🐹 Mustafa ile Öğreniyorum #17: Papatya Çayından Bir Yudum Al ve Dinle (Dijital Mektubun Mührü: E-posta Header Analizi ve Phishing Tespiti 101) Selamlar değerli topluluk üyeleri ve siber güvenlik meraklıları! Siber saldırganların bir kuruma veya bireye sızmak için en çok tercih ettiği yol hâlâ Phishing (Oltalama) saldırılarıdır. Gönderen kısmında "İnsan Kaynakları" veya "Banka Destek" yazması, o e-postanın gerçekten oradan geldiğini göstermez. Çünkü temel SMTP yapısında gönderen kimliğini tek başına güçlü biçimde doğrulayan bir mekanizma bulunmaz; bu nedenle From: bilgisinin taklit edilmesine karşı SPF, DKIM ve DMARC gibi ek doğrulama mekanizmaları kullanılır. Peki gelen bir e-postanın sahte mi yoksa gerçek mi olduğunu anlamak için arka plandaki "dijital mektup zarfını" yani E-posta Header (Üstbilgi) bilgilerini nasıl analiz ederiz? 🧠 1. E-posta Header (Üstbilgi) Nedir ve Orijinal IP Nasıl Bulunur? E-posta üstbilgisi, bir e-postanın gönderildiği andan alıcıya ulaşana kadar geçtiği tüm sunucuları, zaman damgalarını ve doğrulama sonuçlarını tutan teknik kimlik belgesidir. Received Satırları (Genellikle Aşağıdan Yukarıya Okuma): Header içerisindeki Received: satırları, e-postanın geçtiği posta sunucularını ve aktarım zincirini anlamamıza yardımcı olur. Genellikle aşağıdan yukarıya doğru incelenir. Ancak en alttaki Received: satırı her zaman gerçek göndericinin IP adresini göstermez; webmail servisleri, relay sunucuları ve güvenlik ağ geçitleri gerçek istemci IP adresini gizleyebilir. Return-Path & Reply-To: Gönderen adresi banka.com gibi görünse de yanıt verdiğinizde e-postanın gideceği adres (Reply-To) veya hata durumunda döneceği adres (Return-Path) bir saldırganın domain'i ([email protected]) olabilir. 🔒 2. E-posta Kimlik Doğrulama Üçlüsü: SPF, DKIM ve DMARC E-posta güvenliğini ayakta tutan üç temel koruma mekanizması vardır. Header analizinde Authentication-Results alanına bakılarak bu üçlü kontrol edilir: SPF (Sender Policy Framework): Domain sahibinin "Benim adıma sadece şu IP adresleri e-posta gönderebilir" dediği listedir. Header Kontrolü: spf=pass gönderen sunucunun SPF politikası açısından yetkili olduğunu; spf=fail ise gönderen sunucunun domainin yayınladığı SPF politikasıyla uyuşmadığını gösterebilir. DKIM (DomainKeys Identified Mail): Gönderen alan adına bağlı kriptografik bir imza mekanizmasıdır. İmzalanan e-posta içeriğinin aktarım sırasında değiştirilip değiştirilmediğinin ve imzanın ilgili domain tarafından doğrulanabildiğinin kontrol edilmesini sağlar. Header Kontrolü: dkim=pass veya dkim=fail. DMARC (Domain-based Message Authentication, Reporting & Conformance): SPF ve DKIM sonuçlarını, kullanıcıya görünen From: domain'iyle olan uyumlarını (alignment) dikkate alarak değerlendirir. Domain sahibi ayrıca doğrulama başarısız olduğunda uygulanmasını istediği politikayı none, quarantine veya reject olarak belirleyebilir. Header Kontrolü: dmarc=pass ise e-posta hem kimlik doğrulamasından geçmiş hem de alan adı politikasına uygundur. 📊 Hızlı Özet: Phishing Analizinde Kontrol Listesi Gönderen Bilgisi: From:, Return-Path: ve Reply-To: alanları arasında beklenmeyen veya şüpheli domain farklılıkları var mı? Gönderim Zinciri: Received: satırlarında beklenmeyen sunucular, IP adresleri veya yönlendirmeler bulunuyor mu? Tespit edilen IP/domain'ler gerektiğinde itibar servisleriyle kontrol edilebilir. Doğrulama Sonuçları: Authentication-Results alanında SPF, DKIM ve DMARC durumları PASS mi? Header Analiz Araçları: Header metnini Google Admin Toolbox Messageheader veya MXToolbox Header Analyzer araçlarına yapıştırarak görselleştirebilirsiniz. O zaman Mustafa soruyor: Kurumunuza veya kişisel kutunuza gelen şüpheli e-postaları incelerken en çok hangi e-posta header analiz araçlarını tercih ediyorsunuz? DMARC politikanızda "reject" moduna geçebildiniz mi, yoksa hâlâ "none" modunda mı izliyorsunuz? Düşüncelerinizi yorumlarda paylaşın! 👇 Okuduğunuz için teşekkürler! Kendinize, verilerinize ve dijital zırhınıza çok iyi bakın! 🌼