Aldatma Sanatı, Kevin David Mitnick‘in güvenlik ve toplum mühendisliği üzerine yazdığı kitabı. En iyi güvenlikçi, yasa dışı yolları kullanmış bir saldırgansa, Nasa uydularını bile yörüngesinden saptırmış birinin güvenlik önerilerini ciddiye almakta fayda var.Aldatma Sanatı - Kevin Mitnick

Aldatma Sanatı‘nda konu öyküler üzerinden anlatılıyor. Saldırının gelişimi ve aldatmacanın incelenmesi var her öyküde. Bazıları Mitnick’in kendi başından geçenler. Yazıların kenarlarında da kullanılan terimlerin açıklama kutuları bulunuyor. Terimlere yabancı biri için iyi düşünülmüş. Kitaptaki güzel yerlerden biri de neredeyse her öyküde Mitnick’in bir ileti kutusu bulunuyor olması. Konu hakkındaki önemli kısımları ayrıca vurguluyor.

Çeviren Nejat Eralp Tezcan‘dan da bahsetmek lazım. Terimlerin çokluğuna rağmen güzel bir çeviri olduğu söylenebilir.

Toplum mühendisi deyişini bir yerlerde duymuşsunuzdur. Duymadıysanız garip gelmesin. Mühendislerin yaptığı çözümleme, sonuca gitme işlerini insanlar üzerinde yaptıkları için bu kişilere toplum mühendisi demişler. Bu tanım tabi çok dar.

Kitaptan altını çizdiklerim:

  • İlk korsanlık deneyimlerimin arkasındaki itici gücün korsan grubunda kabul görmek isteği olduğunu bilmeniz yeterli.
  • Güvenlik bir ürün değil bir süreçtir.
  • Kişi, arayanın gerçekte söylediği kişi olup olmadığını doğrulamadan soruları yanıtlamaya bu kadar hevesli olmamalıydı.
  • Bir sonraki adımı, elindekini bir poker markası gibi kullanarak daha değerli bir şeye dönüştürmek olacaktı.
  • Tıpkı bir bulmacanın parçaları gibi her bilgi kendi başına ilgisiz durabilir. Ancak parçalar bir araya getirildiğinde, açık bir resim oluşur. Bu olayda toplum mühendisinin gördüğü resim şirketin iç yapısının tamamı olmuştur.
  • Bütün toplum mühendisliği saldırılarının tamamlanmadan fark edilecek kadar karmaşık düzenler içerdiklerini sakın düşünmeyin. Bazıları gir-çık ya da vur-kaç şeklinde çok basit saldırılardır ve … kısacası, yalnızca istemek üzerine kuruludurlar.
  • Telefonla arayan birinin ya da bir ziyaretçinin, şirketteki bazı kişilerin adlarını ya da şirket içi terimleri ya da süreçleri biliyor olması, onun iddia ettiği kişi olduğunu göstermez.
  • Bugünün ortamında çalışanların yaptığı neredeyse her şey bilgi kullanımını içermektedir. Bu yüzden şirket güvenlik kurallarının konumdan bağımsız olarak kurum içine dağıtılması gerekmektedir.
  • Aksi yönde düşünmemizi gerektirecek bir şey yoksa, kurduğumuz bir iletişimde kandırılma olasılığımızın düşük olduğunu düşünmek insan doğasının bir gereğidir.

Aldatma sanatı, güven, tokalaşma

  • Çalışan olduğunu öne süren ve şirket içi süreçleri ve terimleri bilen kişilere karşı insanların daha yüksek bir güven duyması doğaldır.
  • Saldırgan, hedefini, aslında var olmayan bir sorunu olduğuna inandırarak kendi ağına düşürür. Sorun, bu olayda olduğu gibi, henüz gerçekleşmemiş ama saldırganın gerçekleşeceğini bildiği çünkü kendisinin neden olacağı bir sorun da olabilir. Sonra da kendisini sorunu çözebilecek kişi olarak tanıtır.
  • Asıl amacından bağımsız olarak bir toplum mühendisinin bir çalışandan isteyeceği en temel bilgiler, hedefin tanımlama verileridir.
  • Çoğu zaman kurban, ona yardım ettiğinizde ya da bir iyilik yapmaya çalıştığınıza inanırsa, başka zamanlarda özenle koruyacağı gizli bilgileri sizinle paylaşacaktır.
  • Bilgilerinizi korumak için güvenlik duvarlarına ve başka koruyucu unsurlara bel bağlamayın. En zayıf noktanıza bakın. Bu açığın çoğunlukla çalışanlarınızda olduğunu göreceksiniz.
  • Gizlilik üzerinden güvenlik sistemleri toplum mühendisliği saldırılarını engellemekte etkisizdirler.
  • Hediye veren saçmalıklara dikkat edin, yoksa şirketinizin başına Truva kentinin başına gelenler gelebilir.
  • Çalışanlar gerekli şekilde eğitilmediği ve yetiştirilmediği sürece, öyküde geçen terk edilmiş kadın gibi kararlı insanlar, pek çok dürüst insanın olanaksız olduğunu düşündüğü şeyleri yapabilirler.
  • Hedef şirkette işlerin nasıl yürüdüğünü öğrendikten sonra, toplum mühendisinin bu bilgiyi kullanarak gerçek çalışanlarla ahbaplık kurması kolaylaşır.
  • Kurban, ortak tanıdıkları olan birine daha çok yardım etme eğilimindedir.
  • Üst düzey yöneticilerin adını kullanarak sindirme numarası özellikle karşı taraf, şirkette oldukça alt seviyelerdeyse çok işe yarar. Önemli birinin adının geçmesi yalnızca olağan isteksizliğin ya da şüpheciliğin üstesinden gelmekle kalmaz, kişiyi yardımcı olmak için daha istekli yapar.
  • Belki de arayana yardım etmek günlük döngünün sıradanlığında bir değişiklik yarattığı için kurban isteğin ne kadar olağan dışı olduğuna dikkat etmiyordur.
  • Temel şart, psikolojik kurallara dayalı istemsiz bir tepkiyi tetiklemek ve arayanı bir müttefik olarak gördükleri zaman insanların zihinlerinde oluşan kısayollara güvenmektir.
  • Toplum mühendisi, aradığı bilginin değerini tam olarak bilmeyen bir çalışanı hedefleyecektir; böylece hedef, tanımadığı birinin isteğini yerine getirmeye daha meyilli olacaktır.güvenlik sistemi, aldatma sanatı
  • İşlerinde ve şirketlerinde kullandıkları terimleri biliyorsanız insanlar size güvenirler. Yakın çevrelerinin bir parçasıymış gibi görünürsünüz. Gizli bir tokalaşma gibidir.
  • Para ya da mal çaldığınızda birileri onun kaybolduğunu anlarlar. Bilgi çaldığınızda çoğu zaman bunu kimse fark etmez, çünkü bilgi hâlâ ellerindedir.
  • Toplum mühendisleri nedenlerle ilgilenmezler; yalnızca bu küçük gerçeğin, aksi durumda alınması zor olacak bilgileri almalarını kolaylaştırmasıyla ilgilenirler.
  • Sizin çöpünüz düşmanınızın hazinesi olabilir. Özel yaşamımızda attığımız eşyaların çok üzerinde durmayız; o zaman neden iş yerindeki insanların farklı bir yaklaşımı olması gerektiğine inanıyoruz?
  • Deneyimlerin ve istatistiklerin açıkça gösterildiğine göre şirkete en büyük tehlike içeriden gelmektedir.
  • O zamanlar amacım fazla su yüzüne çıkmaktı. İyi bir toplum mühendisi, insanların her zaman sizi hafife almalarını istersiniz, tehlike olarak görmelerini değil.
  • Yüz yüze yapılmamış herhangi bir istek, istek sahibinin kimliğini kontrol etmeden yerine getirilmemelidir; nokta.
  • Bir saldırgan bir bilgisayar sistemine ya da ağına kendi ulaşamıyorsa, bunu yapması için başka birisini bulmaya çalışacaktır.
  • Bazen işin içine aciliyet katarak kurbanını hızlı hareket etmeye zorlayıp konuyu fazla düşünmesine izin vermeden isteğini kabul etmesini sağlar.

Aldatma Sanatı’nda iki de filmin sözü geçiyor. Sneakers filminden ufak bir alıntı yapmış Mitnick. The Sting filmini ise gördüğü en iyi dolandırıcılık  filmi olarak övüyor.

Kitap özellikle bilgi güvenliğine önem veren, bilgisayar başında saatlerini harcayan, bilişim insanının ilgisini çekebilir. Güvenliğin bir paroladan, kapıya dikilen nöbetçiden ibaret olmadığını, öncelikle insanın bilinçlendirilmesi gerektiği güzelce anlatılmış.