Kategori arşivi: Şirket Haberleri

Lostar

Murat Lostar: IoT hayatımızın gerçeği o halde güvenlik kaçınılmaz

Yorum yapın

Nesnelerin interneti (‪Internet of Things) ya da kısa adıyla ‪IoT günlük hayatımızda ciddi değişikliklere sebep olacak büyük bir dijital endüstriyel dönüşüm olarak nitelendiriliyor.

IoT, genel olarak, fiziksel nesnelerin internet bağlantısı için bir IP adresine sahip olup diğer internet erişimli cihazlar ve sitemler ile haberleşme halinde olması şeklinde tanımlanıyor.

Tanımlanan bu devrim çerçevesinde nesnelerin dünya üzerinde farklı lokasyonlarda olmaları kendi aralarında belirli bir protokol üzerinden iletişim kurmasına engel değil.

Gelişen IoT teknolojisi ile otomobiller arası iletişim sistemleri, hasta takip sistemleri, akıllı evler ve şehirler gibi uygulamaların yaygınlaşması öngörülüyor. Fakat Lostar CEO’su Murat Lostar’a göre bu dönüşüm önemli güvenlik tehditlerini de beraberinde getiriyor.

İLGİLİ LOG YAZISI >> CIA VAULT 7 BELGELERİ ÜZERİNE

Geçtiğimiz hafta Nesnelerin İnterneti Topluluğu (IoTxTR) etkinliği çerçevesinde konuşan Lostar, gelişmiş IoT teknolojisinin anlamanın yolunun büyük resme bakmaktan geçtiğini söyledi.

“Bugüne nasıl geldik ve neden buradayız, bu iki kavramı anlamak hem bugünü kavramamıza hem de bundan sonra ne olacağını anlamamıza yardımcı oluyor.” diyor Lostar.

1784 yılında buhar gücüne dayalı üretimle gerçekleşen Birinci Sanayi Devrimi ve 1870 yılında elektrik enerjisinin kullanımıyla başlayan İkinci Sanayi Devrimi’ni hatırlatan Lostar, 1969 yılında bilgisayar ve  otomasyon ile Üçüncü Sanayi Devrimi’nin başladığını ve sanayinin son yıllarda Endüstri 4.0 ya da Sanayi 4.0 adıyla dördüncü evresine girdiğini aktardı.

Dördüncü sanayi döneminde geleneksel sanayinin dijitalleşme yönünde evrilip her biri farklı bilgisayar tarafından yönlendirilen makinelerin bir bütün olarak ana bilgisayarların kontrolüne gireceği ve bu şekilde fabrikaları makinaların yöneteceği öngörülüyor.

“Bu devrim hem temelde robotların artık kendi başına hareket edebilmesi otonom olması, hem de  fiziksel dünya ile siber dünyanın birbirine yaklaşması durumu.”

IoT ile bilgi güvenliğinin yeni formülü ‘CIA-S’ olacak      

Lostar’a göre IoT’nin hayatımıza girmesi bizleri yanına bir harf daha eklemek zorunda bıraktı .“S harfi ekledik yani safety (güvenlik).”

Tecrübeli CEO, gelişen IoT teknolojisinin güvenlikte de çok önemli değişiklilere sebep olduğunun altını çiziyor.

“Temelde veriyi konuştuğumuz için verinin üç önemli güvenlik özelliğinden bahsetmek zorundayız. Gizlilik, bütünlük,  kullanılabilirlik, yani GBK, İngilizcesi ise CIA (confidentiality, integrity, and availability). Bunlar olmadan verinin güvenliğinden bahsedemeyiz.”

“IoT hayatımızın gerçeği ve gittikçe artacak” diyen Lostar’a göre bu IoT’yi tanımak ve anlamak için kabullenilmesi gereken ilk nokta.

Amerikalı teknoloji araştırma şirketi Gartner’ın dörde böldüğü IoT domainlerinden örnek veren Lostar’a göre,  her IoT çözümü birbirinin aynı olmadığı gibi domainler de beklenti açısından birbirinden çok farklı.

Gartner, IoT domainlerini dikey pazarlar(endüstri, üretim perakende eğlence sağlık vb.), bina otomasyonu (akıllı binalar akıllı şehirler akıllı altyapı vb.), M2M (makinalar arası iletişim teknolojisi) bağlı ulaşım araçları ve bireysel üretim tüketim IoTler olarak ayırıyor.

Geçtiğimiz yıllarda yaşanan Mirai Botnet DDoS saldırısını ve TrendNet web cam saldırılarını örnek gösteren Lostar’a göre güvenlik zafiyetleri dört  ana sebepten kaynaklanıyor.

“Sürat felakettir, ucuzluk, x-KISS ve standartlar.” diyor Lostar.

“2016 sonu  itibariye 2.8 milyar tane cihaz olduğu öngörülüyor ve yine tahminlere göre 2020 sonunda birbiriyle bağlantılı 50 milyar cihaz olacak. Saatte bir milyon tane cihazın üretilmesi, kurulması ve devreye alınması gerekiyor. IoT ile ilgili bir fikri üretmek için bir saat kaybetmek bile size çok fazla pazar payı kaybettirebilir. Dolayısıyla  çok hızlı olmak gerekiyor, ama hızlı olmak bir şeylerden feragat etmek anlamına geliyor. Bu da güvenlik oluyor maalesef.”

CEO’ya göre, güvenlik zafiyetlerinin  diğer sebepleri ticari baskı ve karmaşık mimari yapı.

“KISS, yani Keep It Simple Secure, Basit ve kullanışlı ama güvenli olması gerekiyor.”

Güvenli ile ilgili en önemli sıkıntılardan bir diğeri ise çok fazla sayıdaki standartlar.

“Bir sürü standart görüyorsunuz. Bir sürü çözüm oyuncusu kendi standardını ortaya koymaya çalışıyor. Bu standartlara baktığımda iki problem görüyorum. Bir, çok sayıdalar, iki hiçbir tek standart bütün resmi kaplamayı başaramıyor. Bu da ne demek herhangi bir IoT çözümü yaratan ve IoT sistemi kullanmak isteyen kişinin bir çok standardı aynı anda değerlendirmesi gerekiyor.”

-Yöntem basit : Hızlı ve daha güvenli

Bütün bunların sonunda güvenliği nasıl sağlayacağız sorununa Lostar, iki temel çözüm öneriyor: hızlı ve daha güvenli.

“Hızlı olmak istiyorsak yöntem basit. Çözümü anlayın. Ben ne alıyorum, ne satıyorum. Saldırgan gibi düşünün. Ben saldırgan olsam ne yaparım. Bir güvenlik yaşam döngüsü hayata geçiriyor olmak gerekiyor.” diyor Lostar.

Detaylara dikkat edilmesi gerektiğini ve en zayıf halka insan faktörünün asla unutulmaması gerektiğine değinen Lostar, 7 tane çözüm maddesi öneriyor.

Lostar’a göre, bunlar IoT edinmeden önce ve aslında yeri gelince piyasaya sunmadan önce kendimize sormamız gereken 7 madde:

  1. Ürünün güvenli olması, kullandığımız ilgili iletişim katmanının güvenli olması ya da teknolojinin güvenli olması IoT çözümünün güvenli olması anlamına gelmez. Bütünün güvenliğini sağlamış olmam gerekiyor.
  1. Güvenlik bir yaşam döngüsüdür. Güvenliği öncelik haline getirin.
  1. Risk değerlendirmesi yapmak önemli ve bunu yapmak sadece güvenlik değil sosyal ticari teknik olarak da ürünü almadan önce son derece önemli.
  1. Esneklik çok önemli, çünkü bir şey olduğu anda hareket edebiliyor olmak lazım her zaman bir B planınız olsun. Özellikle hayatınızı IoT üzerinden yönetiyorsanız.
  1. Değişikliği IoT mimarinin bir parçası olarak düşünün ve çalışın. Bu son derece önemli. Teknolojiyi ‘aldık kullandık, çok iyiyiz’ demeyin. Ürünü düzenli olarak değerlendirin. Hala bu ürün ve teknolojiyle devam etmeliyim sorusunu sorgulamak çok önemli.
  1. Girmeden önce nasıl çıkacağınızı bilin.
  1. Uzaktan destek ve güncelleme becerisi var mı? Otomatik ve uzaktan yapılabiliyor olması gerekiyor, ve hackerın bunu yapamıyor olması lazım.

Siber Bülten abone listesine kaydolmak için doldurunuz!

 

 

Lostar, Şirket Haberleri

Siber dünyanın yetişmiş eleman sorununa çözüm Lostar’dan: ‘Bırakın açığı stajyerler kapatsın’

Yorum yapın

Siber güvenlik pazarı, bilişim sektörüyle aynı ivmede büyümeye devam ederken bu büyümeyi aynı hızla karşılayacak yetişmiş eleman açığı, Türkiye dahil bir çok ülkenin sorunu olmaya devam ediyor.

Sektörün yetişmiş kalifiye çalışan açığını gidermek amacıyla geçtiğimiz yıl Lostar ve Bilgi Üniversitesi işbirliği ile başlatılan Bilgi Güvenliği Teknolojisi Ön Lisans Programı’nda yeni akademik yıl yeni öğrencilerle başladı.

Program, teorik bilgi ile sektör tecrübesini aynı çatı altında buluşturarak sektörün ihtiyacı olan iş gücünü yetiştirme motivasyonu ile oluşturulmuş.

Siber Bülten’e konuşan Lostar’ın CEO’su Murat Lostar’a göre asıl heyecan verici olan projenin ikinci yılında sektöre kazandırılmayı bekleyen bir çok stajyerin olması.

“Dönem başladı, yeni arkadaşlar aramıza katıldı, daha önemlisi şimdi ikinci sınıfların artık stajyer olarak çalışabilme imkanı var.” diyor Lostar.

İlgili haber >> Siber Güvenlik alanında istihdam sıkıntısı sürüyor

Yetişmiş eleman ihtiyacı ve bir yöntem olarak stajyer alımı

Eğitim süresi iki yıl olan program, standart ön lisans programlarından farklı olarak daha fazla staj yapma fırsatı sunuyor.

Program dahilinde, eğitimin ikinci yılı boyunca öğrencilerin staj yapma zorunluluğu var. İlk dönem haftada iki güne karşılık gelen staj süresi, ikinci dönem haftada üç gün olarak belirlenmiş.

Lostar’a göre staj ağırlıklı program, “ağaç yaşken eğilir” mantığı ile hazırlanmış.

“Ağaç yaşken eğilir modelinin bir parçası olarak şirketler çalışanlarını henüz stajyerken alıp yetiştirecekler. Piyasada yetişmiş eleman sıkıntısı çok ve kurumlar bu konuda farklı alternatifler yaratmak zorunda.”

“Artık insanlar birbirlerine ‘senin güvenlik ekibin kaç kişi?’ demiyor, ‘senin güvenlik ekibin bugün kaç kişi?’ diyor. Eğitim programı bu sorunu çözmeye yönelik.” diye ifade ediyor tecrübeli CEO.

Lostar aracı şirket konumunda

Lostar’ın programa en büyük katkısı staj süreci ve mezuniyet sonrasında öğrencilerin doğru kurum ve kuruluşlarla çalışmasını sağlayan aracı şirket konumunda olması.

Şirket bunu program kapsamında staj için oluşturulan lostar.com.tr/stajyer sayfası üzerinden yapıyor.

Sayfa üzerinden stajyer arayan kurumlar bu web sayfasını ziyaret edip, gerekli formları doldurabiliyorlar.

“Lostar’ın burada amacı sektöre eğitimli ve deneyimli eleman kazandırmak.” şeklinde konuşan CEO Lostar’a göre öğrenciler yoğun eğitim ve staj programı sonrasında siber güvenlik endüstrisini çok iyi öğrenmiş bir şekilde sektörde çalışmaya hazır hale gelmiş olacak.

 

 

Lostar, Şirket Haberleri

Lostar’ın genç ödül avcıları Google ve Oracle’da açık buldu

Yorum yapın

Türkiye’nin önde gelen siber güvenlik şirketlerinden Lostar, iki çalışanının Google ve Oracle sistemlerinde bulduğu önemli  güvenlik açığı ile adından söz ettiriyor.

Teknoloji firmalarının siber suçlulardan bir adım önde olmak ve sistemlerinin daha güvenli olmasını sağlamak adına düzenledikleri ödül avcılığı programlarında buldukları açıklarla ‘oyunda biz de varız’ diyen Berk İmran ve Barış Sağdıç, zafiyet tespit ve ödül avcılığı süreçlerini Siber Bülten’e anlattı.

Ödül avcılığı (Bug Bounty) gelişen teknolojinin kurtarıcısı olarak siber güvenliğin sunduğu faydalı test yöntemlerinden biri. Ödül avcılığı kapsamında kurumlar sistemlerinde, web sitelerinde ya da yazılımlarındaki açıklıkları farklı bir göz aracılığıyla test ediyor ve rapor edilen zafiyet için ‘beyaz şapkalı hackerlara’ (white hackers) para ödüyor.

Büyük şirketlerin güvenlik ekiplerinin yazılımlarındaki açıklıkları bulmak için yeterli zaman ya da iş gücüne sahip olamamaları ödül avcılığını son 10 yılda oldukça arttırdı.

Program dahilinde güvenlik uzmanları binlerce dolar kazanırken, kurumlar ise hacklenme korkusunu en aza indirerek maddi ve manevi kayıpları önlüyorlar.

Lostar’da yaklaşık üç yıldır siber güvenlik danışmanı olarak çalışan Barış Sağdıç, ödül avcılığı programı kapsamında Google’da oldukça önemli bir zafiyet buldu.

Bu zafiyet ile birlikte ünlüler geçidi (Hall of Fame -HoF) listesine girmeye de hak kazandı.

İlgili güvenlik açığını 24 Temmuz tarihinde bulan ve aynı gün raporlayan Sağdıç, tespit ettiği açık için “Google ödül avcılığı tarihinde keşfedilen en önemli zafiyetler arasında” diyor. Bunun sebebi ise zafiyetin bir çok alt uygulamayı da etkilemiş olması.

Sık sık ödül avcılığı programlarına katılan Lostar’ın uygulama güvenlik danışmanının tek başarısı da bu değil.

Web uygulama güvenliği konusunda yüksek teknik bilgiye sahip olan kişilere verilen prestijli eWPTX (eLearnSecurity Penetration Tester eXtreme) sertifikasına Türkiye’de sahip olan tek kişi.

-‘Kullanıcı bilgileri ele geçirilebilirdi’

Sağdıç zafiyet araştırmasına Google’ın webstore yönetim sayfasında başlamış.

“Keşfettiğim zafiyet saklı türünde siteler arası betik çalıştırma zafiyetiydi (Stored Cross-site scripting, XSS). Zafiyet girdi kontrolü eksikliklerinden kaynaklanıyordu. Bulduğum açık Google’ın ödeme sistemindeki adres bilgilerindeydi,” diyor Sağdıç ve not ediyor:

“Google’ın bir çok yerinde ödeme sistemi entegre olduğundan neredeyse tüm alt uygulamaları bu zafiyetten etkileniyordu. Bu açık nedeniyle kullanıcı bilgileri ele geçirilebilirdi.”

Sağdıç keşfi sonrasında 4 Ağustos’ta Google’dan para ödülü almış, ve 10 Ağustos’ta ise bildirdiği açık giderilmiş.

Ödül avcılığı programlarının ivme kazanmasındaki en büyük itici güçlerden biri Google gibi büyük bir şirketin verdiği ödüller. Şirket, ilk ödül avcılığı programını başlattığı 2010 yılından bu yana 9 milyon doların üzerinde ödül dağıttı.

Bugüne kadar Google tarafından verilmiş en büyük ücret ise 100.000 dolar.

-Oracle açığıyla Hall of Fame listesinde

Lostar’ın ödül avcılarından bir diğeri ise Oracle’da bulduğu önemli açıkla adını Ekim ayında yayınlanacak Hall of Fame’e yazdıracak olan Berk İmran.

Berk İmran’ın bulduğu açık ile ilgili blog yazısına buraya tıklayarak ulaşabilirsiniz

Ödül avcılığını, siber güvenlik alanında kariyer yapmak isteyen veya kendini teknik anlamda geliştirmek isteyen herkes için önemli fırsatlardan biri olarak gören İmran, henüz 21 yaşında.

İmran ayrıca, Lostar’ın Sakarya Üniversitesi iş birliğiyle geçtiğimiz Temmuz ayında düzenlediği Siber Güvenlik Yaz Kampı sonrasında Siber Güvenlik Departmanı kadrosuna kattığı altı kişiden biri.

Genç yaşına rağmen “ödül avcılığına başlayalı yıllar oldu” diyen İmran, Oracle dışında Sony, Yandex, eBay gibi birçok kurumda zafiyet bulmuş.

Oracle’da “stored xss” ve “ssrf” türlerinde iki açık keşfettiğini aktaran araştırmacı, açık bulma sürecini Siber Bülten’e şöyle tanımlıyor:

“10 Temmuz’da aramaya başladım, beş dakika sonra buldum. Beş gün boyunca bulduğum zafiyetle en kritik nokta neresi, nereye kadar ilerleyebiliyorum diye denedim ve 15 Temmuz’da zafiyeti rapor ettim. 18 Temmuz’da geri dönüş aldım, 1 Ağustos’ta ise zafiyet giderilmişti. Ekim ayında yayınlanacak olan Hall of Fame listesinde de benden bahsedecekler.”

Oracle’da bulduğu zafiyetin kritik seviyede olduğunu ifade eden İmran, burada amacının sadece Hall of Fame listesine girmek olduğunu söyledi.

-‘Amaç Türkiye’yi siber güvenlik alanında ileriye taşımak’

Türkiye’de ‘hackerone.com’ ya da ‘bugcrowd.com’ gibi ödül avcılarının işini kolaylaştıracak sitelerin bulunmadığını söyleyen İmran’a göre, Türk firmaları ve devlet ödül avcılığı kapsamında daha fazla adım atmalı.

“Facebook, Google ve hatta Pentagon bile bug bounty başlatırken Türkiye’de hiçbir kurum bu alanda adım atmıyor.”

İlgili haber >> 18 yaşındaki hacker Pentagon’u hackledi

Geçtiğimiz yıl  internete sızan seçmen bilgilerini hatırlatan İmran, bu durumun ödül avcılığı yoluyla çözülebileceğini aktardı.

“Ülkede bug bounty kapsamı olsaydı bu bilgiler internete çok daha zor sızardı ve bunların hiçbiri yaşanmazdı. Böyle bir girişimde Türkiye’de kimsenin kar amacı güdeceğini düşünmüyorum. Sadece teşekkür edilse bile yeterli olacaktır.”

Bu alanda bazı atılımlarda bulunan İmran, üniversite öğrencilerini kapsayan bir siber güvenlik topluluğu ‘canyoupwn.me’ üyesi olduğundan bahsediyor.

“Kar amacı gütmeyen bir grup. Blog yazıları yazıyor, siber güvenlik çalışmaları yapıyoruz. Zafiyet nedir, nasıl oluşur, nasıl bulursunuz ve düzeltirsiniz gibi bir çok konuda bilgi veriyoruz.” diyor İmran.

Canyoupwn.me’de nereden başlayacağını az çok bilen belirli bir noktaya gelmiş ama bir tık daha üst seviyeye geçmek isteyenler için ise zafiyet amacı güdümlü makineler var.

“İlk makinemiz Kevgir’di. Dönemin tüm güncel zafiyetlerini Kevgir’e  ekledik, güzel bir senaryo yaptık. Bu alanla ilgilenenler, makineyi indirdiler ve zafiyet bulmaya çalıştılar.”

İmran’a göre bu sistemin güzel tarafı hiçbir siteye zarar vermeden  yasal bir şekilde kişilere kendini deneme fırsatı vermesi.

Siber Bülten abone listesine kaydolmak için formu doldurun

Şirket Haberleri

ATAR’a 2,5 Milyon Euro çekirdek yatırım

Yorum yapın

Innovera tarafından geliştirilen ATAR, global bir marka olma yolunda ilerliyor. Risk Sermayesi şirketi DCP’den 2 milyon 500 bin Euro’luk çekirdek yatırım alan ATAR, ATAR Labs isimli yeni şirket yapısıyla faaliyetlerini uluslararası ölçekte sürdürecek. Siber güvenlik için Türkiye’de geliştirilmiş en başarılı teknolojilerden birisi olan ATAR, milli Ar-Ge alanına da öncülük ediyor.

Innovera tarafından geliştirilen ATAR (Automated Threat Analysis and Response), Diffusion Capital Partners’tan (DCP) Türkiye tarihinin en büyük çekirdek yatırımlarından birini aldı ve ATAR Labs adı ile şirketleşti.

Yeni vizyonunu küresel liderlik olarak belirleyen ATAR Labs, Türkiye’nin yanı sıra BAE, Kıta Avrupası ve İngiltere ofisleri ile çok uluslu bir operasyon başlatmaya hazırlanıyor. 2 milyon 500 bin Euro’luk çekirdek yatırımla kurulan ATAR Labs’in liderliğini Innovera ortaklarından Burak Dayıoğlu, CEO olarak üstleniyor.

Güvenlik Operasyon Merkezlerini (SOC) daha hızlı, esnek ve akıllı bir yapıya kavuşturmak üzere geliştirilen ATAR’ın başarısını tüm dünyaya yaymayı amaçladıklarını ifade eden Dayıoğlu, “Hızlı dijitalleşme ile birlikte siber güvenlik kurumların ve ülkelerin en önemli güvenlik maddesi haline geldi. Bu anlamda Güvenlik Operasyon Merkezleri kritik ve zorlu bir role sahip. Sayıları kimi zaman günde 4.000’i bulan siber alarmları incelemeye ve yanıtlamaya çalışan bu merkezleri desteklemek üzere geliştirdiğimiz ATAR, Türkiye’deki başarısı ile kendini kanıtladı. Şimdi Diffusion Capital Partners’ın sağladığı 2,5 milyon Euro değerindeki yatırımla ATAR Labs’i bağımsız, rekabetçi ve yenilikçi bir kurum olarak küresel arenaya sunuyoruz. Dünyanın dört bir yanındaki ofislerimiz ve iş ortağı ağımızla Türkiye’de doğmuş bu güçlü teknolojiyi tüm dünyanın hizmetine sunmaya hazırlanıyoruz. 10 yıllık bir teknoloji şirketi olan Innovera’dan aldığı güç ve birikimle ATAR Labs’in yeni yolculuğunda hızlı bir başarı ivmesi elde edeceğine inanıyorum” dedi.

ATAR Labs’in sunduğu ATAR siber güvenlik robotu siber saldırıların hızına ve hacmine yetişemeyen kurumlara destek oluyor. ATAR savunma robotu, ona öğretilen saldırı reflekslerini otomatik olarak işletiyor. Böylece ATAR bir güvenlik operasyon merkezi içerisinde sık tekrarlanan işlemleri bir insan uzmana gerek kalmaksızın işletebiliyor.

Böylece toplam alarm işleme yükünün %30-40’lık bölümü robotla karşılanırken, ATAR’ın sağladığı vaka inceleme ve yanıtlama imkanları operasyon merkezi uzmanlarının 15-20 kat daha hızlı analiz ve çözümleme yapmasına imkan sağlıyor.

Siber Bülten abone listesine kaydolmak için doldurunuz!

Lostar, Şirket Haberleri

Blockchain teknolojisi demokrasiyi kurtarmak için tek çare olabilir

Yorum yapın
Erdem Kayar Defcon’da

2016 yılında gerçekleşen ABD başkanlık seçimlerine Rusya’nın siber operasyonlar ile müdahalede bulunduğu iddiaları seçimlerin üzerinden yaklaşık bir yıl geçmesine rağmen gündemdeki yerini korumaya devam ediyor. FBI’ın başlattığı soruşturma sonrasında Başkan Donald Trump’ın görevden alınmasına dahi sebep olabileceği konuşulan ‘seçimlerin hacklenmesi’ iddiaları dünyanın en büyük hacker konferanslardan Defcon’da da yoğun olarak tartışılan konular arasındaydı.

Konferansa Türkiye’den katılan sayılı isim arasında bulunan Lostar Siber Güvenlik Hizmetleri Direktörü Erdem Kayar, siyaset ile teknolojinin birlikte anıldığı soruna blockchain teknolojisinin çare olacağına dair Defcon katılımcıları arasında genel bir kanaatin oluştuğunu söyledi.

Defcon izlenimlerini Siber Bülten ile paylaşan Kayar, “Defcon’da katılımcılar seçimlerin hacklenme ihtimalinin yüksek olduğunu düşünüyor ve bundan rahatsızlar. Bir çözüm yolu olarak tıpkı bankacılık ve dijital dünyada kullanıldığı gibi blockchain teknolojisinin seçim sürecine entegre edilmesi gerektiğini güçlü şekilde savunuyorlar. Siyasi manipülasyonlara karşı koymanın en etkili yöntemi olarak ise blockchaini görüyorlar.” ifadelerini kullandı.

Oyların ve diğer seçim verilerinin bulunduğu veri tabanında herhangi bir değişiklik yapılmadığından emin olabilmek için blockchain teknolojisine ihtiyaç olduğunu kaydeden Kayar, bu sayede demokrasiye yönelik oluşan güven zedelenmesinin giderilebileceğini sözlerine ekledi.

“Verilerin değiştirilemeyeceğinin garantisi olarak karşımıza blockchain çıkıyor çünkü veriler dağıtık şekilde, farklı veri dairelerinde ve şeffaf bir şekilde tutuluyor. Bu şekilde verilerin güvenliğinden emin olunacak. Mevcut sistemde oyların güvenliği ile ilgili bir ‘sağlama’ yapılamazken blockchain bu imkanı sağlayacak.”

Araba yıkama makinaları hacklendi

BlackHat’te her sene olduğu gibi bu sene de siber alanın yer altı dünyasından ilginç hack hikayeleri gün yüzüne çıktı. Şüphesiz en ilgi çekici haberlerden biri otomatik araba yıkama makinelerinin kontrolünün izinsiz ele geçirilmesiydi. Güvenlik algısıyla ilgili birçok tespitin yapılabileceği olayı değerlendiren Kayar şöyle konuştu:

“Yıkama makinelerini hackleyen kişiler bir zero-day dahi keşfetmiş değiller. Bilinen teknikleri kullanarak buldukları güvenlik zafiyetini istismar etmişler. Zaten artık bu tür saldırıları gerçekleştirmek için elit hacker olmaya gerek yok. Saldırı yüzeyi genişliyor tabi bu durumun ciddileştiğini de gösteriyor. Güvenlik açığını yıkama makinelerine sahip olan şirkete bildiriyorlar. Fakat geri dönüş olmuyor. Aylar sonra makinaları nasıl hacklediklerini anlatmak için Blackhat’e kabul aldıklarında, şirket de onları ciddiye almaya başlıyor ve davet ediyor.”

IoT dünyasının güvenliğindeki önemli bir soruna dikkat çeken siber güvenlik uzmanı, güncellemelerin yapılmamasının sebepleri arasında birbirine bağlı sistemlerin dağınık coğrafyada bulunmasını sayıyor ve ekliyor: “Bazı güncellemeler sadece teoride kalıyor. WannaCry’ın ardından yapılan güncellemeler sonrasında hala bazı üretim bantları ayağı kaldırılamadı. ICS sistemlerin ayağa kaldırılması çok maliyetli. Şirket Microsoft’un yama çıkardığını biliyor ama restart etme riskini alamıyor.”

Hackerlar da şirket gibi çalışıyor, küçük önlemler hayat kurtarabilir

Etkinliklerde dikkatini çeken bir başka noktanın hackerların ilgi ve çalışma alanlarının belirlenmesinde finansal kaygıların rol aldığını söyleyen Kayar, iOS örneğini veriyor: “iOS işletim sistemlerine sahip dijital cihazların saldırıya kapalı ve daha güvenli olduğuna dair haberler hackerların bu cihazlara yönelmesine neden oldu. Artık hackerlar da şirketler gibi çalışıp, akıllı organizasyonlar kuruyorlar. Apple ürünlerinde güvenlik açıklıklarının fiyatı artınca çalışmalarını o alanda yoğunlaştırıyorlar.

“Bir sunumda hacking grubunun şemasını paylaştılar. Karşımızda kurumsal bir organizasyon var. Adeta bir şirket gibi herkesin rolü ve görevi belli. Etkin, güçlü ve organize bir şekilde çalıştıkları çok açık.”

Hackerların ticari odaklı olmasını ve maliyet analizi yapmalarını güvenlik açısından değerlendiren Kayar, “Hackerlar da artık ‘bu mesai bu işe değer mi’ bakış açısına sahip olmaya başladılar. Dolayısıyla küçük ama caydırıcı önlemlerin alındığı sistemler hedef dışı kalabilir.”

Facebook güvenliğe 1 milyon dolar fon ayırdı

Blackhat konferansında açılış konuşmalarından birini gerçekleştiren Facebook CISO’su Alex Stamos şirketin siber savunma amaçlı yapılacak araştırmalar için 1 milyon dolar fon ayırdığını duyurmuştu. Konferansı yerinde izleyen Kayar ise Stamos’un katılımcılarla paylaştığı önemli bir detaya dikkat çekiyor: “Facebook’un 500 milyon aktif kullanıcısı var. Stamos mobil kullanıcılardan cihazı güncel olmayan 100 milyon kişinin olduğunu açıkladı. Güncel versiyon geçişlerini yapmamışlar. Bu tip istatistikler güvenlik çalışmaları için çok önemli. Kalıcı alışkanlık değişiklikleri sağlama noktasında insanları test ve takip ederek değişimi ölçümlendirip bireysel bazda ilerlemek gerekiyor. Toplu eğitimlerle güvenliğin en zayıf halkası olan insanı güçlendirmek kısa vadede mümkün gözükmüyor.”

ABD ziyareti sırasında sadece Defcon ve Blackhat’e katılmakla yetinmeyen Kayar, içlerinde Facebook, Twitter, Google ve Uber gibi teknoloji devlerinin bulunduğu şirketlerle de toplantılar yaptığını belirterek şunları söyledi: “Bu toplantılarda şirketlerin siber güvenlik operasyonlarını nasıl yönettiklerine dair önemli bir know-how birikimi elde ettik. Şirketimizin verdiği ABOME hizmetini katma değeri daha yüksek bir hale getirmek için yine bu şirketlerle çalışma içerisindeyiz.”

İlgili haber >> Sisteminizi ABOME’ye emanet edin gözünüz arkada kalmasın

Defcon İstanbul’da düzenlenebilir mi?

Benzer konferansların Türkiye’de düzenlenmesi için atılması gerekli adımlar hakkında da konuşan Lostar yöneticisi, Blackhat ve Defcon’un kurucusu Jeff Moss’un yaptığı kapanış konuşmasında Pekin hükümetinin izin vermesi halinde bir sonraki Defcon’u Çin’de yapmak istediklerini açıkladığını hatırlatarak, “Moss’un motivasyonu Çinli hackerları tanımak. Burada önemli noktalardan bir tanesi bölgedeki siber güvenlik bilgisi. Faaliyetlerimizi artırırsak, talebin kurumsal olarak ilerlemesini sağlayabilirsek İstanbul da 5 yıl sonra siber güvenlik konusunda dikkat çekici bir hub olabilir.” şeklinde konuştu.

Siber Bülten abone listesine kaydolmak için doldurunuz!