Teknoloji her geçen gün gelişiyor ve eski soruların yerini yenileri alıyor. İnsanlığın gelişiminde elde edilen bilgi birikimi günümüz ve geleceğin dijital dünyasını şekillendiriyor. Fiziksel aktiviteler yerini sanal aktivitelere bırakıyor. Özellikle son 10 yılda yaşanan dönüşüm ve 2020 yılının başından bu zamana kadar geçen süreçte dijitalleşme dinamikleri üstün bir ilerleme katetti. Artık büyük şirketler dahil sanal ofisler kullanarak tasarruf ediyor. Birçok meslek sahibi imkanlar el verdiği sürece freelancer olarak evden çalışmaya başladı. Toplantılar görüntülü video konferanslar şeklinde yapılıyor. Ve bunların hepsi internetin sonsuz dünyasında gerçekleştiriliyor. Fakat şimdilik bunları bir kenara bırakıp yadsınamaz bir gerçek olan hackerlara dikkatimizi verelim. Peki Hacker nedir? Hacker kimdir? Öncelikle bu soruları yanıtlayalım.
Hacker, Türk Dil Kurumunun tanımına göre; “Bilgisayar ve haberleşme teknolojileri konusundaki bilgisini gizli verilere ulaşmak, ağlar üzerinde yasal olmayan zarar verici işler yapmak için kullanan kimse.” olarak tanımlanmıştır. Ancak hackerlar hep kötü işler yapmaz. Etik olan Hackerlar da mevcuttur. Bu kimseler bir bilgisayar ağına girerek gizli bilgiye izinsiz bir şekilde erişmeden güvenlik testi yapar veya bir sistemin güvenlik açıklarını keşfederek sistemi zararlı yazılımlara ve kötü niyetli hackerlara karşı korur veya önlem alır.
Etik Hackerlara White Hat hacker yani beyaz şapka hacker da denilmektedir. Etik Hackerlar bir kuruma bağlı olarak çalışabildiği gibi kendi kişisel çıkarları nezdinde de freelancer olarak da çalışabilir.
Bilginin siber uzaya taşınmasının ardından hackerlar için de bir ekmek kapısı açılmış oldu. Sürekli web sitelerin çökertildiği, veri hırsızlığının arttığı ve kişisel bilgilerin ifşa edildiği internet adeta bir mayın tarlası haline geldi. Bilginin tekellerin kontrolü altında olmasına karşı mücadele veren Etik hackerlar verilerin anonimleştirilmesinden yana tavır alırlar. Fakat Etik Hacker olmak her zaman sistem karşıtı bir tavır sergilemek anlamına gelmiyor. Sistemin çarklarının dönmesine yardımcı olan etik hackerlar da var. Tabi bu gerçek anlamda hacker ideolojisini ne denli yansıtıyor orası tartışılır.
Peki Etik Hackerlar hangi programları ve araçları kullanarak hacking eylemini gerçekleştiriyor? Tarayıcıdan bir web sitesine bağlanıp “abrakadabra!” diyince kendi kendine hacklenmiyor tabi. Hacklenecek olan ağa bir takım veri paketleri planlı bir program kaynağından gönderiliyor. Eğer bu veri paketleri ağda bir açık bulursa sisteme sızıyor ve amacını gerçekleştiriyor.
Peki bu veri paketleri ne içeriyor? Bir akış diyagramı ile tanımlanmış algoritmaları içeren, çeşitli kodlama dilleri ile yazılabilen ve belirli komutlardan oluşan kod parçacıklarıdır.
Tanımdan da anlaşılacağı üzere epey hezimetli bir iş. Ancak programlar ve yardımcı araçlar sayesinde bu işlemler tek bir tıkla halledilebiliyor. İşte o programlardan ve araçlardan en çok kullanılanları;
İçerik Başlıkları
1- Kiuwan Code Security (SAST)
Tek seferlik taramalar yapabilen ücretsiz bir sürüme sahip olan Kiuwan Code Security 599$ olan bir fiyat etiketine sahip.
Özellikleri:
Kiuwan Code Security, kaynak kodundaki güvenlik açıklarını OWASP, CWE, SANS 25, HIPPA gibi en katı standartlara göre tarar ve otomatik eylem planları oluşturur. Kiuwan’ı İDE’nize entegre ettiğinizde sürekli geri bildirim sağlayarak sisteminizi tamir eder. Windows, Unix/Linux ve MacOs ve tüm programlama dilleriyle uyumludur.
Website: Kiuwan Code Security
2- NMAP
Tek bir ana bilgisayarda veya büyük ağlarda çalışabilen güvenlik tarayıcı ve bağlantı noktası tarayıcısı olarak işlem yapan ücretsiz bir araçtır.
Port taraması ve network taraması yapabilir. Ağınızı izleyebilir veri aktarımı ve hata ayıklama işlemlerinizi yönetebilirsiniz. Kullanım kolaylığı dolayısıyla Linux, Windows, ve Mac OS X işletim sistemleriyle uyumludur.
Website: NMAP
3- Netsparker
Ferruh Mavituna tarafından yazılmış yerli hacking tool aracı Netsparker Web uygulamalarının güvenlik açıklarını tespit eden ve raporlar sunan SQL Enjeksiyonu algılama, Gizli XSS özelliği taşıyan güvenlik açıklarını otomatik olarak bulan PHP, .NET, JAVA gibi herhangi bir programlama diliyle yazılmış uygulamalarla uyumlu mevzuata uygun ücretli bir araçtır.
Website: Netsparker
4- İntruder
Intruder, web sitenizdeki siber güvenlik zayıflıklarını bulan, riskleri açıklayan ve bunların düzeltilmesine yardımcı olan tam otomatik bir güvenlik risk tarayıcısıdır. SQL injection, siteler arası komut dosyası oluşturma ve web uygulaması sorunlarını çözmenize yardımcı olan başarılı araçlardan biridir.
Website: İntruder
5- Acunetix
Acunetix SQL İnjection, XSS dahil birçok web uygulaması güvenlik açığını tespit edip raporlayan hızlı ve güvenilir bir denetleyicidir. Html 5 ve JavaScript gibi programlama dillerini destekler.
Website: Acunetix
6- Metasploit
Ruby programlama diliyle yazılmış pratik bir arayüze sahip açık kaynak kodlu penetrasyon testi aracıdır. Yani sisteme simülasyon şeklinde saldırıp ağdaki açıkları tespit edebilen web uygulamalarına ve yazılımlara kötü niyetli birinin saldırmasını öngören bir araçtır. Ticari sürümü ücretli olan aracın kişisel kullanım amaçlı sürümü ücretsizdir.
Website: Metasploit
7- Aircrack-Ng
Wifi hackleme yazılımı olarak da bilinen ve internet mecrasında popüler olan ücretsiz ağ trafiği izleme ve paket yakalayabilme özelliğine sahip wifi hackleme programıdır. Wep ve Wpa şifrelerini kırabilen bir araç olması istenilen her ağa rahatlıkla sızabileceğiniz ancak kullanımı hezimetli olan araçtır. Linux, Windows ve MacOS işletim sistemleriyle uyumludur. Genellikle güvenlik kontrol sistemi Backtrack ile birlikte kullanılır.
Website: Aircrack-Ng
8- Wireshark
Wireshark ücretsiz, açık kaynak kodlu ağ protokol analiz aracıdır. Bir bilgisayardaki veri trafiğini izleyebileceğiniz program WinPcap adlı ek bir yazılımı bilgisayara kurarak ethernet ağınızın trafiğini grafik arayüzü üzerinden incelemenize olanak tanır.
Website: Wireshark
9- Ettercap
Ağ ve sunucu analizi yapan ve özel pluginler oluşturmaya izin veren ve yerel ağa(LAN) Man-in-the-middle attack yapılmasını engelleyen açık kaynak kodlu, ücretsiz ağ güvenliği aracıdır.
Website: Ettercap
10- Maltego
Aktif ve pasif olarak kurum ve şahıslar hakkında whois ve dns sorgulama siteleri ve sosyal medya üzerindeki bilgileri toplamaya yarayan penetrasyon testi öncesi keşif aracıdır. Topladığı bilgileri grafik tabanlı bir sınıflandırmaya tabi tutarak işler. Maltego kısaca; alan adları, whois bilgileri, IP adresi, ağ tespiti, e-posta adresleri, Telefon ve fax numarası, sosyal medya hesapları gibi bilgileri toplayarak grafik tablo mahiyetinde kullanıcıya sunan ücretli bir araçtır. Windows, Linux ve MacOS işletim sistemlerini destekler.
Website: Maltego
11- Nikto
Web sunucuları ve uygulamaları üzerinde bulunan güvenlik açıklarını taramaya yarayan açık kaynak kodlu, ücretsiz bir araçtır. Perl programlama diliyle yazılmış olup XSS, SQL Injection benzeri güvenlik tehditlerini açığa çıkarır.
Birçok farklı parametre ile kullanılabilmektedir. Bunlardan başlıcaları; -CgiDirs+, -cookie, evasion+, -mutate+, -nolookup, olarak bilinir.
Website: Nikto
12- Burp Suite
Web uygulama analizlerini gerçekleştirmeye yarayan gelişmiş manuel araçlara sahip ücretli bir programdır. Ancak Community versiyonu ve birtakım temel araç paketine ücretsiz olarak erişim sağlayabilirsiniz.
Website: Burp Suite
14- John The Ripper
C diliyle yazılmış açık kaynak kodlu parola çözücü/kırma saldırısı aracı veya geliştiricinin tabiriyle parola denetimi ve parola kurtarma aracı olarak bilinen John The Ripper en yaygın kullanımıyla web siteleri üzerindeki kullanıcı adı/parola sayfalarını hedef alır. Veritabanındaki örnek parolaları deneme yanılma yöntemiyle her birinin hashini alarak girdide verilen hash ile karşılaştırır ve hesabı kırmayı dener. Kaba kuvvet saldırısı olarak da uygulanabilir. Olası bütün metinleri kıyasladığı için işlem biraz uzun sürer. Genel anlamda hantal bir araç olsa da kullanışlıdır.
Website: John The Ripper
15- Angry IP Scanner
Bir ağ yöneticisi için paha biçilemez bir uygulama olmasının yanı sıra etik saldırıya uğradıysanız da ağınızdaki IP adreslerini tarayabileceğiniz ve cihazlarınızla eşleştirip ip ataması yapabileceğiniz açık kaynak kodlu ücretsiz bir araçtır.
Website: Angry IP Scanner
