Hollywood filmlerine bakarsanız, bir şirketi hacklemek için kapüşonlu bir gencin karanlık bir odada yeşil kodlar akan bir ekrana (benim portfolyomdaki Matrix moduna benziyor evet) saniyede yüz tuşa basarak şifreleri kırması gerekir. Filmlerde devasa "Zero-Day" (sıfırıncı gün) açıkları, karmaşık kriptografi algoritmaları ve sistemleri saniyeler içinde alt eden virüsler vardır.

Gerçek dünyada ise durum trajikomik derecede basittir. Bugün ortalama bir startup'ı hacklemek için dahi bir yazılımcı olmanıza gerek yok. Çoğu zaman bir şirketin sunucularına sızmak için ihtiyacınız olan tek şey, o şirketteki stresli ve uykusuz bir geliştiricinin Cuma akşamı yaptığı ufak bir dikkatsizliktir.

İşte gerçek dünyada sistemlerin hacklenme yöntemleri:

1. Halka Açık .env Dosyaları (En Yaygın Hata) Yeni nesil geliştiriciler her şeyi .env dosyalarında tutmayı çok seviyor (AWS anahtarları, veritabanı şifreleri, JWT secret'ları). Sorun şu ki; bazen yanlış yapılandırılmış bir Nginx veya Apache sunucusu, site url'sinin sonuna /.env yazan herkese bu dosyayı açıkça sunar. Veya daha kötüsü, o dosya yanlışlıkla GitHub'a public olarak commit edilir. Bir bot, o AWS anahtarını saniyeler içinde bulur ve hesabınızda kripto para madenciliği yapmak için binlerce sunucu açarak size bir gecede 50.000 dolarlık fatura kitler.

2. Açık Unutulan AWS S3 Bucket'ları Bulut mimarisine geçen şirketlerin en büyük kabusu. "Sadece bizim sunucu okusun" diye ayarlanması gereken S3 depolama alanları, yanlış bir tıklamayla "Tüm dünyaya açık (Public)" hale gelir. Kimsenin haberi yoktur, ta ki bir güvenlik araştırmacısı (veya kötü niyetli biri) o adrese gidip müşterilerinizin kimlik fotoğraflarını, faturalarını ve gizli belgelerini tek bir tıkla indirene kadar.

3. "Admin/Admin" Şifreleri ve Korumasız Portlar Docker muazzam bir teknoloji. Ancak geliştiriciler bazen bir veritabanını (örneğin Redis, MongoDB veya Elasticsearch) Docker ile ayağa kaldırırken dışarıya (0.0.0.0) açarlar ve varsayılan (default) şifreyi değiştirmeyi unuturlar. İnternette durmaksızın tarama yapan (Shodan gibi) botlar, şifresiz bir veritabanı bulduğu an içeri girer, tüm verinizi indirip siler ve yerine "Verilerinizi geri istiyorsanız şu adrese Bitcoin yollayın" yazan bir not bırakır.

4. Gereksiz Root Yetkileri (Principle of Least Privilege Eksikliği) Bir uygulama sadece resim yüklüyor olabilir. Ama o uygulamaya sunucudaki her dosyayı okuma (Root) yetkisi verilmiştir. Uygulamada ufacık bir dosya yükleme zafiyeti çıktığında, saldırgan sadece resim klasörüne değil, sistemdeki tüm şifre dosyalarına (/etc/shadow) erişir.

Özetle, siber saldırıların %99'u, filmlerdeki gibi karmaşık algoritmalarla değil; açık bırakılan pencereler, paspasın altına saklanan anahtarlar ve hız uğruna atlanan temel mühendislik pratikleri yüzünden gerçekleşir. Hız (Agile) ve Güvenlik (Security) arasındaki o ince çizgide yürümek, DevOps mühendisliğinin en zor ama en kritik sanatıdır. Bizim işimiz karanlık odalardaki dahi hackerları durdurmak değil; kendi ekibimizin yanlışlıkla o kapıyı açık unutmasını engelleyecek sistemleri tasarlamaktır.

hacking

Bir Startup'ı Hacklemek Gerçekte Ne Kadar Kolay? (Geliştiricilerin Açık Unuttuğu Arka Kapılar)