Gizli Hesaplama ve Kurumsal Veri Güvenliği

1. Gizli Hesaplama Temelleri ve Çalışma Mantığı

Konuyu on beş yaşında birinin kolayca zihninde canlandırabileceği bir örnekle açıklayarak başlayalım. Hayal edin ki elinizde dünyanın en lezzetli ve gizli kek tarifi var. Bu tarifi evinizdeki çelik kasada saklıyorsunuz. Bu durum verinin durağan halde şifrelenmesini temsil eder. Tarifi bir arkadaşınıza zırhlı bir araçla gönderiyorsunuz. Bu da verinin hareket halindeyken şifrelenmesidir. Ancak arkadaşınız bu keki yapmak için tarifi mutfak tezgahına koyup okumak zorundadır. Eğer o an mutfağın penceresinden biri içeri bakarsa tarifi rahatlıkla görebilir. Bilgisayar dünyasında mutfak tezgahı sistem belleğini yani RAM birimini temsil eder. Pencereden bakan kişi ise sisteme sızmış bir bilgisayar korsanıdır.

İşte gizli hesaplama tam bu noktada devreye girer. Arkadaşınızın mutfağının ortasına dışarıdan kesinlikle görünmeyen özel bir sihirli çadır kurar. Arkadaşınız keki sadece bu çadırın içinde tarifi okuyarak yapar ve dışarıya sadece pişmiş keki çıkarır. Çadırın dışındaki hiç kimse hatta mutfağın sahibi bile içeride hangi malzemelerin kullanıldığını göremez. Bilgisayar terminolojisinde bu sihirli çadıra Güvenilir Yürütme Ortamı adı verilir.

Güvenilir Yürütme Ortamı işlemcinin içinde donanımsal olarak ayrılmış son derece güvenli bir bölgedir. Bir bilgisayarın işletim sistemi bir virüs tarafından tamamen ele geçirilmiş olsa dahi saldırganlar bu güvenli bölgenin içine giremez. Veriler sabit diskten belleğe şifreli olarak gelir sadece bu güvenli alanın içine girdiğinde ve tam işleneceği milisaniyeler boyunca çözülür işlem biter bitmez tekrar şifrelenerek dışarı aktarılır. Bu sayede verinin kullanım sırasındaki zafiyeti tamamen ortadan kaldırılmış olur.

Geleneksel bilgi işlem mimarilerinde her şey işletim sistemine ve sistem yöneticilerine güvenir. Ancak modern siber güvenlik anlayışında hiç kimseye ve hiçbir sisteme peşinen güvenilmez. Sıfır güven felsefesi olarak bilinen bu yaklaşım gizli hesaplama ile fiziksel bir gerçekliğe dönüşür. Özellikle bankalar sağlık kurumları ve kritik altyapı hizmeti veren devlet kurumları için verilerin işlenirken çalınma riski devasa boyutlardadır. Kötü niyetli yazılımlar bellek kazıma adı verilen yöntemlerle doğrudan RAM üzerinden kredi kartı numaralarını hasta kayıtlarını veya askeri sırları kopyalayabilir. Donanım tabanlı şifreleme anahtarları sayesinde bu tür bellek okuma saldırıları anlamsız karakter dizilerinden başka bir şey elde edemez.

Bu teknolojinin arkasındaki mühendislik son derece karmaşıktır. İşlemci üreticileri donanımın içine fiziksel olarak müdahale edilemeyen mikroçipler yerleştirir. Bu çipler kodun ve verinin bütünlüğünü matematiksel olarak doğrular. Eğer dışarıdan bir müdahale algılanırsa sistem kendini anında kilitler ve veriyi imha ederek ele geçirilmesini önler. Bu koruma kalkanı yazılımsal bir antivirüs programı gibi kapatılamaz veya atlatılamaz çünkü doğrudan silikonun fiziksel yapısına işlenmiştir.

2. Gerçek Dünya Vaka Analizleri ve SCADA Entegrasyonu

Gizli hesaplamanın değerini tam olarak anlamak için endüstriyel ortamlara özellikle Türkiye genelindeki fabrikalara ve üretim tesislerine bakmamız gerekir. Modern üretim tesisleri Endüstriyel Kontrol Sistemleri ve SCADA ağları ile yönetilir. Bu sistemler devasa türbinleri kimyasal karışım tanklarını veya otomotiv montaj hatlarını kontrol eder. Geçmişte bu cihazlar internete kapalıydı ancak günümüzde verimliliği artırmak için bulut sistemlerine ve kurum içi ağlara bağlanmış durumdadırlar.

Üretim bantlarında kullanılan cihazlar genellikle Modbus veya DNP3 gibi eski ve güvenlik odaklı tasarlanmamış iletişim protokollerini kullanır. Modbus protokolü doğası gereği komutları düz metin olarak iletir. Ağ üzerinde bir şifreleme katmanı eklenerek bu sorun bir nebze çözülebilse de veriler cihazın kontrol ünitesine ulaştığında işlenmek üzere belleğe şifresiz olarak aktarılır. Bu durum kritik altyapılar için devasa bir risk oluşturur.

Bir vaka analizi üzerinden ilerleyelim. Ülke çapında enerji dağıtımı yapan bir kurumu ele alalım. Bu kurum trafo merkezlerindeki sensör verilerini TCP IP ağları üzerinden merkez sunuculara taşır. Ağ trafiği şifrelidir ancak merkeze sızmayı başarmış gelişmiş bir tehdit aktörü sunucunun işletim sisteminde yönetici hakları elde eder. Geleneksel mimaride saldırgan sunucunun belleğini okuyarak hangi trafonun ne kadar yük taşıdığını görebilir ve sahte komutlar üreterek elektrik kesintilerine yol açabilir. Ancak merkez sunucuda gizli hesaplama mimarisi devredeyse SCADA yazılımı güvenli bölge içinde çalışır. Saldırgan sunucuyu ele geçirse bile işlemcinin içindeki güvenli bölgeye sızamaz verileri okuyamaz ve sahte komut üretemez.

Benzer bir durum yapay zeka modellerinin eğitilmesi süreçlerinde de yaşanır. Birçok şirket yapay zeka ajanlarını eğitmek için müşteri verilerini bulut sunucularına yüklemektedir. Bulut hizmeti sağlayan dev teknoloji şirketleri verilerinizi çalmayacaklarına dair sözleşmeler imzalar. Ancak bir siber güvenlik uzmanı sözleşmelere değil kriptografik kanıtlara güvenir. Gizli hesaplama ile kurumlar verilerini buluta yüklerken sadece güvenilir yürütme ortamında açılacak şekilde şifreler. Böylece bulut sağlayıcısının sistem yöneticileri bile kurumun hassas müşteri verilerini veya yapay zeka algoritmalarını göremez.

Bu tablo endüstriyel ve modern teknoloji alanlarında donanımsal şifrelemenin sadece bir yazılım özelliği değil kritik bir altyapı savunma mekanizması olduğunu açıkça göstermektedir. Nesil Teknoloji gibi profesyonel kurumlar bu tür karmaşık ortamların güvenliğini doğrularken donanım seviyesindeki zafiyetleri de hesaba katarak analiz yaparlar.

3. Siber Güvenlik Araçları ve Tehdit Modellemesi

Kurumsal ağların savunulması saldırganların nasıl düşündüğünü ve hangi araçları kullandığını anlamakla başlar. Gerçek bir siber saldırı genellikle keşif sızma yetki yükseltme ve veri sızdırma aşamalarından oluşur. Bu aşamalarda hem saldırganlar hem de sistemi test eden uzmanlar belirli standart araçlar kullanır. Gizli hesaplamanın gücünü anlamak için bu araçların geleneksel sistemlerde nasıl başarılı olduğunu ve yeni nesil donanım korumaları karşısında nasıl etkisiz kaldığını incelemeliyiz.

Ağ keşfi denildiğinde akla ilk gelen araç Nmap yazılımıdır. Nmap hedef ağdaki bilgisayarları açık bağlantı noktalarını ve çalışan servisleri tespit etmek için ağ paketleri gönderir. Bu araç bir kapının kilitli olup olmadığını kontrol eden bir güvenlik görevlisi gibi çalışır. Hedef sistemin röntgenini çeker. Ancak Nmap tek başına sistemi ele geçirmez sadece zayıf noktaları raporlar.

Zayıf noktalar bulunduğunda devreye Metasploit gibi gelişmiş sızma ve istismar çerçeveleri girer. Metasploit bulunan açık kapıdan içeri girmek için özel olarak hazırlanmış kod parçacıkları kullanır. Bir kez sisteme sızıldığında saldırganlar genellikle doğrudan belleğe yani RAM birimine odaklanır. Çünkü şifreler oturum anahtarları ve kritik veriler işlem yapılabilmesi için bellekte şifresiz olarak tutulmaktadır. Mimikatz gibi özel araçlar işletim sisteminin bellek yönetimini istismar ederek bu açık verileri avlar.

Eğer kurum geleneksel bir sunucu altyapısı kullanıyorsa Metasploit ile içeri sızan ve sistem yöneticisi haklarını elde eden bir saldırgan tüm belleği kopyalayabilir. Tüm müşteri veritabanı şifreleme anahtarları ve ticari sırlar dakikalar içinde çalınır. Ancak sunucu donanımında gizli hesaplama teknolojisi aktifse senaryo tamamen değişir.

Saldırgan yine Metasploit kullanarak işletim sistemine sızabilir ve yönetici yetkilerini alabilir. Ancak bellekten veri okumaya çalıştığında işlemcinin donanımsal koruması devreye girer. Güvenilir Yürütme Ortamı içindeki veriler yüksek entropili şifreleme algoritmaları ile korunur. Saldırganın ekranda göreceği tek şey anlamsız rastgele harf ve rakam yığınları olacaktır. Sistem yöneticisi yetkisine sahip olmak bile donanımın içine fiziksel olarak kazınmış bu kilit mekanizmasını açmaya yetmez.

Bu koruma katmanı siber savunma stratejilerinde ezber bozan bir gelişmedir. Çünkü artık savunma hattı sadece yazılımlardan ibaret değildir doğrudan fiziksel işlemci birimlerine kadar derinleşmiştir. Bir sistemin bu derece karmaşık saldırılara karşı ne kadar dayanıklı olduğunu ölçmek ise son derece uzmanlık gerektiren bir süreçtir.

4. Regülasyonlar ve Nesil Teknoloji Yaklaşımı

Teknolojinin gelişmesiyle birlikte ülkelerin ve uluslararası kurumların veri güvenliği konusundaki hukuki beklentileri de değişmektedir. Sadece bir güvenlik duvarı kurmak artık kanunlar önünde yeterli bir önlem olarak kabul edilmemektedir. Kurumların veriyi her aşamada koruma altına aldığını ispatlaması gerekmektedir.

Kişisel Verilerin Korunması Kanunu KVKK Türkiye de faaliyet gösteren tüm kurumlar için bağlayıcıdır. Kurumlar işledikleri kişisel verilerin güvenliğini sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır. Veri sızıntısı durumunda verilerin kullanım sırasında şifresiz halde bulunması kurumlar için büyük cezai yaptırımlara neden olmaktadır. Gizli hesaplama teknolojisi verinin işlendiği anda dahi şifreli kalmasını sağlayarak en yüksek seviyede KVKK uyumluluğu sunar.

Uluslararası alanda ise ISO 27001 Bilgi Güvenliği Yönetim Sistemi ve NIST standartları kurumların yol haritasını belirler. ISO 27001 kriptografik kontrollerin uygulanmasını şart koşar. Geleceğin siber güvenlik standartları verinin sadece diskte değil kullanım sırasında da şifrelenmesini zorunlu kılma eğilimindedir. Özellikle kamu kurumları ve savunma sanayi şirketleri bu regülasyonlara tam uyum sağlamak zorundadır.

Bu noktada doğru siber güvenlik iş ortağını seçmek kurumlar için hayati bir karardır. Sistemlerinizin dışarıdan gelecek saldırılara karşı ne kadar dirençli olduğunu görmek için sızma testleri yani penetrasyon testleri yaptırmanız gerekir. Ancak bu testleri yapacak kurumun yetkinliği doğrudan elde edilecek sonucun kalitesini belirler.

Nesil Teknoloji Türk Standardları Enstitüsü tarafından verilen TSE A Sınıfı Sızma Testi yetkisine sahip profesyonel bir siber güvenlik kurumudur. Bu belge bir kurumun sadece yüzeysel taramalar yapmadığını uluslararası standartlarda derinlemesine ve son derece detaylı güvenlik analizleri gerçekleştirebildiğini kanıtlar. Hedef kitlemiz olan Türkiye genelindeki kamu kurumları fabrikalar üretim tesisleri ve özel sektör kuruluşları için en kritik gereksinim bu seviyede bir uzmanlıktır.

Nesil Teknoloji uzmanları Red Team operatörleri olarak sistemlerinizi tıpkı gerçek bilgisayar korsanları gibi test eder. Endüstriyel kontrol sistemlerinizden bulut tabanlı sunucularınıza kadar her bir noktayı incelerler. Uygulanan sızma testleri sadece bilinen yazılım hatalarını değil bellek yönetimi donanım tabanlı yalıtım eksiklikleri ve ağ protokollerindeki mimari zayıflıkları da ortaya çıkarır. Gizli hesaplama gibi ileri düzey teknolojilerin kurum altyapınıza doğru entegre edilip edilmediğini doğrulamak ancak TSE A Sınıfı yetkinliğe sahip uzman kadrolar ile mümkündür.

Kurumsal verileriniz şirketinizin en değerli varlığıdır. Bu varlıkları korumak sadece yazılım satın alarak değil kurum kültürünü güvenli donanım mimarileriyle birleştirerek sağlanır. Üst düzey güvenlik standartlarına ulaşmak ve sistemlerinizin gerçek dünya saldırılarına karşı ne kadar hazır olduğunu görmek için uzman mühendis kadromuzla yanınızdayız.

Sık Sorulan Sorular