ABD, kritik altyapılardaki Siemens S7 kontrol cihazlarına yönelik aktif siber tehdit konusunda uyardı

Uyarının merkezinde ne var?

ABD Ulusal Güvenlik Ajansı (NSA), Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Federal Soruşturma Bürosu (FBI), Enerji Bakanlığı ve Çevre Koruma Ajansı; Siemens S7 serisi programlanabilir mantık denetleyicilerini (PLC) kullanan işletmelere yönelik aktif bir siber tehdit bulunduğunu duyurdu. PLC’ler, fabrikalardaki makinelerden su arıtma süreçlerine kadar fiziksel sistemleri izleyen ve yöneten endüstriyel bilgisayarlardır. 1

Ortak danışma metnine göre kimliği belirlenemeyen tehdit aktörleri, ABD’deki Siemens PLC kurulumlarına yönelik keşif çalışmaları yürütüyor ve olası saldırılar için yetenek geliştiriyor. Bu faaliyet, doğrudan gözle görülür bir kesinti yaşanmadığı durumlarda bile ciddiye alınıyor; çünkü keşif aşamasında toplanan bilgiler, saldırganların zayıf hedefleri seçmesine ve sonraki operasyonları hazırlamasına yardımcı olabilir.

Uyarıda adı geçen alanlar şöyle:

• Su ve atık su hizmetleri
• Kritik imalat
• Enerji
• Kimya tesisleri
• Gıda ve tarım
• Ticari tesisler
• Potansiyel olarak savunma sanayii altyapısı 1

Saldırganların, internete doğrudan açık veya ağ içinde yeterince yalıtılmamış Siemens S7 cihazlarını bulmak için internet tarama hizmetlerinden yararlandığı belirtiliyor. Eski yazılımlar, varsayılan parolalar ve zayıf kimlik doğrulama yöntemleri riski artırıyor. 1

Yapay zekâ saldırganlara nasıl yardımcı oldu?

Yetkililerin aktardığına göre tehdit aktörleri, kamuya açık teknik bilgilerle birlikte yapay zekâ araçlarını kullanarak Siemens S7 sistemlerine yönelik istismar betikleri oluşturdu ve geliştirdi. Buradaki temel endişe, yapay zekânın Siemens cihazlarında yeni bir güvenlik açığı yaratması değil; kamuya açık bilgilerin kullanılabilir saldırı araçlarına dönüştürülmesi için gereken süreyi ve teknik uzmanlık düzeyini azaltması. 1

Hazırlanan betiklerde kamuya açık snap7 kütüphanelerinin kullanıldığı ve araçların meşru operasyonel teknoloji izleme yazılımlarına benzeyecek şekilde tasarlandığı bildiriliyor. Bu araçlar, S7comm protokolü üzerinden PLC belleği, yapılandırmaları ve merdiven mantığı (ladder logic) ile etkileşime girebiliyor. 1

Bu yetenekler, kontrol cihazlarına yalnızca veri hırsızlığı açısından değil, fiziksel süreçlerin güvenliği bakımından da önem kazandırıyor. Okuma erişimi bir tesisin çalışma düzeninin haritalanmasına yardımcı olabilir. Yazma erişimi veya merdiven mantığının değiştirilmesi ise ekipmanların, proses ayarlarının, alarmların ya da güvenlik işlevlerinin beklenmedik biçimde davranmasına yol açabilecek bir zemin oluşturabilir. Ancak danışma metnindeki açıklamalar, öncelikle yetenek geliştirme ve hazırlık faaliyetlerine ilişkin bir uyarı niteliğinde; her hedef tesiste listelenen tüm işlemlerin gerçekleştiğinin kanıtı değil. 1

Ele geçirilen bir PLC neye yol açabilir?

Bir endüstriyel kontrol cihazının ele geçirilmesi, yalnızca verilerin çalınması anlamına gelmeyebilir. Tesisin tasarımına, ağ segmentasyonuna ve saldırganın elde ettiği erişim düzeyine bağlı olarak şu sonuçlar ortaya çıkabilir:

• Üretimin veya kamu hizmetlerinin kesintiye uğraması
• Proses ayarlarının ya da ekipman çalışma sıralarının değiştirilmesi
• Kapatma sistemleri, alarmlar veya güvenlik kilitleriyle oynanması
• Ekipmanın tasarlanan sınırların dışında çalıştırılması
• Operasyonel bilgilerin açığa çıkması
• Bağlantılı kontrol sistemlerinde zincirleme etkiler oluşması 1

Bir tarama faaliyeti veya başarısız girişim, bir tesisin tamamen kontrol altına alınmasıyla aynı şey değil. Bununla birlikte internete açık bir PLC, saldırgana geleneksel bir ofis ağı ihlaline kıyasla operasyonel teknoloji ortamına daha doğrudan bir geçiş yolu sunabilir.

Son su sistemi saldırılarıyla bağlantısı ne?

Siemens uyarısı, ABD’nin çeşitli eyaletlerindeki yerel su sistemlerini etkileyen siber olayların ardından geldi. Minnesota’da 30’dan fazla su sisteminin koordineli bir siber saldırıyla karşılaştığı bildirildi. FBI ise benzer faaliyetlerin en az yedi eyalette rapor edildiğini ve bazı olayların su operasyonlarını aksattığını açıkladı. 16

Soruşturmacılar ve siber güvenlik uzmanları, bu saldırılarda İran bağlantısından şüphelendi. Ancak kamuya açık haberlerde bu bağlantı kesinleşmiş bir atıf değil, soruşturma kapsamında değerlendirilen bir ihtimal olarak aktarıldı. 16 Başkan Donald Trump ise kamuoyuna yaptığı açıklamalarda İran tezini reddederek, herhangi bir kanıt sunmadan Minnesota’yı ve eyalet valisini suçladı. 17

İran bağlantılı tehdit aktörlerinin internete açık PLC’leri hedef aldığına ilişkin önceki federal uyarılar da bu tabloya ekleniyor. İlk uyarılarda Rockwell Automation/Allen-Bradley cihazları öne çıkarken, sonraki güncellemelerde Siemens ve Schneider Electric ürünlerinin de hedef kapsamına girdiği bildirildi.

Bununla birlikte iki gelişme arasındaki ilişki şu aşamada yalnızca bağlamsal:

1. Her iki olay grubu da kritik altyapı ve endüstriyel kontrol ortamlarıyla ilgili.
2. Her ikisinde de internete açık veya yeterince korunmayan operasyonel teknoloji sistemleri konusunda endişe bulunuyor.
3. Daha önceki federal uyarılar, İran bağlantılı aktörlerin internete bağlı PLC’leri hedef aldığını belirtmişti.
4. Daha sonraki güncellemeler üretici kapsamını Siemens ve Schneider Electric’i de içerecek şekilde genişletti.

Bu ortak noktalar, yeni Siemens uyarısının su sistemi saldırıları bağlamında dikkat çekmesini açıklıyor. Ancak kamuya açık bilgiler, Siemens’e yönelik faaliyet ile su sistemlerindeki olayların aynı aktörler tarafından yürütülen tek bir kampanya olduğunu kanıtlamıyor.

Yetkililer neden İran’ı resmen suçlamıyor?

Siber saldırılarda ülke veya grup atfı yapmak, yalnızca hedeflerin ya da kullanılan yöntemlerin benzerliğine dayanmaz. Yetkililerin genellikle teknik bulguları, istihbarat verilerini ve operasyonel kanıtları birbirini doğrulayacak biçimde değerlendirmesi gerekir. Siemens uyarısında saldırganlar açıkça kimliği belirlenemeyen tehdit aktörleri olarak tanımlandı ve İran’ın adı verilmedi. 1

Su sistemi saldırılarında da kamuya açık tablo belirsizliğini koruyor. Federal ve eyalet düzeyindeki soruşturmalar olası İran bağlantısını incelerken, bazı siyasi açıklamalar bu değerlendirmeye itiraz etti veya onu sorguladı. 1617 Daha güçlü doğrulayıcı kanıtlar açıklanana ya da soruşturma nihai bir sonuca ulaşana kadar en temkinli değerlendirme şu: Su sistemleri saldırıya uğradı, İran bağlantısından şüpheleniliyor ve Siemens S7 cihazlarına yönelik tehdit aktif; ancak bu olayların kesin biçimde aynı kampanyaya bağlandığı kamuoyuna açıklanmış değil.

İşletmeler şimdi ne yapmalı?

Federal kurumların tavsiyeleri, endüstriyel siber güvenlikte temel ancak acil önlemlere işaret ediyor. İşletmecilerin:

• Tüm Siemens S7 PLC’lerini envantere kaydetmesi ve internete açık olup olmadıklarını belirlemesi,
• PLC’leri ve diğer operasyonel teknoloji cihazlarını doğrudan kamu internetinden kaldırması,
• Kontrol ağlarını kurumsal ve harici ağlardan ayırması,
• Operasyonel açıdan güvenli olduğu ölçüde yazılım ve denetleyici güncellemelerini uygulaması,
• Varsayılan veya zayıf parolaları güçlü kimlik doğrulama kontrolleriyle değiştirmesi,
• Olağandışı bağlantıları, yapılandırma değişikliklerini ve merdiven mantığı değişikliklerini izlemesi,
• Proje dosyalarını, kontrol cihazı yapılandırmalarını ve yeniden kullanılabilir kod modüllerini koruması,
• Uzaktan erişim araçlarıyla izleme yazılımlarının taklit edilip edilemeyeceğini veya kötüye kullanılıp kullanılamayacağını değerlendirmesi gerekiyor. 1

Kısa vadeli ders, her Siemens kontrol cihazının ele geçirildiği değil. Asıl risk; internete açıklık, zayıf erişim kontrolleri ve sınırlı izlemenin, yaygın biçimde kullanılan bir endüstriyel kontrol cihazını keşif ve gelecekteki kesintiler için cazip bir başlangıç noktasına dönüştürebilmesi.