Siber-Fiziksel Güvenliğin Sağlanması

Yazan: Paul Ehrlich, PE/ES Engineered Systems

Çeviren: Meriç Noyan Karataş

Faydaları göze çarpmasa da risk seviyesi göz ardı edilemez. Sorunların aralığını basit fiziksel erişimden güncellenmiş standartlara kadar araştırın.

Siber saldırılar gün geçtikçe daha yaygın hale gelmektedir. Siz bile çoktan bu tip saldırılardan birinin kurbanı olmuş olabilirsiniz ve bunu sadece kredi kartı şirketiniz sizi arayıp şüpheli işleminiz hakkında size soru sorduğunda farkedebilirsiniz. Haberlerde gördüğümüz siber saldırıların birçoğu, kredi kartı numaraları, banka hesapları ve sosyal güvenlik numaraları gibi kişisel bilgilere erişmeyi amaçlar. Fakat bu siber suçluların diğer bir hedefi vardır ve bu alanlar endüstriyel kontrol sistemleri gibi siber-fiziksel sistemler ve elektrik şebekesi ve bina kontrol sistemleri gibi altyapı kontrol sistemlerini kapsamaktadır. Finansal ve kişisel bilgilere yapılan saldırılar kadar bilinmiş olmasalar da, hepsi büyük bir risk olmakla beraber tehlike arz etmektedirler. Geçmişte herhangi birinin bir bina kontrol sistemini ele geçirmeye çalışması gibi bir risk yoktu. Çünkü bina sistemlerinin büyük bir kısmı mekanikti (örneğin pnömatik) ve dijital sistemlere doğru evrildikçe özel sistem adacıkları halini aldılar. Fakat günümüzde, bir kontrol sisteminin fazlasıyla tümleşik olması, açık standartları takip etmesi ve network ve internete bağlı olması gereklidir. Bu yeni sistemlerin daha iyi bir kontrol sağlaması, görüntüleme, operasyon, analiz ve optimizasyon gibi sayısız faydaları vardır. Fakat bu sistemlerin zayıf yanı siber saldırılar için daha açık bir hedef oluşturmasıdır ve bu durum bina kontrol sistemlerinin ve diğer kritik altyapı kontrol sistemlerinin güvenilirliğini ve esnekliğini tehlikeye atmaktadır.

Saldırı senaryoları

Bir binanın siber-fiziksel bir saldırıya maruz kalma potansiyelini değerlendirmek için, kendinizi siber saldırganın yerine koymanız gereklidir. Bu şahısları ne motive eder? Yaptıklarını neden yapıyorlar? Bu soruların cevapları çeşitli olmakla beraber karmaşıktır da. Siber saldırganlar sadece meraklı olup ne bulacaklarını görmek için uğraşanlardan; amacı kargaşa yaratmak olanlara veya finansal veya fiziksel hasar vermeyi amaçlayan suç unsuru veya devlet destekli siber suçlulara kadar değişebilir. Daha büyük bir zorluk da, internette kolaylıkla bulunabilen bilgiler ve kodlar sebebiyle, saldırganın teknik olarak çok fazla bilgiye ve yeteneğe ihtiyacı olmamasıdır. Saldırılar, internette mevcut bulunan araçları kolaylıkla indirebilen ve çok az kod yazma tecrübesi olan kişilerce de yapılabilir.  Bir binaya yapılabilecek olası bir siber saldırıya birden fazla yaklaşım ile bakılabilir. Benzer bir saldırı geçen sene meydana gelmiş, Bot adı verilen bir program binlerce internete bağlı kameranın ve kayıt cihazının içerisine yerleştirilmişti. Bu botların hepsi bir internet sitesine aynı anda mesajlar göndermesi için tetiklenmiş ve sonrasında sayısız web adresinde büyük karmaşa yaratmıştır. Benzer bir yaklaşım bir kontrol sisteminin zayıflığından faydalanarak bir giriş noktası yaratılmasında ve yönetimsel sisteme bağlanılmasında kullanılabilir. Büyük bir perakende mağazasının kredi kartı sistemine giriş için bu yaklaşımın kullanıldığına dair geniş bir spekülasyon yayılmış olsa da; daha sonra saldırganların bir taşeronun iş sipariş sistemine giriş yetkisini kullandığı ortaya çıkmıştı. Diğer bir yaklaşım ise, kontrol sisteminin içerisine girip olağan kontrol operasyonunun devre dışı bırakılmasıdır. Bu tip bir senaryonun bir binada ne tip problemlere sebep olacağını rahatlıkla tahmin edebilirsiniz. Bu potansiyel değişimlerin birçoğu tesis personeli tarafından kolaylıkla halledilebilecek ufak rahatsızlıklara sebebiyet verebilir. Örneğin, mahallerin sıcaklık ayar derecelerinin veya programlarının değiştirilmesi, bina yönetimine gelen birkaç şikayet telefonu ile tesis personeli tarafından eski hallerine kolaylıkla geri döndürülmesi vasıtasıyla giderilebilir. Fakat diğerlerinin oldukça yıkıcı sonuçlar doğurabilecek (özellikle mekanik ekipmanlara hasar verecek boyutta ise) potansiyeli vardır. Bir ekipmanı sürekli olarak açıp kapatan veya bir ekipmanın ayar değerini çalışma aralıklarının olabildiğince dışına çıkaracak bir siber saldırının gerçekleştiğini düşünün. Bu tip bir siber saldırının yaratacağı etkinin potansiyel riski binanın kritiklik seviyesi ile doğru orantılı olarak değişecektir. Örneğin, az katlı bir ofis binasının statik basınç ayar değerinin değiştirilmesi lobi kapılarının tam olarak kapanmasını engellerken, aynı ayarın bir hastanenin ameliyat odasında değiştirilmesinin sonuçları çok daha büyük olacaktır.

Bir diğer potansiyel siber saldırı şekli de kontrol sistemi içerisine girip tüm mevcut programı silmek veya operasyonlara erişimi ortadan kaldırmaktır. Bu tip bir siber saldırı şekli genellikle sisteme erişimi geri vermek için fidye isteyen siber saldırganlar tarafından kullanılmaktadır. Siber saldırganlar tarafından kullanılabilecek daha birçok farklı potansiyel senaryo ve saldırı vektörü vardır. Bunlardan en korkuncu büyük bir kaynak grubunu bir kerede hedef alan koordineli bir saldırıdır. Potansiyel saldırı riski oldukça yüksektir ve bu yüzden binaları tasarlarken veya operasyon süresinde siber-fiziksel güvenliğin göz önünde bulundurulması gereklidir. 

Olasılığı düşük (ama imkânsız olmayan) bina riskleri

Birçok sinema filmi ve TV şovu, bir binanın sistemine kolaylıkla girerek güvenlik sistemini, asansörleri, sprinklerleri ve yangın alarmını devre dışı bırakabilen hackerları canlandırmıştır. Bunların hiçbiri imkansız değilken aynı zamanda olası da değildir. Bu sistemler için kullanılan kontrol elemanları çoğunlukla termal veya sprinklerler gibi mekaniktir. Diğerleri ise herhangi bir başka sistemle veya internet ile entegre değildir.  En nihayetinde, birçok sistemin hala mekanik güvenliği bulunmaktadır. Örneğin, buhar kazanı kontrol elemanlarından birçoğunda hala herhangi bir yazılım devre dışı kalması durumunda bile sistemi kapatan yüksek sıcaklık ve basınç güvenlik switchleri vardır. Sistemler tasarlanırken dağıtımlı kontrol sistemleri ve donanımla bütünleşik koruma gibi iyi tasarım uygulamaları kullanılarak güvenlik her zaman göz önünde bulundurulmalıdır.

Bir bina sisteminin korunması hem siber hem de fiziksel elemanların korunmasını kapsadığı akıldan çıkarılmamalıdır. Kontrol sistemleri uygun bir şekilde korunabilir fakat bu koruma bir saldırganın binanın mekanik odasına girmesi ve sistemi manuel olarak devre dışı bırakmasını engelleyemez. Bu yüzden mekanik ve elektronik ekipman odalarına sadece yetkili kişilerin erişiminin sağlanması siber-fiziksel güvenliğin anahtar noktalarından biridir.

Bina kontrol sistemlerinin korunmasında en iyi uygulamalar

Bina sahiplerine ve tasarımcılarına, sistemlerini siber saldırılara karşı korumaya yardımcı olan bazı iyi uygulama şekilleri geliştirilmiştir. Bunlardan bazıları aşağıda sıralanmıştır.

- Fiziksel erişim. Arabanızı ve evinizi nasıl kilitliyorsanız, herhangi bir siber-fiziksel saldırı şekline yapılacak ilk caydrırıcı uygulama fiziksel erişimin bloke edilmesidir. Binalar için bu hem fiziksel hem de siber varlıklara erişimi korumak anlamına gelmektedir. Fiziksel varlıkların korunması elektronik ve mekanik odaların korunması anlamına gelmektedir. Ayrıca operatör masasındaki BAS konsolunun sadece operatör masasında iken ve çalışıyorken oturumu açılmış durumda olmalıdır. Siber erişimin korunması ise veri odalarına, şalt dolaplarına v.b. odalara erişimin sınırlandırılması, demektir. İyi uygulamalardan biri hem bu alanlara erişimin sınırlandırılması hem de bu mahaller içerisinde bulunan şalterler ve diğer cihazların kabinler içerisinde kilitli halde bulunduğundan emin olmaktır.

- Şifre kontrollü koruma. Herhangi bir sistemdeki en büyük güvenlik açıklarından biri, basitçe varsayımsal bir kullanıcı adı ve şifresi (ya da monitörünüze unutmamak için yazdığınız bir post-it’ten alınan) girerek “ön kapıdan” girmektir. Kolaylıkla bulunamayacak kullanıcı adları ve şifreler kullanıldığından ve bu şifrelerin düzenli aralıklarla değiştirildiğinden ve de personel değişikliklerinde güncellendiklerinden emin olunuz. Kullanıcı kimlik bilgilerinin kontrolünün IT sistemi aracılığıyla yapılması ideal bir yaklaşım olacaktır ki bu sayede uygun bir şekilde korunması sağlabilir. Birçok kontrol sistemi, kullanıcı bilgilerinin yönetimini kolaylaştıran ve güvenli kılan LDAP ve Active Directory gibi endüstriyel standart şifre yönetim sistemlerini desteklemektedir. Doğru kurulum ve konfigürasyon güvenliğin en önemli unsurlarından bir tanesidir.

- VLAN kullanımı. Herhangi kontrol sistemi için yapılması gereken en önemli şeylerden biri, ağa bağlı iken koruma sağlamaktır. Ağ desteği için yaygın olarak kullanılan iki yaklaşım bulunmaktadır. Bunlardan biri sadece tesise hizmet veren bir ağ kullanmak iken diğeri mevcutta bulunan (eğer var ise) Enterprise Network (Kurumsal Ağ) kullanımıdır. Her iki yaklaşımın da avantajları ve dezavantajları vardır ama iki yaklaşımda güvenliğe yeterli önemi vermeyi gerektirmektedir.

Sadece tesise hizmet veren “özgül ağ” kullanımında, ağın izlenmesi ve internete ISP aracılığıyla bağlanma şeklinin yönetilmesi konusunda hassasiyet gösterilmelidir. Kurumsal bir ağ için en iyi uygulamalardan bir tanesi bir “Sanal Yerel Alan Ağı – VLAN” kullanılmasıdır. VLAN network switch’leri aracılığıyla yapılandırılıp yönetilir ve switch port’larının diğerlerini görmesini ve haberleşmesini sınırlandırır. Birçok VLAN sadece onaylı bir cihazın (bir kontrol elemanı veya PC gibi) ağa bağlanmasına izin verir. VLAN kurulumu ve yönetimi genellikle bir IT profesyonelini gerektirir ve bir VLAN kusursuz bir koruma sunmasa da, bir kontrol sisteminin siber saldırganlar tarafından erişiminden korunmada gözle görünür ölçüde yardımcı olur.

- Güvenlik duvarları ve ağ koruması. Bina kontrol sistemlerini internete bağlamak sisteme uzaktan erişimde sayısız fayda sağlarken aynı zamanda analiz ve sistemin iyileştirmesi için veri toplanması için de kolaylıklar sağlamaktadır. Fakat sistemin internete bağlanması siber saldırı için potansiyel bir açık oluşturmaktadır. Sistemler internete bağlandığında bir güvenlik duvarı vasıtası ile korunabilirler/korunmalıdırlar. Piyasada meskun seviye router’lardan kurumsal sınıf çözümlere kadar birçok ticari güvenlik duvarı ürünü bulunmaktadır. Ayrıca bina otomasyon sistemlerinin internet bağlantısını yöneten özel ürünler ve güvenli uzaktan bağlantıları sağlayan ürünler de bulunmaktadır. İnternete bağlı herhangi bir sistem için güvenlik duvarı büyük önem arz etmektedir.

- Saldırının tanımlanması ve saldırıya reaksiyon. Sonuncu iyi uygulama ise saldırının meydana geldiğinin farkına varılması ve nasıl reaksiyon verileceği konusunda bir planın oluşturulmasıdır. Salırının meydana geldiğinin farkında olunmasındaki anahtar nokta, aktif olarak ağın yönetilmesi, trafiğin takip edilmesi ve anormal bir durum olduğunda bunun tanımlanabilmesidir. Bu görüntülemenin başarılması için belki de en kolay ve etkin yol kurumsal ağ kullanmak ve organizasyondaki IT profesyonelinden ağı görüntülemesini ve yönetmesini talep etmektir. Ağ trafiğinin tesise özgü bir ağda görüntülenmesi de mümkündür fakat bu durumda ağ aktivitelerinin takibinde deneyimli olmayı ve bu iş için yeterli sürenin hakkı ile verilmesi gerekliliği ortaya çıkacaktır.

Gelecekteki çalışmalar

Günümüzde yürürlülkte bulunan en iyi uygulamalarla bile, ticari binalardaki kontrol sistemlerinin bir siber saldırıya uğrama riski taşıdığı ve daha iyi korunmaya ihtiyacı olduğu tartışmaya açık olmayan bir gerçektir. Bu durum günümüzde bu konu ile alakalı araştırma ve geliştirme çalışmalarına kaynak oluşturacak ve önümüzdeki birkaç yılda da böyle olmaya devam edecektir.

Açık iletişim standartlarına güncelleme

Açık kontrol protokollerinin amaçlarından biri, kontrol elemanlarının birbirleriyle bilgi paylaşımını kolaylaştırmasıdır. BACnet, Modbus ve LonWorks gibi kontrol protokollerinden birçoğu kapalı kontrol ağında çalışacağı varsayımı ile geliştirilmişlerdir ve bu sebepten kod içeriklerinde ağ güvenliğine yönelik içeriklerden ve şifreleme yöntemlerinden çok az bulunmaktadır. Fakat senelerdir, kontrol ağları hem özel hem de ortak ağları kullanacak şekilde evrilmiştir. Bu durum, siber saldırganın ağa erişim sağlaması, ağ iletişimlerini görüntülemesi, geçerli komutlar yayınlaması ve hatta bilgiyi okuyup yazmasına imkan sağlaması ihtimalini doğurur.

Bu problemin çözümlerinden biri de standartların ağ güvenliğini içerecek şekilde güncellenmesi ve bu standartların ağ içerisinde dolşan verinin şifrelenmesini ve sadece “güvenilir” komutların uygulanabilmesi için bir metod oluşturulmasını içermesidir. Güvenli ağ iletişiminin başarımı için oluşturulan metodlar diğer endsütriler tarafından iyi şekilde tanımlanmıştır. Örneğin, bankanızdaki hesabınızdan online bir parasal işlem yaptığınızda, veri şifrelenir (tarayıcı pencerenizin üst tarafındaki küçük kilit simgesini arayınız). Ayrıca, dijital kimliğin yaratılması ve doğrulanması için iyi bilinen metodlar vardır. 2010 yılında, BACnet standardı güncellenmiş ve ağ güvenliği için opsiyonel bir metod içeriğine eklenmiştir. Bu metod kimlik doğrulama ve veri gizliliği ile ilgilidir. Ne yazık ki, piyasada bulunan BACnet ürünlerinden çok azı bu opsiyonu desteklemektedir. BACnet yönetim kurulu en son teknolojileri kullanarak güvenlik için alternatifleri güncellemek üzerinde çalışmaya devam etmekte ve BACnet Secure Conncetion (BACnet Güvenli Bağlantı) ismini verdiği geliştirilmiş güvenlik opsiyonunu kamu değerlendirmesine sunmaya hazırlanmaktadır. Sağlayıcılar bu yeni standardı kullanabilecek ürünleri piyasaya sürmek konusunda iyimser görünseler de bina sahiplerinden, operatörlerinden ve tasarım mühendislerinden gelen daha gelişmiş güvenlik talepleri bu yeni opsiyonların kontrol sistemlerinde ne zaman kullanılabilir olacağını etkileyecektir.

Siber güvenlik konusundaki araştırmalar

Siber-fiziksel güvenlik konusu oldukça dinamiktir ve yeni teknolojiler ile evrilirken, üstesinden gelebilmek için sürekli çalışmalar yapılmalıdır. Bu çalışmaları destekleyen büyük ölçekli bir araştırma planı vardır. Bu çalışmalar, küresel olarak hükümet laboratuvarlarında, üniversitelerde ve endüstrilerde yürütülmektedir. Bu alanda süregelen araştırma çalışmalarından bazılarını aşağıda sıraladık:

- Güvenlik çerçeveleri. Gelişmiş siber-fiziksel korumanın sağlanmasında ilk adım, sistemleri değerlendirmek ve korumak için her parti tarafından mutabık kalınmış çerçevelerin geliştirilmesi üzerine çalışma yapmaktır. Bu çerçeveler mevcut koruma seviyesinin değerlendirilmesi için endüstriler ve uygulamalar arasında kullanılabilecek araçların mimarları olacaklardır. 

- Değerlendirme ve tespit için araçlar. Her sistem ve ağ şekline karşı süregelen tehtidlere karşı, koruma araçlarının yanı sıra tespit araçları da kullanmak da büyük önem arz etmektedir. Bir hırsızlığa karşı sadece ön kapınızı kilitlemenin yeterli olduğunu düşünüyor olabilirsiniz. Fakat güvenlik sistemleri evinize zorla girmeye çalışılması durumunda tespit ve bildirim yapılması için vardır. Olası problemlere karşı ağı değerlendirebilecek ve bir saldırının yakın olduğunu belirleyebilmek için ağ trafiğini analiz edebilecek yeni araçlar konusunda çalışmalar devam etmektedir.

- Yeni güvenlik metodları. Ağlar ve onlara bağlı cihazlar evrilmeye devam ettikçe, onları koruyacak olan metodlar da evrilecektir. Güvenlik için kullanılan yeni metodlardan biri de “blockchain”dir (blok zinciri). Blockchain ilk olarak kripto para birimi olan bitcoin’in muhasebe sistemi için kullanılmıştır. Blockchain bitcoin işlemlerinin açıklamasını yapan büyük defter olarak hizmet vermektedir. Bloklar şifreleme kullanılarak bağlandığı için, siber-fiziksel güvenliği de içeren birçok amaç için de kullanılabilirler

- Gözetimli güvenlik hizmetleri. Kontrol ağlarına erişim ve ağların korunumu için gözetimli güvenlik hizmeti sunan birçok tedarikçi bulunmaktadır. Bu tip bir hizmete başvurmak yeni çözümler ve standartlar evrildikçe artan bir ilgi alanı olacaktır. 

Sonuç

Bina sistemlerinin siber-fiziksel güvenliği dendiğinde akılda tutulması gereken birkaç maddeyi aşağıda sıraladık.

- Risk oldukça gerçek. Dışarıda problem yaratmaya çalışan kötü kişiler var ve bir kez sisteminize sızarlarsa kargaşa yaratabilirler

- Koruma gereksinimleri dengelenmelidir. Bir bina kontrol sistemini dirençli ve güvenilir yapmak önemlidir. Fakat bu koruma araçları amacı bina operasyonları ve verimliliğini iyileştirmek olan bina kontrol sistemi doğrultusunda dengelenmelidir. Fonksiyonelliği azaltan bir koruma aracı kullanmak öngörüsüz bir hamle olacaktır.

- En iyi uygulamaları takip edin. Mekanik mahallere fiziksel güvenliğin sağlandığından emin olun. Kullanmadığınız zamanlarda sistem hesaplarını kilitli bırakın. Kullanıcı adı ve şifre uygulamalarını kullanın. VLAN, VPN ve güvenlik duvarları gibi araçları devreye almak için IT departmanınız ile yakın çalışın.

- Standartları ve araştırma çalışmalarını destekleyin. Bu alanda birçok çalışma yürütülmektedir. Fakat en önemlisi yapılan çalışmaları gerçeğe dönüştürecek olan müşterinin talebidir. Bina sahipleri, operatörleri ve tasarımcıları ne kadar çözüm talebinde bulunurlar ise, endüstri bu çalışmaların gerçeğe dönüşmesini ve araştırma laboratuvarlarından piyasaya gelmesini o kadar hızlandıracaklardır. 

Siber-fiziksel güvenlikte DOE (Department of Energy-Enerji Departmanı) araştırmaları

DOE siber-fiziksel saldırıların riskini değerlendirmeye yardım edecek yeni araçların araştırılmasında ve daha güvenilir işletim için kontrol sistemlerinin geliştirilmesinde aktif rol almaktadır. Kuzeybatı Pasifik Ulusal Laboratuvarında (PNNL) gerçekleştirilen bu çalışma, bir güvenlik altyapısını ve organizasyonların kontrol sistemlerini değerlendirecek araçlar üzerine çalışılmaktadır. Bu araçlar kullanımı kolay ve anlık geribildirimler sağlayan çevrimiçi anketleri içermektedir.  

Bina otomasyon sistemim internette görünür müdür?

Çok iyi bir soru olmakla beraber cevabı kolayca verilebilir. Kontrol sistemleri tiplerinin tümünü arayan ve internette olup olmadıklarını söyleyen bir çevrimiçi arama motoru bulunmaktadır. Bu sitenin adı Shodan’dır (www.Shodan.IO) ve internet içerisinde kontrol sistemlerini aramakta ve kullanıcıların sistemleri arayıp bulmasını sağlamaktadır. Örneğin, internette “BACnet” arandığında Shodan tarafından bulunan 7500 internet sitesi vardır. Shodan ile arama yapmak kontrol sisteminizin güvenliğini değerlendirmek için ilk adımdır. Sisteminizin arama motorunda bulunmasının bir zaafiyet olarak algılanmaması gerektiğini fakat sitenizin internette görünür olduğunu bilmeniz gerektiğini unutmayınız.