Kritik Altyapılarda 1071 ve 1453 Şifreleri Tespit Edildi

Türkiye’de kritik altyapıların siber güvenliğine ilişkin incelemede, bazı sistemlerde “1071” ve “1453” gibi kolay tahmin edilebilen şifrelerin kullanıldığı bildirildi. Bulgular, 430 tesise yönelik siber güvenlik incelemesiyle gündeme geldi. Ancak mevcut bilgiler, bu parolaların kaç tesiste ya da hangi tür sistemlerde kullanıldığını ortaya koymuyor. Bu nedenle sonucu bütün tesislere genellemek mümkün değil.

Yine de kritik hizmet sunan kurumlarda tahmini kolay şifrelerin bulunması, temel güvenlik uygulamalarının önemini hatırlatıyor. Parolalar tek başına bir kurumu korumaya yetmez; buna karşın zayıf kimlik bilgileri, saldırganların bir hesaba erişmek için kullanabileceği yolları kolaylaştırabilir. Bir hesabın ele geçirilmesi de kurumun sistemlerine ve bu sistemlere bağlı hizmetlere yönelik risk yaratabilir.

Kolay tahmin edilen parolalar nasıl risk oluşturuyor?

“1071” ve “1453”, Türkiye’de tarihsel çağrışımları bulunan ve bu nedenle tahmin edilmesi görece kolay sayılar. Parolanın zayıflığı yalnızca kısa olmasından kaynaklanmaz. Yaygın kullanılan sözcükler, sayılar ve kişisel ya da kültürel çağrışımlara dayanan kombinasyonlar da otomatik parola denemelerinde karşılaşılabilecek seçenekler arasındadır.

Yetkisiz erişim sağlandığında saldırgan, hesabın izin verdiği ölçüde sistemdeki bilgilere ulaşabilir veya değişiklik yapabilir. Ele geçirilen bir hesap başka saldırılarda kullanılabilir; bazı durumlarda sistemlerin çalışması da etkilenebilir. Olası sonuçlar, hesabın yetkilerine ve bağlı olduğu altyapıya göre değişir. Bu yüzden tek bir parola bulgusundan hareketle belirli bir hizmetin aksadığını ya da doğrudan saldırı altında olduğunu söylemek doğru olmaz.

İncelemenin 430 tesisi kapsadığı belirtilse de açıklanan bilgiler, her tesisteki güvenlik durumunu veya tespit edilen açıkların dağılımını ayrıntılandırmıyor. 1071 ve 1453 şifrelerinin kaç sistemde bulunduğuna dair de bir sayı paylaşılmıyor. Dolayısıyla bulgular, belirli tesisler hakkında ayrıntılı bir tablo sunmaktan çok, kritik altyapılarda temel siber güvenlik kontrollerinin gözden geçirilmesi gerektiğine işaret ediyor.

Parola güvenliği daha geniş bir planın parçası

Kurumlar için ilk adımlardan biri, tahmini kolay parolaları daha güçlü seçeneklerle değiştirmek ve her hesapta farklı kimlik bilgileri kullanmaktır. Böylece bir hesabın parolasının açığa çıkması, aynı bilgilerin kullanıldığı diğer hesapları da otomatik olarak riske atmaz. Çok faktörlü kimlik doğrulama ise parola ele geçirilse bile erişimi doğrulamak için ek bir katman sunabilir.

Ancak güvenliği yalnızca parola değişikliğine indirgemek yeterli olmaz. Çalışanların ve hizmet hesaplarının erişim yetkileri ihtiyaçlarıyla sınırlı tutulmalı; kullanılmayan hesaplar ve gereğinden geniş izinler düzenli olarak gözden geçirilmelidir. Sistemlerin denetlenmesi, yazılımların güncel tutulması ve şüpheli etkinliklerin izlenmesi de kurumların güvenlik çalışmalarında yer alabilecek temel uygulamalardır.

Kritik altyapılarda bu kontrollerin önemi, hizmetlerin birbirine ve kurum dışındaki süreçlere bağlı olabilmesinden kaynaklanıyor. Bir hesabın etkisi yalnızca o kullanıcının eriştiği bilgilerle sınırlı kalmayabilir; bağlantılı sistemlere yönelik riskler de değerlendirilmelidir. Bununla birlikte, eldeki bulgular belirli bir saldırının yaşandığını veya hizmetlerin kesintiye uğradığını göstermiyor.

430 tesise yönelik incelemede aktarılan parola örnekleri, güvenlik süreçlerinin temel unsurlarının da düzenli biçimde kontrol edilmesi gerektiğini ortaya koyuyor. Kolay tahmin edilen şifreler tek başına bir kurumun bütün güvenlik durumunu açıklamaz. Ancak güçlü parolalar, sınırlı erişim yetkileri, düzenli denetimler ve etkin izleme birlikte ele alındığında kritik sistemleri korumaya yönelik daha sağlam bir yaklaşım oluşturabilir.