Nesnelerin interneti (IoT), günümüzde var olan çok yönlü teknolojilerden biridir. Evdeki robot süpürgeden, kritik altyapılardaki IoT tabanlı sensörlere kadar geniş bir kullanımı vardır. Gıda üretimi , imalat , finans, sağlık hizmetleri ve enerji, IoT’nin özellikle uzantısı olan endüstriyel nesnelerin interneti (IIoT) aracılığıyla devrim yarattığı sektörlerden sadece birkaçıdır . Aynı zamanda akıllı evlerin , binaların ve hatta şehirlerin hayata geçirilmesine de yol açtı. Tüm perspektiften bakıldığında IoT sistemlerinin modern yapıların gelişiminde olmazsa olmaz bir yeri olduğunu göstermekte.

Nesnelerin İnterneti güvenliği nasıl etkiliyor?

Dünyanın herhangi bir ülkesinden evinizdeki robot süpürgeyi çalıştırabiliyor olmanız büyük kolaylık ancak bu durum beraberinde bazı siber tehdit ve riskleri de getirdiği de görülüyor. IoT sistemlerine ve cihazlarına yönelik tehditler, temel teknolojinin sahip olduğu belirli özellikler nedeniyle daha büyük güvenlik risklerine dönüşüyor. Bu özellikler IoT ortamlarını işlevsel ve verimli kılar ancak tehdit aktörleri tarafından kötüye kullanılmaları da muhtemeldir.

IoT Kaynaklı Siber Tehdit ve Riskler Neledir ?

– Bol miktarda veri toplanması. IoT sensörleri ve cihazları, ortamlarından ve kullanıcılarından son derece ayrıntılı veriler toplar. Bu veriler IoT ortamlarının düzgün çalışması için gereklidir. Ancak bu veriler, güvence altına alınmadığı, çalındığı veya başka bir şekilde ele geçirildiği takdirde art arda gelen birçok olumsuz etki anlamına gelebilir.

– Sanal ve fiziksel ortamların bağlantısı. Birçok IoT cihazı, kendi ortamlarından aldıkları veriler üzerinde çalışabilmektedir. Bu yetenek sanal ve fiziksel sistemler arasındaki mesafeyi kısaltır . Ancak kullanıcılar için uygun olsa da siber tehditlerin fiziksel sonuçlara daha hızlı dönüşmesine ve böylece daha büyük bir etki yaratmasına olanak tanıyabilir.

– Karmaşık ortamların yaratılması. Artan kullanılabilirlik ve cihaz çeşitliliği sayesinde artık karmaşık IoT ortamları oluşturulabiliyor. IoT bağlamında “karmaşık”, tek bir IoT ortamında, cihazlar arasında dinamik etkileşimlerin mümkün olduğu yeterli sayıda cihazın çalıştığı anlamına gelir. Bu karmaşıklık, IoT ortamının yeteneklerini genişletir ancak daha geniş bir saldırı yüzeyi pahasına olur. Özellikle endüstriyel yapılarda kullanılan, farklı fonksiyon alanlarına hizmet eden IoT cihazlarının çokluğu ve yönetsel becerilerinin farklılığı atak yüzeylerini genişletmektedir.

– Mimarinin merkezileştirilmesi. Geleneksel bir merkezi mimarinin IoT sistemlerine uygulanması güvenlik üzerinde zararlı bir etkiye sahip olabilir. Merkezi mimari, her cihaz ve sensör tarafından toplanan verilerin bir baz istasyonuna iletileceği anlamına gelir. Bir kuruluşta ana veritabanı, şaşırtıcı miktarda veri toplayan binlerce cihazın kullandığı veritabanının aynısı olabilir. Bu, ayrı veritabanlarından daha az maliyetli olabilir, ancak tek bir köke karmaşık bir şekilde bağlı olan daha geniş bir saldırı yüzeyi riski taşır.

IoT’nin saldırı yüzey alanları nelerdir?

– Cihazlar. Cihazlar, saldırıların başlatıldığı birincil araç olabilir. Bir cihazın güvenlik açıklarının gelebileceği kısımları hafızası, ürün yazılımı, fiziksel arayüzü, web arayüzü ve ağ hizmetleridir. Saldırganlar ayrıca güvenli olmayan varsayılan ayarlardan, güncel olmayan bileşenlerden ve güvenli olmayan güncelleme mekanizmalarından da yararlanabilir.

– İletişim kanalları. Saldırılar, IoT bileşenlerini birbirine bağlayan kanallardan kaynaklanabilir. IoT sistemlerinde kullanılan protokoller, tüm sistemi etkileyebilecek güvenlik sorunlarına sahip olabilir. IoT sistemleri ayrıca hizmet reddi (DoS) ve kimlik sahtekarlığı gibi bilinen ağ saldırılarına karşı da hassastır.

– Uygulamalar ve yazılım. IoT cihazları için web uygulamalarındaki ve ilgili yazılımlardaki güvenlik açıkları, sistemlerin tehlikeye girmesine neden olabilir. Web uygulamaları, örneğin kullanıcı kimlik bilgilerini çalmak veya kötü amaçlı ürün yazılımı güncellemelerini göndermek için kullanılabilir.

Nesnelerin İnterneti nasıl güvenli hale getirilebilir?

Yukarıda bahsedilen IoT saldırı yüzey alanlarından da anlaşılabileceği gibi, IoT sistemlerinin tüm ana bileşenlerinden yararlanılabilir. Bu nedenle IoT sistemlerinin oluşturulmasında ve bakımında güvenlik bir öncelik olmalıdır. Bir IoT sisteminin kurulduğu ortamın ölçeği veya türü ne olursa olsun, sistemin her yönüne daha iyi entegre etmek için güvenlik, tasarım aşamasından itibaren dikkate alınmalıdır; yalnızca bir aksesuar olmamalıdır. Bu şekilde IoT sistemi, bireysel cihazlarından genel konfigürasyonuna kadar hem işlevsel hem de güvenli olacak şekilde uyarlanabilir.Bu bağlamda şu adımları göz önünde bulundurmak faydalı olacaktır:

– Toplanan tüm veriler ve saklanan bilgiler hesaba katılmalıdır. Bir IoT sistemi içinde dolaşan her bir veri ve bilgi parçası buna göre haritalandırılmalıdır. Bu yalnızca ortamda konuşlandırılan sensörler ve cihazlar tarafından toplanan bilgilerle ilgili değildir, aynı zamanda otomasyon sunucularındaki veya diğer IoT uygulamalarındaki olası kimlik bilgilerini de ifade eder.

– Ağa bağlanan her cihazın güvenlik göz önünde bulundurularak yapılandırılması gerekir. Bir cihazı ağa bağlamadan önce ayarların güvenli olduğundan emin olunmalıdır. Buna güçlü kullanıcı adı ve şifre kombinasyonları, çok faktörlü kimlik doğrulama ve şifreleme dahildir.

– Kuruluşun güvenlik stratejisi uzlaşma varsayımı üzerine inşa edilmelidir. İhlalden ve uzlaşmadan kaçınmak önemli olsa da, gelişen tehditlere karşı mükemmel bir savunmanın olmadığını kabul etmek, başarılı bir saldırının etkilerini önemli ölçüde kontrol altına alabilecek ve azaltabilecek hafifletme protokolleri oluşturmaya yardımcı olabilir.

– Her cihaz fiziksel olarak güvence altına alınmalıdır. IoT cihazlarının fiziksel erişilebilirliğini de hesaba katmak önemlidir. Bir IoT cihazının kurcalamaya karşı fiziksel koruması yoksa, sınırlı bir yerde tutulmalı veya uygun kilitler veya diğer araçlarla emniyete alınmalıdır. Örneğin IP kameralar, bir siber suçlunun onlara ulaşması durumunda doğrudan kurcalanabilir. Sistem arızalarına neden olabilecek veya kötü amaçlı yazılım yayabilecek kötü amaçlı donanım veya yazılımlar bu dosyalara yerleştirilebilir.

IoT’yi Hedef Alan Siber Saldırılar Neler Olabilir ?

– Sahtekarlık, Bilgi İfşası : Saldırgan, bir cihazın durumunu anonim olarak değiştirebilir.Bir saldırgan, yayını kesebilir veya kısmen geçersiz kılabilir ve kaynağı taklit edebilir (genellikle ortadaki adam veya MitM saldırıları olarak adlandırılır).Saldırgan, kısıtlı veya özel amaçlı cihazların güvenlik açığından yararlanabilir. Genellikle şifre veya PIN koruması gibi hepsi bir arada güvenlik özelliklerine sahip olan veya ağda paylaşılan anahtar korumalarına dayanan bu cihazlar. Cihaza veya ağa paylaşılan sır (PIN, şifre, paylaşılan ağ anahtarı) açıklandığında cihazı kontrol etmek veya cihazdan yayılan verileri gözlemlemek mümkündür.

– Bilgi Açıklaması : Saldırgan bir yayını gizlice dinleyerek yetkisiz bilgi elde edebilir veya yayın sinyalini bozarak bilgi dağıtımını engelleyebilir. Bir saldırgan yayını kesebilir veya kısmen geçersiz kılabilir ve yanlış bilgi gönderebilir.

– Kurcalama: Bir saldırgan, pilin boşalması güvenlik açığından veya “uyku yoksunluğundan, entropiyi azaltmak için cihazların dondurulmasıyla mümkün olan rastgele sayı üreteci (RNG) saldırılarına kadar” herhangi bir fiziksel cihaza müdahale edebilir. Bir saldırgan, cihazda çalışan yazılımı kısmen veya tamamen değiştirebilir ve anahtar materyalin veya anahtar materyalleri tutan şifreleme olanaklarının yasa dışı program için mevcut olması durumunda, değiştirilen yazılımın cihazın gerçek kimliğinden yararlanmasına olanak tanıyabilir.

– Hizmet Reddi : Radyo frekanslarına müdahale edilerek veya kablolar kesilerek bir cihaz çalışamaz veya iletişim kuramaz hale getirilebilir. Örneğin, gücü veya ağ bağlantısı kasıtlı olarak kesilen bir güvenlik kamerası hiçbir şekilde veri raporlayamaz.

– Ayrıcalığın Yükselmesi: Belirli bir işlevi yerine getiren bir cihaz, başka bir şey yapmaya zorlanabilir. Örneğin yarıya kadar açılacak şekilde programlanmış bir vana sonuna kadar açılacak şekilde kandırılabilir.