Saat gece yarısını çoktan geçmiş, 02:48 sularıydı. testCompany ana kampüsündeki SIEM ekranında, dinlenme odasındaki 'akıllı' kahve makinesinden gelen garip bir trafik fark ettim. Cihaz, kurumun içindeki bir domain controller'a SMB üzerinden bağlantı denemeleri yapıyordu. Kahve makinesinin neden Active Directory ile konuşmak istediğini sormak için çok geçti; çünkü o an anladım ki, ağımızda bir 'zombi' vardı. İşin kötüsü, bu cihazı envanterde bile göremiyorduk; birisi 'ofise kolaylık olsun' diye kendi cebinden alıp getirmiş ve misafir ağı yerine doğrudan kurumsal Wi-Fi'ye bağlamıştı.
IoT (Internet of Things) dünyası, biz güvenlikçiler için tam bir 'Vahşi Batı'. Donanım üreticilerinin çoğu, cihazın çalışmasına odaklanırken güvenliği 'olsa da olur' bir özellik olarak görüyor. Sonuç mu? Default şifreler, şifrelenmemiş protokoller ve asla güncellenmeyen firmware'ler.
İlk Durak: Default Kimlik Bilgileri ve Unutulan Protokoller
Saldırganlar genellikle en az direnç gösteren yolu seçer. IoT cihazlarında bu yol, genellikle admin:admin veya root:12345 gibi varsayılan kimlik bilgileridir. Bir Red Team operasyonunda, binlerce cihazı kapsayan bir ağda sadece bu basit kombinasyonlarla bile içeriye sızmak çocuk oyuncağı.
Ancak mesele sadece SSH veya Telnet değil. Birçok IoT cihazı, haberleşme için MQTT (Message Queuing Telemetry Transport) protokolünü kullanır. Eğer bu protokolü şifrelemezseniz ve yetkilendirme (authentication) mekanizması kurmazsanız, ağdaki herkes cihazın 'kalp atışlarını' dinleyebilir.
Örneğin, ağda dolaşan bir saldırganın basit bir komutla neler görebileceğine bakalım (Tabii ki defanged formatta):
# Yerel ağdaki MQTT trafiğini dinlemek
# Saldırganın cihaz durumlarını ve hassas verileri görmesi
mosquitto_sub -h 127.0.0.1 -t 'testCompany/iot/devices/#' -v
# Çıktı örneği:
testCompany/iot/devices/door_lock/status "UNLOCKED"
testCompany/iot/devices/camera_01/config "user:admin,pass:supersecret123"
Yukarıdaki örnekte görüldüğü gibi, şifrelenmemiş bir MQTT kanalı, kapı kilidinin durumundan kamera şifrelerine kadar her şeyi açık edebilir. Savunma tarafında yapmamız gereken ilk şey, tüm IoT trafiğini TLS (MQTTS) ile sarmalamak ve her cihaz için benzersiz sertifikalar kullanmaktır.
Firmware İçindeki Hazine: Binwalk ve Ötesi
Cihazın dışarıya bakan servisleri kapalı olsa bile, fiziksel erişim sağlayan bir saldırgan firmware'i dump edebilir. Firmware analiz etmek, cihazın ruhuna dokunmak gibidir. binwalk gibi araçlarla bir firmware dosyasını parçaladığınızda, karşınıza genellikle özensizce bırakılmış sırlar çıkar.
Saldırganın firmware içinden nasıl hassas bilgi ayıkladığını simüle edelim:
# Firmware dosyasını analiz etme
binwalk -e iot_firmware_v1.0.bin
# Çıkarılan dosya sistemi içinde hassas anahtar arama (Pseudo-code logic)
grep -r "PRIVATE KEY" ./extracted_filesystem/
grep -r "db_password" ./extracted_filesystem/
Burada karşılaştığımız en büyük risk, geliştiricilerin 'hardcoded' olarak kodun içine gömdüğü API keyler veya root şifreleridir. Biz savunmacılar olarak, donanım seviyesinde Secure Boot mekanizmalarını aktif etmeli ve firmware güncellemelerini mutlaka kriptografik olarak imzalamalıyız. Eğer cihaz güncellenemiyorsa, o cihaz bir 'teknolojik atıktır' ve güvenli bir ağda yeri yoktur.
Yatayda Hareket (Lateral Movement) ve Segmentasyon
IoT güvenliğinde en ölümcül hata, bu cihazları ana kurumsal ağ ile aynı VLAN'e koymaktır. Kahve makinesi saldırıya uğradığında, saldırganın ilk yapacağı şey ağda tarama (scanning) yapmaktır.
Basit bir nmap taraması ile saldırganın neler görebileceğini hayal et:
# Zararsızlaştırılmış Nmap tarama sonucu
Nmap scan report for 127.0.0.1
PORT STATE SERVICE
80/tcp open http (IoT Web Interface - Default Creds!)
445/tcp open microsoft-ds (Internal File Server - Target!)
Saldırgan, savunmasız IoT cihazını bir pivot noktası olarak kullanır. Donanım seviyesinde bir zafiyetten sızıp, SMB üzerinden içerideki dosya sunucusuna ulaşır. Bu yüzden Ağ Segmentasyonu bir lüks değil, zorunluluktur. IoT cihazları; sadece kendi ihtiyaç duydukları servislerle konuşabilen, dış dünyaya ve hassas iç sunuculara kapalı, izole VLAN'lerde yaşamalıdır.
'Shadow IoT' ile Başa Çıkmak
İşin en zor kısmı, bilmediğin şeyi koruyamazsın. Ofise gizlice sokulan o 'akıllı' vantilatör, senin tüm siber güvenlik stratejini çökertebilir. Bunu engellemek için NAC (Network Access Control) çözümleri şart. Bir cihaz ağa takıldığı anda MAC adresi ve profil analizi yapılmalı, eğer onaylı bir cihaz değilse 'karantina' VLAN'ine atılmalıdır.
Savunma tarafında uygulayabileceğimiz bir diğer teknik ise MUD (Manufacturer Usage Description) profilleridir. MUD, bir cihazın ağda ne tür bir davranış sergileyeceğini (hangi IP'lerle hangi porttan konuşacağını) belirten bir standarttır. Eğer bir akıllı lamba sadece üreticisinin bulut sunucusuna HTTPS ile bağlanmak yerine, senin veritabanı sunucuna bağlanmaya çalışıyorsa, firewall bu kural dışı trafiği anında bloklamalıdır.
Sonuç Niyetine: Donanımı Unutma
Siber güvenlik sadece yazılım ve buluttan ibaret değil. Elinde tuttuğun, masanda duran veya tavanına asılı olan o küçük plastik kutular, bazen en büyük güvenlik açıkların olabilir. Biz testCompany bünyesinde bu tür cihazları her zaman 'potansiyel birer düşman' gibi görüp, 'Sıfır Güven' (Zero Trust) prensibiyle yaklaşıyoruz.
Unutma, bir zincir en zayıf halkası kadar güçlüdür ve o halka bazen mutfaktaki kahve makinesidir. Bir dahaki sefere ağa yeni bir 'akıllı' cihaz eklerken, onun aslında ağında bir delik açıp açmadığını iki kez düşün. Donanım serttir, kırması zordur ama bir kez kırıldı mı, içerideki sessiz işgali fark etmen aylarını alabilir.
Hadi şimdi git ve ağındaki o 'garip' cihazları bir tara bakalım. Kim bilir, belki senin kahve makinen de şu an Brezilya ile konuşuyordur.