Page 7 - bilgem-teknoloji-dergisi-5

Siber Güvenlik

"Yeni ordular kuruluyor. Silahları bilgisayar, savaş alanları internet."
Önder YETİŞ
İnternete bağlı bilgisayar ağlarının oluşturduğu elektronik ortama “siber uzay” denir ve siber uzayda 2009 yılında 2 milyar toplam internet kullanıcısı
olduğu hesaplanmaktadır.
Siber uzayda rastlanan başlıca tehditler kötücül yazılımlar, hizmet dışı bırakma, yığın (spam) e-posta yollama saldırıları, ağ trafiğinin dinlenmesi,
bilgi aşırma, kullanıcı şifrelerinin çalınması ve çeşitli forumlar veya oylama mekanizmalarının suiistimal edilmesidir. Tehditler ve etkileri yıllar geçtikçe
değişmekte ve artmaktadır. Daha etkili saldırıların giderek daha az bilgili kimseler tarafından gerçekleştirilmesi mümkün hale gelmiştir.
Siber saldırıların en dikkati çeken özellikleri, kaynağı tespit etme zorluğu, kolay inkar edilebilirlilik, düşük maliyet, devlet destekli olup olmadığının
belirlenememesi, farklı coğrafi bölgelerden katılım kolaylığı, taşeron kullanım olanağıdır. Zamanımızda, bir askeri tesis veya nükleer silah tesisi gibi
klasik hedeflerin yerlerinin tespiti kolay olsa da, tehdit olarak siber saldırıların nereden yapıldığını anlamak çok zordur. Siber silah tesisinin tespit edilip
yok edilmesi zor bir problemdir.
Radara yakalanmayan bir bombardıman uçağı 730 milyon dolar, radara yakalanmayan avcı uçağı 100 milyon dolar, bir Cruise füzesi 1 milyon
dolar, bir siber silah ise 10 dolar ile 50 dolar arasında değişmektedir.

Bir siber saldırı sonrası internet aracılığı ile erişilen e-devlet, e-bankacılık gibi hizmetler devre dışı kalabildiği gibi e-posta iletişimi kesilebilir ve
internete bağımlı kritik altyapılar çökebilir. Son yıllarda yaşadığımız en önemli siber saldırılara örnek olarak, Nisan 2007 yılında Estonya’ya, 2008’de
Gürcistan’a, Litvanya’ya, Burma’ya, 2009 yılında Kırgızistan’a, Güney Kore’ye, en son Eylül 2010’ da İran’a yapılan saldırıları verebiliriz. Bu saldırılar
neticesinde söz konusu ülkelerde, kamu internet siteleri hizmet dışı bırakılmış, hükümet ve parlamento üyelerinin e-posta adreslerine spam saldırıları
yapılmış, internet servis sağlayıcılarındaki yönlendirici cihazlar devre dışına çıkarılmış, bankacılık hizmetleri durdurulmuştur. Bu saldırılar neticesinde,
açıklanmayan pek çok hasar oluşmuştur.
21. yüzyılda siber güvenlik tüm ülkeler için en önemli güvenlik unsuru, siber tehdit en önemli tehdit haline gelmiştir. Bu nedenle, bu tehdidin
öneminin farkına varan ülkeler gerekli tedbirleri almakta, gerekli altyapı ve organizasyonları kurmaktadır. ABD’de, bu alanda sivil yapılanmada
Ulusal Güvenlik Kurumu (National Security Agency) ve ABD Bilgisayar Olaylarına Müdahale Ekibi (Computer Emergency Response Team) önemli
rol almaktadır. Askeri kesimde ise bir orgeneralin altında Siber Komutanlık (Cybercom) kurulmuştur. Kuvvet bazlarında ise çeşitli general rütbeleri
altında faaliyetler yürütülmektedir.
Ülkelerin özgün işletim ve bilgi güvenliği sistemlerini geliştirmelerinin, bu alanlarda ön almış ülkelerce hoş karşılanmaması, istenmemesi, bir başka
deyişle engellenmeye çalışmasının ikinci nedeni de, en az birincisi kadar, belki ondan da önemli olan güvenliktir. 21. yüzyılda siber casusluk veya
siber istihbarat, güvenlik ve istihbarat faaliyetlerinde ilk sıralarda yer almaya başladı. Biraz sonra örneklerini vereceğim ülkelere baktığımızda, bu
ülkelerin siber güvenlik sistemlerini, idari ve mali boyutta geliştirirken farklı organizasyon yapıları kullanabildiğini görebiliyoruz. Ancak kullanılan
yazılımların, özellikle de işletim sistemlerinin milli ve özgün olması, bu faaliyetlerde ortak noktadır.
Siber casusluk ve istihbarat, bilgi sahibinin haberi olmadan kişisel, fikri mülkiyeti olan, hassas ve gizli bilgilere, kişisel, ekonomik, politik veya askeri
üstünlük sağlamak amacıyla yasadışı siber yöntemlerle ulaşmak olarak tanımlanmaktadır. Ancak, günümüzde kabul gören bir husus da, casusluk
ve istihbarat faaliyetlerinin, çok büyük oranda açık bilgi kaynaklarından sağlanıyor olmasıdır. Ücretsiz internet hizmet sağlayıcıları ve sosyal ağlar
aracılığı ile sadece bilgi toplanmamakta, ülkelerin sosyal yapıları, toplumun karakteristiği, güçlü ve zayıf yönleri, tüketim eğilimleri vb. üzerine de
araştırmalar yapılmaktadır.
Bugün hazır alınan bir yazılımın, ne zaman, nasıl çalışacağı, ne zaman çalışmaması gerektiği, ne zaman nereye veya kime bilgi aktaracağı,
ancak onu geliştirenlerce kontrol edilebildiği artık bilinmeyen bir husus değildir.
Günümüzde, siber savaş, savaşın 5. boyutu haline gelmiştir. Siber savaş, bir ülkenin, başka bir ülkenin bilgisayar ve iletişim ağlarına, zarar vermek
veya kullanım dışı bırakmak amacıyla illegal yöntemlerle internet, ağlar ve kişisel bilgisayarlar üzerinden müdahale etmesi olarak tanımlanmaktadır.
Pentagon siber uzayın kara, hava, deniz gibi yeni bir savaş alanı olduğu doktrini kabul etmektedir. ABD’de bu alandaki en önemli darboğazın
bilgisayar güvenliği uzman sayısındaki yetersizlik olduğu vurgulanmaktadır. ABD, mevcut bin civarında olan kalifiye eleman sayısını 20-30 binlere
yükseltmek için gerekli eğitim programlarını hayata geçirilmeye başlamıştır.
Benzer şekilde NATO içinde de Siber Savunma Yönetim Otoritesi (NATO Cyber Defence Management Authority) altında bir yapılanma oluşturulmuştur.
Dünyada mevcut siber güvenlik kurumlarına bakarsak İngiltere’de CESG, Almanya’da BSI, Fransa’da ANSSI, Çin’de PLA eliyle bu işler yürütülmektedir.
Ancak, hangi ülkede, ne çeşit bir yapılanma olursa olsun, siber tehdide karşı %100 güvenlik sağlayan bir yapı ve ülke yoktur. Siber güvenlikte %100
güvenlik mümkün değildir.
Ülkemizde, ulusal düzeyde izleme ve koordinasyon, kurumsal düzeyde savunma, kurum bilgi sistemleri düzeyinde test ve denetimler, ürün
düzeyinde güvenlik testleri ve kullanıcı düzeyinde eğitim ve rehberlik siber güvenliğimizi önemli ölçüde arttır. Etkin bir siber savunma için ülke içinde
herkesin, kurumsal kullanıcılar, ev kullanıcıları ve diğer servis sağlayıcıları işin içinde olmalıdır.
Siber Güvenliğin sağlanmasında tüm taraflar için olay öncesinde, olay sırasında, olay sonrasında yapılacak görev ve işlemler belirlenmelidir.
Olay öncesinde, kullanıcı ve kurum düzeyinde eğitim ve rehberlik verilmelidir. Kurumsal düzeyde sistemlerin düzenli test ve denetimleri yapılmalı,
savunma hattı oluşturulmalıdır. Siber güvenlik koordinasyon merkezi kurulmalıdır. Siber tatbikatlar ile olaylara karşı hazırlıklı olunmalıdır.
Olay sırasında, kullanıcı ve kurum düzeyinde sürekli ve güncel bilgilendirme yapılmalıdır. Servis sağlayıcılar seviyesinde etkin iletişim ve işbirliği Siber güvenliğin sağlanmasında ulusal düzeyde sanal ortam savunma sistemi kurulmalı, bilgisayar olaylarına müdahale ekipleri yasal zemine
sağlanmalıdır. Bilgisayar olaylarına müdahale ekiplerinin çalışmaları, siber güvenlik koordinasyon merkezi tarafından eşgüdümle komuta ve kontrol oturtulmalıdır. Kurum bilgi sistemleri periyodik olarak denetlenmeli, kritik kurum bilgi sistemlerin de kullanılan bilgi işlem, haberleşme ve güvenlik
edilmelidir. ürünleri güvenlik testlerinden geçirilmeli, bilgi güvenliği eğitimleri değişik seviyelerde verilmelidir.
Olay sonrasında, kullanıcı ve kurum düzeyinde hasar tespitinin yapılmalıdır. Siber güvenlik koordinasyon merkezi tarafından saldırı kaynaklarının Kamuda bilgi güvenlik ve işletim sistemlerinin milli enstitülerce geliştirilen milli sistemler olması çok büyük bir önem taşımaktadır. Bu sistemlerin
tespit edilmeli, ulusal veya uluslararası hukuki mevzuat işletilmelidir. Ulaşılan sonuçların kamuoyu ve paydaş kurumlar ile paylaşılmalı ve düzeltici yurtdışı ithalata açılması güvenliğimizi ne zaman ve hangi durumlarda tehdit edeceği öngörülememekte, bazen farkına bile varılamamaktadır.
faaliyetler gerçekleştirilmelidir.
Bu sayıdaki yazımı sonlandırırken tüm mesai arkadaşlarım adına siz değerli okurlarımıza saygılarımı sunar, keyifli okumalar dilerim.
Bu iş ve işlemler için gerekli yasal düzenlemeler yapılmalı, teknolojik gelişmelere göre yasal güncellemelerin sürekliliği sağlanmalıdır.
Mehmet Önder YETİŞ
Merkez Başkanı

4 5