Hedefli bir saldırı genellikle bir aramayla başlar. Hackerlar bir çalışanın iş unvanı, iş araçlarınızın adını veren bir işe alım gönderisi, ifşa olmuş bir e-posta adresi veya eski bir alt etki alanı gibi bilgileri arar. Tek başına bu ayrıntılar tehlikeli görünmez. Ancak saldırganlar, inandırıcı gelen bir kimlik avı e-posta kampanyası, sahte oturum açma sayfası veya kimlik taklidi araması oluşturmak için bilinçli olarak birçok küçük ipucu ve bilgi parçasını toplar.

Açık kaynaklı istihbarat (OSINT), kamuya açık bilgileri daha hedefli bir saldırıya hazırlığa dönüştürür. OSINT iş güvenliği stratejiniz, işletmenizin kendini nasıl koruduğudur. İşletmeler için zorluk iki yönlüdür: halihazırda ortada olanları denetlemek ve ilk etapta neyin var olduğunu bilmek, ardından hangi kamuya açık ayrıntıların müşterilere, adaylara ve iş ortaklarına yardımcı olduğunu, hangilerinin sessizce saldırganların kişilerinizi, araçlarınızı, kimlik doğrulama bilgilerinizi ve erişim noktalarınızı haritalandırmasına yardımcı olduğunu değerlendirmek.

Siber güvenlikte OSINT ne anlama gelir

Siber güvenlik bağlamında OSINT, olası saldırı yollarını belirlemek için kamuya açık bilgilerin kullanılmasıdır. Bilgiler arama motorları, sosyal medya, şirket siteleri, iş panoları, kamuya açık kod depoları ve bir sisteme sızmak gerektirmeyen diğer kaynaklardan gelebilir.

Saldırganlar bir işletme hakkında pratik soruları yanıtlamak için OSINT kullanır, örneğin:

  • Burada kim çalışıyor?
  • Ödemeleri kim onaylıyor?
  • Şirket hangi araçları kullanıyor?
  • E-posta biçimi nasıl görünüyor?
  • Hangi tedarikçiler veya müşteriler güvenilir olabilir?
  • Hangi hesaplar zaten ifşa olmuş olabilir?
  • Hangi sistemler internete açık?

OSINT, hackerların saldırılarını inandırıcı kılan ayrıntılar verir. Genel bir dolandırıcılık sadece eylem talep eder, ancak araştırılmış bir dolandırıcılık belirli bir kişiyi hedefler, tanıdıkları veya güvenmek için nedeni olan birinden gönderilir ve gerçek bir iş projesinden veya kamuya açık olmayan bilgilerden bahseder.

Birleşik Krallık’ın Siber Güvenlik İhlalleri Araştırması 2024(yeni pencere)⁠, Birleşik Krallık’taki işletmelerin yarısının son 12 ayda bir siber güvenlik ihlali veya saldırısı tespit ettiğini bildirdiğini ortaya koydu. Kimlik avı girişimi, etkilenen işletmeler arasında en yaygın ihlal veya saldırı türü olmaya devam etti. OSINT, kimlik avı girişimiyle aynı şey değildir, ancak hackerların kimlik avı girişimini daha inandırıcı hale getirmek ve çalışanların yok saymasını zorlaştırmak için kullanabileceği bir varlıktır.

Saldırganlar işletmeniz hakkında neler öğrenebilir

Hackerlar bilgi toplamak için çeşitli farklı yöntemler kullanır. İşte en yaygın ve etkili yollardan bazıları.

Kişiler

LinkedIn, şirket biyografi sayfaları, konferans gündemleri, podcast’ler, web seminerleri ve basın haberleri; isimleri, iş unvanlarını, raporlama hatlarını, kıdemi, konumları ve sorumluluk alanlarını ortaya çıkarabilir. Bu, saldırganların kimi taklit edeceğini ve kime baskı yapacağını seçmesine yardımcı olur.

Örneğin, bir CFO’nun adını, şirketin e-posta biçimini ve finans ekibinin mevcut yazılımını bilen bir saldırgan, sıradan istenmeyen e-postalardan çok daha az genel hissettiren bir ileti oluşturabilir. Talep gerçek bir tedarikçiden bahsedebilir, işletme içinde var olan bir ödeme sürecine atıfta bulunabilir veya ekip zaten faturayla ilgili iletişim beklerken gelebilir. Bu bilgilerin hiçbiri güvenli bir sisteme erişim gerektirmez.

Araçlar

İş ilanları genellikle adayların bilmesi beklenen platformlardan bahseder: CRM’ler, bordro araçları, yardım masası yazılımı, analitik platformlar, iş birliği araçları ve geliştirici ortamları. Kamuya açık incelemeler, vaka çalışmaları, entegrasyonlar ve çalışan profilleri daha da fazlasını ortaya çıkarabilir.

Araç ifşası, saldırganların kimlik avı bahanelerini uyarlamasına yardımcı olur. “Hesabınız işaretlendi” diyen bir kimlik avı e-postası inandırıcı değildir, ancak ekibin kullandığı tam CRM, İK sistemi veya iş birliği aracını adıyla belirten bir ileti inandırıcıdır.

Teknik ayak izi

Alt etki alanları, ifşa olmuş hizmetler, sertifika kayıtları, eski hazırlık ortamları ve yanlış yapılandırılmış oturum açma sayfaları, bir işletmenin çevrim içi sistemlerinin nerede olduğunu ortaya çıkarabilir. Saldırganlar ayrıca eski kimlik doğrulama bilgileri, API anahtarları, dahili URL’ler veya geliştirme sırasında yanlışlıkla gönderilen yapılandırma dosyalarını içeren kamuya açık depoları arayabilir.

İhlal verileri

Önceki ihlallerde ifşa olan e-posta adresleri, kullanıcı adları, parolalar, telefon numaraları ve diğer kişisel veya işle ilgili ayrıntılar, sonraki bir saldırı için ham madde haline gelebilir. Proton’un Veri İhlali Gözlemevi⁠, sızdırılan verilerin orijinal olaydan sonra nasıl risk yaratmaya devam edebileceğini gösterir; özellikle kimlik doğrulama bilgileri, kişi bilgileri ve çalışan bilgileri bir işletmeye bağlanabildiğinde.

OSINT hedefli saldırıları nasıl güçlendirir

OSINT, saldırganlar toplanan verileri inandırıcı bir hikaye oluşturmak için kullandığında tehlikeli hale gelir. Çalışan profilleri yayınlayan, müşteri logolarını listeleyen, iş ilanlarında yakın zamanda bir CRM geçişinden bahseden ve öngörülebilir bir e-posta biçimi kullanan bir işletme düşünün. Bir finans çalışanı daha sonra üst düzey bir yöneticiden geliyormuş gibi görünen, gerçek bir tedarikçiye atıfta bulunan ve acil ödeme desteği isteyen bir ileti alır. E-postanın yalnızca şüpheyi azaltmak için yeterince tanıdık ayrıntı içermesi gerekir.

Aynı model kimlik doğrulama bilgilerine yönelik saldırılar için de geçerlidir. Bir saldırgan, ihlal verilerinde bir çalışanın iş e-postasını bulur, LinkedIn’de kişinin operasyonda çalıştığını görür ve iş ilanlarından şirketin belirli bir SaaS platformu kullandığını öğrenir. Bir sonraki kimlik avı iletisi o platformu taklit edebilir ve çalışanın rolüne uyan bir dille gelebilir.

Telefon dolandırıcılıkları da OSINT tarafından şekillendirilebilir. Şirketin BT sağlayıcısını, bir departman başkanının adını veya bir projenin zamanlamasını bilen bir arayan kişi meşru görünür. Bu nedenle OSINT ve sosyal mühendislik iç içedir: kamuya açık bilgiler, saldırganlara insanları gerçek zamanlı olarak manipüle etmek için gereken güveni ve ayrıntıyı verir.

İşletme nihai saldırıyı kimlik avı girişimi, vishing, hesap devralma, fatura dolandırıcılığı veya kimlik doğrulama bilgisi hırsızlığı olarak yaşayabilir. Temel çalışma baştan itibaren OSINT olabilir.

Sızdırılan kimlik doğrulama bilgileri de OSINT’tir

İhlal verileri genellikle doğrudan bir hesap devralma riski olarak tartışılır: bir parola sızdığında, saldırganlar onu birden fazla giriş noktasında deneyebilir. Bu hala ciddi bir sorundur, özellikle çalışanlar hizmetler arasında parolaları yeniden kullandığında.

Ancak sızdırılan kimlik doğrulama bilgileri, saldırganların hesabın arkasındaki işletmeyi anlamasına da yardımcı olabilir. İfşa olmuş bir e-posta adresi, bir çalışanın hangi hizmetleri kullandığını doğrulayabilir; eski parolalar, telefon numaraları ve tekrarlanan şirket etki alanları ise gelecekteki kimlik avı, vishing veya hesap devralma girişimleri için bağlam ekleyebilir. İhlal başka bir yerde meydana gelmiş olabilir, ancak bilgiler yine de bir saldırganın ekibiniz hakkında daha doğru bir resim oluşturmasına yardımcı olabilir.

Proton’un Veri İhlali Gözlemevi, ifşa olan verilerin kimlik avı, kimlik doğrulama saldırıları ve daha geniş sosyal mühendislik faaliyetlerini nasıl destekleyebileceğini vurgular. Ayrıca sızdırılan verilerin, ilk ihlal bildirildikten sonra saldırganlar için faydalı olmaktan çıkmadığını da vurgular. Bu veriler yeniden kullanılabilir, birleştirilebilir ve gelecekteki hedefleme için yeniden şekillendirilebilir.

İfşa olmuş iş e-postalarını ve kimlik doğrulama bilgilerini izlemek, kuruluşların değiştirilmesi gereken paroladan daha fazlasını görmesine yardımcı olur. Çalışanların iş adreslerini nerede kullandığını, hangi hizmetlerin işletmeye bağlı olabileceğini ve aynı kimliğin birden fazla sızıntıda görünüp görünmediğini ortaya çıkarabilir.

Bu esastır çünkü saldırganlar bilgileri yalnızca eski parolaları denemek için değil, aynı zamanda gelecekteki kimlik avı, vishing veya kimlik taklidi girişimlerini daha spesifik hissettirmek için yeniden kullanabilir. Sızdırılan bir kimlik doğrulama bilgisi nadiren yalnızca izole bir kimlik doğrulama bilgisidir. Bir sonraki saldırıyı daha etkili kılan arka plan araştırmasının bir parçası haline gelebilir.

Saldırganların kamuya açık kaynaklardan öğrenebileceklerini azaltın

Hiçbir işletme kendini kamuya açık görünümden tamamen kaldıramaz ve bu kimsenin amacı olmamalıdır. Müşteriler, adaylar ve iş ortakları, kim olduğunuzu ve sizinle nasıl çalışacaklarını anlamak için hala yeterli bilgiye ihtiyaç duyar.

Risk, bu amacın ötesine geçen ayrıntıları yayınlamaktır: dahili araç adları, doğrudan iletişim kalıpları, onay iş akışları veya saldırganlara işletmenin nasıl çalıştığına dair daha keskin bir resim veren teknik ipuçları.

  • Kamuya açık bilgilerinizle başlayın. Şirket sayfalarını, ekip biyografilerini, basın bültenlerini, vaka çalışmalarını, yardım merkezi makalelerini, iş ilanlarını, sosyal medya gönderilerini ve kamuya açık belgeleri gözden geçirin. Dahili sistemleri, onay süreçlerini, erişim yollarını veya hassas iş akışlarını ortaya çıkaran ayrıntıları arayın.
  • İş ilanları özel ilgiyi hak eder. Adayların kullanacakları araçların geniş kategorilerini bilmeleri gerekebilir, ancak kamuya açık ilanların her SaaS platformunu, güvenlik ürününü, CRM’i, ödeme aracını, bulut sağlayıcısını veya dahili iş akışını adlandırması her zaman gerekli değildir. Araç listesi ne kadar spesifik olursa, sahte bir oturum açma istemi, destek iletisi veya satıcı talebi hazırlamak o kadar kolaylaşır.
  • Çalışan bilgileri de denge gerektirir. Kıdem, rol ve uzmanlık paylaşmak için uygun olabilir, ancak doğrudan telefon numaraları, kişisel ayrıntılar, seyahat kalıpları, dahili proje adları veya gereksiz raporlama yapısı ayrıntıları saldırganlara daha fazla çalışma malzemesi verebilir.
  • Kamuya açık kod depoları düzenli olarak gözden geçirilmelidir. Eski projeler, test dosyaları, belgeler veya yapılandırma örnekleri, kamuya açık olmaması gereken sırlar içerebilir. Kimlik doğrulama bilgilerinin süresi dolmuş olsa bile, dahili URL’ler, adlandırma kuralları ve hizmet referansları saldırganların ortamı anlamasına hala yardımcı olabilir.

Saldırganların bulduklarının değerini azaltın

OSINT her zaman var olacaktır çünkü işletmelerin görünür olması gerekir. Amaç, mevcut gereksiz bilgi miktarını azaltmak ve saldırganların buldukları ayrıntılarla yapabileceklerini sınırlamaktır.

Kamuya açık bilgiler, gereksiz ifşayı azaltmak için ilk yerdir. İş ilanları, şirket profilleri, çalışan sayfaları, depolar, alt etki alanları ve eski belgeler, insanlara işletmeye güvenmeleri ve anlamaları için yeterli bağlamı sağlamalıdır; perde arkasında nasıl çalıştığına dair ayrıntılı bir görünüm değil. Dahili araç adları, teknik ipuçları veya süreç ayrıntıları kamuya açık olarak gerekli olmadığında, görünümün dışında tutulmaları daha iyidir.

Kimlik doğrulama kontrolleri de aynı derecede önemlidir. İfşa olmuş e-posta adresleri ve sızdırılmış parolalar, eyleme dönüştürülmesi en kolay OSINT sinyallerinden bazılarıdır. Benzersiz parolalar, MFA, geçiş anahtarları, güvenli paylaşım, ihlal izleme ve kontrollü erişim, keşif çalışmalarını daha az faydalı hale getirir.

Yol haritası yayınlamadan teknik ayak izinizi gözden geçirin

Teknik maruziyet de OSINT’in bir parçasıdır. Etki alanları, alt etki alanları, oturum açma portalları, bulut hizmetleri, geliştirme ortamları, API uç noktaları ve herkese açık depolar, saldırganların bir işletmenin çevrim içi nasıl yapılandırıldığını anlamasına yardımcı olabilir.

Düzenli bir inceleme, kasıtlı olarak herkese açık olan şeyleri yayımlanmış ve unutulmuş olanlardan ayırmaya yardımcı olur. Eski hazırlık sayfaları, kullanılmayan alt etki alanları, varsayılan hizmet ekranları, güncel olmayan belgeler, açığa çıkmış yapılandırma notları ve dahili referanslar içeren herkese açık depolar acil görünmeyebilir, ancak keşif çalışmalarını kolaylaştırabilirler.

Birçok düzeltme basittir: eski sayfaları kaldırın, erişimi kısıtlayın, belgeleri güncelleyin, açığa çıkmış sırları değiştirin veya dahili ayrıntıları herkese açık depolardan çıkarın. Diğer bulgular yalnızca net bir sahip ve görünür kalması için bir neden gerektirebilir. Herkese açık maruziyet, bir ihmal yerine bir karar haline gelir.

OSINT kontrollerini güvenlik rutinlerine dahil edin

OSINT maruziyeti statik değildir. Bir işletme yeni bir şey yayımladığında, bir iş akışını değiştirdiğinde, bir pozisyon için işe alım yaptığında, bir proje başlattığında, bir tedarikçi sayfasında göründüğünde veya bir ele geçirilme olayında çalışan verileri açığa çıktığında her seferinde büyür. Her güncelleme tek başına zararsız görünür, ancak zamanla saldırganlara şirketin çalışanları, araçları, ilişkileri ve erişim noktaları hakkında daha net bir görünüm sunabilir.

Basit bir dizi kontrol ve inceleme yardımcı olabilir:

  • Herkese açık işletme bilgilerini üç ayda bir inceleyin
  • İş ilanlarını yayımlamadan önce gereksiz araç veya iş akışı ayrıntıları açısından kontrol edin
  • İş e-posta adreslerinin ele geçirilme durumunu izleyin
  • Herkese açık depoları ve açığa çıkmış hizmetleri inceleyin
  • Departman yöneticilerine, herhangi bir herkese açık bilginin hassas süreçleri veya erişim kalıplarını açığa çıkarıp çıkarmadığını sorun.

Bilgiler herkese açık hale gelmeden önce, birileri her zaman şunu sormalı: bu, bir saldırganın daha inandırıcı bir ileti, arama veya oturum açma girişimi oluşturmasına yardımcı olabilir mi?

Kimlik doğrulama bilgilerini takma adlarla ilişkilendirmeyi zorlaştırın

E-posta takma adları, saldırganların hizmetler arasında bağlantı kurabileceği bilgi miktarını azaltmaya yardımcı olabilir. Aynı e-posta adresi her hizmet için kullanıldığında, hesapları ilişkilendirmek, ele geçirilme verilerini aramak, oturum açma portallarını tahmin etmek ve çalışanın veya işletmenin profilini oluşturmak daha kolay hale gelir.

Bazı iş akışları için standart bir e-posta adresi gereklidir. Çalışanların iş, müşteriler ve iş birliği için istikrarlı kimliklere ihtiyacı vardır. Ancak takma adlar, kayıtlar, bültenler, denemeler, satıcı testleri, etkinlikler veya kişinin birincil iş adresini gerektirmeyen hizmetler için yararlı olabilir.

E-posta takma adları kullanışlıdır çünkü saldırganların aksi takdirde aynı çalışana, ekibe veya iş adresine bağlayacağı hesapları ayırırlar. Ayrıca maruziyetin izlenmesini kolaylaştırabilirler. Bir satıcı için oluşturulan bir takma ad, ilgisiz oturum açma girişimleri veya kimlik avı iletileri almaya başladığında, işletme o adresin nerede açığa çıkmış olabileceğine dair daha net bir sinyale sahip olur.

Takma adlar, Proton Pass for Business gibi bir iş parola yöneticisi ile eşleştirildiğinde en iyi şekilde çalışır. Her hesap yine de benzersiz bir parola, kontrollü depolama alanı ve net sahiplik gerektirir. Bu yapı olmadan, takma adlar çalışanların kendi başlarına yönetmesi için başka bir manuel alışkanlık haline gelebilir.

Proton Pass for Business ile OSINT’i yönetin

Proton Pass for Business gibi bir iş parola yöneticisi, ele geçirilme durumlarını izlemenize ve kimlik doğrulama bilgileri sağlığı özellikleriyle ağınızı korumanıza yardımcı olabilir. Proton Pass for Business ile ekipler benzersiz parolalar oluşturabilir, bunları şifrelenmiş parola kasalarında saklayabilir, otomatik doldurmayı kullanabilir, kimlik doğrulama bilgilerini güvenli bir şekilde paylaşabilir, geçiş anahtarlarını yönetebilir ve yerleşik iki adımlı doğrulamayı (2FA) kullanabilir.

İlkeler, raporlama, günlükler, rol tabanlı erişim kontrolü, SCIM sağlama ve SSO entegrasyonu gibi yönetici özellikleri, işletmelerin büyüdükçe kimlik doğrulama bilgilerine erişimi daha kontrollü tutmasına yardımcı olur.

Bir iş parola yöneticisi OSINT maruziyetini ortadan kaldırmaz, ancak saldırganların bulduğu bilgileri daha az kullanışlı hale getirebilir. Kimlik doğrulama bilgileri benzersiz olduğunda, şifrelenmiş kasalarda saklandığında, onaylanmış alanlar aracılığıyla paylaşıldığında ve 2FA veya geçiş anahtarlarıyla korunduğunda, sızdırılmış bir parola veya inandırıcı bir sahte oturum açma sayfasının daha geniş erişime dönüşme olasılığı azalır. Ayrıca çalışanlara uyması için daha net bir kural verir: iş kimlik doğrulama bilgileri parola yöneticisinin içinde kalmalı, e-postalarda, sohbetlerde, hesap tablolarında veya telefon görüşmelerinde değil.

Saldırganlar yine de işletmenizi araştıracaktır. Soru şu: ne kadar öğrenebilirler, bu resim ne kadar doğru ve bununla ne kadar ileri gidebilirler.

Bir iş parola yöneticisi ile işletmenizin kimlik doğrulama bilgileri maruziyetini azaltın⁠.