Günümüzde tek bir tıklama ile dünyanın diğer ucundaki bir şahsa veyahut bir kuruma kolaylıkla mail göndermek mümkündür. Her ne kadar gelişen teknolojinin maili geride bırakacağı düşünülse de mail günümüzde hala en önemli iletişim araçları arasında yer almaktadır. Fakat maili bir iletişim aracı olarak kullanan birçok kişi aslında mail teknolojisine tam olarak hakim değildir. Mail gönderimi çok daha karmaşık bir süreçtir. Mail gönderimi mail server aracılığı ile olmaktadır. Bir mail göndericiden alıcıya giderken birkaç mail serverden geçmektedir. Bu durumda da, internetin her alanında olduğu gibi, Güvenlik, yani mail server güvenliği, çok önemli bir yere sahiptir. Mail Server güvenliği konusuna gelmeden önce anlatmamız gereken kısım Mail Sunucuları yani Mail Server konusudur.

Mail Server yani Mail Sunucusu, mail kullanıcıları için tüm e-postaları bir ağ üzerinde tutan uzaktaki bir merkezi sunucudur. Mail Server’ı bir postaneye benzetebiliriz. Bu sanal postanenin içinde de aynı şekilde kişilerin postaları son durağına varana dek saklanmaktadır. Mail Server bunun dışında, kullanıcıların kullandıkları elektronik posta yazılımıyla da irtibata geçerek bir veritabanı aracılığıyla kullanıcıların kolayca kendi postalarına erişebilmesini sağlamaktadır.

Mail sunucuları gönderi sunucuları ve alıcı sunucu olarak iki farklı kategori altında incelenir. Gönderi sunucuları olarak en çok bilinen e-mail sunucusu SMTP (Simple Mail Transfer Protocol) sunucularıdır. Alıcı sunucu olarak ise POP3 (Post Office Protocol 3) veya IMAP (İnternet Message Access Protocol) sunucuları kullanılmaktadır. IMAP veya POP3 sunucu protokolleri mesajlara dair bir kopyayı her zaman sunucu üzerinde de saklayabilmektedir.

Ek olarak belirtmek gerekirse tüm bu işlemler aşama aşama ne kadar uzun görünse de sadece saniyeler içerisinde gerçekleşir. Her ne kadar e-postalar bu denli güvenli aşamalardan geçiyor olsa da çağımızın getirmiş olduğu zorluklardan bir tanesi de güvensiz ağlardır. Tabi ki bu güvensiz ağları kullanan, daha doğrusu bu ağları oluşturan, kötü niyetli insanlar da vardır. Bundan dolayı gelen bütün e-postaları güvenli olduğunu kesin bir dille söyleyemeyiz. Bu elektronik postalar hakkında birkaç bilgi vermek gerekir.

E-mail yoluyla birçok insana içinde gömülü veya direkt olarak virüs gönderilmektedir. Mail yolu ile gönderilen virüsler bilgisayarda direkt olarak çalışmaz. Gelen mail içeriğine dikkat etmeyen kullanıcı bu gönderiye tıklar ve virüs bilgisayara bulaşmış olur. Saldırgan kişi E-mail programlarının HTML, JavaScript vb. program kodlarının çalıştırılabilmesini kullanmaktadır. Göndericisi bilinmeyen maillere virüs taraması yapılmadan mail içeriği açılmamalıdır. Virüs içerikli mailler genel olarak ekran koruyucu, oyun, bir web sitesi uzantısı, .exe uzantılı herhangi bir uygulama olabilir. Bu tarz içerikler bir mailde görülürse bunları bilgisayarda olan virüs programlarına taratmak gerekmektedir. Yapılacak en büyük hata gelen mailin kimden geldiğine ve içeriğine bakılmaksızın mail içeriğinin açılmasıdır.

Öncelikle gönderici ile alıcı arasına girerek bütün mailleri okumak isteyen bu kötü niyetli kullanıcılar, gönderilen mailin, gönderici ile alıcı arasındaki izlediği yol üzerinde her an durdurabilir, değiştirebilir, silebilir veya farklı bir yere yönlendirebilir. Örnek olarak trojan virüsü verilebilir. Bir Virüs programı kullanılmadığı takdirde bilgisayara yerleştirilen trojan yazmak istenilen her mailin kopyasını alabilir, farklı bir yere yönlendirebilir hatta içeriğini bile değiştirebilir. Trojan virüsü bilgisayarı kendi emelleri için kullanan bir virüs çeşididir. Bu virüs bilgisayarı işlem görmez hale getirmek için yapılan bir virüs çeşidi değildir. Bu virüsten korunmak için alınacak basit ve etkili önlemler bulunmaktadır. Bunların başında gelişmiş bir virüs programı kullanmak gelmektedir. Virüs programlarını sürekli güncel tutmak çok önemlidir. Bu şekilde kullanıldığında trojan virüsü bilgisayarda barınamaz hale gelir.

Bunun yanında kötü niyetli kullanıcılar direkt olarak maillere ulaşmak için karşı tarafa doğrudan saldırabilir ve eğer başarılı olur ise yukarıda bahsedildiği gibi e-posta ile ilgili her şeyi yapabilme yetkisine sahip olacaktır. Burada kötü niyetli kullanıcı bu saldırıyı kullanılmakta olan ağı dinleyerek yapabilmektedir. Ağ dinleme / izleme durumuna genel olarak “sniffing” adı verilmektedir. Sniffer; internet üzerinde bilinen her türlü iletişim protokolünde yapılan veri trafiğini izleme ve kaydetme görevini sağlayan bir teknolojidir. Bu tehditten kurtulabilmenin en bilinen yolu ağ üzerinde şifreleme ve şifre çözme uygulamalarının kullanılmasıdır. Fakat bu şekilde de yüzde yüz oranında bir güvenlik sağlanmamaktadır. Ancak zararı minimum seviyeye indirebilmek için izlenecek bir kaç aşama vardır. Bunları Bireysel ve Kurumsal Mail Güvenliği başlıkları altında kısaca anlatmak gerekirse;

Bireysel Email Güvenliği Nasıl Sağlanır?

Bilgilerin %100 güvenli olduğundan emin olmanın bir yolu olmasa da çoğunlukla zarardan uzak durmak için yapılabilecek birkaç şey vardır.

Aşağıda e-posta hesabını (veya hesaplarını) korumanın en iyi yollarının bir listesi bulunmaktadır

1. Güvenli şifre kullanımı : Çoğu şifrenin ne kadar zayıf olduğunu yapılan birçok araştırma göstermektedir. O yüzden iyi bir şifre en az 10 karakter uzunluğunda, büyük ve küçük harf kombinasyonlu ve özel bir karakter içermelidir.

2. Eklentilere dikkat etme : Özellikle bilinmeyen bir kullanıcı tarafından gönderilen bir elektronik postadaki eki açmadan önce e-posta taratılmalıdır. Virüs veya kötü amaçlı yazılımlarının yüzde doksanının eklerle bilgisayarlara bulaştığı unutulmamalıdır.

3. E-posta iletilerine hassas bilgiler eklememe : E-posta, veri sızıntısında birincil kaynaklarından biridir. Bir kişi veya kuruma hassas bir bilgi verilmesi gerekiyorsa bu kişi veya kurumları aramak daha güvenli olabilir. Hassas bir belge gönderilmesi gerekiyorsa farklı yöntemler denenebilir.

4. Spam veya kimlik avı e-posta’larına yanıt vermeme: Spam’ların %3’ünden fazlası kötü amaçlı yazılım taşır. Bu önemsiz bir yüzde gibi görünse de, her gün gönderilen spam e-posta’ların sayısı düşünüldüğünde, bazılarında kötü amaçlı yazılıma denk gelmek mümkündür. Bu yüzden spam iletilere yanıt vermek yerine hemen spam olarak işaretlenmelidir.

5. Herkese açık Wi-Fi ağlarına dikkat etme: E-posta’larını sık sık kontrol eden iş insanları, birçok yerde genel Wi-Fi’den yararlanır ve bunu yaparken halka açık Wi-Fi’nin bilgisayar korsanları için harika bir fırsat olduğunu unutabilir. Fakat sonuç ne olursa olsun yine de böyle bir Wi-Fi ağını kullanmak gerekiyorsa, en azından gerçek bir ücretsiz ağa bağlı olunduğundan emin olunmalıdır.

Kurumsal E-mail Güvenliği Nasıl Sağlanır?

E-posta hesaplarını korumanın birçok yolu vardır. Bu, işletmeler için çalışan eğitimi ve kapsamlı güvenlik protokollerini kapsayan iki yönlü bir yaklaşımdır. Kurumsal e-posta güvenliği için en iyi uygulamalar aşağıdakileri içerir:

– Çalışanlara, e-posta güvenlik riskleri ve e-posta üzerinden kimlik avı saldırılarına maruz kalmalarını nasıl önleyebilecekleri konusunda sürekli güvenlik eğitimleri vermeli.
– Çalışanlardan düzenli olarak güçlü parolalar kullanmalarını talep etme ve parola değişikliklerini zorunlu hale getirilmeli.
– Hem e-posta içeriğini hem de ekleri korumak için e-posta şifrelemesi kullanılmalı.
– Şirket, çalışanlarının kişisel cihazlardaki kurumsal e-posta’lara erişmesine izin veriyorsa, BYOD için en iyi güvenlik uygulamaları uygulanmalı.
– Hassas verileri tanımlamak ve e-posta yoluyla kaybolmasını önlemek için bir veri koruma çözümü uygulanmalı.
– İletileri taramak ve kötü amaçlı yazılım veya diğer kötü amaçlı dosyalar içeren e-posta’ları son kullanıcılara ulaşmadan engellemek için özel araçlar kullanılmalı.

Güvenli Bir Email Gönderimi İçin Tavsiyeler

Mail gönderecek kişinin kişisel bilgileri ek ve resimleri, herkesle paylaşılmasını istemeyeceği bilgiler içerebilir. Çok önemli bilgilere olmayabilir ancak bu yine de bilgilere herkesin ulaşması gerektiği anlamına gelmez. Bu yüzden e-posta göndermeden önce bazı güvenlik önlemleri alınması gerekir.

1-Göndermeden Önce Düşünülmesi

Her e-posta gönderildiğinde, her şeyin şifrelenmesi gerekmez. Bir e-postayı şifrelemek gerekip gerekmediği merak ediliyorsa, aşağıdaki soruları cevaplanmalıdır:

– E-posta değerli bir şey içeriyor mu (şifre, banka hesabı vb.)?
– Mesaj bir son kullanma tarihi ekleyecek kadar hassas mı?
– E-posta geri alınmak istenir mi?
– E-posta, kişinin veya bir kurumun özel bilgilerini içeriyor mu? Bu soruların herhangi birinin cevabı evet ise, mesajı korumak için bir e-posta şifreleme aracı kullanılmak istenebilir.

2-Güvenli E-posta Kişileri Listesi Oluşturma

Güvenli kişilerin bir listesini yapılır. Bunlar; arkadaşları, çocukları, doktor, avukat veya muhasebeci gibi her zaman şifreli, güvenli e-posta mesajları alması gereken kişiler olabilir.

3-İki Faktörlü Kimlik Doğrulama Kullanımı

İki faktörlü güvenlik önlemi şifresi ve e-posta sahibi dışında başka kimsenin erişimi olmayan bir şifreleme olarak nitelendirilebilir. Yapılması gereken şey genellikle hesaba normal şekilde giriş yapmaktır. Bu aşamanın ardından kullanıcıya başka bir şifre sorulur. Bu şifre ise birden fazla şekilde elde edilebilebilir. Hesaba girmek isteyenlerin kullanıcı adı ve şifre dışında ikinci koda da ihtiyacı olduğundan dolayı hesap sahibinin hesabına erişim sağlayamaz.

Özetle mail güvenliğini sağlamak kişiler ve kurumların elindedir. Yukarıda zikredilen kurallar dikkate alındığında oluşabilecek zararların kısmen önüne geçilebilir.