Akıllı binalar, ne kadar akıllı, ne kadar güvenilir?

Kuşatma yazılımlarını daha önce hiç duymuş muydunuz? Bu tür bir fidye yazılımı oldukça uzun bir süredir ortalıkta dolaşıyor, ancak nadiren konuşuluyor. Akıllı binalara yönelik saldırılar henüz pek yaygın olmasa da her geçen gün artan fidye yazılımı saldırıları bu durumu değiştirebilir. Kuşatma yazılımları hakkında daha fazla bilgi edinin ve bu tehditten nasıl kurtulabileceğinizi öğrenin.

Bir akıllı binayı kontrol ettiğinizi düşünün. Bu akıllı bina bir ofis, bir apartman, hatta bir hastane bile olabilir. Birdenbire sorunların ortaya çıktığını düşünün. Kapılar kilitlenmiyor ya da açılmıyor, ısıtma sistemleri kontrolden çıkıyor veya asansörler ara katlarda takılı kalıyor. Kontrol sistemi yanıt vermeyebilir ve hemen bir fidye ödemenizi isteyen, aksi takdirde sistemin devre dışı kalacağını söyleyen bir mesajla karşılaşabilirsiniz. Kulağa pek gerçekçi gelmiyor mu? Akıllı binaları hedef alan bir tür fidye yazılımı olan kuşatma yazılımı saldırısının ortaya çıkmasıyla birlikte, insanlar bu senaryonun gerçek olduğunu bilmelidir. Akıllı bina operatörleri ve sahipleri bu tehdite alışmalı ve buna yönelik uygulayacakları stratejiyi hazırlamalıdır.

Fidye yazılımlar, kuşatma yazılımlarına dönüşüyor

Artış gösteren IoT (nesnelerin interneti) ile birlikte siber suçlular da birisinin mülkünü kolayca ele geçirip bunu şantaj için kullanabilir. Bu şantajı da bilgisayarlar, telefonlar veya arabalar üzerinden yapabilirler. Akıllı binalar durumunda ise bunlar jaklar üzerinden yapılmaktadır. Kuşatma yazılımları, ağ tabanlı bir binanın dijital sistemlerini suistimal ederken bazı durumlarda ise elektriği keserek, asansörleri devre dışı bırakarak, klimaları kapatarak ya da bunların hepsini aynı anda yaparak kaos oluşturmak için söz konusu erişimi kullanır. Bina sahibine de ancak büyük bir fidye ödedikten sonra kontrolü geri alacağı söylense de bu her zaman sorunu çözmez. Geçmişte suçlular kuşatma yazılımlarını kullandıktan sonra nadiren virüs bulaştırılmış sistemleri sahibine teslim etmiştir. Bazıları kuşatma yazılımlarının uydurma olduğunu düşünebilir ama bu tehdit epey bir zamandır hayatımızda yer alıyor.

Uzaktan erişim: Bir rahatlık mı yoksa tehlike mi?

Otomasyon ve bağlantı seviyesinin artmasıyla birlikte “binaları esir almak” da çok kolay hale geliyor: Tüm özellikleri tam olarak kontrol edebilmek için saldırganların “sadece” internet üzerinden BAS’ı ele geçirmesi gerekiyor. Saldırganlar, düşük maliyetle rahatlığı arttırması beklenen uzaktan bakımın sunduğu imkanlardan faydalanıyor. Günümüzde teknisyenler, ülkenin herhangi bir yerinde bulunan merkezi komuta masasından sorunları çözebilir veya yeni ayarlar oluşturabilir. Uzaktan erişim güvenlik için değil de performans için tasarlandığında bu durum sorun haline geliyor. Üreticiler genellikle sadece erişim koruması olarak bir kullanıcı adı ve şifreden oluşan basit bir kombinasyona güveniyor. Tasarım gereği güvenlik, kaba kuvvet saldırılarına karşı savunma mekanizmaları veya çok faktörlü kimlik doğrulaması (MFA) daha fazla güvenlik sağlasa da bu yöntemler maliyetlerinden dolayı genellikle göz ardı ediliyor.

Kurban bulmak çok kolay

Siber suçlular kurbanlarını nasıl buluyor? “Shodan” (www.shodan.io) isimli arama motoru bunu çok kolay hale getiriyor. Bir “BAS” araması, dünya genelinde halka açık internet üzerinden ulaşılabilecek yaklaşık 11.095 muhtemel hedef ortaya çıkarıyor. 6 Haziran 2022 tarihi itibariyle bunların 1.162’si ise ABD’de bulunuyor. Bu hedefler düzgün bir şekilde listelenmekle birlikte IP adreslerinden SSL bilgilerine ve kullanılan modeme kadar birçok ek bilgi de bu hedeflerle birlikte ortaya çıkıyor. 2015’te Michigan Üniversitesi’nin geliştirdiği Censys arama motoru, Shodan gibi çalışmakta ve ne yazık ki bilgisayar korsanlarının internete bağlı cihazları kolayca bulmasını sağlamaktadır.

Bu bilgi ve kurban listesi ile bir saldırganın karşısında neredeyse hiçbir engel kalmamış oluyor. En basit durumda bile saldırganlar, ilgili sistem türüne yönelik uygun şifre ile standart kullanıcı adlarını kullanarak erişim kazanmaya çalışır. Farklı sistemler için varsayılan kimlik bilgileri çevrimiçi olarak bulunabilir ve ne yazık ki birçok BAS operatörü daha güvenli bir erişim çözümü bulmadan bu varsayılanları kullanmaya devam ediyor. Kimlik bilgileri değiştirilmiş olsa bile, çoğu zaman bir bildirim sistemi yoktur veya başarısız giriş denemelerinin sayısı için bir sınır yoktur, bu da siber suçluların başarılı olana kadar tekrar tekrar hesapları ele geçirmeye çalışmasına olanak tanır.

Bilgisayar korsanları, karanlık ağdan elde edilmiş en sık kullanılan bilgilerden faydalanabilir ya da kaba kuvvet ve/veya oturum hesabı kırma yöntemlerine başvurabilir. Oturum hesabı kırma yöntemleri oldukça popülerdir ve internette kolayca bulunabilir. Ayrıca gittikçe daha gelişmiş ve başarılı hale gelmekle birlikte genellikle daha az çaba gerektirirler. Sonuç olarak kuşatma yazılımı saldırıları, kapsamlı bilgisi olmayan ortalama siber suçlular tarafından bile gerçekleştirilebilir.

Güvenliği kontrol altına alın

Kuşatma yazılımları riskini nasıl azaltabilirsiniz? Gelecekte yapılması gerekenleri belirleyecek başlıca iki önemli soru bulunuyor: Bina teknoloji otomasyonunun seviyesi ne kadar yüksek ve erişim ne kadar iyi korunuyor? Müteahhitler, mülk yöneticileri ve yükleniciler bir araya gelip güvenlik ve uzaktan erişim sorunlarını tartışmalıdır. İnternet tabanlı oturum açma üzerinden uzaktan erişime sahip olmak her zaman kullanışlı olsa da yöneticilerin/bina sahiplerinin muhtemel tehditler konusunda genellikle pek bir bilgisi bulunmuyor.

Durumun tüm tarafları BAS kullanırken kendilerine aşağıdaki soruları sormalıdır:

• Varsayılan oturum açma bilgilerini benzersiz bir oturum açma bilgisi ve şifreden/paroladan oluşan daha güvenli bir kombinasyonla değiştirdik mi?            
• Oturum açma bilgileri için bir güvenlik duvarı var mı?
• Erişim, çok faktörlü kimlik doğrulama ile korunuyor mu?
• Başarısız oturum açma girişimleri için engelleme de dahil olmak üzere bir kısıtlama var mı?
• Herhangi bir başarısız oturum açma girişimi için bir bildirim alıyor muyuz?
• BAS’a sınırlı sayıda insan mı erişim sağlıyor?
• Tedarikçiyle, yazılımlarımızı düzenli olarak güncelleme komutu veren bir bakım sözleşmemiz var mı?
• Bağlantı gereksiz olduğunda sistemin internetten bağlantısını kesiyor muyuz?
• Herhangi bir sorun sırasında kiminle iletişime geçmemiz ve ne yapmamız gerektiğini bildiğimiz etkili bir kriz müdahale planı hazırladık mı?

Tüm bu sorulara cevabınız hayır ise kullandığınız BAS’ın siber saldırılara karşı savunmasız olması muhtemeldir. Rahatsızlığa yol açmanın yanı sıra, bir kuşatma yazılımı saldırısıyla uğraşmak büyük miktarlarda paraya mal olabilir ve olay kamuoyunda tartışılırsa, saldırıya uğrayan şirket güvenilmez veya güvensiz olarak görülebilir. Bina sahipleri de yasal yaptırımlar ve yüksek para cezalarıyla karşılaşabilir. Kısacası kuşatma yazılımı saldırıları, sadece birkaç kapıyı kilitlemekten ya da kısa bir süreliğine ısıtma sistemini kapatmaktan çok daha büyük etkilere yol açar. Risklerin farkında olmak ve kullandığınız BAS’ı korumak için gereken her şeyi yapmak her zaman işe yarar.