Kategori arşivi: BizNet

BizNet

Biznet Türkiye’de EKS siber güvenlik ekosistemi için kolları sıvadı

Yorum yapın

Biznet Bilişim, Türkiye’de endüstriyel kontrol sistemleri alanında bir siber güvenlik ekosisteminin oluşturulması için ilgili paydaşları içinde bulunduran bir model önerisi geliştirdi. ‘Endüstriyel Kontrol Sistemleri Siber Dayanıklılık Vizyon Planı‘ adı verilen model, ilgili küresel ekosistemle aktif etkileşim halinde yerel bir platform kurarak, Türkiye’deki kritik altyapıların siber dayanıklılığını arttırmayı amaçlıyor.

Yurtdışında sürdürülen incelemelerin sonunda Biznet’in Türkiye için önerdiği modelin amaçları arasında, bu alanda uzman insan kaynağının yetiştirilmesi, bilgi birikiminin oluşturulması, EKS siber güvenliği alanında küresel örnekleri ile rekabet edebilecek yerli ürün ve hizmetlerin geliştirilmesi yer alıyor.

Biznet, böyle bir ekosistem için hizmet sağlayıcı firmalar ve işletmeler (“asset owners”), kamu ve akademilerle (üniversite, araştırma enstitüleri v.b) birlikte üçlü bir güvenlik sarmalı modelini öneriyor. Söz konusu modelde gönüllü kuruluşlara da yer veriliyor.

Yayınlanan dökümanda da belirtildiği gibi, bu üçlü sarmalda her bir paydaşın kendi içinde üzerine düşen görevler öngörülüyor. Endüstriyel Kontrol Sistemleri Siber Güvenlik Ekosistemi Akademi Eylem Planı’nda akademi ayağında amacın, araştırmacı kaynağının sağlanması, insan kaynağı yetiştirme, EKS siber güvenlik laboratuvarının kurulumu ve teknik araştırmalar için destek sağlanması olması gerektiği dile getiriliyor.

İşletmelerin sunacağı katkının ise yaşanmış ihlal ya da tehditlere ilişkin bilgi paylaşımı, iş ve staj imkânı sağlanması ve laboratuvar için süreç bilgisi ve ekipman temini olabileceği öngörülüyor. Hizmet ve teknoloji sağlayıcılarının da EKS siber güvenlik istihbarat desteği, eğitimler, araştırmacı desteği sağlama ve üniversite araştırmacılarının ilgili konularında yapacağı uluslararası sunum ve konferans için sponsorluk desteği vermesi gibi katkılar sağlayabileceği dile getiriliyor.

Kamu, regülasyon kurumları ve gönüllü kuruluşların ise oluşturulacak yol haritası kapsamında destekleyici bir rol üstlenebileceği dile getiriliyor. Bu kurum ve kuruluşların rehberlik, regülasyon, standartlaşma, yaygınlaştırma gibi konularda yol çizmesi beklenenler arasında.

Biznet’in hazırladığı dökümanda eğitim seferberliğinin söz konusu modelin bir parçası olması gerektiğinin altı çiziliyor. Buna göre, endüstriyel uzmanlık (endüstriyel yazılımlar, ürünler ve destekleyici eğitimler); siber güvenlik ve iş sürekliliği gibi konu başlıklarında bilgi birikiminin sürekli artması gerektiği öngörülüyor.

Bütün bu bilgiler saha bilgisi ile harmanlanıp pratik uygulamalara dönüştürülmeli. Ardından da farkındalık programları, dijital eğitim platformu, sınıf içi eğitimler ve üniversitelerde tez, doktora gibi yaygınlaştırma çalışmalarıyla desteklenmeli.

Bir olgunluk modelinin oluşturulmasının altı çizilen dökümanda siber dayanıklılığın sürdürülmesi için de vizyon geliştirilmesi öngörülüyor. Bu vizyon üç temel kategori altında incelenebilir:

  1. TR-E-ISAC çatı yapısının kurulması, böylece bilgi paylaşımı altyapısının oluşturulması
  2. Yerli çözüm geliştirme
  3. Siber dayanıklılığın arttırılması ve sürdürülmesi. Bunun rehberlik ve danışma, regülasyon, akreditasyon, standartlaşma ve ulusal faaliyetler ile gerçekleştirilebileceği öngörülüyor.
Can Demirel

Konuyla ilgili Siber Bülten’e konuşan Biznet’in bilgi güvenliği uzmanı ve takım lideri Can Demirel, böyle bir ekosistemin hayata geçirilmesi için bütün tarafların gönüllü olması ve tüm tarafların katkı sunmasının gerekliliğinin altını çizdi.

Biznet, geliştirdiği bu model önerisiyle kendi üzerine düşen görevlerle ilgili somut aksiyonlar alıyor.

Güven ilişkisi temel olgu

Can Demirel, söz konusu üçlü sarmalda bütün kurumların paydaş olarak yer alacağını ve bu paydaşlar arasındaki ilişkinin güven ilişkisi ve ortak kazanç olmak üzere iki temel olgu üzerine inşa etmenin gerekliliği vurguladı. “Bilgi paylaşımının ön planda olduğu böyle bir platformda güven ilişkisi ve ortak kazanç en önemli iki olgu. Kazanç ile sadece maddi kazanımlardan bahsetmiyoruz. Böyle bir ekosistem içinde bilgi edinimi, siber tehditlere karşı iş birliği gibi parasal değeri olmayan kazanımlar da söz konusu.”

Üniversitelerle iş birliği yapılacak

Demirel, şu anda hem endüstriyel kontrol sistemleri hem de siber güvenlik alanında çalışma yapan akademik kuruluşlarla görüştüklerini, başlangıç olarak Sakarya Üniversitesi ile iş birliği içinde olduklarını, ama farklı üniversiteleri de sürece dahil ederek akademisyenlerin desteğiyle ilerleyeceklerini belirtti.

“Örneğin bu yaz bir EKS siber güvenlik kampı ilgili paydaşların desteği ile gerçekleştirilecek.  Bu tarz programlarla hem insan kaynağı eksiğini gidermek hem de farkındalığı arttırarak hem bu alanda yetkin insan kaynağının yetiştirilmesi ek olarak nitelikli araştırma faaliyetlerinin gerçekleştirilmesini hedefliyoruz.”

Yayınlanan dokümanda önerilen modelin akademi ayağında ekosistem kurulum faaliyetleri kapsamında akademi ile birlikte işletilecek laboratuvarın kurulmasına öncelik verilmesi belirtiliyor.

Buna göre bu laboratuvarlarda endüstri ihtiyaçları gözetilerek araştırma konuları belirlenmeli ve araştırmalar yürütülmeli.

Biznet’in kendi analizine göre araştırma için üzerinde durulması gereken konu başlıkları arasında şunlar var: Endüstriyel cihazların gömülü işletim sistemlerine yönelik güvenlik analizi, endüstriyel protokoller üzerinde tersine mühendislik, endüstriyel bileşenler üzerinde zafiyet araştırması, izole ağlara sızma yöntemleri ve atak-savunma değerlendirmeleri.

Biznet’in geliştirdiği üçlü sarmal modelinde yer alacak paydaşların iki ana kategoriye ayrılması öneriliyor. Kurucu paydaşlar; ekosistemin kurulmasına öncülük eden ve kurulum aşamasından itibaren ekosistemin içerisinde yer alan paydaşlar olarak belirlenirken üye paydaşlar, kurulum sonrası ekosistem bünyesinde yer alan paydaşlardan oluşacak.

“Geçmiş denemeler ve küresel örneklerden edinilen bilgiler ışığında somut adımlar atılarak ilerlemenin faydalı olacağını değerlendiriyoruz. Somut çıktıların başarı olma şansını arttıracağına inanıyoruz.”

Yurtdışındaki modelleri inceleyerek böyle bir model geliştirdiklerini söyleyen Demirel, doğru adımların atılması halinde Türkiye’nin bu konuda önemli bir yol kat edeceğini düşünüyor: “Elbette bir paydaş olarak üzerimize düşen aksiyonlarla ilgili somut adımlar atarken diğer paydaşların da doğru zamanda doğru adımlar atması gerekiyor. Doğru strateji ve aksiyonlarla bırakın dünyaya yetişmeyi, küresel bir başarı öyküsü çıkarabiliriz.”

‘Kültürün içselleştirilmesi şart’

Can Demirel, söz konusu ekosistemin bütün paydaşlara yararlı olabilmesi için kültürel yaklaşımların önemine de değindi: “Buradaki en önemli noktalardan biri yurtdışında gözlemlediğimiz bilgi paylaşımına ve farklılıklara açık olmayı öngören kültürel yaklaşımları içselleştirebilmek.”

Siber Bülten abone listesine kaydolmak için formu doldurunuz

BitCoin, BizNet

Biznet uzmanı Çevik: ‘Kripto para zararlıları zafiyeti olmayan sunuculara da bulaşabilir ‘

Yorum yapın
Biznet Bilişim Siber Güvenlik Hizmetleri ve ARGE Direktörü Deniz Çevik

Son zamanlarda dijital dünyanın en önemli gündem maddesi haline gelen kripto paralar, çeşitli güvenlik sorunlarını da beraberinde getirdi. Bitcoin, Ethereum gibi kripto para birimlerine talebin artmasıyla, saldırganların gözünü bu alana çevirerek istismar ettikleri sistemler üzerinden kripto para madenciliği yapmasına yol açan pek çok zararlı yazılımın ortaya çıktığı biliniyor.

Bu zararlı yazılımlardan biri olan ve Biznet uzmanları tarafından analiz edilen ‘Wannamine’ zararlısının bir kripto para birimi olan Monero madenciliğinde kullanıldığı ortaya çıktı.

Konuyla ilgili Siber Bülten’e bilgi veren Biznet Bilişim Siber Güvenlik Hizmetleri ve ARGE Direktörü Deniz Çevik kripto para madenciliğinde kullanılan zararlı yazılımların bulaşma ve yayılma yöntemlerini, hackerların bu alana yönelmesinin sebeplerini ve bu zararlılarla mücadelede eski yöntemlerin neden geçerli olmadığını açıkladı.

Çevik, kripto para madenciliği için kullanılan zararlı yazılımların Wannacry, Petya, NotPetya gibi fidye yazılımların kullandığı yöntemler ile sistemlere bulaştığını ve yayıldığını ifade etti. Güvenlik uzmanı, bunların fidye yazılımlardan farklı olarak dosyaları şifreleyip, fidye karşılığında şifreyi çözme işlemi yapmak yerine mevcut sistem üzerinde kripto para madenciliği yapılmasına neden olduğunu belirtti.

‘Saldırı motivasyonu para kazanmak’

Çevik, bilgisayar korsanlarının bu alana gözünü çevirmelerinin sebeplerinin başında hızlı ve kolay para kazanma motivasyonu olduğunu dile getirdi.

“Önceden saldırganlar kendi reklamlarını yapma gibi motivasyonlarla sunucuları hacklerken, bugün bu iş para kazanma boyutuna geldi. Kripto para madenciliği de saldırganların hızlıca para kazandığı bir yöntem. Saldırganların ihtiyacı olan şey ise işlemci gücü.”

Deniz Çevik, saldırganların daha fazla kripto para elde edebilmek için daha fazla işlemci gücüne ihtiyaç duyduklarını, bu yüzden de farklı makinelerdeki çeşitli zafiyetleri kripto madencilik yapabilecekleri şekilde kötüye kullanmaya başladıklarını ekledi.

Oltalama (phishing) yöntemini ve bilinen güvenlik zafiyetlerini kullanarak sunuculara zararlı yazılım yüklemenin, saldırganlar tarafından sık kullanılan yöntemler arasında olduğunu söyledi. Saldırganların bunu yaparken genelde sistem üzerinde istedikleri işlemleri yapmalarına izin veren ve aslında yamaları aylar öncesinde duyurulmuş zafiyetleri kullandıklarını belirterek, EternalBlue, Weblogic WLS Kod Çalıştırma (CVE-2017-10271), Microsoft IIS 6.0 WebDav Kod Çalıştırma (CVE-2017-7269) zafiyetlerini örnek olarak gösterdi. Bu zafiyetler özellikle zararlının sisteme ilk bulaştırılması aşamasında en yaygın kullanılan zafiyetler arasında.

“Burada zararlı, bir zafiyet veya oltalama saldırısı ile sistemlere bulaşıyor, sonra da kripto para madenciliği yapacak yazılımı yüklüyor. Madencilik işlemi sürerken zararlı, diğer makinelere de yayılıyor ve para kazanma süreci devam ediyor.”

Biznet’in kendi analizinde incelediği Wannamine varyantı da ‘fileless’ adı verilen dosyasız bir zararlı yazılım.

Çevik, aynı zamanda zararlı yazılımların bir sisteme bulaştıktan sonra zafiyetin bulunmadığı diğer sunuculara da bulaşabileceğini söyledi:

“Zararlı, bir sisteme EternalBlue gibi bir zafiyeti kullanarak bulaştıktan sonra ağ taraması yaparak aynı zafiyetin bulunduğu diğer sistemlere; hatta zafiyetin bulunmadığı diğer sunuculara da bulaşabiliyor. Bunu yaparken de zafiyetin bulunduğu sistemden ele geçirdiği yönetici parolalarını kullanabiliyor. Bu sırada madencilik için işlemci gücü maksimum kullanıldığı için makinelerde işlemci kullanımının %100’ler ulaştığı ve kimi durumlarda normal işlevlerini yerine getirememeye başladığı görülüyor. Benzer şekilde zararlının bulaştığı sistem arttıkça ağ içindeki trafikte artışlar ve genel sistem işleyişinde performans kaynaklı aksamalar görülebiliyor.

‘İleride bu saldırılarla daha çok karşılaşabiliriz’

Çevik, yöntemin kolaylığı, kullanılan zararlıların temizlenmesinin gittikçe zorlaşması ve tehditlerin ortadan kalkması halinde dahi para kazanılmış olmasından dolayı ileride bu saldırılarla daha çok karşılaşabileceğimizi ekledi.

“İleride bu tarz saldırıları daha çok göreceğiz. Saldırganlar, yeni zafiyetleri bu amaçla daha çok kullanmaya başlayacaklar. Öncelikle çok kolay bir yöntem. Üstelik fark edilmesi ve tamamen temizlenmesi birkaç gün sürse bile, bu sırada yüksek miktarlarda para kazanılması mümkün.”

‘Farkındalık ve izleme önleyici faktörlerden’

Çevik bu tarz saldırılara karşı önlem almanın mümkün olduğunu da ekledi. Saldırganların halihazırda bilinen zafiyetler üzerinden harekete geçtiğini belirten Çevik, bu konuda yüksek bir farkındalık olmasının durumu engelleyebileceğini söyledi.

Aslında bu zararlılar zaten bilinen zafiyetleri kullanarak bulaşıyor ve yayılıyor. Zafiyetler çabuk giderilse bu saldırılar bu kadar etkili olmazdı. Bazı saldırılarda ise alınmış olan diğer çevresel güvenlik çözümleri saldırganlar tarafından atlatılabiliyor.

“Düzgün uygulanan yama ve zafiyet yönetimiyle önceden tedbir almak mümkün. Çok kritik bir zafiyet ortaya çıktığında, yama için uzun süreler beklememek gerekiyor. Ayrıca kurumun kendi zafiyetlerinden ve sistemlerinden haberdar olması ve bunu düzenli bir şekilde kontrol ediyor olması lazım. Böylece bir şüphe durumunda harekete geçmek kolay oluyor.”

“Ayrıca güvenlik oldaklı olarak sistemlerin ve kurum ağının sürekli olarak izlenmesi de çok önemli bir unsur. Bir şekilde ağınıza doğru gelen şüpheli bir trafik varsa, sürekli izleme ve uzman bir ekip ile çok daha kısa sürede fark edip önlem alabiliyorsunuz.

Zararlıların bulaşmak için kullanıldığı yöntemlerden biri olan oltalama saldırıları açısından bakıldığında ise çalışanların bilgi güvenliği farkındalığı öne çıkıyor. Bazı durumlarda kurumun yaptığı milyolarca dolarlık güvenlik yatırımı, bir çalışanın dikkatsizliği veya bilgi eksikliği neden ile atlatılabiliyor. Bu nedenle çalışanların da düzenli olarak güvenlik konusunda bilgilendirilmeleri, eğitilmeleri ve farkındalık seviyesini ölçecek çeşitli çalışmaların yapılması oldukça önemli. ”

‘Bilgi paylaşımı kritik’

Çevik, siber güvenliğin diğer alanlarında olduğu gibi kripto para madenciliği odaklı saldırılarda da bilgi paylaşımının önemli olduğuna dikkat çekti. “Zararlı sistemlerin haberleştiği IP adresleri gibi bilgiler paylaşılınca ya da zararlının yüklendiği sistemler bloklanınca saldırının etkisi azaltılabilir. Ancak sürekli yeni zararlılar çıkıyor, sürekli yeni analizler yapılıyor. Dolayısı ile bu bilgi paylaşımı ve akışının da sürekli ve düzenli olması gerekiyor.”

Önleyici faktörlerden biri olarak aktivitelerden şüphelenerek zararlı yazılımları durdurabilen yeni teknolojilere de dikkat çeken Çevik, bunların henüz yaygın kullanılmadığına değindi.

“Sistem tarafından bakılınca antivirüs yazılımları bir yere kadar koruma sağlıyor. Saldırganlar bunu atlatıyor. Bunun yerine anomali tespiti ve davranışsal analiz yapabilen, yapay zekâ, makine öğrenimi gibi unsurların dahil olduğu yeni teknolojileri kullanmak gerekiyor.”

 

 

 

BizNet, Şirket Haberleri

Biznet uzmanları EKS güvenliğinin kalbinin attığı S4 konferansındaydı

Yorum yapın

2000 yılında kurumların bilgi güvenliği ihtiyaçlarına çözüm üretmek amacıyla Ankara’da kurulan Biznet Bilişim uzmanları, ocak ayında endüstriyel kontrol sistemleri (EKS) güvenliği alanında önde gelen konferanslardan S4’e katıldı.

Şirketin bilgi güvenliği uzmanı ve takım lideri Can Demirel, ABD’de gerçekleşen konferansla ilgili izlenimlerini, Biznet’in yeni başlattığı ve sunuculuğunu Biznet İç Girişimcilik Direktörü Hakan Terzioğlu’nun yaptığı podcast serisinin ilk bölümünde anlattı.

EKS’nin son zamanlarda gündemde oldukça geniş bir yer kapladığına ve bu konuda dünyada gerçekleşen konferansların olgunlaşmak açısından önemli olduğuna değinen Terzioğlu ve Demirel, S4 konferansından edindikleri bilgilerin çok faydalı olduğunu söyledi.

EKS güvenliğinde uzman sayısı az

Can Demirel, bu konferansla bir kez daha EKS güvenliği alanında çalışan uzman sayısının dünya genelinde az olduğunu fark ettiklerini söyledi:

“Bu yüzden ekosistemin önemi büyük. Biz de dünyada neler yapılıyor, bunu görmek amacıyla son 1,5 yıldır ABD, Avrupa ve Ortadoğu’da yapılan etkinliklere katılıyoruz. Bunların sonucunda, ABD pazarının bu konuda çok daha olgun olduğunu gördük. S4 konferansı da bu düşüncemizi perçinlemiş oldu.”

Terzioğlu, 24 ülkeden toplam 440 kişinin konferansa katılım sağladığını, bu sayının rekor katılım olarak yorumlandığını söyledi.

Demirel de uzman sayısının azlığından dolayı insanların bir yerden sonra birbirini tanımaya başladığını söyledi.

Biznet geçtiğimiz sene de EKS odaklı bir başka konferansa katılmak üzere ABD’deydi.

S4 herkese hitap eden bir konferans

Can Demirel, Dale Peterson’ın 2007 yılından beri düzenlediği S4 konferansının en önemli avantajlarından birinin farklı katılımcılara hitap edecek şekilde düzenlenmesi olduğunu belirtti. Terzioğlu da bu konferansın EKS’nin iş, teknik ve yönetim alanını aynı potada eriten ve her seviyeden topluluğa hitap etmeye çalışan interaktif bir etkinlik olduğunu söyledi:

“Etkinliğin organizasyon kalitesi ve detayları çok iyiydi. Kullanabileceğimiz somut bilgiler edindik. Edinilen bilgilerin tartışıldığı sosyal etkinliklere de katılım çok yüksekti.”

ABD’deki “farklılıkların birliği” kültürünü benimsememiz gerek

Can Demirel, konferansta gözlemlediği en önemli noktalardan birinin kültür olduğunu söyledi. Farklı düşüncelere toleransın söz konusu olmasının ve birbirlerine katılmayan kişilerin fikirlerini rahatlıkla tartışabilmesinin ABD’de bu alandaki pazarı olgunlaştıran faktörlerden biri olduğunu ekledi.

“Teknik detayların yanı sıra, asıl yapılması gereken kültürel yaklaşımları da kendi sektörümüze, ülkemize, çalışma arkadaşlarımıza yansıtabilmek.”

Demirel ayrıca hem IT hem OT yaklaşımlarının konferansa dahil edilmesinin önemli olduğunu söyledi.

EKS’de ürün denildiği zaman ‘anomali tespiti’ akla geliyor

Can Demirel, konferansta nesnelerin interneti ve bulut mimarilerinin çok tartışıldığını söyledi. Bir nevi EKS’nin kendisi değil, EKS’nin ekosisteminde olabilecek mimarilerin güvenliğine ilişkin oturumlar da oldu.

Ayrıca bu sene ilk defa yapılan OT ve EKS ortamlarına özel anomali tespit ürünlerine yönelik seansların da olduğunu belirtti. Demirel bu konuda kendilerinin de çok soru aldığını söyledi.

Terzioğlu da anomali tespitinin konferansta önemli bir yer tuttuğunu söyledi:

“Bu alan yoğun bir alan. EKS’de ürün dediğimiz zaman anomali tespiti akla ilk gelen noktalardan.”

Uzaktan erişim problemi

Demirel, uzaktan erişim probleminin müşterilerden sıkça soru aldıkları alanlardan biri olduğunu ve konferansta da buna yönelik oturumlar yapıldığını söyledi.

Terzioğlu da EKS sistemlerinde uzaktan erişimin önemine değindi:

“Uzaktan erişim EKS sistemlerinde kritik. Çünkü EKS sistemlerinde üreticilerin mühendisleri bile dışarıdan bağlanarak müdahale ediyor. Bu nokta da kullanılan çözüm de önemli, o katmanın güvenliğini sağlamak da önemli. Zafiyet olması durumunda sisteme istemediğimiz kişiler de bağlanabilir ve sistemin göbeğine kadar inebilir.”

Bilgi paylaşımı kritik önemde

Can Demirel, konferansta en çok dikkatini çeken şeylerden birinin, birbirine rakip olabilecek firmaların bile aynı masada buluşması ve kamu kurumlarının varlığı olduğunu söyledi.

Konferansta elektrik üreticilerinden siber güvenliğe bakan kişilerle tanışma fırsatı yakaladıklarını söyleyen Demirel, siber güvenlik ihlali durumunda kurumların birbiriyle kurduğu iletişimin önemine değindiklerini söyledi.

“Şirketler analiz sunumlarını doğrudan EKS güvenliğiyle ilgilenen kişilerin önünde gerçekleştirdi. Bu hem cesaret gerektiren hem de takdir edilmesi gereken bir noktaydı.”

Can Demirel, bu konuda kendilerinin de hem ABD hem Avrupa’da kamu kuruluşları ve firmalarla iletişim içinde olduğunu söyledi:

“’Bir güvenlik ihlaliyle karşılaştığınızda ne yapıyorsunuz?’, ‘Saklıyor musunuz yoksa paylaşıyor musunuz?’, ‘Paylaşım varsa bu nasıl oluyor?’ gibi sorular soruyoruz.”

Demirel, bu noktada rakip firmaların bile bilgi paylaşımında bulunduklarını ve ciddi bir iş birliği içinde olduklarını söyledi:

“Görüştüğümüz çoğu firma ‘Ne seviyede bilgi paylaşacağımız belli, sakınca görmüyoruz,’ dedi.”

Türkiye EKS güvenliğinde ilerlemeye devam ediyor

Demirel yaptıkları ikili görüşmelerde Biznet’i anlatma fırsatı bulduklarını ve katılımcıların kendilerini ilgiyle dinlediklerini söyledi. Terzioğlu da Amerika pazarı daha olgun olsa da Türkiye’nin çok geride olmadığına değindi:

“Bu konferansta gördük ki oradaki konu başlıkları bizim Türkiye’de müşterilerimizle konuştuğumuz konularla aynı. Türkiye EKS güvenliği konusunda iyi ve hızlı bir başlangıç yaptı. Regülasyonlar da yerinde.”

Can Demirel, Türkiye’nin Amerika pazarını yakalamasının mümkün olduğunu ama öncelikle kültürel bariyerlerin aşılması gerektiğini vurguladı.

“Biznet’in de aşması gereken sınırları var, bunun için çalışıyoruz ve paydaşlarımızla birlikte hareket etmenin büyük bir kazanım olacağını düşünüyoruz. Biz de küresel seviyede hizmet veren kişi ve firmalar çıkarabiliriz. Sadece doğru adımları doğru felsefeyle atmamız ve iş birliği yapmamız gerekiyor.”

Terzioğlu da Türkiye’nin iyi bir pazar olgunluğuna ulaşması için iş birliğinin önemli olduğuna değinerek sözlerini sonlandırırken,  Biznet’in yıl boyunca siber güvenlikteki popüler konularla ilgili 12 tane podcast yayınlayacağını da duyurdu.

Siber Bülten abone listesine kaydolmak için formu doldurun

BizNet, Şirket Haberleri

Biznet Genel Müdürü Sayarı: İnsan odaklı bir şirketiz

Yorum yapın

2000 yılında kurumların bilgi güvenliği ihtiyaçlarına çözüm üretmek amacıyla Ankara’da kurulan Biznet Bilişim, siber güvenlik alanında yenilikçi çalışmalarıyla dikkat çekiyor. Hague Security Delta (HSD)’nın ilk Türk üyesi olarak önemli bir başarının altına imza atan şirketin Genel Müdürü Neşe Sayarı, Biznet’in bilinmeyenlerini şirketin YouTube kanalında anlattı.

Sayarı öncelikle siber güvenlik alanının çok dinamik ve çoğu sektör için önemli bir alan olmasına rağmen insan kaynağı eksiğine dikkat çekiyor ve çalışanların ve bilgi birikiminin Biznet için en büyük değer olduğunun altını çiziyor:

“Şirket kültürümüz insan ve çalışan odaklı. Bizim dinamik, motivasyonu yüksek, çalışkan, öğrenmeye ve gelişmeye açık, yüksek etik değerlere sahip ve bilgili çalışanlarımız var. Çalışanlarımızın ve müşterilerimizin memnuniyetinin artması öncelikli hedefimiz. Şirket kültürümüz de bu özellikleri destekler nitelikte.”

Şirket olarak büyük siber güvenlik resminin bütün parçalarını tamamlamayı görev edinen Biznet’in geniş bir ürün ve hizmet yelpazesi bulunuyor. Sayarı, Biznet’in siber güvenlik sektöründeki öncü konumuyla ilgili şunları söyledi:

“Rakiplerimizin girmediği yeni alanlara girdik. Öncü olduğumuz; hatta tek olduğumuz alanlar var. Çalışanlarımızın da bu alandaki dinamizme ayak uydurmaları gerekiyor.”

Röportajın tamamını buradan seyredebilirsiniz

Biznet Y kuşağı için bir fırsat

Neşe Sayarı, çalışma ortamlarının ve şirket kültürünün kişisel gelişimine önem veren, emeğinin karşılığını gerçek hayatta görmek isteyen Y kuşağı için önemli bir fırsat olduğunu da sözlerine ekledi.

Şirketin öne çıkan diğer bir özelliği ise kurumsal yapıyı bozmadan şirket içindeki aile sıcaklığının korunabilmesi. Biznet Bilişim’de, çalışanlar birbirleriyle yarışmak yerine birbirlerini destekliyor. Sayarı, genel müdür olarak şirket içindeki herkesin Biznet’in hikayesine dahil olması için çabaladığını ve özellikle genç çalışanların fikirlerinden de yararlanarak yönetim sürecini yürüttüklerini söyledi.

Sayarı bilişim sektöründe çalışmak için sahip olunması gereken özelliklere de değindi. Akademik eğitimin önemli olduğunu vurgulayan Sayarı’ya göre, meraklı, teknolojiyi takip eden, dinamik ve kişisel gelişime açık insanların bu alanda şansı daha yüksek.

Biznet Bilişim bünyesinde eğitimlerini sürdüren stajyerler de çalışıyor. Şirkette bir ay gibi kısa süreli stajlardan ziyade en az 3-4 ay kesintisiz staj gerektiren okulların öğrencileri tercih ediliyor. Bazı stajyerler ise Biznet’te tam zamanlı olarak çalışmaya devam ediyor.

“Heyecan verici ve yeniliklerle dolu bir sektörde faaliyet gösteriyoruz”

Sayarı’ya göre şirket içindeki en büyük motivasyon, siber güvenliğin doğası gereği heyecan verici olması, genç çalışanların şirkette aktif bir şekilde rol alması ve ulusal siber güvenlik anlamında şirketin bulunduğu konumun önemli olması:

“Bu alan yeniliklerle dolu; bizde monotonluk ve durağanlık yok. Bunun dışında genç çalışanlarımızın ilerlemesi, her süreçte aktif roller alması ve bütün çalışanlarımızın şirket kültürünü benimsemiş olması diğer motivasyon kaynaklarımızdan. Öte yandan, siber güvenliğin Türkiye’deki oluşumuna neredeyse sıfır noktasından itibaren tanıklık ediyoruz ve şu an ulusal siber güvenlik alanındaki çalışmalara katkı sağlayacak durumdayız. Bu gerçekten çok gurur verici.”

“Yapay zekâ kötüye kullanılırsa kâbusumuz olabilir”

Sayarı, uzun zamandır birçok kitabın ya da filmin konusunu oluşturan yapay zekâyla ilgili ünlü fizikçi Stephen Hawking’in sözlerini hatırlattı. Hawking yakın bir zaman önce, “Teknoloji bir noktada insanlardan daha üstün bir noktaya gelecek ve insanları ortadan kaldıracak,” demişti. Sayarı da yapay zekânın insan zekâsını aştığı noktanın kritik olduğunu; kötüye kullanıldığı takdirde bütün insanlığı kötü anlamda etkileyeceğini söyledi. Öte yandan insanların yapay zekâyı iyilik amaçlı kullanacağına inandığını ekledi.

“Dijital dönüşüm süreci siber güvenliği hızla değiştiriyor”

Sayarı, bilişim sektöründe dijital dönüşüm süreciyle karşımıza çıkan büyük veri, makine öğrenmesi, yapay zekâ, Endüstri 4.0, nesnelerin interneti gibi teknolojilerin hayatımızı önemli ölçüde değiştireceğini; günlük hayatımıza, iş yapış şeklimize, üretim süreçlerine bambaşka bir boyut kazandırdığını söyledi. Bu teknolojilerin etkilerinin yoğun hissedildiği alanlardan biri de siber güvenlik. Sayarı, bu etkileşimin siber güvenlik alanını hızla değiştirdiğini söyledi:

“Bu teknolojilerin her biri siber güvenlik dünyasıyla çok yakın bir etkileşim içinde olacak. Zira bu gelişmeler hem saldırganlar hem savunanlar için çok yeni fırsatlar ve olanaklar sunuyor. Saldırganlar artık sadece IT sistemleriyle değil, bunun çok daha ötesinde saldırı alanlarıyla tanışacak. Bizim gibi savunan tarafında olanlarsa bu tehditleri daha erken algılamak, doğru yorumlamak ve bertaraf etmek için bu teknolojilerden yararlanacak.”

Sayarı, her ne kadar bu teknolojilerin akıllı şehirler, fabrikalar, hastaneler gibi birçok yenilikçi kullanım alanı olsa da kötüye kullanım söz konusu olduğunda çok tehlikeli durumlarla karşılaşabileceğimizi hatırlattı:

“Bu şekilde hem günlük hayatımız kolaylaşıyor hem üretim süreçlerinde verim ve hız artıyor. Bu da ekonomiye olumlu bir şekilde yansıyor. Öte yandan saldırganların bir elektrik sistemini tamamen çökertmesi ya da hastane sistemine girmesi ve hastaların bundan zarar görmesi gibi korkunç senaryolarla da karşı karşıya kalabiliriz. Siber güvenlik burada kilit öneme sahip bir alan. Biz de Biznet Bilişim olarak endüstriyel sistemlerde güvenliğe odaklanıyor; bu alanda uzman yetiştiriyoruz ve sertifikalarımızı alıyoruz. Hatta şimdiden birkaç örnek projeye imza atmış durumdayız.”

Siber Bülten abone listesine kaydolmak için formu doldurunuz

BizNet

Biznet uzmanı Demirel uyardı: “Dijitalleşme kritik altyapılara yönelik tehditleri daha da arttıracak”

Yorum yapın

 

Siber güvenlik şirketi Biznet’in bilgi güvenliği uzmanı ve takım lideri Can Demirel, 2018 yılında endüstriyel kontrol sistemlerinde (EKS) siber güvenlik alanını bekleyen gelişmeleri değerlendirdi. 2017’nin EKS için oldukça hareketli geçtiğine değinen Demirel, yeni gelen yönetmelik ve düzenlemelerle devletten özel sektöre kadar birçok alanda artan siber güvenlik farkındalığının yanı sıra bu yılın yeni saldırı ve zararlı yazılımları da beraberinde getireceğini belirtti.

Demirel’e göre, siber güvenliğin bilgi teknolojilerine kıyasla EKS tarafında daha genç bir alan olmasından dolayı 2018’in de en az geçen seneki kadar hareketli geçmesi bekleniyor. Biznet uzmanları, 2017 yılı boyunca Türkiye, Avrupa ve Kuzey Amerika’dan elde ettikleri pazar yönelimleri bilgisi, uzman yorumları ve analist görüşlerini birleştirerek yeni yılda bu alanda beklenen gelişmeleri derlediği bir kapsamlı blog yazısı kaleme aldı.

Demirel, yazısında öncelikle fidye yazılımları ve IT-OT (Bilgi Teknolojileri – Operasyonel Teknolojiler) yakınsamasından doğacak saldırıların artacağına değindi. Nitekim, geçtiğimiz yıl hem ülkemizde hem de dünyanın birçok yerinde kritik altyapıların WannaCry, Petya, NonPetya gibi fidye yazılımı saldırılarından etkilendiğini ve birçok işletmenin operasyonlarının durduğuna şahit olmuştuk. Buna ek olarak IT-OT yakınsamasının kontrolsüz şekilde artmasının kritik altyapılar için yeni bir saldırı yüzeyi oluşturduğu vurgulandı. Demirel’e göre, saldırganların bu gerçeği fark etmiş olmasından dolayı, 2018’de kritik altyapılar, fidye yazılımlar ve zafiyetleri istismar eden sistem saldırılarından (Windows tabanlı vb.) daha çok etkilenebilir.

Can Demirel / Biznet

Bilgi güvenliği uzmanının makalede vurguladığı ikinci önemli nokta ise doğrudan endüstriyel kontrol sistemlerine yönelik özel zararlı yazılımlarda görülecek artış. Demirel, STUXNET, HAVEX, BLACKENERGY2, CRASHOVERRIDE ve son olarak Aralık ayında gündeme gelen TRITON/TRISIS/HATMAN gibi endüstriyel kontrol sistemleri bileşenlerini doğrudan hedef alan zararlı yazılımların ve buna bağlı güvenlik olaylarının yeni yılda daha da artış göstereceğini tahmin ediyor.

Öte yandan, 2018 yılında özellikle endüstriyel kontrol sistemlerine yönelik özelleşmiş zararlı yazılımları destekleyen ya da koordine eden devlet destekli (state-sponsored) aktörlerin sayısının artması da bekleniyor. Daha önce bu tarz zararlı yazılımların genellikle bu aktörler tarafından yönetildiği biliniyor. Demirel, bu sene, ulusal seviye aktörlerin daha ofansif faaliyetler göstermesini beklediklerini vurguladı.

UÇTAN UCA GÜVENLİK DAHA ÖNEMLİ HALE GELECEK

2018 yılı, birçok işletme için uçtan uca güvenlik gereksinimi de beraberinde getirecek. Demirel, endüstriyel kontrol sistemlerinin güvenliğinin birçok işletme için yeni bir kavram olduğunu ve işletmelerin genellikle bu konuda stratejik yol haritasını oluşturmakta zorlandığını vurguladı.

Bu yüzden de Biznet’in tahminlerine göre, şirketler, olası tüm siber risklerini minimize etmek için bilgi güvenliğinde büyük resmi tamamlayacak şekilde kendi bünyelerindeki IT güvenlik birimlerini, OT güvenliğini de ele alacak ve o konuda da önlemler geliştirecek bir yapıya kavuşturacak. Bu öngörünün bir yansıması olarak da makalede, hizmet ve ürünlerle birlikte uçtan uca güvenlik önlemlerinin alınmaya başlayacağı ve IT ile OT güvenliğinin birlikte değerlendirileceği belirtildi. Demirel, özellikle OT tarafında ağı tanıyan, izleyen ve sıradışı durumlarda alarm üreten çözümlerin ön plana çıkacağını belirtti.

Can Demirel’in yazısında üstünde durduğu diğer bir konu ise işletme ve üreticilerin, güvenli tasarım prensiplerini benimseyip daha güvenli mimariler kurmak için harekete geçecek olmaları. Diğer bir deyişle, 2018, altyapı mimarilerinin proje aşamasında ve erken evrelerde güvenlik düşüncesi katılarak tasarlanmaya başlandığı bir yıl olacak.

Demirel’ göre, son yıllarda yaşanan ihlallerin büyük bir kısmı, tedarikçilerin kullandığı sistemler üzerinden gerçekleştiği için, işletmeler, bu yıl kendi altyapılarına ek olarak, işletme operasyonlarına destek veren tedarikçileri (danışmanlar, olay müdahale ekipleri, bakım-onarım ekipleri gibi) için de siber güvenlik önlemlerini arttıracak ve hatta zorlayacak.

Son yıllarda kritik altyapıları hedef alan saldırılara karşın, ulusal ve uluslararası standart ve regülasyonların bu alanın korunması için yeterli düzeyde olmadığı görülüyor. Demirel, özellikle Avrupa Birliği ve ülkemizde regülasyon kapsamı ve etki ettiği alanların artacağını belirtti. Bunun sonucunda regülasyon gerekliliklerini karşılamak için, işletme sahiplerinin daha fazla risk değerlendirmesi, güvenlik denetimi ve saha çalışması yapması bekleniyor.

Öte yandan, güvenlik araştırmacılarının yayınladıkları zafiyetler ve endüstriyel kontrol sistemlerine yönelik araştırma çıktılarının, bu konuda kendini geliştirmeye çalışan saldırganlar tarafından daha fazla istismar edileceği ve kötü niyetli amaçlar için kullanılacağı tahminler arasında.

Bunların yanı sıra, Demirel, kara borsada EKS zafiyetlerine olan talebin artması sonucu, bu alanda yeni ve spesifik bir pazar oluşmasını ve EKS zafiyetleri ile EKS zararlı yazılımlarının alım-satımının daha popüler hale gelmesini beklediklerini belirtti.

IT VE OT BİRİMLERİ İÇİN KÖPRÜ GEREKİYOR

Siber güvenlik alanındaki insan kaynağı eksikliği endüstriyel kontrol sistemlerinde yeni yılda da kendini gösterecek. Bu yıl, endüstriyel kontrol sistemlerine hâkim siber güvenlik uzman ihtiyacının, artan tehditler, regülasyonlar ve IT-OT yakınsaması sebebiyle artmaya devam etmesi bekleniyor. Demirel’e göre, işletmeler bu açığı kapatmak için BT siber güvenlik uzmanlarını hali hazırda bu alana yönlendirmeye çalışsa dahi mevcut siber güvenlik uzmanlarının da sayısının yetersiz oluşu, bu alandaki ihtiyacı daha da dramatik hale getirmeye başlayacak.

2018 yılı itibarıyla işletmelerdeki siber güvenlik sorumluluk paylaşım problemlerini gidermek için ortak kadroların kurulduğu organizasyonel değişikliklerin yaşanacağı da beklentiler arasında. Demirel, işletme içerisinde IT ve OT birimlerinin aynı dili konuşabilmesi için her iki kültürü bilen ve köprü görevi üstlenecek yeni birimlerin ortaya çıkabileceğini vurguladı.

Geçtiğimiz yıl, OT güvenlik girişimlerinin ciddi yatırımlar aldığı bir yıl oldu. Demirel, bu yıl EKS Siber Güvenlik girişim ekosisteminin büyüyeceğini ve daha fazla girişimin farklı sorunlara çözümler geliştireceğini belirtti. Özellikle OT güvenlik girişimlerinin, genel güvenlik yatırımları arasında yüzdesini arttıracağı tahmin ediliyor.

2017 yılında birçok EKS altyapı üreticisi, siber güvenlik çözümlerini satın alma yolu ile bünyelerine kattı. 2018 yılında büyük oyuncuların kendi birimlerini güçlendireceği ve yatırımlarını arttırmaya devam edeceği öngörülüyor. Demirel, bununla birlikte danışmanlık firmaları, OT ve IT güvenlik tedarikçileri arası ikili iş birliklerinin artmaya devam edeceğini beklediklerini belirtti.

Demirel, makalesinde bu yıl kritik altyapıları ilgilendiren yeni fiziksel güvenlik konularının tartışılmaya başlanacağını da belirtti. Hassas işletmeler için drone koruması gibi yeni nesil fiziksel koruma önlemleri gündeme gelecek konular arasında.

SİBER SİGORTA VE YERLİ YAZILIM GÜNDEMDE KALMAYA DEVAM EDECEK

Can Demirel’in makalesinde değindiği diğer bir gelişme siber güvenlik sigortası. Özellikle Kuzey Amerika’da, kritik altyapılara siber güvenlik sigortasının yapılması konusu gündemi bir süredir meşgul ediyordu. Demirel, makalesinde bu konunun Avrupa’da da artarak konuşulmaya devam edeceğini belirtti.

Demirel’in üzerinde durduğu konulardan biri de EKS özelinde Kuzey Amerika ve Avrupa Birliği içerisinde belirli bir olgunluğa erişmiş kümelenme ve bilgi paylaşım platformları oldu. Demirel, 2018 yılından itibaren bu tarz platformların ülkemizde daha ön plana çıkmasını beklediklerini belirtti.

Yazıda son olarak kritik altyapıların ve ulusal bilgi sistemlerinin güvenliğini sağlayan yazılımlarda yerli teknolojiler kullanılması hassasiyetine değinildi. Bu durum, 2017 yılında dünya çapında hızla yükselen trendlerden biri olmuştu. Demirel, Amerika Birleşik Devletleri ve Birleşik Krallık’ın uygulamaya koyduğu üretici kara liste uygulamasından çok-uluslu teknoloji şirketlerinin etkilendiğini hatırlatarak, bu yaklaşımın sadece yeterli teknolojiye sahip olan ülkelerin uygulayabileceği bir strateji olduğunu belirtti. Dolayısıyla, Demirel’in tahminlerine göre, kendi teknolojisini üretemeyen ülkelerin müttefik ülkelere yönelmesi ya da ihtiyaç duydukları teknolojileri üretebilir hale gelmesi gerekecek.

Kritik altyapıların ekonomi ve ulusal güvenlik açısından önemini vurgulayan Demirel, bu yıl siber milliyetçilik akımının en yoğun hissedileceği alanlardan birinin EKS siber güvenliği olacağını belirtti ve milli yazılım inisiyatifinin teşvik edildiği bu dönemde, söz konusu gelişmelerin ülkemiz için de bir fırsat olabileceğini vurguladı.

Siber Bülten abone listesine kaydolmak için formu doldurunuz