Bu yazıma eski bir hacker deyişi “Bilgi güçtür” ile başlamak istiyorum zira yazının tamamı sosyal mühendislik nedir, bilgi toplama, bilgi ifşa ettirme ve etkileme ve iknanın beş temel kuralı hakkında olacak.
Sosyal Mühendislik Nedir?
Wikipedia sosyal mühendisi şöyle tanımlıyor : “ Sosyal mühendislik, internette insanların zaafiyetlerinden faydalanarak çeşitli ikna ve kandırma yöntemleriyle istenilen bilgileri elde etmeye çalışmaktır. İnsanların karar verme süreçlerini değiştirmeye yönelik teknikler içerir.”
Sadece internette değil gerçek hayatımızda bu zaafiyetlerden yararlanıp insanları manipüle edilebilir. Gerçek hayatta sosyal mühendislik yapabilmek için hedefin beden dilini, yüz ifadesini, ses tonunu okuyabilmek ve ona göre yaklaşmak sonuç almamıza yarayacaktır.
Bir kimliğe bürünme + manipülasyon + hırsa bağlılık = hedefe uygulanan sosyal mühendislik olarak tanımlanabilir.
Bilgi Toplama
Bilgi toplama aşamasında şu üç sorunun cevabını sağlıklı bir şekilde vermemiz gerekir :
1-) Bilgiyi nasıl toplayabiliriz ?
2-) Sosyal mühendislerin bilgi toplamak için mevcut kaynaklar nelerdir ?
3-) En basit düzeyde kullanım için bütün bu bilgiyi nerede saklayabilir, saklayabilir ve nasıl yerleştirebiliriz ?
Bilgiyi nasıl toplayabiliriz?
Sosyal mecralar bizim ilk kullancağımız ve çok fazla pasif şekilde bilgi toplayabileceğimiz yerlerdir. Basket, dradis, maltego uygulamalarını kullanabiliriz biraz daha bilgi toplamak için ardından hedef ile farklı bir kişilik oluşturarak iletişime geçebiliriz. Unutmayın hedef’in farkından olmadan bize vereceği en ufak bir bilgi bizim ve saldırı senaryomuz için çok önemli olabilir.
Hedef hakkındaki dosyaları belirlememize yardımcı olabilecek arama terimlerini kullanarak araştırma yapmak hedef hakkında daha fazla bilgiye ulaşmamıza yardımcı olacaktır. Örneğin filetype:pdf, filetype:xls, filetype:txt .
Basket, dradis bu uygulamalar aynı zamanda edindiğiniz bilgileri sistematik ve kolay bir şekilde tutmanıza yardımcı olacaktır.
Bilgi İfşa Ettirme
Bilgi ifşa ettirme, ortaya çıkarmak ya da açmak veya mantıkla bir sonuca varmak demektir. Alternatif olarak, “tanıklığının ortaya çıkarılması kolay olmadı” ifadesindeki gibi, belirli bir davranış sınıfını çağıran(ya da ortaya çıkaran) bir teşvik olarak tanımlanır.
Bilgi ifşa ettirmenin iyi işlemesinin bir kaç sebebi vardır:
Profesyoneller bilgili ve zeki görünmek isterler.
Eğer övülürseniz, genellikle daha fazla konuşur ve daha fazla şey ifşa edersiniz.
Çoğu insan, kendileriyle ilgileniyor gibi görünen insanlara karşı nazikçe karşılık verir.
Çoğu insana uyan bu faktörler sayesinde insanları başarıları hakkında konuşturup bilgi ifşa ettirebiliriz.
Bilgi ifşa ettirirken;
a.) Doğal olun : Sohbet sırasında rahatsız ya da yapay olmanızın sohbeti öldüreceğini ve hedefi elinizden kaçırabileceğiniz aklınızda bulunsun ki bunlardan kaçının. Doğal ve kendiliğinden gelişen bir sohbeti canlandırın gözünüzde hangisinde sizden bilgi almak daha kolay olurdu?
b.) Kendinizi eğitin : Sürekli alıştırma yapın, oluşturduğunuz kişilikte açık olmamalı ve unutmayın hedef “acaba” sorununu sormamalı. Hedef ile ne konuşabileceğinizi onun neler hakkında konuşmak isteyeceğini, hobilerini, mesleğini vs. yaptığınız pasif araştırma sonucu öğreneceksiniz. Bu konular hakkında bilgi sahibi olmanız kritik önem taşır.
c.) Açgözlü olmayın : Amacımız bilgi edinmek, ama hedefin size verdiğinden fazlasını isterseniz bir anda hedef kendi rahatlık alanından çıktığını anlayacak ve rahatsızlık duyacaktır. Bu olay onun size olan güvenin azalmasına bilgi vermeyeceği anlamına gelir. Ama hedefi belki o an rahat bırakırsanız ilerleyen zamanlarda sizinle daha fazla şey paylaşmak isteyebilir.
Etkileme Ve İknanın Beş Temel Kuralı
İknanın beş temel kuralı, herhangi bir hedef üzerinde başarılı bir şekilde etki elde etmek için elzemdir.
=> Net hedefin belirlenmesi
=> Yakınlık tesis edilmesi
=> Çevrenin gözlemlenmesi
=> Esneklik
=> Kendinizle temas kurma
Sosyal mühendisin bütün amacı kendi menfaatine olsun ya da olmasın, hedefin bir eylemde bulunmasını sağlamak. Hatta hedef sadece eylemi gerçekleştirmekle kalmayacak bunu isteyecek, belki sonunda bunun içi teşekkür edecek :)
Aklınızda net bir amacın olması çok önemlidir. Kendinize şu soruyu sorun “ Hedeften ne istiyorum ? Ne elde etmeyi bekliyorum ?” bu sorunun cevabına odaklanırsanız sonuca ulaşmanız o kadar olasıdır. Bunu unutmayın.
Hedefi oluşturdunuz şimdi hedefe ulaşmaya gelelim. Bir hedefe yaklaşırken hedefinizi, istediğiniz şeyleri bilirseniz yol haritanızı rahatça çizebilirsiniz. Eğer yol haritanız olmazsa kaybolursunuz ve hedeften ne beklediğinizi, almak istediğiniz şeye ulaşıp ulaşamadığınızı bilemezsiniz.
Yakınlık kurmak, hedefin ve onun bilinçaltına dikkat çekmek ve bilinçsiz kısmında güven oluşturmaya dayalıdır. Yakınlık kurmak için hedefin ruh halini anlamaya çalışın. Kuşkulu?, Sinirli?, Üzgün? ya da Endişeli? Hedefete hangi duygu durumunu alıyorsanız onunla başlayın.
Kendiniz ve çevrenizle ilgili farkındalık ya da duyu keskinliği, size hedef kişiniz ile ilgili doğru yolda olup olmadığınızı anlatacaktır. Etki ve ikna sanatında gerçekten ustalaşmak için, usta bir gözlemci ve dinleyici olmak zorundasınız.
İstekli ve esnek olmak, ikna etmenin anahtarlarından biridir.
Kendi duygularınızı anlamaya çalışın. Duygular, sizin ve hedefin yaptığı hemen hemen her şeyi kontrol eder. Kendi duygularınızı anlamak, size etkili bir sosyal mühendis olma yolunda yardımcı olacaktır. Duygularınızı anlamak ve farkında olmak hedefinizi etkilemeye yönelik net bir yol belirlemenize yardımcı olacaktır.
Bu yazıyı Chrıstopher Hadnagy’ın yazdığı İnsan Kandırma Sanatından alıntılarak yazdım.
