Bu söyleşinin ilk bölümünü Seçkin Gürler : Siber Güvenlik Açısından Yurtdışından Gelen Yabancı Ürünler için Masumiyet Testi Yapmak Faydalı Olacaktır – I ve Seçkin Gürler : dDOS Saldırılar Artık Layer 3 ve 4 Değil, Layer 7 Haline Geldi, ISP Engelleyecek Sanmayın – II başlıkları altında okuyabilirsiniz.
turk-internet.com: Bu saldırılar Türkiye’de açıklanmıyor genellikle. Yani, bir duyuru yapılmıyor ya da saldırı yapılan – mesela Avrupa Birliği’nde böyle bir kanun çıktı, saldırıya uğrayan açıklamak zorunda. Bu konuda ne düşünüyorsunuz?
Seçkin Gürler : Çok doğru tespit ettiniz! Öncelikle açık olmak lâzım. Yani, kurumlar dışarıya karşı açık olmuyorlarsa bile, kendileri arasında da bu açıklık yok. Yani baktığımızda bir ISP, kurum, işte başka dahil olabilecek yerler bir araya gelip, gerçekten sorun tespit edip toplamda resmi ortaya koyarlar ise, dediğiniz gibi çok sansasyonel oluyor. En ufak bir kesinti, işte POS cihazları çalışmıyor, elektrik kesintisi acaba oradan mı? Bize şunu gösteriyor: Demek ki, tek bir cihaz arızalanır ise veya tek bir noktaya saldırı düzenlenir ise, bu bomba atmak da olur. Bir yere ben bomba atarsam demek ki veya bir yere ben bir kod enjekte edersem, bütün Türkiye’nin elektriğini iptal edebiliyormuşum demek ki.
Yani, buradan bakmak lâzım ve şu son olaylarda da bizim muhafazakâr duruşumuz var ya, hani “benim başıma bir şey gelir ise, söylemem”. Bu, kurumlarımızda da böyle. Bütün teşkilatımızda, bütün özel sektörümüzde de böyle. Hatta bizim yaşadığımız iyi veya kötü bir şeyi, yan komşu firma ile de paylaşmam, anlatmam da.
Daha çok kötü tarafından bakarız olaya, kötü tarafından şekillendirerek ne kadar çok acı çektiğimizi söylemeyi tercih ederiz genelde. Fakat işi gerçekten ortaya koyup saflığı ile, gerçekliği ile, buna çözüm bulmamız lâzım. Burada ISP senin rolün ne? Benim rolüm ne? Bu üretici; ne biçim ürün üretiyorsun? Senin rolün ne? Bunu burada yönetirken bir zafiyetimiz var demek ki. Bunun eğitimini nereden alabiliriz? Nasıl mükemmelleştirebiliriz?
Bu, genelde kurumun içinde ve oradaki yöneticinin sorumluluğunda kalıyor ve o sorumluluğu da elinden geldiğince bilgi birikiminin yettiği kadar koordine etmeye çalışıyor. Bütün sektör olarak, ülke olarak işin içine giremiyoruz. Giremiyoruz ve katkı sağlayamıyoruz. Bunları konuşamıyoruz açıkta. Açıkta konuşamamamız, kapalı network’lerde de olan şey genelde “ geçti, bir sonraki sefer bakalım ne olacak?” oluyor. Bunu üretimde de yaşıyoruz aslında. Yani, milli üretim dediğimiz…
turk-internet.com: Ondan önce bir şey sormak istiyorum. Milli üretimi de soracağım en son. Devlet, biliyorsunuz 2012’de bir USOM, SOME yapılanması kurdu. Bir de Siber Güvenlik Kurulu kuruldu. Bunları nasıl değerlendiriyorsunuz? Bunlar yeterli midir sizce? Bugüne kadar çalışmadıklarını biliyoruz; onu sormuyorum. Bundan sonra çalışacak diye ümit ediyoruz ama yapılanmada sanki özel sektör eksik gibi geliyor bize. Nasıl değerlendiriyorsunuz bunu?
Seçkin Gürler : Karar verici, dediğim gibi açıklık ile olayların üzerinde konuşabilecek birimlere ve yapılanmalara ihtiyaç var. O anlamda baktığımızda, mükemmel bir gelişme. Siber Güvenlik Kurulu’nun kurulması da, baktığınız zaman hiyerarşik olarak Ulaştırma Bakanlığı’nın, ISP’nin nerede yer alacağı, SOME’lerin bunlara nasıl bağlı olacağı, USOM’un görevleri önemli. Daha önceden TÜBİTAK’a verilmiş baz vazifeler var, BTK’nın vazifeleri var. Yani, baktığınız zaman, yapı gerçekten güzel kuruldu. Özel sektör yok; demin dediğim hikâyeden dolayı.
turk-internet.com: Eli yananlar yok yani olayın içinde teorik olanlar var, devlet kurumundaki görevlilerin mutlaka olmazı lazım ama hep eleştirdiğimiz konu bu. Özel sektörden eli yananların, içeride DDoS’u karşılayanların olması lazım.
Seçkin Gürler : Aynen, aynen! Deminki açık olmaktan kaynaklı bir şey aslında biraz. Düşünün, tatbikat yapıyoruz biz, üreticiyi çağırmıyoruz. Yani ben saldırıyorum kurum olarak, karşımda da başka bir devlet kurumu var ama o ürünü üretecek ve onu daha iyi yapacak adam yok orada veya bakıyorsunuz bir kamu kuruluşuna, genelde servis alıyorlar dışarıdan destek için, diğer şeyler için ve ürün üreticisi desteğini verirken 2 yıllık, 3 yıllık anlaşmalar yapıyorlar, o kişi yok orada.
Sistemin yöneticisi var, saldırı gerçekleşiyor, gerçekten zafiyetler ortaya çıkıyor, o an için kapatılıyor fakat üretici bu tür ortamlarda feyz almalı, orada bulunmalı, gereğini yapmalı ki sonraki adımlarda, ülke bir noktaya gitsin yani tatbikatlar amacına ulaşsın. Biz genelde kapalı network çalışmayı seviyoruz. Kapalı ağlarda, kapalı ortamlarda, ışık görmeyen ortamlarda kendi tatbikatımızı kendimiz yapıyoruz.
Kendi ürünlerimiz o kapalı ortamlarda, ışık geçirmeyen ortamlarda ürün üretmeye çalışıyoruz ve bunların zafiyeti de karşımıza adım adım yeri geldiğinde çıkıyor.
Söyleşinin devamını Seçkin Gürler : Eğitimlerimize Katılanlar, Daha Önce Aldıkları Eğitimler için Meğerse O Kullanım Kılavuzuymuş Diyor – IV başlığı altında okuyabilirsiniz.
Kaynak : 