Türkiye bu yılın başından itibaren özel sektör ve devlet sitelerine yapılan siber saldırılarla sarsılıyor. Bu saldırıların zararları konusunda çok fazla açıklama yapılmıyor ama konuya yakın olanlar biliyor ki, bu saldırılar hem prestij, hem de parasal kayıp anlamına geliyor.
Ama daha önemlisi, uzun zamandan bu yana “siber savaş”tan bahsediliyor. Gerçi bunun detaylarını da tam bilemiyoruz ama çok popüler olan bir kaç olayı hatırlatmak gerekirse, Çin’li ordu hackerlarının Pentagon saldırıları uzunca bir süre tartışılmıştı[1]. Lenin heykelini kaldırmak istedi diye Rus hackerların Estonya’ya saldırısı başka bir önemli ülkelerarası saldırıydı. Türkiye’deki botnet’lerin de kullanıldığı raporlanan bu saldırı sonucunda Estonya’nın bankacılık işlemleri ve diğer ticari hayat faaliyetleri 4 gün süresince durmuştu. Bugünlerde ise çokca konuşulan Nükleer tesisleri durdurmaya yarayan[2], Havaalanlarını [3] ya da Enerji sektörünü[4] hedefleyen virüslerden bahsediyoruz.
Ülkemizde ise 2012 başında itibaren RedHack ya da Anonymous Türkiye gibi bazı hacker gruplarının siber saldırılarından bahsediyoruz. Bu saldırılar, zaman zaman bazı siteleri erişime kapatıyor, bazen de o sitelerden bilgiler yayınlıyorlar[5].
Tabi ki hukuki açıdan yanlış bir durum ama bu saldırılar bir yandan toplumda sorun olan ve toplum vicdanını da rahatlatamayan “bozuk süt ya da süt alerjisi kontrol edilmemesi”[6] gibi, “1 SMS ile işten atılan THY elemanları”[7] gibi konularda protesto amaçlı yapıldığının açıklanması, pek çok insanın bu saldırılara sempati ile bakmasına neden oluyor. Bir yandan da, hem bu hackerların kendilerinde, hem de toplumdaki bazı kişilerin gözünde, “bu hackerlar iyi bir şey yapıyor, boşlukları gösteriyor” gibi düşünceler var.
Doğal olarak, devlet tarafında da karşı hareketlenme var. Geçen yıl ilki yapılan[8] “siber güvenlik tatbikatı”nın bugünlerde tekrarlanacağı[9] duyuluyor. e-Devlet sitelerinin korunması amacıyla 150 kişilik bir güvenlik ekibi kuruluyor[10].
Bir yandan da geçtiğimiz günlerde Siber Güvenlik Derneği bir strateji belgesi[11] açıkladı. Bu strateji belgesi, ülkemizin siber güvenliği konusundaki ilk strateji belgesi anlamına geliyor. Bu nedenle önemsedik ve konuyla ilgili uzman yorumu aradık. İlk bakıştan en önemli eleştiri, belgenin “özel sektör” tarafla pek ilgilenmediği şeklinde. Bir uzman şunları belirtti :
Genel olarak bakıldığında, bu strateji belgesi sanki askeri bir savunma belgesi görünümünde. Ancak küresel ortamın ticari ve sinai rekabeti vurgulanmamış. Oysa, artık, küçük çaptaki bir faaliyetin bile, dünyanın öbür ucunda bir rakibi var, bunlar dahi bilişim güvenliği etki alanındalar.
Kaldı ki, 5 yıl önce bir olaya şahit olmuştum, üzerinde bir-kaç yıl çalışılan bir yerli otomobil modeli çalınmış ve eski doğu blokundan bir firma tarafından üretilmişti.
Biz konuyu aynı derneğin üyesi de olan Güvenlik Uzmanı Faruk Kekevi ile konuştuk :
turk-internet.com : Bu yılın başından itibaren, özellikle devlete yönelik siber saldırıların, hacking olaylarının sayılarının arttığı görülüyor. Önce siber saldırılar nedir? Neleri kapsar? Bunları anlatır mısınız?
Faruk Kekevi : Haktivizm, bir ideoloji olarak 1996 yılında yeşermiş ve haktivist guruplar son 1-2 yılda tüm dünyada gerçekleştirdikleri eylemleri ile gündem oluşturmuşlardır. Siyasi ideolojiye karşı toplumsal protestoyu bilgisayar ağlarını kullanarak yaymayı amaçladıkları söylense de, Anonymous isimli gurubun, 2012 yılı başlarından itibaren, saldırılarında trojan tipinde casus programlar kullanarak bilgi hırsızlığı da yaptığı saptanmıştır.
Anonymous ve destekçi gurupları, kamu ve tanınmış özel kuruluşların web sitelerine propaganda amaçlı olarak DDoS ve hack saldırıları yapmışlardır, medyada bunlar yer almıştır. Kurum ve kuruluşların veri tabanlarına ve iletişim ağlarına yapılan saldırılar, asıl vahim olanlarıdır ve bunlar açıklanmamaktadır. Nedeni de, kurumların, saldırının farkında olmamaları, veya saldırganın ve hangi bilgileri elde ettiklerinin çoğunlukla tespit edilememesi ve durumun açıklanmasının kamu oyunda infiale neden olması korkusudur.
Kaptırılan bilgiler kesinlikle kullanılmaktadır veya kullanmak için zamanının gelmesi beklenmektedir, fakat bunların ölçümlenmesi mümkün olmamaktadır.
Saldırılar, Türkiye’ de olduğu gibi, tüm dünyada giderek artmaktadır. İnternet, dünyadaki tüm bilgisayarların meydana getirdiği yegane ağdır, aynı zamanda devlet-vatandaş-kurum-kuruluş ilişkilerinde kullanmak üzere vazgeçilmez yapılar oluşturulmuştur. Soğuk savaş dönemi kapanmıştır, ancak devletlerin ve kurumların rekabetleri artarak devam etmektedir.
Rekabet var olduğu sürece, saldırılar ve savaşlar devam edecektir. Bu şartlarda, maliyeti düşük olan siber saldırıların ve savaşların daha da artacağı doğru bir mantıktır. Türkiye, bu olgunun farkında olmamıştır, bir çok ülke savunma ve saldırı yapılarını oluşturmuş iken, ülkemiz bundan yoksundur. Gelişen ekonomisi, sahip olduğu jeo-politiği, siber savunmadan yoksun olması dolayısıyla saldırı alması kaçınılmazdır. Değere sahiptir, kolay lokmadır. Siz saldıracak olsanız Kongo’yu mu tercih edersiniz, Türkiye’yi mi? Türkiye, savunmasız bir hedeftir. Türkiye, basiretsiz yönetimler ile, savunmasız bırakılmıştır.
turk-internet.com : Yukardaki soruda da belirttiğimiz üzere, Türkiye’de son dönemde daha çok devlete yönelik hacking olayları ile karşılaştık. Özel sektöre yönelik siber saldırı var mı? Mesela turk-internet.com’da bu hafta yayınlanan 2 farklı haberde, sektörel saldırılardan bahsediliyordu. Yani havalimanlarına ve enerji sektörüne yönelik saldırılar.. Bunlar Türkiye içinde oluyor mu?
Faruk Kekevi : 150 milyar dolar civarında ihracatı, daha fazla rakamlarda ithalatı, gelişen bir sanayisi olan bir ülkenin özel sektörüne saldırı yapılmayacağını düşünmek, saflık olur.
Uluslararası ihalelere giren bir çok özel kuruluşumuz var, siz rakibi olsanız, bu firmaların bilgilerini ele geçirmek istemez misiniz? Bu tip bilgileri elde etmek için özel bir saldırı yapmanıza da çoğu zaman gerek kalmıyor, uluslararası bilgi borsalarından bu bilgileri satın alabilirsiniz.
Bilgileri satılan firma, çaldırdığının ve borsalara düştüğünün farkında bile olmayacaktır. Almanya, 2008 yılında yasa ile oluşturduğu bir kurum vasıtasıyla İnternete casus program pompalıyor ve bilgi topluyor.
Gerekçesi terörle mücadele, Türkiye’den bir firmanın ihale dosyasını ele geçirdiğinde kullanmayacak mı, rakibi olan bir Alman firmayla paylaşmayacak mı? Ticari işim esnasında böylesi bir çok olaya şahit oldum, fakat mahrem bilgiler olması dolayısıyla örnek veremiyorum.
Ama, ülkemiz dışından bir örnek verebilirim. Eski Doğu Bloku ülkelerinden bir gurup hacker, konsorsiyum oluşturup, bir Avustralya bankasını hackliyorlar, 500,000 kredi kartı bilgisini çalıp, bilgi borsasında satışa sunuyorlar. Bu banka, önümüzdeki günlerde kepenklerini kapatacaktır. Olay, geçen hafta yaşandı, bazı dış medyada yer aldı.
Hava limanı, enerji tesisleri vb. kritik unsurlardır, siber savaşta stratejik hedeflerdir. Nato, bu unsurlara yapılacak siber saldırıyı, savaş nedeni ilan etmiştir. Bu unsurlara saldırılar yapılıyor, ancak çökertmek üzere yapılmıyor, ileride vuku bulacak savaşlarda kullanılmak üzere, uyku halinde bırakılan casus programlar yerleştiriliyor. Derginizde yayınlanan haberleri okudum, ele geçirilen casus programların haberleriydi.
Microsoft’un 2012 yılı başlarında bir açıklaması: “Binlerce bilgisayarın botnet olarak şu anda devre dışı olduğu kabul ediliyor olsa da, bunlara Kelihos malware bulaşmış olduğu biliniyor.” Nitekim, bu açıklamadan kısa bir süre sonra İran, iki yıl önce sistemlere yerleştirilmiş Stuxnet saldırısını ve devamını yaşadı.
turk-internet.com : Türkiye’de siber saldırı tatbikatları yapılıyor. Bunları takip ediyor musunuz? Bu tatbikatlar sizce yararlı mı ya da yapılanlar yeterli mi?
Faruk Kekevi : Evet, takip ediyorum. Geçtiğimiz yıl yanılmıyorsam 41 kurum için yapıldı, sonuç hazindi, ama şaşırtıcı değildi.
Tüm kurum ve kuruluşlarda bu uygulamanın, kurumun özelliğine uygun daha kısa periyodlarda yapılması gerekir. Bulunan açıkların giderilmesi, en önemlisi tüm personelin eğitilmesi gerekir. Bir çok kamu kurumunda güvenlik için hardware ve software alımları yapılıyor, fakat personel eğitilmiyor, envanter değerlendirilmiyor. Bu yıl planlanan tatbikatın sonucundan da ümitli değilim.
turk-internet.com : Clinton’in siber konularda danışmanlığını yapan ve İran nükleer reaktörünü durdurduğu iddia edilen Stuxnet virüsünün arkasındaki adam olarak tanımlanan Richard Clarke yazdığı siber savaş kitabinda, Türkiye’nin başka ülkeler (Örneğin Rusya) tarafindan siber saldırılarda kullanıldığı (yerleştirilen botnetlerle) belirtiliyor. Türkiye’nin durumunu nasıl yorumluyorsunuz?
Faruk Kekevi : Tespit doğru, Türkiye hazin durumda. Bireylerin güvenlik bilincinin toplamı, ulusal güvenliği oluşturur. Türkiye’ de, önce bilgisayar, sonra İnternet kampanyaları düzenlendi, halk teşvik edildi, ama güvenlikten bahsedilmedi.
O zamanlar kamu kuruluşu olan Türk Telekom’un vebali büyüktür. Biz ısrarla uyardık, ama, her seferinde ve tüm yöneticilerden “güvenlikten bahsedersek, insanları korkuturuz” cevabını aldık.
Biz böyle düşünüyorken, gelişmiş ülkeler kullanıcılarına güvenlik eğitimi veriyordu, okullarda güvenlik anlatılıyordu. Halen aynı zihniyet devam ediyor, kamu kuruluşlarında sisteme giriş için 12345 şifresi kullanılıyor. Okullarda zaten güvenlik konusu yoktu, bilgisayar dersleri de kaldırıldı.
Clarke’nin yazamadığını ben söyleyeyim, botnet bilgisayarların bir çoğu kamu kurumlarına aittir. Memurunu eğitmeyen devletten, halkı eğitmesini beklemek akılcı değil.
Türkiye’ nin durumunda karamsarım..
turk-internet.com : Richard Clarke yine aynı kitapta ülkeler arasında siber savaşların çolktan başladığını söylüyor. Örnegin Çin’li askeri siber militanlar uzun zamandir Pentagona sızıyor iddiaları var. Dünyada siber savaş ne durumda?
Faruk Kekevi : Sadece Clarke değil, Türkiye dışında herkes bunun farkında, görüyor, yaşıyor, hazırlanıyor. Biz yaşıyoruz, ama halının altına süpürüyoruz.
Herkes-herkese saldırır durumda ve bizim dışımızda herkes savunma ve saldırısını yapılandırıyor, geliştiriyor. Ulusal medyamız bunun farkında değil, bazı haberleri magazin niteliğinde yayınlıyor, dolayısıyla halk da farkında olmuyor.
Enteresan olacak, ama, yönetimin de farkında olduğunu söyleyemiyorum. Yıllardır süren politik çekişmeler ve terör belasından, en az bunlar kadar önemli olan siber güvenlik konusu, gündeme gelemiyor. Biz, firma olarak, güvenlik alanında dünyadaki olayları detaylarıyla Facebook fan sayfamızda arşivliyoruz. Çok sayıda olay var, dünyanın durumunu görmek isteyen ilgililerin, facebook.com/VipreTurkiye sayfamıza göz atmalarında fayda olacaktır.
turk.intertnet.com : Geçtiğimiz günlerde bir ulusal siber güvenlik strateji taslağı yayınlandi. Bunu incelediniz mi? Bu taslağı nasıl değerlendiriyorsunuz?
Faruk Kekevi : Taslak, kurucuları arasında olduğum, kuruluşunda öncülüğünü yaptığım Bilgi Güvenliği Derneği tarafından yayınlandı. Türkiye’nin güvenlik konusunda yol haritası çıkarılmış, doğru bir belge. Paydaşlar tarafından ilaveler yapılabilir. Belgede, özel sektörün güvenliğinin daha detaylandırılması ve zorlayıcı bazı standartların ilave edilmesi gerektiği görüşündeyim. Devlet tarafından hayata geçirilmesi, organize edilmesi gerekiyor. Bu konunun önemsenmesini ve daha gecikilmemesini ümit ve temenni ediyorum.
[1] Çin Hükümet Hacker’larının, Diğer Devletlerin Sitelerine Saldırıda Bulunduğu İddia Ediliyor
[2] Stuxnet, İran’daki Nükleer Santral Çalışanlarının Bilgisayarlarını Vurdu
[3] Sanal Savaşın Yeni Cephesi Havaalanları Olacak
[4] Shamoon Virüsü Enerji Sektörünün Altyapısını Hedefliyor
[6] Süt Dağıtımının İlk Gününde Fiyaskoya RedHack’den Cevap; Pınar ve Gülsan’a Saldırı
[8] Ulusal Siber Güvenlik Tatbikatının Başarıyla Tamamlandığı Açıklandı
[9] İkinci Ulusal Siber Güvenlik Tatbikatı Hazırlık Toplantısı Yapıldı
[11] Ulaştırma Bakanlığı, Ulusal Siber Güvenlik Stratejisi Hazırladı
Kaynak : 