Nesnelerin İnterneti (IoT) ve Siber Tehditler

İnternete bağlı olup veri toplayabilen ve aktaran cihazları tanımlayan Nesnelerin İnterneti (Internet of Things – IoT), günümüzün en yaygın teknolojik çözümleri arasında. Kullanım alanı internete bağlı kameralardan oyuncaklara, uçaklardan bulaşık makinelerine kadar geniş bir ölçeğe işaret ediyor. Akıllı çöp kutuları, akıllı gözlükler, akıllı sokak lambaları, sürücüsüz otobüsler, endüstriyel araçlar, termostatlar…

Kablosuz ağlar, işlemciler ve nano teknolojinin esas alındığı bu teknolojinin sınırları sabit de değil, sayıları sürekli artan teknolojik buluşlarla genişleyebilme özelliğine de sahip. Temelde en basit objelerden karmaşık ürünlere milyarlarca cihazda çeşitli özellikte sensörler ve ‘zeka’ mevcut.

Üstelik dünya nüfusundan çok daha fazla IoT cihazı kullanımda.

Araştırma kuruluşu Gartner’a göre 2020’de küresel ölçekte 12,8 milyarı tüketici elektroniği, 7,5 milyarı endüstriyel amaçlı olmak üzere 20,4 milyar IoT cihazı olacak. Bir diğer saygın kuruluş IDC’ye göre ise 2020’de IoT odağındaki harcamalar küresel düzeyde 1 trilyon doları aşacak.

Bir teknolojik kullanım trendi halini alan IoT, doğası gereği internete bağlı cihazlar demek. Bu kapsamdaki endişeler son derece ileri boyutlarda.

Çünkü IoT cihazları evinizde ya da otomobilinizde ne dediğinizden ne yaptığınıza kadar uzanan birçok kişisel veriye işaret ediyor. Şimdiye kadar karşılaşılan bazı gerçekler ise güvenlik açısından önemli sorunların söz konusu olduğuna işaret ediyor.

Örneğin geçtiğimiz yıllarda sonuçları yayınlanan bir araştırmada siber saldırganlar tarafından hack’lenebilecek 100 bin webcam’in kullanımda olduğu ortaya çıkmıştı.

Yine güvenilirliğinden emin olunmayan çocuk akıllı saatlerinin potansiyel güvenlik riskleri içerdiği gündeme gelmişti.

Peki IoT cihazlarının siber saldırıya uğraması sonucunda hangi veriler ele geçirilebilir?

Burada anlaşılır bir tablo çizilmesi yerinde olacak. İnternete birçok açıdan bağlanabilen temel seviyede bir akıllı evi baz alalım…

Akıllı kahve makinesinin çalıştırılma saati uyandığınız anı, akıllı müzik sisteminizde dinledikleriniz zevklerinizi, akıllı fırınınız ise hoşlandığınız yemekler hakkında veriler içerir. Bu verilerin kötü niyetli kişiler tarafından ele geçirildiği bir senaryoda hakkınızda küçük parçalarla ulaşılan kritik öneme sahip bir kişisel bilgi bütünü gündeme gelebilir.

Senaryoları artırmak son derece kolay. Kurumsal hayata yönelik bir konu olarak toplantı odasındaki akıllı iletişim araçları, bir şirketin gelecek planları hakkında kritik detaylar barındırabilir. Bu kurumsal verilere ulaşıldığını düşünün.

Ne yapılmalı? IoT güvenliği nasıl sağlanır? Bu soruların yanıtını, potansiyel riskleri tek tek ele alarak vereceğiz…

IoT’ye yönelik riskler

Sorunun temeli IoT cihazlarının saldırı ihtimalinin yüksek olması. Bunun nedeni ise;

• Her cihaz bir saldırı noktasına sahip olması,
• Mevcut ve yeni kablolu/kablosuz iletişim protokolleri,
• Karmaşık bağlantı yapıları ile bir araya gelmeleri şeklinde sıralanabilir.

IoT konusundaki öne çıkan konulardan biri kontrolsüz şekilde sayılarının artıyor olması. İnternete ve birbirine bağlı çok sayıda aygıt, buna kesinlikle paralel şekilde gelişen risk faktörü anlamı taşıyor.

Günümüz için sayıları 15 milyar bandına doğru yaklaşan yetersiz güvenlikli sensör ile uç cihazları, IoT altyapısını meydana getiriyor.

IoT cihazlarına yönelik siber saldırılar dendiğinde akla ilk gelenlerden biri 2016 yılı sonunda ortaya çıktı. Siber korsanlar çok sayıda IoT cihazını ele geçirdi ve Twitter, PayPal, AirBnb, Reddit gibi çeşitli platformlara DDoS saldırısı gerçekleştirdiler. IoT cihazlarının kontrolünün ele geçirilmesi konusu ise dramatikti; Mirai adı verilen botnet’i kullandılar, söz konusu kötü amaçlı yazılım fabrika ayarlarındaki ‘admin’, ‘12345’ gibi fabrika ayarlarındaki şifreleri dictionary attack (sözlük saldırısı) denen yöntemle buldu ve cihazların kontrolünü ele geçirdi. Brezilya’dan Karadağ’a, Tacikistan’dan Vietnam’a kadar 164 ülkedeki 50 bine yakın IoT cihazının ele geçirildiği kaydedildi.

Güvenlik sorununun temelini IoT cihazlarının siber güvenlik önlemleri ile donatılacak şekilde yapılmamış olmaları oluşturuyor. Siber güvenlik kuruluşu Symantec’in yayınladığı raporda IoT’ye yönelik tehditleri meydana getiren faktörler şöyle sıralanıyor;

• Cihazların parolalarının yaklaşık yüzde 50’si admin veya root, yaklaşık yüzde 10’u 12345 şeklinde. Varsayılan parolaların kullanımı risk unsuru durumunda.
• IoT cihazları yazılım güncellemelerini sürekli halde almıyor, bu da güvenlik açıkları kapatılmamış, güvenliği zayıf aygıtlar olarak kullanılmaya devam ettikleri anlamına geliyor.
• Ağırlıklı olarak cihazlar genellikle kaderine terk ediliyor. Kurulduktan sonra ikinci kez ayarlarına bakılması, şifresinin değiştirilmesi gibi gereklilikler söz konusu bile değil.

OWASP’ın 2014’te yayınladığı IoT’ye yönelik en önemli risk unsurları şöyle sıralanıyor;

• Güvensiz web arayüzü (web, mobil, bulut),
• Yetersiz kimlik doğrulama,
• Yetersiz yetkilendirme,
• Güvensiz ağ hizmetleri,
• İletim şifreleme ve bütünlük doğrulama eksikliği,
• Gizlilik sorunları,
• Yetersiz güvenlik yapılandırması, yazılım,
• Zayıf fiziki güvenlik.

Peki tehditlerden korunmak için neler yapılabilir?

IoT saldırıları her geçen gün artıyor. Bu kapsamdaki siber saldırılar nispeten yeni olduğu için verebilecekleri zararlar da tahmin edilenin çok ötesinde olabilir. Tehditleri ‘minimize’ edebilecek önlemler ise şu şekilde sıralanabilir:

• Satın almadan önce IoT cihazının güvenlik özellikleri ile ilgili araştırma yapın.
• Kullanımda olan IoT cihazlarınızın denetimini yapın.
• Varsayılan olarak yüklü kimlik bilgilerini (kullanıcı adı, şifre gibi) mutlaka değiştirin, sadece cihazlarınızın için değil internet ağınız için de belirli aralıklarla şifre güncellemeye önem verin.
• Kablosuz ağınızın şifresinin zorluk derecesinin yüksek düzeyde olmasına dikkat edin, tahmin edilebilir, basit (12345 gibi) şifrelerden kaçının. Güvenli parola stratejileri için kapsamlı ipuçlarına incelemek isterseniz buraya tıklayabilirsiniz.
• Eğer birçok özelliği bir arada sunan IoT cihazlarına sahipseniz kullanılmayacak olan fonksiyon ve hizmetleri kapalı tutun.
• Telnet kullanmayın.
• Mümkün olan yerlerde Secure Shell (SSH) kullanın. SSH, sunucuların uzaktan yönetimini mümkün kılan kriptografik ağ protokolüdür.
• IoT cihazlarındaki varsayılan olarak gelen gizlilik ve güvenlik ayarlarını ihtiyaçlarınızı baz alarak düzenleyin.
• İhtiyaç olmadığı zamanlarda IoT cihazlarına uzaktan erişimi kapalı tutun. Koruma altına alın.
• Mümkün olan noktalarda kablosuz ağ yerine kablolu ağ kullanın.
• Güncellemelere önem verin, üreticinin web sayfasını belirli aralıklarla ziyaret ederek yayınlanan güncellemeleri cihazınıza yükleyin.