ABD ve Avustralya’daki siber güvenlik kurumları, kritik altyapı işletmelerinin büyük ölçekli siber saldırılar sırasında hizmet sürekliliğini koruyabilmesi için yeni bir rehber yayınladı. CISA sistem izolasyonu yaklaşımını temel alan doküman, operasyonel teknoloji sistemlerinin gerektiğinde kurumsal ağlardan güvenli şekilde ayrılmasına yönelik hazırlık adımlarını ayrıntılı biçimde açıklıyor. Yetkililer, planlamanın saldırı başladıktan sonra değil, olası bir kriz yaşanmadan önce tamamlanması gerektiğini vurguluyor.

Yeni Rehber Kritik Hizmetlerin Kesintisiz Devam Etmesini Hedefliyor

“CI Fortify – Advice for Isolating Vital Systems” başlıklı rehber; ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), FBI, Avustralya Sinyal Direktörlüğü bünyesindeki Australian Cyber Security Centre (ACSC) ile uluslararası güvenlik ortaklarının katkısıyla hazırlandı. Doküman, enerji, su, ulaşım, telekomünikasyon ve üretim gibi kritik sektörlerde kullanılan operasyonel teknoloji (OT) sistemlerinin güvenliğini artırmayı amaçlıyor.

Rehbere göre kurumların ilk olarak kritik hizmetlerin sürdürülebilmesi için zorunlu olan sistemleri belirlemesi gerekiyor. Ardından bu sistemlerin kurumsal ağlar, internet bağlantıları, bulut servisleri, uzaktan erişim altyapıları, tedarikçiler ve diğer üçüncü taraflarla kurduğu tüm bağlantılar ayrıntılı şekilde haritalandırılmalı. Böylece olası bir saldırı sırasında hangi bağlantıların devre dışı bırakılacağı önceden belirlenebilecek.

Yetkililer, fiziksel olarak ağ bağlantısını kesmenin en güvenli yöntem olduğunu belirtiyor. Fiziksel ayrıştırmanın uygulanamadığı ortamlarda ise ağ segmentasyonu, şifreli iletişim kanalları, tek yönlü veri aktarımı sağlayan “data diode” sistemleri ve kademeli izolasyon modeli öneriliyor. Bu yaklaşım, saldırganların ağ içinde yatay hareket ederek kritik sistemlere ulaşmasını zorlaştırmayı hedefliyor.

Kurumlar, son yıllarda devlet destekli siber tehdit gruplarının kritik altyapıları daha sık hedef aldığına dikkat çekiyor. Özellikle Çin bağlantılı Volt Typhoon grubunun iletişim, enerji, ulaşım ve su altyapısına ait ağlarda uzun süre fark edilmeden faaliyet yürüttüğü daha önce açıklanmıştı. ABD’li yetkililer, grubun gelecekte yaşanabilecek kriz veya askeri gerilim dönemlerinde kullanılabilecek erişimler elde etmeye çalıştığını değerlendirmişti.

Benzer şekilde Salt Typhoon olarak takip edilen başka bir Çin bağlantılı grup da telekomünikasyon şirketleri, kamu kurumları ve askeri ağlara yönelik saldırılarla gündeme geldi. Grup; AT&T, Verizon ve Lumen gibi büyük telekom operatörlerine sızarak hassas iletişim verilerine erişim sağlamış, ağ cihazlarındaki güvenlik açıklarından yararlanarak farklı sistemlere geçiş yapmıştı.

Su altyapıları da son dönemde yoğun saldırılarla karşı karşıya kaldı. ABD’nin en büyük su hizmeti sağlayıcılarından American Water, 2024 yılında yaşadığı siber saldırının ardından bazı sistemlerini geçici olarak devre dışı bırakırken Kansas’taki bir su arıtma tesisi de operasyonlarını manuel olarak sürdürmek zorunda kaldı. Güvenlik kurumları ayrıca Rusya yanlısı hacktivist grupların korumasız OT sistemlerini hedef alarak hizmet kesintisi oluşturmayı amaçladığını bildirdi.

Rehber, teknik önlemlerin yanında operasyonel hazırlığa da odaklanıyor. Kuruluşların izolasyon kararını kimin vereceğini, hangi koşulların süreci başlatacağını, hangi sistemlerin çalışmaya devam edeceğini ve ağ bağlantısı olmadan operasyonların nasıl sürdürüleceğini önceden planlaması isteniyor.

CISA, yalnızca tek tek sistemleri test etmenin yeterli olmayacağını, tüm izolasyon senaryolarının düzenli olarak uygulanması gerektiğini belirtiyor. Kurumlar ayrıca izolasyon planlarının çevrim dışı veya basılı bir kopyasını güvenli şekilde saklamalı. Böylece kurumsal ağların veya dosya sunucularının erişilemez hâle gelmesi durumunda kritik prosedürlere ulaşılabilecek.

Yetkililer, sistemlerin izole edilmesinin bazı yeni riskler oluşturabileceğini de hatırlatıyor. Güvenlik güncellemelerinin gecikmesi, merkezi izleme yeteneklerinin azalması ve taşınabilir depolama aygıtlarının daha fazla kullanılması yeni güvenlik açıklarına yol açabiliyor. Bu nedenle kuruluşların yalnızca sistemleri ayırmaya değil, yeniden bağlantı kuruluncaya kadar kritik hizmetleri güvenli biçimde sürdürebilecek operasyonel süreçleri de önceden hazırlaması gerekiyor.