En kritik 20 güvenlik açığı yayınlandı

SANS Institute internetteki en önemli güvenlik açıklarını Top 20 listesi adı altında yayınladı. Çeşitli yazılım ürünlerindeki açıkları tespit eden bu çalışma, internetten yapılan saldırılarda kullanılan açık türleri hakkında ayrıntılı veriler sağlıyor. Dört yıl önce de FBI, internetteki en kritik 10 açığı raporlamış ve birçok kuruluş çalışmalarında bu rapordan ciddi ölçüde faydalanmıştı. İki yıl sonra bu raporda 20 güvenlik açığı ele alınarak tekrar güncellendi. SANS Institute ise geçen yıldan başlayarak, sürekli güncellenen Top 20 adıyla etkin bir liste hazırladı. SANS Institute, dünya çapında bilişim güvenliği kanusunda sertifika ve eğitimleriyle tanınan bir kuruluş ve kendi portalinde her yıl yaklaşık dünya çapında 12 bin kişiyi güvenlik konusunda eğittiğini belirtiyor.

Top 20, OS/X işletim sisteminden açık kaynak kodlu Mozilla Firefox web tarayıcılarına kadar birçok işletim sistemi ve uygulamada rastlanan açıklar konusunda grubun web sitesinde ayrıntılı bilgiler yer alıyor. CIO dergisinin verdiği habere göre SANS Top 20’nin editörü ve 3Com’un TippingPoint bölümünün güvenlik araştırmaları yöneten Rohit Dhamankar, Mozilla Firefox’un açıklarını yeni yamalarla hızla giderdiğini, Microsoft’un ise Internet Explorer’daki açıkları kapamayı sağlayan yama yazılımları konusunda biraz yavaş kaldığını söylüyor. Ayın ikinci haftasına kalan yama yazılımları güncellemeleri nedeniyle Internet Explorer’ı espriyle Internet Exploiter olarak adlandıran Dhamankar, internetten gelecek saldırıların son derece yoğunlaştığı şu günlerde bazen dakikaların önemli olduğunu anımsatıyor.

Bu arada SANS raporunda, SQL injection sorunlarının da içinde yer aldığı ve ataklara neden olan bazı veritabanı açıklarının yanı sıra özellikle, savunma ve nükleer enerji sitelerine karşı yapılan spear phishing (aldatma) ataklarına da dikkat çekiliyor. Spear phishing’in gerçek anlamı mızrakla balık avlama ama internet söz konusu olduğunda bu kötü niyetli eylemi, Türkçe’ye “sazan mevsimi açıldı” şeklinde aktarmak da mümkün. Ama biz şimdilik buna kısaca siber-aldatma diyelim.

Siber-aldatma işi (spear phishing) bazı kişilerin, sanki çok yüksek bir makamdan veya resmi bir kurumdan e-posta gönderiyormuş gibi bu tür yüksek güvenlik gerektiren yerlere sızmasıyla oluyor. Karşı tarafta resmi bir yerden veya makamdan gelen bilgilere yanıt vererek aslında tamamen kötü niyetli olan bu kişilerin oyununa geliyor ve belki de son derece önemli bilgileri dışarıya sızdırmış oluyor. Kuşkusuz SANS yetkilileri, bu tür oyuna gelen kurumların isimlerini basına vermedi ancak bunun devlet içinde ciddi bir sorun olduğunu da saklamadı.

Eğer siz de sistem, ağ ve veritabanı konusunda meraklı bir amatör veya profesyonel çalışan bir bilişimci iseniz veya sadece, internet kaynaklı saldırılarda en sık kullanılan güvenlik açıklarını merak ediyorsanız, SANS Top 20’yi ziyaret etmenizi ve SANS (SysAdmin, Audit, Network, Security) Institute portalini web tarayıcınızın Sık Kullanılanlar (Favorites) linklerine eklemenizi öneririm.