Bilgi Güvenliği Alanındaki Hukuki Düzenlemeler

Bilgi güvenliği alanındaki hukuki düzenlemeleri gözden geçirirken daha kolay incelenebilmesi için hepsini bir arada bulundurmanın faydalı olabileceğini düşündüm. Bir bakışta görebilmek için bir zihin haritası hazırladım.  Zihin haritasında yürürlükte ve taslak aşamasında olan kanun ve yönetmelikler yer alıyor. Ayrıca aşağıda kanunlar hakkında detaylı açıklamaları ve bağlantıları da bulabileceğiniz bilgileri eklemeye çalıştım.

Şekil-1. Bilgi güvenliği alanında hukuki düzenlemeler zihin haritası  v1.0

Yürürlükte Olan Kanun ve Yönetmelikler:

Türkiye Cumhuriyeti Anayasası:
MADDE 20:

(Ek fıkra: 12/9/2010-5982/2 md.) Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.

https://www.tbmm.gov.tr/anayasa/anayasa_2011.pdf

5237 sayılı Türk Ceza Kanunu:

ONUNCU BÖLÜM

Bilişim Alanında Suçlar

Bilişim sistemine girme

MADDE 243. - (1) Bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak giren ve orada kalmaya devam eden kimseye bir yıla kadar hapis veya adlî para cezası verilir.

(2) Yukarıdaki fıkrada tanımlanan fiillerin bedeli karşılığı yararlanılabilen sistemler hakkında işlenmesi hâlinde, verilecek ceza yarı oranına kadar indirilir.

(3) Bu fiil nedeniyle sistemin içerdiği veriler yok olur veya değişirse, altı aydan iki yıla kadar hapis cezasına hükmolunur.

Sistemi engelleme, bozma, verileri yok etme veya değiştirme

MADDE 244. - (1) Bir bilişim sisteminin işleyişini engelleyen veya bozan kişi, bir yıldan beş yıla kadar hapis cezası ile cezalandırılır.

(2) Bir bilişim sistemindeki verileri bozan, yok eden, değiştiren veya erişilmez kılan, sisteme veri yerleştiren, var olan verileri başka bir yere gönderen kişi, altı aydan üç yıla kadar hapis cezası ile cezalandırılır.

(3) Bu fiillerin bir banka veya kredi kurumuna ya da bir kamu kurum veya kuruluşuna ait bilişim sistemi üzerinde işlenmesi halinde, verilecek ceza yarı oranında artırılır.

(4) Yukarıdaki fıkralarda tanımlanan fiillerin işlenmesi suretiyle kişinin kendisinin veya başkasının yararına haksız bir çıkar sağlamasının başka bir suç oluşturmaması hâlinde, iki yıldan altı yıla kadar hapis ve beşbin güne kadar adlî para cezasına hükmolunur.

Banka veya kredi kartlarının kötüye kullanılması

MADDE 245. - (1) Başkasına ait bir banka veya kredi kartını, her ne suretle olursa olsun ele geçiren veya elinde bulunduran kimse, kart sahibinin veya kartın kendisine verilmesi gereken kişinin rızası olmaksızın bunu kullanarak veya kullandırtarak kendisine veya başkasına yarar sağlarsa, üç yıldan altı yıla kadar hapis cezası ve adlî para cezası ile cezalandırılır.

(2) Sahte oluşturulan veya üzerinde sahtecilik yapılan bir banka veya kredi kartını kullanmak suretiyle kendisine veya başkasına yarar sağlayan kişi, fiil daha ağır cezayı gerektiren başka bir suç oluşturmadığı takdirde, dört yıldan yedi yıla kadar hapis cezası ile cezalandırılır.

Tüzel kişiler hakkında güvenlik tedbiri uygulanması

MADDE 246. - (1) Bu bölümde yer alan suçların işlenmesi suretiyle yararına haksız menfaat sağlanan tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunur.

https://www.tbmm.gov.tr/kanunlar/k5237.html


5070 sayılı Elektronik İmza Kanunu:

Bu Kanunun amacı, elektronik imzanın hukukî ve teknik yönleri ile kullanımına ilişkin esasları

düzenlemektir. Elektronik imzanın hukukî yapısını, elektronik sertifika hizmet sağlayıcılarının faaliyetlerini ve her alanda elektronik imzanın kullanımına ilişkin işlemleri kapsar.

https://www.tbmm.gov.tr/kanunlar/k5070.html

5651 sayılı Internet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun:

Bu Kanunun amaç ve kapsamı; içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcıların yükümlülük ve sorumlulukları ile internet ortamında işlenen belirli suçlarla içerik, yer ve erişim sağlayıcıları üzerinden mücadeleye ilişkin esas ve usûlleri düzenlemektir.

https://www.tbmm.gov.tr/kanunlar/k5651.html

Elektronik Haberleşme Güvenliği Yönetmeliği:

Bu Yönetmeliğin amacı, elektronik haberleşme güvenliğine ilişkin usul ve esasları düzenlemektir. Bu Yönetmelik, işletmecilerin fiziksel alan güvenliği, veri güvenliği, donanım-yazılım güvenliği ve güvenilirliği ile personel güvenilirliğinin sağlanması için tehditlerden ve/veya zafiyetlerden kaynaklanan risklerin bertaraf edilmesi veya azaltılmasına ilişkin olarak alacakları tedbirlere yönelik usul ve esasları kapsar.

http://www.resmigazete.gov.tr/eskiler/2008/07/20080720-1.htm

Taslak Aşamasında Olan Kanun ve Yönetmelikler:

Ulusal Bilişim Güvenliği Kanun Taslağı: 

Amacı, kamu kurumları bilişim sistemleri ile özel hukuk tüzel kişilerine ait kritik bilişim sistemlerinin ve internet şebekesinin sanal (siber) tehdit, saldırı ve müdahalelere karşı korunmasına yönelik usul ve esasları belirlemek olan bu Taslak çalışması üzerinde çalışmalar 2012 yılının başından itibaren devam etmektedir.(1)

Kişisel Verilerin Korunması Kanun Tasarısı:

Amaç, kişisel verilerin işlenmesinin disiplin altına alınması ve Anayasada öngörülen temel hak ve özgürlüklerin korunmasıdır. Bu amaçla kişisel verileri işleyen gerçek ve tüzel kişilerin uyacakları usul ve esaslar düzenlenmektedir.

https://www2.tbmm.gov.tr/d24/1/1-1009.pdf

Referanslar:

1- http://www.kalkinma.gov.tr/Lists/Uzmanlk%20Tezleri/Attachments/390/Ulusal%20Bilgi%20G%C3%BCvenli%C4%9Fi%20Strateji%20ve%20Kurumsal%20Yap%C4%B1lanma.pdf

Devamı

Önce Siz Oltalayın

Oltalama, nam-ı diğer phishing.

Artık her katmanda bir güvenlik ürünümüz var, yamaları zamanında geçiyoruz, zafiyetlere daha çok önem veriyoruz, araştırıyoruz, tartışıyoruz, uyguluyoruz. Durum böyle olunca saldırganlar yönünü kullanıcılara dönmeye başladı. Bir çok bağımsız araştırmacının raporunda da bunu açık şekilde görebiliriz. Gerçi bunu görmek için rapora da gerek yok. :) Malum Cryptolocker zararlısını duymayan yoktur. Hatta en az bir tanıdığımız bu zararlı yüzünden mağdur olmuştur. Mağdur olan kişilere neden tıkladıklarını sorduğumuzda ise aldığımız tek cevap "merak".

Peki, böylesine tehlikeli sosyal mühendislik ataklarına karşı neler yapabiliriz, kullanıcılarımızı nasıl bilinçlendirebiliriz, merak duygusunu nasıl kontrol altına alabiliriz?

Gelin biraz beyin fırtınası yapalım. Sesli düşünüyorum:

"Poster asmak, eğitim vermek farkındalık sağlıyor ama önemli olan süreklilik. Sürekliliği sağlamak için belirli zamanlarda oltalama maillerini biz göndersek. Hatta mailin içeriğinde düzenlemeler, eklemeler yapabilsek. Kimlerin mailde yer alan linke tıkladığının raporunu alabilsek ve hatta linke tıkladıklarında hazırladığımız eğitim sayfalarına, videolarına yönlendirsek." 

Fikirler güzel ama kolay ve ücretsiz şekilde nasıl yapabiliriz?
Bu noktada imdadımıza sptoolkit yetişiyor. Tam olarak sosyal mühendislik farkındalık saldırıları için özelleşmiş açık kaynak kodlu bir araç. Geliştirilmesi 2 yıldır yapılmıyor ama en son versiyonu düzgün bir şekilde çalışıyor. Bu araçla yukarıda saydıklarımızın tamamını ve fazlasını yapabiliyoruz. Bir diğer deyişle insana da yama geçebiliyoruz.

Şimdi kurulum, ayarlar ve oltalama başlıklarında sptoolkit aracını inceleyelim.

Kurulum:

• Kurulumu yapacağımız sunucuda Apache, Mysql ve PHP olması gerekiyor.
• https://github.com/simplephishingtoolkit/sptoolkit-rebirth adresinden sptoolkit'i indiriyoruz.
• Zip dosyasını açtıktan sonra içinden çıkan spt klasörünün altındaki dosyaları sunucumuzda /var/www/html dizinine kopyalıyoruz.

• Apache ve Mysql servislerini başlattıktan sonra internet tarayıcımızdan sunucu IP'sini yazarak kurulum sayfasına giriyoruz. Go to Install butonunu seçiyoruz.

•  I agree butonuna tıklıyoruz.

• sptoolkit bazı sistem gereksinimlerini kontrol ediyor. Eksikleri kırmızı ile gösteriyor. Gereksinimleri sağladıktan sonra Check Again'e tıklayarak tamamının yeşil olmasını bekliyoruz.

          Appropriate Permissions için;
              chown -R www-data:www-data html
              chmod -R 775 html
          PHP cURL için;
              apt-get install php5-curl
          PHP LDAP Extensions için;
              apt-get install php5-ldap

• Kullanacağımız database bilgilerini giriyoruz. Mysql kurarken oluşturduğumuz bilgileri kullanıyoruz.

• Database bağlantısının başarılı bir şekilde kuruludğunu ve oluşturulan tabloları görüyoruz.

•  Daha sonra admin kullanıcısını oluşturuyoruz.

• Kurulum işlemlerini tamamladık. Artık sptoolkit kullanımımıza hazır.

 Ayarlar:

sptoolkit kurulduktan sonra kullanımdan önce bazı tanımlamalar yapmamız gerekiyor. Özellikle mail gönderebilmek için SMTP sunucu bilgilerini gireceğiz.

• Settings altında SMTP server sekmesinde SMTP sunucu bilgilerini giriyoruz. Burada kurum mail sunucunuz veya sunucu üzerine kuracağınız bir mail sunucuyu kullanabilirsiniz. Ben sunucu üzerine kurduğum SMTP sunucusunu kullanacağım.

  

• Templates sekmesi altında hazır oltalama mailleri var. Bu templateleri istediğiniz gibi kullanıp düzenleyebilirsiniz.

 

• Education sekmesi altında kullanıcıları yönlendireceğimiz eğitim dokümanları, videoları yer alıyor. Yine bunlar da detaylı bir şekilde düzenlenebiliyor.

Oltalama:

Kurulum ve ayarlardan sonra şimdi merakla beklediğimiz oltalama adımına geçiyoruz.

• Öncelikle hedef kişi bilgilerini eklememiz gerekiyor. Target sekmesi altında Local Targets-One seçeneği ile hedef kullanıcı bilgilerini tanımlıyoruz.

 

• Hedef kullanıcıyı oluşturduktan sonra mail içeriğini hazırlıyoruz. Templates sekmesi altındaki herhangi bir maili düzenliyoruz. Gönderen adını ve mail adresini taklit etmek istediğimiz şekilde düzenliyoruz. Mailin içeriğine de iPhone 7 kampanyamızı ekliyoruz :) Kargo takip olarak verdiğimiz linki yönlendirmek istediğimiz eğitim sayfası olarak ayarlıyoruz.

• Oltalama mailimizi hazırladıktan sonra şimdi sıra geldi kampanyamızı oluşturmaya. Campaigns sekmesinden Campaign butonuna tıklayarak başlıyoruz. Öncelikle kampanyamıza isim veriyoruz.

•  Daha sonra hedef kişimizi seçiyoruz.

• İstersek belirlediğimiz bir tarihte mailin gönderilmesini sağlayabiliyoruz. Ama burada biz hemen göndermek için bu özelliği seçmiyoruz.

•  Oluşturduğumuz iPhone 7 template'ini seçiyoruz.

• SMTP sunucumuzu seçiyoruz ve yeşil butonla kampanyamızı başlatıyoruz.

 

• Şimdi hedef kişiye ait mail kutusuna bakalım oltalama mailimiz gelmiş mi?  Görüldüğü gibi oltalama maili hazırladığımız şekilde hedef kişinin mail kutusunda görünüyor. Domain ismi farklı olduğu için Gmail spam olarak işaretledi. Ancak kurumunuza ait mail gateway'de ilgili domain için kural yazabilirsiniz.

 

• Maili okuyup kargo takip linkine tıklayan kişi eğitim sayfasına yönlendiriliyor. Bu sayfayı isteğinize göre düzenleyebiliyorsunuz.  

• Buraya kadar herşey çok güzel. Peki kimlerin linke tıklayıp tıklamadığını nasıl görebiliyoruz? Anasayfada iPhone 7 kampanyasını filtreleyerek kampanyaya ait raporları görebiliyoruz. Grafikte hedef kişinin linke tıkladığını görebiliyoruz. Arıca buna benzer raporlar da mevcut.

Şimdilik bu kadar. Sosyal mühendislik saldırılarına karşı kullanıcılarınızı idmanlı tutmak istiyorsanız buyurun, kullanın. :)
Görüşmek üzere.

Not: Eğitim amaçlı hazırlanmıştır.

Devamı