Soğutucu da bir bilgisayardır

Şöyle bir sabah düşünün. Bir market müdürü dükkânı açıyor, dondurucu bölümünün önünde duruyor ve içeriden gelen koku ona her şeyi anlatıyor. Arıza değil, elektrik kesintisi değil. Birisi, kilometrelerce uzaktan, sıcaklık ayarını değiştirmiş. Pazartesi sabahı Avrupa'da tam olarak buna benzer bir şey yaşandı: Belçika'da elliden fazla mağaza, İsveç, İrlanda, Estonya, Hollanda ve Lüksemburg'da da bir düzineden fazla mağaza etkilendi.

Benim takıldığım yer şu: Bu ikinci dalga. Üç hafta önce Fransa'da Paris savcılığının yaklaşık 700 mağdurdan söz ettiği benzer bir saldırı olmuştu ve ANSSI farklı markaların kontrolcülerinin hedef alındığını söylemişti. Yani ilk olaydan sonra herkesin dersini çalışması için üç hafta vardı. Belçika Siber Güvenlik Merkezi'nin sözcüsü bugün saldırganın kim olduğunun bilinmediğini, belki hiç bilinemeyeceğini söyledi. Bu cümleyi bir kenara yazın; çünkü ben gelen faturanın failini bulmaktan çok, kapıyı kimin açık bıraktığını soruyorum.

Soğutma kontrolcüsü bir bilgisayardır. Bir işletim sistemi, bir ağ arayüzü, çoğu zaman da bir uzaktan yönetim sayfası var. Ama bu cihaz hiçbir zaman BT'nin envanter tablosuna girmedi; çünkü onu satın alan bilgi işlem değil, tesis yönetimiydi, kurulumu yapan da bir teknik servisti. Güvenlik ekibi cihazın var olduğunu, ilk fatura geldiğinde değil, ilk buzdolabı ısındığında öğreniyor.

Aynı günün haberlerinden biri bunu başka bir açıdan doğruluyor. Google, 1,3 milyondan fazla Android cihazdan oluşan bir botnet'i çökerttiğini açıkladı; cihazların çoğu TV kutusu ve Google'a göre arka kapıyı üreticinin kendisi firmware'e yerleştirmiş. Burada kimsenin parola zayıflığı yok, kimse yanlış bir bağlantıya tıklamadı. Cihaz fabrikadan öyle çıktı. Kullanıcı arka kapıyı kendi başına kaldıramıyor.

İki olayın ortak noktası şu: Saldırı yüzeyi artık bildiğimiz bilgisayarlardan ibaret değil ve savunmanın ilk adımı olan envanter, bu cihazlarda hiç atılmıyor. EDR'ınız soğutucuya kurulmuyor. Zafiyet tarayıcınız bina otomasyonu ağına bakmıyor. Yamalama döngünüzde TV kutusu yok.

Bu işin en tuhaf tarafı, saldırının teknik olarak ne kadar sıradan olması. Fransa'daki olay için bildirilen şey, internete açık uzaktan kontrolcülerin ele geçirilmesiydi; yani ortada bilinmeyen bir sihir yok. Yani saldırgan zekâsından çok, bizim ihmalimizin ölçeği konuşuluyor. Bir çevre güvenlik duvarını yedi katmanla savunurken, aynı binanın soğutma panosunu bir parolayla ve bir IP adresiyle dışarı açık bırakmak, kapıya çelik kapı takıp pencereyi unutmaya benziyor.

Vendor'lar bu konuda size muhtemelen yeni bir platform satmak isteyecek. Ben daha sıkıcı bir şey öneriyorum: Bir hafta içinde ağınızdaki her segmentte, BT'nin sahip olmadığı cihazları listeleyin. Soğutma, havalandırma, kamera, ekran, medya oynatıcı. Hangisi internetten erişilebilir, hangisinin yönetim parolası hâlâ fabrika çıkışı, hangisinin alarmı sizin dışınızda bir kanala gidiyor? Cevap 'bilmiyorum' ise ilk bulgunuz bu.

Alarm konusuna dönelim. Sıcaklık değeri aynı kontrolcüden okunuyorsa, saldırgan ayarı değiştirirken ekranı da yatıştırabilir. Bunu bir varsayım olarak söylüyorum, bu olayda böyle olduğunu gösteren bir kanıt yok; ama tasarım gereği aynı kanaldan hem komut hem ölçüm taşıyan sistem, kendi kendini denetleyemez.

Sıcaklık alarmı konusunu da özellikle vurgulamak istiyorum. Fiziksel zararı bir kontrolcü üzerinden yapılan saldırı doğurduysa, o kontrolcünün raporladığı sıcaklığa güvenmek en zayıf halkadır. Bağımsız, kendi hattı olan basit bir termometre kimi zaman en iyi güvenlik kontrolüdür.

Hüküm net: Ağınızdaki makineyi bilmiyorsanız onu koruyamazsınız ve bu hafta kimse 'bu cihaz bizim değildi' savunmasını kabul etmeyecek.