Askeri Platformlar için Siber Güvenlik Çözümleri Zenginleşiyor

Teknoloji ve bilgi çağında veri hayatımızın önemli bir kısmını oluşturuyor. Veri trafiği arttıkça insanların genelinin bilgileri de dahil olmak üzere çok çeşitli bilgi erişilebilir hâle geliyor. Bu bilgilerin güvenliğini kapsayan siber güvenlik alanı ise hem sivil hem de askeri alanda büyük önem kazanıyor. Hayatın hemen her alanında merkezi bir rol edinmiş olan bilgi ve iletişim teknolojileri sağladığı geniş imkânlar yanında güvenlik risklerini de beraberinde getiriyor. 1990’lardan itibaren devletler, beşinci boyut olarak değerlendirilen siber uzayın sağladığı imkânları askeri kapasitelerini geliştirmede yeni bir fırsat olarak görüyor. Bu doğrultuda uluslararası sistemde küresel ve bölgesel güç konumunda olan birçok devlet hatta uluslararası kuruluş kendi siber savunma ve saldırı yeteneklerini artırmak amacıyla siber güvenlik stratejileri ortaya koymaya devam ediyor.

Özellikle askeri platformların siber güvenliği geleceğin savaş alanlarında galibi belirlemede önemli bir rol oynayacak gibi görünüyor. Askeri platformların siber güvenliğini sağlayan sistemler ve kuruluşlar giderek daha fazla önem kazanarak bu alanda ciddi bir yatırım imkânı oluşturuyor. Gelecekte artacağı öngörülen teknoloji yatırımları da düşünüldüğünde artan veri ihtiyacını karşılayacak veri merkezleri, bulut teknolojileri ve diğer veri depolama sistemleri siber güvenlik alanında her zamankinden daha fazla desteğe ihtiyaç duyabilir. Bu noktada askeri platformlarda uygulanacak yüksek kapasiteli siber güvenlik çözümlerinin sivil hayata da örnek olması mümkün görülüyor.

Askeri Platformların Karşılaştığı Siber Güvenlik Sorunları

Günümüzde birçok yeni teknoloji daha kolay kullanım imkânı oluşturduğundan yapay zekâyı (Artificial Intelligence -AI) içerisine entegre ederek faaliyet gösteriyor. Yapay zekâ destekli sistemler geleneksel askeri platformların aksine siber saldırılara karşı oldukça savunmasız olabiliyor. Bu da bilgisayar korsanlarının hassas askeri verilere erişip bunları manipüle etmeleri veya askeri operasyonları aksatmaları için yeni giriş noktaları sağlıyor.

Ülkeler yapay zekâyı geleneksel askeri sistemlere dahil etmeye devam ederken rakiplerin veya düşmanların yapay zekâ modellerindeki zayıflıkları istismar etmek için yapay zekânın merkezindeki veri kümelerini tehdit ediyor. Yapay zekâ destekli platformların bütün entegrasyonlarına, dış etkenlerin manipülasyonlarına karşı oldukça hassas oldukları anlayışıyla yaklaşılması gerekiyor. Devletlerin ise belirlenen zaafların, yapay zekâ entegrasyonunu nasıl etkileyeceğini değerlendirmek için risk tabanlı bir strateji izlemesi gerekiyor.

Askeri platformlara karşı düzenlenen siber saldırıların en yaygın biçimi olan bütünlük saldırıları (Integrity Attacks) yapay zekâ sistemlerini hatalı kararlar almaya yönlendirmeyi amaçlıyor. Veri kirlenmesi durumunda saldırganlar eğitim verilerini manipüle ederek yapay zekânın yanlış kalıplar öğrenmesine neden oluyor. Askeri platformlarda bu manipülasyonlar doğru hedefleri belirleyememekten dost kuvvetlerini yanlışlıkla düşman olarak belirleme gibi felaketle sonuçlanan başarısızlıklara kadar çeşitli senaryolara yol açabiliyor. Başka bir bütünlük saldırısı türü olan kaçınma teknikleri (Evasion Techniques) modeldeki kusurları istismar ederek tek bir kurcalanmış veri noktasından bile tespit sistemlerinde yanlış tanımlamaya neden olabiliyor.

Bilgisayar korsanları gizlilik saldırıları (Confidentiality Attacks) yoluyla sistemin çalışması veya eğitim verileri hakkında korunan bilgileri çıkarıyor. Bu saldırılar bazı askeri modellerin eğitildiği gizli veya hassas verilerin ortaya çıkması nedeniyle önemli güvenlik ihlallerine yol açabiliyor. Altta yatan model hakkında daha fazla bilgi sahibi olunduğunda tespit yeteneklerini kandırma yöntemleri de dahil olmak üzere daha fazla istismarın keşfedilmesi mümkün oluyor.

Son olarak hizmet reddi (Denial-of-Service -DoS) ve fidye yazılımı (Ransomware) da dahil olmak üzere kullanılabilirlik saldırıları kritik sistemlerin kullanılabilirliğini engellemeyi amaçlıyor. Askeri bir bağlamda bu, lojistik ve tedarik zincirlerini yöneten yapay zekâ sistemlerini bozmak ve kritik zamanlarda tedarik sıkıntısına yol açmak anlamına gelebilir. Bu saldırı yöntemleri yapay zekâ sistemlerine özgü değil ancak yine de bir tehdit oluşturabiliyor.

Küresel ölçekte yaşanan yeşil enerji yaklaşımı ve elektrikli araçların artması askeri alanda da etki gösteriyor. Aralarında ABD, Almanya, Fransa, İngiltere ve Avustralya’nın da olduğu birçok ülke, tanklar da dahil birçok araçta elektrik motoru ve sistemlerini kullanmaya başlıyor. Böylece daha fazla elektronik sistem askeri platformlara eklendikçe yeni siber tehditler oluşabiliyor.

Askeri Platformlar için Siber Güvenlik Çözümleri

Günümüzde birçok ticari ve askeri platform entegratörü yerleşik çerçeveler, standartlar ve mühendislik süreçleri tarafından yönlendirilen bütünsel bir siber savunma stratejisi kullanıyor. Son 10 yılda bu stratejiler çeşitli endüstrilere başarıyla hizmet etti ve platform operatörlerini zarardan korudu. Günümüzde düşünce kuruluşları gelecekteki platform dayanıklılık yeteneklerini uygulamak için yeni çerçeveler, süreçler, araçlar ve teknolojiler oluşturuyor. Ulusal Standartlar Enstitüsü (National Institute of Standard -NIST) geliştirdiği sistem güvenlik çerçeveleri ve dayanıklı siber uygulamalarla kritik zorlukları belirleyerek bu alanda öncülük ediyor. NIST SP 800-160 cilt 1 (2018) ve cilt 2 (2021) belgeleri4, geliştirme kuruluşlarının siber güvenlik ve siber dayanıklılık hakkında bilgi edinmeleri için mükemmel bir başlangıç noktası sağlıyor. Bu iki belge ayrıca siber dayanıklılık işlevlerini uygulamak için gereken endüstri ve ürün grubuna özgü mühendislik süreçlerini geliştirmek için bir fırsat yaratıyor.

İngiltere Savunma Bakanlığının (Ministry of Defence -MoD) 2019 yılında, siber güvenliğin hem dahili hem de tedarik zinciri genelinde sistemlerine ve yeteneklerine nasıl yerleştirileceğini dönüştürmeyi amaçlayan “Tasarımla Güvenlik Girişimi”ni (Secure by Design Initiative) başlattığı biliniyor.

Bu yeni yaklaşımın siber güvenliğin hükümet departmanı genelindeki yetenek programlarında nasıl ele alındığını değiştirmesi ve önceki MoD akreditasyon tabanlı uyumluluktan “sürekli risk yönetimine” geçişini sağlaması bekleniyor. Tasarımla Güvenlik, bir yaşam döngüsünün sonunda eklenmek yerine bir programın başlangıcından itibaren güvenlik ve dayanıklılığın yerleştirilmesini gerektiriyor. Ekiplerin sistemlerde güvenlik parametrelerini oluşturmasını desteklemek için bir dizi araç, rehberlik ve süreç geliştiriliyor. Bu sistem projelerin olgunluklarını güvenlik politikası ve teknik rehberliğe göre kendi kendilerine değerlendirmelerini sağlayan bir öz değerlendirme aracını da içeriyor.

Tasarıma göre güvenlik İngiltere ve ABD hükümetleri tarafından teşvik edilen bir yaklaşım olarak öne çıkıyor. İngiltere’de, hükümet destekli Dijital Tasarıma Göre Güvenlik (Digital Security by Design -DSbD) projesi temel bilgisayar donanımını güvence altına almayı ve çoğu güvenlik açığının oluşmasını engellemeyi amaçlıyor.

ABD’de kullanılan tasarıma göre güvenlik ise siber güvenliğin yükünü bireylerden, küçük işletmelerden ve yerel yönetimlerden teknoloji şirketlerine kaydırmayı amaçlayan Beyaz Saray Ulusal Siber Güvenlik Stratejisi’nin temel bir bileşeni olarak biliniyor.

ABD Savunma Bakanlığı, Savunma Sanayi Üssü (Defense Industrial Base -DIB) Siber Güvenlik Stratejisi ile tüm askeri platformların siber tehditlere karşı dayanıklı olmasını sağlamada kritik öneme sahip olan savunma sanayii üssünü güvence altına almak için kapsamlı bir strateji ortaya koydu. 2024’te tanıtılan bu strateji, giderek daha karmaşık hâle gelen düşmanlara karşı güvenliği güçlendirmek için hükümet ve özel savunma yüklenicileri arasındaki işbirliğinin önemini vurguluyor.

ABD’nin Siber Güvenlik Stratejisi özellikle kamu ve özel sektörler arasındaki güçlü işbirliğinin siber alanı güvence altına almak için elzem olduğunu kabul ediyor. ABD’nin siber alanda rolleri, sorumlulukları ve kaynakları nasıl tahsis ettiği konusunda iki temel değişimi ana hatlarıyla belirtiyor.

Bunların ilkinde siber alanı savunma sorumluluğu, siber güvenlik yükünün bireylerden, küçük işletmelerden, yerel yönetimlerden ve altyapı operatörlerinden uzaklaştırılarak ve herkes için riskleri azaltmak amacıyla en yetenekli ve en iyi konumda olan kuruluşlara kaydırılması yoluyla yeniden dengelemeyi hedefliyor. İkinci kısımda ise günümüzün acil tehditlerine karşı ülkenin savunması ve aynı anda dayanıklı bir gelecek için stratejik planlama yapılması ile yatırım yapılması arasında dikkatli bir denge kurarak teşviklerin uzun vadeli yatırımları destekleyecek şekilde yeniden hizalanmasını içeriyor.

Türkiye’de siber alanda mücadele edebilmesi amacıyla günümüze kadar çok sayıda kurum ve kuruluşun yetkili kılındığı biliniyor. Bu kurumlardan bazıları ülkenin savunma alanının nasıl korunacağı hakkında fikir üretme, bazı kurumlar bu fikirler kapsamında yeni teknolojiler geliştirme, bazı kurumlar ise siber güvenliğin sağlanması amacıyla savaş alanında çarpışarak siber saldırılar ile mücadele etmeyi hedefliyor.

20 Ekim 2020 itibarıyla Türkiye’de yürürlüğe giren “Ulusal Siber Güvenlik Çalışmalarının Yürütülmesi ve Koordinasyonuna İlişkin Karar” ile siber güvenlik koordinasyonuna ilişkin ilk milli hukuki düzenlemesinin yapıldığı biliniyor. Ayrıca Türk Silahlı Kuvvetleri bünyesinde bir “Siber Savunma Komutanlığı” kurularak ve Türk Hükümeti tarafından 2011 yılında ülkenin kurumlar arası ilk siber tatbikatı düzenlenerek bu alana gösterilen önem ortaya konuyor. Ulusal siber güvenliğin sağlanmasına ilişkin gerçekleştirilecek faaliyetlerin kapsamının belirlendiği Ulusal Siber Güvenlik Stratejisi ve Eylem Planı (2020-2023) ile bu alanda Türkiye’nin Siber Güvenlik vizyonunun gerçeğe dönüşmesi hedeflenmişti.

2024-2028 yıllarını kapsayan güncel Ulusal Siber Güvenlik Stratejisi ve Eylem Planı kapsamında ise siber tehditlere karşı etkili siber güvenlik önlemlerinin alınması ve siber “caydırıcılığın” sağlanması amacıyla bir dizi güvenlik politikası oluşturuldu. Bu politikalara göre tasarımdan itibaren güvenlik ilkesi gözetilerek sıfır güven yaklaşımı benimsenecek, bilgi ve iletişim teknolojileri tasarımı ve kullanımında siber güvenlik odak noktası olarak ele alınarak siber hijyen anlayışı yerleştirilecek, saldırganlara karşı proaktif bir yaklaşım sergilenecek ve siber güvenlik altyapılarında katmanlı ve kademeli mimariler kullanılacak. Strateji ve Eylem Planı’nın gerçekleştirilmesi için oluşturulan altı ana unsur bulunuyor. Bunlar; Stratejik Amaçlar, Hedefler, Eylem Maddeleri, Gerçekleştirme Yaklaşımı, Paydaşlar ve Güncelleme olarak adlandırılıyor. Yeni Strateji ve Eylem Planı insan odaklı ve proaktif bir siber güvenlik tabanında caydırıcılığı öne çıkaran hedeflerden oluşuyor.

Siber güvenlik konusunda yenilikçi ve proaktif çözümleriyle öncü bir rol üstlenen STM Savunma Teknolojileri Mühendislik ve Ticaret A.Ş. (STM) de bu alanda aktif olarak yer alıyor. STM tarafından Ankara’da kurulan ve Türkiye’de bir ilk olan Siber Füzyon Merkezi (SFM) hem kamu hem de özel sektörden birçok kuruma Siber Tehdit İstihbaratı dahil olmak üzere bütünleşik bir yapıda hizmet veriyor.

STM aynı zamanda 2021 yılından bu yana TUSAŞ’da Platform Siber Güvenliğini Milli Muharip Uçak (MMU) KAAN projesinde ana yüklenici olarak yürütüyor. Bu çalışma Türkiye’deki platforma uygulanan siber güvenlik çalışmalarının ilk örneği olarak dikkat çekiyor. Proje hâlen aktif olarak devam ediyor. Aynı şekilde STM bir deniz platformuna uygulanacak ilk platform siber güvenlik projesinin de ana yükleniciliğini yürütmeyi planlıyor.

Ayrıca STM’nin Teknolojik Düşünce Merkezi ThinkTech tarafından yayınlanan 2024 yılının ilk Siber Tehdit Durum Raporu’nda kuruluşların siber tehditlere karşı direncini artırmada ön plana çıkan Siber Dayanıklılık Tüzüğü, yapay zekâ aracı ChatGPT’ye yapılan siber saldırılar, dünya genelinde en çok siber saldırı yapan ülkeler gibi güncel ve ilginç konu başlıkları yer alıyor.

Avrupa Komisyonu tarafından kabul edilen Siber Dayanıklılık Tüzüğü, yazılım ve donanım olarak üretilen dijital ürünlerin güvenliğini sağlamak amacıyla önemli görülüyor. STM’nin raporunda bu tüzüğün ülkelere getireceği yükümlülükler detaylıca ele alındı. Buna göre, tüzüğün yürürlüğe girmesiyle Avrupa pazarlarına girecek ürünler siber güvenli olmak zorunda olacak. Tüzük yürürlüğe girdiğinde donanım ve yazılım üreticileri tüzük çerçevesindeki siber güvenlik önlemlerini ürünün tasarımından geliştirilmesine tüm yaşam döngüsü boyunca uygulamak zorunda olacak ve ürünler ancak bundan sonra Avrupa pazarında yer alabilecek.

Tüzüğün üreticiler için getirdiği zorunluluklar arasında; tüm güvenlik risklerinin belgelenmesi, açıklıkların ve olayların raporlanması, satış sonrası zafiyetlerin giderilmesi ve ürün kullanımı için açık ve anlaşılabilir yönergeler olması gibi başlıklar bulunuyor. Tüzüğe uyulmaması durumunda ise gözetim otoriteleri tarafından riskin yok edilmesi, ürünün piyasadan geri çekilmesi, ürüne erişim yasağı getirilmesi ve para cezalarının uygulanması planlanıyor. Tüzük sadece Avrupa Birliğini değil, ürünlerini birlik üyesi ülkelere ihraç eden Türk kuruluşları da etkileyecek gibi görünüyor. Avrupa Birliğinde resmi olarak kabul edildikten sonra dijital ürün ve donanım üretici, ithalatçı ve dağıtıcılarının 36 ay içinde ilgili hükümleri yerine getirmeleri gerekiyor. Sürecin 2024 yılında başlaması bekleniyor.

STM’nin hazırladığı raporda gemi platformlarına düzenlenen siber saldırıların, büyük finansal kayıplar getirmesinin yanı sıra devletlerin milli güvenliklerini de tehdit eden bir unsura dönüştüğüne dikkat çekiliyor. Buna göre; geminin otomasyon, navigasyon, iletişim sistemlerine yönelik siber saldırıların yanı sıra liman ve lojistik sistemlerine saldırılar, tedarik zinciri ve lojistik ağlara saldırılar ve veri ihlalleri, casusluk bu alanda ön plana çıkıyor. Siber güvenlik önlemlerinin önemli bir bölümünün geminin henüz tasarım aşamasındayken planlanmaya başlanması gerektiğine değinilen raporda olası tedbirler belirlenirken üretim, devreye alma ve operasyon sürecinde yapılması gerekenlerin ayrı ayrı ele alınmasının güvenliği bir üst seviyeye çıkartacağına yer veriliyor.

Dijital dönüşümün getirdiği yenilikler, gemi otomasyon sistemlerinden yük yönetim yazılımlarına ve navigasyon cihazlarına kadar geniş bir yelpazede karşımıza çıkıyor. Gemiler, üzerinde IT ve OT sistemleri barındıran ve bu sistemlere doğrudan bağımlı mega yapılar hâline geliyor. Bu mega yapıların siber saldırılara karşı korunması önem arz ediyor. Bu denli kritik bir unsurda sistematik bir savunmaya sahip olmak gerekiyor. Sistematik güvenlik yaklaşımı için faydalı olabilecek bazı güvenlik çerçeveleri bulunuyor. Bunlar sırasıyla NIST Cybersecurity Framework, ISO27001 Bilgi Güvenliği Yönetim Sistemi, BIMCO Gemilerde Siber Güvenlik Kılavuzu, IACS Rec 166, IACS E26, IACS E27, IACS E22, IMO Denizcilik Siber Güvenlik Risk Yönetimi Kılavuzu ve Deniz Siber Güvenliği olarak biliniyor.

ASELSAN tarafından geliştirilen Siber Zırh Programı ise kurumların güvenlik altyapılarını oluşturan insan, süreç ve teknoloji yapıtaşlarının risk tabanlı bütüncül bakış açısı ile değerlendirilmesi, eksikliklerin ortaya çıkartılması ve kurumsal siber direncin artırılmasını hedefliyor.

Askeri Platformların Siber Güvenliğinde Gelecek Yaklaşımları

Askeri endüstriler siber güvenlik zorluklarının merkezinde dururken, askeri siber savunmaların entegrasyonu zorlayıcı bir durum olarak ortaya çıkıyor. Daha dayanıklı bir geleceğe doğru yapılacak yolculuk için dikkatli bir değerlendirme, askeri ve sivil kuruluşlar arasında işbirliği ve güvenlik zorunluluklarını dengeleme taahhüdü gerekiyor.

Gelişen askeri endüstriler yalnızca bu karmaşıklıkların üstesinden gelerek sürekli gelişen tehditler karşısında dijital ortamlarını korumak için askeri siber teknolojilerin potansiyelinden yararlanabilirler.

Müttefik ülkeler 2024 yılında Washington’da düzenlenen NATO Zirvesi’nde ağ korumasını, durumsal farkındalığı ve siber alanın operasyonel alan olarak uygulanmasını geliştirmek amacıyla NATO Entegre Siber Savunma Merkezi’nin kurulması konusunda anlaştılar.

Belçika, Mons’taki Müttefik Kuvvetler Avrupa Yüksek Karargahında (Supreme Headquarters Allied Powers Europe -SHAPE) bulunan NATO Siber Güvenlik Merkezi (NATO Cyber Security Centre -NCSC) hem merkezi hem de 7/24 siber savunma desteği sağlayarak NATO’nun kendi ağlarını koruyor. Bu sistem sürekli olarak gelişiyor ve hızla değişen tehdit ve teknoloji ortamıyla aynı hızda ilerliyor.

NATO’nun Belçika, Mons’ta bir Siber Uzay Operasyonları Merkezi de bulunuyor. Merkez, İttifak’ın operasyonlarını ve misyonlarını bilgilendirmek için askeri komutanlara durumsal farkındalık desteği sağlıyor. Ayrıca NATO’nun siber uzaydaki operasyonel faaliyetlerini koordine ederek bu alanda hareket özgürlüğünü garanti altına alıyor ve operasyonları siber tehditlere karşı daha dayanıklı hâle getiriyor.

Washington, D.C.’deki 2024 NATO Zirvesi’ne katılan devlet ve hükümet başkanları, ağ korumasını, durumsal farkındalığı ve siber uzayın operasyonel bir alan olarak kullanımını geliştirmek için SHAPE’de bulunan ve yeni kurulacak olan NATO Entegre Siber Savunma Merkezi’nin yanında NATO ağlarının güvenliğini artırmak için bir politika geliştirme sözü verdiler.

NATO, ittifakları çapında siber savunma yeteneğinin geliştirilmesine yönelik ortak bir yaklaşımı kolaylaştırmak amacıyla NATO Savunma Planlama Süreci aracılığıyla müttefik ülkelerin ulusal siber savunma yeteneklerinin uygulanmasına yönelik hedefler de tanımlıyor.

Askeri platformların siber güvenliğinde yapay zekâ gibi teknolojilerin oynadığı rol de büyüyor. Yapay zekâ ve siber güvenliğin entegrasyonu, tehdit tespitinde yeni bir çağın öncülüğünü yapıyor. Makine öğrenmesi algoritmaları, tehditleri insan yeteneklerini aşan bir hızda tahmin etme ve etkisiz hâle getirme kapasitesi gösteriyor. Pratik senaryolarda bu sinerji otomatik tehdit istihbaratı ve etkili kimlik avı tespiti gibi yeniliklere yol açıyor.

İngiltere’de havacılık ve savunma alanında önemli çalışmaları olan BAE Systems gibi kuruluşlar askeri platformların siber güvenliği ile ilgili projeler yürütüyor. BAE Systems’in Platform Siber Savunma Modeli (Platform Cyber Defense Model -PCDM) beş ölçek seviyesinde dayanıklılık kontrollerini belirlemek için bir araç sağlıyor. Bu ölçeklemeler çip seviyesi, anakart seviyesi, montaj seviyesi, databus seviyesi ve platform seviyesi olarak adlandırılıyor. PCDM’nin uygulanması, platform mühendisliği ekiplerinin kendi özel platformları için uygun dayanıklılık kontrollerini ve teknolojilerini seçmelerini ve önceliklendirmelerini gerektiriyor. Bu kontroller RMF tarafından belirtilen bilgi teknolojileri kontrollerini içerirken bir dayanıklılık çözümü de sıklıkla siber-fiziksel sistemlere özgü ek dinamik kontroller içeriyor.

Askeri platformların siber güvenliği gelişen yeni teknolojiler, yapay zekâ, makine öğrenmesi ve yeni donanımlarla desteklenmeye devam ediyor. Ülkelerin savunma stratejilerinde kritik öneme sahip bu platformların artan veri trafiğinde karşı karşıya kalabileceği siber güvenlik tehditlerine karşı da hazırlıklı olması gerekiyor. Küresel ölçekte siber savunma hizmetleri sunan kurum ve kuruluşların desteğinin yanında ülkelerin kendi bağımsız savunma strateji ve sistemlerinin de olması önemli görülüyor. Siber güvenlikle bağımsız bir altyapı kritik önem taşıyor. Bu nedenle askeri güçlerin kendi içlerinde oluşturacakları siber güvenlik merkezlerinin yanında müttefik güçlerden alacakları destekle çok daha güçlü bir siber güvenlik ortamı yaratması askeri platformların korunmasında önemli bir rol oynayabilir. Bu sistemlerin hızlıca benimsenerek ve sürekli güncel tutularak askeri platformlara entegre edilmesi, günümüz ordularının gelecekte de güçlerini koruyarak ve hatta artırarak gelişmesine fayda sağlayacak gibi görünüyor.