Kaçmak İçin Tasarlanmış: Kritik Altyapının Genişleyen Saldırı Yüzeyi

• Kritik altyapılar, kurumsal ağdan kaynaklanan aksaklıklarla karşılaşabilir; son dönemde kamu sağlık sektöründe yaşanan vakalar, kötü amaçlı bir dosyayla ilgili tek bir kullanıcı eyleminin nasıl zincirleme bir şekilde operasyonel aksaklığa yol açabileceğini göstermektedir.
• E-posta, saldırı yüzeyindeki en yoğun geçiş noktalarından biri olmaya devam ediyor: Tasarımı gereği, hem makinelere hem de bunları kullanan kişilere geniş ölçekte ulaşan bir kanal.
• Hava boşluklu ortamlar hâlâ bağlı taraftan gelen içeriğe bağımlıdır; bu nedenle, dosyalar daha hassas sistemlere geçmeden önce yukarı yönlü denetimin önemi artmaktadır.
• İnovasyon, dayanıklılık açısından hayati önem taşır; ancak her yeni tedarikçi, entegrasyon ve güncelleme kanalı, sağladığı operasyonel fayda kadar özen gösterilerek planlanmalıdır.
• Bu gerçekliğe göre tasarlanmış bir savunma sistemi, e-posta güvenliğini katmanlı ve bütüncül bir modelin temel unsurlarından biri olarak ele alır; içerik, ister insan ister makine olsun, okuyucuya ulaşmadan önce riskleri inceler ve azaltır.

Kritik altyapılarda izolasyon, genellikle güvenliğin nihai hedefi olarak görülmüştür: ağı bölümlere ayırın, en hassas sistemleri fiziksel olarak izole edin; böylece sorun kontrol altına alınmış olur. Oysa iş operasyonları, izole edilmiş çekirdeğin dışında gerçekleşir: planlama, lojistik, faturalandırma, süreç kayıt sistemleri, izleme. Bu alan da bir saldırı yüzeyidir.

Dolayısıyla asıl mesele, sadece hava boşluğunun arkasında ne olduğuyla değil, herhangi bir şey oraya ulaşmadan önce nelerin engellenebileceğiyle ilgilidir. Hava boşluğunun arkasında tam olarak işlev göremeyecek hastaneler, bankalar ve ulaşım ağları da dahil olmak üzere birçok kritik altyapı kuruluşu için iş ağı, altyapının önemli bir parçasıdır.

Ve bu alanda özellikle yoğun bir giriş kapısı bulunmaktadır. E-posta, saldırı yüzeyindeki en yoğun geçitlerden biridir; her kuruluşun tasarım gereği açık tuttuğu bir kanaldır, çünkü işler bu yolla gelir: tedarikçi güncellemeleri, yüklenici belgeleri, bir projeyi başlatan elektronik tablo. E-posta, iki yönlü bir tehdit taşır: bir yandan çalıştırılan dosyalar ve bağlantılarla bilgisayarlara ulaşır, diğer yandan da bu dosyaların açılmasını sağlayan ikna edici mesajlarla insanlara ulaşır. Her ikisini de benzer ölçekte sunan çok az kanal vardır. Aşağıda yer alan vakalar kamuya açık kayıtlara dayanmaktadır ve e-postanın, kötü amaçlı dosyaların veya güvenilir kullanıcıların eylemlerinin nasıl daha geniş çaplı operasyonel aksaklıkların ilk adımı haline gelebileceğini göstermektedir.

İrlanda Sağlık Hizmetleri İdaresi (Health Service Executive), tam şeffaflığı tercih eden ve bağımsız bir inceleme yaptırıp sonuçlarını yayınlayan az sayıdaki mağdurdan biridir; bu nedenle olay ayrıntılı bir şekilde incelenebilmektedir. Mart 2021’de bir kullanıcı, bir iş istasyonunu kötü amaçlı yazılımla enfekte eden bir oltalama e-postasıyla etkileşime girdi. Saldırganlar daha sonra, fidye yazılımını etkinleştirmeden önce sekiz hafta boyunca ortam içinde faaliyet gösterdiler; bu süreyi, ulusal ölçekte kesinti görünür hale gelmeden önce sunucuları ve ayrıcalıklı hesapları ele geçirmek, yatay olarak yayılmak ve verileri sızdırmak için kullandılar. Sağlık hizmeti kurumu, yayılmayı önlemek için BT sistemlerini devre dışı bıraktı. Hastaneler kalem ve kağıda geri döndü, ülke genelinde randevular iptal edildi, sistemlerin normale dönmesi dört aydan fazla sürdü ve Kasım 2024 itibarıyla düzeltme maliyetinin 102 milyon avro olduğu tahmin edildi.

Bir e-posta güvenliği ihlali nadiren sadece bir e-posta sorunu olarak kalır; bu durum, operasyonel ve iş kesintilerine yol açarak mali sonuçlar da doğurabilir. 2024 yılında Ascension, bir çalışanın, kuruluşun “iyi niyetli bir hata” olarak nitelendirdiği bir olayda kötü amaçlı bir dosya indirdiğini açıkladı. Bu olay, ABD’nin en büyük hastane ağlarından birinin ambulansları başka yönlere yönlendirmesine, tedavilerin ertelenmesine neden oldu ve daha sonra 5.599.699 kişinin etkilendiği bildirildi.

Güvenlik liderlerinin dikkate alması gereken senaryolardan biri, ilk başta hiçbir şeyin olmamasına rağmen saldırganın şirket ağı içinde yer alıp ağ şemalarını, mühendislik belgelerini, kimlik bilgilerini, bakım programlarını ve veri aktarım iş akışlarını okuduğu durumdur. Ve okuma eyleme dönüştüğünde, sonuçlar fiziksel dünyaya da uzanabilir. 2015 yılında Ukrayna'nın elektrik şebekesine yönelik saldırının da bu şekilde gerçekleştiği bildiriliyor: kamuoyuna yansıyan haberler ve teknik analizler, BlackEnergy kötü amaçlı yazılımını taşıyan hedefli oltalama e-postaları yoluyla kurumsal ağların önceden ele geçirildiğini, ardından keşif faaliyetleri, kimlik bilgilerinin çalınması ve trafo merkezlerine yönelik koordineli kesintilerin yaşandığını ortaya koyuyor. Olay, yaklaşık 225.000 müşteriyi etkiledi. Tek bir güvenilir mesaj, tek bir rutin eylem, çok sayıda operasyonel sonuç.

Kritik altyapı, mecbur olduğu için yeniliklere yöneliyor. Tehdit ortamı giderek şiddetleniyor, kesintisiz çalışma süresine yönelik beklentiler artıyor ve dayanıklılık, giderek daha akıllı ve daha bağlantılı sistemlere bağlı hale geliyor. Yirmi yıl boyunca aynı mantıkla çalışan bir trafo merkezi artık bulut tabanlı analitik sistemlere rapor verebilir, her vardiyada manuel olarak kontrol edilen bir pompa artık telemetri verilerini bir tedarikçiye aktarabilir ve arıza oluşana kadar bekleyen bakım işlemleri artık yapay zeka ve makine öğrenimi destekli tahminlere göre yönlendirilebilir. Bu iyileştirmeler isteğe bağlı dikkat dağıtıcı unsurlar değildir; kritik altyapının gelişmelere ayak uydurmasının yoludur. Güvenlik modeli, çevresindeki teknolojiyle birlikte gelişirse, bu fırsatın önemi çok büyüktür.

Bu yenilik dalgasının her biri bir değişimi beraberinde getirir: yeni kodlar, yeni entegrasyonlar, yeni tedarikçiler, güncelleme kanalları ve yeni uzaktan erişim yolları. Kapsamlı bir planla bu değişim yönetilebilir. Güvenlik liderleri, verilerin nasıl aktarıldığını, tedarikçilerin nasıl bağlandığını, güncellemelerin nasıl doğrulandığını ve içeriğin hassas iş akışlarına ulaşmadan önce nerede denetlendiğini belirleyebilir. Risk, yeniliğin kendisi değil; plansız güvenin kendisidir. Her yeni tedarikçi ve yüklenici, kullanıcıların açması beklenen ekler, faturalar ve güncelleme bildirimleri içeren yeni bir e-posta ilişkisi oluşturabilir. Maruz kalma alanı genişler ve güvenilmez bir şeyin meşru gibi görünebileceği giriş noktalarının sayısı da artar.

Peki, modernleşme, ona karşı tasarlanmış savunma mekanizmalarından daha hızlı ilerlediğinde ne olur? İşte bu, birikimli etkidir: Saldırganların yetenekleri bugün dondurulsa bile, maruz kalma riski yine de artabilir; çünkü ortam sürekli yeni bağlantı noktaları kazanmaya devam eder. Yapay zeka ve makine öğrenimi, savunma tarafında operasyonel dayanıklılığı artırabilir; ancak saldırganların yeteneklerinde de yavaşlama belirtisi pek görülmemektedir. Yapay zeka, saldırı tarafında araştırma, hedefleme ve yineleme süreçlerini hızlandırabilir; bu da planlı ve uyarlanabilir güvenliği, sorumlu inovasyonun önünde bir engel olmaktan çok, onun bir parçası haline getirir.

Kendi ortamlarının beş yıl sonra nasıl bir hal alacağını tam olarak öngörebilen çok az sayıda operatör vardır; bu nedenle bugünün güvenlik mimarisi, belki de şimdiden dünün topolojisini korumaya çalışıyor olabilir. Amaç, yenilikçiliği yavaşlatmak değil, güvenliğin de yenilikçilikle birlikte gelişmesini sağlamaktır. İzolasyon hâlâ önemlidir, ancak tek başına bir çözüm olmaktan ziyade, daha geniş kapsamlı bir dayanıklılık modelinin bir katmanı olarak işlev görür.

Güvenlik sorumluları, bir tehdidi değerlendirirken genellikle şu üç soruyu sorarlar: Düşmanın niyeti, yeteneği ve fırsatı var mı? Birçok kritik altyapı ortamında, bu üç sorunun cevabı giderek daha fazla “evet” olmaktadır.

• Amaç: Kritik altyapı, kurbanlarını önceden araştıran saldırganlar tarafından kasıtlı olarak hedef alınmaktadır ve potansiyel kazanç, harcanan çabaya değdiği için bu altyapı, saldırganlar için cazip bir hedef olmaya devam edecektir.
• Yetenek: Saldırılar giderek daha endüstriyel bir nitelik kazanıyor; yapay zeka, kampanyaların oluşturulması, test edilmesi ve değiştirilmesinin maliyetini düşürüyor.
• Fırsat: Yenilikler sayesinde eskiden bağımsız çalışan sistemler birbirine bağlandıkça ve içerik kalan sınırları aşmaya devam ettikçe, saldırı yüzeyi de değişmektedir.

Bu üçünün de temelinde aynı iki sabit yatıyor: İnsanlar e-postaya güvenmeye devam edecek, çünkü bu, işlerin aksamadan yürümesi için vazgeçilmez; içerik ise çizdiğimiz sınırların çoğunu aşmaya devam edecek, çünkü iş dünyası böyle işliyor.

Bu gerçekliğe göre tasarlanmış bir savunma sistemi, belirgin bir yapıya sahiptir. E-posta güvenliğini, güvenlik çevresindeki en yoğun geçiş noktalarından biri olarak ele alır ve bütünsel bir modelin temel direklerinden biri olarak buna uygun kaynaklar ayırır. Bu geçitte, her biri farklı bir işlevi yerine getiren katmanlı denetimler uygulanır; böylece içerik, okuyucu (ister insan ister makine olsun) ona ulaşmadan önce incelenir ve risk azaltılır. İşletim döngüsü içinde yapay zeka destekli analizler kullanılarak daha hızlı korelasyon, daha hızlı önceliklendirme ve engellenen girişimlerden daha hızlı öğrenme sağlanır; böylece saldırganların belirlediği hıza daha fazla yaklaşılır. Ayrıca, tehdit ortamı sürekli değiştiği için sürekli iyileştirme, sorumlu modernizasyonun bir parçası olarak ele alınır.

Kendi ortamınıza taşıyacağınız önemli soru şudur: İçerik, kaybetmeyi en çok göze alamayacağınız sistemlere doğru ilerlerken, bu içeriğin gerçekten denetlendiği son nokta neresidir ve bu nokta, güvenli ve güvenilir görünmek üzere tasarlanmış içeriği tespit edebilir mi? Birçok kuruluş için, bu içeriğin ilk geldiği yere kadar izini sürmek genellikle aynı yerde son bulur: gelen kutusu.