ABD'de kritik siber güvenlik zafiyeti

Geçtiğimiz hafta ABD medyası, “APT29” veya “Cozy Bear” olarak bilinen ve Rusya’nın yabancı istihbarat servisi SVR’nin bir parçası olduğu düşünülen bilgisayar korsanlarının ABD’nin önemli devlet kurumlarının, altyapı tesislerinin ve özel şirketlerinin bilişim sistemlerine sızdığı yönündeki iddialarla çalkalandı. Birkaç gün sonra ABD Ulusal Güvenlik Konseyi, Beyaz Saray'da bir acil durum toplantısı gerçekleştirerek bu iddiaları daha da güçlendirdi. Nitekim ilk resmî açıklama da pek gecikmedi. 14 Aralık'ta Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), çok sayıda kritik kuruluş ve tesisin mart ayından bu yana "gelişkin ve ısrarlı bir tehdit unsuru" tarafından hedeflendiğini açıkladı. Medyanın aksine CISA'nın açıklamalarında saldırıdan kimin sorumlu olduğu veya hangi kurumların sistemlerine sızıldığına dair bir bilgi yoktu. Dışişleri Bakanı Mike Pompeo’nun 19 Aralık'ta yaptığı “Bu faaliyetin arkasında Rusların olduğunu net bir şekilde söyleyebiliriz,” açıklaması ise tüm okların yeniden Rusya'ya çevrilmesine neden oldu. ABD'de yetkililer, Teksas merkezli bilişim teknolojileri şirketi SolarWinds tarafından sağlanan Orion adlı yazılıma sızılarak gerçekleştirilen siber saldırının son beş yılın en büyük dijital casusluk eylemi olduğu görüşünde. Rusya cephesi ise söz konusu iddiaları “asılsız” olarak nitelendiriyor.

• Nedir? Bir hükümetin veya özel kuruluşun ağına doğrudan saldırmak yerine bu kurumların kullandıkları yazılımları sağlayan üçüncü partiler üzerinden yapılan saldırılar “tedarik zinciri saldırısı” olarak adlandırılıyor. ABD'de mart ayından beri süregelen saldırılar da bu kategoriye giriyor. Kısaca özetlemek gerekirse bilgisayar korsanlarının, SolarWinds tarafından geliştirilen ve ağ cihazlarının veya ağa bağlı diğer bilgisayarların merkezî biçimde takip edilmesine ve yönetilmesine imkân sağlayan Orion ağ yönetim sistemini hedef aldığı düşünülüyor. Tahminler, Orion'un güncellemelerinin oluşturulması ve sunuculara yüklenmesi süreçlerine sızan casusların, bu süreçte güncellemelerin içine “Sunburst” isimli kötü amaçlı yazılımları (malware) gizlediği yönünde. Bu da korsanlara güncellemeyi yükleyen kurumların ve şirketlerin sistemlerine izinsiz giriş yapma yetkisi veriyor. Saldırının uzun süre keşfedilememiş olması ise sistem dosyalarına erişebilen kötü amaçlı yazılımın yasal SolarWinds etkinliğine uyum sağlaması ve antivirüs gibi onu algılayabilen araçları engelleyebilmesinden kaynaklanıyor.
   
• Kimler tehdit altında? Söz konusu saldırılara maruz kalmak için Orion'un son güncellemesini indirmek gerekiyor. SolarWinds'in açıklamalarına göre şirketin 300 bin müşterisinden 33 bini Orion kullanırken bunlardan sadece 18 bini son güncellemeyi indirdi. Hangi kurumların siber saldırıya açık hâle geldiği ise henüz bilinmiyor. SolarWinds’in müşterileri arasında ABD ordusunun beş kolu, bakanlıklar, NASA, Ulusal Güvenlik Dairesi, Beyaz Saray ve Fortune 500 şirketlerinden 425 tanesi bulunuyor. Nükleer silahların tasarlandığı Los Alamos Ulusal Laboratuvarı ve askerî uçak üreticisi Boeing'in SolarWinds’in müşterileri arasında yer alması ise siber saldırının büyük bir güvenlik tehdidi olduğu tezini güçlendiriyor. Saldırılara hedef olan kurum ve kuruluşların %80'inin ABD merkezli olduğu belirtilirken Kanada, Meksika, Belçika, İspanya, İngiltere, İsrail ve Birleşik Arap Emirlikleri'ndeki bazı kuruluşlara da sızıldığı söyleniyor. Öte yandan, siber saldırılarda SolarWinds'in yanı sıra Microsoft ve WMware'in sistemlerine de sızılmış olma ihtimali bulunuyor. Microsoft Başkanı Brad Smith, sistemlerinde kötü amaçlı yazılım izlerine rastladıklarını doğrularken kırktan fazla müşteriyi tehlike konusunda uyardıklarını açıkladı.
   
• Nasıl keşfedildi? Son beş yılın en büyüğü olan siber saldırı, Kaliforniya merkezli siber güvenlik şirketi FireEye’ın CEO’su Kevin Mandia’nın 8 Aralık’ta yayımladığı bir blog yazısıyla ortaya çıktı. Yazısında sistemlerinin “son derece karmaşık bir tehdit aktörü tarafından saldırıya uğradığını” açıklayan Mandia, saldırının “üst düzey yeteneklere sahip” bir ülke tarafından geliştirildiğini ve saldırganın öncelikle belirli devlet müşterileriyle ilgili bilgileri aradığını söyledi. Müşterileri arasında birçok devlet kurumu yer alan FireEye, 13 Aralık’ta ise “Campaign UNC2452” adını verdiği saldırının sadece kendilerine karşı olmadığını ve dünya çapında birçok kamu kurumu ve özel kuruluşun hedef alındığını açıkladı.
   
• Atılan adımlar: Saldırının keşfedilmesinin ardından CISA, bir acil durum direktifi yayımlayarak federal kurumları ağlarını gözden geçirmeleri ve Orion ürünlerini derhâl kapatmaları yönünde uyardı. FBI, CISA ve Ulusal İstihbarat Direktörlüğü ise ortak bir bildiri yayımlayarak krize karşı hükümetin tepkisini koordine etmek için Siber Birleşik Koordinasyon Grubu’nu kurdu. Bu adım, “önemli ve devam eden bir siber güvenlik kampanyası” olarak niteleniyor.
   
• Son durum: Saldırının yol açtığı zararın boyutu şu anda tamamen belirsiz; ancak uluslararası siber güvenlik açısından koşullar, tarihî bir olay yaşandığına işaret ediyor. Uzmanlar, sistemlerin güvenliğini yeniden sağlamanın ve zararın boyutlarının analizini yapmanın büyük olasılıkla aylar hatta yıllar alacağını düşünüyor. Büyük bir sessizliğin ardından Twitter'da “Siber korsanlık, yalan haber medyasında gerçekte olduğundan çok daha büyük boyutta yansıtılıyor. Konuyla ilgili her şey kontrol altında,” diye açıklama yapan ABD Başkanı Donald Trump, Dışişleri Bakanı Pompeo'dan farklı olarak bu olayda Çin'in parmağı olabileceğini ima etti. Saldırı için Trump'ı suçlayan seçilmiş başkan Joe Biden ise siber güvenlik konusundaki duruşunu, “İlk etapta hasımlarımızı bize yönelik kapsamlı siber saldırılar düzenlemekten caydırmamız gerekiyor. Bunu da bu tarz saldırıların sorumlularından ciddi şekilde hesap sormak ve müttefiklerimizle eş güdüm içinde hareket etmek gibi adımlar atarak sağlayabiliriz,” sözleriyle açıkladı.