Huzeyfe Önal (BGA) – Röportaj

Dünyadaki Siber Güvenlik sektörünün gelişimi ve durumunu nasıl buluyorsunuz?

İlk zamanlar basit bir e-posta hesabı çalmak gibi görünen siber suçlar, günümüzde dünyanın süper gücü Amerikan devlet başkanının ulusa sesleniş konuşmasında yer edinecek kadar önemli bir hale gelmiştir.

Ülkemizde bu konuda yapılmış ciddi çalış­malar olmasa da dünya gündemini takip eden uzmanlar için çarpıcı örnekler son yıllarda dikkat çekmeye başladı.

Bu konuda en önemli örneklerden bir tane­si Güney Kore’dir. Güney Kore teknolojinin en gelişmiş olduğu ülkelerden biridir.

Artık seçimler Güney Kore’de İnternet üze­rinden yapılıyor. Bir seçimin sonucunda iktidar partisinin lideri tekrar başkanlığa oturuyor ve oy sayımlarında muhalefet oylarının yüksek olduğu şehirlerde oylamaya katılımın oldukça düşük olduğu dikkat çekiyor.

Birkaç gün içinde iktidar partisinin seçimlere şaibe karıştırdığı, online oylama sistemlerine siber saldırı düzenleterek muhalefetin oylarının yoğun olduğu noktalarda oy kullanımını yavaşlat­mak için bir hackerla anlaştığı ortaya çıkıyor. Başkanlığı şaibeye düşen lider, gelen somut veri­ler ve baskılar üzerinde itiraf ederek istifa ediyor.

Bu olay dünya tarihine “siber saldırıyla başkanlığa gelip siber itirafla giden ilk devlet başkanı” olarak kayıt edilmiştir.

Hollanda’nın en önemli bilişim ve güvenlik firmalarından birisi, İranlı genç bir hacker olduğu iddia edilen bir siber saldırgan tarafından gerçekleşen siber saldırı sonrası iflas ediyor.

İflas eden firmanın 2010 yılı mali ve finansal yapısı incelendiğinde 30 Milyon USD’lık değeri olduğu belirtiliyor. Yıllarca süren bir emek ve çalışma sonrası oluşturulan şirket bir hafta için­de yapılan siber saldırı sonrası iflasa sürükleni­yor.

Bu olay da dünya tarihine “siber saldırı sonrası iflas eden ilk firma” şeklinde geçmiştir. Siber suçluları kategorize eden çeşitli akademik çalışmalar yayınlanmıştır. Bunların arasında en gerçekçi sonuçları incelediğimizde üç tip profil karşımıza çıkıyor. Birinci profil siber zarar verme amacı olmaksızın eğlence amaçlı bu işi yapan­lar ve çok fazla tehlikeli olmayanlardır.

İkinci tip profil ise ticari bir amaç gütmeksi­zin siber saldırı yapan ve genellikle muhalefet etme davranışı olarak karşımıza çıkmaktadır. Bu profildeki siber saldırganların büyük çoğunluğu gündüz normal işinde başarılı bir IT çalışanı ya da bilişimden anlayan bir meslek erbabı, mesai saati sonrası zamanlarda ise profesyonel bir siber saldırgan ya da kendi deyimleriyle Siber aktivist haline geliyor.

Üçüncü profil ise aslında siber savaş, siber casusluk kelimelerinin anlam bulmasına sebep olan kişilerdir. Bu kişiler genellikle bir devlet veya şirket tarafından desteklenen, kimi zaman devlet bünyesinde çeşitli görevlerde çalışan insanlardan oluşmaktadır ve işleri daha çok de­vletler arası istihbarat savaşlarında bilgi çalma veya savunma olarak tanımlanmaktadır.

Türkiye siber güvenlik sektörünün ve gelişimini nasıl değerlendiriyorsunuz?

Dünya’da, ülke olarak en başarılı(!) olduğumuz konular arasına siber saldırılar giri­yor. Ülkemizdeki genç nüfusun büyük çoğunluğu bilgisayarla ilk tanışmadan sonra siber dünyaya hackerlık merakıyla adımını atarak başladığını görüyoruz.

Bu kişilerin bir kısmı bu dünyanın cazibes­ine kapılarak profesyonel suç örgütlerinin ara elemanları ve maşası olarak kullanılmakta, bir kısmı ise kendisini uzmanlaştırıp profesyonel olarak bu işi yapmaya devam ediyor.

Türkiye siber güvenlik alanında ne du­rumda? Sektörün gelişimi için neler yapılması gerekiyor?

Uluslararası siber güvenlik firmaları ve Microsoft tarafından gerçekleştirilen yıllık düzenli çalışmalarda Türkiye’deki bilgisayar kullanıcılarının %60’ının kullandığı sisteme yılda en az bir kere istem dışı işler yapan zararlı yazılımların çalıştığı raporlanmıştır.

Bu oranın bu kadar yüksek çıkmasındaki en temel etken Türkiye’de bilinçli internet ve bilgisa­yar kullanım oranının düşük olmasıdır. Bilgisa­yar programlarının maliyetlerinin yüksek olması ve buna bağlı olarak artan “crackli program” kullanımı da bilgisayarlara zararlı yazılımların bulaşmasını sağlayan önemli etkenlerden biri olarak karşımıza çıkıyor. Sonuç olarak siber suçlara davetiye çıkarıyor.

Bir kullanıcının lisanslı yazılım kullanmadan ve bilgisayarındaki işletim sistemini güncel tutmadan internete çıkması aslında “gece karanlığında farsız araba kullanmaya” benzer. Ne kadar dikkatli olursa olsun mutlaka “kaza yapacak” yani bilgisayarına istem dışı zararlı yazılım yüklenecektir. Yapılan son araştırmalarda internete korunmasız açılan bir sistemin hack­erlar tarafından ele geçirilme süresi 17 dakika olarak kaydedilmiştir, bu noktadaki en önemli etken bilgisayar kullanıcılarının “kim benim bilgisayarıma ne yapsın” düşüncesi ile ortaya çıkıyor.

Dünya üzerinden binlerce siber saldırgan otomatik olarak internete bağlı sistemleri taram­akta ve korunmasız olanlarını avlamaktadır. Bu avlanan sistemlere zombi adı verilmekte ve av­lanan sistemler kötü niyetli kişilere Botnet olarak satılmaktadır. Ülkemizde de bu sıklıkla görülen bir durumdur.

Geçtiğimiz yıl sonu gerçekleştirilen siber saldırılar, siber güvenliğin sorgulanmasını ve gündeme gelmesini sağladı. Bu durum ve yaratacağı etkiler hakkında neler söyleyebi­lirsiniz?

Malum ülke olarak zor günlerden geçiyoruz. Gerek kişisel gerekse de kurumsal bazda siber saldırılarda büyük bir artış görüyoruz.

DDOS (distributed denial of service attack) saldırıları dağıtık bir şekilde, farklı lokasyon ve sahte IP adresleri kullanılarak yapılıyor. Bu saldırı türünün amacı, aynı anda binlerce isteğe cevap verebilecek kapasitede bir sunucuyu, kapasitesinden kat ve kat fazla istek göndere­rek etkisiz ve erişilemez bir hale getirmektir. Bu sayede sunucu, gelen istekleri karşılayamaz ve hizmet dışı kalır. DDOS saldırılarının en tehli­kelisi olarak görülen Amplification (yükseltme) tekniği ile saldırı etkisi katlanarak artırılabiliyor.

Saldırgan bir tane istek gönderiyor, karşı taraf buna cevap verirken isteği 10-20 veya 50 kata ka­dar arttırabiliyor. Bu da saldırıların, saldırganlara maliyetini düşürerek hedefe olan yükü artırıyor.

Saldırı alan kurum ve kuruluşların da aynı zamanda bu tekniğin bir sonucu olarak saldırgan gibi davranıyor. Bu saldırı tekniğinde kaynağı bulmak pratikte imkânsız. Dağıtık saldırıların çözümü yük dağıtmadır, saldırgan dağıtık ge­liyorsa siz de merkezi olarak korunmak yerine saldırıları karşılayacak dağıtık bir sistem kur­malısınız. Root DNS sunucularına gelen saldırılar kapasite olarak en büyük saldırı olarak görülebilir ancak hemen hemen hiç etkilenmediler. Türkiye tarihinde bir ilk olan siber saldırının gerçek hayatı etkilediğini görüyoruz. Yapılan saldırı sonucunda dün bazı bankaların web sayfalarına erişim dur­du. POS cihazlarının etkilenmesi ile gerçek hayatta bazı ödeme noktalarında vatandaşın sıkın­tılar yaşadığına şahit olduk.

Siber saldırıların önemli bir tehdit olduğu bilincinin de gelişmesi ile birlikte önümüz­deki dönemde bu konuna daha fazla önem verileceğini düşünüyor musunuz?

Bu tarz saldırılar her zaman bize bir ders ni­teliği taşımaktadır. Verilen zararlar artıkça siber güvenlik konusunda daha da dikkatli yaklaşıl­dığını ve önlemler alındığını görüyoruz. Umarız ki bu tarz saldırılar olmadan önce ülke olarak savunma sistemlerimizi geliştirebiliriz.

Siber güvenlik sektörünün gelişimi nok­tasında devletin yapması gerekenler ve atması gereken adımlar sizce nelerdir?

Teknolojinin gerçek dünyamıza bu kadar yansıdığı şu günlerde, Siber Güvenlik kon­usunda ülke olarak “bilgi güvenliği farkındalığı” oluşturmamız gerekiyor ve bu konuda uzman­lar yetiştirmek zorundayız. BGA olarak birçok noktada bu konunun üzerine eğiliyor uzmanlar yetiştiriyoruz. Ancak Üniversitelerimizin de bu konuda öncü olması gerektiğini düşünüyoruz.

Siber güvenlikte yerli ürünler ve geliştir­meler ne düzeyde ve bunlar sizce yeterli mi?

Maalesef ki siber güvenlik konusunda yerli ürünler henüz istenildiği kapasiteye ulaşmış veya yeterli değil. Ancak bu konuda çalışma ve AR-GE yapan firmalar olduğunu görüyoruz.

Siber güvenlik sektöründe insan kaynağı ihtiyacı hakkında neler söyleyebilirsiniz?

Türkiye’nin Ulusal Siber Güvenlik vizyonunun tamamlanmasının önündeki en önemli engeller­den biri de, bu alanda yetişmiş insan kaynağının beklenen seviyelerde olmamasıdır.Siber Gü­venlik uzmanlarının ön görülerine göre, 2020 yılına kadar dünya genelinde bir milyondan fazla Siber Güvenlik uzmanına ihtiyaç duyulacaktır. Türkiye’de ise bu ihtiyacın 20.000 kişi civarında olduğu ön görülüyor.

Ülkemizin Siber Güvenlik alanında uzman ihtiyacı devam ederken, Siber Güvenlik alanında uzmanlaşmış personel yetiştirme potansiyeli %1 seviyesindedir.

Bu alandaki ihtiyacını karşılamak, sektöre deneyimli ve uzman personeller yetiştirmek amacı ile yapılan Siber Güvenlik Kampı’nın 6.sını, Sakarya Üniversitesi ve Bilgi Güvenliği AKADE­MİSİ ile birlikte Şubat ayında gerçekleştiriyoruz.

Bilgi Güvenliği Akademisi olarak düzenlemiş olduğumuz Siber Güvenlik Kamplarına bugüne kadar 20.000’den fazla başvuru gerçekleşti. Bu başvurularda her dönem 25 – 50 öğrenci kabul edilmiş bugüne kadar da 200’den fazla öğrenci Siber Güvenlik Uzmanlarımız tarafından yetiştiril­miştir.

Kişilerin bilgilerini koruyabilmeleri ve siber saldırılarda kurban olmamaları için yapması gerekenler ve alması gereken önlemler neler­dir?

En önemli nokta bilgi güvenliği farkındalığının oluşturulmasıdır. Eğer ülke olarak bu farkındalığı oluşturursak, güvenlik önlemleri ve korunma yöntemleri de gelişerek artmaya başlayacaktır. Ancak şuan için karşımızdaki en büyük engelin bu farkındalığın oluşması olduğunu söyleyebiliriz.

BGA’nın bu konuda çalışmaları ve 2016 yol haritası hakkında bilgi alabilir miyiz.

BGA Bilgi Güvenliği A.Ş olarak Siber Güvenlik Kampları, İstanbul ve Ankara’da düzenleyeceği­miz Bilgi Güvenliği Konferansları, Üniversiteler­de düzenlenen bilgi güvenliği konferanslarında sıklıkla konuşmacı olarak yer almak, firmamızda yetiştirilmek üzere stajyer alımları, dernek ve vakıflar için ücretsiz siber güvenlik danışmanlığı hizmeti gibi birçok alanda çalışmalar yapıyoruz. Son 8 yıldır yapmakta olduğumuz bu çalışmaları daha da geliştirerek 2016 yılı içerisinde de üniver­site öğrencileri başta olmak üzere birçok noktada devam ettirmeyi planlıyoruz.