Beyaz şapkalı hacker

Beyaz şapkalı hacker (İngilizce: White hat hacker), bilgisayar sistemlerindeki güvenlik açıklarını kötüye kullanmak yerine, bu açıkları tespit ederek sistem sahiplerine bildiren ve siber güvenliğin geliştirilmesine katkı sağlayan etik bilgisayar korsanıdır. Beyaz şapkalılar, sistemleri test ederek savunma mekanizmalarını güçlendirmeyi amaçlar.

Etimoloji

White hat (beyaz şapka) terimi, 1950’li yılların Western filmlerinde iyi karakterlerin beyaz, kötü karakterlerin ise siyah şapka takmalarından gelmektedir. Siber güvenlikte bu terim, etik hackerları tanımlamak için kullanılmaktadır. Beyaz şapkalılar savunma tarafında yer alırken, siyah şapkalılar saldırgan tarafı temsil eder. Bu iki uç arasında yer alan gri şapkalılar ise hem etik hem yasa dışı eylemlerde bulunabilir.

Tanım ve işlev

Beyaz şapkalı hackerlar, güvenlik testleri ve etik sızma (penetration testing) çalışmaları yürüterek sistemlerin savunma zafiyetlerini tespit eder. Bu kişilerin temel görevi, bir sistemin saldırıya uğramadan önce zayıf noktalarını belirlemek ve bunları sistem sahibine raporlamaktır.

Etik hackerlar genellikle şu alanlarda faaliyet gösterir:

Sızma testleri (PenTest)
Ağ güvenliği ve zafiyet analizi
Web uygulama güvenliği testleri
Sosyal mühendislik farkındalığı testleri
Güvenlik denetimleri ve raporlama

Bu kişiler, genellikle sistem sahipleri tarafından yetkilendirilmiş olarak çalışırlar. Bazıları özel siber güvenlik şirketlerinde görev yaparken, bazıları da bağımsız danışman olarak faaliyet gösterir.

Etik hackerlık ilkeleri

Beyaz şapkalı hackerların çalışmalarını etik kılan temel ilkeler şunlardır:

**Yetkilendirilmiş erişim:** Test yapılacak sistem sahibinden açık izin alınır.
**Zarar vermeme:** Test sırasında sistemin işleyişine kalıcı zarar verilmez.
**Bilgi gizliliği:** Elde edilen veriler, üçüncü taraflarla paylaşılmaz.
**Bildirim sorumluluğu:** Tespit edilen açıklar ilgili kurum veya üreticiye güvenli biçimde bildirilir.

Sertifikalar ve profesyonel eğitim

Beyaz şapkalı hackerlar genellikle uluslararası geçerliliği olan sertifikalara sahiptir. Bunlar arasında:

CEH (Certified Ethical Hacker) – EC-Council tarafından verilen en yaygın etik hacker sertifikasıdır.
OSCP (Offensive Security Certified Professional) – ileri seviye sızma testi sertifikası.
CISSP (Certified Information Systems Security Professional) – bilgi güvenliği profesyonelleri için kapsamlı bir sertifikadır.
CompTIA Security+ – temel düzeyde güvenlik bilgisi ve ağ savunması sertifikası.

Uygulama alanları

Kamu kurumlarının, bankaların ve özel şirketlerin sistem güvenliği testleri
Siber saldırı simülasyonları ve olay müdahale planlaması
Sızma testleri yoluyla fidye yazılımı veya veri sızıntısı risklerinin tespiti
Bug bounty (hata ödülü) programlarına katılım – örneğin Google, Facebook, Apple ve Microsoft’un yürüttüğü açık programlar

Bilinen beyaz şapkalı hackerlar

Kevin Mitnick: Eskiden siyah şapkalı olarak tanınan Mitnick, cezasını tamamladıktan sonra siber güvenlik danışmanlığı yapmış ve white hat olarak çalışmalar yürütmüştür.
Tsutomu Shimomura: Mitnick’in yakalanmasına yardımcı olan siber güvenlik uzmanıdır; etik hackerlık alanında öncü kabul edilir.
Charlie Miller: Apple ve Tesla sistemlerindeki açıkları ortaya çıkaran araştırmacı; güvenlik sektöründe tanınmış bir etik hacker.
Chris Hadnagy: Sosyal mühendislik güvenliği ve insan davranışları üzerine çalışan uzman.
Marcus Hutchins: WannaCry fidye yazılımını durduran İngiliz güvenlik araştırmacısıdır.
Katie Moussouris: Microsoft’un hata ödül (bug bounty) programını başlatan siber güvenlik liderlerinden biridir.

Beyaz şapkalı hacker toplulukları ve programlar

Bugcrowd – Dünya genelinde binlerce etik hackerın katıldığı hata ödül platformu.
HackerOne – Kurumlar ile etik hackerları buluşturan, güvenlik açığı bildirim platformu.
Google Vulnerability Reward Program – Google ürünlerindeki açıkları bildiren araştırmacılara ödül veren program.
Facebook Bug Bounty – Facebook ve bağlı uygulamalarındaki zafiyetleri raporlayanlara ödeme yapan sistem.

Yakın tarihteki örnekler

2020 SolarWinds olayı sonrası güvenlik testleri: Etik hackerlar, tedarik zinciri güvenliği için yeni standartların oluşturulmasına katkı sağlamıştır.
2021 Microsoft Exchange açığı bildirimi: Etik araştırmacılar, saldırılardan önce zafiyetleri tespit ederek yamaların yayınlanmasını sağlamıştır.
2022 Apple ve Google ödül programları: Araştırmacılara milyonlarca dolar ödül dağıtılmıştır.
2023 OpenAI ChatGPT zafiyeti bildirimi: Etik hackerlar, kullanıcı verilerini etkileyen bir hatayı tespit edip sorumlu bildirim yöntemiyle çözülmesini sağlamıştır.
2024 Tesla siber güvenlik yarışması (Pwn2Own): Etik hackerlar, Tesla araç yazılımlarındaki güvenlik açıklarını keşfetmiş ve ödüllendirilmiştir.

Korunma ve etik hackerların önemi

Beyaz şapkalı hackerlar, sistem sahiplerine proaktif güvenlik sağlama konusunda büyük rol oynar. Bu uzmanlar, fidye yazılımları ve veri ihlalleri gibi olayların önlenmesine katkı sunar, aynı zamanda siber güvenlik farkındalığını artırır.

Ayrıca bakınız

Kaynakça

EC-Council. Certified Ethical Hacker Program Guide.
Mitnick, K. D. The Art of Invisibility. Little, Brown and Company, 2017.
Wired (2023). "The Rise of the Ethical Hacker."
HackerOne Annual Report (2024).
Google Security Blog (2024). Vulnerability Rewards and Bug Bounties.

Hacking yöntemleri

Beyaz şapkalı hackerların bilmesi gereken bazı araç ve hacking yöntemleri:

Siber güvenlik için olanak sağlayan Kali, Parrot gibi Linux dağıtımlarını kullanmayı bilmesi gerekmektedir.
Programlama dillerine temel seviyede ve okuduğu programın kaynak kodlarını anlayabilecek kadar hakim olması gerekmektedir.
DDoS ya da Distributed Denial of Service attack saldırısı, çoklu sistemlerde hedef sistemin kaynakları ya da bant genişliği istilaya uğradığı zaman oluşur, bunlar genellikle bir veya birden fazla web sunucusudur. Bu sistemler saldırganlar tarafından çeşitli yöntemler kullanılarak bağdaştırılır. DDoS saldırıları, bir web sunucusunu yavaşlatır veya tamamen çökertebilir.
Brute force attack saldırıları, hackerlar tarafından dolandırıcılık faaliyetlerinde kullanılacak bilgileri çalmak amacıyla ve şifrelenmiş verileri kırmak için sıklıkla kullanılır. (Ancak, tüm kaba kuvvet saldırılarının kötü niyet içermediğine de dikkat çekmek gerek, bazen bir ağın güvenliğini test etmek için güvenlik analistleri tarafından da kullanılabilirler.)
SQL Injection saldırıları, PHP programlama dilinde yapılan SQL açıklarından yola çıkarak bir web sitenin veritabanına erişilmeye çalışırken kullanılır.
Keylogger klavye dinleme sistemi veya klavye yakalama sistemi olan keylogger, Klavyede bir harfe dokunulduğunda casus yazılım dinler ve klavye harflerini kaydeder. Klavye dinleme sisteminin olmaması için spam amaçlı mesajların güvenilmeyen mesajların açılmaması gerekir.
Phishing ya da yemleme veya oltalama, bir kişiyi herhangi bir şekilde kandırarak (genelde mail veya SMS üzerinden) şifresini veya kredi kartı ayrıntılarını öğrenmeye denir.
Trojan ya da truva atı, bilgisayar yazılımı bağlamında Truva atı zararlı program barındıran veya yükleyen programdır. (Bazen "zararlı yük" veya sadece "truva" ibareleriyle de nitelendirilmektedir.) Terim klasik Truva Atı mitinden türemiştir. Truva atları masum kullanıcıya kullanışlı veya ilginç programlar gibi görünebilir ancak yürütüldüklerinde zararlıdırlar.