Çin yapımı siber güvenlik

Çin’de perakende sektörü tarafından internet üzerinden yapılan satışlar altın çağını yaşıyor. Dünyanın internet üzerinden satış yapan en büyük pazaryeri olan Alibaba gibi alışveriş portalları, Alipay gibi ödeme sistemleri vasıtasıyla büyük satış rakamlarına imza atıyor. Sorun şu ki suç işleyenler para kazandıran ortamlardan hiçbir zaman uzak kalmaz. Örneğin Alibaba, Taobao ve benzeri alışveriş hizmeti veren diğer siteler sıklıkla müşteri verilerine erişebilmek için kimlik avı (phishing) epostaları kullanan bilgisayar korsanlarının saldırılarına hedef oluyor. Çin’de her beş internet kullanıcısından biri bilgisayar korsanlarının saldırısına maruz kalıyor. Siber suçlar, Çin’in ekonomisi için gittikçe büyüyen bir tehdit oluşturuyor ve Pekin hükümeti nihayet konunun öneminin farkına vardı. Başkan Xi Jinping, BT güvenliğinin birinci öncelikli konu olduğunu ilan etti. Alınan ilk önlem, yabancı menşeili BT ürünlerinin Çin’in güvenliği için kritik önem taşıyan bankacılık gibi sektörlerde kullanımına ilişkin katı düzenlemeler yapılması oldu. Buradaki amaç, bilgisayar korsanları ve yabancı istihbarat servislerinin kullanabileceği potansiyel giriş noktalarını kapatmak ve yerel BT endüstrisini güçlendirmek. Bu önlemlerin sonucunda Çin’in BT güvenlik pazarının hızla büyümesi bekleniyor. ABD pazar araştırması şirketi Technavio’ya göre pazarın büyüklüğü her yıl çift haneli büyüme göstererek 2014 yılındaki 2,11 milyar dolardan 2019’da 3,6 milyar dolara ulaşacak.

Miadını doldurmuş süreç kontrol teknolojisi Bilgisayar korsanlarının kimyasal tesisler ve elektrik santralleri gibi endüstriyel tesislere yönelik saldırıları, Çin halkının ilgisini fazla çekmiyor, ancak bunlar yine de büyük bir tehdit oluşturuyor. Çin şirketleri genellikle, böyle bir senaryo için tasarlanmış olmamalarına rağmen miadını doldurmuş teknolojilere dayanan sistemlerle ofis bilgisayarları veya uzaktan bakım merkezleri arasındaki bağlantıyı internet üzerinden sağlar. Başka bir deyişle koruyucu önlemlerin alınmadığı bir durumda, örneğin bir ofis bilgisayarını etkileyen kötü amaçlı yazılımlar, ethernet ve internet protokolü aracılığıyla ağ bağlantısı yapılmış makine kumanda sistemlerine kolayca sızabilir. 2014 yılında Siemens’in yüzün üzerinde sanayi firmasının katılımıyla gerçekleştirdiği bir araştırmanın sonuçları, siber suçların Çin’deki imalatçı şirketlere yönelik tehdidinin kapsamını gözler önüne seriyor. Şirketlerin yüzde 80’inden fazlası kötü amaçlı bir yazılımın sisteme bulaştığı veya başka türlü bir saldırıya maruz kaldığı bilgisini veriyor. Hatta bazı şirketler üretimi geçici olarak askıya almak zorunda kaldıkları ve bunun sonucunda gelir kaybına uğradıkları yönünde bildirimde bulundular. Pekin’deki Siemens Kurumsal Teknoloji (CT) tarafından işletilen Endüstriyel Güvenlik Laboratuvarı Başkanı ve Üst Düzey Uzmanı Profesör Wen Tang’a göre yaşanan bu tür olaylar sorunun sadece miadını doldurmuş teknolojiyle ilgili olmadığını; aynı zamanda farkındalık eksikliğinin bir sonucu olduğunu gösteriyor. Wen Tang, büyük bir Çin rafinerisinde çalışan bir yöneticinin kendisine ciddi ciddi, güvenlik önlemi almamalarına rağmen hiç saldırıya uğramadıkları için şanslı olduklarını ve bu yüzden şirketinin herhangi bir siber güvenlik önlemi almasına gerek kalmadığını söylediği bilgisini veriyor. 

Güvenlik yanılsaması Şirketlerin işi başlangıç seviyesindeki güvenlik önlemlerini almakla bitmiyor. Birçoğu, güvenlik duvarı ve antivirüs yazılımı satın almakla kendilerini sonsuza kadar koruma altına aldığını sanıyor. Tang, bunu “güvenlik yanılsaması” olarak nitelendiriyor ve ekliyor: “Siber güvenlik tek bir dokunuşla bir çırpıda elde ettiğiniz bir şey değildir; farkındalığı, idareyi, çözümleri ve ürünleri içine alan ve aralıksız devam eden bir süreçtir. Ve ilk adımı da endüstriyel kontrol çalışma sistemi üzerindeki görünürlük olmalı ve bu sistemde her gün neler olup bittiği bilfiil görülebilmelidir.” Siber güvenlik konusunda gerekli özeni gösterenler siber saldırılara karşı yüzde 100 dokunulmazlık beklememeli, ancak gösterilen bu özen bilgisayar korsanlarının işlerini çok zorlaştırabilir. En iyi durumda korsanların ilgilerini kaybetmelerini sağlayabilir. Tehditlerden ders alma 2005 yılı başlarında Prof. Tang yönetiminde bulunan dahili bir CT laboratuvarı, endüstriyel güvenlik konusunda çığır açan bir araştırma programı başlattı. Endüstriyel Güvenlik Laboratuvarında yapılan işler değişim geçirdi. Geçmişte odak noktası araştırma üzerine olmasına rağmen laboratuvar ekibi yeni dönemde Siemens’in ve Siber güvenlik hatta rakiplerinin ürettiği kumanda merkezlerini kullanan müşterilere düzenlediği ziyaretleri sıklaştırmaya başladı. Bu ziyaretler sırasında Siemens’in uzmanları güvenlik açıklarını tanımlama amaçlı risk değerlendirme hizmeti verdi ve bu açıkların kapatılabilmesi için çözümler önerdi. Laboratuvar 2014’ten bu yana müşterilere ve devlet kurumlarına da hizmet veriyor, bunlar Siemens’e yerel bir ortak olarak duyulan güveni artıran adımlar oldu. Laboratuvar, standart bir fabrika otomasyon test ortamı altyapısı da dahil olmak üzere demo amaçlı birçok kuruluma bizzat imza attı. Tang bir şirketin endüstriyel güvenlik konusunda gerekli önlemleri almaması durumunda bilgisayar korsanlarının bir kumanda merkezini devre dışı bırakmasının ne kadar kolay olduğunu ziyaretçilere göstermek için arada bir laboratuvar tarafından geliştirilen Styx (Protokol X için Güvenlik Test Sistemleri) ürününü kullanarak iletim ağına yönelik kasti bir siber saldırı düzenliyor. Ekip ayrıca Siemens’in analitik çözüm ürünü (OT Güvenlik Cihazı) vasıtasıyla güvenlik anlamında pozisyonlarını nasıl geliştirebileceklerini öğretmek amacıyla müşterilere yönelik eğitimler düzenliyor. Laboratuvar şu anda birkaç proje üzerinde çalışıyor. Örneğin, laboratuvarda geliştirilen Styx, güvenlik uzmanları tarafından kasıtlı olarak oluşturulan rastgele verilerle yüklenmiş milyonlarca paket içeren bir test sistemine veri sağlıyor. Rastlantısal veri testi (fuzzing) olarak bilinen bu teknik, sistemin yavaşlamasına, hatta tamamen çökmesine neden olup olmadığını kontrol etmek için tasarlanmıştır. Styx, test ettiği sistem hakkında herhangi bir bilgi sahibi olması gerekmediği ve daha önceden bilinmeyen ancak kolaylıkla bertaraf edilebilecek hataları bularak Siemens ürünlerinin güvenlik kalitesinin artmasına katkı sağladığı için avantajlı bir sistemdir. Test edilen kumanda sisteminin, bir şişeleme tesisinin veya bir elektrik santralinin içinde olması fark yaratmaz, bu tür bir “kara kutu testi” her yerde uygulanabilir ve Styx halihazırda 30 farklı endüstriyel protokolde on milyon test yapmak için kullanıldı. Çin’de geliştirildi, dünya çapında uygulamaya konuldu Styx, hem otomasyon sistemlerinin müşterilere tesliminden önce test edilmesinde hem de güvenlik açığı olduğundan şüphe edilen bütün mevcut sistemlerin test edilmesinde kullanılıyor. Öte yandan, OSA (OT Güvenlik Cihazı), devam eden endüstriyel operasyonlar sırasında müşterinin fabrikasında güvenliğin yerinde izlenmesini sağlama amacıyla Siemens CT Çin tarafından tasarlanmış ve geliştirilmiştir. OSA; Ağ Trafiği Analizini (NTA), DPI (Deep Packet Inspection) tabanlı varlık tespiti ve anomali tespitini, güvenlik günlüğü toplama ve korelasyonunu ve en üst düzey güvenlik istatistiklerini kullanarak endüstriyel otomasyon ağları ve uygulamalarında kapsamlı varlık ve güvenlik izleme hizmeti verebiliyor. Styx ve OSA, Pekin’deki Kurumsal Teknoloji’de geliştirilmiştir. Neden orada da başka bir yerde değil? Wen Tang şu şekilde açıklıyor: “Son müşteriye yakın olmamız nedeniyle, onlarla yakından ilgilenmek suretiyle sorunlarını anlayabildiğimiz için ihtiyaç duydukları güvenliği sağlayacak cihazları ve yazılımları geliştirebiliyoruz.”