Google Safe Browsing her gün milyonlarca kullanıcıyı tehlikeli site uyarısıyla durduruyor ve aktif takip edilen oltalama (phishing) sitesi sayısı milyonları aşmış durumda. Tek bir yanlış tık, kurumsal ağa zararlı yazılımın açılan kapısı olabilir.
Merhaba, ben Güvenlik Uzmanı. Bu derste günlük işimizin merkezindeki web kullanımını güvenli hâle getirmeyi öğreniyoruz: HTTPS'in ne anlama geldiği (ve neyi GARANTİ ETMEDİĞİ), sahte/taklit siteleri tanıma, indirme ve eklenti riskleri, tarayıcı ayarları ve halka açık Wi-Fi tehlikeleri. Soldaki interaktif sahnede (secMalwareDefense3D) zararlı içeriğin tarayıcıya nasıl ulaştığını ve katmanlı savunmanın bu zinciri nasıl kırdığını adım adım dene; tehdit vektörünü görselleştirerek hangi davranışın hangi katmanı koruduğunu incele.
GÜVENLİ WEB KULLANIMI — NEDEN ÖNEMLİ? Tarayıcı, kurumsal verinin internete açılan ana penceresidir. Saldırıların büyük bölümü teknik bir zafiyetten değil, kullanıcının web üzerindeki bir kararından (yanlış siteye giriş, kötü dosya indirme, sahte uyarıya tıklama) başlar. Bu yüzden web hijyeni, ISO 27001:2022 Annex A kapsamındaki teknik ve insan-temelli kontrollerin günlük hayattaki ön cephesidir. 1) HTTPS VE KİLİT SİMGESİ — GERÇEKTE NE GARANTİ EDER? • HTTPS (TLS), tarayıcı ile sunucu arasındaki trafiği ŞİFRELER ve bütünlüğünü korur — aradaki birinin (örn. halka açık Wi-Fi'de) veriyi okuması/değiştirmesi zorlaşır. • ÖNEMLİ YANILGI: Kilit simgesi sitenin "güvenli/dürüst" olduğunu KANITLAMAZ. Bir oltalama sitesi de ücretsiz sertifika alıp HTTPS kullanabilir. Yani kilit = "bağlantı şifreli", DEĞİL "site güvenilir". • Doğru davranış: Adres çubuğundaki ALAN ADINI (domain) dikkatle oku. Asıl alan adı en sağdaki noktadan önceki kısımdır: "banka.guvenli-giris.com" aslında "guvenli-giris.com" sitesidir, banka değil. • "Bağlantı güvenli değil / sertifika hatası" uyarısını ASLA geçiştirme; özellikle giriş/ödeme sayfalarında geri dön. 2) SAHTE / TAKLİT SİTELERİ TANIMA (Typosquatting & Homograph) • Saldırganlar gerçeğe çok benzeyen alan adları kurar: "micr0soft.com" (o yerine sıfır), "paypa1.com" (l yerine 1), tireli/eklemeli türevler veya farklı uzantılar (.com yerine .co, .net). • Homograph saldırısı: Kiril/Yunan benzeri harflerle gözle ayırt edilemeyen alan adları. • İşaretler: acele ettiren dil ("hesabınız 24 saatte kapanacak"), bozuk Türkçe, beklenmedik giriş ekranı, çalışmayan bağlantılar, düşük kaliteli logo. • Doğru davranış: Hassas siteye (banka, e-posta, kurumsal portal) e-postadaki linkten DEĞİL, adresi elle yazarak veya kayıtlı yer iminden (bookmark) gir. YAPILMASI / YAPILMAMASI GEREKENLER (Do / Don't) YAP: • Tarayıcıyı ve eklentileri otomatik güncel tut (zafiyet yamaları kritik). • Yalnızca BT'nin onayladığı eklentileri kur; izinlerini (özellikle "tüm sitelerdeki verileri oku/değiştir") oku. • Dosyaları yalnızca resmî/bilinen kaynaktan indir; kurumsal antivirüs/tarama açık olsun. • Şüpheli URL'yi tıklamadan önce üzerine gelip (hover) gerçek hedefini gör. • İş ve kişisel tarayıcı profillerini/oturumlarını ayır. YAPMA: • Sertifika/güvenlik uyarısını "yine de devam et" diyerek geçme. • "Bilgisayarınız virüslü, hemen tara/ara" sahte pop-up'ına tıklama veya numara arama (teknik destek dolandırıcılığı). • Korsan yazılım, crack, "ücretsiz premium" sitelerinden indirme yapma (zararlı yazılım en sık buradan bulaşır). • Halka açık Wi-Fi'de VPN olmadan kurumsal sisteme/bankaya girme. • İş verisini kişisel bulut/çevrimiçi dönüştürücü sitelerine yükleme. 3) İNDİRME VE EKLENTİ GÜVENLİĞİ • En tehlikeli uzantılar yürütülebilir/makro içeren dosyalardır: .exe, .scr, .js, .bat, makro içeren .docm/.xlsm, parolalı .zip içindeki çalıştırılabilirler. • "Çift uzantı" tuzağı: "fatura.pdf.exe" — Windows uzantıyı gizlerse zararsız PDF gibi görünür. Dosya uzantısını gösteren ayarı açık tut. • Tarayıcı eklentileri geniş izin ister; kötü niyetli/ele geçirilmiş bir eklenti tüm gezinti ve form verinizi sızdırabilir. 4) TARAYICI VE OTURUM HİJYENİ • Otomatik kaydedilen parolaları kurumsal cihazda parola yöneticisi politikasına uygun kullan; ortak/paylaşımlı cihazda kaydetme. • İş bitince hassas oturumları kapat (logout); paylaşımlı bilgisayarda gizli/incognito pencere kullan. • Güvenli arama/Safe Browsing korumasını ve açılır pencere engelleyiciyi açık tut. 5) ISO 27001:2022 VE KVKK BAĞLANTISI • ISO 27001:2022 Annex A — A.5.10 (varlıkların kabul edilebilir kullanımı), A.6.3 (bilgi güvenliği farkındalık eğitimi), A.8.7 (kötü amaçlı yazılıma karşı koruma), A.8.8 (teknik zafiyet yönetimi/güncelleme), A.8.23 (web filtreleme) doğrudan güvenli web kullanımıyla ilgilidir. • KVKK (6698 sayılı Kanun) md.12: veri sorumlusu, kişisel verilerin hukuka aykırı erişimini önlemek için uygun teknik ve idari tedbirleri almakla yükümlüdür. Sahte siteye girilen kimlik/şifre veya zararlı yazılımla sızdırılan kişisel veri bir veri ihlalidir ve KVKK'ya göre Kurul'a ve ilgili kişilere bildirim gerektirebilir. • Özet ilke: Güvenli web davranışı bireysel bir alışkanlık değil, kurumun yasal ve sertifikasyon yükümlülüğünün parçasıdır.
• HTTPS/kilit yalnızca bağlantıyı şifreler — sitenin güvenilir olduğunu KANITLAMAZ; her zaman alan adını doğrula. • Sahte/taklit siteler yazım hatası ve benzer harf kullanır; hassas sitelere link yerine elle adres veya yer iminden gir. • Sertifika/güvenlik uyarısını geçiştirme; sahte 'virüs' pop-up'larını arama/indirme — sadece kapat ve BT'ye bildir. • İndirmeleri yalnızca resmî/onaylı kaynaktan yap; çift uzantı (.pdf.exe) ve makro içeren dosyalara dikkat et. • Tarayıcı ve eklentileri güncel tut, sadece onaylı eklenti kur; açık Wi-Fi'de VPN'siz kurumsal sisteme girme. • Güvenli web davranışı ISO 27001 Annex A (A.6.3/A.8.7/A.8.23) ve KVKK md.12 yükümlülüğünün parçasıdır.