Fiziksel dünya için siber güvenlik

Nispeten nadir olsa da, operasyonel teknolojiyi etkileyen gerçek dünya olayları, kritik altyapıdaki kuruluşların OT tehdidini göz ardı edemeyeceğini gösteriyor.

Son yıllarda BT sistemlerine yönelik tüm yüksek profilli veri ihlalleri ve fidye yazılımı saldırılarının ortasında, iş açısından kritik operasyonel teknolojiye (OT) yönelik tehdit hâlâ genellikle hafife alınmaktadır. Oysa fiziksel dünya ile arayüz oluşturan teknoloji sistemlerine saldırmak, potansiyel olarak yıkıcı kinetik sonuçlar elde etmenin en hızlı yoludur. Örnek verecek olursak Ukrayna, temel enerji altyapısını başarılı bir şekilde sabote eden BlackEnergy ve Industroyer saldırılarına maruz kalmıştı. 

Bunlardan ilki 2015 yılında bir siber saldırının neden olduğu ilk elektrik kesintisiydi, ikincisi ise ertesi yıl Kiev sakinleri için toplu elektrik kesintilerine neden olmuştu. ESET araştırmacıları, 2022 yılında CERT-UA ile birlikte Ukrayna’da bir bölgenin elektriğini tekrar kesmesi planlanan Industroyer’in yeni bir varyantını tespit ettiklerini ancak neyse ki saldırının zamanında engellendiğini duyurmuşlardı. Nispeten nadir görülse de bu olaylar, özellikle kritik altyapı alanında faaliyet gösteren hiçbir kuruluşun OT siber tehdidini göz ardı edemeyeceğinin altını çizmektedir. 

BT artı OT 

Bilgi sistemlerini ve uygulamaları yönetmek için tasarlanan BT’nin aksine OT, fiziksel dünya sistemlerini yönetmek için kullanılan yazılım ve donanımı içerir. Genellikle fabrikalarda ve endüstriyel tesislerde, ICS’de, denetleyici kontrol ve veri toplama (SCADA) sistemlerinde ve programlanabilir mantık denetleyicilerinde (PLC’ler) bulunur. Ancak ulaşım, kamu hizmetleri ve sağlık hizmetleri gibi çok çeşitli sektörler de OT ile doludur.  

OT dünyasındaki siber güvenlik sorunları, bir zamanlar hava boşluğu olan, özel olarak inşa edilmiş sistemlerin internet bağlantısı ile geliştirilmesiyle ciddi bir şekilde başladı. Bu, uzaktan yönetilmelerini kolaylaştırmış olsa da aynı zamanda onları dünyanın her köşesinden gelen tehditlere maruz bıraktı. Ayrıca tehdit aktörleri daha fazla OT sistemini araştırdıkça ve yapılandırmaları ve kurulumu hakkındaki bilgileri çevrimiçi olarak daha kolay buldukça eski “gizlilik yoluyla güvenlik” inanışı aşınmaya başladı. Windows’un SCADA ve diğer OT ortamlarında sıklıkla kullanılması ve daha standart hâle getirilmiş bileşenler olması da çabalarına yardımcı oldu.  

Ne yazık ki bu tür saldırıların etkileri, kritik altyapının tahrip edilmesi ve iş süreçlerinin sabote edilmesi gibi ciddi boyutlarda olabilir. Bir tahmine göre, geçen yıl 500’den fazla fiziksel operasyonu sekteye uğratan 68 siber saldırı gerçekleşti. Bu da yıllık %16’lık bir artış anlamına geliyor. McKinsey tarafından aktarılan rakamlar, ciddi saldırıların olay başına maliyetinin 140 milyon ABD dolarına kadar çıkabileceğini iddia etmektedir. Buna Birleşik Krallık (NIS Düzenlemeleri) ve AB’deki (NIS2) potansiyel düzenleyici incelemeler dahil değildir. 

Tehdit hem mali motivasyonlu siber suçlulardan hem de ulus devletlerden geliyor. İkincisinin jeopolitik bir parlama noktası için zaman kolluyor olması daha muhtemeldir. Geçen yıl ortaya çıkarılan Çin devleti destekli böyle bir kampanyaya Volt Typhoon adı verildi. Bu kampanyada tehdit aktörleri, askeri bir çatışma durumunda kilit varlıkları sabote etmek amacıyla kritik altyapı ağlarında ısrarcı olmayı başardılar. 

OT güvenliğini doğru yapmak neden zordur? 

OT sistemleri BT’den çok daha uzun ömürlü olma eğilimindedir, bu da uyumluluk ve güvenlik sorunlarına neden olabilir. Siber güvenliğin sektörde her zaman en önemli öncelik olmadığı da bir gerçek. 2022′de yayımlanan bir rapor, OT ürünlerinde 56 yeni güvenlik açığı ortaya çıkardı ve yazarlar üreticilerin “tasarım gereği güvensiz” uygulamalarını eleştirdi. Araştırmacılar, keşfettikleri sorunların çoğuna resmi CVE numaraları verilmediğini ve bunun da varlık sahiplerinin etkili risk yönetimi kontrolleri yapmasını zorlaştırdığını bile iddia ettiler. 

Dahili OT ekipleri de siber güvenlik konusunda BT’deki meslektaşlarından farklı düşünmektedir. Birinci grup erişilebilirliği ve güvenliği önceliklendirirken ikinci grup gizliliği desteklemeyi (yani verileri ve varlıkları korumayı) hedefler. Bu durum, yama ve güvenlik açığı yönetimi söz konusu olduğunda çalışma süresinin açıkta kalan sistemleri güçlendirmekten daha değerli olduğu durumlarda zorluklar yaratabilir. 

OT güvenliğinin diğer zorlukları arasında şunları sayabiliriz: 

• Eski, güvensiz iletişim protokollerinin varlığı 

• Uzun donanım ömürlerinin yazılım uyumluluğu sorunlarına yol açması ve yöneticileri güncel olmayan işletim sistemleri/yazılımlarla OT çalıştırmaya zorlaması 

• Modern siber güvenlik kontrollerine uyamayacak kadar eski olan kitler 

• Ciddi kusurları tanımayan ve yöneticilere yanlış bir güvenlik hissi veren güvenlik sertifikaları 

• Görünürlük, koruma ve tespit boşlukları yaratan silolanmış BT/OT ekipleri 

• Güvensiz parolalar ve yanlış yapılandırmalar  

• Güvensiz ürün yazılımı güncellemeleri 

OT’nin güvence altına alınması: Parçaların yerine yerleştirilmesi 

Fidye yazılımları hâlâ OT sistemlerine yönelik en büyük tehditler arasında yer alsa da veri hırsızlığı/gasp, yıkıcı saldırılar, tedarik zinciri tehditleri ve hatta USB kaynaklı kötü amaçlı yazılımlar da bu sistemler için risk oluşturabilir. Peki bu riskleri nasıl azaltabilirsiniz? Her zaman olduğu gibi, insan, süreç ve teknolojiye odaklanan çok katmanlı bir strateji ilerlemenin yoludur. 

Aşağıdakileri düşünün: 

• Varlık keşfi ve yönetimi: Tüm OT varlıklarını, nasıl çalıştıklarını ve güvenlik/yama durumlarını anlayın. 

• Sürekli güvenlik açığı ve yama yönetimi: OT varlıklarını periyodik olarak güvenlik açıklarına karşı tarayın ve otomatik, risk tabanlı yama yönetimi programları çalıştırın. Sistemleri test etmek ve yamalamak için çevrimdışı hâle getirmenin zor olduğu ortamlarda sanal yamalamayı düşünün. 

• Ağları bölümlere ayırın: OT ağının kurumsal BT ağından hava boşluğuyla ayrı tutulduğundan ve tehdit aktörleri için yanal hareket fırsatlarını azaltmak için bölümlere ayrıldığından emin olun. 

• Kimlik ve erişim yönetimi: Çok faktörlü kimlik doğrulama dağıtın, en az ayrıcalık ilkelerini ve rol tabanlı erişim denetimlerini uygulayın. 

• Tehdit önleme: Kötü amaçlı yazılımları ve diğer tehditleri önlemek ve tespit etmek için güvenlik çözümleri dağıtın. 

• Veri koruması: OT verilerini bekleyen ve aktarım hâlindeki verileri güçlü şifreleme ile koruyun ve fidye yazılımlarının etkisini azaltmak için düzenli olarak yedekleyin. 

• Tedarik zinciri izleme: Tüm ekipman ve yazılım tedarikçilerinin, satıcıların ve yönetilen hizmet sağlayıcıların (MSP’ler) ayrıntılı bir tedarik zinciri güvence programı kapsamında olduğundan emin olun. 

• Önce insan güvenliği: Güvenlik öncelikli bir kültür oluşturmak için güvenlik farkındalığı ve eğitim programlarını yeniden gözden geçirin. 

Birkaç yıl önce Gartner, 2025 yılına kadar tehdit aktörlerinin insanlara zarar vermek veya öldürmek için OT ortamlarını silah hâline getirebilecekleri konusunda uyarmıştı. Yapay zekâ, bilgisayar korsanlarının açık hedefleri seçmesini ve tehlikeye atmasını kolaylaştırdığından BT sahiplerinin katmanlı güvenliği iki katına çıkarması her zamankinden daha önemli. Bu yönetişim belgesinde yapılan öneriler hiç bu kadar önemli olmamıştı.