Ce diaporama a bien été signalé.
Le téléchargement de votre SlideShare est en cours. ×

Yeni Nesil Sosyal Mühendislik Saldırıları ve Siber İstihbarat

Publicité
Publicité
Publicité
Publicité
Publicité
Publicité
Publicité
Publicité
Publicité
Publicité
Publicité
Publicité
Chargement dans…3
×

Consultez-les par la suite

1 sur 83 Publicité
Publicité

Plus De Contenu Connexe

Diaporamas pour vous (19)

Similaire à Yeni Nesil Sosyal Mühendislik Saldırıları ve Siber İstihbarat (20)

Publicité

Yeni Nesil Sosyal Mühendislik Saldırıları ve Siber İstihbarat

  1. 1. YENİ NESİL SOSYAL MÜHENDİSLİK SALDIRILARI ve SİBER İSTİHBARAT OWASP-Turkey Seyfullah KILIÇ
  2. 2. Ben Kimim ? Web Uygulamaları Güvenliği Uzmanı SwordSec.com Kurucusu Uygulama Geliştiricisi Google Hall of Famer KodHatasi.com Kurucusu Öğrenci :( Starcraft 2 ve Team Fortress 2 Oyuncusu ;)
  3. 3. Index 1. Siber İstihbarat Nedir ? 2. Hedef Belirleme 3. OsInt / Bilgi Toplama Araçları 4. Yeni Nesil Sosyal Mühendislik 5. Vakalar 6. Korunma Yolları
  4. 4. Siber İstihbarat Nedir ? Elektronik ortamlardan bilgi toplama OsInt motorlarından / araçlarından bilgi toplama Toplanılan bilgiyi analiz etme/kullanma
  5. 5. Siber İstihbarat’ın Önemi Devlet’lerin Siber Terörizm Korkusu Ticari Şirket Bilgilerinin Deşifresi (Mali bilgi, rakip vs.) Kişisel Bilgiler Hacker Mahremiyet
  6. 6. Hedef Belirleme
  7. 7. Kim veya Ne Hedeftedir ? Devlet Kurumu Kurum’daki personel (Sosyal Mühendislik) Yazılım / Ürün (Yazılım hırsızlığı) Veri (Veri hırsızlığı) Prestij (İstihbarat örgütleri) Bankalar / E-ticaret Sistemleri Kişisel Veriler (Resim, Video, mahremiyet, şantaj) Sosyal Medya Hesapları (Merak, hırs vs.) Mail (Bilgi alma, merak vs.)
  8. 8. OsInt Open Source Intelligence Public Data OsInt, İlk 2005 yılında ABD Savunma Bakanlığı tarafından tanımlandı
  9. 9. Bilgi Toplama Teknikleri & Araçları
  10. 10. Gizlilik ? Bitcoin Tor Browser Bundle Cryptocat DoNotTrackMe Enigmail Fake Name Generator Ghostery HTTPS Everywhere Hushmail alternative Burn Note
  11. 11. Arama Motorları Google Dorks Baidu binsearch.info Bing Duck Duck Go PunkSpider Google Shodan
  12. 12. Google Hacking Lulzsec ve Anonymous gibi hacker gruplarının öncelikli kullandığı teknik Hızlı ve çoklu sonuçlar Gelişmiş operatörler ile spesifik sonuçlar
  13. 13. Google Hacking
  14. 14. Google Hacking
  15. 15. Google Hacking
  16. 16. Google Hacking
  17. 17. Google Hacking
  18. 18. Google Hacking
  19. 19. Google Hacking
  20. 20. filetype:x
  21. 21. Google Hacking
  22. 22. Google Alert
  23. 23. Pastebin
  24. 24. Pastebin
  25. 25. Pastebin
  26. 26. Twitter - Pastebin
  27. 27. Açık Kaynak ?
  28. 28. Açık Kaynak ?
  29. 29. Açık Kaynak ?
  30. 30. Diğer kaynaklar
  31. 31. Shodan ?
  32. 32. TheHarvester ?
  33. 33. Metagoofil ?
  34. 34. SpiderFoot
  35. 35. DomainTools.com Reverse IP, NS, MX kayıt arama Detaylı Whois bilgileri Whois Geçmişi
  36. 36. Maltego Favori OsInt araçlarından Kişiler, gruplar, websiteler, domainler ve sunucular hakkında bilgi toplama Tüm platformlarda çalışır (Linux, Mac OS X, Windows) Hızlı ve kolay kurulum Grafiksel kullanıcı arabirimi
  37. 37. Sosyal Medya İstihbaratı En sık görüştüğü kişiler Kullandığı hashtag’ler Paylaştığı websiteler Beğendiği linkler, içerikler
  38. 38. mentionmapp.com
  39. 39. Twitter Favorileri
  40. 40. Yeni Nesil Sosyal Mühendislik
  41. 41. Sosyal Mühendislik ? Aldatma Sanatı İnsan donanımındaki hatalar Beyni Exploit etme :)
  42. 42. Kimler Kullanır ? Hackerlar Penetrasyon Testerlar Ajanlar Kimlik Hırsızları Devletler İş verenler Pazarlamacılar Herkes :)
  43. 43. Metodlar Bilgisayar Tabanlı Oltalama Saldırısı Online dolandırıcılık İnsan Tabanlı Kimliğe bürünme Omuz Sörfü Çöplüğe dalma
  44. 44. Örnek ?
  45. 45. SET ? The Social-Engineer Toolkit (SET) Açık Kaynak Kodlu Multi Phishing ve Browser Exploit
  46. 46. Phishing ?
  47. 47. Phishing ?
  48. 48. Phishing ?
  49. 49. Phishing ?
  50. 50. Shellshock + Phishing
  51. 51. Flash Disk ?
  52. 52. Örnek Vakalar
  53. 53. Hedefe Yönelik Saldırı
  54. 54. Mat Honan ?
  55. 55. Nasıl Hacklendi ? 1. Twitter > @mat 2. > honan.net 3. > mhonan@gmail.com 4. Şifremi unuttum > m••••n@me.com 5. Apple Şifremi unuttum > 1. Fatura adresleri 2. Kredi kartlarının son dört rakamı
  56. 56. Nasıl Hacklendi ? 6. Google’da adres arama 7. K.K Son 4 Rakam ? 1. Amazon müşteri hizmetleri > yeni k.k ekleme 2. İsim + Sisteme kayıtlı e-posta adresi + Fatura adresi 3. Sahte k.k ekletilir. 8. Tekrar Amazon
  57. 57. Nasıl Hacklendi ? 9. Yeni bir e-posta adresi tanımlama 1. İsim + Fatura adresi + K.k numarası 10. Amazon şifremi unuttum > yeni eklenilen e- posta adresi :) 11. Diğer K.K son 4 rakam 12. Mat Hacked !
  58. 58. Hedefe Yönelik Saldırı 2
  59. 59. Bilgi Toplama
  60. 60. Korunma Yolları
  61. 61. Korunma Yolları
  62. 62. Korunma Yolları 1. Her servis/website için farklı şifreler 2. 2 adımlı doğrulama servisini kullanın 3. “Güvenlik sorularınızı ?” saçmalayın
  63. 63. Korunma Yolları 4. Sanal kredi kartı kullanımı 5. Kişisel bilgilerinizi ve hesaplarınızı sıkça inceleyin 6. Açık bilgi veritabanlarından bilgilerinizi kaldırın.
  64. 64. Sorular ?
  65. 65. Teşekkürler @s3yfullah http://seyfullahkilic.com bilgi@seyfullahkilic.com
  66. 66. Kaynakça http://www.bishopfox.com/resources/tools/google-hacking- diggity/presentation-slides/ http://www.securitysift.com/phishing-for-shellshock/ http://www.social-engineer.org/framework/general- discussion/social-engineering-defined/ http://www.net-security.org/secworld.php?id=15805 http://resources.infosecinstitute.com/social-engineering-a- hacking-story/ http://magazine.thehackernews.com/article-1.html
  67. 67. Sponsorlar

Notes de l'éditeur

  • En sonunda;
    Vaktimiz kalırsa 5 dklık kısa bir video izleyeceğiz.
  • OsInt > açık kaynakdan bilgi toplama
  • Hacker’lar için de önemli tabi.
  • Siber İstihbarat için Hacker’ların Hedef belirlemesi
  • Open Source Intelligence’ın kısaltılmasıdır.
    Web’de public datalardan istihbarat toplama tekniğidir.
    Bir çok araçlar mevcuttur.
  • Siber İstihbarat Döngüsü
  • Hacker’ın İstihbarat toplaması için gereken gizlilik araçları
  • Vazgeçilmez arama motorları

    Gördüğünüz gibi hackerların Shodan, Google Dorks gibi sıklıkla kullandığı arama motorları var.
  • diğer adı ile Google Hacking Dork
  • pcf dosyalarında kullanıcı adı ve şifre arama dorku
  • Offline olarak Ip aralığı arama.
    Bu arada digitalocean’ın ıp aralığıdır bu
  • Port tarama ve Ip aralık belirleme
    Tabi bu taramalar offline bir taramadır.
  • hassas data aramaya gerek kalmadı gibi :)
    Geçen aylarda hacklendi :)
  • Google dökümanlarda password içeren config dosyaları arıyoruz.
  • Farklı formatları, farklı arama motorlarında arayabiliriz
  • 2012 yılı için verilen Google Sonuçlar istatistiği
    Google, 1 Milyar’dan fazla PDF dosyası taramış
  • Google Hacking Database en çok bilinen google dork arama sitesidir.
  • Google alert’i, basit bir güvenlik alarm aracı olarak da kullanabilirsiniz
  • Pastebin underground camiasının vazgeçilmezi.

    Trendlerden, Hacking gündemini takip etmek bile mümkün.
  • Pastebinde basit bir search
  • En çok sevilen özelliği alarm eklenmesi.
    İstenilen kelimeleri takip edebilirsiniz.
  • Twitter’da yer alan bir hesap.
    Pastebine düşen mailleri tweet atıyor.
  • GitHub’da basit bir arama ile SQL Injection ihtimali olan projeler çıkıyor.

    Bu aramamda, 220.000’den fazla sonuç yer aldı
  • Beyaz şapkalı hackerlar >
    Regex geliştirir, popüler açık kaynak kodlu web yazılımlarında ararlar
    Zaafiyeti bulup, doğrularlar,
    kodu yazana bilgi verirler ve patch yaparlar
  • Siyah şapkalı hackerlar ise yine aynı adımları yaparlar fakat,
    Siber İstihbarat yöntemleri ile Web’i tararlar ve çoklu saldırı yaparlar.
  • Yine diğer OpenSource proje barındıran sistemlerde aynı tehlikeler bulunuyor.
  • Shodan adlı hackerlar için arama motoru

    Dünya’ca ünlü BlackHat konferansında, sadece Shodan arama motoru ile ilgili bir sunum yapılmıştır.
  • Anlık siber istihbarat için güzel bir ücretli proje.

    Kelime takibi ve data mining yaparak, geçmişte ve gelecekteki olacak şeyleri tarihe göre sıralama yapıyor.

    Örneğin 16 şubatta Apple’ın 6s i duyuracağına dair sağlam kaynaklardan bir haber alıp bunu 16 Şubatta Apple’ın bir event’i olacağına dair DB’lerine ekliyor.
  • 2011’de Anonymous grubunun Türkiye’ye saldırı grafiği yer almaktadır. Hangi sitelere, hangi eylemlerde bulunulduğu kayıtlarda görülmektedir.

    Bu da gelecek ve geçmiş için Siber İstihbarat toplamak için güzel bir kaynak.
  • Python dili ile yazılmış, Güzel bir İstihbarat toplama aracı

    Girilen domain’e ait mailler ve host’lar listeleniyor.
  • yine aynı şekilde python ile yazılmış güzel bir tool

    Online olarak döküman arıyor.
  • İstihbarat toplama, web spider gibi özelliklere sahip Python tabanlı web uygulaması.

    Yine açık-kaynak kodlu
  • domain ve hosting için En popüler bilgi toplama sitesi
  • Maltego içinde bir çok özellik ve modül barındıran bir İstihbarat Toplama aracıdır.
  • Twitter arkadaş bağlantıları
  • NameServer ve Ip bağlantıları
  • İsim’den mail bulma özelliği
  • Sosyal medya İstihbarat’ı OSINT için çok önemli bir veridir.

    Hacker’lar hedefdeki kişiyi veya kişileri seçerek, en sık görüştüğü kişileri, kullandığı hashtagleri, paylaştığı websiteleri ve beğendiği linkleri, içerikleri toplayarak, kişi hakkında analiz ve profilleme yapabilir.
  • Mentionmapp sosyal medya istihbaratına güzel bir örnek.
  • Twitter’da Favoriler

    Herkesin belki unutarak, belki dalgın olarak FAV’ladığı tweetleri bir hacker takip edebilir, analizini yapabilir. Tabi bu manuel bir yöntem. İsterse Twitter API ile güzel bir robot yazabilir.
  • Kendim kodladığım Twitter istihbarat aracı
  • Aldatma sanatı.

    en büyük sorun insan donanımındaki hatalar

    aslında beyni exploit etme diye nitelendirebiliriz :)
  • Bir bu sunumda Bilgisayar Tabanlı saldırıları dikkate alacağız.
  • Bir hacker, İnternet’e güvenli bağlanıp, Şirket önünde Firewall’ları geçip, sunucuda açık bulmaktansa, Sosyal mühendislik methodları ile direk çalışanlara hedef alıp, sunucuya öyle ulaşıyor.

    Evet burada şeytan olan Sosyal mühendisimiz :)
  • Linux Kali ve Backtrack’da güncel sürümleri mevcut
  • Huzeyfe beye atılan bir mail :)
  • Bu da daha gelişmişi ?
  • Burada Gmail’de bulunan gizli bir zaafiyet kullanılmış :)
  • Twitter direct message yoluyla atılan kısaltılmış linkleri artık kabul etmiyor.
  • Ortalığı sallayan “Shellshock” zaafiyet ve phishing örneği.
    *Tabi çalışması için update edilmemiş olması gerekli*
    Kullanıcnın header bilgilerini zararlı kodlar ile değiştirerek javascript ile post ediliyor. Reverse connection ile kurbanın bilgisayarı ele geçiriliyor.
  • Üst düzey bir şekilde hazırlanmış zararlı kod yüklenebilen bir flash disk. Aslında bu flashdisk klavyenizi taklit ederek gizli olarak, ayarladığınız tuş kombinasyonlarını basıyor. Hedef flashdiski takar takmak tuşlar arka planda çalışıyor ve istenildiği gibi zararlı yazılım vs. yüklenebiliyor.

    Yeni nesil sosyal mühendislik saldırıları ve testlerinde kullanılıyor.

    Bu araç, BadUSB zaafiyeti ile daha da gündeme geldi
  • Teknoloji dergisi Wired’ın yazarı.
  • Hackerlar twitter’da bulunan Mat’i gözüne kestiriyorlar.
    web sitelerini profilinden buluyorlar.
    Oradan mail adresine ulaşıyorşar
    Şifremi unuttum ile başlayarak, diğer mail adresinin bir kısmına ulaşabiliyorlar.
  • SON olarak:
    Hackleyen kişiler: 19 yaşındaki bir genç ve ona yardım eden bir arkadaşı. Ayrıca, şikayette bulunmaması karşılığında bu “hack” operasyonunu Honan’a adım adım anlatmış.
  • Kişinin adı ile basit bir google araması
  • Ünlü sosyal medya hesaplarından kişi ile ilgili bilgi toplama
  • Facebook kullanıcı adını ve maili tahmin etme
  • Mail’i bulma

  • Mail doğrulama sistemi
  • güzel hazırlanmış bir phishing saldırısı ile kullanıcı hackleniyor.
  • Intel’in paylaştığı güzel bir mesaj :)

    Şifreler iç çamaşırlarına benzer.

    Bunları sıklıkla değiştirin, gizli tutun ve kimse ile paylaşmayın.
  • Evet, İşin esprisini geçelim, gerçekten neler yapabiliriz şimdi ona geçelim.

×