Turk.internet olarak okuyucularımızdan aldığımız bazı maillerde TTNET’in spam listelerinde yeniden zirveye tırmanmakta olduğu belirtiliyordu[1]. Biz de bunun üzerine bir araştırma yapmış ve haber yayınlamıştık [2]. Sorumlu yayıncılık anlayışımız gereği hem TTNET tarafına hem de TTNET’in 2. sırada gösterildiği spam listesini yayınlayan Spamhaus Projesi yönetimine ulaşarak konu hakkında açıklama talep ettik.
Spamhaus Project 1998 yılında kuruldu. Londra ve Cenevre’de merkezleri olan ve 8 ülkede 28 detektif ve suç uzmanı ile çalışan, kar amacı gütmeyen bir kuruluş. İnternet üzerindeki dünya çapındaki spam operasyonlarını takip ediyor ve gerçek zamanlı teknik destek veriyorlar. Ayrica adli merkezlerle de çalışarak, hükümetlerin anti-spam uygulamalarını devreye alması için lobi çalışmaları yapıyorlar.
Spamhaus’un spam bloklama veri tabanı (‘DNSBLs’) da spamden sorumlu olanları kaydetmek için kuruldu.
TTnet’in spam operasyonları konusunda neler olduğunu ve ülkemizdeki ya da ülkemiz üzerinden geçen spam trafiğini anlamak için ilk olarak Spamhaus Projesi Bilgi İşlem Müdürü (CIO) Richard D G Cox ile mail aracılığı ile yaptığımız röportaja yer veriyoruz. Yarın da TTNET’in spam konusunda yaptığı çalışmaları aktaran açıklamalarına yer vereceğiz.
Türk Internet: TTNET sizce spam konusunda niye bu kadar sık istismar ediliyor olabilir? Size göre, aldıkları güvenlik önlemleri mi yetersiz, yoksa spam konusuna gereken önemi mi vermiyorlar?
Richard Cox: Bu konuda irdelenmesi gereken birbirinden tamamen farklı iki husus söz konusu. Birincisi kasıtlı spam gönderimi (veya kasıtlı olarak kötüye kullanmak) ikincisi ise networklerine tesadüfen sızılmış olması durumu. Bizim deneyimlerimiz, Türk Telekom çalışanlarının kendilerine bildirilen spam vakalarıyla baş etmek için gerekli olan eğitim ve yetenek düzeyine sahip olmadıklarını göstermekte. Öte yandan Türk Telekom yönetimi de bu durumun firma itibarını ne denli zedelediğini henüz fark edememiş durumda. Umuyorum sizin yazdığınız haberler yönetimin bu tutumunu değiştirmeye yardımcı olur.
Türk Internet: Türk Telekom’a spam aktivitelerini durdurma konusunda herhangi bir yardım sunabilir misiniz, şimdiye dek hiç böyle bir yardım sundunuz mu?
Richard Cox: Türk Telekom’a networklerindeki ele geçirilmiş(veya kötücül yazılımların sızdığı) bilgisayarların spam kaynağı olarak kullanılmasını engellemeleri için 25. portu kapatmaları tavsiyesinde bulunmuştuk. Anladığımız kadarıyla bu tavsiyeye uymuşlar ve belirli bir kullanıcı tabanı için 25. portu kapatmışlar. Ancak bu taban tüm kullanıcıları kapsıyor mu henüz bilemiyoruz.
Asıl sorun ise ele geçirilmiş bir bilgisayarın email göndermesi engellense de siber suçlular tarafından başka amaçlar için kullanılabilir durumdadır. Dolayısıyla bir bilgisayar email gönderemiyor olsa da SBL (spamhaus blok listesi) listelerine vaka olarak girebilir.
Turk Internet: Peki Türk Telekom sizinle hiç temasa geçti ve çözdükleri bir spam olayını bildirdi mi, yoksa hiç temas kurmuyorlar mı?
Richard Cox : Evet daha önce bizimle temasa geçerek çözdüklerini bildirdikleri vakalar oldu. Ancak pek çok vakada ya çözemiyor ya da çözmek istemiyor gibi gözüküyorlar.
Turk Internet: Temasa geçtiğim bazı uzmanlar, ki bunlar Türk Telekom yetkilileri değil bağımsız uzmanlardı, Türkiye’de fazlasıyla zombi bilgisayar olduğunu söylediler. Uzmanlar ayrıca Türkiye’nin bir spam kaynağı olmaktan ziyade, Rusya ve Çin’den gelen kötü amaçlı yazılım ve spamleri dağıtmak için bir araç olarak kullanıldığını ifade ediyorlar. Bu görüş hakkında ne düşünüyorsunuz ve daha önemlisi spamhaus spam saldırılarının çıkış noktasını yani kaynağını saptayabiliyor mu?
Richard Cox: Bu gözlem genel hatları ile bizce de doğru ancak SBL (Spam Blocking Lısts) listeleri zombi bilgisayarlar dışında pek çok başka olayı ve saldırı yöntemini de kapsamaktadır. Listelerdeki zombi PC’leri çıkarsak bile ISS’lerin sıralamasında ciddi bir değişim olmayacaktır.
Turk Internet: Spam trendleri ve kötü amaçlı kod yayma teknikleri değişiyor mu? Kısa süre önce Botnetlerin bir anda yükselişlerine şahit olmuştuk. Bu yöntemler konusunda gelecekte neler bekleyebiliriz?
Richard Cox: Evet spam yayma yöntemleri sürekte değişmekte. Kötü amaçlı kod kaynağının da büyük oranda Rusya olduğu bilinmekte. Bu konuda Çin’in de adı geçiyor ancak bunun sebebi Rus hackerların Çin’deki bilgisayarları kullanmaları.
Turk Internet: Daha önce spam yaydığı gerekçesi ile FTC (Federal Ticaret Komisyonu) ABD’de bazı ISS’leri kapatma kararı almıştı. Sizce bu tür önlemler Avrupa’da da uygulanabilir mi veya ISS’lere yönelik bir ceza/ödüllendirme modeli oluşturulmalı mı?
Richard Cox: Evet bence böyle modeller oluşturulması gerekiyor.
Turk Internet: TTNET dışında bir ISS yetkilisi Türkiye’de çok fazla zombi PC olduğunu ve Türk Telekom’un bu zombi bilgisayarlarla etkin bir biçimde mücadele edemediğini söyledi. Ancak bu noktada biraz kafam karışmış durumda. Zombi bilgisayarları tespit edecek ve sonra da temizleyebilecek önlemlerin ISS’ler tarafından alınması mümkün mü?
Richard Cox:
Turk Internet: Görüştüğüm uzmanlar ayrıca TTNET’in çok fazla domain sağladığını ve bunu yaparken kontrol mekanizmalarının çok zayıf olduğunu söylüyor. Diğer ISS’ler domain sağlama konusunda daha çekingen iken TTNET’in çok aktif olduğu ileri sürülüyor. Bu sizce problemin bir parçası olabilir mi?
Richard Cox: TTNET bağlantı sağladığı firmalar konusunda kesinlikle çok daha titiz davranmalıdır. Bu aslında problemin ciddi bir parçası. Örneğin listelerimizde yer alan vakalardan birisi şu: SBL93598.
Bu vaka TTNET’in Tellcom aracılığı ile “Donstroy Ltd” firmasına internet bağlantısı sunduğunu göstermekte. Donstroy Ltd kim diye sorarsanız bu firma Rus organize siber suç örgütlerinden birisine ait ve TTNET’ten aldıkları bağlantı ile Avrupa’da ve tüm dünyadaki bilgisayarlara sızmak için kötü amaçlı yazılımlar yayınlıyorlar. Bu firmanın Bursa’da hizmet veren “Vital” hosting tarafından host edildiği görülüyor.
Turk Internet:Routing konusunda ne söyleyebilirsiniz?
Richard Cox: İnternet trafiğini routing ile yönlendiren her ISS, yeterli düzeyde kullanım logları tutmalıdır zira bu loglar kötü amaçlı kullanımı saptamada çok yararlıdır. TTNET’in bu konudaki politikasını bilemiyorum ancak eğer yeterli trafik loglaması yapılmıyorsa bu da problemin bir parçası olabilir.
Turk Internet: Son olarak görüştüğümüz bazı uzmanlar TTNET’in altyapısının sorunu yaratacağınuı, bu yapının eskimiş olduğunu ve gerekli altyapı değişikliklerinin zamanında yapılmıyor olduğunu iddia ediyorlar. Spam saldırılarını saptamada ve etkin bir biçimde engellemekte bu da bir engel teşkil ediyor olabilir mi?
Richard Cox: Eğer altyapı eksikliği varsa veya altyapınız güncel değilse, kötüye kullanım konusunda uygun kontroller gerçekleştirilemeyeceği için kesinlikle bu da sorunun büyümesine katkı sağlayacaktır.
Yarın TTnet’in çalışmalarına yer vereceğiz..
4 ağustos 2010 tarihli güncelleme :Haberimizde adı geçen Vitalhost bir açıklama gönderdi. Açıklama şu şekilde :
Merhaba Çağdaş bey,
Yukarıda belirtmiş olduğum yazınıza istinaden şunu belirtmek isterim.
Firma olarak müşterilerimizin ne gibi işlerle uğraştığı konusunda bir araştırmamız olmuyor. Hizmet kurallarına ve sözleşme şartlarına uydukları sürece her ülkeden, her vatandaş bizden hizmet alabilir.
Yazıda bahsi geçen “Dostroy Ltd” şirketine ait ip adreslerinin spam yaptığına dair Spamhaus firmasından geçtiğimiz hafta içerisinde bir uyarı aldık. Bu uyarıya istinaden gerekli prosedürleri uygulayıp kişiye ait tüm hizmetlerin durdurulmasını sağladık. Bu konuda herkes gibi bizlerin de hassas olduğumuzu bilmenizi isterim.
İyi çalışmalar..
Selman CANKURT
Genel Koordinatör – General Coordinator
[1] The 10 Worst Spam Support ISPs (22 temmuz 2010 itibariyle)
[2]- TTNET Dünya’nın En Çok Spam Yayan ISS Listesinde Yeniden 2. Sırada
Kaynak : 