Şirket İçi Sosyal Mühendislik ve Oltalama Simülasyonu Düzenleme: İnsan Güvenlik Duvarı İnşa Etmek

Teknolojiye milyonlarca lira harcayabilir, en pahalı güvenlik duvarlarını ve EDR yazılımlarını kurabilirsiniz; ancak bir çalışan gelen e-postadaki linke tıklayıp şirket şifresini sahte sayfaya yazarsa tüm teknik savunma hattınız tek bir saniyede delinir. Kevin Mitnick'in dediği gibi: "Dünyadaki en gelişmiş şifreleme algoritması bile şifresini kendi eliyle teslim eden bir insanı koruyamaz." Bu nedenle siber güvenliğin en kritik halkası İnsan Güvenlik Duvarı (Human Firewall)'dır.

1. Oltalama Simülasyonu Mimarisi

Personeli cezalandırmak için değil; eğitmek ve refleksi artırmak için kontrollü sahte oltalama senaryoları kurgulanır:

• Senaryo 1 (Klasik Merak): "İK Departmanı: 2024 Prim ve Zam Listesi Ektedir."
• Senaryo 2 (Aciliyet & Korku): "E-Posta Kotanız Doldu! 2 Saat İçinde Doğrulamazsanız Hesabınız Silinecek."
• Senaryo 3 (Sosyal & Hediye): "Yemeksepeti: Şirketinize Özel 200 TL Hediye Çeki!"

2. Microsoft Defender for Office 365 Attack Simulation

Microsoft 365 yerleşik simülasyon aracı kullanılarak süreç uçtan uca otomatikleştirilir:

Defender Portal -> Email & Collaboration -> Attack Simulation Training:
1. Şablon Seçimi: "Credential Harvest (Şifre Avcılığı) - Sahte Microsoft Giriş Sayfası".
2. Hedef Kitle: Tüm şirket personeli (300 Kullanıcı).
3. Zamanlama: Pazartesi sabahı saat 09:30 (En dikkatsiz olunan mesai başlangıcı).
4. Otomatik Eğitim: Linke tıklayan veya şifresini giren personele ANINDA interaktif bir eğitim sayfası açılsın:
   "DURUN! Bu bir simülasyondur. Gerçek bir saldırı olsaydı şifreniz çalınmıştı!"

3. Metrikler ve Başarı Eğrisi

İlk simülasyonda karşılaşılan acı tablo genellikle şudur:

• E-Postayı Açanlar: %85
• Linke Tıklayanlar: %42
• Şifresini Girenler: %24

Her 3 ayda bir yapılan farklı senaryolu simülasyonlar ve 5 dakikalık mikro video eğitimleri sonrasında bu oranlar:

• Linke Tıklama: %3'ün altına düşer!
• En önemlisi: Şüpheli bir e-posta gördüğünde Outlook'taki "Report Phishing" (Oltalama Bildir) butonuna basarak IT ekibini uyaran personel oranı %60'a çıkar.

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• Personeli Küçük Düşürmek ve Cezalandırmak: Simülasyonda şifresini kaptıran personeli şirket içinde ifşa etmek veya primini kesmek insanları korkutur; personel bir daha şüpheli bir şey gördüğünde gizler. Amaç suçlamak değil; farkındalık kazandırmaktır.
• Güvenlik Duvarının Kendi Simülasyonunu Engellemesi: Sahte e-postaların filtrelere takılmadan personelin kutusuna düşmesi için Defender ve firewall üzerinde Simülasyon IP'leri için bypass kuralları açılmalıdır.

Mühendis Notu

Gerçek bir saldırıda personelin tek bir "Şüpheli bir mail aldım, bakar mısınız?" telefonu şirketi milyonlarca liralık bir fidye felaketinden kurtarabilir. İnsanları bilinçlendirmek en ucuz ve en etkili siber kalkanınızdır.