ZEKASTRA Siber Güvenlik
Tehdit profilleri
Her profil aynı sırayı izler: tehdidin ne olduğu, nasıl işlediği, nelere bakılacağı, ne yapılacağı. Saldırıları savunanın ihtiyaç duyduğu düzeyde anlatır; uygulamaya dönük talimat içermez.
İnsanı hedefleyen
Oltalama (phishing)
Bir banka, kurum ya da meslektaş gibi görünen mesajla bağlantı açtırma, parola girdirme veya ödeme onaylatma girişimi.
Sosyal mühendislik ve ödeme dolandırıcılığı
Sistemi değil insanı manipüle etmek: sahte bir yönetici, tedarikçi ya da destek görevlisi, birini para göndermeye veya erişim vermeye ikna eder.
Hesaplar ve erişim
Yazılım ve web
Zararlı yazılım
Veri çalmak, cihazın denetimini ele geçirmek ya da zarar vermek için yazılmış yazılımlar: bilgi çalıcılar, truva atları, casus yazılımlar, solucanlar.
Fidye yazılımı
Dosyaları şifreleyip ödeme isteyen zararlı yazılım; çoğunlukla saldırgan veriyi önceden kopyalamıştır.
Enjeksiyon (SQL ve komut)
Güvenilmeyen girdinin sorgunun ya da komutun parçası sayılması; uygulama geliştiricinin hiç öngörmediği bir işlemi yürütür.
Siteler arası betik çalıştırma (XSS)
Bir sayfanın saldırgan denetimindeki içeriği etkin kod olarak sayfaya katması; kod, ziyaretçinin tarayıcısında sitenin yetkileriyle çalışır.
Erişim kontrolü zafiyeti
Uygulamanın kim olduğunuzu denetleyip neyi yapabileceğinizi denetlememesi; bir kullanıcının başkasının veri ve işlevlerine ulaşabilmesi.
Altyapı ve tedarik
Hizmet engelleme (DoS ve DDoS)
Bir hizmeti ya da ağ bağlantısını boğarak gerçek kullanıcıların erişimini engelleme.
Araya girme (ortadaki adam)
Saldırganın sizinle hizmet arasına girip geçen veriyi okuması ya da değiştirmesi; tipik olarak güvenilmeyen bir ağda.
Yazılım tedarik zinciri ihlali
Kötü amaçlı kodun güvendiğiniz bir şeyin içinden gelmesi: kitaplık, güncelleme, derleme aracı ya da tedarikçi.
Yanlış yapılandırma ve açıkta kalan hizmetler
Doğru bir ürünün güvensiz kurulması: herkese açık depolama alanı, internete açık veri tabanı, varsayılan parola, açık unutulmuş hata ayıklama sayfası.
Yamalanmamış açıklar
Düzeltmesi yayımlanmış ama uygulanmamış, bilinen bir yazılım açığı.
Bu bölüm savunma ve öğrenme içindir. Sahibi olmadığınız ya da test etmek için yazılı izin almadığınız sistemleri denemeyin: bir bilişim sistemine hukuka aykırı olarak girmek suçtur (Türk Ceza Kanunu m. 243).