APT (Advanced Persistent Threat - Gelişmiş Devamlı Tehdit) saldırıları konusunda düzenlediğim seminere ait sunumun bir kısmıdır. Sunum içerisinde yer alan konu başlıkları buradadır, sunumun tamamını dağıtımını kontrol edebilmek ve içerisindeki hassas bilgilerin korunması amacıyla paylaşmıyorum.
RECOVERY: Olay sonrası sistemleri düzeltmekAlper Başaran
Siber saldırıların sayısında görülen artış ve saldırganların beceri düzeyinde gözlemlenen iyileşme sonucunda kuruluşların bir siber güvenlik ihlali yaşama ihtimalleri artmaktadır.
Saldırıyı önlemeye odaklanan siber güvenlik yaklaşımının pek çok kuruluş için yetersiz kaldığını gözlemlediğimiz yüzlerce olay yaşandı ve yaşanmaya devam ediyor. Günümüz şartlarında bir kuruluşun siber güvenlik ihlali yaşaması halinde yapacaklarını bilmesi ve olay sonrası durumunu/sistemlerini düzeltmek için izleyeceği bir metodolojiye sahip olması çok önemlidir.
Bu webinarımızda yaşanması muhtemel bir siber güvenlik olayı sonrasında yapılması gerekenleri ve izlenmesi gereken yolu ele alacağız.
Webinarın amacı
Kuruluş bünyesinde, ağır veya hafif etkili, yaşanacak bir güvenlik ihlali sonrasında izlenebilecek bir yol haritası paylaşmak.
Kimler katılmalı
BT Birim çalışanları ve yöneticileri, risk birimi yöneticileri, SOME (Siber Olaylara Müdahale Ekibi) üyeleri
APT (Advanced Persistent Threat - Gelişmiş Devamlı Tehdit) saldırıları konusunda düzenlediğim seminere ait sunumun bir kısmıdır. Sunum içerisinde yer alan konu başlıkları buradadır, sunumun tamamını dağıtımını kontrol edebilmek ve içerisindeki hassas bilgilerin korunması amacıyla paylaşmıyorum.
RECOVERY: Olay sonrası sistemleri düzeltmekAlper Başaran
Siber saldırıların sayısında görülen artış ve saldırganların beceri düzeyinde gözlemlenen iyileşme sonucunda kuruluşların bir siber güvenlik ihlali yaşama ihtimalleri artmaktadır.
Saldırıyı önlemeye odaklanan siber güvenlik yaklaşımının pek çok kuruluş için yetersiz kaldığını gözlemlediğimiz yüzlerce olay yaşandı ve yaşanmaya devam ediyor. Günümüz şartlarında bir kuruluşun siber güvenlik ihlali yaşaması halinde yapacaklarını bilmesi ve olay sonrası durumunu/sistemlerini düzeltmek için izleyeceği bir metodolojiye sahip olması çok önemlidir.
Bu webinarımızda yaşanması muhtemel bir siber güvenlik olayı sonrasında yapılması gerekenleri ve izlenmesi gereken yolu ele alacağız.
Webinarın amacı
Kuruluş bünyesinde, ağır veya hafif etkili, yaşanacak bir güvenlik ihlali sonrasında izlenebilecek bir yol haritası paylaşmak.
Kimler katılmalı
BT Birim çalışanları ve yöneticileri, risk birimi yöneticileri, SOME (Siber Olaylara Müdahale Ekibi) üyeleri
İnternet'te Güvenli Alışveriş için ÖnerilerAlper Başaran
İnternet'te güvenli alışveriş yapmak için dikkat etmemiz gereken bazı basit noktaları hacker'ın da bakış açısını vererek ele aldım. Daha güvenli internet kullanımına katkısı olması dileği ile..
Büyük Veri, Küme Hesaplama, Dağıtık Dosya Sistemi, Yüksek Performanslı Kümeleme, Apache Spark ve Streaming Modülünü içeren bir sunum.
Apache Spark’ın küme hesaplamaları için kullanımının anlatıldığı sunumda, Java API ile temel bir uygulama örneği gösteriliyor ve beraberinde gelen “Streaming Modülü” ile Twitter’dan canlı veri çekerek işlenmesi anlatılıyor.
Vodafone, Cyberpark ve Türkiye Teknoloji Geliştirme Vakfı işbirliğinde düzenlen etkinlikte büyük veri kavramı, Apache Hadoop Ekosistemi ve Türkiye ve Dünyadaki örnek uygulamalar anlatıldı.
-
1 Haziran 2016 - Onur Karadeli, Mustafa Murat Sever
Gelişen enformatik teknolojisinin olanak sağladığı veri depolama kapasitesinin konvansiyonel tekniklerle stratejik bilgiye dönüştürülemediği yaygın olarak paylaşılan bir gerçek. ASO Dergisi Aralık Sayısında yayınlanan bu çalışma dosyası matematiğin ve istatistiğin ötesinde bu verilerin bilgiye dönüştürülmesi ve risk yönetiminde kullanılması olanaklarını araştırıyor.
15 Aralık 2016, Mef Üniversitesi Büyük Veri Analitiği yüksek lisans dersinde konuk konuşmacı olarak anlattığım IoT ve Data konusu. Microsoft'un bu konulardaki vizyonu, lokal örnekler ve başarılı kullanım senaryolarını konuştuğumuz slaytlar ekteki gibidir.
https://twitter.com/ikivanc
Günümüz dünyasında “performansın zaman metriği değişmiştir, aynı zamanda performans düzeyi de artmıştır”. Dolayısıyla gerçek zamanlı bir analizden söz ediliyorsa firmanın yarattığı gerçek değerin ölçülmesine ve görselleştirilmesine olanak sağlayacak Grafik DataMining tekniğine yoğunlaşmaları ve bunu öğrenmeleri gerekiyor. Bu bağlamda günümüz iş modelinin temel sorunu “hâlâ analitik dünyanın ölü diyagramlarına itibar ediliyor olmasıdır”. Yaşayan çok boyutlu işletmeleri kâğıt üzerindeki iki boyutlu ölü diyagramlara indirgemek faydadan çok zarara yol açmaktadır.
Gelişen enformatik teknolojisinin olanak sağladığı veri depolama kapasitesinin konvansiyonel tekniklerle stratejik bilgiye dönüştürülemediği yaygın olarak paylaşılan bir gerçek. ASO Dergisi 2015 Aralık Sayısında yayınlanan bu çalışma dosyası matematiğin ve istatistiğin ötesinde bu verilerin bilgiye dönüştürülmesi ve risk yönetiminde kullanılması olanaklarını araştırıyor.
Big Data yani büyük veri nedir diyorsanız ve büyük veri analizinin ne gibi yararlar sağlayacağını merak ediyorsanız sizin için Renerald olarak bu sunumu hazırladık. Büyük veri analizleri sayesinde, stratejilerinizi bilimsel veriler ışığında geliştirip şirketinize inanılmaz artı değerler kazandırabileceksiniz.
Siber Olaylara Müdahale ve Hukuki BoyutlarıAlper Başaran
"Hacklendikten sonra yapılacaklar ve kimi mahkemeye verebilirsiniz?"
Bilişim hukuku konusunda uzman Avukat Seval Sönmez Durmuşoğlu'nun katılımıyla düzenlenen webinarda sibr olayların tespiti, müdahale süreçleri ve bazı komutları içeren sunum
Fuzzing can be an effecive way to uncover bugs and vulnerabilities. Bug bounty hunters, penetration testers and developers can benefit from this quick and efficient technique.
İnternet'te Güvenli Alışveriş için ÖnerilerAlper Başaran
İnternet'te güvenli alışveriş yapmak için dikkat etmemiz gereken bazı basit noktaları hacker'ın da bakış açısını vererek ele aldım. Daha güvenli internet kullanımına katkısı olması dileği ile..
Büyük Veri, Küme Hesaplama, Dağıtık Dosya Sistemi, Yüksek Performanslı Kümeleme, Apache Spark ve Streaming Modülünü içeren bir sunum.
Apache Spark’ın küme hesaplamaları için kullanımının anlatıldığı sunumda, Java API ile temel bir uygulama örneği gösteriliyor ve beraberinde gelen “Streaming Modülü” ile Twitter’dan canlı veri çekerek işlenmesi anlatılıyor.
Vodafone, Cyberpark ve Türkiye Teknoloji Geliştirme Vakfı işbirliğinde düzenlen etkinlikte büyük veri kavramı, Apache Hadoop Ekosistemi ve Türkiye ve Dünyadaki örnek uygulamalar anlatıldı.
-
1 Haziran 2016 - Onur Karadeli, Mustafa Murat Sever
Gelişen enformatik teknolojisinin olanak sağladığı veri depolama kapasitesinin konvansiyonel tekniklerle stratejik bilgiye dönüştürülemediği yaygın olarak paylaşılan bir gerçek. ASO Dergisi Aralık Sayısında yayınlanan bu çalışma dosyası matematiğin ve istatistiğin ötesinde bu verilerin bilgiye dönüştürülmesi ve risk yönetiminde kullanılması olanaklarını araştırıyor.
15 Aralık 2016, Mef Üniversitesi Büyük Veri Analitiği yüksek lisans dersinde konuk konuşmacı olarak anlattığım IoT ve Data konusu. Microsoft'un bu konulardaki vizyonu, lokal örnekler ve başarılı kullanım senaryolarını konuştuğumuz slaytlar ekteki gibidir.
https://twitter.com/ikivanc
Günümüz dünyasında “performansın zaman metriği değişmiştir, aynı zamanda performans düzeyi de artmıştır”. Dolayısıyla gerçek zamanlı bir analizden söz ediliyorsa firmanın yarattığı gerçek değerin ölçülmesine ve görselleştirilmesine olanak sağlayacak Grafik DataMining tekniğine yoğunlaşmaları ve bunu öğrenmeleri gerekiyor. Bu bağlamda günümüz iş modelinin temel sorunu “hâlâ analitik dünyanın ölü diyagramlarına itibar ediliyor olmasıdır”. Yaşayan çok boyutlu işletmeleri kâğıt üzerindeki iki boyutlu ölü diyagramlara indirgemek faydadan çok zarara yol açmaktadır.
Gelişen enformatik teknolojisinin olanak sağladığı veri depolama kapasitesinin konvansiyonel tekniklerle stratejik bilgiye dönüştürülemediği yaygın olarak paylaşılan bir gerçek. ASO Dergisi 2015 Aralık Sayısında yayınlanan bu çalışma dosyası matematiğin ve istatistiğin ötesinde bu verilerin bilgiye dönüştürülmesi ve risk yönetiminde kullanılması olanaklarını araştırıyor.
Big Data yani büyük veri nedir diyorsanız ve büyük veri analizinin ne gibi yararlar sağlayacağını merak ediyorsanız sizin için Renerald olarak bu sunumu hazırladık. Büyük veri analizleri sayesinde, stratejilerinizi bilimsel veriler ışığında geliştirip şirketinize inanılmaz artı değerler kazandırabileceksiniz.
Siber Olaylara Müdahale ve Hukuki BoyutlarıAlper Başaran
"Hacklendikten sonra yapılacaklar ve kimi mahkemeye verebilirsiniz?"
Bilişim hukuku konusunda uzman Avukat Seval Sönmez Durmuşoğlu'nun katılımıyla düzenlenen webinarda sibr olayların tespiti, müdahale süreçleri ve bazı komutları içeren sunum
Fuzzing can be an effecive way to uncover bugs and vulnerabilities. Bug bounty hunters, penetration testers and developers can benefit from this quick and efficient technique.
Belediyeler için Siber Güvenlik ÖnerileriAlper Başaran
Belediyeler için siber güvenlik önerilerinin yer aldığı bu dosyada yer alan ana başlıklar detaylı olarak incelenmiştir:
- Belediyeler Açısından Siber Güvenlik
- 2018 yılında Belediyelere Yapılan Siber Saldırılar
- Belediyeleri Hedef Alan Siber Saldırıları Türleri
- Belediyelere Yapılan Siber Saldırıların Sıklığı
- Belediyelere Yapılan Siber Saldırılarda Yıllar İçinde Görülen Artış
- Muhtemel bir Siber Saldırı Sonucu Oluşabilecek Zararlar
- Siber Güvenlik Yönetim Stratejisi
- Siber Güvenlik Kontrolleri
Microsoft Windows İşletim Sistemi SıkılaştırmaAlper Başaran
İşletim sistemleri siber saldırganların birincil hedefi. Elimizdeki veriler gösteriyor ki siber saldırganlar en fazla saldırıyı Windows işletim sistemlerine gerçekleştiriliyor.
Sparta işletim sistemi sıkılaştırma hizmeti ile saldırgan faaliyetlere karşı önemli bir tedbir almış olursunuz.
2018 yılında siber saldırganların hedef aldığı sistemlerin %80'i Windows oldu. İşletim sistemi sıkılaştırma proje süreci, çalışma kapsamı, işletim sistemi sıkılaştırma hizmeti alabileceğiniz sistemlerin açıklandığı bir dokümandır.
Tedarikçilerden kaynaklı siber güvenlik risklerinin belirlenmesi konusunda verdiğimiz danışmanlık hizmeti kapsamında düzenlenen 2 günlük çalıştaya ait giriş sunumudur.
Kuruluş bünyenizde yaşanması muhtemel bir güvenlik ihlali sonrası atılması gereken adımları hatırlatmak amacıyla hazırlanmış basit bir kontrol listesi.
5. Aslında = değil
• Sızma testi yapan ekip gerçekten kötü niyetli
değil,
• Kurumla işbirliği içinde,
• Kuruma zarar vermeye çalışmıyor,
• Kötü adamlara göre motivasyonları düşük,
• Kötü adamlara göre tecrübesi az,
• Kötü adamlara göre bu işe ayırdığı zaman az,
• Hedefi yok
basaranalper@gmail.com
www.alperbasaran.com
7. Konuşurken…
• Zaman kısıtlaması koydunuz
• Dokunulmaması gereken sistemleri belirttiniz
• “192.168.1.23’teki SQL test için
kuruldu, ondaki zafiyetleri biliyoruz” gibi
noktaları konuştunuz ama…
• Senaryo belirlemediniz
• Hedef belirlemediniz
basaranalper@gmail.com
www.alperbasaran.com
8. Sonuçta Yapılan İş…
• Sızma testi değil, bulunan zafiyetlerin istismar
edilmesi oldu,
• Gerçek risklere karşı fazla bilgi sahibi
olmadınız,
• Kurum çalışanlarının istemeden ve isteyerek
oluşturabileceği riskleri belirleyemediniz,
• Kısaca: Nessus ve Metasploit ile neler
yapılabildiğini gördünüz.
basaranalper@gmail.com
www.alperbasaran.com
9. Pentest Nedir?
• Söylenen onca şeyin aksine pentest iş
risklerinin ölçülmesine yönelik bir çalışmadır.
• Riskler sadece ağ ve sistemlerde bulunan
açıklardan ibaret değildir.
• Gerçek kötü adamlar için kapsam yoktur.
• Oysa sizin aldığınız hizmet: “teknik bir
pentest” oluyor…
basaranalper@gmail.com
www.alperbasaran.com
10. Teknik Bir Pentest Nasıl Yapılır?
• IP’ler öğrenilir
• Nessus çalıştırılır
• Bulunan açıkları Metasploit ile istismar edilir
• Rapor yazılır
• Sosyal mühendislik isteniyorsa son 2 yıldır
kullandığın maili bunlara da yollanır
• DDoS, Wlan, kaynak kod analizi isteniyorsa
uzman birini bul ona yaptırılır
basaranalper@gmail.com
www.alperbasaran.com
11. Oysa Siz…
Gerçekten ne kadar risk altında
olduğunuzu gösterecek bir rapor ve
sizi daha güvenli yapacak öneriler
hayal etmiştiniz
basaranalper@gmail.com
www.alperbasaran.com
???
13. Peki Ne Yapmalı?
• Öncelikle pentest hedefi belirlenmeli (hangi
saldırgan simüle edilecek?)
– İç kaynaklara/verilere ulaşmaya çalışan biri?
– İşlem bilgilerine erişmeye çalışan bir meraklı?
– Kullanıcı hesaplarını ele geçirmeye çalışan biri?
– Ağ trafiğini dinlemek isteyen biri?
– Para çalmaya çalışan biri?
– Yönetici epostalarını okumaya çalışan biri?
basaranalper@gmail.com
www.alperbasaran.com
14. Her Şey Serbest Mi Olacak?
• Tabii ki hayır!
• Ancak unutmayın:
• Konulacak sınırlar sadece yapılacak testlerden
doğan ve kurum işleyişini tehlikeye atacak
riskleri azaltmaya yönelik olmalıdır
• Beğenmediğiniz/utandığınız bir sistemi
kapsam dışına almak bir ölçüde kendinizi
kandırmak olarak değerlendirilebilir
basaranalper@gmail.com
www.alperbasaran.com
15. Pentest Konusunda Önemli Bazı
Kriterler: Metodoloji
• Sızma testi için gelen firmanın web sayfasında
veya kuşe kağıda basılmış broşüründe
gördüğünüz metodoloji önemli.
• Belirli bir yöntem izlenmeden yapılan test
başarılı olabilir ama bir şeyler eksik kalabilir
• Test sırasında izlenecek yöntem mutlaka
irdelenmeli
basaranalper@gmail.com
www.alperbasaran.com
16. Pentest Konusunda Önemli Bazı
Kriterler: Rapor
• İtiraf: Rapor yamaktan nefret ederiz
• Hayatın gerçeği: Sızma testi sonucunda
elinizdeki tek “elle tutulur” çıktı o rapordur
• Dolayısıyla: Raporun nasıl yazılacağı ve
sunulacağı detaylı olarak belirlenmeli
basaranalper@gmail.com
www.alperbasaran.com
17. Pentest Konusunda Önemli Bazı
Kriterler: Testi Yapan
• Şirketler pentest yapamaz, insanlar pentest
yapar.
• Pentest öğrenilebilecek bir iştir.
• Biraz meraklı ve Google kullanabilen herkes
pentest yapabilir.
• Peki iyi ile kötüyü nasıl ayırt edeceğiz?
basaranalper@gmail.com
www.alperbasaran.com
18. Pentest Konusunda Önemli Bazı
Kriterler: Testi Yapanların Piramidi
Araç Kullanan ve bu işi günlük olarak yapanlar
Mesai saatleri dışında zaman ayıran / kitap okuyan
Veriyi kullanılabilir bilgiye dönüştüren ve rapor yazabilenler
Standart
İyi
En İyi
basaranalper@gmail.com
www.alperbasaran.com
19. Pentest Konusunda Önemli Bazı
Kriterler: Testi Yapanları Ayırt etmek
• Sohbet edin: İşinize talip olan şirketin satışçısı
veya sahibi ile değil. İşi gerçekten yapacak kişi
ile sohbet edin.
• Kurumsal ağlar birbirinden farklı olduğu için
tecrübe kesin bir ölçüt olmayabilir.
• Yine de: SAP, VoIP gibi sistemlerin olduğu özel
durumlarda tecrübe önemlidir.
basaranalper@gmail.com
www.alperbasaran.com
20. Başarılı Bir Pentest Süreci İçin
• Mümkün olduğu kadar gerçekçi bir test süreci
yaratın
• Test sürecinin detaylarını öğrenin
• Test aşamalarının gerçek hayattaki karşılığına
bakın (gerçekte birisi iç ağa laptopunu bağlayıp
zafiyet taraması yapar mı?)
• Gerçek istediğinizin zafiyet taraması
olmadığından emin olun (birisi iç ağa laptopuyla
bağlanıp zafiyet taraması mı yapsın?)
basaranalper@gmail.com
www.alperbasaran.com
21. Son olarak…
• İyi firmalarla çalışın
• Çıkarlarınızı gözeten bir firma ile çalışın
• Verilecek raporun içeriği, yazılma biçimi ve
sunulma biçimini belirleyin
• Sızma testi yaptırmayı ihmal etmeyin
basaranalper@gmail.com
www.alperbasaran.com