Küçük işletme web siteleri ya da e-ticaret siteleri için kullanıcı girişi yapılması yaygın bir ihtiyaç. Kullanıcıların hesap oluşturmak için hassas bilgilerini sisteme girmesini gerektiren bu yöntemde, paylaşılan veriler posta adresleri, e posta adresleri hatta kredi kartı bilgileri olabiliyor. Kullanıcı girişi, ziyaretçilere daha iyi bir web sitesi deneyimi sunulmasını sağladığı için gerekli ancak sitenize bir brute force ya da diğer bir deyişle kaba kuvvet saldırısı yapıldığı takdirde, bu hassas bilgiler savunmasız hale gelebilir.
Küçük işletme sahiplerinin ve çalışanlarının günlük sorumlulukları çok fazla olduğundan, web sitesi güvenliğine öncelik veremiyor olabilirler. Ancak, KOBİ’ler ile ilgili yapılan yeni bir araştırma, siber saldırıların yüzde 71’inin küçük işletmeleri hedef aldığını gösteriyor.
Konu online güvenlik açıkları olduğunda, brute force (kaba kuvvet) saldırıları en popüler hack’leme yöntemlerinden biri.
Brute force, kaba kuvvet saldırıları bir web sitesinin arka ucuna erişim sağlamak ve önemli bilgileri ele geçirmek amacıyla parolaların kırılması için kullanılır.
Ponemon Institute tarafından yapılan bir araştırma, KOBİ’ler için 2016 yılında yüzde 55 olan siber saldırı riskinin, 2017’de yüzde 61’e yükseldiğini ve 2016’de ortalama 5079 olan çalınan veri miktarının 2017 yılında neredeyse ikiye katlanarak 9350 olduğunu gösteriyor. Bu yazıda, brute force, kaba kuvvet saldırısının ne olduğunu ve web sitenizi nasıl koruyacağınızı anlamanıza yardımcı olacağız.
Brute force, kaba kuvvet saldırısı nedir?
Bir brute force (kaba kuvvet) saldırısı, hacker’ların bir hesaba erişebilmek için deneme-yanılma yöntemi kullanmasına denir. Bu, duruma bağlı olarak şifre ya da kişisel kimlik numarası (PIN) kırılmasını içerebilir. Çoğu kaba kuvvet saldırısı otomatiktir, bu yüzden her ölçekten işletme hedef olabilir. First Base Technologies LLP’nin ana siber güvenlik danışmanı Rob Shapland’a göre brute force (kaba kuvvet) saldırıları en yaygın ve direkt siber saldırı çeşididir.
Web sitenizde güvenlik ve koruma bulunmuyorsa, saldırganlar kolayca içeri sızabilir.
Brute force (kaba kuvvet) saldırıları, siber suçlular tarafından dolandırıcılık faaliyetlerinde kullanılacak bilgileri çalmak amacıyla, şifrelenmiş verileri kırmak için sıklıkla kullanılır. (Ancak, tüm kaba kuvvet saldırılarının kötü niyet içermediğine de dikkat çekmek gerek, bazen bir ağın güvenliğini test etmek için güvenlik analistleri tarafından da kullanılabilirler.)
Bir brute force (kaba kuvvet) saldırısı nasıl çalışır?
Kaba kuvvet saldırılarını ve nasıl çalıştıklarını anlamak karmaşık değildir, daha zorlayıcı olan kendinizi onlardan nasıl koruyacağınızdır.
Bir giriş sayfası (veya herhangi bir şifre koruması) olan her site bu tür saldırılar için potansiyel bir hedeftir.
En fazla saldırıya uğrayan içerik yönetim sistemi (CMS) yönetim sayfaları şunlardır:
- WordPress wp-admin veya wp-login.php giriş sayfaları
- Magento /index.php veya admin sayfaları
- Joomla! yöneticisi
- vBulletin admin kontrol paneli
- ve çeşitli web sitelerinin diğer genel giriş sayfaları
Saldırganlar bir web sitesine, kullanıcı hesabına veya başka bir şifrelenmiş bilgiye erişmek istediğinde, öncelikle bu bilgilerin şifresini çözmek veya kilidini açmak için bir şeyler yapmalıdır.
Bu süreç, farklı olası şifre kombinasyonlarının denenmesiyle başlar ve erişmek istedikleri yerin şifresini çözene kadar da devam eder. Yalnızca tek bir hesap için binlerce olası şifre kombinasyonu mevcuttur. Standart en kısa şifre uzunluğu sekiz karakterdir.
Birçok web sitesi ayrıca kullanıcı şifrelerine karmaşıklık eklemek amacıyla ek gereklilikler getirir (büyük ve küçük harfe duyarlılık, alfanümerik kombinasyonlar, özel karakterler vb.). Bu tarz basit yönergeler, standart bir şifrenin binlerce olan kombinasyonunu trilyonlara çıkartabilir.
Tabii ki doğru araçlarla ve nasıl yapılacağını biliyorsa bir hacker için bu, küçük bir rahatsızlıktır. Binlerce olası şifre kombinasyonunu oluşturup bunları saniyeler içerisinde deneyebilecek bir sürü araç mevcut.
Brute force (kaba kuvvet) saldırılarının arkasındaki sebep
Brute force (kaba kuvvet) saldırıları hackerlara değerli bilgiler içeren (kredi kartı bilgileri gibi) web sitelerine yasa dışı erişim sağlar. Bu yöntem ile web sitesini tamamen kapatabilir ya da kullanıcı hesaplarına (ve hassas kullanıcı bilgilerine) erişim sağlayabilirler.
2013 yılındaki GitHub brute force (kaba kuvvet) saldırısı, yakın tarihte kayıt altına alınmış en büyük brute force (kaba kuvvet) saldırısı olarak görülüyor. Öncelikle zayıf şifre kombinasyonlarına sahip olan kişileri hedeflemiş 40,000 hacker IP adresinin olaya karıştığı saldırıda bir sürü hesap ifşa edilmişti. Saldırıdan sonra GitHub, kullanıcılarını hesaplarını iki faktörlü kimlik doğrulama ile korumaları için teşvik etti.
Aynı yıl, Nisan ayında, popüler bir web performans ve güvenlik hizmeti sunan Cloudflare, WordPress’e yöneltilen 60 milyona yakın brute force (kaba kuvvet) isteğini bir saat içerisinde engelledi. Buna rağmen on binlerce web sitesine başarılı brute force (kaba kuvvet) saldırısı gerçekleşti. Saldırıdan sonra WordPress iki faktörlü kimlik doğrulamayı kullanıcılarına sundu.
Brute force saldırılarını nasıl önleyebiliriz
Herhangi bir kullanıcının brute force (kaba kuvvet) saldırılarına karşı alabileceği basit önlemler şunlardır:
- Daha uzun bir şifre (standart 8 karakterin üstünde)
- Büyük ve küçük harf kombinasyonları
- Alfanümerik şifre kombinasyonları
- Özel karakterler eklemek
- Giriş yapabilme sayısını azaltmak
- CAPTCHA kullanmak
- İki faktörlü kimlik doğrulamayı aktifleştirmek
Peki, bunlara ek olarak yapabileceğiniz en iyi şey nedir?
Brute force saldırılarını engelleyici özellikleri olan güçlü güvenlik araçları kullanın.
Bu araçlar, belirli sayıda başarısız giriş işlemi sınırlaması koyduğunuzda kullanıcıyı (hacker) reddedebilir, bu da etkililiklerini sınırlandırır.
GoDaddy’nin Web Sitesi Güvenliği
Sucuri tarafından sağlanan GoDaddy’nin Web Sitesi Güvenliği, web sitenizi zararlı yazılımlara karşı güvenli ve temiz tutmak için basit ama güçlü bir çözüm. Web sitesi güvenliğinde acemi olanlar için ideal bir tercih olup web sitenizi korumak için basit bir çözüm sağlar. Bu araç web sitenizi dağıtılmış hizmet aksatma (DDoS), kaba kuvvet (brute force), SQL Injection, siteler arası komut dosyası çalıştırma (XSS) ve daha bir sürü saldırıdan koruyabilir.
Sucuri Security
WordPress için Sucuri Security eklentisi (ücretsiz), web sitesi güvenliğinin yanında güvenlik faaliyet denetimi, dosya bütünlüğünü izleme, uzaktan zararlı yazılım tarama, güvenlik güçlendirme ve güvenlik bildirimleri özelliklerini de sunar. Bu oldukça iyi puanlandırılmış eklentinin premium versiyonu ayrıca web sitesi güvenlik duvarı hizmetini de sunuyor.
Web sitenizi korumanın bir diğer yolu ise düzenli olarak web sitenizi yedeklemektir.
Yedeğinizin olması, bir hacker saldırısı veya kazara geçekleşen bir hasar sonrası web sitenizi onarabilmeniz için çok önemlidir.
GoDaddy’nin Web Sitesi Yedekleme hizmeti otomatik günlük yedekleme ve tek tıkla onarım özelliklerini içeriyor.
Son olarak
Siber suçlu faaliyetleri sıklaşmaya başladı ve artık en küçük işletmeler bile güvende değil. Web sitenizi kurduğunuz andan itibaren potansiyel bir saldırının hedefisiniz. Çok geç olmadan harekete geçin, şimdiden geleceği düşünün.
