Türkiye’de kritik altyapıların siber güvenliğiyle ilgili dikkat çeken bir iddia gündeme geldi. Bir siber güvenlik araştırmacısının, Türkiye’de internete açık bırakılan 161 uzaktan erişim sistemine ulaştığını açıklaması sosyal medyada yeni bir tartışma başlattı. Su pompaları, sera otomasyonları, tavuk çiftlikleri ve çeşitli tesislere ait kontrol panellerinin de bulunduğu belirtilen sistemler, internete açık endüstriyel kontrol altyapılarının ne kadar büyük bir risk oluşturabileceği sorusunu gündeme taşıdı. Tartışmayı büyüten ise araştırmacının, eriştiği sistemler üzerinden ''Tek tuşla tüm Ankara’nın suyunu kesebilirim'' iddiasında bulunması oldu.

Peki internete açık bir kontrol paneli üzerinden gerçekten su pompalarına müdahale edilebilir mi? Bir sistemin parolasız ya da zayıf korumayla internete bağlanması, şehirlerin su altyapısını tehlikeye atabilir mi? Türkiye’deki 161 sistem iddiası, kritik altyapılarda büyük bir siber güvenlik sorununun işareti mi?

Siber Güvenlik Uzmanı Onur Oktay, iddianın teknik arka planını, uzaktan erişim sistemlerindeki güvenlik risklerini ve olası bir siber saldırının sonuçlarını Tgrthaber.com Özel Haber Editörü Zeynep Gizem Er’e değerlendirdi. Oktay, tartışmanın yeni bir yazılım açığından ziyade, kimlik doğrulaması yapılmadan veya zayıf parolalarla internete açık bırakılan sistemlerle ilgili olabileceğine dikkat çekti.

Tek bir kontrol paneline erişim ile bir şehrin su sistemini tamamen devre dışı bırakmanın aynı şey olmadığını vurgulayan siber güvenlik uzmanı, yerel ölçekte yaşanabilecek müdahalelerin de ciddi sonuçlar doğurabileceği uyarısında bulundu.

Onur Oktay, olayın yeni bir yazılım açığından ziyade, yanlış yapılandırılmış ve yeterli kimlik doğrulaması olmadan internete açılmış sistemlerle ilgili olabileceğine dikkat çekti.

''Açıklamadan anladığım kadarıyla ortada yeni bir zafiyet yok. Araştırmacının yaptığı iş, Türkiye IP bloklarını tarayıp internete açık VNC servislerini tespit etmek. VNC (RFB protokolü, genelde TCP 5900), bir bilgisayarın ekranını uzaktan görüp klavye ve fareyi kontrol etmeye yarayan, 90'ların sonundan beri kullanılan bir araç. Sorun yazılımda değil, konfigürasyonda. Kimlik doğrulaması kapatılmış ya da varsayılan veya zayıf parolayla bırakılmış VNC sunucuları doğrudan internete açılmış. Vncsnatch gibi araçlar tam olarak bunu yapıyor; parola istemeyen sunuculara bağlanıp ekran görüntüsünü alıyor. Shodan, Censys gibi arama motorlarında bu tür ekranlar yıllardır listeleniyor. Yani karşımızdaki şey bir 0-day değil, CWE-306 (kritik fonksiyonda eksik kimlik doğrulama) sınıfında, sahada çok sık gördüğümüz bir siber hijyen problemi.

Yetkisiz erişim sorusunun cevabı ise büyük ölçüde evet. VNC'de kimlik doğrulama yoksa ve sunucu sadece izleme (view-only) moduna alınmamışsa, bağlanan kişi operatörün ekranında ne görüyorsa onu görür ve operatörün yapabildiği her şeyi yapabilir. O ekran bir HMI (operatör paneli) ise pompayı çalıştırmak, durdurmak, set değerini değiştirmek ya da alarmı susturmak bir fare tıklamasına kalır. Bir parantez açmam lazım.. 161 rakamı bir taramanın anlık görüntüsü. İçinde sera otomasyonu, kümes iklimlendirmesi, sıradan ofis bilgisayarları, hatta honeypot'lar olabilir. Hangisinin gerçekten kritik altyapı olduğunu tek tek doğrulamadan genelleme yapmak doğru olmaz. ASKİ de paylaşılan ekranların kendi sistemleriyle örtüşmediğini söylüyor. Ama şunu net söyleyebilirim ki kime ait olursa olsun, bir kontrol ekranının parolasız şekilde internete açık durması kabul edilebilir bir durum değil.''

Tek bir sisteme müdahale etmekle kentin tamamının su altyapısını devre dışı bırakmanın aynı şey olmadığını belirten Oktay, olası bir saldırının etkisinin erişilen sistemin yetkilerine ve altyapının çalışma biçimine bağlı olduğunu vurguladı:

''Bu cümle teknik olarak abartılı ama tamamen boş da değil. Bir şehrin su sistemi tek bir şalterden yönetilmez. Ankara ölçeğinde onlarca terfi merkezi (pompa istasyonu), arıtma tesisleri, depolar ve farklı basınç bölgeleri var. Dağıtımın önemli bir kısmı depolardan cazibeyle, yani yerçekimiyle yapılır ve depolar saatlerce, bazen günlerce tampon sağlar. Bir pompa durduğunda musluktan su anında kesilmez. Ayrıca sahada PLC seviyesinde emniyet kilitlemeleri (interlock), lokal/uzak seçici anahtarlar, merkezde 7/24 SCADA'yı izleyen operatörler ve manuel müdahale imkanı bulunur.

Tek bir istasyonun paneline erişmek ile şehrin tamamını devre dışı bırakmak arasındaki fark şu: panel erişimi size o istasyonun yetki alanını verir. Orada pompaları durdurabilir, vanaları kapatabilir, set değerleriyle oynayabilirsiniz. Sonuç büyük ihtimalle bir mahallede ya da bir basınç bölgesinde kesinti olur. Şehir genelini etkilemek için merkezi SCADA sunucusuna ya da çok sayıda istasyona aynı anda erişim ve sürecin nasıl işlediğine dair ciddi bilgi gerekir.

Bunu riski küçümsemek için söylemiyorum. Lokal etki de ciddi olabilir. Hızlı vana kapatma koç darbesi yaratıp boru patlatabilir, pompa kuru çalıştırılıp yakılabilir. En tehlikelisi de arıtmadaki klor ya da kimyasal dozlama değerlerinin değiştirilmesi.

İnternete açık bırakılan uzaktan erişim sistemleri, yalnızca kontrol ekranlarının başkaları tarafından görüntülenmesi riskini taşımıyor. Bu sistemler, uygun koşullarda endüstriyel kontrol ağlarına ve bağlantılı diğer cihazlara ulaşmak için de bir giriş kapısına dönüşebiliyor.

Siber Güvenlik Uzmanı Onur Oktay, saldırganların kontrol paneline eriştikten sonra daha geniş sistemleri hedef alabileceğine dikkat çekerek kritik altyapılardaki güvenlik risklerini anlattı:

''İnternete açık bir HMI ya da mühendislik bilgisayarı saldırgan için hedefin kendisi değil, giriş kapısıdır. Bu makineler çoğunlukla Windows tabanlıdır, sıklıkla güncellenmemiştir (sahada hâlâ Windows 7, hatta XP görüyoruz) ve doğrudan OT ağının içinde, Purdue modelinde Seviye 2'de dururlar. Aynı ağda PLC'ler, RTU'lar, historian sunucusu ve çoğu zaman mühendislik iş istasyonu bulunur. Saldırgan VNC ile ekrana geldiğinde sadece butonlara tıklamakla kalmaz. Klavye üzerinden komut satırı açıp araç indirebilir, kalıcılık için yeni kullanıcı ya da zamanlanmış görev ekleyebilir, makinede kayıtlı parolaları ve SCADA proje dosyalarını alabilir. Proje dosyaları saldırgan için altın değerindedir. IP planı, PLC adresleri, tag isimleri, süreç mantığı hepsi oradadır. Üstüne OT protokollerinin büyük kısmı (Modbus/TCP, S7comm, DNP3'ün eski kullanımları) kimlik doğrulama içermez. Yani ağa bir kere girdikten sonra bir PLC'ye komut göndermek için ekrana bile ihtiyaç kalmaz.

Sahada en sık gördüğümüz zayıflık segmentasyon eksikliği. IT ile OT arasında düzgün bir DMZ olmayan, düz (flat) ağlarda bu makine üzerinden kurumsal ağa, oradan da bağlantılı diğer tesislere geçmek mümkün. Tersi de geçerli.. IT tarafına bulaşan bir fidye yazılımı HMI'ı şifrelerse operatör tesisi göremez hale gelir. Colonial Pipeline vakasında boru hattının OT tarafına dokunulmadı; IT tarafındaki fidye yazılımı yüzünden şirket hattı kendisi durdurmak zorunda kaldı. Kısacası açık bir VNC hem doğrudan süreç manipülasyonu hem de daha büyük bir ağa pivot için kapı aralıyor.''

İnternete açık bir kontrol panelinin tespit edilmesi, olası bir siber saldırının önlenmesi için tek başına yeterli olmayabilir. Yetkisiz erişim gerçekleşip gerçekleşmediğinin, sistemlerde herhangi bir değişiklik yapılıp yapılmadığının ve saldırganların geride iz bırakıp bırakmadığının da araştırılması gerekiyor.

Oktay, böyle bir durumda yalnızca internet bağlantısını kesmenin yeterli olmayacağını belirterek izlenmesi gereken adımları sıraladı:

''Bu tür açıklar tespit edildiğinde sistemlerin hemen internet erişimine kapatılması yeterli değildir. İnternet erişimini kesmek; ilk kontrol altına alma (containment) adımıdır, yeni erişimi engeller ama geçmişte ne olduğu sorusunu kapatmaz. Üstelik telaşla cihazı kapatmak ya da sıfırdan kurmak, geçmişi gösterecek delilleri de yok eder.

Burada dürüst olmak gerekiyor; bu sistemlerin önemli bir kısmında ya log tutulmuyor ya da çok kısa süre tutuluyor. Log yoksa "kimse girmedi" diyemezsiniz, en fazla "girildiğine dair iz bulunamadı" diyebilirsiniz. Bu ikisi aynı cümle değil. Kalıcı çözüm ise uzaktan erişimi doğrudan internetten değil; VPN, çok faktörlü kimlik doğrulama ve oturumları kayıt altına alan bir jump server üzerinden vermek, IEC 62443'teki zone/conduit yaklaşımıyla ağı segmente etmek ve OT trafiğini pasif olarak izleyen bir anomali tespit katmanı kurmak.''

Benzer bir saldırının Türkiye'de eş zamanlı olarak birden fazla şehri veya tesisi hedef alabileceği riskini değerlendiren Onur Oktay, kritik altyapıların korunmasının yalnızca kurumların kendi güvenlik önlemleriyle sınırlı tutulmaması, ulusal ölçekte ele alınması gerektiğini vurguladı.

''Kritik altyapıda ciddi bir monokültür sorunu var. Aynı SCADA yazılımı, aynı PLC markası, aynı entegratörün aynı şablonla kurduğu sistemler. Bir entegratör bir belediyede VNC'yi parolasız açıp bırakmışsa, büyük ihtimalle diğer projelerinde de aynısını yapmıştır. Saldırgan açısından bu 161 ayrı hedef değil; bir kere yazılıp 161 kere çalıştırılan tek bir script demek. Araştırmacının 17 milyon IP adresini 18 saatte taramış olması da keşif maliyetinin neredeyse sıfır olduğunu gösteriyor.

Etkiyi büyüten şey teknik hasardan çok eş zamanlılık. Tek bir tesiste olay olduğunda müdahale ekibi oraya yoğunlaşır. Beş ilde aynı anda olduğunda olay müdahale kapasitesi, saha ekipleri ve karar alma mekanizması aynı anda zorlanır. Buna sosyal medyada dezenformasyon da eklenirse, fiziksel etkiden çok daha büyük bir kamu güveni krizi ortaya çıkar. Su ve elektrik gibi birbirine bağımlı sistemlerde zincirleme etki de unutulmamalı; terfi merkezleri elektrik olmadan çalışmaz.

Bu yüzden konu tek tek kurumların sorunu olarak değil, ulusal ölçekte ele alınmalı. Kritik altyapı işletmecilerinin internete açık saldırı yüzeyinin sürekli izlenmesi, entegratörler için zorunlu güvenli kurulum standartları ve tespit edilen açıkların işletmeciye hızla iletilip takibinin yapılması gerekiyor. Bir araştırmacı bu taramayı birkaç günde yapabiliyorsa, devlet destekli bir grubun bunu çok daha önce yaptığını varsaymak gerekir.''

Kaynak: TGRT Haber