Rüzgârın ve güneşin açık kapısı: 538 tesis için kim, neyi kontrol etmeli?

Elimizde ne var, ne yok? Önce bunu ayıralım, çünkü enerji söz konusu olunca panik hızlı yayılır.

Elimizde olan şu: Hollanda Ulusal Siber Güvenlik Merkezi ile Modat'ın ortak çalışmasına göre Avrupa bölgesinde 35 ülkede 8.547 rüzgâr ve güneş santrali sistemi, olmaması gerektiği halde internetten erişilebilir durumda. Türkiye payı 84 rüzgâr ve 454 güneş santrali. Raporda bir türbin panelinde başlatma, durdurma ve sıfırlama komutlarına erişilebildiği örnek olarak veriliyor.

Elimizde olmayan da şu: Türkiye'deki tesislerin adı yok, işletmeci yok, hangi bileşenin açık olduğu yok. Bu sistemlere yetkisiz biri girdi mi, bilmiyoruz. Bir saldırı yaşandığına dair hiçbir bilgi yok. Yani bu bir ihlal haberi değil; bir maruziyet haberi. Aradaki fark, yapılacak işi de belirliyor.

Açık kapı neden açık kalıyor? Rüzgâr ve güneş santralleri dağınık yapıdadır. Tarlanın ortasındaki bir inverter ya da dağ başındaki bir türbin, merkezden uzaktan izlenir. İzleme kolay olsun diye bir bakım firması modem takar, bir panel internete açılır, varsayılan parola değişmez. Rapor da riskleri aynı sırayla sayıyor: zayıf kimlik bilgileri, yanlış yapılandırma, açık yönetim arayüzleri, güncel olmayan sistemler ve gölge BT.

Bu tabloda kötü niyetli bir işletmeci yok; kimsenin envanterinde görünmeyen bir cihaz var. Sorun çoğu zaman tam da budur: kâğıt üzerindeki ağ şeması ile sahadaki gerçek birbirini tutmaz.

Bu kapıyı kim çalar? Kısa süre önce Fransa, süpermarket soğutma kontrolcülerine yönelik saldırılardan İran Devrim Muhafızları'nı sorumlu tuttu. Aynı haftalarda internete açık soğutma kontrolcülerinin spam proxy olarak kullanıldığı bildirildi. İki olay iki ayrı motivasyonu gösteriyor: biri gösteri ve baskı, diğeri sıradan suç ekonomisi. Açık bir OT paneli ikisinin de işine yarar.

Burada abartmayalım. Bir türbini durdurabilmek ile şebekeyi düşürmek aynı şey değil. Ama bir tesisin kontrol ekranına dışarıdan ulaşılabiliyorsa, o tesisin işletmecisi artık "bizi kim ne yapsın" diyemez.

Kim, neyi kontrol etmeli? İşletmeci: Kendi IP adreslerini dış tarama gözüyle bir kez görsün. İnverter, SCADA ve PLC arayüzlerinden hangisi internetten erişilebiliyor, listesini çıkarsın. Uzaktan erişim yalnızca VPN ve MFA arkasında olsun.

Bakım firması: Kurduğu her modemi, her uzaktan erişim hesabını işletmeciye yazılı bildirsin. Sözleşmede "kim, hangi cihaza, nasıl bağlanıyor" maddesi yoksa eklensin.

Düzenleyici ve USOM: Rapor tesis adlarını açıklamıyor; ama ülke bazlı veri, yetkili kurumlarla paylaşılabilir nitelikte. Sektörel SOME'lerin bu listeyi talep etmesi ve işletmecilere sessizce bildirim yapması, kamuoyu önünde ad vermekten çok daha sonuç alıcı olur.

Son söz 538 rakamı bir suçlama değil, bir envanter çağrısı. Bugün kimse bu tesislerin hacklendiğini söylemiyor; söylenen tek şey kapının açık olduğu. Kapıyı kapatmak için olay beklemeye gerek yok. Dedektif olarak kanıtı severim, ama bu dosyada kanıtın gelmesini beklemek yanlış olur: önce kapı kapanır, sonra soru sorulur.