Osmanlı Bankasının bilgisayarlarına sızma olarak bilinen mahkeme beraat ile sonuçlandı. Konuyla ilgili olarak suçlanan Tamer Şahin ile görüştük. (İddianame için Bkz : İddianame linkini tıklatınız)
turk-internet.com : Olayı anlatır mısınız?
Tamer Şahin : Olaylar 2000 yılı kasım ayında başladı. Ulusal bir gazete, internette dolaşan bir takım söylentiler üzerine benimle irtibata geçti. Gazetenin belirttiğine göre olay son derece hızlı yayılmış. Osmanlı Bankası internet sitesi altında bir sayfaya girildiğinde “hello t.s. was here!” şeklinde bir mesaj çıktığına dair söylentiler vardı. Daha sonra gazete söylentileri ciddiye alıp benim yaptığımı düşünerek benimle irtibat kurdu. Sonuçta bir röportaj yaptık ve ben röportajda mesleğim ve kişisel yaşantımla ilgili bir takım soruları cevapladım. Daha sonra gazetede ana sayfada çıkan haberi görünce ben de şok oldum.
Benim demeçlerimde bir takım değişiklikler yapılmıştı. Söylemediğim şeyler eklenmiş, söylediklerim değiştirilmişti. Gazetede haber çıktıktan sonra avukatım istifa etti ve ben de prosedürü bilmediğimden çabuk bir şekilde tekzip edemedim.
turk-internet.com : Dava nasıl açıldı?
Tamer Şahin : Gazete haberi ve internetteki yayılan söylentiler sonrasında Osmanlı Bankası bir takım hukuki girişimlerde bulundu. Evime polisler gelip, bilgisayarıma el koydular. Emniyette ifade verdim ve serbest bırakıldım. Sonrasında hukuki süreç başladı.
turk-internet.com : Sizin savunmanız nasıldı?
Tamer Şahin : Benim savunmam öncelikle Osmanlı Bankası internet sitesinde yer alan “t.s.” harflerinin haksız yere benmişim gibi gösterilmesine yönelikti. Ortada ne bir log kaydı, ne de IP yer alıyordu bana ait olan. Sadece printer’dan çıkarılmış “Hello t.s. was here!” yazan bir kağıttan ibaretti herşey.
Mahkeme bilirkişiye başvurdu. Osmanlı Bankası bilgisayar sistemleri ve benim bilgisayar sistemim Ege Üniversitesi bilgisayar mühendisliği bölümünden uzman bir doçente incelemeye gönderildi.
turk-internet.com : Davanın sonuçlanmasında hakim hangi kriterleri gözönüne aldı sizce ?
Tamer Şahin : Bilirkişinin benim yaptığıma dair herhangi bir somut kanıt olmadığına dair yayınladığı raporun büyük bir etkisi oldu. Hakim bilirkişiyi esas alarak kanıt olmadığına kanaat getirdi ve bu şekilde sonuçlandı.
turk-internet.com : Bu tür hukuki davalarda süreç nedir? Nasıl işliyor?
Tamer Şahin : Bu tarz davalar Türkiye için daha çok yeni. Genelde internet üzerinden işlenen suçları tespit etmek oldukça güç. Bu dünyada da farklı değil aslında.
Prosedür olarak bakarsak Hack edilen kuruluş, olayın farkına vardıktan sonra sistemlerini ciddi bir biçimde incelemeli. İnceleme sonrasında saldırı olarak nitelendirilebilecek bir iz bulunduğu ve bu izi yaratan kişiye ait bir kanıt bulunduğu takdirde IP adresinden yola çıkarak kişinin tespit edilmesi yoluna gidilmelidir. Kanıt olarak kullanılabilecek kesin bilgiler hack edilen sistem üzerindeki log dosyaları, firewall kayıtları, saldırı tespit sistemi üzerindeki log dosyaları olabilir.
Önemli olan “başarı ile sonuçlanmış” saldırıyı tespit edip onun nereden yapıldığını keşfetmek. Bu konu da ayrı bir uzmanlık gerektiriyor. Standart sistemler çeşitli değisikliklerden geçirilerek yapılan işlemler, hareketler farklı şekillerde saklanarak daha sonra değerlendirilmek üzere sunucuda saklanabilir. Yasal sınırlar dışında sunucuya bir erişim olduğunda bu gizli kayıtlardan saldırganı, sunucuya erişim sağladıktan sonra yaptıklarını ve sonrasını takip etmek mümkün.
turk-internet.com : Şirketlerin / bankaların sistemlerine girmek kolay mıdır? Herkes girebilir mi?
Tamer Şahin : Tabi ki herkes giremez. Bu ancak uzman düzeyinde bilgi ve donanım, yazılım gerektirir.
Ama şunu da söyleyebilirim, herhangi bir bilgisayar sistemine girmek “imkansızdır” diye bir şey söz konusu değil. Güvenlik zayıflıkları adeta çok bilinmeyenli denklemler gibidir. O zayıflık zaten orada vardır ve zayıflık bulunana kadar her sistem güvenli kabul edilir.
Bazen sıradan sunuculardan firmanın müşteri database’i çalınır. Firma farkeder ya da farketmez ama fazla su yüzüne çıkan olaylar değildir. O firmanın satış bölümünün sırlarındandır ve onları ilgilendirir. Bazen de büyük finans kuruluşlarında da dünyada su yüzüne çıkmadığı oluyor. Kimi zaman müşteri bilgileri sessiz sedasız şirket dışına sızabileceği gibi kimi zamanda büyük olaylar yaratarak yüksek rakamlarda paralar banka dışına internet üzerinden çıkarılabilir. Bunlar sadece filmlerde olabilecek uç olaylar degil.
Şirketlerin / bankaların dikkatli olması gereken noktalar nelerdir ?
Tamer Şahin : Kuruluşların özellikle internetten kitlelerin birikimlerini ve kişisel bilgilerini emanet ettikleri finans kuruluşlarının çok hassas davranması gerek. Yapılan en büyük hata tüm projeleri yurt dışı kaynaklı ya da Türkiye’den belli başlı firmalara yaptırılması. Bu tarz firmalar her kuruluşa aynı proje dosyasıyla gidip güvenlik sistemi, sunucu kurulumları yapıyorlar. Bir süre sonra bir bakıyorsunuz ki bir çok banka, büyük kuruluşun sistemleri adeta birbirinin kopyası. Böyle olunca da o sistemlerin açıklarını bilen kişiler açısından daha kolay bir işlem oluyor.
Halbuki atılması gereken doğru adım kuruluşların ihtiyaçlarının, risk seviyesinin, altyapısının incelenip ona göre ihtiyaçlara özel çözümler sağlanılması. Burada doğru adım atmak isteyen kuruluşlar sistem bileşenlerini doğru seçmeli, doğru kişiye & kuruluşa kurdurmalı ve yine doğru kişilere test ettirmelidir.
Varolan sistemin işleyişi ve güvenliği için projeler tamamlandıktan sonra belli aralıklarla güvenlik testlerinin yapılmasi büyük önem taşır.
turk-internet.com : Siz ne iş yapıyorsunuz?
Tamer Şahin : Ben güvenlik konularında danışmanlık yapıyorum. Bu konularda Türkiye’de bilgi birikimi yüksek olan kişilerden birisiyim.
Özellikle dünyada ve Türkiye’de yaşanan bir takım tecrübelerden sonra da bu tarz isteklerle karşı karşıya geliyorum. Finans kuruluşları, firmalar network güvenliklerini sınamak için benim gibi serbest güvenlik uzmanlarına başvuruyorlar.
Yapılacak en doğru şey kurulan sistemlerin Hacker’ların bakış açısına sahip kişiler tarafından incelenip zayıflıklarının saptanması ve sistem güvenliğinin belli bir seviyede tutulmasıdır. Bu bilinç oturtulmadıkça “teorik” olarak güvenli internet sitelerine girip hesap bilgilerimizi vereceğiz, e-ticaret sitelerinden alışveriş yapacak ve yakın gelecekte e-devlet sayesinde vatandaşlık işlemlerimizi yine davetsiz misafirler bizi izlerken yapacağiz.
Kaynak : 