Minhac Çelik tarafından yazılmış tüm yazılar

2009 yılında Boğaziçi Üniversitesi Siyaset Bilimi ve Uluslararası İlişkiler bölümünden mezun olan Minhac Çelik, 2009-2013 yılları arasında medya sektöründe, ardından TÜBİTAK Siber Güvenlik Enstitüsü’nde uzman araştırmacı olarak çalıştı. Yurt içinde ve yurtdışında birçok konferansa konuşmacı olarak katıldı; ulusal ve uluslararası dergiler için makale yazdı. ABD'de Atlantic Council tarafından düzenlenen Siber Güvenlik Stratejisi Yarışması’nda 2014 yılının 'En İyi Karar Ödülü’nü alan takımın başında yer aldı. NATO'nun Terörle Mücadele Mükemmeliyet Merkezi’nde değişik ülkelerden gelen üst düzey askeri yetkililere siber terör hakkında eğitim verdi, workshop yönetti. TSK'nın düzenlediği harp oyunlarına stratejik siber güvenlik konusunda destek sağladı, Siber Savunma Komutanlığı’nın Locked Shields tatbikatına katılan takımında danışman olarak yer aldı. Çelik, Marmara Üniversitesi’nde doktora çalışmalarına devam etmektedir. Şehir Üniversitesi'nde 2016 yılında Stratejik Siber Güvenlik yüksek lisans dersi vermiştir.

IstSec’in ardından: “Siber Güvenlik Sadece Mühendislere Bırakılacak Kadar Önemsiz Mi?”

Bilgi Güvenliği Akademisi (BGA) ve Bahçeşehir Üniversitesi (BAU) işbirliğinde  gerçekleşen Istanbul Security (IstSec) konferansı 15 Ekim günü BAU’nun Beşiktaş kampüsünde gerçekleşti. Bilişim konusundaki engin tecrübesiyle bilinen Hakkı Öcal’ın açılış konuşmasını yaptığı konferansta Hüzeyfe Önal, Mert Sarıca ve İbrahim Baliç gibi sektörün önemli isimleri yer alırken, ben ve bilşim hukukuyla ilgili yazılarıyla tanınan Sertel Şıracı  sosyal konularla ilgili sunumlar yaptık.

Teknik konuların ağırlıklı olduğu konferansta, çoğunluğu mühendis olduğunu düşündüğüm dinleyici kitlesinin “Siber Savaşçı Yetiştirmede Alternatif Yaklaşımlar: ABD, İsrail, İran” başlıklı sunumu dikkatle dinlemesi benim açımdan oldukça öğretici bir tecrübeydi. Daha önce dört kez farklı üniversitelerdeki sosyal bilim öğrencilerine siber güvenlik ve uluslararası ilişkiler konularının kesiştiği meseleler hakkında konuşma fırsatım olmuştu. Fakat IstSec’de siber güvenliğin daha çok teknik boyutuyla ilgilenmiş bir kitleye hitap etmeme rağmen, gelen sorular belirgin şekilde önceki konferanslardan daha iyidi diyebilirim.

Salonda oturacak yer kalmaması ve birçok dinleyicinin ayakta kalarak sunumu dinlemesi şüphesiz konuya olan ilginin göstergesi. Siber güvenliğin sadece teknik bir konu olduğuna dair yaygın bir inanış bulunduğundan, sosyal bilim öğrencileri bu konuya maalesef mesafeli durmaya devam etse de, teknik siber güvenlik araştırmacıları ilgilendikleri meselelerin devletlerarası ilişkilere nasıl etki yaptığını dinlemek istiyorlar. Sosyal bilim kökenli olup da siber güvenlik çalışanların misyonlarından biri Türkiye’deki hackerlara aslında stratejik ve güvenlik açısından ne kadar önemli bir iş yaptıklarını açıklamak olmalı. Diğer devletlerin kapsamlı programlarla siber savaşçı yetiştirdiği bir dünyada, bilgisayar başında saatlerini geçiren teknik siber güvenlikçiler sadece bireysel bir uğraştan öte uluslararası ilişkilere yansıması olan bir işle meşgul olduklarının farkına varmalılar.

Sunum sırasında siber güvenliğin teknik boyutunun yadsınamaz önemini belirttikten sonra haddimi aşarak “Siber güvenlik sadece mühendislere bırakılmayacak kadar önemli bir alandır.” gibi bir ifade kullandım. Beklentilerimin aksine mühendis dinleyicilerimizden tepki gelmediği gibi bu ifadeye kesinlikle katıldığını söyleyenler oldu. Mesela biri “Ordular sadece erlerden oluşmaz. Onları yönlendirecek kurmaylara generallere ihtiyaç vardır. Siber ordular da sadece hackerlardan, güvenlikçilerden oluşamaz. Onları da yönlendirecek siber generallere ihtiyaç var.” diyerek, sunumda bahsettiğimiz Siber Harp Akademisi kurulması fikrini destekledi.

Sunum süresinin neredeyse yarısı kadar devam eden soru-cevap bölümünde özellikle not ettiğim ve beni şaşırtan bir notu burada aktarmak istiyorum. Hacker camiasının yakından tanıdığı bir isim, siber güvenlğin devletlerin yumuşak gücüne önemli ölçüde etki ettiğinden bahsettiğinde açıkçası böyle bir yorumu bir sosyal bilim konferansında duymayı beklediğim karşılığını verdim. Bilindiği gibi yumuşak güç (soft power) kavramını ortaya atan ABD’li akademisyen Joseph Nye, uzun süredir siber güvenlik alanında çalışmalar yapıyor.

IstSec’den ne öğrendin diye sorarsanız, tereddüt etmeden siber güvenlik araştırmacılardan teknik altyapıya sahip olanların, bu konunun sosyal bilim tarafına daha meraklı olduğunu rahatlıkla ifade edebilirim.

Bir konferansın pazarlama alanına dönüşmesi: Cyber Endeavor

ABD Ordusu Avrupa Komutanlığı (US EUCOM) tarafından düzenlenen yıllık Cyber Endeavour Konferansı bu sene de Almanya’nın Nürnberg şehri yakınlarındaki Grafenwöhr kasabasında bulunan ABD askeri üssünde gerçekleştirildi.

Genellikle Amerikalı konuşmacıların bulunduğu konferansta Türkiye’den konuşmacı olarak sadece 2 kişiydik. Bir çalışma arkadaşım ile birlikte hazırladığım ‘Siber Krizlerde Stratejik İletişim Yönetimi’ sunumu beklediğimizden daha fazla ilgi gördü.

Fakat bu yazıda sunumun ayrıntılarına girmek yerine ABD Ordusu’nun Amerikan menşeli şirketlere kendilerini pazarlamak için nasıl bir platform oluşturduğuna dair izlenimlerimi paylaşmak istiyorum.

2 hafta devam eden ve 12 Eylülde sona eren konferansa dinleyici olarka sadece askeri yetkililer katılıyor. Konu siber olduğu için de ülkelerin siber güvenlik komutanlıklarında görevli askerler yoğun ilgi gösteriyorlar. Teknik ve Yönetim (Management) olmak üzere iki ayağı olan konferansta, teknik bölümde askerlere giriş seviyesinde eğitimler ABD’li uzmanlar tarafından veriliyor. Katılımcı bir subay sohbetimizde eğitimlerin üst seviye olmamasından şikayet ediyordu. Siber güvenlikte uluslararası işbirliğinin bir adımını teknik kabiliyetlerin eğitimler aracılığıyla müttefikler arasında paylaşılması oluşturuyor. Bunu hatırlattığım başka bir askeri yetkili, “Ofisimizde öğrenebileceğimiz şeyleri dinlemek için buraya gelmedik” şeklinde tepkisini ifade etti.

Küüresel anlamda siber güvenliğin sosyal bilimler alanında fazla araştırmacı olmaması, konferansın Yönetim bölümüne de olumsuz olarak yansıdı. Böylece akademik olması beklenen bir konferans siber güvenlik sektörünün dev şirketlerine verimli bir pazarlama alanına dönüşmüş oldu. McAfee’den gelen bir üst düzey yetkili ürünlerini değişik ülkelerin siber savunma komutanlıklarına sunma fırsatını sonuna kadar değerlendirirken, sunumun sonunda şirketinin eşantiyonlarını askerlere dağıtması ibretlik  bir görüntü oluşturdu. Yine başka bir dev olan Verizon’un yıllık siber tehdit analiz raporu, özellikle Macaristan, Ukrayna ve İspanya’dan gelen katılımcıların ilgisini çekmeyi başardı. Şirket yetkilisinin eski bir Amerikan askeri olduğunu hatırlatmakta fayda var. Sadece şirketler değil, Amerikalı düşünce kuruluşları da ABD müttefikleri ile işbirliği geliştirmek için Grafenwöhr’e gelmişti. Ayküstü tanıştığım bir profesör geçen sene bir Orta Avrupa ülkesinin siber güvenlik komutanlığına güvenlik danışmanlığı hizmeti verdiklerini söyleyerek, bu sene de gelmesinin sebebini ‘yeni müşteriler’ bulmak olduğunu söyledi.

Akademik beklentilerimi karşılamadığı için eleştirel bir bakışım olsa da, Cyber Endeavor ülkelerin siber güvenlik konusundaki ihtiyaçlarının özel şirketler aracılığıyla karşılama eğilimlerini göstermiş oldu. Konuştuğumuz bir Türk subay konferansta tanıtımı yapılan ürün ve hizmetleri Siber Güvenlik Komutanlığına aktarma ihtimalinin yüksek olduğundan bahsetti. Konferansın organizatörlerinden birine Amerikan şirketlerinin yoğun ilgisinin sebebini sorduğumda aldığım cevap ise aslında bir konferansın nasıl ‘monetize’ edileceğini gösteriyordu: “Kamu-özel sektör işbirliği ABD’de böyle işliyor. Biz şirketlerimiz için pazarlama alanı açıyoruz, onlar da müşteri avına çıkıyorlar.”

 

 

Jennifer Lawrance hangi şirketlerin hisselerini zıplattı?

 

Son birkaç gündür dünyadaki gazete ve web sitesi editörlerinin keyfi yerinde olmalı. Hackerların birkaç Hollywood yıldızının çıplak fotoğraflarını çalarak, internetten yayınlaması hepsinin işini kolaylaştırdı. Uzağa gitmeye gerek yok Salı günü Türkiye’deki belli başlı haber sitelerine girenlerin karşısına bu ‘skandal’ ile ilgili haberler, daha doğrusu foto galeriler çıkıyordu.

Dünya medyasının da magazinsel tarafına odaklandığı olayı takip eden birkaç gün içerisinde FBI, konuyla ilgili bir soruşturma başlattı ve Apple sistemlerinde güvenlik açığı olmadığını mağdur kullanıcıların şifrelerinin kırıldığını açıkladı. Fakat bu ABD’de son zamanlarda yaşanan ilk siber saldırı değildi.

Geçtiğimiz hafta aralarında JPMorgan gibi küresel anlamda sektör devlerinin bulunduğu bir grup ABD bankasına ciddi siber saldırılar düzenlenmiş, saldırılan bankalardan JPMorgan hariç diğerleri isimlerini açıklamamıştı. Saldırı ile ilgili FBI, başlattığı soruşturmada saldırının arkasında kimin olduğunu bulabilmek için CIA’den yardım istemişti. Yıldızların fotoğrafların ortaya saçılması ABD’de banka saldırılarını ile ilgili devam eden tartışmayı rafa kaldırdı. Bu iki saldırı arasında teknik olarak bir benzerlik bulunmasa da, iki saldırının da dünyanın belli başlı medya organlarında ve Amerikan kamuoyunu belirleyen önemli gazete ve televizyonların gündeminde olması dikkatleri bir kez daha siber güvenlik konusunu dolayısıyla da siber güvenlik ürünü geliştiren şirketlere çevirdi.

Ünlülerin çıplak fotoğraflarının yayınlanmasının ardından iki siber güvenlik şirketi Palo Alto Networks ve FireEye’ın hisselerinde ciddi yükselişler gözlendi. Ünlülerin mahrem fotoları Palo Alto yatırımcılarına %5.6 kazandırırken, FireEye’ın borsadaki değeri yüzde 9’luk bir artış gösterdi. Bu artışların neden kaynaklandığına dair bir açıklama yapılmazken, tartışmanın soğumasının ardından hisse fiyatları tekrar ‘normale’ döndü.

Hackerların sansasyonel saldırılarının siber güvenlik şirketlerinin borsadaki fiyatlarını yükseltmesine daha önce de şahit olmuştuk. Amerikan perakende satış devlerinden Target’in 40 milyon müşterisinin bilgisini bir siber saldırı sonrasında çaldırmasının ortaya çıkması da yine FireEye hisselerine yaramıştı.

Siber güvenlik şirketleri bir yandan müşterilerinin güvenliklerini sağlamaya çalışırken, aynı zamanda ciddi oranda saldırı kapasitesini de bünyesinde bulunduruyorlar. Bu şirketler sık sık kendi pazarlarını oluşturmak için tespit edilmesi zor saldırılar düzenlemek ve özellikle medyanın dikkatini çekecek hedefler seçmek ile suçlanıyor. Fakat bunlar ispata muhtaç iddialar olarak kalıyor.

Buna rağmen son olayda birkez daha gördük ki, kamuoyu oluşturma bir yana artık kim yaparsa yapsın siber saldırıların, güvenlik şirketlerinin hisselerine anında olumlu etkisi bulunuyor.

Türkiye’nin kaçan son fırsatı: Suudi Siber Komutanlığı

Suudi Arabistan Ordusu Suriye, Bahreyn ve Yemen’deki siyasi vaziyetlerin değişmesi üzerine savunma doktrininde değişiklik yapmaya karar vermiş. Saudi Defense Doctrine (SDD) adı verilen yeni belge mümkün olan en kısa zaman içerisinde Siber güvenlik ve Uzay için yeni iki komutanlık kurulmasını öngörüyor.

Körfez ülkelerinin siber güvenliğe olan ilgisi yeni değil fakat 2012′den sonra ciddi bir artış gösterdiğini söylemek yanlış olmaz. Bunun önemli iki sebebi var. Birincisi her alanda tehdit olarak görülen İran’ın siber kabiliyetlerini ciddi oranda arttırması, ikincisi ise 2012 yılında yaşanan hedefli siber saldırılar.

İkincisinden başlayalım.

2012 Ağustos’unda dünya petrol devi Suudi Arabistan’ın petrol şirketi Saudi Aramco’yu hedef alan siber saldırıda şirketin bilgisayarlarının yarısı (30 bin) devre dışı bırakılmış ve içerisindeki bilgiler silinmişti. Bilgilerin başka bir yere transfer edilip edilmediğine dair herhangi bir bilgiye henüz ulaşılmadı. Shamoon adı verilen virüsle yapılan saldırının hemen ardından bu sefer Katar’ın doğalgaz şirketi RasGas’ın bilgisayarları aynı virüsün hedefindeydi. Aramco kadar olmasa da RasGas’da ciddi oranda zarar gördü. Petrol ve doğalgaz gibi stratejik sektörlerde ciddi anlamda üretim yapan şirketleri hedef alan saldırılar sadece o kurumların ya da bulundukları ülkeyi ilgilendirmiyor; aynı zamanda bölgesel ve küresel etkileri de bulunuyor.

Bu saldırıların kimin tarafından gerçekleştirildiğine dair kesin bir bilgi olmasa da, parçaları birleştirdiğimizde olağan şüpheli olarak İran karşımız çıkıyor. Shamoon virüsünün analizine ve saldırı biçimine bakıldığında Şiilerin dini referanslarına rastlanması dikkat çekiyor. Yazlım kodları arasında Şiilerin kayıp imamlarından birinin adının geçmesi, saldırıyı üstlenen grubun isminin Adaletin Keskin Kılıcı (Cutting Sword of Justice- Hz Ali’nin de Adaletin Kılıcı olarak anıldığını hatırlayalım) olması ve saldırının Kadir gecesinde düzenlenmesi İran şüphesini arttırıyor. Fakat bunlardan daha önemli bir etken saldırının arkasında İran olduğunu neredeyse kesinleştiriyor.  O da Shamoon virüsünün İran’ı hedef alan Flame adlı virüsle benzer teknik özellikler arz etmesi.

Oğul Bush zamanında Olympic Games operasyonuyla İran’a seri şeklinde siber saldırılar düzenlendiğini artık dünya biliyor. Bu saldırılardan biri İran’ın nükleer programına hasar vermeyi amaçlayan Flame saldırısıydı. Ne kadar zarar verildiği henüz bilinmese de İran bu saldırıdan sonra yazılımın analizini yapıp daha da geliştirerek kendine özgü bir silah haline getirdiği anlaşılıyor. Flame’in bulunduğunun açıklandığı tarih 2012 Mayıs, Aramco saldırısı ise 2012 Ağustos’ta gerçekleştirildi. Uzmanlar 3 ayın yazılımın geliştirilmesi için yeterli bir süre olduğunu söylüyorlar.

Bu noktada İran’ın siber kabiliyetlerini geliştirmesine de bir paragraf ayrılması gerekiyor. 2009 yılındaki Cumhurbaşkanlığı seçimlerinde Ahmedinejad karşıtlarının sokak gösterilerini sosyal medya üzerinden örgütlemesi ve bu protestoların dünyada yankı bulması, Tahran yönetimini internet sansürü-takibi konusunda daha gelişmiş yöntemler izlemeye itti. İlerleyen yıllarda nükleer tesisleri hedef alan Stuxnet gibi saldırılar ise, İran’ı sistemlerin korunması ve internet sansürünün bir adım ötesine taşıdı ve İran ordusu taarruzi siber kabiliyetler geliştirmeye başladı. Kurumsal olarak bu noktada atılan önemli bir adım 2012 yılında (yine) İran Cumhurbaşkanı Ruhani’nin liderliğinde Siber Alan Yüksek Konseyi’nin kurulması oldu.

Her alanda İran’ı bir tehdit olarak gören Körfez ülkeleri de, saldırılar karşısında bir arayış içine girdi. Devasa bütçeleri olmasına rağmen teknik yetersizlik ve durum farkındalığının eksikliği, ibrenin Batılı güvenlik şirketlerine yönelmesine sebep oldu. Baltimore’da bir şirket olan CyberPoint International, Bush döneminde Beyaz Saray Siber Güvenlik danışmanı olan Richard Clarke aracılığıyla, Birleşik Arap Emirlikleri için ‘Electronic Security Authority’ birimini kurmak için anlaşmaya vardı. Tarih tabi ki 2012. Şirketin Abu Dabi  temsilcisi de yine Bush’un ilk döneminde Siber Alan Güvenlik Ofisinin başında olan Paul Kurtz. Bu arada Katar ve Suudi Arabistan’da ABD’li siber güvenlik şirketleri ile masaya oturdular. Sonunda Katar Booz Allen Hamilton ile anlaştı. Birkaç gün önce savunma doktrininde siber komutanlık kuracağını açıklayan Suudi Arabistan’ın ise yine Amerikan özel sektöründen destek aldığı düşünülüyor.

The Middle East Economic Digest verilerine göre Körfez’de yıllık 10 milyar dolar siber güvenlik için harcanıyor. Arabistan hükümeti 2023′e kadar 1.4 trilyon dolarlık güvenlik bütçesi ayırdı. 2007-2018 yılları arasında sadece siber güvenlik için ayrılan bütçe 33 milyar dolar.  Körfez sermayesi hem piyasada itibarlarını korumak hem de daha güvenli sistemlere sahip olmak için siber güvenlik danışmanı arıyorlar.

Kaçan fırsat nerede mi? Türkiye Arap dünyasına, Körfez bölgesine açılım peşinde. Başarılı da oluyor. Ancak Konya’daki esnafımızı Yemen’e götürüp şekerleme satışı stratejik bir başarı değildir. Bu ülkelere yazılımcılarımız, bilgisayar uzmanlarımız ve pentestçilerle dolu uçaklarla inmeliyiz. Neden başlıkta ‘yeni’ yazıyor, kaçan fırsatın neresi yeni diyorsanız, 6 yıl öncesine gidelim. 2008′de Gürcistan’a siber saldırı olduktan sonra hiçbir Türkiye güvenlik şirketi Tiflis’in kapısını çalmamıştı.

 

İran Siber Ordusu Komutanı Ahmedi’nin öldürülmesine dair birkaç not

 

3 Ekim Perşembe günü dünyanın saygın medya kuruluşları İran Devrim Muhafızlarının Siber Komutanı Mücteba Ahmedi’nin öldürüldüğü haberini son dakika olarak geçti. Vücudundan çıkan iki kurşun (birinin yakın mesafeden sıkıldığı belirlenmiş) olayın bir suikast olduğu şüphesini güçlendiriyor.

Konuyla ilgili dikkat çeken bir kaç not paylaşmak gerekirse, ilk olarak böyle bir hadisenin ABD ve İran arasındaki gerginliğin son yılların en düşük seviyesinde seyrettiği bir dönemde gerçekleştiğini söyleyebiliriz. İran’ın yeni ılımlı lideri Hasan Ruhani ve ABD Başkanı Barack Obama bir telefon görüşmesi yapmış ve nükleer krizin çözümü adına önemli bir adım olarak nitelenmişti.

İkinci ve bence daha önemli bir durum ise, bu suikastın aslında siber alanın tıpkı kara, hava, deniz ve uzay gibi bir savaş alanı olarak görüldüğünün tescil edilmesi ve dikkate alınmasıdır. ‘Siber dünyadaki tehditler abartılıyor mu?’ sorusu hala akademisyenler tarafından tartışılsa da, bazı güç gruplarının siber alanı ciddiye alarak operasyon yaptıkları bu suikastle en güçlü şekilde onaylanmış oldu.

Üçüncü not: Suikastla ilgili verilen haberlerde İran’ın hassas projelerde çalışan birkaç bilim adamının daha suikastla öldürüldüğü bilgisinin hatırlatıldığını gördük. Ülkenin balistik füze üretiminden sorumlu bilim adamı ile 5 nükleer uzman geçtiğimiz 6 yılda öldürüldü. Üstelik suikastların birkaçında tıpkı Ahmedi’nin öldürülmesinde olduğu gibi motosikletli saldırganlar görüldü. Fakat bu zamana kadar İran’ın üst düzey bir askeri yetkilisine yönelik başarılı bir suikast olmamıştı.

2013 yılının başında NATO tarafından hazırlanan ve siber savaşın uluslararası hukuk boyutunu ele alan Talinn Manuel’de devletlerin milli çıkarlarına zarar veren hackerları öldürmesine meşruiyet tanıyan maddeler içerdiğini de burada hatırlatmakta fayda var. Önde gelen uluslararası hukuk uzmanlarının hazırladığı bu kitabın bir bağlayıcılığı olmasa da önümüzdeki on yıllarda bu alanda siber savaşla ilgili gelişmelere yön vereceği muhakkak.

İranlı haber kaynakları olağan şüpheli olarak diğer suikastlarda olduğu gibi İsrail’i suçladılar. MOSSAD’ın Dubai’den Sudan’a kadar birçok yerde örtülü suikastlar gerçekleştirdiği bilinen bir gerçek olsa da, bir iç hesaplaşma ihtimalinin de göz ardı edilmemesi gerekiyor.

Tüm bunların yanında üst düzey bir askeri yetkilinin bu şekilde suikastla öldürülmesi İranlı komutanların nasıl korunduğu konusunda ciddi soru işaretleri doğurmakta. 2012 Ocak ayında öldürülen nükleer bilimci Mustafa Ahmedi Roşan arabasına konulan bombayla, yani daha sofistike bir şekilde, öldürülmüştü.

Bir soruyla yazımıza son verelim. Ahmedi’nin öldürülmesi son günlerde dünya çapında siber eylemlere imza atan Suriye Elektronik Ordusu’nun eylemlerini nasıl etkileyecek?