Geçmişten Geleceğe Siber Güvenliğin Yolculuğu
9 min read
Siber Güvenlik Nerede Başladı?
İnsanlık Bilgiyi Ne Zamandan Beri Koruyor?
Bugün “siber güvenlik” dediğimizde aklımıza bilgisayarlar, hackerlar, virüsler, parolalar, güvenlik duvarları ve veri sızıntıları geliyor.
Oysa siber güvenliğin temelindeki düşünce bilgisayardan çok daha eski:
“Bu bilgiye herkes ulaşmamalı.”
Aslında bilgi güvenliğinin tarihi, insanlığın bilgiyi değerli görmeye başladığı günlere kadar uzanıyor.
Bir kralın savaş planı, bir ordunun konumu, bir tüccarın müşteri listesi, bir devletin diplomatik mesajı veya bugün bir şirketin müşteri veritabanı…
Teknoloji değişti. Ama korunmaya çalışılan şey hiç değişmedi:
Bilgi.
Peki bilgi güvenliği ne zaman başladı ve nasıl “siber güvenlik” adını verdiğimiz devasa bir alana dönüştü?
Hikâyeyi birkaç bin yıl geriye saralım.
İlk Güvenlik Teknolojisi: Sır Saklamak
Bilginin korunmasının ilk örneklerini bilgisayarlarda değil, devlet yönetiminde ve savaşlarda görüyoruz.
Antik çağlarda mesajların düşman eline geçmesi ciddi sonuçlar doğurabiliyordu. Bu nedenle insanlar yalnızca mesajı taşımayı değil, mesajın anlaşılmasını engellemeyi de düşünmeye başladılar.
Bunun en bilinen tarihsel örneklerinden biri Sezar şifrelemesi olarak bilinen yöntemdir.
Julius Caesar’ın askeri haberleşmelerinde kullandığı aktarılan yöntemde harfler belirli sayıda kaydırılarak mesaj okunamaz hale getiriliyordu.
Basit bir örnek düşünelim:
SALDIRI yerine harfleri belirli bir kurala göre değiştirerek anlamsız görünen başka bir metin gönderiyorsunuz.
Mesaj düşmanın eline geçse bile yöntemi bilmiyorsa içeriğini hemen anlayamıyor.
Bugünün teknolojisiyle bakınca son derece basit.
Ama düşünce olağanüstü önemliydi:
Bilgiyi saklamak yetmez. Ele geçirilse bile anlaşılmasını zorlaştır.
Bugünkü şifreleme teknolojilerinin arkasında da çok daha gelişmiş haliyle aynı düşünce bulunuyor.
Bankacılık uygulamalarından mesajlaşma sistemlerine kadar kullandığımız pek çok teknolojinin temelinde binlerce yıllık bu ihtiyaç var.
Gizlilik.
Savaşlar Bilgi Güvenliğini Değiştirdi
Bilginin değerini en dramatik biçimde gösteren alanlardan biri savaşlar oldu.
Özellikle II. Dünya Savaşı bunun en çarpıcı örneklerinden biridir.
Nazi Almanyası askeri haberleşmelerinde Enigma adlı şifreleme sistemini kullanıyordu. Mesajlar ele geçirilse bile içeriklerinin anlaşılması son derece zordu.
Ancak İngiltere’deki Bletchley Park’ta çalışan ekipler, aralarında Alan Turing’in de bulunduğu matematikçiler ve kriptoanalistler sayesinde Enigma trafiğinin önemli bölümlerinin çözülmesine katkı sağladı.
Buradaki mücadele aslında bugünkü siber güvenlik dünyasına şaşırtıcı derecede benziyordu.
Bir taraf:
“Bilgimi nasıl korurum?” diye düşünüyordu.
Diğer taraf:
“Bu korumayı nasıl aşarım?” diye.
Bugün saldırganlarla güvenlik ekipleri arasında yaşanan mücadelede de temel mantık değişmiş değil.
Sadece savaş alanı değişti.
Tankların ve telsizlerin yanına bilgisayarlar, internet, bulut sistemleri ve akıllı telefonlar eklendi.
Bilgisayarlar Birbirine Bağlanınca Yeni Bir Sorun Ortaya Çıktı
1960’ların sonlarına geldiğimizde bilgisayar dünyasında çok önemli bir değişiklik yaşanmaya başladı.
Bilgisayarlar artık yalnızca tek başlarına çalışan dev makineler olmayacaktı.
Birbirleriyle iletişim kurmaya başladılar.
1969 yılında çalışmalarına başlayan ARPANET, internetin gelişimindeki en önemli kilometre taşlarından biri oldu.
Bu gelişme insanlık için büyük bir fırsattı.
Ama beraberinde yeni bir problem getirdi:
Bilgisayarlar birbirine bağlanabiliyorsa, istenmeyen şeyler de bir bilgisayardan diğerine ulaşabilir miydi?
Cevap kısa süre içinde geldi.
Evet.
Creeper: “Ben Creeper’ım, Yakala Beni!”
1971 civarında ARPANET üzerinde ilginç bir program ortaya çıktı.
Adı: Creeper.
Creeper, Bob Thomas tarafından deneysel amaçlarla geliştirilen ve ağ üzerindeki sistemler arasında hareket edebilen erken dönem programlardan biriydi.
Ekranda şu mesajı gösteriyordu:
“I’M THE CREEPER: CATCH ME IF YOU CAN.”
Yani kabaca:
“Ben Creeper’ım. Yapabiliyorsan yakala beni.”
Bugünkü anlamıyla kötü amaçlı bir bilgisayar virüsü olarak tasarlanmamıştı. Daha çok ağ üzerinde hareket edebilen programların neler yapabileceğini gösteren bir deneydi.
Ama çok önemli bir şeyi kanıtladı:
Bir program ağ üzerinden başka sistemlere ulaşabiliyordu.
Ardından Creeper’ı bulup kaldırmak amacıyla Reaper adlı başka bir program geliştirildi.
Bu nedenle Reaper sıklıkla antivirüs fikrinin erken örneklerinden biri olarak anılır.
Ortada henüz milyarlarca dolarlık siber güvenlik sektörü yoktu.
Ama temel döngü oluşmaya başlamıştı:
Bir şey ortaya çıktı.
↓
Sistemleri etkiledi.
↓
Onu tespit edecek başka bir şey geliştirildi.
Tanıdık geldi mi?
Bugün zararlı yazılım ve güvenlik ürünleri arasındaki yarışın mantığı bundan çok farklı değil.
1988: İnternetin İlk Büyük Uyarılarından Biri
2 Kasım 1988. İnternete bağlı sistemlerin sayısı bugüne kıyasla son derece azdı.
Robert Tappan Morris tarafından geliştirilen ve daha sonra Morris Worm olarak anılan program internete yayıldı.
Programın etkisi kontrolden çıktı ve binlerce bilgisayarı etkiledi.
Tahminlere göre o dönemde internete bağlı yaklaşık 60.000 bilgisayar bulunuyordu ve bunların önemli bir bölümü olaydan etkilendi.
Bu olay çok önemli bir gerçeği gösterdi:
Birbirine bağlı sistemlerde küçük görünen bir yazılım çok büyük sonuçlar yaratabilir.
Morris Worm sonrasında Carnegie Mellon University bünyesinde CERT Coordination Center’ın kurulması, bilgisayar güvenliği olaylarına daha organize biçimde müdahale edilmesinin önemli kilometre taşlarından biri oldu.
Artık mesele yalnızca bilgisayarları korumak değildi.
Olaylara nasıl müdahale edeceğimiz de düşünülmeye başlanmıştı.
Bugünkü SOC, CERT ve olay müdahale ekiplerinin gelişimine uzanan yolun önemli taşlarından biri böyle döşendi.
İnternet Evlerimize Girince Güvenlik Herkesin Problemi Oldu
1990’larda internet hızla yaygınlaştı.
Bilgisayar artık yalnızca üniversitelerde, devlet kurumlarında veya büyük şirketlerde değildi.
Evlerimize girmeye başlamıştı.
E-posta yaygınlaştı. Web siteleri ortaya çıktı. Online hizmetler çoğaldı.
Ve doğal olarak saldırılar da değişmeye başladı.
Artık saldırganın hedefinde yalnızca bilgisayar sistemi yoktu. İnsan da vardı.
Bunun en çarpıcı örneklerinden biri 2000 yılında yaşandı.
Konu satırı son derece masumdu: ILOVEYOU
E-postanın içinde bir dosya bulunuyordu.
İnsanlar doğal olarak merak etti.
“Bana kim aşk mektubu gönderdi?”
Dosyayı açtılar.
Ve zararlı yazılım büyük bir hızla yayılmaya başladı.
Milyonlarca bilgisayarın etkilenmesiyle sonuçlanan olay dünya çapında ciddi ekonomik kayıplara neden oldu.
ILOVEYOU bize siber güvenliğin belki de en önemli derslerinden birini verdi:
Dünyanın en güçlü güvenlik sistemlerinden birine sahip olabilirsiniz. Ama merak duygusunu yönetmek çok daha zor olabilir.
Bugün phishing dediğimiz oltalama saldırılarının temelinde de çoğu zaman aynı yöntem bulunuyor.
Merak. Korku. Aciliyet. Para kazanma isteği. Otoriteye güven.
Yani teknoloji değişiyor ama insan psikolojisi aynı kalıyor.
Bilgi Güvenliği ile Siber Güvenlik Aynı Şey mi?
Burada önemli bir ayrım yapmak gerekiyor.
Bilgi güvenliği ve siber güvenlik çoğu zaman aynı anlamda kullanılıyor ancak aslında birebir aynı kavramlar değiller.
Bilgi güvenliği daha geniş bir çerçeveye sahip.
Çünkü korunması gereken bilgi mutlaka bilgisayarda olmak zorunda değil.
Bir çalışan müşteri listesini yazdırıp masasında bırakırsa bu bir bilgi güvenliği problemidir.
Gizli bir toplantının çıktıları çöpe atılırsa bu da bilgi güvenliğidir.
Bir çalışan telefonda yetkisiz bir kişiye şirket bilgisi verirse yine bilgi güvenliğinden söz ederiz.
Bir saldırgan şirketin sistemlerine internet üzerinden girip aynı müşteri listesini çalarsa konu artık doğrudan siber güvenliğin de alanına girer.
Kısaca şöyle düşünebiliriz:
Bilgi güvenliği bilgiyi korur.
Siber güvenlik ise dijital dünyadaki sistemleri, ağları ve bilgileri korumaya odaklanır.
İkisinin ortak merkezinde ise aynı şey vardır: Değerli olanı korumak.
2010: Stuxnet ile Ekrandan Fiziksel Dünyaya
2010 yılında ortaya çıkarılan Stuxnet, siber güvenlik tarihinin en önemli olaylarından biri oldu.
Çünkü artık saldırının sonucu yalnızca: “Bilgisayarım çalışmıyor.” değildi.
Stuxnet, İran’ın nükleer programında kullanılan endüstriyel sistemleri hedef aldı ve fiziksel ekipman üzerinde gerçek dünyada etki oluşturdu.
Bu olay dünyaya çok önemli bir mesaj verdi:
Bir siber saldırı artık fiziksel dünyaya zarar verebilir.
Bu noktadan sonra enerji santralleri, fabrikalar, ulaşım sistemleri, sağlık kuruluşları ve diğer kritik altyapıların siber güvenliği çok daha önemli hale geldi.
Bilgisayar güvenliği artık yalnızca bilgisayar departmanının problemi değildi.
Bir ülkenin enerji güvenliğinin bile parçasıydı.
2017: WannaCry – Bir Sabah Dünyanın Bir Bölümü Çalışamadı
12 Mayıs 2017’de WannaCry adlı fidye yazılımı dünya çapında yayılmaya başladı.
150’den fazla ülkedeki yüz binlerce bilgisayarın etkilendiği bildirildi.
En dikkat çekici örneklerden biri İngiltere’nin sağlık sistemi NHS oldu.
Hastanelerde bilgisayar sistemleri etkilendi.
Bazı randevular ve operasyonlar iptal edildi.
Ambulans hizmetleri ve sağlık süreçlerinde aksaklıklar yaşandı.
Buradaki kritik nokta şuydu:
Bir bilgisayar saldırısı artık sadece verilerin kaybolması anlamına gelmiyordu.
İnsanların günlük yaşamını doğrudan etkileyebiliyordu.
Bir anda şu denklem çok daha görünür hale geldi:
Siber Güvenlik → İş Sürekliliği → İnsan Hayatı
Bugün Koruduğumuz Şey Artık Sadece Bilgisayar Değil
Bugün siber güvenlik dünyası geçmişten çok daha karmaşık.
Cep telefonlarımız var. Bulut sistemlerimiz var. Akıllı otomobillerimiz var. Akıllı evlerimiz var.
Hastanelerde internete bağlı cihazlarımız var. Fabrikalarımız dijitalleşiyor.
Bankacılık işlemlerimizi telefonlardan gerçekleştiriyoruz.
Kimliğimizin önemli bir bölümü artık dijital ortamda bulunuyor.
Bu nedenle bugün korumaya çalıştığımız şey aslında bilgisayar değil.
Hayatımızın dijital karşılığı.
Bir saldırgan artık yalnızca dosyalarınızı silmeye çalışmıyor.
Kimliğinizi çalabilir. Banka hesabınıza ulaşabilir. Şirketinizin verilerini ele geçirebilir. Üretimi durdurabilir.
Hastanenin sistemlerini kullanılamaz hale getirebilir.
Bir şirket adına sahte ödeme talimatı gönderebilir.
Yani siber güvenlik, teknoloji departmanının teknik konusu olmaktan çoktan çıktı.
Binlerce Yıl Geçti, Problem Pek Değişmedi
Antik çağdaki bir komutanın elinde parşömen vardı.
II. Dünya Savaşı’nda Enigma vardı.
1970’lerde ARPANET vardı.
1990’larda kişisel bilgisayarlar vardı.
2000’lerde e-posta vardı.
Bugün bulut sistemleri, akıllı telefonlar ve milyarlarca bağlantılı cihaz var.
Araçlar değişti.
Ama soru aynı kaldı:
“Bu bilgiye kim ulaşabilir?”
Ardından ikinci soru geldi:
“Bu bilginin değiştirilmediğinden emin miyiz?”
Ve üçüncüsü:
“İhtiyacımız olduğunda bu bilgiye ulaşabilecek miyiz?”
Bugünkü bilgi güvenliğinin temelindeki gizlilik, bütünlük ve erişilebilirlik düşüncesi de aslında bu üç basit sorunun sistematik hale getirilmiş biçimidir.
Sonuç: Siber Güvenliğin Tarihi Aslında İnsanlığın Tarihidir
Siber güvenliğin doğum tarihini tek bir güne yazmak mümkün değil.
Çünkü siber güvenlik bir sabah ortaya çıkmadı.
Önce insan bilgiyi değerli gördü. Sonra onu saklamaya çalıştı. Şifrelemeyi geliştirdi. Bilgisayarları icat etti. Bilgisayarları birbirine bağladı. İnterneti kurdu.
Ve sonunda çok önemli bir şeyi fark etti:
Bağlantı arttıkça fırsatlar kadar riskler de artıyordu.
Creeper’dan Morris Worm’a, ILOVEYOU’dan Stuxnet’e, WannaCry’dan günümüzdeki büyük veri ihlallerine kadar yaşanan her olay güvenlik dünyasına yeni bir ders verdi.
Fakat binlerce yıllık hikâyenin belki de en ilginç tarafı şu:
Teknoloji inanılmaz ölçüde değişti.
İnsan pek değişmedi.
Hâlâ merak ediyoruz. Hâlâ güveniyoruz. Hâlâ acele ediyoruz. Hâlâ hata yapıyoruz. Ve hâlâ değerli bilgileri korumaya çalışıyoruz.
Bu nedenle siber güvenliği yalnızca antivirüs, güvenlik duvarı, parola veya bir yazılım ürünü olarak görmek eksik kalıyor.
Siber güvenlik aslında binlerce yıldır devam eden bir mücadelenin modern adı:
Bilgiyi koruma mücadelesi.
Ve görünen o ki bu hikâyenin son bölümü henüz yazılmadı.
Seyhan Tekelioğlu
