Yaz mevsimi yaklaştıkça siber güvenlik alanında kendilerini geliştirmek isteyen üniversite öğrencilerine yönelik siber güvenlik kampları neredeyse bir gelenek haline geldi. Üniversite ve özel sektör iş birliğiyle düzenlenen kamplarda gençler kendilerinden daha tecrübeli sektör çalışanlarının ve hocaların verdiği derslere katılarak alanın farklı konularına ilişkin eğitim alıyorlar. Ülkemizin siber güvenlik uzmanı açığını kapatmak amacıyla düzenlenen bu etkinliklere oldukça fazla başvuru geliyor. Katılımcılardan kampları başarıyla bitirenler sektörde kendilerine yer bulmakta zorlanmıyor.
Her şeyi devletten beklemeyerek uzman açığını giderme noktasında insiyatif alan şirketlerden Biznet Bilişim, bu sene Sakarya Üniversitesi ile birlikte alışılagelmişin dışında bir kamp düzenleyecek: Endüstriyel Kontrol Sistemleri Siber Güvenlik Kampı (ayrıntılı bilgi için: http://kamp.eksguvenligi.org/)
Geçtiğimiz Şubat ayında ‘Endüstriyel Kontrol Sistemleri Siber Dayanıklılık Vizyon Planı’nı açıklayan Biznet Bilişim Türkiye’de endüstriyel kontrol sistemleri alanında bir siber güvenlik ekosisteminin oluşturulması için ilgili paydaşları içinde bulunduran bir model önerisi geliştirmişti. adı verilen model, ilgili küresel ekosistemle aktif etkileşim halinde yerel bir platform kurarak, Türkiye’deki kritik altyapıların siber dayanıklılığını arttırmayı amaçlıyor. Şirket yetkilileri EKS Siber Güvenlik Kampını bu ekosistemin kurulmasına yönelik önemli adımlardan biri olarak değerlendiriyor.
Başvurunun ücretsiz olduğu kampta katılımcıların konaklama ve yemek gibi masrafları Biznet tarafından karşılanacak. Kamp ile ilgili gelişmeleri Twitter adresinden takip edebilirsiniz.
23-25 Temmuz tarihinde Sakarya Üniversitesi’nde düzenlenecek kampta katılımcılara siber güvenlik, IT ve OT (operasyonel teknolojiler) ile alakalı bilgiler verilecek. Kampın organizatörlerinden Doç Dr. İbrahim Özçelik kamp ile birlikte EKS’lerin siber güvenliği konusunda öğrencilerde bir ilgi uyandırmak ve farkındalık yaratma amaçları olduğunu belirterek “Siber güvenlik ve EKS’lere birlikte bakıldığında karşımıza ciddi bir bilgi gereksinimi ortaya çıkıyor ve bu gereksinim EKS’nin kullanıldığı uygulama alanı da dahil edildiğinde eksponansiyel olarak artıyor. Kamp süresince EKS Güvenliğini ilgilendiren her bir alt başlık ve alanla ilgili bilgiler vererek farkındalık ve ilgi oluşturmayı hedefliyoruz.” ifadelerini kullandı. Özçelik, ayrıca öğrencileri EKS siber güvenliği sektörüne yönlendirmenin dışında sektörde çalışan ve proses bilgisine sahip kişileri de akademik tarafa yönlendirme ve orta vadede ürün geliştirme projeleri için sinerji üretmenin de hedefleri arasında olduğunu kaydetti.
EKS’lerin siber güvenliği konusunda ciddi uzman açığı olduğunun altını çizen Özçelik, öğrencilerin bu alana ilgi duymaları için çalışmasının arkasında EKS’lerin ‘milli güvenlikle birebir ilişkili bir kariyer fırsatı sunduğunun’ altını çiziyor. Hocaya göre böyle cazip bir iş imkanını değerlendirmek için bazı stratejik adımların atılması gerekiyor: “EKS siber güvenliğinde, siber güvenlik bilgisinin yanında hem OT hem de proses bilgisine hakim olmak gerekir, fakat ağ bilgisi olan, sistem bilen kişilerin de bu dünyanın içerisinde kendilerine rahatça yer bulabilir, bunun için ilk önce bu ön yargının ortadan kalkması gerekir. Diğer taraftan EKS siber güvenliğine ilgi duyan firmalar da ciddi uzman ihtiyacı duyuyor. En büyük farkındalığın ve yönetmeliklerin tanımlandığı enerji alanında dağıtım şirketleri sistemlerini bir sızma testine tabi tutmak zorunda. Dolayısıyla EKS kampını bir alan oluşturma insiyatifi olarak da görebilirsiniz.”
Multidisipliner bir program
Biznet’ten Fatih Kayran kampa katılım için herhangi bir üniversite, bölüm, not ortalaması vs. şartı aramadıklarını ifade ederek başvuranlar arasında bir değerlendirme yapacaklarını ardından online mülakatlar ile katılmaya hak kazananların açıklanacağını söyledi. Kampın programı hakkında bilgi veren güvenlik uzmanı şöyle konuştu: “İlk gün PLC’nin çalışma mantığı ve programlama, HMI/SCADA programlama, endüstriyel iletişim protokolleri ve diğer temel bilgileri vermeyi planlıyoruz. Ardından EKS enstrümanlarının genel tanıtımına geçeceğiz. Bu noktada EKS’leri hedef alan saldırı senaryoları ve alınabilecek önlemler üzerinde yoğunlaşacağız. Ülkelerin birbirlerine yönelik düzenlediği siber saldırılarda EKS’lerin yeri de programda yer alacak. Son gün ise EKS CTF düzenlenecek. Olabildiğince multidisipliner bir program hazırlamaya çalıştık.” ifadelerini kullandı.
Fatih Kayran üniversite öğrencilerine yönelik siber güvenlik programlarının web/mobil ve network güvenliği konularında yoğunlaştığını kaydederek, EKS siber güvenliği alanında sadece Türkiye’de değil aynı zamanda dünyada da açık bulunduğuna dikkat çekti: “Bu uzman açığını fırsata çevirmek isteyenleri kampımıza başvurmaya davet ediyoruz.”
Ayrıca EKS konusunda yapılacak çalışmalar için bu kampın bir başlangıç noktası olduğu, bu yılki kampta Biznet Bilişim, Sakarya Üniversitesi organizatörlüğüyle ve Cyberstruggle’ın desteğiyle gerçekleştirileceği, bundan sonraki gerçekleştirilecek EKS kamplarında daha fazla paydaş ile kampın bir topluluk organizasyonu olmasının hedeflendiği Fatih Kayran tarafından ifade edildi.
2000’li yıllardan itibaren endüstriyel otomasyon dünyasına Ethernet ve türevi protokollerinin girmesiyle birlikte TCP/IP, SCADA sistemlerde kullanılır hale geldi. Bu dönüşümün önemli bir kırılma noktası olduğunu belirten Özçelik, iki alan arasındaki yakınlaşmanın ‘siber güvenlik bilgisinin önemli bir kısmının EKS alanında da işe yaramasının’ yolu açtığını söyledi. “SCADA dünyasında cihazlar bir ağa ve İnternet dünyasına direkt ya da dolaylı olarak bağlanmış durumda. IT dünyasındaki siber güvenlik uzmanları EKS siber güvenliği sektörüne de geçiş yapabilirler. EKS güvenliğinde saldırı vektörlerinden biri de iletişim protokolleri üzerinden geldiği için Ethernet türevi protokollerin bilinmesi gerekiyor. Bu konular kamp müfredatına aldık.”
Özçelik Hoca’nın dikkat çektiği konuların başında kritik altyapılardan bazılarının siber güvenlik açısından nispeten daha sağlam bir yapı oluşturmuş olması geliyor. Buna karşın enerji alanındaki kritik altyapıların ise siber dayanıklılığı için daha yoğun bir çalışma gerekiyor. “Bankacılık ve finans sektöründe çalışan siber güvenlik çalışanı daha çok. Bunun önemli nedenlerinin başında bu sektörlere yönelik siber saldırıların daha fazla olması ve ağırlıklı olarak bu alanda çalışmak için IT bilgisinin yeterli olması var. Ayrıca bunun yanında BDDK’nın sızma testi ile ilgili süreçleri önceden başlaması da ana etken. Fakat EPDK benzer yönetmelikleri son birkaç sene içinde hayata geçirdi.”
2-3 yıl içerisinde milli ürün geliştirebiliriz
Yabancı menşeli ürünlerin EKS’lerde yaygın şekilde kullanılması Özçelik’e göre milli güvenlik açısından kaygı verici bir durum oluşturuyor: ” Otomasyon alanındaki üretici firmaların hepsi yabancı. Kendi PLC, RTU, SCADA ve protokolümüzü kendimizin geliştirmesi lazım ki bazı konularda daha rahat hareket edelim. Uygulamalarımızı direk bu ürünler üzerinden çalıştırıyoruz. Bu ürünlerin ağa bir şekilde bağlı olduğunu dikkate aldığımızda hangi amaçla kullanılacağını bilmiyoruz.”
İbrahim Özçelik gelecek adına umutlu. Yerli ürünlerin stratejik planlarla uzun vadede geliştirilebileceğini belirten Özçelik, buna karşın siber güvenlik ve OT bilgisi olan araştırmacıların birlikte çalışarak kritik altyapılara yapılacak saldırıların tespiti ile uygulama yazılımların 2-3 yıl gibi kısa zaman dilimi içerisinde çok rahatlıkla gerçekleştirebileceğini düşünüyor. Aksi takdirde uluslararası arenada bulunan uygulama çözümlerinin ihtiyaçtan dolayı yerli firmalar tarafından kullanılmak istendiğini ve eğer insiyatif alıp bu uygulama yazılımlarını yerli olarak geliştirmezsek, EKS altyapısında kullanılan donanım ve yazılımlar gibi siber savunma kapsamı ile alakalı yazılımları da yabancı sektöre teslim edeceğimizi düşünüyor.
Siber Bülten abone listesine kaydolmak için formu doldurunuz