Siber Saldırı Türleri: 2026 için Kapsamlı Güvenlik Rehberi

Siber saldırganların çoğu artık film sahnelerindeki gibi karmaşık teknikler kullanmıyor; en çok işe yarayan yöntem hâlâ basit bir e-posta veya sahte bir giriş sayfası. Bir sistem yöneticisinin gündelik işinin büyük bölümü, hangi saldırı türünün hangi zayıflığı hedef aldığını bilmek ve önlemleri buna göre sıralamaktır. Saldırının hedefi bazen bir kişi, bazen bir sunucu, bazen de yalnızca bir yazılım açığı olur; her biri ayrı bir savunma refleksi ister. Bu rehberde saldırı türlerini tek tek, gerçek savunma adımlarıyla ele alıyoruz.

Kimlik avı ve sosyal mühendislik nasıl çalışır

Kimlik avı (phishing), kurbanı sahte bir e-posta ya da web sitesi üzerinden parola, kart bilgisi veya kurumsal giriş bilgisi paylaşmaya ikna etme yöntemidir. Saldırgan genellikle tanınan bir markanın ya da yöneticinin kimliğine bürünür. Kullanılan alan adı gerçek siteye çok benzer ama birebir aynı değildir; "paypaI.com" örneğinde büyük I harfinin küçük l ile değiştirilmesi klasik bir yöntemdir.

Sosyal mühendislik, kimlik avının şemsiye kavramıdır ve bir güvenlik açığını değil insan davranışını hedef alır. Saldırgan aciliyet hissi yaratır, otorite taklidi yapar veya merak uyandırır. "Hesabınız 24 saat içinde kapatılacak" türü mesajların hâlâ işe yaramasının nedeni budur.

Şüpheli bir bağlantıya tıklamadan önce üzerine gelip gerçek hedef adresini durum çubuğundan kontrol etmek basit ama etkili bir alışkanlıktır. Kurumsal ortamda DMARC, SPF ve DKIM kayıtlarının doğru yapılandırılması, sahte gönderici adresli e-postaların büyük kısmını daha posta kutusuna girmeden eler. USOM'un yayınladığı zararlı bağlantı listeleri de bu konuda güncel bir referanstır (usom.gov.tr).

Zararlı yazılım ve fidye yazılımı tehdidi nedir

Zararlı yazılım (malware) şemsiyesi altında virüs, solucan, truva atı ve casus yazılım gibi farklı davranış biçimleri yer alır. Ortak nokta, sisteme yetkisiz bir işlev (veri çalma, arka kapı açma, başka bir saldırıya zemin hazırlama) sokmasıdır. Bulaşma çoğunlukla e-posta eki, kırık lisanslı yazılım veya güvenilir görünen bir tarayıcı eklentisi üzerinden gerçekleşir. Bazı türler hiçbir belirti vermeden sistem kaynaklarını sessizce başka amaçlar için kullanır; kripto para madenciliği yapan yazılımlar bunun tipik örneğidir.

Fidye yazılımı (ransomware), bu ailenin en yıkıcı üyesidir. Dosyaları güçlü bir şifreleme algoritmasıyla kilitler ve çözüm anahtarı karşılığında ödeme talep eder. Yedek sistemi olmayan bir kurum için tek çıkış genellikle fidyeyi ödemek ya da veriyi kalıcı olarak kaybetmektir; ikisi de kötü bir seçenektir.

Şüpheli bir sürecin sistemde çalışıp çalışmadığını hızlıca kontrol etmek için aşağıdaki gibi bir komut kullanılabilir:

# Linux üzerinde ağ bağlantısı kuran süreçleri listele
sudo lsof -i -P -n | grep ESTABLISHED

Windows tarafında ise PowerShell ile son yüklenen zamanlanmış görevler kontrol edilebilir; kalıcılık sağlamak isteyen kötü amaçlı yazılımlar sıkça bu yolu kullanır:

Get-ScheduledTask | Where-Object {$_.State -eq "Ready"} | Sort-Object -Property Date -Descending

Düzenli, sistemden fiziksel veya mantıksal olarak ayrık bir yedekleme (3-2-1 kuralı: üç kopya, iki farklı ortam, biri site dışında), fidye yazılımına karşı en somut sigortadır.

DDoS ve ağ tabanlı saldırılar neden tehlikeli

Dağıtık hizmet reddi (DDoS) saldırısında bir sunucu, binlerce ele geçirilmiş cihazdan gelen sahte isteklerle boğulur ve gerçek kullanıcıların erişimi engellenir. Saldırı trafiği normal trafiğe çok benzediği için filtrelemek zordur. Küçük bir e-ticaret sitesi için birkaç dakikalık kesinti bile ciddi bir gelir kaybı demektir.

Ortadaki adam (man-in-the-middle) saldırısında saldırgan, iki taraf arasındaki iletişimi fark ettirmeden dinler veya değiştirir. Şifrelenmemiş genel Wi-Fi ağları bunun klasik zeminidir: bir kafede aynı ağa bağlı biri, HTTPS kullanmayan bir siteye giden trafiği teorik olarak okuyabilir. DNS sahtekârlığı da benzer bir mantıkla çalışır ve kullanıcıyı gerçek adres yerine sahte bir sunucuya yönlendirir.

Sunucu tarafında gereksiz portları kapatmak, saldırı yüzeyini daraltan ilk adımdır:

# Yalnızca SSH, HTTP ve HTTPS trafiğine izin ver, gerisini reddet
sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

CDN tabanlı DDoS koruması ve rate-limiting kuralları, büyük hacimli saldırılarda sunucuya ulaşan trafiği önemli ölçüde azaltır.

Parola ve kimlik bilgisi saldırıları nasıl önlenir

Brute-force saldırısı, olası tüm parola kombinasyonlarını otomatik biçimde deneyerek hesaba girmeye çalışır. Kaba kuvvetin daha akıllı hâli olan credential stuffing ise başka bir sızıntıdan çalınmış kullanıcı adı-parola çiftlerini farklı sitelerde otomatik olarak dener. Aynı parolayı birden fazla hesapta kullanmak, tek bir sızıntıyı zincirleme bir felakete çevirebilir.

Güçlü parola üretmenin en pratik yolu, bir parola yöneticisine rastgele bir string ürettirmektir:

openssl rand -base64 16

Bu komut 16 baytlık rastgele veriyi base64 ile kodlayıp okunabilir, yeterince uzun bir parola üretir. Her hesap için ayrı, rastgele üretilmiş bir parola kullanmak ve bu parolaları bir parola yöneticisinde saklamak, brute-force ve credential stuffing saldırılarının çoğunu anlamsız hâle getirir.

İki faktörlü kimlik doğrulama (2FA), parola çalınsa bile hesabı korur; çünkü saldırganın ayrıca telefona veya donanım anahtarına da erişmesi gerekir. SMS tabanlı 2FA, SIM takas saldırılarına karşı görece zayıftır. Kimlik doğrulama uygulaması (TOTP) veya FIDO2 destekli donanım anahtarı daha sağlam bir seçenektir.

Zero-day açıkları ve yazılım güvenlik zafiyetleri

Zero-day, yazılım üreticisinin henüz haberdar olmadığı veya henüz yama yayınlamadığı bir güvenlik açığıdır. Saldırgan bu açığı üretici fark etmeden önce istismar ettiği için savunma tarafı genellikle geriden gelir. Bu tür açıklar kritik altyapıda veya yaygın kullanılan yazılımlarda bulunduğunda ciddi çaplı olaylara yol açabilir. Açık kamuya duyurulduktan sonra bile, henüz yama uygulamamış sistemler haftalarca risk altında kalabilir.

Zero-day'e karşı tam bir koruma yoktur ama saldırı yüzeyini küçültmek riski azaltır. Gereksiz servisleri kapatmak, uygulama güvenlik duvarı (WAF) kullanmak ve ağ segmentasyonu yapmak, bir açık istismar edilse bile yayılmasını sınırlar. OWASP'ın Top Ten listesi, web uygulamalarında en sık görülen zafiyet kategorilerini ve azaltım önerilerini düzenli olarak günceller (owasp.org).

Yama yönetimi burada asıl belirleyici etkendir. Üretici bir yama yayınladığında saldırganlar da o yamayı tersine mühendislikle inceleyip henüz güncellenmemiş sistemleri hedefler; bu yüzden "yama çıktı, sonra kurarım" yaklaşımı risklidir. Otomatik güncelleme politikası, kritik sistemlerde önce test ortamından geçmeli, ardından hızla üretime uygulanmalıdır.

Kurumsal ve kişisel savunma neye dayanmalı

Tek bir araç veya kural, saldırıların tamamına karşı yeterli değildir; katmanlı savunma (defense in depth) mantığı burada devreye girer. Her katman, bir öncekinin kaçırdığı tehdidi yakalamayı hedefler. Aşağıdaki liste, hem bireysel hem kurumsal ölçekte uygulanabilecek temel adımları özetliyor:

• Her hesapta benzersiz, rastgele üretilmiş parola ve mümkün olan her yerde 2FA
• İşletim sistemi ve uygulamalarda otomatik veya düzenli manuel güncelleme
• 3-2-1 kuralına uygun, test edilmiş yedekleme
• Uç nokta koruma yazılımı ve ağ güvenlik duvarı
• Şüpheli e-posta ve bağlantıları tanıma konusunda düzenli eğitim
• Kritik sistemlerde ağ segmentasyonu ve en az yetki (least privilege) ilkesi

Olay müdahale planı, bu listenin tamamlayıcısıdır. Bir ihlal gerçekleştiğinde kimin ne yapacağının önceden belirlenmiş olması, tespit ile kurtarma arasındaki süreyi doğrudan kısaltır. Saldırı sonrası yapılan kök neden analizi, aynı açığın yeniden istismar edilmesini engelleyen tek kalıcı çözümdür.

IoT ve mobil cihazlarda gözden kaçan riskler

Akıllı ev cihazları, IP kameralar ve yönlendiriciler çoğu zaman varsayılan fabrika parolasıyla kurulur ve bu parola hiç değiştirilmez. Ele geçirilen bu cihazlar tek başına zararsız görünse de botnet ağlarına eklenip büyük çaplı DDoS saldırılarında kullanılabilir. Güvenlik kamerası kadar sıradan bir cihaz bile, üzerinde kötü amaçlı bir yazılım çalıştığı fark edilmeden aylarca saldırı altyapısı olarak kullanılabilir.

Mobil cihazlarda asıl risk, uygulama mağazası dışından APK yüklemek veya aşırı yetki isteyen uygulamaları onaylamaktır. Bir el feneri uygulamasının kişi listesine veya konuma erişim istemesi, kırmızı bir bayrak olarak okunmalıdır. Cihaz kaybı durumunda uzaktan silme özelliğinin açık olması da veri sızıntısını önleyen basit ama kritik bir ayardır.

Yönlendirici ve IoT cihazlarında ilk kurulumda fabrika parolasını değiştirmek, gereksiz uzaktan yönetim özelliklerini kapatmak ve üretici yazılımını (firmware) güncel tutmak gerekir. Bu üç adım, IoT tabanlı botnet saldırılarının büyük kısmını daha başlamadan durdurur.

Bu saldırı türlerini birbirinden ayıran, kullandıkları teknik değil hedef aldıkları zayıf noktadır. Kimlik avı kullanıcının dikkatini, DDoS sunucunun kapasitesini, zero-day ise yazılımın kendi açığını hedefler. Savunmayı da bu farka göre katmanlamak, tek bir araca güvenmekten daha güvenilir sonuç verir. Bugün atılabilecek en somut adım hazırlık gerektirmez: kritik hesaplarda 2FA'yı açmak ve bir parola yöneticisine geçmek, saldırı yüzeyinin büyük bölümünü tek seferde kapatır.

Yazan Celil Uyanikoglu

25 yıldır bilgi işlem piyasasında farklı dallarda uzmanlaşan bir Bilgisayar Mühendisi