Advanced Persistent Threat’, kısaca APT olarak bilinen siber saldırı tipi, son yıllarda küreselleşen dünyanın küresel tehdidi olarak nam salıp, bir çok kurum ve kuruluşun hatta devletlerin dahi korkulu rüyası haline geldi.
Türkçe’ye ‘Gelişmiş Kalıcı Tehdit’ olarak çevrilen APT, bilgi toplama amacı ile yapılan, hedef sistemlere yetkisiz erişim sağlayarak orada uzun süre faaliyet gösteren saldırılar olarak tanımlanıyor.
APT tehditlerinin giderek daha komplike hale gelmesi, gelişmiş ülkelerin bu tehditlerin tespitine yönelik uzman birimler oluşturması, herkesin aklına aynı soruları getiriyor: APT saldırıları neydi, ne oldu ve bundan sonra nereye gitmesi öngörülüyor?
Siber güvenlik sektörünün tecrübeli kurumlarından Lostar’ın yöneticisi Erdem Kayar, APT’ler için kırılma yılını 2010 olarak gördüklerini söyledi.
“2010 yılından itibaren bir evrimleşme ve artık daha kalıcı organize saldırılar gerçekleşmeye başladı,” diyen Kayar, APT’lerin evrimleşmesini ise şu şekilde açıklıyor:
“2010 yılına kadar baktığımızda sektörümüzde hackerlık anlamında daha çok bireylerin olduğunu ve hedeflerinin biraz daha ün yapmak ve popüler olmanın üzerine kurulu olduğunu görüyorduk.
“Kevin Mitnick, Captian Crunch’ı da bu hacker örnekleri içinde sayabiliriz. Bu tip hackerların olduğu bir dünyadan bahsediyorduk.”
Fakat 2010 yılından sonra dijital dünyada yeni suç trendleri ortaya çıkmaya başladı.
Maddi kazanç amaçlı başlayan siber saldırılara artık devletlerin de dahil olduğunu, ülkelerin kendi istihbarat servislerini zenginleştirmek için yapılandığını ve en önemlisi de artık karşımıza bir Kevin Mitnick ya da Captain Crunch gibi bireylerin değil; Anonymous, Redhack, Lazarus gibi grupların ortaya çıktığını görüyoruz
2010’dan sonra ne oldu?
Daha geniş tanımıyla APT, hedefin net tanımı olan, gelişmiş ve kompleks saldırı içeriklerini içeren, uzun sürelere dayanan, sistematik bir çoklu vektör kullanan saldırı metotlarıdır.
Sadece para kazanmaktan casusluk, veri sızıntısı, sanayi hırsızlığı, kurumlar ülkeler arası istihbari veri hırsızlığına evirilmiş olan APT’lerin bu dönüşümünün sebebi ne?
Kayar’a göre kısa bir süre olmasına karşı son 7 yılda insanların kullanım alışkanlıkları ciddi ölçüde değişti.
Kullanım alışkanlıkları, insanların teknolojiyle olan ilişkilerinin artması bu durumu tetikledi, zaten olacaktı ama yedi yıl gibi kısa sürede çok büyük bir ivme kazandığını söyleyebiliriz.
“Devletler e-devletleşti, veriler dijitalleşmeye başladı, devletler seviyesinde casusluk biçim değiştirdi,” diyen Kayar casusluk smokinli James Bond’un bir kaç belge kaçırmasından, dijital ortamda tutulan verilere, sunuculara sızmaya dönüştüğünü düşünüyor.
Kayar’a göre özellikle son yedi yılda APT’lerin geliştiğinin kanıtı olan bazı efsane saldırılar gerçekleşti.
Bu saldırıların ilki 2010 yılında İran’ın uranyum zenginleştirme projesini hedef alan Stuxnet isimli saldırı.
“Stuxnet her yönüyle aslında müthiş bir saldırı. İnsanın nasıl manipule edilebileceği, saldırının içinde kullanılan zararların nasıl daha az tespit edilebileceği, anti-virüslerin nasıl atlatılabileceği gibi çok efektif bir saldırıydı,” diye aktarıyor Kayar.
Stuxnet ile büyük benzerlikler içeren Duqu virüsü, Ortadoğu’da casusluk hareketlerinin başlatılmasında oldukça etkili olan Flame zararlı yazılımı, 2012 yılında ortaya çıkan Gauss ve en güncel olan WannaCry, Stuxnet’i izleyen diğer örnekler.
Gelişmiş geçmiş en büyük siber saldırıların başında gelen WannaCry, geçtiğimiz Mayıs ayında tüm dünyadaki organizasyonları ve milyonlarca bireysel kullanıcıyı etkilemiş, üretim, enerji ve telekomünikasyon şirketleri başta olmak üzere bazı ülkelerin bakanlıklarını bile etkisi altına almıştı.
Tek kişilik saldırılardan suç örgütlerine
Kayar, saldırganların motivasyon düzeyini değerlendirmek için APTler üzerinden 2016 yılında karmaşık bir yöntem izleyerek bankacılık sektörünü hedef alan saldırıları örnek olarak gösteriyor.
Bahsi geçen saldırı da hackerlar, Microsoft Word ya da Excel dosyalarının içinde yer alan macrolara zararlı yazılımlar yükleyip, buradan sistemlerle ilgili bir erişim sağlayıp ve daha sonrasında sitemlere ulaşacak bir süreç izlemişti.
Ortalama 4 ay gibi bir sürede tamamlanan bu APT saldırısının, sistemlere kademeli olarak yerleşip, bazı kontrol ve yetki mekanizmalarını tanımlayarak sağlandığı bilgisini veriyor.
Dikkat edilmesi gereken en önemli nokta ise böyle detaylı bir saldırıyı gerçekleştirmek için farklı uzmanlık alanına sahip bir çok hackerın birlikte çalışmasının gerektiği.
“Swift ekranının birçok bankacı bile görse eminim çözmesi çok kolay olmaz, zaman alır. Bunun yanında sızdığınız Microsoft Office teknolojilerini bilmek ve macrosuna zararlı yazılım yazmak da ayrı bir konu.
“Network’te yakalanmadan bağlantı alıp, sistemde hareket etmeyi bilmek ise farklı bir konu. Ciddi hazırlık süreci ve çok detaylı bilgi toplama aşaması gerekli. Çok yönlü bir saldırı bu, tek bir kişinin yapabileceği bir şey değil, “diyor Kayar.
Bu örneğin, APT saldırılarının gün geçtikçe tek kişilik tehditlerden çok yönlü suç örgütlerine, herkesin rollerinin belli olduğu şirket mekanizmalarına evirildiğinin en iyi göstergelerinden biri olduğunu söyleyen tecrübeli siber güvenlik uzmanına göre, bu tip büyük saldırı gruplarının destekçileri de en az onlar kadar büyük.
“Gerekli teknolojiyi nerden elde ediyorlar, bütçeyi nerden sağlıyorlar., kendilerini nasıl eğitiyorlar, bunlar hep soru işareti. Demek ki bir yerlerden bir gelir elde ediyorlar ya da onları destekleyen fonlar var, diyor Kayar.
Büyüyen tehdite karşı gelişen önlemler
APT saldırıları son yıllarda özellikle kamu kurumlarını, enerji, sanayi ve finans sektörlerini, büyük şirketleri, ve Telco operatörlerini hedef almakta.
Ciddi ölçüde maddi kayba, önemli bilgi sızıntılarına neden olan bu saldırıların önlenmesi ise Kayar’a göre çalışanların eğitilmesinden geçiyor.
“Mükemmel bir saldırı hazırlanmış bile olsa, insan tuzağa düşmediğinde saldırı başlayamaz,” diyor Kayar.
APT’de saldırılarına karşı korunmanın 7 adımdan oluşan bir yaklaşım modeli sayesinde daha kolay olabileceğini söylüyor Kayar.
“Planla, İzle, Tespit Et, Yakala, Analiz Et, Sonuçları Yayınla, ve Önlem Al adımlarıyla daha efektif bir savunma sistemi kurulabilir,” diyen Kayar’a göre, sağlıklı bir güvenlik organizasyonu kurulumu da kurumların bu tip saldırılara karşı daha dayanıklı olmasını sağlayan yöntemlerden.
Siber güvenlik organizasyonlarını kurum içinde barındırırken, APT tarzı saldırılara karşı savunma yapacak ekiplerin ‘güvenlik operasyonlarını yöneten ekip’ ve ‘bilgi güvenliği süreçlerini yöneten ekip’ diye ikiye ayrılması gerektiğini söylüyor Kayar.
“Güvenlik operasyonlarını yöneten ekip daha çok güvenlikle ilgili olan teknolojilerin, ürünlerin, sistemlerin kullanılması; bunların efektif bir şekilde yapılandırılması ve yürütülmesini sağlayan ekip olmalı,” diyor Kayar.
Kayar’a göre, ‘bilgi güvenliği süreçlerini yöneten ekip’ ise operasyonel görev almadan bir adım geride durup; mesaisini Ar-Ge teknolojilerine harcayan, siber güvenlik alanındaki gelişmeleri takip eden ve kurumlara yönelik tehditleri analiz etmeli.
“Bu mekanizmalara sağlandığı sürece kurumlar çok daha etkin savaşıyor durumda olacaktır APT saldırılarıyla,” diye ekliyor Kayar.
Türkiye de adımlar atmaya başladı
APT saldırılarına karşı Amerika, İsrail, Çin, Rusya ve İran dahil bir çok devlet farkındalığını arttırıyor, Kayar’a göre, Türkiye’de bu yolda adımlar atmaya başlamış.
“Bizde hareketlenme 15 Temmuz sonrası başladı ama istenilen seviyede değil henüz, biraz daha olgunlaşması gerekiyor.”
Son yıllarda Türkiye’de Bilgi Teknolojileri Kurumu (BTK) altında Ulusal Siber Olaylara Müdahale Merkezi (USOM) ve Sektörel ve Kurumsal Siber Olaylara Müdahale Ekiplerinin (SOME) kurulması gibi önemler adımlar atıldı.
Bu adımların oldukça umut verici olduğunu söyleyen Kayar’a göre, Türkiye’nin siber güvenlik alanında daha sistematik bir şekilde ve doğru bir dizaynla ilerlemesi önemli.
“Amaç siber güvenlik uzman sayısını arttırmak değil, bu uzmanların olgun bilgi seviyesine ulaşmış etkin insanlar olmalarını sağlayacak bir mekanizmayı kurmuş olmak olmalı,” diye ekliyor Kayar.
