Tıbbi Cihazların Hacklenmesi

Billy Rios adlı bir Bilgi Güvenliği Uzmanı geçtiğimiz yaz ölümcül bir durumla karşı karşıya kalmasına neden olan bir durumda hastanenin acil servisine girdiğinde kendi durumunun kritikliğine çok az odaklanabilmişti. Bunun nedeni ise, acil serviste gördüğü otomatik ilaç pompalarını daha önce yürüttüğü bir güvenlik araştırmasından hatırlamasıydı. Bilgi Güvenliği Uzmanının beyin omurilik sıvısın burnundan akıyor olmasından çok, onu bağlayacakları ilaç pompasının “hacklenmesi” konusunun endişelendirmesinin somut bir nedeni vardı.

Rios’un tespit ettiği zafiyet her hangi birinin internet üzerinden pompanın ilaçlar için belirlediği üst ve alt doz miktarlarını değiştirmesine imkan veriyordu. Bu güvenlik açığından faydalanan bir hacker pompaların ölümcül sınırların üstünde ilaç verip hastaların ölümüne neden olmalarını sağlayabilirdi.

Bu konuda araştırma yapan başka bilgi güvenliği uzmanları daha önce internet üzerinden erişilebilir ve yönetilebilir halde insülin pompaları, defribilatör ve çeşitli tıbbi cihaz tespit etmişlerdi. 2011 yılında Jerome Radcliffe adlı bir araştırmacı birkaç dolarlık basit bir düzenek kurarak otomatik insülin pompalarının dozlarının uzaktan değiştirilebileceğini göstermiş ve ondan beri her sene kalp pilinden, radyoloji cihazlarına kadar pek çok tıbbi cihaz için yeni “hacklenme” yöntemleri ortaya çıkmaktadır.

  Üzgünüz, böbreğinizi “hacklemişler” (temsili) 

İlaçları hastalara otomatik olarak veren bu pompaların üreticilerinin dokümanları cihazların yazılımlarında “insan hatasından kaynaklanan nedenlerle yanlış doz kullanımı” durumlarına karşı ek tedbirlerin bulunduğu açıkça belirtmektedir. Rios tarafında tespit edilen güvenlik zafiyeti ise, cihazın hastane yönetim sistemi ile kurduğu iletişime müdahale ederek, sistemden alması gereken güncelleme yerine saldırgan tarafından gönderilen sahte güncellemenin cihaza yüklenmesine imkan veriyor. Bu sayede hacker pompanın kendi üzerinde bulunan ve bu tür müdahalelere karşı bir miktar koruması bulunan yazılıma saldırmak yerine bu pompaları merkezi olarak yöneten yazılıma müdahale ederek amacına ulaşabilir.

Billy Rios, markasını burada vermeyeceğim ancak dünya genelinde 55,000’den fazla hastanede kullanılan bu ilaç pompalarını yöneten yazılımda 4 farklı güvenlik zafiyeti tespit etmiştir.

Tespit ettiği bu yazılım kaynaklı güvenlik zafiyetlerine ek olarak sistemlerin güncellemeleri için kullanılan işlemlerde de önemli bir zafiyet bulunmaktadır. Akıllı telefonlarımızın güncelleme indirirken güncellemenin kaynağını ve indirilen güncelleme dosyasının bütünlüğünü kontrol etmesini sağlayan bazı tedbirler vardır ve bu nedenle her hangi birinin size “uygulama güncellemesiymiş gibi” zararlı yazılım gönderme imkanı yoktur. Rios, yaptığı çalışmalarda, yazılımda tespit ettiği güvenlik zafiyetlerine ek olarak bu tür bir kontrolün de yapılmadığını görmüş. Bu zafiyet her hangi birinin “güncelleme” dosyası gibi görünen bir zararlı yazılımı pompaya yükleyerek pompanın yönetimini ele geçirmesine imkan verebilir.

Her geçen gün, kardiyolojiden onkolojiye kadar geniş bir yelpazede kullanılan başka cihazların da hastane yönetim sistemleri ile bağlantılı halde (güncelleme, doz, tedavi veya hasta bilgisi gibi verileri gönderip aldığı) çalışmaya başlaması tıbbi cihazların güvenliği konusunu gündemimize taşımaktadır. Nesnelerin interneti konusunun somutlaşmaya başladığı bu günlerde, özellikle acil servis gibi noktalarda cihazların gerçek zamanlı veri akışına imkan verecek biçimde birbirine veya bir sisteme bağlı olması hayat kurtarabilecek bir gelişmedir.

Geçtiğimiz senenin Ekim ayında A.B.D. İç Güvenlik Bakanlığı (U.S. Department of Homeland Security) 20’den fazla tıbbi cihazın hackerlar tarafından ele geçirilebileceği düşüncesiyle geniş çaplı bir araştırma başlatmıştı. Reuters haber ajansına kimliğini gizleyerek açıklamalarda bulunan bir bakanlık yetkilisi, araştırmaların siber saldırı şüphesi üzerine başlatıldığını söylemişti. Söz konusu tıbbi cihazların “hacklenmesi” olduğunda 2007 yılında, o dönemin A.B.D. Başkan Yardımcısı olan Dick Chenney’in kullandığı kalp pilinin kablosuz iletişim özelliğini devreden çıkarttığını hatırlamadan edemeyiz. Bu konu çok geniş yankılar bulmuş ve bazı dizilerin senaryolarına bile eklenmişti.

Tıbbi cihazların “hacklenmesi” konusunda tek felaket senaryosu birilerinin uzaktan öldürülmesi ile sınırlı değildir. Bu cihazların hasta kayıtlarını ve verileri gönderdiği ve depoladığı sunucuların da bu cihazlarla olan iletişiminin güvenlik seviyesinin yetersiz olduğunu gösteren araştırmalar vardır. Bu seviyedeki güvenlik zafiyetlerinin istismar edilmesi hasta kayıtlarının silinmesine veya değiştirilip yanlış teşhis ve tedavilere neden olunmasına imkan verebilir.

Tıbbi cihazlarının güvenliği konusunda karşılaşılan en büyük sorunlardan birisi de bu cihazların yönetildiği ara yüzlerin internet üzerinden erişilemez olduğu ve sadece hastane içerisindeki bir bilgisayardan çalıştığı varsayıldığı için asgari güvenlik tedbirlerinin de bir bölümünün alınmamasıdır. Örneğin, hemşire bilgisayarından yönetilen veya takip edilen bir cihazın kontrol paneline ulaşmak için ya hiç parola istenmemesi veya “1234” gibi çok basit parolaların kullanılması, tıbbi cihazların güvenliğini olumsuz yönde etkilemektedir. Yaptığım güvenlik testlerinden birinde 100’e yakın hemşirenin kullandığı bir yazılımda “test” adlı tek bir kullanıcı gördüğümde inanamamıştım, sonradan bu kullanıcının hastane henüz yazılımı almadan denerken açıldığı ortaya çıkmıştı. Hastane yazılımı satınaldıktan sonra da kimse yeni kullanıcılar eklemekle uğraşmamış, mevcut kullanıcı bilgilerini paylaşıp kullanmaya devam etmişlerdi.

İnternete doğrudan bağlı olmasa bile başka cihaz veya sistemlerle kablolu veya kablosuz olarak her hangi bir şekilde iletişim kuran bütün cihazların “hacklenebilir” olduğunu hatırlayıp gerekli güvenlik tedbirlerinin alınmasında her zaman fayda vardır.

Webcam Adlı Kısa Filmde Bir Siber Suçlu Kurbanını Ele Geçiriyor…

“Webcam” adlı kısa film; bir siber suçlunun kurbanını ele geçirdiği laptopun kamerası üzerinden izlemesiyle başlıyor ve çok da “sürpriz” sayılamayacak bir sonla bitiyor.

Bilgi güvenliği konusunda yaptığım uyarılar, ne yazık ki, bazen “bilgisayarımda zaten önemli bir bilgi yok”, “benim ders notlarımı kim ne yapsın?” veya “Skype konuşmalarımı dinleyecekler de ne olacak?” gibi tepkilerle karşılanıyor. İş için kullandığımız bilgisayarları neden güvende tutmamız gerektiği konusunda sanıyorum kimsenin bir şüphesi yoktur, ancak kişisel bilgisayarlarımızın güvenliğini doğrudan birinin etkileyebileceğini unuttuğumuz için bu sistemlerin güvenliğinin ne kadar önemli olduğunu gözden kaçırmak mümkün olabilir.

Her şeyden önce evde kullandığımız bilgisayarlar, laptoplar ve tabletlerin güvenliği siber suçlulara evimize ve hayatımıza bir pencere açabileceği için önemlidir. Eve kaçta geliyoruz? İşe kaçta gidiyoruz? hangi sitelerde geziyoruz? Sosyal paylaşım sitelerindeki kullanıcı bilgilerimiz ve parolalarımız neler? Özel yazışmalarımızın içeriği nedir? Evde yalnız mı yaşıyoruz? Çocuğumuz hangi  konuda ödev yapıyor? Tatile nereye gittik? Kimlerle fotoğraf çektirdik? Kredi kartı numaramız nedir? Gibi bilgisayar üzerinde tuttuğumuz bütün kişisel verilerimiz, bilgisayarımıza sızan bir siber saldırgan tarafından ele geçirilebilir. Bunlardan çok daha tehlikeli olan bir şey ise kamera ve mikrofon üzerinden siber suçluların sizi ve evinizi, bilgisayarınız açık olduğu sürece aralıksız izleyebilecek bir yapı kurmalarının mümkün olmasıdır.

Evde kullandığımız bilgisayarları güvende tutmak ve bu sayede kendimizin ve sevdiklerimizin güvenliğini ve mahremiyetini korumak için aşağıdaki ipuçlarını dikkate almakta fayda var.

1.Antivirüs kullanınBundan kaçışımız ne yazık ki yok. Apple Macbooklarınızda, Windows bilgisayarlarınızda veya Android tablet ve telefonlarınızda mutlaka antivirüs yüklü olmalıdır. Rakamlar korkunç, günde 70 ila 80 BİN (yetmiş bin, rakam ile 70,000) yeni zararlı yazılım sürümünün görüldüğüne dair raporlar var. Bu kadar yeni zararlı yazılım 7/24 aralıksız olarak bulaşacak yeni sistemler arıyor ve, buluyorlar da. Yukarıda saydığım işletim sistemlerinin tamamı için ücretli ve ücretsiz antivirüs yazılımları mevcuttur, bunlardan size en uygun olanını indirip kurmanızı öneririm.

2.Kullanmadığınız/bilmediğiniz yazılımları ve uygulamaları kaldırınBilgisayarınızda veya tabletinizde tam olarak ne işe yaradığını bilmediğiniz veya kullanmadığınız uygulamalar varsa bunlardan kurtulabilirsiniz. Bu sayede bu uygulamalara bulaşacak bir zararlı yazılım veya bu yazımlardaki güvenlik zafiyetlerini istismar ederek sisteme sızacak bir siber suçlu riskini ortadan kaldırmış olursunuz.

3.İşletim sisteminizi güncelleyinMac OS, Windows, iOS veya Android, ne olduğunun bir önemi yok, işletim sistemlerinin üreticileri düzenli olarak güncellemeler çıkartır. Güncellemelerin bir bölümü işlevsellik veya mevcut sorunları ortadan kaldırmaya yöneliktir ancak önemli bir kısmı tespit edilmiş güvenlik zafiyetlerinin kapatılmasını amaçlamaktadır. Siber suçluların bu güncellemeleri yakından takip ettiklerini biliyoruz. Her güncelleme ile birlikte üreticilerin yayınladığı “X bileşeninde bulunan y zafiyeti kapatılmıştır” türü notlar suçluların dünyasında neredeyse altın değerindedir, bu bilgiler doğrultusunda bir önceki sürümde (veya güncelleme öncesi durumda) var olan güvenlik zafiyetlerine yönelik istismar teknikleri geliştirirler Her hangi bir güncellemeyi çıkar çıkmaz uygulamak işletim sisteminizi güvende tutmanızı sağlar.

4. Ziyaret ettiğiniz sitelere dikkat edinSadece oyun ve pornografik içerikli sitelerin değil, “normal” görünen sitelerin de zararlı yazılım dağıtmak için kullanıldığını pek çok olayda gördük. Siber suçluların popüler sitelere reklam verip, daha sonra reklam içeriğini değiştirip buralarda da zararlı yazılım dağıttığı olaylarda da artış gözlemlenmektedir. Bu nedenle ziyaret ettiğiniz sitenin ne olduğuna dikkat etmekte fayda var. Örneğin Facebook gibi görünen bir site pekala siber suçlular tarafından hazırlanmış bir tuzak olabilir. Adres çubuğuna ve bulunduğunuz siteye nasıl geldiğinizi düşünün. Bankanızdan gelen bir e-postadaki bağlantıya mı tıkladığınız? Tanımadığınız birinin Facebook’tan gönderdiği mesajdaki bağlantıyı tıkladınız ve Facebook sizden tekrar giriş yapmanızı mı istedi? Bu iki örnek üzerinde sayısız senaryo türetilebilir

5.Tahmin etmesi zor parolalar kullanınİnternet bankacılığından sosyal paylaşım sitelerine kadar pek çok yerde parola hem kişisel bilgilerinizi hem de kimliğinizi korur, bu nedenle tahmin edilmesi zor olması çok önemlidir. Küçük/büyük harf, sayı ve özel karakterlerden oluşan ve sözlükte bulunmayan bir dizilim olması çok önemlidir. Her site için farklı bir parola kullanmak ve parolalarınızı sık sık değiştirmek parolanızın güvenlik seviyesini artıracak ek tedbirlerdir

6.Tarayıcınızı güncel tutunSiber suçluların ve zararlı yazılımların sistemlerinizle ilk temas kurduğu yer çoğu zaman tarayıcınızdır (Chrome, Firefox, Explorer, Safari, Opera, vb.). Tarayıcınızda bulunan güvenlik zafiyetlerini istismar etmek için e-posta mesajlarından internet sayfalarına kadar geniş bir yelpazede saldırı vektörleri kullanılmaktadır. İşletim sistemlerinde olduğu gibi tarayıcınızın güncel olması sizi yaygın olarak bilinen pek çok güvenlik zafiyetinin istismar edilmesinden korur.

7.Farklı “işlere” farklı tarayıcılar kullanınTarayıcınızın ele geçirilmiş olması ihtimaline veya durumuna karşılık bankacılık ve online alışveriş gibi hassas bilgileri paylaştığınız işlemleri bir tarayıcıda, günlük internet kullanımınızı başka bir tarayıcı kullanarak yapmanızda fayda olabilir. Her iki tarayıcı da güncel tutarak kendinize ek bir güvenlik katmanı oluşturabilirsiniz.

8.Ortak kablosuz ağlara güvenmeyinEvde kullandığınız bir laptop veya tablet ile halka açık bir kablosuz ağı (Wi-Fi) kullanırken dikkatli olun. Mümkün olduğunca şifresiz bağlanılan kablosuz ağları kullanmayın ve, şifreli bile olsa, ortak bir kablosuz ağ üzerinden bankacılık işlemleri veya e-postalarınızı kontrol etmek gibi hassas işlemleri yapmamanızda fayda var.

9.Korsan yazılımlardan uzak durunİşletim sistemi, tasarım programı veya ofis yazılımı olabilir, korsan yazılım kullanıyorsanız siber suçluları ve zararlı yazılımları bilerek ve isteyerek sisteminize davet ediyorsunuz. Çoğu korsan yazılım yüklendikleri bilgisayarı veya tableti ele geçirmeyi amaçlayan siber suçlular tarafından hazırlanmakta ve yayılmaktadır. Korsan yazılımlar veya korsan olarak indirdiğiniz bir dizi bölümü veya film ile bilgisayarınıza erişmek için bir “arka kapı” açan siber suçlular bu kapıyı kullanarak hem kişisel olarak sizi hedef alırlar (bilgi ve mahremiyet kaybı) hem de sizin bilgisayarınızı ve internet bağlantınızı kullanarak başka sistemlere saldırırlar. Yeterince tehdit varken korsan yazılım ile “bile bile lades” yapmaya gerek olmadığını düşündüğümden, korsan yazılımdan uzak durulmasını şiddetle tavsiye ederim.

10.E-posta eklerine dikkat edinZararlı yazılımların e-postalarda ek veya bağlantı olarak gönderilmesi çok yaygın olarak görülen bir durumdur. Bu saldırılar özel olarak sizi (veya çalıştığınız yeri) hedef alabileceği gibi geniş çaplı “kampanyalar” kapsamında rastgele türetilen e-posta adreslerine gönderilmektedir. E-postanın kimden geldiğine (gerçek adres görünen isimden farklı olabilir), size mi gönderildiğine (BCC gibi gizli kopya olarak mı eklenmişsiniz?), ekinde nasıl bir dosya olduğuna (genel olarak .txt uzantılı dosyalar dışındaki bütün dosya türleri zararlı yazılım bulaştırmak için kullanılabilmektedir) gibi teknik ayrıntılara baktıktan sonra durup gelen e-postanın “mantığını” değerlendirmekte fayda var. Tanımadığınız biri size “define haritası” veya “fotoğraflarını” mı göndermiş? Beklediğiniz bir e-posta mı? Telefon hizmeti aldığınız firma size faturaları e-posta yoluyla mı gönderiyor? İnternet hizmeti aldığınız firmanın e-faturaları normalde .zip uzantılı mı geliyor? Bu bağlantıya tıklamam için merakımı uyandırmaya mı çalışıyorlar? Bu bağlantıya hemen tıklamazsam “önemli bir fırsatı” mı kaçıracağımı söylüyorlar? Benzeri soruları kendinize sormakta fayda var.

Intel İşlemcilerde Rowhammer Zafiyeti

Belirli aralıklarla “seksi” zafiyetler çıkıyor. Bunlardan bazıları Heartbleed ve Shellshock gibi etkileri veya hedef aldıkları sistemlerin yaygınlığı ile dikkat çeker (ki hatırlayalım Heartbleed’in logosu vadı), bazıları ise istismar kolaylıkları ile. Geçtiğimiz aylarda iPhone’ları bir SMS ile kilitleyen bir zafiyet çıkmıştı, yakın zamanda ise Android telefonların MMS mesajıyla ele geçirilmesini sağlayan bir zafiyet çıktı.

Ne olursa olsun, magazin medyası gibi pek çok güvenlik ürünü satan şirket bunları “korku hikayesi” anlatmak için kullanmayı seviyorlar. Neredeyse “tek MMS’le Android hackleniyormuş, gelin firewallunuzu yenileyin” diyecekler. Hele bir de “APT” kelimesini aynı cümle içine yerleştirmenin yolu bulunursa, ilgili ofislerde öyle bir bayram havası eser ki, sanırsınız Ankara’dan abileri gelmiş.

Yazılımlar olduğu sürece bu tür zafiyetler çıkacak, tıpkı başka bir ülkenin “siber ordusuna” bağlı hackerların istedikleri sisteme sızabilecekleri gerçeği gibi, bu kabullenmek zorunda olduğumuz bir şey. Bunlardan kaynaklı riskleri kabul edip, yönetmemiz gerekiyor.

MMS ile Android hacklemenin magazinsel boyutunu bir yana bırakarak, özellikle benim hizmet verdiğim kurumsal müşteri profilinde, daha çok can yakabileceğini düşündüğüm başka bir zafiyete dikkat çekmek istiyorum. Henüz 1 milyara yakın Android işletim sistemini kullanan cihazın olabileceğinin şokunu atlatamamışken, Intel işlemcileri etkileyebilecek bir zafiyet duyuruldu.

“Rowhammer” adı verilen bu zafiyeti istismar eden saldırganlar hedef sistem üzerinde yetkilerini yükseltebiliyorlar. Bilindiği kadarıyla uzaktan istismar edilebilen ve yazılımın donanımı etkilediği ilk zafiyet bu. Kötü haberi hemen vereyim; bu donanımsal bir zafiyet olduğu için 2009 yılından beri üretilen bütün Intel işlemcilerde olma ihtimali var.

Rowhammer nedir?
Kısaca; DRAM (Dynamic Random Access Memory) işlemcilerde iki hafıza parçasına (saldırgan) sıkça ve sürekli erişerek üçüncü bir hafıza parçasında (kurban) bit değişikliğine neden olan bir zafiyettir. Konu hakkında yayınlanmış makaleye http://users.ece.cmu.edu/~yoonguk/papers/kim-isca14.pdf adresinden ulaşabilirsiniz. Kurban olarak belirlenen hafıza parçasının saldırgan tarafından kullanılan prosesin emrindeki hafıza parçasının dışında olması nedeniyle bu zafiyet istismar edilerek yetki yükseltilebiliyor.

Zafiyet işlemcilerin boyutlarının sürekli küçülmesinin doğal bir sonucu olarak karşımıza çıkmaktadır. İşlemci küçülürken işlemci bileşenleri birbirlerine yaklaşıyor ve kullandıkları elektrik akımının bir başka bloğa atlamasını engellemek zorlaşıyor. Bu elektrik “kaçakları” kullanılarak da hafızanın, kullanıcı yetkilerimiz veya uygulamalarımız itibariyle, bizimle hiç alakası olmayan bir hafıza bloğuna etki etmemiz mümkün oluyor. Konuyu çok dağıtmadan anlatmak adına aşağıdaki görseli hazırladım;

Rowhammer
Bu örnekte DRAM hücresi olan A’ya saldırgan kendi yetkileriyle yazabildiğini varsayalım, bu kısım yetkisiz bir kullanıcının kullanabildiği bir yazılımın ulaşabildiği blok olsun. B ise kullanmaya yetkimiz olmayan bir hafıza bloğu. A’ya kısa sürede belli miktarda veri yazarsam (bkz. 1’i devamlı 0, 1, 0, 1, 0, vb… değiştirmek) oluşturduğum elektrik akımıyla bir süre sonra B’deki değer de değişebiliyor (0 ise 1, 1 ise 0 oluyor). Google tarafından test edilen 29 laptop işlemcisinin önemli bir kısmının bu zafiyetten etkilendiği görülmüş. Kullandığınız sistemlerde bu zafiyetin olup olmadığını anlamak için, yine Google’un geliştirdiği bir test yazılımına https://github.com/google/rowhammer-test adresinden ulaşabilirsiniz.

Aklımıza hemen gelen Intel işlemci kullanan PC’lerin dışında Apple’ların veya Cisco gibi ağ ve güvenlik cihazlarının da Intel marka işlemci kullanmaları bu tehdidin çok geniş bir kitleyi etkilemesine neden olmaktadır.

Neden Şimdi?
Yukarıda okuduklarınız geçen senenin sonu ve bu senenin başında belirli çevrelerde konuşulan bir konuydu. Genelde bunun gibi, henüz yaygınlaşmamış veya çok özel koşulların oluşmaması durumunda istismar edilemeyecek zafiyetleri, biraz da yok yere uykumuz kaçmasın diye, çok dillendirmiyorum. Geçtiğimiz hafta Avusturya Graz Üniversitesinden araştırmacılar tarafından yayınlanan bir makalede (http://arxiv.org/pdf/1507.06955v1.pdf) Rowhammer zafiyetinin bir JavaScript betiği ile nasıl istismar edilebileceği gösterildi.

Normal şartlar altında, saldırganın doğrudan işlemciyle konuşabileceği durumlarda istismar edilebilecek bu zafiyet herhangi bir websayfasının içine saklanabilecek hale geldi. Teorik bir saldırı bir anda karşımıza, “kurban buraya tıklıyor ve işleri bitiyor” senaryosu ile, çıktı. Rowhammer zafiyetine karşı bir süredir üreticiler BIOS güncellemeleri yayınlıyorlar ancak kullanıcıların ne kadar azının düzenli olarak BIOS güncellemesi yaptığını düşünürsek tehdidin internet kökenli olması nedeniyle tarayıcı üreticilerinin de bir çözüm üzerinde çalışmalarında fayda olacak gibi görünüyor.

Süper Zafiyet’e Hazır Olmak
Android “Stagefright”, “Heartbleed”, “POODLE” ve “Shellshock” gibi internete bağlı pek çok sistemi etkileyebilecek bir “Süper Zafiyet” ile daha karşı karşıyayız. Son zamanlarda bu tür zafiyetlerin sıkça çıkması nedeniyle kuruluşların bu ölçekteki zafiyetlere karşı hazır olmaları gerekiyor. Bu amaçla aşağıdaki noktaları dikkate alarak “bir sonraki geniş çaplı zafiyete” hazırlık yapmamızda fayda var;

“Bununla yaşamayı öğrenmeliyiz”
Deprem zamanı sıkça duyduğumuz bu söz bilgi güvenliği konusunda da geçerlidir. Er yada geç, bu geniş çaplı “süper zafiyetlerden” birisi kuruluşumuzda bulunan sistemleri etkileyecek (kayıtlara geçmesi açısından, şu ana kadar yazıda adı geçenlerin hepsi, büyük ihtimalle zaten etkiledi veya etkiliyor).

Takip Etmek
Bilinmeyen bir zafiyetin istismar edilmesini engelleyemeyiz. Mesela Rowhammer, kumhavuzu (sandbox) teknolojisinin atlatılması için de rahatlıkla kullanılabileceği için savunma hattımız etkisini yitirecektir. Bu nedenle sadece savunmaya odaklanmak yerine savunmanın aşıldığı senaryoları da dikkate alarak, örneğin kuruluş ağından çıkan internet trafiği izlenmelidir.

Hazır Olmak
Kuruluş içerisinde bilgi güvenliğinden sorumlu birimlerin hazır olması gerekmektedir. Böyle bir durumla karşılaştıklarında nasıl tepki verecekleri kuruluşun olaydan asgari kayıpla çıkmasını sağlayabilecek önemli bir etkendir. SOME (Siber Olaylara Müdahale Ekibi) süreçlerine ve hazırlık senaryolarına bu tarz “süper zafiyet” durumlarının da eklenmesi şarttır.

Evanteri Bilmek
Kuruluş bünyesinde kullanılan bütün yazılım ve donanımların listesinin olması Rowhammer örneğinden de anlaşılacağı gibi çok önemlidir. Bu yazıyı okurken ya kuruluş ağınızdaki Intel işlemcileri biliyordunuz veya yarın ilk iş bunları çıkartmak için uğraşacaksınız. Kriz durumları yaşanmadan bu envanter çalışmasını yapmakta fayda var.

En kötüsüne Hazır Olmak 
Üreticinin güncelleme yayınladığı durumlarda işimiz nispeten kolay ancak üreticinin güncelleme veya yama yayınlamadığı durumlarda da ne yapacağımızı bilmemiz şarttır. Üreticinin size yardımcı olamadığı (en azından an itibariyle) durumlar için de bir kontrol listesi hazırlamamız gerekiyor.

Siber güvenlik için 40 öğüt

Kendimi tanıtırken “Ahlaklı Bilgisayar Korsanı” demeyi seviyorum. Bunun başlıca nedenleri arasında “hacker” kelimesinin medya tarafından fazlaca kullanılarak içinin boşaltılması, bu “işlere” bulaşmamın oyun korsan oyun (ing. Crack) ile olması ve tabii ki çocukluk hayalim olan; “büyünce korsan olucam!” vardır. “Sunumlarınızın arkaplanında neden korsan bayrağı var?” sorusuyla da sıkça karşılaşıyorum, böylece, bu soruya da kısmen yanıt vermiş oldum.

Bu Pazar günü bir gazetede “Katip Çelebi’den korsanlara öğütler” başlıklı bir yazı okurken aklıma geldi ve Katip Çelebi’nin “Tuhfetü’l-Kibar Fi Esfari’l Bihar (Deniz Savaşları Hakkında büyüklere Armağan)” çalışmasında, denizcilere yönelik, sıraladığı 40 öğüdü; “Siber savaşlar hakkında büyüklere armağanlar” başlığı altında toparlamaya çalıştım. Bazı öğütler Katip Çelebi döneminin jeopolitik durumuna özel olarak yazıldığı için bunları listeye dahil edemedim. Dolayısıyla aslı 40 olan öğüt sayısının altında kaldım.

“Siber Savaşlar Hakkında Büyüklere Armağanlar”

Katip Çelebi’nin 40 öğüdü için kaynak olarak Deniz Kuvvetlerinin “Bahriye Wiki” sayfasını kullandım. (http://www.dzkk.tsk.tr/pages/denizwiki/konular.php?icerik_id=125&dil=1&wiki=1&catid=4)

 ilk öğüdü, denizcilik bilgisi sınırlı olan Kaptan Paşa ve diğer önemli komutanların, mutlaka tecrübeli denizcilere danışmaları gereği üzerinedir.
Bilgi güvenliği konusunda bu alanda tecrübeli, marka bağımsız danışmanlarla çalışmanın önemini her fırsatta dile getirmeye çalışıyorum. Herhangi bir güvenlik ürününü satan firmanın size danışmanlık yapması, en azından kendi ürününü az da olsa öne çıkartmadan bunu yapması, çok zordur. Bu nedenle bilgi güvenliği duruşunuzu ve yatırımlarınızı sağlam temellere oturtmak için bağımsız danışmanların tecrübelerinden faydalanılması önemlidir. Benzer şekilde bilgi güvenliği farkındalığı eğitimlerinin de kuruluş dışından birileri tarafından verilmesi kuruluş personeli tarafından verilmesinden çok daha verimli olacaktır.

2’nci öğüt, inşa süresinin kısa olması nedeniyle, mümkün olduğunca Donanma gemilerinin, istanbul Tersanesi’nde inşa edilmesi üzerinedir.
Yedekleme, yedekleme ve yedekleme. Bir olayla karşılaştığımızda hem kuruluşun kıymetli verilerinin kaybolmaması hem de kısa sürede tekrar “işler” hale gelmemiz aldığımız yedeklere bağlıdır. Veri yedeklerinin yanında önemli ağ ve güvenlik cihazlarının konfigürasyon yedeklerinin alınması şarttır. Elinizde yeni nesil güvenlik duvarları olabilir ve üreticiyle 12 saat içerisinde cihaz değişimi sözleşmesi de yapmış olabilirsiniz ama 12 saatin sonunda elinize ulaşan cihaza 200-300 kuralı hatırlamaya çalışarak manüel olarak girmeye çalışırsanız sıkıntı uzar. Bu nedenle “geri dönüş” süresini kısaltmak için veriler kadar konfigürasyon yedeklerinin alınması da önemlidir.

3‘üncü öğüt, gemilerin lojistik açıdan tam olarak donatılmalarının gereğini ortaya koymaktadır.
Doğru bir savunma hattı inşa etmek için gerekli temel bileşenlere sahip olunması şarttır. Tabii ki bütçe kısıtları gibi etkenlerle hepimiz son çıkan yeni nesil güvenlik duvarından 5’er 10’ar tane alabilecek durumda değiliz ancak hiç değilse doğru ayarlanmış bir güvenlik duvarına, kuruluş ağındaki bütün bilgisayarlarda antivirüs’e ve basit de olsa bilinen ve işletilen bir bilgi güvenliği politikasına (ISO27001 değil, basitçe “şu yapılır, bu yapılmaz” gibi üst yönetim sponsorluğunda bir yazı) ihtiyaç vardır.

 4’üncü öğüt, Donanma gemilerinin ilerisinde mutlaka keşif maksatlı gemi görevlendirilmesini dikte etmektedir.
Ağımızda olup biteni izlememizi sağlayacak bir yapı kurmalıyız. Dışarıya doğru açılan trafik, başarısız giriş denemeleri, ağ üzerinde çalışan servislerin takibi gibi belli başlı konularda bize bilgi verecek ve gerekli alarmları üretecek bir sistem kurulmalıdır. Hayır, gidip 100,000 Dolara SIEM (Security Incıdent Events Management) projeleri yapalım demiyorum, yapabilirseniz çok iyi, ama yapamıyorsanız da bunları takip edecek ücretsiz ve/veya açık kaynaklı yazılımlar var.

5’inci öğüt, Donanmada 200 parça gemi olursa, bunun iki kol (hat) halinde tertiplenmesinin faydalı olacağını açıklamaktadır.
Genel olarak savunma hattımızı kademeli olarak kurmamızda fayda var. Bu sayede bir cihazın devre dışı kalması, atlatılması veya ele geçirilmesi halinde saldırganları tespit edebilecek veya durdurabilecek bir çözüm daha olacaktır.

6’ncı öğüt, denizde öğlenden sonra bir liman yakınında bulunuluyorsa, o limana girilerek, geceyi limanda geçirmenin faydalarını anlatmaktadır.
Geceyi güvenli bir limanda geçirmek gibi, her gece düzenli olarak yedek alınmalıdır.

7’nci öğüt, Boğaz dışında bulunulduğunda, seyre çıkmadan önce sabah namazının kılınması gerektiğini vurgulamaktadır.
Namaz’a benzetmek doğru olmaz tabii ki ama bilgi güvenliği konusunda sabah işe gelir gelmez yapılmasında fayda olacak bazı şeyler var. Bunları günlük rutininize dahil edebilirseniz orta ve uzun vadede mutlaka faydasını görürsünüz. Sabah yapılacaklar arasında bir önceki gecenin saldırı loglarının (başarısız giriş denemesi, dışarı doğru açılan trafik, başlatılan servisler, vb.) incelenmesi, ortaya çıkman ve ağımızda bulunan sistemleri etkileyebilecek zafiyetlerin listelenmesi, yedeklerin doğru alınıp alınmadığının teyidi, yerel ağda belirmiş olabilecek yeni servislerin tespit edilmesi gibi temel konuları sayabiliriz.

8’inci öğüt, forslu gemi komutanlarının (baştarda reisleri) tecrübeli denizciler arasından seçilmesinin önemine işaret etmektedir.
SOME (Siber Olaylara Müdahale Ekibi) gibi bilgi güvenliği alanında çalışacakların bu alanda az da olsa tecrübesi olan personellerden seçilmesi önemlidir. Güvenlik seviyemizi koruyacak bazı rutinlere hakim, strese girmeyen ve güvenlik konusunun temellerine hakim arkadaşların görevlendirilmesi bir olay yaşanması halinde başarı ve başarısızlık arasındaki çizgiyi belirleyecektir.

9’uncu öğüt, Donanma içerisinde bastardaların yavaş gitmelerinin faydalı olacağını belirtmektedir.
Her cihazın olduğu gibi güvenlik cihazlarının kapasiteleri sınırlıdır. Bu gerçeğin bazı üreticilerin dokümanlarında (bkz. kapasitelerin yazılı olduğu kuşe kağıda basılmış parlak dokümanlar) kabul edilmediğini hepimiz görmüşüzdür. Yeni nesil olarak satılan ve 100 Mbps trafik kaldırabilen bir cihazın kapasitesinin IDS/IDS, malware, vb. modüllerinin devreye alınmasından sonra bu kapasiteyle çalışamaması normaldir. (bu bir “üreticileri kötüleme” yazısı değildir, üreticilerde çalışan dostlarım kızmasın) Bu durumda bizlerin gerçek kapasiteyi (kullanacağımız modüller devredeyken) bilip planlamamızı buna göre yapmamız gerekmektedir.

10’uncu öğüt, bey gemilerinin bastardaların önünde bulunmalarının önemine dikkat çekmektedir.
Cihazların işlevsel kapasitelerine göre yapılacak planlama sayesinde ağ üzerinde “dar boğaz” oluşması engellenmiş olur.

11’inci öğüt, gemilerin münavebeli olarak yağlanmalarını, bir grubun nöbetçi kalmasını, bu ihmal nedeniyle ağır zayiatlar verildiği anlatmaktadır.
Güncellemeler ilgili ağ bileşenlerini olduğu gibi ağ işleyişini de etkileyebilir. Bu nedenle kritik güncellemeler mutlaka önceden planlanmalı ve bir şeylerin ters gitmesi halinde yapılacağı önceden belirlenmelidir. Birden fazla benzer bileşen olması halinde güncellemeler sıraya yapılabilir.

12’nci, 13üncü ve 14’üncü öğütler Donanma özelinde ve dönemin jeopolitik şartlarına göre yazılmıştır.

15’inci öğüt, gemilerin gece fırtına çıktığında, müsademe riskine karşı gece boyunca fenerlerini yakmalarının faydalı olacağını belirtmektedir.
Gemilerimizi görebilmeye ihtiyaç duyduğumuz gibi ağ üzerindeki bilgisayarları da tanıyor olmamız lazım. Bu nedenle yerel ağa bağlı bilgisayarların tanınması ve tanınmayan bir sistem tespit edilmesi haline neler yapılacağı belirlenmelidir. Pahalı NAC (Network Access Control – Ağ Erişim Denetim) sistemleri almanız şart değil ama kimlere hizmet verdiğimizi de bilecek durumda olmalıyız.

16’ncı öğüt, Donanmanın sığlıklar ve seyir engelleri nedeniyle Ege Adaları arasında, ihtiyaç olmadıkça seyir yapmamalarını dile getirmektedir.
Kuruluş kaynakları kullanılarak internet üzerinde nerelere erişilebileceği belli olmalıdır. Tarayıcıyı vektör olarak kullanan saldırıların sayısının her gün arttığını görüyoruz. Yönetim kararıyla erişimi engellenen sosyal paylaşım sitesi vb. yerler dışında da güvensiz olabilecek zararlı yazılım dağıttığı bilinen sitelere de erişim kapatılmalıdır. Torrent trafiği gibi yapı itibariyle risk oluşturabilecek ağ trafiklerinin de benzer şekilde engellenmesi gerekmektedir.

17’nci öğüt, Donanmanın başka bölgelerde bulunduğu durumlarda, Ege Adalarını korumak için 10 parça geminin görevlendirilmesini talep etmektedir.
Sadece güvenlik konusunda çalışan personelin olmadığı kuruluşlarda günlük koşuşturma arasında bazı önemli güvenlik sorunların gözden kaçtığını görüyoruz. Bu nedenle ilk tavsiyemiz tabii ki bu sadece bu alanda çalışacak uzman(ların) istihdam edilmesidir. Bunun yapılamaması durumda ise bazı güvenlik görevlerinin çeşitli yazılımlarla otomatik hale getirilmesidir.

18’inci öğüt, Donanmanın sisli ve puslu havalarda kıyıya yakın seyrettiğinde, uygun bir bölgede demirlemesini, açık denizde seyredildiğinde ise, Kaptan Paşanın bastardasında mehter marşları çalınmasını, böylelikle gemilerin dağılmasının önlenmesini açıklamaktadır.
Donanmada bizim gemimiz dışında da gemiler olduğu gibi kuruluş ağı üzerinde bizim sorumlu olduğumuz sistemler dışında da sistemler vardır. Saldırganlar tarafından da istismar edilen en geniş saldırı yüzeyi olan istemciler bunun başında geliyor. Kuruluş bilgi güvenliğinin sağlanması için bu sistemlerin de güvende olması gerekmektedir. İstemciler gibi kontrolümüzün dışındaki sistemlerin güvenliğinin sağlanması için bu sistemlerin kullanıcılarının düzenli olarak bilgi güvenliği konusunda farkındalıklarının arttırılmasını sağlayacak çalışmaların yapılması gereklidir.

19’uncu öğütte, reislerin deniz ilmini iyi bilmeleri, harita ve pusuladan anlamaları, bu konuda hevesli olmaları dile getirilmektedir.
Güvenliğin sağlanabilmesi için güncel saldırıları takip etmek, yeni çıkan güvenlik yaklaşımları benimsemek ve kendimizi sürekli geliştirmek şarttır. Bu nedenle kuruluş bilgi güvenliği konusunda çalışacakların savunma teknolojilerine ve saldırı tekniklerini hakim oldukları kadar bu alanda kendilerini geliştirmeye hevesli olmaları gerekmektedir.

20’nci öğüt, gemicilerin sınava tabi tutulmasını ve başarılı olanların ödüllendirilmesini, böylece diğer denizcilerin teşvik edilmesini anlatmaktadır.
Sınavlar ve sertifikasyonlar bilgi güvenliği konusunda temel seviyede bilgi sahibi olduğumuzu belgeler. Kuruluş olarak iş ilanlarında üretici bağımsız sertifikalar talep etmekte fayda olabilir. Aklıma gelen başlıca sertifikalar; CEH (Certified Ethical Hacker), eCPT (eLearnSecurity Certified Penetration Tester), TSE Sızma Testi Uzmanı (Kayıtlı, Sertifikalı veya Kıdemli), GPEN (GIAC certified Penetration Tester) ve Comptia Security+ olacaktır. Tabii ki sertifikası olmadan da alanında çok başarılı iş yapan arkadaşlarım olduğu kadar sertifika sahibi olup da en basit konularda bile fikri olmayan tanıdıklarım var. Yukarıdaki tespitim geneldir, kimse üzerine alınmasın.

21’inci öğütte, Düşman donanmasının açık denizde, Donanmamızın ise, sahile yakın olduğu durumlarda muharebeden kaçınılması belirtilmektedir.
Ne yazık ki bu bizim verebileceğimiz bir karar değil. Savunan taraf olarak sürekli dezavantajlı durumda olan biziz. Saldırganların motivasyonlarının yüksek olması, kaynaklarının bol olması, zaman kısıtlarının olmaması gibi nedenlerden dolayı her zaman bizden bir adım öndeler.

22’nci öğüt, Düşman kalyonlarına çatışmanın başlangıcında çatma ile yanaşılmamasını, öncelikle uzun menzilden dümen ve direklerinin hedef alınmasını belirtmektedir.
Kademeli güvenlik yaklaşımı ile saldırının ve saldırganın farklı kademelerde bulunan farkı güvenlik cihazları ile durdurulmasına yönelik bir mimari benimsenmelidir. Güvenlik duvarı-IPS/IDS-Antivirüs en yaygın olarak gördüğümüz kademeli yaklaşımdır.

23’üncü öğüt, Kaptan Paşa’nın sancak gemisinin muharebe hattının gerisinde, 3 gemi ile pruvadan, iki gemi ile pupadan emniyet alınmasını dikte etmektedir.
Kuruluşumuz ağı üzerinde gerçekten korumamız gereken veri veya sistemlere fazladan özen gösterilmelidir. Müşteri bilgileri, kredi kartı numaraları veya ticari sır gibi kritik verilerin bulunduğu sistemlerde, veritabanı güvenlik duvarı (database firewall) veya web uygulaması düvenlik duvarı (web application firewall) gibi tedbirlerin alınmasında fayda vardır.

24’üncü ile 29’uncu öğütler deniz savaşları ve dönemin jeopolitik durumuna özel olarak yazılmıştır.

30’uncu öğüt, düşman gemisi bütünüyle teslim alınmadan, ganimet toplanmaması gereğini açıklamaktadır.
Korumamız gereken sistemlerin tamamı güvenli olmadığı sürece güvenlikten söz etmemiz mümkün değildir. Sadece sunucularımızı korumak bizi istemcilere yönelik saldırılara karşı açık bırakır. Bu nedenle kuruluş ağına bağlı sistemlerin tamamının güvenliğini ağlayacak bir güvenlik yaklaşımı benimsenmelidir.

31’inci öğüt, gemi sualtından isabet aldığında, yaranın bez parçaları, sarık vb. cisimlerle kapatılmasının faydalı olabileceğini ifade etmektedir.
Her gün ortaya çıkan güvenlik zafiyetleri gemiye isabet eden top atışlarına benzetilebilir. Tek bir zafiyetin sistemlerin tümünün ele geçirilmesine sebep olabilecek kadar önemli olabileceği gibi birden fazla “önemsiz” gibi görünen zafiyetin bir araya gelmesi benzer bir sonuç doğurabilir. Ne olursa olsun yayınlanan güvenlik zafiyetlerine karşı gerekli tedbirler alınmalı ve güncellemeler düzenli olarak yapılmalıdır.

32’nci ile 35’inci öğütler arasında kalanlar topçuluk ve asker istihdamı hakkındadır.

36’ncı öğütte, kalyon sınıfı gemilerin Boğazdan çıktıktan sonra Donanmaya fazla bir katkı sağlamadıkları belirtilmektedir.
Bazı çözümlerin bazı saldırı türlerine karşı etkili olamayacağını biliyoruz. Güvenlik konusunda her derde deva tek bir çözüm olmadığı gibi tek bir konuda tam çözüm sunan cihaz ve yazılımlar da azdır. Örneğin APT (Advanced Persistent Threat – Gelişmiş Sürekli Tehdit) saldırılarına karşı olan bir çözümün mutlaka SSL (bkz. https, port 443) sonlandırıp SSL ile şifrelenmiş olarak geçen trafiği izleyebiliyor olması şarttır. Bunu yapmayan bir çözüm sizi sadece APT değil, normal saldırıların bile önemli bir kısmına karşı koruyamayacaktır.

37’nci öğütte, Donanmanın hafif ve hızlı gemilerden oluşturulmasının, rüzgara tabi olan kalyonlardan oluşan düşman donanmasına karşı üstünlük sağlayacağı belirtilmektedir.
Saldırganların bize göre avantajlı durumda olduklarını biliyoruz bu nedenle az da olsa kendimize üstünlük sağlayabileceğimiz bir kaç konunun başında saldırganları hızlıca tespit etmek geliyor. Ağımıza ilk temas ettikleri noktada fark edilen saldırganlara karşı hızlıca tedbir almak mümkündür. Aksi takdirde, yapılan araştırma sonuçlarında da görüldüğü gibi saldırganlar yüzlerce gün (ortalama 220 gün) kuruluş ağının içerisinde tespit edilmeden dolaşabiliyorlar.

38 ve 39’uncu öğütlerde, ele geçirilen düşman kıyılarında kaleler inşa edilmesi ve bu suretle düşmanın etkisiz hale getirilmesinin önemi vurgulanmaktadır.
Ağımızın sadece internete bakan arayüzlerinin değil, kendi içinde iletişim kurmak için kullandığı arayüzlerin de güvenlik duvarı benzeri bir güvenlik tedbiriyle korunması gerekmektedir. VLAN’lar arasındaki iletişim ve hatta istemci ve sunucular arasındaki iletişimde bile nelere izin verilip verilmediği belli olmalı ve bu kuralları uygulayacak bir tedbir bulunmalıdır.

40’ıncı ve son öğütte, “Osmanlı padişahları ve Kaptan Paşaların sefer ve savaşlarının okunması, dinlenmesi ve bunlardan dersler çıkarılmasının önemi ile bu konuda gaflete düşmenin yaratabileceği tehlikeler” vurgulanmaktadır.
Başarılı saldırıların anatomileri incelenerek bunlardan gerekli dersler çıkartılması gereklidir. Bu şekilde belirlenen yeni saldırı vektörlerine ve tekniklerine karşı gerekli tedbirler alınmış olur.

Siber Hijyen Kuralları

Center for Internet Security (CIS) tarafından yürütülen “Siber Hijyen Kampanyası” kuruluşunuzun temel güvenlik seviyesinin arttırılmasını sağlayacaktır. Siber güvenlik konusunda en iyi uygulamalar (best practice) olarak da değerlendirebileceğimiz bu noktalar düşük maliyetli öneriler sunduğu için bütçe ve boyuttan bağımsız olarak bütün kuruluşlar tarafından hemen uygulanabilir niteliktedir.

Siber hijyen programının 5 temel bacağı var, bunlar;

• Say (ing. Count)
• Ayarla (ing. Configure)
• Denetle (ing. Control)
• Yama (ing. Patch)
• Tekrarla (ing. Repeat)

Kuruluşunuzda bir siber hijyen programı başlatmanıza yardımcı olmak için bu başlıkları aşağıda hızlıca ele aldım.

Say (Count)
Ağınıza bağlı sistemleri tanımak siber güvenlik için önemli bir adımdır. Kuruluşunuzdaki envanteri çıkartmadan kayıt, çalıntı, izinsiz veya yetkisiz cihazları tespit etmeniz çok zor olacaktır. Varlıkların envanterini çıkartarak sadece bunların en verimli biçimde kullanılmasını sağlamakla kalmaz, güvenliklerini sağlamak için de neler yapmanız gerektiğini bilirsiniz. Ağınıza bağlı neredeyse bütün varlıklarda çeşitli güvenlik zafiyetlerinin olduğunu bilerek bunların sonucunda ortaya çıkan riskleri yönetmemiz gerekiyor.

Envanter çalışmalarına kuruluşunuzun ağına bağlı cihazların listesini çıkartarak başlayabilirsiniz. Envanter çalışmasına dahil edebileceğiniz bazı cihazlar şunlardır;

• Dizüstü ve masaüstü bilgisayarlar
• Akıllı telefon ve tabletler
• Harici diskler, USB bellekler
• Yazıcılar
• Router, switch gibi ağ cihazları
• Sunucular
• Güvenlik duvarı, sızma tespit ve engelleme sistemleri gibi güvenlik cihazları

Envanter çalışmaları sırasında cihazlara etiket yapıştırmak (barkod kullanılabilir) bir sonraki envanter çalışmalarını kolaylaştıracaktır. Etiket üzerinde kuruluş bilgileriniz gibi bazı bilgiler ekleyebilirsiniz. Envanter kayıtlarında ise cihazla ilgili marka, model, seri numarası, disk ve hafıza kapasiteleri gibi bilgileri toparlamak gerekir. Envanter çalışmalarının nasıl yapılacağı ve nasıl güncel tutulacağını belirleyen bazı dokümanlar hazırlayarak kriterlerinizi de belirleyebilirsiniz.

Ayarla (Configure)
Bu aşamada sistemlerimizin güvenliğini doğru, ve güvenli ayarlar kullanarak, sağlamayı amaçlıyoruz. Bir çok güvenlik ihlali eksik veya güvensiz ayarlardan kaynaklanmaktadır, bunlara verebileceğimiz basit ama sık karşılaşılan bir örnek fabrika çıkışı kullanıcı adı ve parolalarının kullanılmasıdır. Bazı ayarları yapmadan gerçekleştirdiğimiz kurulumların güvenlik açıklarına neden olacağını hatırlamakta fayda var. Kurulumu yapılan sisteme göre önceden belirlenmiş kurulum ayarlarının kullanılması kurulum ve ayarlardan kaynaklı zafiyetlerin çıkma ihtimalini azaltacaktır. Sistemler üzerinde yapılacak ayar değişikliklerinin yapılmadan önce kayıt altına alınmasını, onaylanmasını ve denetlenmesini sağlayacak bir yapı oluşturulması gerekmektedir. Özellikle işletim sistemlerinin sıkılaştırılması için CIS (Center for Internet Security) gibi kuruluşlar tarafından yayınlanmış kurulum dokümanlarının kılavuzluğunda kurulmasında fayda olacaktır.

Bu sıkılaştırılmış kurulumların kuruluşunuz genelinde kullanılması, yeni kurulumların bunlara göre yapılması ve eski kurulumların bunlara uygunluğunun denetlenmesi önemlidir. Belli aralıklarla kurulumların uygunluğunun kontrol edilmesi şarttır.

Denetle (Control)
Kullanıcı hesaplarını ve kullanıcı hesaplarının yetkilerini denetleyerek güvenlik seviyesinin arttırılmasını amaçlar. Doğru şekilde yönetilen kullanıcı hesapları sadece siber saldırı sonucu ortaya çıkabilecek güvenlik ihlallerini engellemekle kalmaz, kullanıcıların hatalarından kaynaklı ihlallerin de büyük ölçüde azaltılmasını sağlar.

Kullanıcı hesaplarını denetlemek için öncelikle hesap yetkilerinin ve erişim yönetimi planının belirlenmesi gerekecektir. Kullanıcı hesaplarının nasıl oluşturulacağı ve bu işlemi kimin ve hangi onaylardan geçerek yapacağını da belgelemekte fayda olacaktır. Hesapların hangi sistem kaynaklarına ve nasıl erişebileceklerinin de önceden ve hesabın kullanıcısının görev, yetki ve sorumluluklarına uygun olarak kayıt altına alınarak denetlenmesi şarttır. Kullanıcı hesaplarının denetlenmesine önemli ölçüde katkı sağlayacak bir etken de güçlü parola kullanımıdır. Kullanıcıların güçlü parola kullanımı konusunda eğitilmesi ve kuruluş genelinde bu konuda farkındalık oluşturacak çalışmalar yapılması çok önemlidir. Kullanıcı hesaplarının davranışlarının kayıt altına alınması ve izlenmesi pek çok güvenlik ihlalinin erkenden tespit edilmesine imkan verir. Kullanıcı hesaplarının sisteme giriş çıkış saatlerinin ve eriştikleri kaynakların izlenmesi, olağandışı davranışların fark edilmesini sağlar.

Mevcut yapının ortaya çıkartılması denetleme sürecinin oluşturulmasını kolaylaştıracaktır. Bugün kuruluşunuzda kullanıcı hesaplarının nasıl ve hangi yetkilerle oluşturulduğunu belirledikten sonra izlenen yolun ve ortaya çıkan hesapların uygulamaya çalıştığınız kullanıcı hesabı denetimine uygun olduğundan emin olun. Mevcut durumdan başlayarak hesaplara tanınan gereksiz ve fazladan yetkilerin kaldırılmasını sağlayıp, yeni açılacak hesaplarda bu yetkilerin verilmemesini sağlayacak değişiklikleri yapın. Kullanıcı yetkilerinin kullanıcının işi gereği sahip olduğu yetkilere ve işini yapmak için ihtiyaç duyduğu kaynaklara uygun olmasını sağlayın. Bu kapsamda uzaktan erişim sağladığınız kullanıcıların da ele alınıp yetkileri ve uzaktan erişim için kullandıkları yöntemin güvenliğinden emin olun.

Yama (Patch)
Yama ve zafiyet yönetimi kuruluşunuzun sistemlerinde mevcut güvenlik zafiyetlerinin istismar edilmesini önlemeyi amaçlar. Kuruluş sistemlerinin tümünü kapsayacak bir yama ve zafiyet yönetimi süreci sayesinde;

• Sistemler üzerinde tespit edilmiş zafiyetlerin hızlıca giderilmesi
• Mevcut ve gerçek güvenlik seviyenizin yakından takip edilip belli bir seviyenin üzerinde tutulması
• Sistemlerin siber saldırı veya uygulama hatası nedeniyle devre dışı kalması

Büyük ölçüde engellenmiş olur.

Yama yönetimi süreçlerinin oluşturulması için kuruluş içerisindeki yazılımların bir envanterinin çıkartılması gerekmektedir. Envantere aşağıdakiler dahil edilmelidir;

• İşletim sistemleri
• İstemciler (kullanıcı bilgisayarları) üzerinde kullanılan yazılımlar
• Sunucular üzerinde çalışan yazılımlar
• Web tabanlı uygulamalar
• İçerik yönetimi sistemleri (WordPress, Joomla, vb.)
• Mobil uygulamalar
• Yazıcı, tarayıcı ve diğer ofis cihazlarının işletim sistemleri
• Ağ ve güvenlik cihazlarının işletim sistemleri

Yama ve güvenlik güncellemelerinin düzenli olarak yapıldığından emin olun. Bu tür önemli güncellemeleri takip edebileceğiniz bazı yerler şunlardır;

• Microsoft tarafından yayınlanan güncellemeler
• USOM güvenlik zafiyeti duyuruları
• Cihaz ve yazılım üreticilerinin duyuruları
• Güvenlik blogları ve mail listeleri (bu tür kritik zafiyetleri ben de elimden geldiğince duyurmaya çalışıyorum)

Yama ve zafiyet yönetimi için daha önceki adımlarda çıkarttığımız envanterden faydalanabiliriz. Envanter üzerinde hangi sistemin işletim sisteminin ne kadar güncel olduğunu (en son sürümle aralarında kaç sürüm var?) belirledikten sonra iş süreçleri açısından en kritik olan sistemlerden ve/veya en kritik zafiyetin bulunduğu sistemlerden başlayarak güncellemeler hızlıca yapılmalıdır. Güncelleme görevi ilgili sistemi kullanan ve yöneten birimlere de atanabilir.

Yama ve zafiyet yönetimi konusunda güncellemeleri hangi sıklıkta, kimin ve nasıl yapacağının belirlenmesinin gerekli olduğudur. Örneğin; güncellemeleri her ayın 15’inde yapmaya karar verdiysek başka bir gün çıkacak kritik bir güvenlik zafiyetinin yamasının nasıl yapılacağının da belli olması gerekecektir. Güncellemelerin sorun çıkartabileceğini de düşünüp, güncelleme sırasında veya sonrasında ilgili sistemin devre dışı kalması halinde ne yapılacağı ve sistemin güncelleme öncesi haline nasıl döndürüleceğinin de belirlenmesinde fayda var.

Tekrarla (Repeat)
Önceki adımlarda ortaya çıkan önceliklere göre “say”, “ayarla”, “denetle” ve “yama” adımlarının tekrarlanması gerekiyor. Aksi takdirde önceki aşamaların sonucunda elde ettiğiniz güvenlik seviyesi hızlıca azalarak çalışmaların etkilerinin tamamen ortadan kalkacağı bir duruma gelinir. Aşamaların tekrarlanması gereken noktalarını özetlersek;

Say:
Ağınıza eklenen her sistem (yazılım ve/veya donanım) envantere de eklenmelidir. Düzenli aralıklarla envanterinizi kontrol ederek (örn. Ağ taraması yaparak) güncel tutulduğundan emin olun.
Ayarla:
Kritik ve önemli varlıklarınızın konfigürasyonunu düzenli aralıklarla kontrol edin. Belirlediğiniz kriterlere uymalarını sağlayın.
Denetle:
Önemli veriler dahil hangi kullanıcıların hangi sistemlere ve nasıl (hangi yöntem ve yetkilerle) eriştiğini düzenli olarak denetleyin.
Yama:
Haftalık, aylık ve kritik güvenlik açıklarının yama ve güncellemelerini düzenli olarak yapın.

Aşağıda görsel olarak özetlediğim siber hijyen döngüsünün adımlarının çeşitli araçlarla otomatize edilmesi mümkündür. Burada kullanılacak otomasyon miktarı kuruluşunuzun büyüklüğüne ve kaynaklarına bağlı olarak değişecektir.

APT operasyonu IP adresleri ve URL'leri

Önemli: Bu IP adresleri ve URL'ler Türkiye'yi de hedef alan bir operasyon kapsamında kullanılmış. Kurumsal ağınızın bunlarla teması olduysa araştırmakta fayda var. Ayrıntılar için https://www.checkpoint.com/downloads/volatile-cedar-technical-report.pdf

2015 trendleri: APT insanın kendine yakışanı giymesidir

Adını son olarak SONY’nin hacklenmesi olayında duyduğumuz Fireeye’ın Mandiant şirketi “2015 trendleri: Ön cepheden görüntü” adıyla bir rapor yayınladı.
Geçtiğimiz senenin öne çıkan güvenlik trendlerinin ve 2015 içerisinde görmemiz muhtemel trendlerin ele alındığı raporun bazı konu başlıklarını toparladım.

Rapora https://www2.fireeye.com/WEB-2015RPTM-Trends.html adresinden ulaşabilirsiniz.

Raporda öne çıkan bazı rakamlar
Saldırıların %31’i kurban tarafından tespit edilebilirken, %69’u dış kaynaklardan öğrenilmiş. Bu istatistik, diğer üreticilerin raporlarında gördüğümüz rakamlara çok yakın olduğu için henüz saldırganları tespit edebilme becerilerimizi geliştirme yönünde almamız gereken çok yol olduğunu görüyoruz.

Saldırganlar (saldırganın kendi bağlantısı veya kullanılan zararlı yazılım) tespit edilmeden önce ortalama 205 gün kurum ağında varlığını korumuş. Özetle, ağımıza biri sızdığında veya bir zararlı yazılım bulaştığında bunu tespit etmemiz ortalama 205 gün sürüyor.  Rapora konu olaylar arasında gözlemlenen en uzun süre 2,982 (yazı ile ikibindokuzyüzsekseniki!) gün olmuş.

Raporda 2015 trendleri olarak 4 konuya yer verilmiş.

Trend 1: Olayın duyulmasıyla başa çıkmak
Yaşanan bir güvenlik ihlali sonrasında hedef olan kurum tarafından yapılacak açıklama kurum imajı ve halkın olayla ilgili algısı bakımından hayati önem taşımaktadır. Kurumun duruma hakim görünmesi ve olayın bütün boyutuyla araştırıldığı mesajının net bir şekilde verilmesi olayların algılanma şeklini doğrudan etkilemektedir. 2014 yılında yaşanan güvenlik ihlalleri halkın bu tür olayların etkileri konusunda önceki yıllarda olduğundan daha bilinçli hale gelmesini sağlamıştır. Önceki yıllarda yapılan ve saldırı tarihi ve dışarı sızan veri türünden ibaret açıklamalar artık basın ve halk tarafından yeterli bulunmamakta, saldırı vektörü ve saldırının arkasında kimlerin olduğu gibi bilgiler de talep edilmektedir.
Yapılacak açıklamalar spekülasyonların önüne geçebilmeli (henüz tamamlanmamış bir araştırmanın verileriyle bunun mümkün olabildiği ölçüde) ve olayın aslından sapmasını engellemelidir. Olay sonrası açıklama yapılmasını neredeyse mecburi hale getiren neden ise olayların çoğunun kurum fark etmeden önce halka duyurulmasıdır (bkz. 2014 yılında 0layların %69’u dış kaynaklardan öğrenilmiştir).

Raporda bu tür bir olay yaşandığında açıklama kaleme alınırken cevaplanmasında fayda olabilecek bazı sorulara yer verilmiş. Bunlar;
Saldırgan içeri nasıl sızdı?
Saldırgan içerideki sistemlerle bağlantısını nasıl kalıcı hale getirdi?
Saldırının adımları nelerdi?
Hangi veriler çalındı?
Saldırı kontrol altına alınıp saldırgan unsurlar temizlendi mi?

Trend 2: Perakendeciler hedefte
2014 yılında çalınan milyonlarca kredi kartı bilgisi pek çok kişiyi kredi kartlarını iptal edip yenilerini çıkartmaya mecbur etmişti. Perakendeciler kredi kartı (dolayısıyla para) işlemlerinin yoğun olduğu yerler oldukları için saldırganların iştahını kabartmaktadırlar. Öyle görünüyor ki hedefleri kolay para kazanmak olan bazı gruplar saldırılarına 2015 yılında da devam edecekler.

Alışveriş veya sanal kasa gibi uygulamaların sanallaştırılması, bir yandan uygulamanın ortamdan bağımsız daha güvenli bir baloncuk içerisinde çalışmasına imkan verirken, diğer yandan saldırganlar için bazı fırsatlar doğurmaktadır. Doğru kurulup konfigüre edildiğinde bu sanal uygulamalar olabildiği ölçüde güvenlidir ancak raporda ele alınan çoğu örnekte basit konfigürasyon hatalarının ve çift kademeli giriş yöntemlerinin kullanıldığı belirtilmiştir. Saldırganların yazarkasa ve POS yazılımlarını hedef alan zararlı yazılımlar geliştirmiş olması da bu noktanın geçerli bir saldırı vektörü haline gelmesine neden olmuştur.

Raporda büyük bir A.B.D.’li perakendecinin yaşadığı olayın adımlarına da yer verilmiş. Saldırının başlıca adımlar aşağıdaki gibi gelişmiş.

1. Saldırgan uygulamaya geçerli kullanıcı adı ve parolalar ile giriş yapmış. Kullanıcı bilgilerinin ne şekilde ele geçirildiği bilinmemektedir. 
2. Saldırgan ağ içerisinde “dolaşmak” için bizim de sızma testlerinde kullandığımız Metasploit yazılımını kullanmış. Metasploit bilinen pek çok istismar kodunu barındıran açık kaynaklı bir yazılımdır. Metaploit ile domain yönetici bilgilerini ele geçiren saldırganlar bu noktadan sonra ağ üzerinde yayılmak için sistem yöneticileri tarafından kullanılan(SysInternals PsExec aracı ve RDP gibi) daha alışılmış yöntemlere geçiş yapmıştır. 
3. Bağlantılarını kalıcı hale getirmek için bir kaç farklı bilgisayara arka kapı yerleştirilmiş. 
4. Ele geçirdikleri domain yetkili kullanıcısının POS cihazlarının olduğu ağ üzerinde de geçerli olması sayesinde saldırganlar POS cihazlarını etkileyecek zararlı yazılımı rahatlıkla ağ geneline kurmuşlar. Bu zararlı yazılım POS cihazları üzerinden kredi kartı numarası gibi bilgileri çalmıştır. 

Bu tür bir saldırının önüne geçebilmek için raporda aşağıdaki tavsiyeler verilmiştir;
Uzak bağlantıların güvenliğinin sağlanması: Sistemlere uzaktan kimin ve hangi şartlarda erişebildiğinin denetlenmesi.
Ödeme aracı bilgilerinin bulunduğu ağın güvenliğinin sağlanması: Bu bilgilerin bulunduğu ağlara erişmek için iki kademeli kimlik doğrulaması gibi araçların kullanılması.
Kritik altyapılarda uygulamaların beyaz listeye alınması: Önemli sunucularda hangi yazılımların çalışabileceğinin belirlenmesi ve bunların dışında hiç bir yazılımın çalışmasına izin verilmemesi.
Yetkili kullanıcı hesaplarının yönetimi: Ağ veya belirli bir sistem genelinde yetkili kullanıcı hesaplarının korunması ve yönetilmesi için gerekli tedbirlerin alınması.

Trend 3: Gelişen saldırı döngüsü
Raporda 2014 yılında saldırganların bir VPN bağlantısını ele geçirip bunu kullandıkları olayların sayısında artış görülmüş. VPN bağlantısını ele geçiren saldırgan sistem üzerinde bir arka kapı açmakla uğraşmadığı gibi yetkili kullanıcılar arasında dikkat çekmeden “işlerini” yürütebilmektedir.
VPN bağlantısının sadece kullanıcı adı ve parola ile kurulduğu durumlarda saldırganlar bu bilgileri kolayca elde ederek VON bağlantısını diledikleri gibi kullanmaya başlamıştır. İki kademeli giriş (kullanıcı adı ve parolaya ek olarak bir güvenlik katmanının daha bulunması) kullanıldığı durumlar arasında ise ikinci kademinin bir dijital sertifika olması, saldırganların bu sertifikayı çalarak bağlantıyı kurmalarına imkan vermiştir.
Saldırganların, çok eski bir yöntem olmasına karşın, “webshell” olarak da adlandırılan web tabanlı arka kapıları rahatlıkla kullanmaya devam ettikleri görülmüştür. Bu arka kapıları HTTPS olarak açan saldırganlar bu sayede şifreli ve bir çok güvenlik çözümü tarafından görülmeyen bir yol bulmuşlardır.

Trend 4: Suçlular ve APT’ler içiçe
Siber suçlu olarak adlandırabileceğimiz ve APT aktörlerine göre daha düşük seviyede bir tehdit olan saldırganların APT’lerde görmeye alışkın olduğumuz yöntemleri kullanması, aynı şekilde de APT olarak sınıflandırılan saldırılarda çok basit ve genel saldırı tekniklerin kullanılması iki saldırı türü arasındaki çizgilerin silinmesine neden olmaktadır. Tekniklerin saldırganlar arasında ortak kullanılması bir saldırıyı değerlendirirken kullanılan tekniklerden çok saldırganın niyetinin anlaşılması gerekliliğini ortaya çıkartmıştır. Özellikle hedefli oltalama (spear phishing) gibi sosyal mühendislik saldırılarının, hedefe özel yazılmış zararlı yazılımların her iki saldırgan grubu tarafından da kullanılması ayrım yapmayı zorlaştırmaktadır.

Raporun özellikle saldırganlar arasında ortak kullanılan saldırı vektörlerinin varlığını kabul etmesi benim için önemli bir gelişmedir. Güvenlik "satan" pek çok üreticinin, sıradan saldırılara karşı yeterli yatırımı yaptığınızı düşündüğü hallerde sorduğu "APT'lere karşı ne yapıyorsunuz?" sorusunun gerçeklikten uzak olduğunu hep savunan biri olarak bu itiraf hoşuma gitti.