırmanın konusudur.

Kişinin özel yaşamı, ailesi ve konumu ise kişisel veridir ve kapsam dışıdır. Kapsamı baştan daraltmak analizi keskinleştirir. Raporu da yasal olarak savunulabilir kılar.

Profesyonel ağlar bir şirketin iç yapısını dışarı taşır. Unvanlar birim adlarını verir. 'Ödeme sistemleri yöneticisi' unvanı bir ödeme ekibi olduğunu söyler. 'SAP danışmanı' unvanı kullanılan yazılımı söyler.

Kişiye değil, role bakarsın. MITRE ATT&CK bu adımı iki ayrı teknikle sayar. T1591.004 kurumdaki rolleri belirlemektir. T1589.003 ise çalışan adlarını toplamaktır.

Saldırgan bu haritayı oltalama hedefi seçmek için çıkarır. Analist aynı haritayı, kurumun hangi bilgiyi dışarıya sızdırdığını görmek için çıkarır. Fark araçta değil, amaçta ve sonrasında ne yapıldığındadır.

Bir örnekle bak. Açık profillerde üç başlık görüyorsun: 'Ödeme Sistemleri Yöneticisi', 'SAP FI Danışmanı' ve 'Kıdemli Ağ Mühendisi, güvenlik duvarı sertifikalı'. Kişi adlarını not etmezsin.

Üç satırdan üç kurumsal bilgi çıkar. Finans biriminde ödeme onayı veren bir rol var. Finans yazılımı SAP'nin finans modülü.

Ağ ekibi belirli bir güvenlik duvarı ürünüyle çalışıyor. Bu bilgiler iki tarafın da işine yarar. Saldırgan oltalama metnini bu yazılımın adıyla inandırıcı kılar. Savunma ise hangi rolün hedef olacağını önceden bilir ve farkındalık eğitimini o role göre kurar.

Araçlar burada işi hızlandırır, ama sınırı büyütmez. theHarvester açık kaynaklardan kurumsal ad ve e-posta toplar. Kullanıcı adı arayan araçlar bir adın hangi platformlarda geçtiğini tarar. İkisi de yalnız açık sayfaları okur; hiçbiri kapalı bir hesabın kapısını zorlamaz.

Araç çıktısını okurken kesinlik iddiasından da kaçın. Bir kullanıcı adı elli sitede geçiyor olabilir; bu, elli hesabın aynı kişiye ait olduğunu göstermez. Yaygın adları başkaları da alır. Eşleşmeyi bulgu saymak için yazım biçimi, profil görseli ve kayıt tarihi gibi ek işaretlerin üst üste binmesi gerekir.

Topladığın rolleri düz bir listede değil, tabloda tutarsın. İyi bir rol haritasının beş sütunu vardır: birim, rol, dışarıdan görünürlük, risk ve öneri. Görünürlük sütunu, o rolün açık profillerde ne kadar ayrıntıyla göründüğünü yazar.

Risk sütunu, o görünürlüğün bir saldırıya ne kadar zemin hazırladığını değerlendirir. Öneri sütunu ise somut bir iş üretir. Böylece rapor bir isim listesi değil, savunma planı olur. Aşağıdaki şablon bunu gösterir.

Birim        Rol                       Görünürlük  Risk    Öneri
Finans       Ödeme onayı veren         Yüksek      Yüksek  Fatura değişikliğinde ikinci kanaldan doğrula
Bilgi işlem  Sistem yöneticisi         Orta        Yüksek  Sistem adını profilden çıkarmayı öner
Pazarlama    Sosyal medya yöneticisi   Yüksek      Orta    Marka hesabını resmî rozetle doğrula
İnsan kayn.  İşe alım uzmanı           Yüksek      Düşük   İlandaki teknoloji ayrıntısını azalt

Bu tabloyu kişi adı olmadan kurabilirsin ve kurmalısın. 'Finans biriminde ödeme onayı veren bir rol açıkça görünüyor' cümlesi bir bulgudur. 'Şu kişi ödeme onayı veriyor' cümlesi ise kişisel veridir ve raporu hem gereksiz hem riskli kılar. Rol haritası savunmaya doğrudan iş üretir.

Finans biriminde kaç kişi ödeme onayı veriyor ve bu bilgi dışarıdan okunuyor mu. Okunuyorsa sahte fatura saldırısı için hazır bir hedef listesi demektir. Kuruma önerin bu görünürlüğü azaltmak olur.

Görünürlük sütununu doldururken ölçü kullan. Bir rol için üç seviye yeter: düşük, orta, yüksek. Yüksek, o rolün adının, biriminin ve kullandığı sistemin açık bir profilde birlikte yazılı olması demektir. Orta, bilginin dağınık olması ve birleştirmek için emek istemesidir.

Düşük, dışarıdan neredeyse hiç iz olmamasıdır. Risk sütununu ise iki soruyla belirlersin. O rol bir para akışına ya da kritik bir sisteme dokunuyor mu.

Dokunuyorsa görünürlük yüksekliği doğrudan riske dönüşür. Bu iki sütunu birleştirince öneri kendiliğinden çıkar: yüksek görünürlük artı yüksek risk, listenin en üstüne oturur ve önce onun görünürlüğünü azaltırsın.

Kullanıcı adı araması yalnızca saldırganın işi değildir. Savunma tarafında kurum kendi marka adını tarar ve taklit hesapları erken yakalar. Sahte bir 'Beyaz Vadi destek' hesabı, müşteriyi kandıran ilk adımdır. MITRE ATT&CK bu iki yönü ayrı ayrı sayar.

T1585.001 saldırganın sahte sosyal medya hesabı kurmasıdır. T1593.001 ise sosyal medyada bilgi aramaktır. Aşağıda bu adla yapılmış bir tarama var. Araç, tanıdığı yüzlerce platformda aynı adı tek tek dener.

$ sherlock beyazvadidestek --print-found
[*] Checking username beyazvadidestek on:

[+] SosyalAgi: https://sosyalagi.example/beyazvadidestek
[+] Mikroblog: https://mikroblog.example/beyazvadidestek
[+] KodDeposu: https://koddeposu.example/beyazvadidestek
[+] Forum: https://forum.example/u/beyazvadidestek

[*] Search completed with 4 results

Çıktıdaki her satır bir kanıt değil, bir adaydır. Aynı kullanıcı adını kuruma ait olmayan biri de almış olabilir. Eşleşmeyi doğrulamak için dört işarete bakarsın.

Yazım biçimi kurumun başka hesaplarıyla uyuyor mu. Profil görseli aynı logoyu mu taşıyor. Hesabın oluşturma tarihi kurumun bilinen çıkış tarihiyle tutarlı mı.

Hesap kurumun resmî sayfalarına bağlanıyor mu. Bu dördü üst üste binmeden bir hesabı kurumun ya da taklidin diye etiketlemezsin. Tek başına bir kullanıcı adı eşleşmesi kimlik kanıtı değildir.

Yanlış pozitif burada asıl tehlikedir. Çıktıdaki dört sonuçtan ikisi kuruma ait olmayabilir. Bir forumda 'beyazvadidestek' adını yıllar önce başka biri almış olabilir. Bunu bir taklit hesap diye raporlarsan kurumu boş yere alarma geçirirsin.

Tersine, gerçek bir taklit hesabı gözden kaçırırsan müşteriler dolandırılır. İkisi de zarar verir. Bu yüzden her sonucu ayrı bir soruşturma gibi ele alırsın.

Araç sana yalnız nereye bakacağını söyler, kararı sen verirsin. Doğrulanmamış hiçbir hesap rapora 'taklit' ya da 'kurumsal' etiketiyle girmez.

Taramanın bir sınırı daha var. Araç yalnız herkese açık profil sayfasının var olup olmadığına bakar. Kapalı bir hesabın gönderileri, takipçi listesi ve mesajları korunan kaynaktır. Bu içeriğe ulaşmak için sahte bir profille takip isteği atmak açık kaynak çalışması değildir.

Sosyal mühendisliktir ve kapsam dışıdır. Taklit hesap şüphesinde de aynı kural geçerlidir.

Hesabın açık yüzünü belgeler, ekran görüntüsünü tarih ve adresle saklarsın. Sonra kanıtı platformun kötüye kullanım kanalına ve kurumun iletişim ekibine iletirsin. Hesapla yazışmaya girmezsin, çünkü bu saldırganı uyarır ve hesap kanıtla birlikte kaybolabilir.

Rol haritasının kötüye kullanımı somut bir zincire dönüşür. Saldırgan önce kimin ödeme onayı verdiğini öğrenir. Sonra o yöneticinin sahte bir profilini ya da benzer bir e-posta adresini kurar.

Ardından muhasebeye yazar ve acil bir hesap değişikliği ister. Buna iş e-postası dolandırıcılığı (Business Email Compromise, BEC) denir. MITRE ATT&CK bunun bilgi toplama adımını T1598, yani bilgi için oltalama olarak sayar. Savunma tek bir alışkanlıkla kurulur: para ya da hesap bilgisi değişikliği istendiğinde talep, e-postadan değil ikinci bir kanaldan, örneğin bilinen bir telefondan doğrulanır.

From: "Finans Direktörü" <[email protected]>
Reply-To: [email protected]
To: [email protected]
Subject: Acil: tedarikçi hesap değişikliği, bugün kapanmalı
Authentication-Results: mx.beyazvadi.example;
  spf=pass smtp.mailfrom=beyazvadi-lojistik.example;
  dmarc=pass header.from=beyazvadi-lojistik.example

Başlıkları satır satır oku. Görünen ad doğru bir unvan taşıyor, ama adres beyazvadi-lojistik.example alanından geliyor. Kurumun kendi alanı beyazvadi.example.

Araya eklenen tek bir sözcük, benzer görünümlü yeni bir alan yaratmış. Reply-To satırı yanıtı bambaşka bir posta servisine yönlendiriyor. Konu satırı aciliyet baskısı kuruyor.

En çok yanıltan satır sonuncusudur. SPF ve DMARC 'pass' diyor, çünkü saldırgan kendi tescil ettiği alanın kayıtlarını düzgün yazmış. Bu sonuç postanın o alandan geldiğini kanıtlar, alanın sana ait olduğunu değil. Tespit kuralı da buradan çıkar: kurumun adına benzeyen yeni alanları izle, Reply-To ile From uyuşmazlığını işaretle ve dış göndericiye 'harici' etiketi koy.

Saldırganın hesap kurma biçimi de bir ipucudur. Sıfırdan açılan sahte bir profil T1585.001 kapsamındadır. Yeni açılmış, az bağlantılı ve aceleyle doldurulmuş bir hesap bunun izidir.

Gerçek bir çalışanın hesabını ele geçirmek ise ayrı bir tekniktir ve MITRE ATT&CK onu T1586.001 olarak sayar. Bu yol daha tehlikelidir, çünkü hesap zaten güvenilir görünür. Ele geçirilmiş hesapta ani ton değişikliği, olağan dışı saat ve beklenmedik para talebi uyarı verir.

Raporun bu ayrımı yaparsa kurum doğru yanıtı seçer. Sahte hesabı platforma bildirir ya da gerçek sahibin oturumlarını kapatıp parolasını yeniletir.

Sosyal ağlarda ikinci bir bilgi katmanı vardır: görsel sızıntı. Ofis fotoğrafında ekranda açık bir pano görünür. Masada asılı bir kart numarası okunur. Beyaz tahtada bir mimari çizim durur.

Bir kablo etiketi sunucu adını yazar. Kurumlar bu paylaşımları çoğu zaman fark etmez. Analistin işi burada sınırı hatırlamaktır. Bulguyu 'ofis fotoğraflarında pano ekranı görünüyor' diye kuruma raporlarsın.

Fotoğrafı paylaşan kişinin adını rapora yazmak gerekmez. Bulgu kurumsaldır, kişiyi teşhir etmez. Savunma karşılığı da bellidir: kısa bir yayın öncesi kontrol listesi ve ölçülebilir bir farkındalık eğitimi.

Kuruma vereceğin kontrol listesi kısa ve somut olsun. Paylaşmadan önce fotoğrafa şu gözle bak. Ekranda bir uygulama, bir hata mesajı ya da bir müşteri adı görünüyor mu. Beyaz tahtada bir ağ şeması ya da parola var mı.

Kimlik kartındaki barkod ya da numara okunuyor mu. Arka planda bir kablo etiketi, bir raf numarası ya da bir kapı kodu var mı. Bu dört soru, çekilen her fotoğrafı bir yayın kararına çevirir. Kurumun yasaklaması gerekmez, ölçüyü göstermesi yeter.

Çalışan kariyer için 'şu sistemin yöneticisiyim' yazar. Bu cümle hedefli oltalama için adres levhasıdır. Sen bunu suçlamadan, örüntü olarak anlatırsın.

Savunma raporunu sayılarla yaz. 'Kritik sistem adlarını profilinde yazan on iki çalışan var' cümlesi ölçülebilir bir bulgudur ve eğitim planına dönüşür. Kişi adı sayan bir rapor ise savunma yerine iç gerilim üretir ve genelde rafa kalkar.

İnsan katmanı OSINT'in en kaygan zeminidir. Teknik kayıtlarda sınır nettir, insanlarda bulanıklaşır.

Şüphedeyken daralt. Raporuna yazacağın her kişisel ayrıntı için 'bu satır olmasa karar değişir mi' diye sor. Cevap hayırsa satır çıkar. Bu tek soru, kişisel veri alanındaki kararların neredeyse tamamını kendiliğinden çözer.

Savunmanın son ayağı süreçtir. Kurumun yazılı bir sosyal medya politikası olur ve bu politika hangi bilginin profilde paylaşılabileceğini açıkça yazar. Bir taklit hesap bulunduğunda kime başvurulacağı önceden bellidir: hesabı barındıran platformun kötüye kullanım kanalı ve kurumun iletişim ekibi. Yönetici hesapları resmî rozetle doğrulanır ki müşteri gerçeği taklitten ayırabilsin.

Farkındalık eğitiminin başarısı da ölçülür. Eğitimden önce ve sonra profilinde kritik sistem adı yazan çalışan sayısını sayar ve iki sayıyı karşılaştırırsın. Bu adımlar küçük görünse de sahte hesabın ömrünü kısaltır ve görsel sızıntıyı zamanla azaltır.