-
Sadrazamv4
instagram:sadrazam.spy Tg:Sadrazamv4
Yıllarca endüstriyel tesislerin yöneticileri şu cümleye sığındı: “Bizim fabrikadaki sistemlerin ve cihazların ağ ile bir bağlantısı yok, o zaman güvendeyiz”; bu cümleye hatırlarsanız zaten önceki bölümlerde de değinmiştim ve tekrar diyorum ki hiç de öyle değil. Ve biz bu sistemlerin internetle hiçbir bağının olmaması durumuna Air-Gap(Hava Boşluğu) diyoruz.
Teoride bu laf süper, ancak pratikte koca bir illüzyondan ibarettir. Çünkü günümüz dünyasında bir sistemi hacklemek için illaha o sistemin internete bağlı olmasına ihtiyaç yoktur. Bakalım bir bu durumu tehtid eden tehtid aktörlerine ve sızma vektörlerine:
Nation States (Devlet Destekli Siber Ordular)
Devlet destekli ordular siber güvenliğin en büyük ve en tehlikeli aktörüdür. Arkalarında bir devletin sınırsız bütçesi, istihbarat servisleri ve yıllarca süren araştırma-geliştirme gücü vardır.
Amaçları ise genel olarak para çalmak değil, genelde jeopolitik bir üstünlüktür. Savaş veya kriz anında bir ülkenin suyunu veya elektriğini veya başka herhangi bir kritik altyapısını işlevsiz hale getirmek amaçları arasındadır. Bunun için de sızdıktan sonra bile sızdıkları sistemin içerisinde uzun bir süre beklemek durumundadırlar. ICS ile pek işleri olmaz; genel olarak amaçları casusluktur ancak APT29(Cozy Bears) bu sızma ve uzun süre bekleme konusunda verebileceğimiz en iyi APT grubudur diyebilirim. Doğrudan kritik altyapı çökertme gücü olan gruplar arasından örnek verecek olursak ise yine Rus menşeylı bir grup olan Sandworm’u(2015 Ukrayna elektrik kesintisinden sorumlu olduğu grup olarak düşünülür) veya çin menşeylı bir grup olan Volt Typhoon’u örnek gösterebiliriz. Uzatmayacağım burayı, ancak daha detaylı öğrenmek isterseniz MITRE orijinal sitesinde grupları tüm detayları ile araştırabilirsiniz.
Insider Threats (İçerideki Tehlike)
En çok gözden kaçan ama en ölümcül tehtiddir. Şirketin kendi çalışanları, sistem yöneticileri veya tesise bakım yapmaya gelen taşeron mühendislerdir.
Amaçları duruma göre değişebilir ancak örnek verecek olursak şirkete kızgın ve intikam almak isteyen eski bir çalışan veya rakip firmadan rüşvet almış bir ajan olabilir. Cihazların yerini ve zafiyetlerini zaten bildikleri için savunması en zor aktörlerdir. Edward Snowden olayında da görmüştük zaten bunun olabileceğini en yakın örnek olarak.
Cyber Criminals & Ransomware Gangs (Siber Mafyalar)
Son yıllarda OT dünyasına dadanan, motivasyonu tamamen para olan suç örgütleridir.
Amaçları ve mantıkları ise genel olarak basittir. Sistemi, gönderdikleri bir fidye yazılımı(Ransomware) ile kilitlerler ve karşılığında sistemi yeniden açmak için sizden para isterler.
Saldırı Vektörleri: İçeri Nasıl Sızıyorlar?
Düşmanları tanıdık. Peki bu adamlar o sıkı korunan, interneti olmayan tesislere nasıl sızıyor? İşte en popüler sızma yöntemleri şunlardır bunun için:
Air Gap'i Delen Sihirli Değnek: USB Bellekler ve Taşınabilir Cihazlar
Sistemlerin interneti yok dedik de ama o PLC’lere yeni kod yüklemek, güncel yazılımları atmak veya logları toplamak için sahaya birilerinin girip çıkması gerekiyor. Mühendisler yanlarında getirdikleri USB bellekleri, harici diskleri veya test cihazlarını doğrudan kritik sistemlere takarlar. Ve eğer o USB’nin içerisine internete bağlı bir bilgisayar vesilesi ile bir virüs bulaştı ise eğer, o yazılım hava boşluğunu delerek geçer ve fabrikanın içerisine bulaşmış olur. Dünyanın ilk siber silahı ve siber savaş çağını başlatan silah olarak kabul edilen Stuxnet’te Natanz uranyum zenginleştirme tesisine tam olarak bu şekilde sızmıştı zaten.
Supply Chain (Tedarik Zinciri Saldırıları)
Bir tesisi doğrudan hackleyemiyorsan, o tesise mal veya hizmet satan şirketi hacklersin. Fabrikalar tüm yazılımları ve donanımları dışarıdaki dev üreticilerden veya yerel entegratörlerden alır.
Saldırganlar bu üreticilerin sistemlerine sızıp, cihazlara gönderilecek olan resmi güncellemelerin içine kendi zararlı kodlarını gömerler. Fabrika kendi eliyle orijinal güncelleme yaptığını sanarak virüsü sistemin en derin katmanına yükler.
Remote Access (Uzaktan Erişim ve Bakım Tuzakları)
Fabrikalardaki devasa bozulduğu veya bakıma ihtiyaç duyulduğu zaman, yurt dışındaki üretici firmanın mühendislerinin sisteme bağlanması gerekir. Bunun için içeriye VPN hatları veya uzaktan masaüstü bağlantıları açılır.
Bu uzaktan erişim hesaplarının şifreleri genellikle zayıftır veya 2FA barındırmaz. Saldırganlar bu giriş bilgilerini ele geçirerek, ellerini kollarını sallayarak sanki bir bakım mühendisiymiş gibi bu şekilde içeri sızarlar.
Klasik Malware ve IT Üzerinden Sıçrama (Pivot)
Saldırı genellikle OT ağında başlamaz. Saldırgan ilk önce 4.Katmandaki bir çalışana oltalama e-postası atar. Bilgisayarı ele geçirdikten sonra ağ içerisinde yatay ilerleyerek iDMZ’deki açıkları arar. Oradan da Historian veya Mühendislik bilgisayarı üzerinden aşağıya, yani fabrikaya sıçrar.
Teoride bu laf süper, ancak pratikte koca bir illüzyondan ibarettir. Çünkü günümüz dünyasında bir sistemi hacklemek için illaha o sistemin internete bağlı olmasına ihtiyaç yoktur. Bakalım bir bu durumu tehtid eden tehtid aktörlerine ve sızma vektörlerine:
Nation States (Devlet Destekli Siber Ordular)
Devlet destekli ordular siber güvenliğin en büyük ve en tehlikeli aktörüdür. Arkalarında bir devletin sınırsız bütçesi, istihbarat servisleri ve yıllarca süren araştırma-geliştirme gücü vardır.
Amaçları ise genel olarak para çalmak değil, genelde jeopolitik bir üstünlüktür. Savaş veya kriz anında bir ülkenin suyunu veya elektriğini veya başka herhangi bir kritik altyapısını işlevsiz hale getirmek amaçları arasındadır. Bunun için de sızdıktan sonra bile sızdıkları sistemin içerisinde uzun bir süre beklemek durumundadırlar. ICS ile pek işleri olmaz; genel olarak amaçları casusluktur ancak APT29(Cozy Bears) bu sızma ve uzun süre bekleme konusunda verebileceğimiz en iyi APT grubudur diyebilirim. Doğrudan kritik altyapı çökertme gücü olan gruplar arasından örnek verecek olursak ise yine Rus menşeylı bir grup olan Sandworm’u(2015 Ukrayna elektrik kesintisinden sorumlu olduğu grup olarak düşünülür) veya çin menşeylı bir grup olan Volt Typhoon’u örnek gösterebiliriz. Uzatmayacağım burayı, ancak daha detaylı öğrenmek isterseniz MITRE orijinal sitesinde grupları tüm detayları ile araştırabilirsiniz.
Insider Threats (İçerideki Tehlike)
En çok gözden kaçan ama en ölümcül tehtiddir. Şirketin kendi çalışanları, sistem yöneticileri veya tesise bakım yapmaya gelen taşeron mühendislerdir.
Amaçları duruma göre değişebilir ancak örnek verecek olursak şirkete kızgın ve intikam almak isteyen eski bir çalışan veya rakip firmadan rüşvet almış bir ajan olabilir. Cihazların yerini ve zafiyetlerini zaten bildikleri için savunması en zor aktörlerdir. Edward Snowden olayında da görmüştük zaten bunun olabileceğini en yakın örnek olarak.
Cyber Criminals & Ransomware Gangs (Siber Mafyalar)
Son yıllarda OT dünyasına dadanan, motivasyonu tamamen para olan suç örgütleridir.
Amaçları ve mantıkları ise genel olarak basittir. Sistemi, gönderdikleri bir fidye yazılımı(Ransomware) ile kilitlerler ve karşılığında sistemi yeniden açmak için sizden para isterler.
Saldırı Vektörleri: İçeri Nasıl Sızıyorlar?
Düşmanları tanıdık. Peki bu adamlar o sıkı korunan, interneti olmayan tesislere nasıl sızıyor? İşte en popüler sızma yöntemleri şunlardır bunun için:
Air Gap'i Delen Sihirli Değnek: USB Bellekler ve Taşınabilir Cihazlar
Sistemlerin interneti yok dedik de ama o PLC’lere yeni kod yüklemek, güncel yazılımları atmak veya logları toplamak için sahaya birilerinin girip çıkması gerekiyor. Mühendisler yanlarında getirdikleri USB bellekleri, harici diskleri veya test cihazlarını doğrudan kritik sistemlere takarlar. Ve eğer o USB’nin içerisine internete bağlı bir bilgisayar vesilesi ile bir virüs bulaştı ise eğer, o yazılım hava boşluğunu delerek geçer ve fabrikanın içerisine bulaşmış olur. Dünyanın ilk siber silahı ve siber savaş çağını başlatan silah olarak kabul edilen Stuxnet’te Natanz uranyum zenginleştirme tesisine tam olarak bu şekilde sızmıştı zaten.
Supply Chain (Tedarik Zinciri Saldırıları)
Bir tesisi doğrudan hackleyemiyorsan, o tesise mal veya hizmet satan şirketi hacklersin. Fabrikalar tüm yazılımları ve donanımları dışarıdaki dev üreticilerden veya yerel entegratörlerden alır.
Saldırganlar bu üreticilerin sistemlerine sızıp, cihazlara gönderilecek olan resmi güncellemelerin içine kendi zararlı kodlarını gömerler. Fabrika kendi eliyle orijinal güncelleme yaptığını sanarak virüsü sistemin en derin katmanına yükler.
Remote Access (Uzaktan Erişim ve Bakım Tuzakları)
Fabrikalardaki devasa bozulduğu veya bakıma ihtiyaç duyulduğu zaman, yurt dışındaki üretici firmanın mühendislerinin sisteme bağlanması gerekir. Bunun için içeriye VPN hatları veya uzaktan masaüstü bağlantıları açılır.
Bu uzaktan erişim hesaplarının şifreleri genellikle zayıftır veya 2FA barındırmaz. Saldırganlar bu giriş bilgilerini ele geçirerek, ellerini kollarını sallayarak sanki bir bakım mühendisiymiş gibi bu şekilde içeri sızarlar.
Klasik Malware ve IT Üzerinden Sıçrama (Pivot)
Saldırı genellikle OT ağında başlamaz. Saldırgan ilk önce 4.Katmandaki bir çalışana oltalama e-postası atar. Bilgisayarı ele geçirdikten sonra ağ içerisinde yatay ilerleyerek iDMZ’deki açıkları arar. Oradan da Historian veya Mühendislik bilgisayarı üzerinden aşağıya, yani fabrikaya sıçrar.
