Küçük şirketler, büyük siber tehdit altında

Uluslararası siber tehditin boyutları dehşet verici biçimde büyüdü. Önceleri bireysel hackerlardan söz ediyorduk. Şimdi ise hacker ve terör gruplarından, kimi ülkelerin büyük siber saldırı güçlerinden söz ediyoruz. Güvenlik için yapılan çalışmalara rağmen saldırılar aralıksız sürüyor ve ciddi zararlar veriyorlar. En çok zarar görenler de küçük ve orta boy şirketler. Uluslararası boyuttan her düzeyde şirketlere kadar siber tehdit alan yapıları Kadir Has Üniversitesi öğretim üyesi Doç. Dr. Salih Bıçakçı ile konuştuk.

- Sayın Bıçakçı, siz Ortadoğu ve Afrika Araştırma ve Uygulama Merkezi Direktörüsünüz. Ortadoğu, dünyanın karışık yerlerinden birisi. Hele bugünlerde iyice karmaşık bir gündem maddesi oldu. Sanıyorum yüz yıldır Ortadoğu savaş, kan, vahşet, şiddetle anılıyor. Bu durum daha yüzyıllarca böyle mi gidecek?

- Ortadoğu’nun tarihi de böyle olduğu için herhalde aynen devam edecek.

SORUNLARIN KAYNAĞI PETROL

- Binlerce yıllık tarihinde de aynı şeyler yaşanıyor değil mi?

- Evet, tarihi boyunca kaos, kargaşa, çatışma burada hiç bitmemiş. İlk petrol istasyonunun kuruluş tarihi 1904 yılına gidiyor. Petrol çok önemli bir kaynak ve dolayısıyla onun paylaşılması meselesi önem kazanıyor. Değişik menfaatler büyüyor, bunlar politik güçlerle birleşiyor. Ortadoğu’nun çok fazla müdahili var ve bu kadar müdahil olunca çatışma, kan, barut eksik olmuyor.

Ama geçmişinde sömürgecilik olan bir çok yer de aynı durumda. Pakistan, Afganistan, Afrika’nın ve Asya’nın kimi yerleri de aynı durumda. Bu çatışmalar belki biraz daha barışçıl olabilir. Ülkelerin liderleri, onların tercihleri, yabancı müdahaleleri bizim karşımıza bu tabloyu çıkarıyor.

- Evet, söyledikleriniz çok doğru. Ancak, örneğin gelecek 50 yılda bu kötü gidişin sona ereceğini bize gösterecek bir ışık arıyoruz. Bu da yok.

- Arap Baharı ya da Arap devrimleri de henüz bir sonuç vermedi. Bu hareketler eski düzenleri yıktı, kimilerinde yeni düzenler getirdi. Biraz onun ağrısını hissediyoruz.

KİMİ ARAP ÜLKELERİ DEĞİŞTİ

- Arap Baharı’nın yeni düzen mi yoksa düzensizlik mi getirdiğini kesin söyleyemiyoruz.

- Geçiş dönemi diye kabul edelim. Aslında yeni bir düzen getirmedi. Var olan düzenleri sarstı, değiştirmeye çalıştı. Bazıları için düzensizlik getirdi, bazıları için eskiye dönüşü devam ettirdi. Mısır’da gençlerin kimi hareketleri olsa da yönetim hala askerlerde. Libya bölünmüş, iki ayrı devlet oluşmuş durumda. Suriye’de savaş devam ediyor. Lübnan kırılgan denklemlerin ortasında. Hep birlikte bir değişim süreci yaşıyoruz ve değişim sürecinin bizi nereye götüreceğini göreceğiz. Buralarda, liderlerin, çevre ülkelerin tavırları her şeyi değiştiriyor. Rusya ve İran olmasaydı Suriye meselesi nereye giderdi? Irak bile bir türlü toparlanamadı. Çünkü kimliklerle Ulus Devlet arasında kırılganlıklar var. Bunları bir araya getirmek çok zor. İnternet, sosyal medyanın gelişimi bu kırılganlıkları daha da artırıyor. Beklemediğimiz bir sonuca doğru gidiyoruz.

PETROL, OLSA DA OLMASA DA SORUN

- Petrol çok önemli bir ürün. Hep böyle önemli mi olacak? Bir süre sonra petrolün biteceği açıklamaları yapılıyordu.

- Petrolün varlığı gibi bitmesi de bir sorun aslında.  Biliyorsunuz Suudi Arabistan kotayı kaldırdı. Bu da otomatikman petrol fiyatlarını düşürdü. Petrol bitse Suudi Arabistan’ın 5 yıl içinde iflas edeceği iddiaları var. O zaman da önemli bir ülkenin ne olacağını konu edineceğiz. Bu durum Körfez ve Ortadoğu ülkelerine nasıl yansıyacak bunu bilmiyoruz. Çünkü tüketen bir ülke ve diğer Ortadoğu ülkeleri buraya ihracat yapıyor. Alternatif ekonomik unsurlar sağlanmadan tek unsurlu olarak devam edilirse, bitişi de değişik problemleri beraberinde getirecektir. Petro kimya ürünlerinin imalatında büyük sorunlar ortaya çıkacaktır.

SİBER UZAYDA GÜVENLİK

- Yine uluslararası alanda çok önemli olan siber güvenlik konumuza geçelim. Siz geçenlerde Siber Güvenliğin Açmazları adlı bir konferans düzenlediniz. Öncelikle siber güvenlik nedir ve nelerİ kapsamaktadır diye sorarak konuya girelim.

- Biz, Kadir Has Üniversitesi ve Ekonomik ve Dış Politika Araştırma Merkezi (EDAM) ile birlikte bir rapor hazırlayıp yayınladık. Merkez, nükleer ve genel enerji konularına odaklanıyordu. Siber güvenlik konusuna da odaklanma kararı verdi. Çünkü kritik altyapılar ve bunların korunması için siber güvenlik çok önemli. Tehdit boyutu arttığı için böyle bir projeye girdiler. Biz de bu projenin bir parçası olarak bu programı yaptık.

Siber güvenlik, siber uzayda güvensizliğin bulunmaması halini oluşturan çok geniş bir kavram. Siber suçları, siber savaşı, siber casusluğu, siber sabotajı, siber terörizmi içeriyor. Yani geniş bir kavram. Ben güvenlik açısından bakıyorum bu konuya.

Artık yavaş yavaş milli siber uzaylara doğru gitmeye başladık. Herkesin nasıl ülke sınırları varsa siber uzayda da belli alanlara sahip olunması gündeme geldi. Bu alanların nasıl kullanılacağını konuşuyoruz.

BREZİLYA MERKEZLİ, ÇİN ÜZERİNDEN SALDIRI

- Peki sözünü ettiğiniz açmazlar nelerdir?

- Bir sürü açmaz var. Önce fiziksel alandan tabiatı çok farklı. Fiziksel alanda birisi varsa vardır. Siber alanda öyle değil. Oradaki bir kişiyi veya orasıyla bağlantılı bir kişiyi bulmak çok zor. Zaman ve mekan problemi var. Bulunduğu yeri IP4 üzerinden tespit etmeye çalışıyoruz.

Diyelim ki bankaya bir saldırı oldu. Bankanın uzmanları da bu saldırıyı yapanın IP adresini buldu. Rusya’dan veya Çin’den bir adres olduğunu bulsak, bu ülkelerden bu kişiyi nasıl isteyeceğimiz konusu en basit güvenlik konusu. Bir kere bunu Çin’de kullanan gerçek saldırgan olmayabilir. Gerçek saldırgan olsa bile orada olmayabilir. Gerçek saldırgan olmayan, rasgele birisinin üzerinden örneğin Brezilya’daki bir saldırgan olabilir. Bunların hepsi, bizim konuştuğumuz, kim, hangi zamanda ve nerede suç işledi ve hedefi ne sorularını yanıtlamada, siber uzayda çok zayıf kalıyoruz.

SİBER SUÇLUYU BULMAK ÇOK ZOR

- Brezilya’daki saldırgan, Çin’deki masum bir kişinin bilgisayarı üzerinden Türkiye’deki bankaya saldırı yapabiliyor, öyle mi?

- Çok rahat yapabilir. Bunun izi bulunabilir ama izi bulduğunuzda onu yapan kişiyi bulamayabilirsiniz. Çünkü o kişi o bilgisayarın başında beklememektedir. Bu işlemin yapılma süresi bir hafta ise o arada paraları toplayıp çekip gitmiş olabilir. Sizin devlet olarak onu takip etme süreciniz, bürokratik yazışmalarla sürüp giden bir süreç. Sizin tahkikatla geçireceğiniz zaman zaten sizin zararınızın telafi edilemeyeceği bir süreçtir.

İkincisi, bulduğunuz kişinin gerçek kişi olduğunu ispat etmeniz çok daha zor. Gerçek suçlarda, örneğin birisi başkasını öldürmüş ise burada suçluyu tespit etmeniz daha kolay. Ama suçla failin arasındaki ilişkiyi kesin olarak bulabilmek siber uzayda çok zor. Bu kavram siber terörizme geldiğinde daha da zorlaşıyor, siber savaşa geldiğinde ise iyice zorlaşıyor. Çünkü organizasyon yapısı da karmaşıklaşıyor. Size saldırıyı yapanın bir organize suç örgütü mü, başka bir ülkenin ordusu mu, becerikli bir hacker grubu mu yoksa bir devlet desteğinde çalışan siber grup mudur, bunları bilemiyorsunuz. Bilmediğiniz zaman da nasıl savunacağınızı ve nasıl müdahale edileceğini bilmiyorsunuz. Onun için siber savunma temel unsurdur. Tehditin boyutlarını tahmin edemeyeceğinize göre, kendi zaafiyetlerinizi azaltıp kendinizi korumaya alırsınız. Yöntemin temeli bu.

ALTYAPI SALDIRILARINA HAZIR OLMALIYIZ

- Türkiye’de siber saldırı açısından zaafiyetler neler?

- Türkiye’de siber uzayda, temel sorunların hemen hepsi var. Devlet ve özel kurumları arasında ilişki sorunları var. Koordinasyon ve stratejik iletişim problemleri var ve kalifiye eleman eksikliği var. Bunların hepsi üst üste bindiği zaman, bir de bunların nasıl yapıldığını bilmediğiniz için karmaşık bir problemle karşı karşıya kalıyoruz. Bunu çözmek de çok kolay değil. Çok paranız olsa da bütün sistemleri alıp kendimizi koruyalım diyerek başarılı olabileceğiniz bir sorun değil bu. Ciddi bir stratejinin hazırlanıp geliştirilmesi gereken bir sorun. Devletin, kendi altındaki kamu ya da özel tüm kurumları korumak zorunda olduğu bir sorun.

TÜRKİYE’DEKİ AÇMAZLAR

Bunun daha ötesinde kritik altyapı kuruluşları büyük önem kazanıyor. Elektrik, su, ulaşım, telekomünikasyon gibi hizmetlerin  hepsi kritik önem kazanıyor. Bunlara dönük saldırı olduğunda hazır olmanız gerekiyor. Çok kısa süre önce İranlı hackerlar New York barajına saldırdılar. Barajların kapaklarının kontrol dışında açıldığını veya kapatılarak uzun süre basınçlar tabi tutulduğunu düşünün. Ya da Avusturya’da yıllar önce olmuştu, lağım sistemini ters işleme tabi tutup sokaklara vermişlerdi. Böyle durumlarda büyük bir kaos ve devlete güvensizlik ortaya çıkacak. Bu kaoslar başka şeylerle birleşirse devlet otoritesinin sarsılmasına yol açacaktır. Buna beklenmeyen ve istenmeyen şeyler diyebiliriz. Türkiye’deki açmazları da bu şekilde özetleyebiliriz.

EYLEM PLANI TAMAM, EYLEM YOK

- Bruce Willis’in başrolünü oynadığı Zor Ölüm 4’te, ABD’de, devletin tüm kurumlarının bilgisayar sistemlerine girerek kendi kontrolüne geçiren bir hacker grubu konu ediliyordu. Filmdeki hacker eyleminin sonuçları çok korkutucuydu. Ben de aynı şey Türkiye’de olsa Türkiye’nin hemen teslim olacağını düşündüm bu filmi seyrederken.

- Çok fazla haksızlık da yapmayalım. 2012’den bu yana gelen bir çaba var. Ulaştırma Bakanlığında bir konsey kuruldu ve 2013 – 2014 yılları için bir eylem planı hazırlandı. Ama eylem planı bitti ve üzerinden bir yıl geçmesine rağmen hiçbir şey yapılmadı. Siber güvenlik konseyinin nasıl çalışacağı konusunda pratik bir yöntem geliştirilmedi. Müsteşarlar düzeyinde bir kurum var ama bu 7/24 çalışan bir kriz yönetim merkezi değil. Siber uzayda, sizin geceleri uyuyor olmanız makinaların da uyuduğu anlamına gelmiyor.

HACKERLER ÇOK POLİTİK İNSAN GRUPLARI

Bu sürekli çalışan makinaların politika ve fiziksel çatışmalarla çok ilişkisi var. Hacker dediğiniz kişiler çok politik insan grupları. Değişik sebeplerle saldırıyor olabilirler.  Bütün bunlar içinde sizin çok yönlü çalışan bir merkeze ihtiyacınız var. Krizi koordine etmeli ve kamu ile özeldeki kuruluşlara bilgi sunabilmelisiniz. Maalesef siber güvenlik konseyi bu şekilde dizayn edilmiş bir sistem değil.

Benzer şekilde TİB’in altında Ulusal Siber Olaylara Müdahale Merkezi (USOM) ve bunun içinde de siber olaylara müdahale ekibi var. Bu merkezin de Siber Güvenlik Merkezi kadar yetkisi ve iletişim alanı yok. Yetkileri tanımlanmış değil. Bu ikisinin arasındaki karmaşa ve boşluk muhakkak birileri tarafından kullanılıyordur.

TÜRKİYE’YE BÜYÜK BİR SALDIRI YAPILDI

- Kısa süre önce Türkiye’deki tr uzantılı adreslere çok büyük bir saldırı olduğu ve bankaların da zaman zaman bu saldırıdan etkilendiğini öğrendik. Burada başarıya ulaşabildiler galiba.

- Doğru, büyük bir saldırıydı. ODTÜ’nün açıklamasına göre 200 Gigabayt/second boyutunda bir saldırıdan bahsediyoruz ki bu büyük bir olay. Çok büyük bir yolu düşünün, o kadar çok araç, talep ve istekle dolduruyorlar ki orayı sizin sistemleriniz orada olmasına rağmen hizmet veremez hale geliyor. Çok basit bir saldırı yöntemi. Buna karşı yapılabileceklerin planlanmış ve düşünülmüş olması gerekirdi. Çünkü daha önceki saldırıların neredeyse hepsi böyle yapıldı. Bunu başarılı kabul etmek lazım. Bir çok bankanın ATM’si ile bağlantısı kesildi, kendileri hizmet veremez hale geldiler. İç sistemlerinde yavaşlamalar oldu. Devlet kurumlarında çökmeler yaşandı. E-devlet sistemine ulaşılamadı. Burada ihmaller var ve yapılması gerekeni yapmayan kurumlar var.

Devlet, ülkesindeki tüm kurumların bilgisayarlarını korumakla yükümlüdür. Biz buna Devletin Koruma Sorumluluğu (Responsibility to Protect) diyoruz. Devlet nasıl insanı korumakla yükümlü ise bilgisayarları da korumakla yükümlü. Çünkü Siber Güvenlik stratejisi bunu da kapsıyor. BTK yeterli tedbirler alabilirdi.

Zihinsel olarak hazır değildik böyle bir şeye. Devletin, 24 Kasım’da Rus savaşı uçağı düşürüldükten hemen sonra muhtemel bir saldırıya karşı hazırlık yapması gerekirdi. Çünkü Rusya’nın karnesinde, hem Estonya hem de Gürcistan’a yönelik benzer olaylar var. Estonya’yı uzun bir süre uluslararası platformun dışına çıkardı. Gürcistan’a da klasik askeri saldırıyı yapmadan önce siber saldırı yaptı. Biz bunlara hibrid tehditler diyoruz.

RUSLARIN HACKERLIK GELENEĞİ VAR

- Türkiye’de ilk dönemlerinde internet bankacılığı kullananların hesaplarının ele geçirilmesi olayları çok yaşandı. Bunu yapanların da büyük ölçüde Rus hackerlar olduğu üzerinde duruldu.

- Rusların hackerlik geleneği var ve bunun temelinde matematik eğitiminin çok iyi olması yatıyor. Bilgisayar eğitimlerinin yanı sıra matematik düşünce eğitimleri çok kaliteli. Bir de bunu organize yapıyorlar. Sistematik, gruplar halinde çalışan hackerlik müessesesi bu ülkede çok gelişmiş durumda. Sonuçta başarılı oluyor.

Aslında Türk bankaları da saldırılara karşı durmak açısından çok kabiliyetli durumdalar. Bunlara büyük yatırımlar yaptılar.

Büyük siber saldırıların hemen hepsinde en zayıf halka insandır. Çünkü insan, sosyal mühendislikle kandırılmaya açıktır. Size ilgi duyacağınız bir e-posta gelir. Siz ona tıklarsanız -biz buna oltalama diyoruz- banka diye başka bir yere gidersiniz. Bazen araya girerler ve bankaya gittiğinizi zannedersiniz.

NÜKLEER SANTRALI İÇERİDEN VURDULAR

Bankalar buna karşılık iki seviyeli onaylama sistemi geliştirdiler. Cep telefonları devreye sokuldu. Kişiselleştirilmeye çalışıyor. Bankalarla aynı çizgide giderse kullanıcılarda sorunlar azalır. Eğer insanlar uyanık değilse en iyi sistemi kursanız bile hacklenme olayı gerçekleşebilir.

İran’ın nükleer tesislerine bu yöntemle bir saldırı yapıldı. Saldırı, içeride çalışan birisinin bilgisayarı üzerinden gerçekleşti. USB’sine yükledikleri bir spyware üzerinden bunu yaptılar. Dolayısıyla insan unsuru çok önemli. Teknolojik ekipmanlar da önemlidir ama sonuçta onları kullananlar insandır.

- Anlaşılan ülkelerin bir çoğu bu saldırıya hazır. İran, Rusya, İsrail, ABD en önde gelenleri. Ayrıca PKK , DAİŞ gibi terör örgütlerinin de siber saldırı ekiplerinin olduğu biliniyor değil mi?

- PKK’nın bir hacker grubu var.

ŞİRKETLER İÇİN RİSK BÜYÜK

- Öte yandan iş dünyasının da çok büyük tehditle karşı karşıya kaldığı bir manzara ortaya çıkıyor. Şirketler alım satımlarını, ihracat ve ithalatlarını da bankalar üzerinden yapıyorlar. Her türlü ödemede bankaları kullanıyorlar. Böyle bir saldırı durumunda riskleri çok büyük değil mi?

- Gerçekten de çok büyük. Aslında böyle saldırılarda sorun yaşayanlar bankalardan çok KOBİ’ler ve onların siber güvenliği. Büyük firmalar bu tür güvenlik önlemlerine para yatırıyorlar. KOBİ’lerin teknolojiye yatırım yapma yetenekleri büyük firmalar kadar yüksek değil. Ucuz ve daha az nitelikli yatırımlara gidiyorlar. Bu durumda insan eğitimi öne çıkıyor. Şirketlere, siber korunma amaçlı olarak eğitimler verilmesi için TİB ve özel firmaların yaptığı ciddi bir çalışmalar var. Bu konuda işletmelere yükümlülük getiren yönetmelik de şu anda yürürlükte. İnsanlar bu eğitimleri alacaklar ve ekip kuracaklar.

KAPATMAYI BİLECEKSİN

Buradaki pratik soru şu. Sizin 3 tane elemanınız var ve ekip kuracaksınız. Olması gereken ideal çözüm, sizin oraya iki eleman daha alıp, uzmanlaştırıp ekip kurmanız. Ama Türkiye’deki şirketleri çoğu, eldeki üç elemana siber güvenlik görevi de verecekler. Böylece zaten belli bir işi yapanların iş yükleri iyice artmış olacak. Burada tabii ki öncelikli iş günlük olarak yapılan iş olacak. Bir saldırı yükü olmayınca kimse bunun üstünde durmayacaktır. Yani çalışmayacaktır.

Ya bunların devlet tarafından denetlenmesi lazım ya da devletin kurumlara finansal veya teşvik şeklinde destek vermesi lazım. Bu şirketlerin hepsi başka şirket ve kurumlarla işbirliği içinde. Birbirlerine virüs bulaştırdıklarını, SGK’dan virüs aldıklarını ya da buraya bulaştırdıklarını düşünün. Günümüzde bir çok bilgisayar ağ üzerinde çalışıyor. Bilgisiz kişiler bunu kapatmayı bilmedikleri için virüslerin dolaşmasına fırsat vermiş olabilir. Ekonomik zarar sadece bankadaki paralarından ibaret olmayabilir. Virüsler aracılığıyla üretime de doğrudan müdahale edip örneğin üretimi azaltabilirler.

ŞİRKET BİLGİLERİNİ KİLİTLİYORLAR

- Üretimi durdurmak, bilgilerini çalıp onlarla ilgili tehditlerde bulunmak çok yaygın değil mi?

- Bizim piyasada gördüğümüz iki büyük tehdit var. Bizim cryptowall ya da malware dediğimiz kötü yazılımı sizin bilgisayarınıza yüklüyorlar. O virüs bir anda bütün kayıtlarınızı şifreliyor. Size, ‘eğer bana şu kadar bitcoin vermezsen, sistemdeki bilgiler açılmayacak’ diyorlar. Burada yapabileceğiniz tek şey var, o parayı ödemek. Başka bir çözümünüz yok.

HACKERLAR BİTCOİN PARA BİRİMİNİ KULLANIYOR

Bitcoin dijital bir para birimi. Genellikle hackerlar tarafından kullanılıyor. Takip edilmesi zor olduğu düşünülen bir para birimi. Fiziki para birimine kolaylıkla çevrilebiliyor. Hackerlar genellikle bu para birimini kullanıyor.

Bir de şirketlere, ‘bize para vermezseniz size büyük bir saldırı yapar ve sizi internetten sileriz’ diyorlar. Özel bir şirket buna nasıl karşı koyacak? Parası ve gerekli yatırımı yoksa ne yapacak? Bunlar çok önemli konular. Parayı verirseniz, bunu duyan başka gruplar da sizden para koparmak isteyebilirler. Vermezseniz, yaparlarsa nasıl durduracaksınız. Bütün bunların hepsi ciddi uzmanlık isteyen konular. Maalesef Türkiye’de bu tür şirket sayısı artmakla birlikte ihtiyacı karşılayabilecek durumda değil. Devletin bu konuda bir şey yapması lazım. KOBİ’leri koruyabilecek bir sistem kurulmalı ki daha güvenli, risksiz bir ortamda çalışabilsinler.

SİBER SALDIRILARA KARŞI İNSANA YATIRIM ŞART

Türkiye’deki en büyük tehlike, ‘ya bize saldırmazlar’ anlayışından kaynaklanıyor. Kimse bu tehditlerden uzak ve ari değildir. Herkese gelebilirler. Sadece uzman hackerlar değil bu alanda kendisini göstermek isteyen gençler de size tahmin etmeyeceğiniz kadar zarar verebiliyor. Bunun için en başta yöneticilerin siber güvenliği çok dikkate almaları gerekiyor. Onlar bu zihniyet değişikliğini yaparlarsa, bu, kurumsal olarak yukarıdan aşağıya doğru inecektir. Onların davranış ve talepleri, devletin de gereken çalışmayı yapması sonucunu doğuracaktır. Dünyada, acil önlemler konusu çok ciddiye alınıyor. İngiltere bu yıl 1.9 milyar pound siber yatırım yapacak. Muhtemelen bu yatırımın büyük çoğunluğu insana yapılacak. Bizim de böyle şeyler geliştirme zorunluluğumuz var. Çok küçük siber saldırılar, rekabet amacıyla karşı firmalar tarafından da yapılabilir. Tam güvenliği sağlayanlar, daha rahat ve huzurlu bir ortamda üretim yapabilir.