Ersin Uyar
HPE Aruba Türkiye Ülke Müdürü
Nesnelerin İnterneti (IoT) kullanan şirketlerin ve iş ortaklarının güvenliği her bir cihaz seviyesinde sağlayıp, bunu en iyi şekilde tesis edebilmelerinin iki yolu vardır: Cihazların takibini yapmak ve ağı korumak. Cihazlar denkleme girdiğinde şirketler de tedbirli olmalıdır. En son yayımlanan yamalar, mümkün olan en kısa sürede uygulandığı müddetçe güvenlik açıkları gözden kaçırılmayacaktır. Yamayı indirdiğiniz ve saldırganın ‘keşfedildiği’ an arasındaki süreyi azaltmak, siber saldırılardan kendinizi korumanın en iyi yoludur.
Ağ söz konusu olduğunda, zararlı yazılım tutunacak bir cihaz arar ve ardından içeriye bulaşmaya çalışır. Bunu önlemek için, IT ekipleri her bir IoT cihazına yalnızca ihtiyaç duyduğu cihazlarla iletişime geçme izni verdiğinden emin olmalıdır. Şirketler ağlarını ve yazılım temelli politikalarını bölümlere ayırmalı ve ipleri sıkı tutmalılar.
IoT’de En Temel Tehditler
En temel tehdit aslında IoT pazarının ta kendisidir. Küçük IoT cihazlarının geliştirilmesi nispeten daha ucuzdur; bu durum da her gün yeni “nesneler” geliştiren startup’lar için yeni yeni filizlenen bir ekosistem yaratmıştır. Her ne kadar IoT hakkında yıllardır konuşsak da bu, büyük oyuncuların halen kan kaybettiği görece yeni bir pazar. Bugün pazarda gördüğümüz üreticiler ya daha yeni “nesnelere” kayacak ya da pazardan tamamen kaybolacak. Gerçek risk, bu cihazların kullanımda kalarak (bazen varlıklarını unuttuğumuz için) güvenlik açıklarının saldırganlar karşısında savunmasız bırakılmasına yol açmasıdır çünkü yamaları geliştiren kimse yoktur.
Bir diğer tehdit de şirket davranışlarından kaynaklanır. IoT cihazları genellikle operasyonel teknolojilerin (OT) kapsamının gölgesinde kalır. OT’lerde “Eğer bozulmadıysa düzeltmeye gerek yoktur” anlayışı hakimdir ve 24 saat aralıksız çalıştıkları rutinlerinde güncellemeleri yapmak için her zaman vakitleri yoktur. Bu durum, güvenlik açıklarının açığa çıkmasıyla yamanın uygulanması arasındaki süreyi uzatır.
Ayrıca çoğu şirket ağlarına hangi cihazın bağlandığını yüzde yüz bilemez. Çalışanların kendi cihazlarını iş yerine getirmesinin bunda rolü elbette var. Fakat IoT cihazlarının düşük maliyeti ve kullanım kolaylığı, IT ekiplerinin konuya dahil olmasını engeller ve bu, operasyonel süreci yürütenlerin tek başına kalmasına yol açar.
Buna ilave olarak, ağlardaki mikro segment uygulamasının geçmişinden kalan karmaşıklık, siber saldırıların içeride yayılmasını önlemek için yetersiz kaldığı anlamına gelir. Bu, ağınıza neyin bağlandığını bilmemek ve saldırının yayılmasını önleyememenin toksik bir birleşimidir.
Yapay zeka ve makine öğrenimi kullanan, ağa hangi cihazın bağlandığını ve bu cihazın yanlış davranıp davranmadığını anlamaya yarayan Aruba ClearPass Device Insights gibi yeni araçlar mevcut. Bu çözüm, hangi cihazların birbirleriyle nasıl konuştuklarını izne tabi tutan politikaların sıkıca uygulanmasına olanak tanır. Aruba ClearPass politika yöneticilerinin çok daha sıkı uygulamalar ortaya koymasını ve ağınızın yapılandırmalarla değil, politika temelli çalışmasını mümkün kılar. Böylece herhangi bir cihaz herhangi bir yere bağlanabilir. Ağ bu cihazları tanımlar, profillemeye tabi tutar, olağan dışı davranışlar algılandığında uyarı verir ve yalnızca gerekli iletişime izin veren bir politika uygular.
Birçok şirket için zorluk, işe en doğru yerden başlamamalarından kaynaklanır. Birçoğu ağlarını segmentlere ayırmazlar, tek bir ürün tedarikçileri vardır ve son 20 yıldır kurdukları ağ altyapılarını yapılandırma yolunu seçerler. Bu yaklaşım yenidünyaya adım atanlar için yüklü bir maliyet demektir.
Bu değişiklikleri benimsemek için bir zihniyet değişimi gerekiyor. Bununla beraber, işleri koruma yolunda atılacak bazı pratik adımlar var. Öncelikle, ağda hangi cihazın olduğunu bilmek… Bu bilgiye sahip olunduğu müddetçe hangi cihaza izin verilip verilmediği hakkında bilinçli bir karar verilebilir ve erişim kısıtlanmaya başlanabilir.
Aynı zamanda, açık standartların benimsenmesi gerekiyor. Birçok şirketin daha önceden harekete geçmemesinin sebebi sadece şirket içerisinde kullanılan standartlara tabi olup, gerekli güncellemeleri yapmamalarıdır.
Son olarak şirketler, IT ekibi ve operasyonel süreci yürütenler arasında iş birliğine dayalı bir ortaklık yaratmalıdır. Operasyonel ekipler ‘kendi ürettikleri çözümler ile süreci yönetme’ yaklaşımını geride bırakıp, farklı ihtiyaçlara yönelik güvenlik politikaları ve araçları uygulamaya koymalıdır.
