Kategori arşivi: Makale & Analiz

Siberbülten siber güvenlik ile ilgili haberlerin bulunduğu bir site olmanın dışında, siber güvenliğin sosyal bilimler ile kesişme noktalarındaki konularla ilgilenen akademisyen, öğrenci ve araştırmacılar için bir yayın platformudur. Bu bölümde siberalan ve siber güvenliğin uluslararası hukuk, uluslararası ilişkiler, strateji, güvenlik ve siyaset bilimine ile ilişkisi ve yansımaları ile ilgili blog tarzı yazılar ve derin analizler bulabilirsiniz.

Makale & Analiz

Siber Güvenlik Kariyer Zirvesi: Açığı siz kapatın!

Yorum yapın

Siberbulten.com’un girişimi ve ODTÜ Enformatik Ensitüsü Siber Güvenlik Bölümü’nün ev sahipliğinde Çarşamba günü Ankara’da gerçekleşen Siber Güvenlik Kariyer Zirvesi’nde iş yaşamına siber güvenlikte yön vermek isteyen üniversite öğrencileri ile sektörün başarılı isimleri bir araya geldi. Son zamanlarda sayısı artan yüksek bütçeli siber güvenlik etkinliklerinde dinleme imkanı pek bulamadığımız, Türkiye’de yetişmiş ve siber güvenlik pazarında küresel çapta etkili olmuş uzmanları yakından tanıma ve dinleme fırsatı bulduk.

Açılış konuşmasına Enformatik Enstitüsü Siber Güvenlik Bölümünün başında bulunan Aybar Can Acar’a teşekkür ederek başlayan etkinliğin mimarı Minhac Çelik siber güvenlik alanında  bir kariyere neden yatırım yapılması gerektiğini açıklarken, gelecek planlamalarının 10 sene sonrayı düşünerek tasarlanması gerektiğini belirtti. Dünyada giderek artan siber güvenlik uzmanı açığına dikkat çeken Çelik,  bu durumun Türkiye’de yetişecek genç siber güvenlik uzmanları için küresel kariyer fırsatı içi kapı araladığının altını çizdi.

Zirve’nin ilk konuşmacısı, geçtiğimiz yıllarda hepimizin hatırlayacağı, çok ciddi boyutta bir Dağıtık Servis Kesintisi Saldırısı’nın (DDoS) öncelikli hedefinde olan nic.tr’nin yöneticisi ve bu tarz saldırıların belki de görünmeyen kahramanı Atilla Özgit, katılımcılara ellerini, kollarını sıvayıp koda hakim olmalarını önerdi. Yazılımda gelinen noktada önceliğin “güvenlik duyarlı” yazılımlar geliştirmek olmasını gerektiğini yineleyen Özgit, özellikle uygulama katmanına vurgu yapsa da, işletim sistemi ve ağ katmanlarının her birine özgü güvenlik işleri olduğunun altını çizdi.

Geliştirdiği milli yazılımlarla öne çıkan Argela’nın AR-GE, Kamu ve Güvenlik çözümlerinden sorumlu Genel Müdür Yardımcısı Dr.Ali Metin Balcı, katılımcılara geniş güvenlik ve bilgi sistemleri yelpazesinde bir odak belirlemelerini önerdi. Balcı, kendi 5G öngörüleri kapsamında altını çizdiği, kendini koruyabilen ağ mimarilerine imkan tanıyan, genişletilmiş güvenlik altyapı servisleri sunmayı mümkün kılan yeni nesil Yazılım Tabanlı Ağlar (SDN) ve Ağ Fonksiyonlarının Sanallaştırılması (NFV) kavramlarına sıklıkla değindi. Bu kavramların milli kaynaklarla, milli akılla geliştirilebilmesi için aynı Özgit gibi elini taşın altına sokacak insanlara duyulan ihtiyacı dile getiren Balcı, güvenlik alanında çalışan herkese dinamik, esnek ve çevik olmalarını önerdi.

4S Bilgi Teknolojileri’nin Genel Müdür Yardımcısı Nurettin Erginöz, konuşmasında siber terörizme ve siber savaşlara doğru giden dünyamızda yeni nesil güvenlik duvarları, zararlı yazılımları engelleme sistemleri, siber tehdit istihbaratı, veri tabanı izleme ve güvenliği, siber olaylarla mücadele ekiplerinin nasıl oluşturulacağından tutun, bu ekiplerin faaliyetlerine kadar herşeyin hızla değiştiğini kaydetti. Kimya mühendisliği çıkışlı olan Erginöz, IBM’e ve bugünkü bulunduğu noktaya onu taşıyan kariyer çizgisinden bahsederken, katılımcılara kariyer yollarında bir akıl hocası bulmalarının öneminin altını özellikle çizdi. Aynı zamanda Aikido hocası da olan Erginöz kendine has üslubuyla genç dinleyicilere güvenlik sektöründe başlarına gelebilecek yanlış anlamalar konusunda da şimdiden hazırlıklı olmaları konusunda uyarıda bulundu.

Estonya’daki Siber Güvenlik Yüksek Lisans Programları’na dair bilgi veren Konsolos Leemet Paulson, Talinn merkezli NATO Siber Güvenlik Mükemmeliyet Merkezi ve her sene düzenlenen CyCon Konferansı’nın onlar için önemini vurguladı. Estonya’nın siber güvenlik alanında lisans, yüksek lisans ve doktora yapmak isteyen öğrencilere kapısının açık olduğunu söyleyen Paulson, lisansüstü öğrencilere sunulan burs ve çalışma imkanlarının oldukça teşvik edici olduğunu belirtti.

Bugcrowd firmasında sızma testi uzmanı olan Fatih Egbatan, araştırmacılarla firmaları bir araya getirmeyi hedefleyen, gerektiğinde hackerlar ile beraber çalıştıkları, çoğu kişiye alışılmadık gelebilecek işinden bahsetti. “Bug bounty” yani ödül avcılığı denilen kavramdan bahseden Egbatan, dinleyicilere bu kavramın kapsamını iyice araştırmalarını ve elde edecekleri bulguların firmaların iş süreçleri için önemini iyi öğrenmeleri gerektiğinin altını çizdi.

İlgili haber >> Pastanın üzerindeki vişne: Bug Bounty

Son iki sunum da, alışılmadık şekillerde, tabiri caizse kaderin ağlarını örmesiyle siber güvenlik alanına yönelen, oldukça parlak sıradışı karakterlere sahip olduklarını hissettiren iki isme aitti. Bahsettiğim isimler, pek çok konuda (keycrypt, crypyolocker, keylogger vb.) koruma sağlamaları açısından iddialı, dünya çapında ayda 300 bin kuruluma erişen Zemana’nın ortağı Emre Tınaztepe ve son RSA Konferansı’nda stand açabilen tek Türkiye merkezli firma olan Picus Security’nin kurucu ortağı Süleyman Özarslan. Ortak noktaları,  hayatın karşılarına çıkardığı seçenekler arasında istisnasız en riskli olanı seçmiş olmaları. Yine kesiştikleri bir diğer nokta, girişken olmadan ve risk almadan başarıya ulaşmanın imkansız olduğuna yaptıkları vurgu.

Süleyman Özarslan: “Rahat köşenizde oturarak dünya pazarında rekabet edemezsiniz”

Birarada kolay kolay dinleme imkanı bulamayacağınız, teknolojiye yön veren firmalardan gelen bu uzmanların her biri, şüphesiz kendi başarılarının mimarı. Ama herşeyden önemlisi, her biri gençlerle bir araya gelmeye, teorik eğitimlerle donatılan fakat gerçek hayata atıldıklarında pratikten bihaber olan öğrencilerden iş yaşamında neler beklendiği göstermeye oldukça istekliydi.

Onlar gibi daha pek çok uzman ve yönetici olduğunu, kendi içinde bulunduğum Teknokent ekosisteminden biliyorum. Yazımın ulaştığı öğrencilere, neredeyse dört yıldır siber güvenlik üzerine çalışan biri olarak söyleyebileceğim tek şey, uzmanlardan, yöneticilerden, ya da mevkice büyük insanlardan gözlerinin korkmaması.

Özellikle teknoloji alanında ayıp yok –hatalar çabuk unutuluyor, bilmemek diye birşey yok –öğrenebileceğiniz bir dünya açık kaynak var ve sürekli gelişen ve değişen bir trendi bir yerden yakalayıp kendisini sürekli güncel tutmak isteyen herkese yardım etmeyi bekleyen insanlar bir yerlerde mutlaka var. Sadece bu kişileri arayıp bulmanız ve onlara doğru soruları sorabilmeniz gerekiyor.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

[wysija_form id=”2″]

 

Makale & Analiz

EPDK’nın bilişim güvenliği taslağı ve IT güvenliğinden OT güvenliğine geçiş

Yorum yapın

Enerji sektörü için siber güvenlik uzun zamandır hem uluslararası camiada hem de ülkemizde oldukça hararetle tartışılan bir konu. İran’daki nükleer santrali bir süre kullanılmaz hale getiren ve siber güvenlikte giderek katlanan devasa bir literatür oluşturan Stuxnet saldırısından sonra, Aralık 2015’te Ukrayna’yı hedef alan planlı ve hedef odaklı siber saldırı neticesinde ülkenin büyük bölümünün elektrik sisteminin sabote edilmesi, enerji sektörünün siber güvenliğe ilişkin kaygılarını daha da arttırmıştı. Bu itibarla, Dünya Enerji Konseyi (WEC) son zamanlarda yaptığı çalışmalarda, “siber riskleri” enerji sektörü için en önde gelen risk faktörlerinden biri olarak değerlendiriyor. Konsey’in verdiği rakam ve öngörülere göre, küresel ölçekte petrol ve gaz endüstrisinin siber güvenlik yatırımlarının 2018’e kadar 1,87 milyar dolara ulaşması bekleniyor.

Siber güvenliğin IT yani bilgi teknolojileri tarafını ilgilendiren bölümü için son yıllarda kaydedilen başarı gerçekten muazzam. Siber güvenlik pazarının hacmi ile ihtiyaç duyulan nitelikli personel sayısı her yıl artarak büyüyor. Uluslararası literatürde, kritik enerji altyapı güvenliği dendiği zaman akılda tutulması gereken asıl unsur, OT yani operasyonel teknolojilerin güvenliği olarak öne çıkıyor.

İlgili yazı >> Hackerların bir sonraki hedefini korumak: 10 adımda OT güvenliği  

OT dendiği zaman akla gelen ilk bileşenler ise otomasyon sistemleri ve Endüstriyel Kontrol Sistemleri (EKS). Aslında, elektrik üretiminde, doğalgaz taşınması ve sevkiyatında, sağlık sektöründe, rafineriler ve üretim sektöründeki yaşamsal döngünün devamını oluşturan EKS’lerin hayatımızdaki ve modern ekonomideki rolü tahminimizden çok daha kritik. Giderek dijitalleşen ve sayısallaşan otomasyon teknolojilerini hedef alacak başarılı bir saldırının hem ekonomik hem de sosyal bilançosu oldukça ağır olabilir.

STM (Savunma Teknolojileri Mühendisliği)’nin periyodik olarak yayınladığı Siber Tehdit Durum Raporu’na göre, EKS’lerde güvenlik seviyesi endişe verici derecede ve uzaktan kontrol edilebilen EKS’lerin yüzde 92’sinde saldırılara karşı açık var. Öte yandan Şekil 1’de de ifade edildiği gibi, IT ve OT güvenlik mimarisi açısından birbirinden çok farklı alanlar ve EKS güvenliğine ilişkin yetişmiş insan kaynağı gerçekten de oldukça kısıtlı.

Şekil 1: EKS Güvenliği ile ilgili insan kaynağı oldukça kısıtlı

 

 

 

 

 

Kaynak: Joe Weiss, Applied Control Solutions

Bütün bu gelişmeler akılda tutulduğunda, Nisan ayının başında EPDK (Enerji Piyasaları Düzenleme Kurulu) enerji sektöründe siber güvenliğe ilişkin oldukça önemli bir hamle yaparak kurumun resmi web sitesinde “Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemlerinde Bilişim Güvenliği Yönetmelik Taslağı” ve “Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri Envanter ve Risk Yönetimi Rehberi Taslağı”nı yayınladı ve bu belgeleri kamuoyunun değerlendirmelerine açtı. EPDK’nın duyurusuna göre, gerek duyduğu takdirde ilgililer yönetmelik ve rehber taslaklarla ilgili görüşlerini 20 Nisan tarihine kadar EPDK’nın Strateji Geliştirme Dairesi Başkanlığına iletebilecek.

Yönetmelik taslağı incelendiğinde, EPDK’nın kritik enerji altyapılarını “işlevlerini kısmen veya tamamen, yerine getiremediğinde, toplumsal düzenin sürdürülebilirliğinin ve/veya kamu hizmetlerinin sunumunun olumsuz etkileneceği enerji ağı, varlığı, sistemi ve yapıları bütünü” olarak tanımladığı görülüyor. Yönetmeliği uygulamaya yükümlü kuruluşlar ise elektrik iletim lisansı sahibi, Organize Sanayi Bölgesi (OSB) dağıtım lisansı sahipleri hariç olmak üzere elektrik dağıtım lisansı sahibi, OSB üretim lisansı sahibi hariç olmak üzere geçici kabulü yapılmış ve işletmedeki kurulu gücü 100 MWe ve üzeri elektrik üretim tesisi sahibi, boru hattı ile iletim yapan doğal gaz iletim lisansı sahibi, sevkiyat kontrol merkezi kurmakla yükümlü doğal gaz dağıtım lisansı sahibi, ham petrol iletim lisansı sahibi ile rafinerici lisansı sahibi tüzel kişiler olacak.

Yönetmeliği uygulaması gereken yükümlü kurumların ise EKS tanıma ve EKS envanter bildirimleri ile, EKS risk değerlendirme tablosu ve EKS risk azaltma tablosunu bu yılın Temmuz ayının sonuna kadar kurula iletmesi gerekiyor. Bu çerçevede, EPDK’nin yayınladığı yönetmelik ne anlama geliyor? EKS’ye ilişkin gerçekleştirilecek siber güvenlik düzenlemelerinde dikkat edilmesi gereken hususlar neler?

Uzmanların yorumlarına değinmekte fayda var. Litvanya’da bulunan NATO Enerji Güvenliği Mükemmeliyet Merkezi (ENSECCOE) kıdemli uzmanı Vytautas Butrimas’a göre, EKS’ye ilişkin getirilecek siber güvenlik düzenlemelerinde en önemli unsur “IT güvenliği temelli yaklaşımdan kaçınmak”. Butrimas’a göre, “IT ve OT sistemlerinin güvenlik gereksinimleri birbirinden çok farklı. Bu farklılığı göz önünde tutarak,  ABD ve Norveç gibi ülkeler, geleneksel IT merkezli siber güvenlik yaklaşımından ayrılıp EKS merkezli siber güvenlik politikaları oluşturdular ve diğer SOME (Siber Olaylara Müdahale Ekipleri)’lerden ayrı olarak birer EKS-SOME kurdular.”

Merkezi İspanya’da bulunan Endüstriyel Güvenlik Merkezi (CCI) Eş Başkanı, Miguel Garcia-Menendez’e göre ise, “EKS’lerinde siber güvenliğe ilişkin kanunen zorunluluk haline getirilen uygulamaların yürürlüğe koyulması kimi zaman kurumlar için zorlu bir görev olabilir ancak çoğu zaman sistemin işler hale gelmesinin tek yolu düzenlemeler olarak karşımıza çıkıyor” diye konuşuyor. Menendez’e göre, “Örneğin, AB’de sıkça gündeme gelen “Kişisel Verilerin Korunması Kanunu”nun uygulanması kurumlar için oldukça zorlu bir sınav oldu ancak sonuçları oldukça tatmin edici. Bu noktada, düzenlemelerde dikkat edilmesi gereken esas unsur, kanunen getirilen zorunluluklar ve piyasaların kendi realitesinin dengede tutulabilmesi, bu denge tüm aktörlerin farkındalık derecesinin yükseltilmesinde büyük rol oynayacaktır.”

ABD merkezli BBA firmasının EKS Siber Güvenlik baş uzmanı Ernie Hayden ise EKS’lerin siber güvenliğine ilişkin yöneltilen sorular karşısında “EKS’lere ilişkin güvenlik ve emniyet konusu fiziksel bir tahribat yaratmış Stuxnet siber saldırısından beri gündemde. ABD, EKS güvenliği konusunda araştırmalar yapan ve bu çerçevede uygulamalar, standartlar ortaya koyan ilk ülkelerden biri ancak başka ülkelerin de özellikle son dönemde EKS güvenliği konusunda çalışmalarını oldukça yoğunlaştırdığını söyleyebiliriz. Hollanda ve Katar EKS güvenliği konusunda milli sistemlerini korumak için standartlar oluşturdular. Birleşik Krallık ve Fransa da bu hususta çalışmalarını yoğunlaştırdı. En son katıldığım konferansta ise, Birleşik Arap Emirlikleri ve Kuveyt’in EKS güvenliği ile ilgili standartlar yaratmak üzerine yoğun çalışmalar yaptığını gözlemledim” diye konuştu.

Ancak Hayden’a göre, hukuki düzenlemelerin niteliği ne olursa olsun dikkat edilmesi gereken iki ana unsur var, birincisi düzenlemenin efektif olarak çalışıp çalışmadığı, bir diğeri ise uygulamaların doğru olarak işleyip işlemediğinin sürdürülebilir bir denetim altında tutulması. Nitekim EKS ve bu sistemlere ilişkin teknolojiler oldukça hızlı değişip dönüşüyor, bu anlamda düzenleme ve standartların da sistemlerin yapısı ve tehditlerin değişen doğası bağlamında geride kalmaması gerekiyor.

Örneğin, EKS’lerin fidyeci yazılımlarca da hedef alınabileceği uzmanlar tarafından tartışılan bir konu ancak var olan EKS güvenlik standartlarında buna ilişkin bir düzenleme henüz yok. Elbette bir ülkenin EKS’ye ilişkin güvenlik standartları yaratması oldukça faydalı olacaktır ancak burada esas olan nokta “katılımcı” bir yaklaşımın belirlenmesi yani ulusal EKS siber güvenlik standartları oluşturulurken, kamu, özel sektör ve diğer paydaşların beraber çalışması elzem.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

[wysija_form id=”2″]
Makale & Analiz, Sektörel, Türkiye

‘E-safe’ siber güvenlik konferanslarının çıtasını yükseltti

Yorum yapın

Bilgi Teknolojileri ve İletişim Kurumu’nun (BTK)  yeni taşındığı binasında ev sahipliği yaptığı e-Safe Siber Güvenlik Zirvesi oldukça yoğun aynı zamanda verimli bir programla aynı konuların tekrarlandığı, alışılagelen siber güvenlik konferanslarının dışına çıkmayı başardı.

BTK Başkanı Ömer Fatih Sayan’ın katılımı, etkinliğin ve siber güvenliğin BTK için ciddiyetini göstermek adına önemliydi. Konuşmasında sanal dünyada mutlak bir güvenlikten bahsetmenin mümkün olmadığından bahseden Sayan, bu nedenle asıl ve gerçekçi amaçlarının saldırganlar için zor bir hedef haline gelmek, İnternete ve bilgi teknolojilerine yönelik güvenli olduğu kadar güvenilir  bir ortam oluşturmak olduğunun özellikle altını çizdi. Çoğumuzun odağında siber saldırıyı henüz gerçekleşmeden önleme beklentisinin bulunduğunu belirten Sayan, gözardı edilen noktanın aslında saldırı gerçekleştikten sonra izlenmesi gereken adımlar olduğuna ve saldırıyı takip eden sürecin oldukça detaylı bir şekilde planlanmasına duyulan ihtiyaca dikkat çekti. Kanun hükmünde kararnameyle (KHK) siber güvenlikle ilgili cezai yaptırım ve regülasyon yetkilerinin BTK’ya verildiğini vurgulayan Sayan, çevreye korku salma niyetinde olmasalar da, bu yetkileri ortamı daha güvenilebilir hale getirmek için sonuna kadar kullanacaklarına değindi.

Bakandan bir önceki sunumda söz alan Türk Telekom Siber Güvenlik Direktörü Ahmet Fethi Ayhan’ın sunumu, Sayan’ın söyleyeceklerine altyapı oluşturması açısından önemliydi. Siber güvenlik konusunda Türkiye ve dünyanın dünü, bugünü ve yarınını anlatan Ayhan, siber güvenliğe yön veren ana trendler olarak hacmi giderek artan DDoS saldırıları, oltalamayla el ele yürüyen fidye yazılımları, yeni nesil zararlı yazılımlar arasında öne çıkan APT’ler ve IoT cihazlarının güvenlik açıklıklarından doğan zaafiyetleri sıraladı. Ayhan’ın ısrarla vurguladığı en önemli noktalardan ilki Cloud veritabanında millileşmeye duyulan ihtiyaç, ikincisi ise an itibariyle sahada enfekte olduğu bilinen 1 milyon akıllı telefondan yayılacak olası bir saldırının yönetiminde sağlayıcılara ve operatörlere düşen görevlerdi. Bu noktada Ayhan, operatörlerin müşterileri güvenlik konusunda yönlendirmesinin de ihtiyaç duyulan bir husus olduğunu kaydetti.

İkinci oturumda söz alan Enigmasec Genel Müdürü Igor Lukic, IT sistemleri ve kritik altyapı sistemlerinin önceliklerini karşılaştırarak başladığı konuşmasında, bilgi teknolojileri sistemlerinin aksine kritik altyapı sistemlerinde bütünlüğün gizlilikten çok daha önemli olduğunu belirtti. Geçmişte gerçekleşmiş endüstriyel sistemleri hedef alan Night Dragon, Stuxnet, Duqu, Flame, Gauss gibi farklı saldırı örneklerine yer veren Lukic, sunumunun son kısmında Shodan üzerinden otorizasyon açıklıklarını tespit ettiği çeşitli endüstriyel sistemlere erişilebildiğini gerçek-zamanlı olarak gösterdi. Kanada’daki bir köprünün ışıklarını değiştirebileceğini, Belçika’daki bir çiftliğin elektronik perdelerini keyfince indirip kaldırabileceğini, yine Kanada’da başka bir endüstriyel sistemin yer aldığı binaya dair pek çok fonksiyonu görüntüleyip, etkileyebileceğini ortaya koyan Lukic, aslında hiç bir akıllı bina ve sistemin düşündüğümüz kadar güvenlikli olmayabileceğini bir kere daha kanıtlamış oldu.

“Güvenlik” kavramının aslında ne kadar kırılgan olduğunu ortaya çıkaran sunumlardan bir diğeri de Infosec Türkiye Genel Müdürü Mert Özarar’a aitti. Özarar, kuantumun geçerli olduğu bir dünyada değişen siber güvenlik ve kriptografi trendlerinden bahsettiği konuşmasında, kuantum bilgisayarlar devreye girdiği noktadan itibaren günümüzde geçerli olarak kullanılan büyün kriptoların kolaylıkla kırılabilir hale geleceğini vurguladı. Kuantum computing konusunda neredeyse G8 ülkelerinin tamamının ciddi çalışmaları olduğunu ve geleceğin kripto sistemlerinin bu kapsamda geliştirileceğini belirten Özarar, Türkiye’de bu konuda çalışmalara ve desteğe duyulan kritik ihtiyacın da altını çizdi. Atalay Keleştemur’un sunumunda, alanda sıklıkla karıştırılan siber istihbarat ve siber tehdit istihbarat kavramları arasındaki farkların ortaya konması kayda değerdi. Keleştemur, bir konunun siber istihbarat kavramı altında değerlendirilebilmesi için bilginin belirli adımları olan bir istihbarat çarkından (tespit, yönlendirme, toplama, değerlendirme, analiz ve yayma) geçmesi  ve istihbarat değeri taşıyacak noktaya evrilmesi gerektiğini belirtti.

Bütün konuşmalara bu yazımda yer vermeye imkan olmasa da, genel olarak alanına hakim isimlerin konuşmacı olarak yer aldığı başarıyla geçen etkinlikte siber güvenlikte güncel olaylara ve yaklaşımlara yer verilmesi, bu tarz organizasyonlarda sıklıkla duymaya alıştığımız basmakalıp sunum içerikleri ve sunum konularının dışına çıkılması benim için oldukça önemliydi.

BTK’nın önümüzdeki yıllarda siber güvenlikte giderek daha çok söz sahibi olması ve konuyu sahiplenmesi, bu alanda daha nitelikli dinleyicileri ve konuşmacıları bir araya getirecek üst düzey etkinlikler düzenlenmesine ve daha nitelikli çalışmalar yapılmasına vesile olabilir. Mimari açıdan oldukça beğendiğim yeni BTK binasının, gelecek dönemde güvenlik açısından da emsal teşkil etmemesi için hiç bir engel bulunmuyor. Tam da bu nedenle, bir sonraki etkinlikte katılımcıların gönlünce bina içinde dolaşacağı bugünkü düzenin değişeceğini umuyorum.

Siber Bülten abone listesine kaydolmak için formu doldurun

[wysija_form id=”2″]
Makale & Analiz

‘Bin yıllık bilimin mirasçıları’nın gündemi siber güvenlik

Yorum yapın

2014 yılında The Intercept’te yayınlanan bir makaleye göre ABD istihbaratı, terörist olarak nitelediği insanların bulundukları yerleri cep telefonu takip teknolojisi ile tespit ederek drone’lara suikast emri verip hedefleri ortadan kaldırmış.

Sahada bulunan elemanlara takip edilen kişiyi teyit ettirmeden sadece dijital yollardan toplanan istihbarata dayalı bu operasyonlar onlarca insanın hayatına mal olmuş. Snowden sızıntılarını da ilk yazan gazeteci olarak bilinen Glenn Greenwald’ın ortak yazar olduğu Intercept makalesi, bu tür operasyonlara karşı çıkan eski bir drone operatörünün verdiği bilgilere dayanıyor. Bu bilgilere göre, SIM kartlarının takip edildiğini fark eden şüpheliler olayın farkına varıp birden çok SIM kart kullanmaya başlamış. Eski operatörün dediğine göre 16 SIM kart kullanan dahi varmış. Çeşitli araştırmalara göre, Yemen, Pakistan ve Somali’de bu şekilde 273 masum sivil katledilmiş.

‘Benzer bir tehlike bizler için de geçerli.’ diyor ABDSEC’den Kenan Abdullahoğlu Cumartesi günü Cezeri Siber Güvenlik Konferansı’nda yaptığı sunumda. Abdullahoğlu kendine has üslubuyla modemlerin bulunduğumuz yer konusunda ürettiği bilgilerin hayatımızda hiç beklemediğimiz sonuçlara yol açabileceği konusunda uyarıyor. Telefonlarımıza tanımlı MAC adreslerinden sadece o an nerede olduğumuzun değil, aynı zamanda yakın geçmişte nerelerde bulunduğumuz bilgisinin de kaydolacağını belirten güvenlik uzmanı, konuşmasının devamında Cyber Reasoning’in ilerleyen günlerde daha sık karşımıza gelen bir kavram olacağının altını çiziyor.

İlgili haber >> Robot korsanlar geliyor!

2016 yılı ABD’nin üst düzey savunma kurumlarının siber saldırılara karşı daha güçlü koruma sağlama adına ‘yarışma stratejisini’ devreye soktuğu bir yıl oldu. Hem Pentagon hem de DARPA çeşitli yarışmalar düzenleyerek siber kabiliyetleri gelişmiş bireylerden kendi sistemlerini koruma adına faydalanmış oldu. DARPA bilgisayar sistemlerindeki hataları tespit ederek, kendi kendine yamayacak yapay zeka yarışması başlattı. Bu yarışmayı Mayhem adlı bir programı geliştirerek birinci tamamlayan yarışmacılar 2 milyon dolarlık ödülün de sahibi oldular. Abdullahoğlu bu yarışmayı hatırlatarak otonomus güvenlik sistemlerinin dolayısıyla yapay zekanın güvenlik sektöründe daha fazla kullanılacağını vurguladı.

İlgili haber >> ABD’den hackerlara açık davet: ‘Pentagon’u hackle!’

Konferansa geç katıldığım için sadece iki sunum dinleyebildim. Trapmine’dan Celil Ünüver’in ‘Reverse Engineering 101’ başlıklı konuşması da özellikle dinleyicilerin çoğunluğunu oluşturan öğrenciler için faydalı oldu diye düşünüyorum. Sıfırıncı gün pazarındaki tecrübelerini paylaşan Ünüver, sadece açıklık bulanların değil, açıklık bulan araştırmacıyı bulana da para ödülü verilen Friend-Bring-Friend programı özellikle dikkatimi çekti. Bir sunumda mutlaka bulunması gereken özelliklerden birinin konuşmacının anlattığı konu hakkındaki geleceğe yönelik öngörülerini paylaşması olduğunu düşünüyorum. Celil Ünüver bunu yaptı ve gelecekte hafıza bozulması zafiyetlerini istismar etmek için yazılacak exploit’lerin ciddi şekilde azalacağını kaydetti. Bunun nedeninin güvenlik önlemlerinin artması olarak gösteren Trapmine kurucu ortağı, hafıza bozulmasının niche bir alan haline gelmesiyle sadece devlet destekli grupların ilgi alanında kalacağını ifade etti. Ünüver, buna karşın uygulama işlemci zafiyetlerinde artış olacağını savundu.

(Röportaj) Celil Ünüver: Devletin beğenmediği projeme Avrupa’dan milyon dolarlık teklif geldi

Sunumdan aldığım başka bir not ise exploit geliştirme eğitimlerinin dahi ilerde bir silah olarak görülebileceğine dair Celil Hoca’nın verdiği bir bilgiydi. HackingTeam ve Cellebrite gibi firmalar hacklenmiş, bunların baskıcı rejimlere siber gereçler sattığı ortaya çıkmıştı. AB hükümetleri de tıpkı bazı konvansiyonel silahların bazı ülkelere ihraç edilmesine sınırlama getirdiği gibi, bazı siber gereç ve sıfırıncı gün açıklıklarının AB dışındaki ülkelere satılmasını kısıtlamıştı. Ünüver, AB içerisinde düzenlenen exploit geliştirme eğitimlerine AB dışından kimsenin katılamayacağına dair bir düzenlemenin de getirildiğini söyledi. Yerli siber güvenlik çözümleri üretme parolasıyla yola çıkmış Cezeri gibi bir oluşumun böyle bir yasağın Türkiye’yi olumsuz etkilememesi için zafiyet geliştirme eğitimleri düzenlemesinin isabetli olduğu düşünülebilir.

İlgili haber >> Sıfırıncı-gün pazarı düzenlenebilir mi?

Konferanslarda yapılan sunumların yanı sıra, sunum aralarında ayak üstü yapılan sohbetler de benim için çok değerliydi. Klavye Delikanlıları’ndan Ziyahan Albeniz yakın bir zamanda yeni bir podcast ile sektörde kendisine yön arayan genç arkadaşlara sertifika alma konusunda yardımcı olmaya çalışacaklarını söyledi. Picus Security kurucuları Volkan Ertürk ve Süleyman Özarslan RSA’de stand açıp ayaklarının tozuyla soluğu Cezeri’de almışlardı. En kısa zamanda CEO Ertürk’ün RSA izlenimlerini Siber Bülten’de okuyacağınızı şimdiden haber vereyim. Konferansın sponsorlarından UITSEC’den Cevahir Demir her zamanki enerjisi ve güler yüzüyle ev sahipliğini başarıyla yaptı.

Konferans programında olmasına rağmen zaman yetmediği için Cyber Struggle’dan Kubilay Onur Güngör sunumunu yapamadı. Cezeri’nin kurucusu Osman Doğan etkinlik sonunda yaptığı konuşmada kendilerine yapıcı eleştireler yöneltilmesini istedi. Eğer kabul ederse, ben bir kritik yapmak isterim. Böyle bir organizasyonun zaman yönetimi daha başarılı olması beklenirdi. Güngör’ün sunumunu özellikle dinlemek istediğim halde fırsatı kaçırmış olduk.

Kubilay Onur Güngör Siber Bülten’e yazdı >> Siber Mücadele ve Algı Yönetimi

Etkinlikte yukarıda bahsedilenler dışında Girne Amerikan Üniversitesi’nden Arıf Sarı, BT Risk’ten Fatih Emiral’ın yanı sıra Mahmut Esat Yıldırım, Bilal Sami Oğuz, Rafay Baloch ve Akademi’nin kurucusu Osman Doğan’ın sunum/konuşma yaptı. Doğan’ın kapanış konuşmasında dediği gibi, siber güvenlik konusunda ülkemizde alınacak çok mesafe var. Taş üstüne kim taş koyuyorsa köstek değil kucaklayıcı bir şekilde destek olmak lazım.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

[wysija_form id=”2″]
Konuk Yazar, Makale & Analiz

STEM ile Kuyu Köpek’i Kurtarmak

Yorum yapın

“Teori önemli, ama pratik olmadıkça bir anlamı yok!” benzeri cümleler duymaya alışık olduğumuz klişeler arasında yer alıyor. Peki bilgimizi, tecrübelerimizi pratiğe aktarmaya olan artan ihtiyacımız nereden kaynaklanıyor ve bu geçiş süreci nasıl ilerlemekte?

Küçükken hepimizin aklına “Tamam ama bu dersler benim ne işime yarayacak?” sorusu takılmıştır. Uzun yıllar süren eğitim hayatlarımız boyunca dersten derse, konudan konuya atlar ve sürekli belleğimize yeni bilgi katmaya çalışırız. Peki ama gerçekten, bellektekileri nasıl ve ne zaman kullanacağız?

Üniversite mezun sayıları her geçen yıl daha da artıyor, bir başka deyişle artık her sektörde her alanda aynı temel bilgi düzeyine sahip çok sayıda profesyonel var. Bu, bizi başka bir soruya daha yönlendiriyor: Neden sektörün içinde yer alan herkes aynı düzeye ulaşamıyor? Bu sorunun cevabı ise basit gözüküyor. Bilgiye erişimin inanılmaz derecede kolaylaştığı günümüzde; mevcut bilgiyi verimli, hızlı ve düzgün şekilde “pratiğe” aktarmadığımız sürece gelişimimiz önemli ölçüde kısıtlanıyor. Ve kendimizi kısıtladığımız andan itibaren bir kısır döngü başlıyor ve belli süre sonra gelişim tamamen durma ve hatta gerileme aşamasına geliyor. Bu noktada akla gelen bir başka soru ise, eğitim sistemleri bu süreci nasıl etkilediği. Dünyanın en iyi eğitim sistemleri arasında bile ayrıca vurgulanan Fin eğitim sistemi yakın geçmişte radikal bir değişikliğe doğru yol almaya başladı. Fizik, matematik, tarih gibi klasik müfredatlar yerine disiplinler arası düşünmeyi, anlamayı, incelemeyi öğreten ve aynı anda birçok beceriye odaklanan uygulamalı müfredatlara geçilecek. Hali hazırda zirvede olan bir eğitim sistemini bu değişikliğe götüren şey ise aynı şekilde artık pratikte, günlük hayatta uygulamaya duyulan devasa ihtiyaç.

Anlatmaya çalıştığım durumun ne kadar gerçekçi olduğunu geçtiğimiz günlerde hepimizi kenetleyen bir örnek sayesinde görmüş olduk. Eğitim hayatlarını “STEM(Science Engineering Technology and Math)” sistemi ile birleştirmiş olan ve derslerinin yanında pek çok farklı bilim dalını bir araya getiren, uygulamaya geçmelerini sağlayan robotik ile ilgilenen gençler bu tecrübeleri sayesinde bir can kurtarılmasında destek oldular: Kuyu Köpek.

FRC robotik takımları 3646 INTEGRA ve 6025 Adroit Androids derslerde ve turnuvalarda edinmiş oldukları bilgilerini hızlı bir şekilde uygulamaya geçirmeyi başararak bir robotik kol geliştirdiler ve kurtarma sürecinde destek oldular. Yani bilimi teoriden çıkarıp, pratiğe aktarmayı başarmış oldular. “Algoritmik düşünme” ve “mühendis beyin” kavramlarının hayatımıza nasıl etki edebileceğini ve bu becerilerin nasıl elde edildiğini de bu örnek sayesinde daha iyi anlayabilme imkanımız oldu.

Süreç içerisinde yer almış biri olarak öncelikle şunu belirtmek istiyorum, bilgi birikiminizi ve tecrübelerinizi günlük hayatın bile ötesine taşıyıp, bir canın kurtarılmasına yardım noktasına kadar getirebilmek inanılmaz bir duygu. Tüm ülkenin tek yürek olduğu ve gelecek adına güzel bir tablo ortaya serdiği bu sürece tanıklık etmek paha biçilemez. Bu süreç aslında bizler için bitmiş sayılmaz. Şu an Kuyu Köpek olaylarının bir daha yaşanmaması ve benzer şekilde ağaçlarda, yüksek noktalarda mahsur kalan hayvan dostlarımıza da yardımcı olabilmek adına iki yeni kol daha geliştirmeye başladık. Stanford Robotik Bölümü’nden özel davet aldık ve yeni kollarımız için pek çok farklı profesör ve mühendisle bir araya geleceğiz. Ortaya daha güzel çalışmalar çıkartacağımıza inanıyoruz ve ülkemizi temsil edeceğimiz için gurur duyuyoruz.

Bilimin, bilginin, tecrübelerin sadece zihinlerimizle kısıtlı kalmadığı ve hayatlarımıza daha çok etki ettiği, bütünleştiği günler dilerken; bir Türk Genci olarak, bizlere fırsat tanındığında, tıpkı Kuyu Köpek sürecinde olduğu gibi, neler yapabileceğimizi de bir kez daha hatırlatmak isterim.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

[wysija_form id=”2″]