Bu Help Net Security röportajında, Analog Devices Siber Güvenlik Kıdemli Direktörü Sonia Kumar, merkezi olmayan akıllı şebekelerin güvenliğini sağlamanın savunma stratejisinde nasıl bir değişiklik gerektirdiğini tartışıyor. Milyonlarca dağıtılmış cihaz, saldırı yüzeyini yeniden şekillendiriyor ve kamu hizmetlerinin neden tehditleri, dayanıklılığı ve güveni yeniden düşünmesi gerektiğini açıklıyor.
Kumar, yeni nesil mimarilerin, ortaya çıkan risklere ayak uydurabilmek için uç cihazlardan bulut sistemlerine kadar güvenlik oluşturması gerektiğini açıklıyor.
Çatıdaki güneş enerjisinden elektrikli araç şarj ağlarına kadar artan şebeke merkezsizleşmesiyle birlikte saldırı yüzeyi nasıl değişiyor ve kamu hizmetleri hangi yeni tehdit vektörlerini hafife alıyor?
Az sayıda merkezi şebeke tesisine sahip olmaktan uzaklaşıyoruz. Artık etrafımıza bakıyoruz ve güneş enerjisi invertörleri, EV şarj cihazları, akıllı sayaçlar ve sensörler gibi milyonlarca cihazın birbirine bağlı devasa bir ağı olan bir ızgara görüyoruz. Bu, her cihazın saldırganlar için potansiyel bir giriş noktasını temsil etmesi nedeniyle saldırı yüzeyini önemli ölçüde değiştirdi.
Merkezi olmayan yönetim, şebekeyi daha yeşil ve verimli hale getirir ancak bir siber savunmacı için işleri daha da zorlaştırır. Kamu hizmetlerinin hafife alabileceği tehdit vektörleri şunları içerir: İşlevselliği değiştirmek, kötü amaçlı yazılım yaymak ve potansiyel olarak daha geniş enerji ağlarına geçmek için şarj cihazlarındaki veya invertörlerdeki donanım yazılımının tehlikeye atılması. 2024’te otomotiv odaklı bir bilgisayar korsanlığı yarışmasında araştırmacılar, birden fazla EV şarj cihazındaki donanım yazılımı açıklarından yararlanarak Bluetooth aracılığıyla rastgele kod yürütmeyi başardı.
Tedarik zinciri her zaman savunmasızdır ve küresel olarak tedarik edilen bileşenler, dağıtımdan önce tehlikeye atılırsa gizli güvenlik açıklarına neden olabilir. Raporlarda sürekli olarak ulus devlet aktörlerinin tedarik zinciri operasyonları sırasında kasıtlı olarak donanım ve aygıt yazılımını hedef aldığını okuyoruz.
Birçok grid sistemi, orkestrasyon için bulut platformlarına güvenir. Zayıf kimlik doğrulama veya güvenli olmayan API’ler komut eklemeyi veya veri hırsızlığını etkinleştirebilir ve veri bütünlüğü saldırılarını dikkate almamız gerekir. Manipüle edilmiş sensör verileri, yanlış operasyonel kararlara, kesintilere veya ekipman hasarına yol açabilir. Artık mesele sadece yazılım yamalarıyla ilgili değil. Donanım tabanlı güven ve tasarım mimarileriyle güvenlik hayati öneme sahiptir.
Kritik altyapıyı hedef alan gelişmiş ulus devlet faaliyetleri gördük. Akıllı şebekeler koordineli, çok aşamalı bir siber saldırıya dayanmaya ne kadar hazırlıklı?
Akıllı şebekelerin koordineli, çok aşamalı bir siber saldırıya karşı ne kadar hazırlıklı olduklarını bilmek zordur ve tahmin etmek de istemem. Ancak bazı değerli dersler almak için 2016 yılında Ukrayna elektrik şebekesine yapılan saldırıya dönüp bakabiliriz. Ulus devlet destekli siber saldırı, elektrik şebekesinin yaklaşık altı saat süreyle kesintiye uğramasına ve bir milyondan fazla insanın elektriksiz kalmasına neden oldu.
Ulus-devlet aktörleri genellikle keşif, tedarik zincirinde uzlaşma, yanal hareket ve veri manipülasyonu gibi kalıcı, katmanlı taktikler kullanır. Kamu hizmetlerinin akıllı şebekedeki siber saldırılara karşı olay müdahale süreçlerini test ettiğini umuyorum. Daha önce bahsedilen benzersiz özellikler ve riskler nedeniyle bunu yapmak çok önemlidir.
Kritik ulusal altyapıya yönelik, bireylere ciddi zarar veren durumlara dönüşen bir dizi ciddi siber saldırıya karıştım. İnsanlar bazen CNI’ya verilen zararın ve ardından temel hizmetlerin kesilmesinin bireylere zarar verebileceğini unutuyor. Akıllı şebeke hastaneler, ulaşım ve su sistemleri gibi temel hizmetlere güç sağlıyor.
Masa üstü tatbikatlar ve siber simülasyonlar yürütmek ve farklı senaryoları test etmek, akıllı şebekelerin karmaşık izinsiz girişlere karşı koymasına yardımcı olacaktır. Bu onların hazırlıklı olmalarını ve yanıt verme yeteneklerini artıracaktır.
Kamu hizmetleri, talep tahmini ve arıza tespiti için yapay zekayı entegre ediyor. Yapay zeka sistemlerini model zehirlenmesine veya veri bütünlüğü saldırılarına karşı nasıl korursunuz?
Okuyucuların kafa karışıklığını önlemek için, burada bahsettiğimiz yapay zeka güvenliği ile siber güvenlik için yapay zeka arasında ayrım yapmanın önemli olduğunu düşünüyorum. Yapay zeka güvenliği, yapay zeka sistemlerinin kendilerinin korunmasına odaklanır ve siber için yapay zeka, yapay zekayı siber tehditlere karşı savunma aracı olarak kullanmak anlamına gelir. Yapay zeka güvenliğinin merkezinde CIA üçgeni yer alır ve bu nedenle verilerin Gizliliğini, Bütünlüğünü ve Kullanılabilirliğini korumak istiyoruz.
Kamu hizmetlerinin aynı zamanda hesap verebilirlik konusunu da düşünmesi gerekir. Yapay zeka eğitim veri kümelerine yetkisiz erişimin önlenmesine yardımcı olmak için hassas verilerin şifrelenmesi ve veri kaynaklarının doğrulanması standart uygulama olmalıdır. Kötü amaçlı veya istenmeyen unsurları kaldırmak için verilerin düzenli olarak temizlenmesi, yapay zeka güvenlik risklerinin azaltılmasına yardımcı olabilir.
Yapay zeka modellerini saldırılardan korumak, verileri korumak kadar önemlidir. Potansiyel güvenlik açıklarını belirlemek için yapay zeka modellerini düzenli olarak test edin. Saldırganların, esas olarak kontrollü gürültü olan diferansiyel gizlilik adı verilen bir şeyi kullanarak hassas verileri çıkarmak için bir yapay zeka modelinde tersine mühendislik yapabilmesini önleyin. Saldırıları daha hızlı tanımlamalarına yardımcı olmak için yapay zeka modellerini saldırıları simüle eden algoritmalar üzerinde eğitin.
Yalnızca yetkili kişilerin yapay zeka sistemleriyle etkileşimde bulunabilmesini veya bunları değiştirebilmesini sağlamak için güçlü erişim kontrol mekanizmaları uygulayın. Titiz sorumluluk için yapay zeka sistemlerinin sürekli izlenmesi ve denetlenmesi şarttır.
OT ortamlarında olay müdahalesi “bağlantının kesilmesi ve yama yapılmasına” dayanamaz. Kamu hizmetleri, art arda kesintilere neden olmayacak daha hızlı, daha güvenli kurtarma protokollerini nasıl oluşturabilir?
Siber güvenlik ihtiyaçlarının operasyonel güvenlik, mevzuat uyumluluğu ve sistem çalışma süresi ile dengelenmesini gerektirdiğinden, yama uygulaması ve yönetimi kesinlikle OT’de BT’ye göre daha karmaşıktır.
Yamaların yapılandırılmış yönetim olmadan veya plan olmadan kurulması, kritik altyapının istikrarını bozabilir ve daha önce bahsettiğim olumsuz etkilere neden olabilir. Bana göre OT’de yama yapmak tartışılamaz, siber riski azaltır. Kurtarma protokolünü düşünmeden önce, kamu hizmetlerinin yama çalışmaları için risk bazlı bir yaklaşım uygulaması gerekir.
Bir varlığın kritikliğinin yanı sıra tehdit modelleme ve gerçek dünyadaki istismar edilebilirlik, yama riskini ve aciliyetini azaltabilir. Daha hızlı ve daha güvenli kurtarma protokolleri oluşturmak açısından öncelikle temellerin yerinde olduğundan emin olmanızı öneririm. Olay müdahalesine (IR) hazırlıklılığın arttırılmasından daha önce bahsetmiştim ve bu nedenle OT’ye özel IR taktik kitaplarına/sürecine sahip olmak ve bunları masaüstü bilgisayarlar ve simülasyonlar aracılığıyla düzenli olarak test etmek çok önemlidir.
Değiştirilemez yedeklerin çevrimdışı tutulması bariz görünebilir ancak bunun SCADA, PLC ve HMI gibi endüstriyel süreçlere özgü sistemler için yapılması gerekir. Geçmiş kariyerimde gördüğüm bir şey, yedeklemelerin geri yüklenmesinin gözden kaçabileceği, dolayısıyla geri yükleme ve test için herhangi bir protokolün bulunmadığıdır. Tıpkı BT’de olduğu gibi, tüm şebekeyi kapatmadan tehditleri kontrol altına almak için ağ bölümlendirmesi ve izolasyon bölgeleri uygulanarak kurtarma daha güvenli olabilir.
Güvenli kurtarma için kontrollü uzaktan erişim şarttır. MFA, oturum kaydı ve zamana bağlı erişim standart olmalıdır.
2022’de küresel bir telekomünikasyon şirketinde Küresel Siber Olay Yönetimi ekibine liderlik ederek çalıştım. O yıl Portekiz’de bir siber saldırının ağ kesintisine yol açtığı görüldü. Bunun etkisi, ülke genelinde bazı ses ve veri hizmetlerinin, bazı TV hizmetlerinin, kurumsal ve iş uygulamalarının ve uluslararası bağlantıların kaybı oldu. Eğer oturum kaydı olmasaydı bu çok düşük bir ihtimaldi, temel nedeni ve saldırganın eylemlerini bu kadar hızlı bir şekilde tespit edebilirdik.
Şebekenin bir katmanını ilk günden itibaren siber güvenlikle yeniden tasarlasaydınız bu hangisi olurdu ve neye benzerdi?
Bu çok zor bir soru çünkü ızgaranın her katmanını yeniden tasarlamak fayda sağlayacaktır. Ancak kamu güvenliğine etkisi nedeniyle dağıtım katmanına geçeceğim.
Her zaman insanların emniyetini ve güvenliğini korumaya hizmet eden rollerde çalıştım. Bu katmandaki bir uzlaşma, yerel kesintilere, voltaj dengesizliğine ve hatta tüketici ekipmanlarının zarar görmesine neden olabilir. Ev ve iş yerlerindeki cihazlara doğrudan bağlantı bulunmaktadır.
Bu yılın mart ayında, yakındaki bir elektrik trafo merkezinde çıkan yangın nedeniyle kapatıldığı gün Londra Heathrow Havalimanı’ndan uçağa binecektim. Olayın tüm dünyada yarattığı kaosu hatırlıyorum.
Dağıtım katmanı sadece ulaşım için değil, acil servisler, hastaneler ve su sistemleri için de kritik öneme sahiptir. Bu katman en geniş saldırı yüzeyine sahiptir ve bu nedenle yeniden tasarlanması bunu önemli ölçüde azaltabilir. İzinsiz girişleri önlemek için akıllı sayaçlar ve EV şarj cihazları gibi cihazların kurcalamaya dayanıklı donanıma ve şifreli iletişime sahip olmasını isterim.
Modern cihazlarda bu zaten mevcut ancak eski cihazlarda ve 3. parti cihazlarda şüphesiz bu kontroller bulunmuyor. Her cihazın ve her kullanıcının sürekli olarak sıfır güven yaklaşımıyla kimliğini kanıtlaması bir norm haline gelmeli. Kesinlikle hiçbir şeye veya hiç kimseye varsayılan olarak güvenilmez. Saldırıların uçta tespit edilmesi ve izole edilmesi, özellikle evlerin ve işyerlerinin yakınında bulunan sistemlere odaklanıldığında norm haline gelecektir. Ve son olarak yeniden tasarımımda, yalnızca yeni cihazlar değil, tüm cihazlar güvenli yazılım yamalarını uzaktan alabilecek.