-
Sadrazamv4
ig:sadrazam_v4 tg: Sadrazam.spy
================================================================================
🛡️ SOSYAL MÜHENDİSLİK VE İNSAN HACKLEME DERSLERİ: BÖLÜM 4
Fiziksel Sosyal Mühendislik, Kurum İçi Sızma ve USB Drop Saldırıları
================================================================================
GİRİŞ 📌
--------------------------------------------------------------------------------
Üçüncü bölümde Pretexting kavramını, oltalama (Phishing/Whaling) türlerini, e-posta
sahteciliği mekanizmalarını (Mail Spoofing) ve SPF/DKIM/DMARC protokollerini
incelemiştik.
Bu bölümde ise saldırı ortamını dijitalden fiziksel dünyaya taşıyoruz. Bir kurumun
fiziksel güvenlik çemberini aşma tekniklerini, **Tailgating (Arkadan Sızma)**,
**Dumpster Diving (Çöp Karıştırma)**, **USB Drop (Zararlı Medya Bırakma)** ve sahte
kimlik/üniforma ile binalara giriş stratejilerini ele alacağız.
1. FİZİKSEL SIZMA VE GÜVENLİK ÇEMBERLERİNİN AŞILMASI
--------------------------------------------------------------------------------
Birçok kurum ağ güvenlik duvarlarına binlerce dolar harcarken, bina girişindeki
turnikeleri ve resepsiyonu basit insani zaaflar nedeniyle korumasız bırakır.
* Tailgating (Arka Arkaya Geçiş) ve Piggybacking:
- **Tailgating:** Yetkili bir personelin turnike veya kartlı kapıdan geçişi sırasında,
arkasından çaktırmadan sokularak kapı kapanmadan içeri girme tekniğidir.
- **Piggybacking:** Kurbanın nezaketini istismar etmektir. Saldırgan iki elinde
ağır koliler veya kahve tepsisiyle kapıya yaklaşır; kurban nezaket göstererek
kapıyı saldırgana tutar.
* Impersonation (Üniforma ve Sahte Yaka Kartı ile Sızma):
- Kargo görevlisi, teknik servis elemanı, su tesisatçısı veya temizlik görevlisi
kılığında binaya girmek.
- İnsanlar üniformalı çalışanları sorgulamama ve onlara yardımcı olma eğilimindedir
(Otorite ve Sosyal Kanıt İlkeleri).
2. DUMPSTER DIVING (ÇÖP KARIŞTIRMA VE BİLGİ MADENCİLİĞİ)
--------------------------------------------------------------------------------
Kurumların veya çalışanların "çöp" diyerek imha etmeden attığı belgeler, sosyal
mühendisler için altın değerinde bir istihbarat kaynağıdır.
* Ele Geçirilebilecek Critical Veriler:
- İmha edilmemiş personel listeleri, telefon rehberleri, organizasyon şemaları.
- Post-it kağıtlarına yazılmış sistem şifreleri, IP adresleri ve iç portal linkleri.
- Müşteri verileri, faturalar, banka dekontları ve basılı e-posta çıktıları.
* Korunma Yöntemi:
- Tüm hassas belgelerin çapraz kesim evrak imha makinelerinden (Shredder) geçirilmesi
ve "Temiz Masa / Temiz Ekran" (Clean Desk Policy) politikasının uygulanması.
3. USB DROP VE ZARARLI MEDYA SALDIRILARI (BAIT KICKING)
--------------------------------------------------------------------------------
İnsanların en büyük zaaflarından biri olan **Merak** ve **Kazanç Hırsı** istismar
edilerek yapılan fiziksel-dijital hibrit bir saldırı türüdür.
* Saldırı Senaryosu:
- Saldırgan; içine zararlı yazılım (Rubber Ducky, Payload barındıran belge)
yüklediği USB bellekleri şirket otoparkına, kafeteryaya, tuvaletlere veya
sigara içme alanlarına bırakır.
- Belleğin üzerine merak uyandıracak etiketler yapıştırılır:
* "2026_Maaş_Zam_Listesi.xlsx"
* "Yönetim_Kurulu_Özel_Kararlar.pdf"
* "IK_Kidem_Tazminatları.docx"
* Çalışma Mantığı:
- Belleği bulan çalışan merakına yenik düşerek USB'yi şirket bilgisayarına takar.
- USB içindeki HID (Human Interface Device) emulatoru veya makro barındıran belge
çalışarak arka planda komut satırını (PowerShell/CMD) tetikler ve saldırgana
iç ağa erişim yetkisi (Reverse Shell) verir.
4. BÖLÜM ÖZETİ VE GELECEK BÖLÜM
--------------------------------------------------------------------------------
Fiziksel sosyal mühendislik; turnikeleri, güvenlik görevlilerini ve kamera sistemlerini
insani duygularla bypass eder. Bir kez binaya girmeyi başaran saldırgan, boş bir
toplantı odasından ağ prizine (Ethernet) doğrudan kanca atabilir veya USB drop ile
iç ağı ele geçirebilir.
Gielecek Bölüm (Bölüm 5 - FİNAL):
- Sosyal Mühendislik Sızma Testi (Red Team) Raporlama ve Ölçümleme
- Kurumsal Savunma (Blue Team): İnsan Odaklı Güvenlik Mimarısı
- Güvenlik Farkındalığı Eğitimleri (Security Awareness Training)
- Oltalama Simülasyonları ve Şüpheli Bildirim Mekanizmaları
- Sosyal Mühendislik Dersleri Genel Özeti ve Kurs Kapanışı
================================================================================
Bölüm 4 So
nu.
================================================================================
🛡️ SOSYAL MÜHENDİSLİK VE İNSAN HACKLEME DERSLERİ: BÖLÜM 4
Fiziksel Sosyal Mühendislik, Kurum İçi Sızma ve USB Drop Saldırıları
================================================================================
GİRİŞ 📌
--------------------------------------------------------------------------------
Üçüncü bölümde Pretexting kavramını, oltalama (Phishing/Whaling) türlerini, e-posta
sahteciliği mekanizmalarını (Mail Spoofing) ve SPF/DKIM/DMARC protokollerini
incelemiştik.
Bu bölümde ise saldırı ortamını dijitalden fiziksel dünyaya taşıyoruz. Bir kurumun
fiziksel güvenlik çemberini aşma tekniklerini, **Tailgating (Arkadan Sızma)**,
**Dumpster Diving (Çöp Karıştırma)**, **USB Drop (Zararlı Medya Bırakma)** ve sahte
kimlik/üniforma ile binalara giriş stratejilerini ele alacağız.
1. FİZİKSEL SIZMA VE GÜVENLİK ÇEMBERLERİNİN AŞILMASI
--------------------------------------------------------------------------------
Birçok kurum ağ güvenlik duvarlarına binlerce dolar harcarken, bina girişindeki
turnikeleri ve resepsiyonu basit insani zaaflar nedeniyle korumasız bırakır.
* Tailgating (Arka Arkaya Geçiş) ve Piggybacking:
- **Tailgating:** Yetkili bir personelin turnike veya kartlı kapıdan geçişi sırasında,
arkasından çaktırmadan sokularak kapı kapanmadan içeri girme tekniğidir.
- **Piggybacking:** Kurbanın nezaketini istismar etmektir. Saldırgan iki elinde
ağır koliler veya kahve tepsisiyle kapıya yaklaşır; kurban nezaket göstererek
kapıyı saldırgana tutar.
* Impersonation (Üniforma ve Sahte Yaka Kartı ile Sızma):
- Kargo görevlisi, teknik servis elemanı, su tesisatçısı veya temizlik görevlisi
kılığında binaya girmek.
- İnsanlar üniformalı çalışanları sorgulamama ve onlara yardımcı olma eğilimindedir
(Otorite ve Sosyal Kanıt İlkeleri).
2. DUMPSTER DIVING (ÇÖP KARIŞTIRMA VE BİLGİ MADENCİLİĞİ)
--------------------------------------------------------------------------------
Kurumların veya çalışanların "çöp" diyerek imha etmeden attığı belgeler, sosyal
mühendisler için altın değerinde bir istihbarat kaynağıdır.
* Ele Geçirilebilecek Critical Veriler:
- İmha edilmemiş personel listeleri, telefon rehberleri, organizasyon şemaları.
- Post-it kağıtlarına yazılmış sistem şifreleri, IP adresleri ve iç portal linkleri.
- Müşteri verileri, faturalar, banka dekontları ve basılı e-posta çıktıları.
* Korunma Yöntemi:
- Tüm hassas belgelerin çapraz kesim evrak imha makinelerinden (Shredder) geçirilmesi
ve "Temiz Masa / Temiz Ekran" (Clean Desk Policy) politikasının uygulanması.
3. USB DROP VE ZARARLI MEDYA SALDIRILARI (BAIT KICKING)
--------------------------------------------------------------------------------
İnsanların en büyük zaaflarından biri olan **Merak** ve **Kazanç Hırsı** istismar
edilerek yapılan fiziksel-dijital hibrit bir saldırı türüdür.
* Saldırı Senaryosu:
- Saldırgan; içine zararlı yazılım (Rubber Ducky, Payload barındıran belge)
yüklediği USB bellekleri şirket otoparkına, kafeteryaya, tuvaletlere veya
sigara içme alanlarına bırakır.
- Belleğin üzerine merak uyandıracak etiketler yapıştırılır:
* "2026_Maaş_Zam_Listesi.xlsx"
* "Yönetim_Kurulu_Özel_Kararlar.pdf"
* "IK_Kidem_Tazminatları.docx"
* Çalışma Mantığı:
- Belleği bulan çalışan merakına yenik düşerek USB'yi şirket bilgisayarına takar.
- USB içindeki HID (Human Interface Device) emulatoru veya makro barındıran belge
çalışarak arka planda komut satırını (PowerShell/CMD) tetikler ve saldırgana
iç ağa erişim yetkisi (Reverse Shell) verir.
4. BÖLÜM ÖZETİ VE GELECEK BÖLÜM
--------------------------------------------------------------------------------
Fiziksel sosyal mühendislik; turnikeleri, güvenlik görevlilerini ve kamera sistemlerini
insani duygularla bypass eder. Bir kez binaya girmeyi başaran saldırgan, boş bir
toplantı odasından ağ prizine (Ethernet) doğrudan kanca atabilir veya USB drop ile
iç ağı ele geçirebilir.
Gielecek Bölüm (Bölüm 5 - FİNAL):
- Sosyal Mühendislik Sızma Testi (Red Team) Raporlama ve Ölçümleme
- Kurumsal Savunma (Blue Team): İnsan Odaklı Güvenlik Mimarısı
- Güvenlik Farkındalığı Eğitimleri (Security Awareness Training)
- Oltalama Simülasyonları ve Şüpheli Bildirim Mekanizmaları
- Sosyal Mühendislik Dersleri Genel Özeti ve Kurs Kapanışı
================================================================================
Bölüm 4 So
nu.
================================================================================
