Siber Silah Endüstrisi ve Türkiye

Bu makalemde sizlere dünyada yıllardır var olan ve gelişmeye devam eden bir endüstriden bahsedeceğim. Bu endüstri bir çoğumuzun farkında olmadığı fakat neredeyse hepimizin karşılaşması muhtemel olan ve tehlike katsayısının her geçen gün katlanarak artmaya devam ettiği , ülkelerin milyonlarca dolar yatırım yaptığı Siber Silah Endüstrisi.

Makalemi aşağıdaki başlıklar altında gerçekleştireceğim :

1. Siber Silah endüstrisi nedir? Nasıl gelişmiştir?
2. Diğer Endüstrilerle aralarındaki farklar nelerdir? Avantajları, dezavantajları nelerdir?
3. Temel Bileşenleri nelerdir? Hizmet Sağlayıcılar, Siber Güvenlik Uzmanları, Devletler!
4. Bir Siber Silahın Bileşenleri ve İşleyişi
5. Siber Silah Üretme Yolunda Adımlar

Önce Zemana Bilişim Teknolojileri Hakkında kısa bir bilgi takdim etmek istiyorum.

Zemana Bilişim Teknolojileri, tamamen yerli sermaye ürünü olup, 2007 yılında kuruluşundan bu yana zararlı yazılım analizi ve karşı önlemler geliştirme konusunda faaliyet göstermektedir. Halihazırda portföyünde bulunan Zemana AntiLogger ve Zemana AntiMalware yazılımlarını tüm dünyaya ihraç etmektedir. Zemana Bilişim, Yazılım geliştirmenin yanında bilgi güvenliğine yönelik çeşitli servisleri ile hizmet vermektedir. Detaylı bilgi için Zemana web sitesini ziyaret edebilirsiniz.

• Siber Silah endüstrisi nedir? Nasıl gelişmiştir?
  Siber Silah Endüstrisi, Siyasi – Askeri ve maddi kar elde etmek için kullanılan siber silahların Ar-Ge, test ve saldırı süreçlerini içeren, her geçen gün daha da güçlenerek gelişmeye devam eden, hedefin daha gelişmiş siber silahlar üretmek olduğu yeni nesil silah endüstridir.

Aslına bakarsanız, Siber Silahların tarihi 1980’lere kadar dayanıyor fakat o dönemde yazılan zararlıların ileride siber silah olarak kullanılabileceği düşünülmemekteydi. Bilgisayarların yaygınlaşması ile zamanında filmlere konu olan yapay zekaya sahip bilgisayarların insanları köleleştirebileceği gerçeği de artık kimseye uzak görünmese gerek. Hali hazırda başta Amerika Birleşik Devletleri, Rusya, Çin, İsrail, Almanya, Hindistan gibi ülkeler çoktan görünmez ordularını kurmuş durumdalar, hatta Amerika Birleşik Devletlerinin 2009 dan beri faaliyette olan Tugay Seviyesinde bir birliği de mevcut.

Bunu özellikle bir ENDÜSTRİ olarak adlandırıyorum çünkü Siber Silah Endüstrisi, bir endüstri de olması gereken bütün özellikleri barındırmasının yanı sıra, merkeziyet kavramından uzak olabilme özelliği ile tıpkı görünmez bir fabrika gibi faaliyet gösterebilmesi ile de dikkat çekmektedir. Öyle bir endüstri düşünün ki, görünmez fabrikalarda çalışan görünmez işçiler ve ortaya çıkan ürün, bir ülkeyi yerle bir edebilecek potansiyele sahip ve aynı zamanda suç adledilebilecek bir makamdan yoksun. İşte Siber Silah Endüstrisi budur!

Peki, nasıl oldu da ülkeler birbirlerine saldırmaya başladı? Tabii ki her endüstriyel faaliyet gibi bu faaliyetinde bir gelişim süreci var. Aslına bakarsanız, siber silahların geliştirilme süreci bilişim suçlarının organize suç şebekeleri tarafından artan bir sıklıkla kullanılması ile başlıyor. Siber ajanlar kullanılarak yapılan organize soygunların kapsamının her geçen gün gelişmesini bir noktadan sonra Siber İstihbarat izledi.

Siber istihbarat sayesinde sıfır personel ve riskle oldukça yüksek derecede doğruluğa sahip istihbarat toplanabilmesi süper güçlerin iştahını kabarttı ve bu süreç ilk siber silahların doğuşuna sebep oldu.

• Diğer Endüstrilerle aralarındaki farklar nelerdir? Avantajları, dezavantajları nelerdir?

Siber Silah Endüstrisinden bahsederken, ışık hızıyla gelişen bir endüstriden bahsediyorum. Yani, korunma amaçlı değil, gereken yer ve zamanda saldırıda bulunabilecek bir konumda olmamızdan. Çünkü, bu endüstri gitgide kanlı canlı bir hal alırken ve ortada somut eylemler gerçekleşmeye devam ederken buna seyirci kalamayız.

Tank ve topların yerlerini giderek çalıştırılabilir dosyalara ve zararlı yazılımlara bıraktığı şu günlerde, Siber Silah Endüstrisinin diğer savaş endüstrilerine nazaran avantajlarından bahsetmek istiyorum

a. Maliyet
Bir uçağın maliyeti yaklaşık olarak 100.000.000 – 150.000.000 $,
Bir füzenin maliyeti 1.000.000 $ iken,
Bir siber silahın maliyeti 50.000 $ ila 250.000 $ arasında değişmektedir.

b. Kullanılabilirlik
Siber silahlar yüksek seviyede yeniden kullanılabilirliğe sahiptir. Belirli bir bilgi seyivesine sahip bir ekip yetiştirildikten sonra oluşturulacak silahların kapasitesi sadece hayal gücü ile sınırlı olup, binlerce hedefe aynı anda saldırabilecek sanal askerler elde edilmektedir.

c. Bakım
Diğer savaş makineleri gibi bakım ihtiyacı gerektirmeyen, çeşitli modifikasyonlarla defalarca atılabilen bir At-Unut! Füze gibidirler. Kendi kendilerini güncelleyebilen sistemler.

• Temel Bileşenleri nelerdir? Hizmet Sağlayıcılar, Siber Güvenlik Uzmanları, Devletler!
  Konuşmamın bu kısmında detaylarını açıkladığımız bu endüstriden daha da geniş bir şekilde bahsetmek istiyorum. Öncelikle ülkemizde siber güvenlik denildiğinde yalnızca akla Ağ Güvenliği gelmektedir ki bu eksik bir tanımlamadır. Günümüzde siber tehditler çok ciddi evrim geçirmiş ve web sitelerinin güvenliğinden, Şirketler Arası Espiyonaj ve en nihayetinde Advanced Persistent Threat (İleri Seviye Tehditler) boyutuna ulaşmışlardır. Ağ güvenliği siber saldırıların engellenmesinde ve gerçekleştirilmesinde şüphesiz çok önemlidir fakat tek başına yeterli değildir. Birbirine bağlı milyarlarca düğümden oluşan siber dünyada düğümleri birbirine bağlayan hatların güvenli oluşu kadar, bu düğümlerin yerel olarak da güvenli olması gerekmektedir. Bunun yanı sıra saldırıda kullanılacak yöntemin tespiti de Zafiyet Geliştirme (Exploit Development) faaliyetini içermektedir ki bu da başlı başına ayrı bir faaliyet alandır.

Milli bir Siber Silah Endüstrisinin oluşturulabilmesi için gereken bileşenler şunlardır :

1. Siber Güvenlik Uzmanları
2. Hizmet Sağlayıcılar
3. Devlet
4. Siber Güvenlik Uzmanları :
   Genellikle yanlış anlaşılan ve güvenliğin her alanında faaliyet gösteren personel yerine aşağıdaki alanlardan birisinde çok ileri düzeyde bilgiye sahip uzmanlardır.

a. Ağ Güvenliği Uzmanı
b. Sistem Mimarisi Uzmanı
c. Zafiyet Tespit Etme Uzmanı

Bu görev bölümü inanılmaz bir hızla gelişen Siber Silah Endüstrisinin gidişatı incelenerek düşünülmüştür. Ülkemiz, özellikle ağ güvenliği konusunda diğer alanlara nispeten ileride olmasına rağmen, Sistem Mimarisi Uzmanlığı ve Zafiyet Tespiti konusunda oldukça geride kalmıştır. Ne yazık ki, bu alanlar tamamen birbirini tamamlayan alanlar olup, birbirleriyle çok ciddi ilişki içerisindedirler. Stuxnet ve Duqu örneklerinde olduğu gibi, siber savaşın boyutu yavaş yavaş, ağ tabanlı saldırılardan / hizmet dışı bırakma saldırılarından, kritik tesis altyapılarına saldıran zararlı yazılımlara doğru kaymaktadır. Bu doğrultuda, kiritik tesislerin yalnızca dışarıya açılan yüzünü korumak yerine, tesisi meydana getiren düğümlerin de ayrı ayrı korunması gerekmektedir. Çünkü, güvenlik en zayıf halkanın ne kadar kuvvetli olduğu ile birebir alakalıdır. Aynı zamanda, sızılan sistemde görünmezliği sağlamak, en az sisteme sızmak kadar önemlidir.

a. Ağ Güvenliği Uzmanı
Network Protokolleri ve ağ trafiği analizinde ileri seviye bilgi sahibi uzman personeldir.

b. Sistem Mimarisi Uzmanı
İşletim Sistemlerinin çalışma şekillerini, en ince ayrıntısına kadar bilen, üretilecek siber silahın en üst seviyede gizliliği sağlayabilmesi için gerekli bilgiye sahip olmalıdır.

c. Zafiyet Tespit Etme Uzmanı
İşletim sistemlerinin kendisinde ya da hedef sistemde kullanılan uygulamalarda kullanılan zafiyetleri tespit edebilecek, gerektiğinde bunları kullanarak saldırıyı başlatabilecek bilgi ve beceriye sahip olmalıdır.

• Hizmet Sağlayıcılar / Kurumlar

Contractor adı verilen ve devletlere siber silah / siber istihbarat konusunda teknik destek sağlayan özel kuruluşlardır. Hedefleri yukarıda bahsedilen uzmanlardan oluşan bir ekiple Siber İstihbarat / Siber Savunma ve Siber Saldırı gerçekleştirebilecek silahları üreterek devletlerin kullanımına sunmaktır.

• Devlet

Hizmet Sağlayıcılar ile sürekli irtibatta bulunarak milli siber silahların geliştirilmesinde Hizmet Sağlayıcıları yönlendirir. Envanter tutar.

Stuxnet – Bir Siber Silahın İşleyişi
Bu bölümünde güncel bir örnek olan Stuxnet Silahından bahsedeceğim. Stuxnet, İran Nükleer Tesislerine yapılan saldırıda kullanılan 100 KB boyutundaki şimdiye kadar görülmüş en kompleks zararlı yazılımdır. Özelliklerine bakacak olursak

• Şimdiye kadar görülen en kompleks virüs. Yaklaşık 20 kat daha karmaşık kod.
• SCADA sistemlerin basıncını arttırabilecek ve petrol borularını kapatabilecek yetenekte.
• Realtek Firmasından çalınan dijital sertifika ile imzalanmış.
• İran – Natanz ‘da bulunan 1000 e yakın sentrifüjü kapattığı düşünülüyor.
• İran saldırıya ülkesindeki bütün hackerları Iran Devrim Muhafızlarına katılmaya davet etti.
• Tespit edilmesinden 9 ay sonra internetten yayınlandı.

İlerleme Mihveri – En Zayıf Nokta – Sisteme Yerleşme ve Takip – Maksadın Gerçekleştirilmesi Stuxnet saldırısı yukarıda belirtilen bileşenlerden oluşmaktadır. Bu bileşenleri inceleyecek olursak :

1. İlerleme Mihveri :
   Bu aşama, test ve geliştirme süreci biten Stuxnet’in fiziksel istihbarat ile hedefe bulaştırılması aşamasıdır. Bu silahın yaklaşık 10 kişilik bir ekiple, 3-6 ay civarı bir sürede hazırlandığı düşünülmektedir. Tek bilgisayara bulaştırılarak tesise girmesi sağlanmıştır.
2. En Zayıf Nokta
   İçerisinde barındırdığı 4 adet yeni zafiyetin maliyetine (200.000 $) ve hedefe bakıldığında kesinlikle arkasında bir devletin olduğu anlaşılmaktadır. Kullandığı bu 0-day zafiyetleri sayesinde , hiçbir kullanıcı etkileşimi gerektirmeden, hedef sistemlere bulaşabilen bir siber silahtır. Yönetici yetkilerine erişim için ayrıca bir zafiyet kullanılmıştır. Diğer 2 zafiyet ise silahın diğer bilgisayarlara bulaşabilmesi için kullanılan ağ açıklıklarını hedef alan zafiyetlerdir.
3. Sisteme Yerleşme ve Takip
   Stuxnet sisteme yerleşmeye mütakip, kendisini gizlemek için ileri seviye bir zararlı yazılım kullanmaktadır. Bu sayede sistemde çalıştığı bile anlaşılamamaktadır. Çalışır çalışmaz kurban bilgisayarın özelliklerini değerlendirerek, sistemi enfekte edip etmeyeceğini kontrol etmektedir. Eğer sistem, istenilen özelliklere uymuyorsa sisteme dokunmadan kendisini etkisiz hale getirmektedir. Hedef bilgisayarın gerekli koşulları sağlaması durumunda sistemi belirli bir süre takip etmekte ve sonuçları kayıt altına almaktadır.
4. Maksadın Gerçekleştirilmesi
   Saldırı esnasında, daha önceden tuttuğu kayıtları operatöre göstererek, sistemin işleyişinde bir problem yokmuş izlenimi yaratarak arka planda tesisi kontrol eden cihazlara aşırı yük bindirmekte ve tesisi çalışmaz hale getirmeye çalışmaktadır. Görevinin bitiminde sistemi temizlemekte arkada iz bırakmadan kendisini silmektedir.

Stuxnet’in amacına ulaşmasının hemen ardından aynı kod parçalarını içeren Duqu adında yeni bir siber silah tespit edilmiştir. Esas maksadının, dijital sertifika çalmak olduğu düşünülmekte olup, aslında bu da yeni tehditlerle karşılaşacağımızın bir göstergesidir…

• Siber Silah Üretme Yolunda Adımlar
  Siber Silah üretimi konusunda henüz erken olduğunu düşünmek açık bir yanlıştır. Türkiye bir an önce kendi personelini yetiştirmeye başlamalı, ve bu konuda ciddi ve sağlam adımlar atmalıdır.

Ülkemizde yetenek olarak gayet yeterli fakat yönlendirilmeye ihtiyacı olan bir çok gencimiz bulunmaktadır. Bu gençlerin bir araya getirilmesi, yetiştirilmesi ya da istihdam edilmesi gibi konularda devletimizin ciddi bir bütçe ayırması ve artık “Yapalım” evresinin bir an önce geçilerek “Yapıyoruz” evresine gelinmesi gerekmektedir.

Bu konuda faaliyet gösterecek kurum ve kuruluşlara özel teşvikler sağlanmalıdır.

Siber Silah Endüstrimizde çalışacak personelin seçimi konusunda yetenek ve ilgi esas alınmalı, bir okul bitirme, belirli bir diplomaya sahip olma gibi kıstaslar aranmamalıdır. Aksi takdirde istenilen kalitede personel yetiştirilmesi gecikecektir.

Yeni nesilin bu alanda daha yeterli olmasını sağlamak için erken yaşlarda bilgisayar bilimlerine meraklı olan öğrencilerin seçilerek özel eğitime tabii tutulması gerekmektedir. Amerika’da bu yaş ilkokul seviyesine kadar indirilmiştir.

Bu alanda ülkemizi daha ileriye taşımak için gerekli adımlar bir an önce atılmalıdır. Ülkemiz kabiliyet açısından diğer ülkelerden geride değildir. Ancak organize olarak yapılması gereken işler vardır. Devletin bu açıdan fonksiyonu düzenleyici, teşvik edici ve denetleyici olmalıdır.

Bugün bir çok kabiliyet, mevcut mevzuat çerçevesinde “suçlanarak” devre dışı bırakılmaktadır. Bu “suçlamalar” da genellikle uluslarüstü şirketlerin ya da devletlerin açtığı davalar neticesinde gerçekleşmektedir. Devletimizin öncelikle bu konuya el atarak hızla gelişmekte ve sayısal olarak artmakta olan kabiliyetlerimizi koruyacak bir mevzuat oluşturmalıdır.

Hiç bir şey için geç kalınmış değildir. Gecikme sadece maliyetimizi artırmaktadır. Hizmet sağlayıcıların önü açıldığı ve desteklendiği takdirde birçok açığımız çok hızlı bir şekilde kapanacaktır.

Selam ve sevgilerimler

Prof. Dr. Mete Gündoğan