hafiza aise
Thu 21 June 2012, 04:42 pm GMT +0200
İran’ın siber kâbusu
Hakan HASTAOĞLU • 69. Sayı / DİĞER YAZILAREylül ayının son günlerinde İran’ın, Buşehr şehrinde inşa ettiği ve birkaç ay içerisinde faaliyete geçirmeyi planladığı nükleer santraline, Stuxnet olarak adlandırılan güçlü bir virüs saldırısının olduğu haberi yayıldı. İranlı yetkililerin nükleer santrale herhangi bir zarar vermediği ama 30 binden fazla bilgisayarın etkilendiğini kabul ettikleri Stuxnet’in, şimdiye kadar üretilmiş en tehlikeli virüs olduğu uzmanlar tarafından açıklanınca kamuoyunun ilgisi saldırılara yoğunlaştı. Dünyanın bütün önemli medya kuruluşlarında haberler çıkmaya başladı.
İran Sanayi Bakanlığı Bilgi Teknolojileri Başkanı Mahmud Liayı, ülkesine karşı elektronik bir savaşın yürütülmekte olduğunu açık bir dille seslendirdi. Cumhurbaşkanı Mahmud Ahmedinejad, bütün tepkilere rağmen Lübnan’a giderek gövde gösterisi yaparken ülkesi hâlâ virüsün etkilerini temizlemeye çalışıyordu. İlk olarak Haziran ayında ortaya çıkan virüsün, zamanla etkisini daha da artırarak Alman Siemens firmasının hazırladığı; petrol ve doğalgaz boru hatları, petrol platformları, elektrik santralleriyle birlikte daha birçok sanayi kuruluşunu kontrol etmek için kullanılan yazılımları hedeflediği ifade edildi. İnternete bağlı olmayan bilgisayarları bile etkileme gücüne sahip olan Stuxnet, daha önce Endonezya, Hindistan ve Pakistan’da da görülmesine rağmen etkisi İran’daki kadar olmamıştı.
Baş şüpheli: İsrail
İstanbul’a gelerek konferans veren önde gelen güvenlik firmalarından Kaspersky Labs’ın kurucusu Eugene Kaspersky, uzman ekipleriyle birlikte iki aylık detaylı incelemelerinin ardından, Stuxnet’in şimdiye kadar gördükleri en zararlı virüs olduğunu söyledi. Kaspersky, çok karmaşık yapısı nedeniyle Stuxnet’in sıradan internet korsanları tarafından üretilmesinin mümkün olmadığını belirtti. Daha birçok uzman da, alışıldık virüslerden ve saldırılardan çok daha karmaşık ve organize olduğunu ifade ederek, saldırının arkasında kesinlikle bir devletin olduğuna kanaat getirdi.
Böyle büyük bir saldırının mağduru İran olunca da, dünya şüphelileri aramakta hiç de zorluk çekmedi. Olağan şüpheliler ABD ve İsrail, saldırılarla ilgilerini kabul etmezken New York Times gazetesi, virüs üzerinden elde ettikleri bulgularla fail olarak İsrail’i göstermekten çekinmedi. Stuxnet ismi, Eski Ahit’te Yahudilerin kendilerini yok etmeyi amaçlayan bir Pers komplosunu boşa çıkarmalarını anlatan Ester’in Kitabı’na bir gönderme olarak verilmiş. New York Times, virüs kodları arasında İbranice Ester kelimesini ima eden Myrtus isimli bir dosyanın olması buna benzer birçok nedenden dolayı saldırının ardındaki baş şüphelinin İsrail olduğunu yazdı.
Saldırının çok güçlü olması ve gündemde İran’a yönelik ambargo ve yaptırım kararlarının olması, dünyanın dikkatini bölgeye çekti ama ülkeler arasındaki sanal saldırılar aslında çok daha önceden başlamıştı. Daha birkaç ay önce Çin’le bağlantılı oldukları düşünülen bilgisayar korsanları Güney Kore devlet yetkililerinin adıyla gönderdikleri e-postaların içine gizlenmiş virüslerle birçok gizli bilgiyi ele geçirdi. Bunun gibi saldırı haberleriyle hemen her hafta karşılaşır olduk. Devletler de kendi güçleri nisbetinde ve saldırılarla muhatap olma sıklıklarına göre uzun zamandır önlemler almaya çalışıyor.
Devletin Gizli Anayasası veya Kırmızı Kitap olarak da adlandırılan Milli Güvenlik Siyaset Belgesi’ni yenileyen Türkiye bile, siber saldırıları en önemli tehditler listesine ekledi.
Siber ordular doğuyor
2007 yılında Estonya’nın başkenti Tallinn’de devlet, bankalar ve medya kurumlarının internet siteleri çok kapsamlı sanal saldırılara maruz kaldı. Saldırı sanal olmasına rağmen etkileri çok gerçekti. Elektronik sistemleri etkileyen saldırı sonucunda, bankalar internet üzerinden verdikleri hizmetleri durdurmak zorunda kalırken sokaklardaki ATM’ler çalışamaz hale geldi. Çaresiz duruma düşen Estonya hükümeti, NATO’dan yardım istemek zorunda kaldı ve ülkeye gelen siber savunma biriminin yardımıyla tehditleri bertaraf etmeyi başardı. CNBC Business dergisine konuşan NATO’nun ODTÜ mezunu siber savaş komutanı Süleyman Anıl’ın anlatımına göre; NATO, daha 2002 yılında siber saldırılara karşı savunma birimini kurdu. Yeni kurulan Yükselen Güvenlik Tehditleri Bölümü’nde de siber güvenlik, terörizm ve kitle imha silahlarıyla birlikte beş önemli tehditten biri olarak kabul edildi. İngiltere’nin yeni düzenlenen Milli Güvenlik Stratejisi’nde ise en önemli tehditler, uluslararası terörizm ve bilgisayar ağlarına yönelik sanal saldırılar olarak tanımlandı.
McAffee güvenlik firmasına göre; siber savaşa hazırlık yapan ülkeler arasında ABD, İngiltere, Almanya, Çin, Fransa ve Güney Kore bulunuyor. Bu ülkelerin ordu ve istihbarat teşkilatlarında siber birimlerine yer veriliyor.
Türkiye’de ise, TÜBİTAK bünyesinde faaliyetlerini sürdüren siber savunma birimi bulunuyor. Hakan Fidan’ın müsteşar olarak atanmasının ardından Milli İstihbarat Teşkilatı’nın da siber saldırılara karşı, hazırlıklarına ağırlık vereceği değerlendirilmesi yapılmıştı.
Dünyanın dev savaş makinesini işleten ABD, Irak’ta kara saldırısına başlamadan önce ‘hacker’larla sanal operasyona başlamıştı. Siber savaşta, hem saldırıda hem de savunmada oldukça etkin olan ABD, Mart ayında İç Güvenlik Bakanlığı eliyle ülkesine karşı artan saldırılara karşı seferberlik ilan etti. Hava Kuvvetleri’nde görevli teknik destek kadrosundaki 30 bin personel siber savaş cephesine atandı. Muhalif örgüt ve ülkelerin her geçen gün biraz daha şiddetlenen saldırılarına karşı devlet birimlerini önlem almaya çağıran seferberlik ilanıyla birlikte, korunma ve caydırıcı karşı ataklar için harekete geçilmesi talimatı verildi. Mayıs ayında ise Pentagon’da dünyanın ilk siber birlik komutanı atandı. Cyber Command adı verilen birimin başına Keith Alexander isminde dört yıldızlı bir general atayarak ABD, gelecekteki savaşların nasıl bir yöntemle yürütüleceğinin de ipucunu vermiş oldu.
Siber savaşta ‘bedelli’ yok
Bizim ülkemizde ise, devlet ve özel kuruluşlar güvenlik için önemli yatırımlar yapılmasına rağmen hâlâ yeterli önlemler alınmış değil. MİT tarafından, kamu ve özel kurumlara sanal güvenlik için zaman zaman brifingler veriliyor, üniversitelerde, şirketlerde özel eğitimler düzenleniyor ama hâlâ insanlar en mahrem bilgilerini, kredi kartı numaralarını telefondaki dolandırıcılarla paylaşabiliyor. Organize saldırılar karşısında bireylerin yapabilecekleri pek bir şey yok aslında, görev burada devlete düşüyor. E-devlete geçiş için atılan her reformda önce bilgisayar sistemlerinin çöküşüne şahit olduğumuz kurumların, İran’ın muhatap olduğu gibi bir saldırı karşısında ne hâle geleceklerini düşünmek yöneticilerin uykularını kaçırmalı. Okul kayıtlarının internet üzerinden yapılması veya tüm eczanelerin ortak ağa bağlanması gibi toplumun hayatını çok kolaylaştıracak adımlar atılırken sistemin önce tamamen çökmesi, bu tip işler için yeteri kadar planlamanın yapılmadığı veya yetkin isimlere sahip olmadığımız gerçeğini ortaya çıkarıyor.
Birçok strateji ve güvenlik uzmanıyla birlikte Eugene Kaspersky de devletlerin artık siber-savaş çağına girdiklerini söylüyor. O halde bizim ülkemizde de, askerlik denilince bedelli, tek tip, eşit süreli askerlik kavramları gibi geçtiğimiz asrın tartışmaları değil dünya gerçeklerine uygun meseleler konuşulmalı.