İnternet bağlantısını kesin

• "ClownStrike" adlı "sanal" bir güvenlik şirketinin, yeterince test edilmemiş bir içerik güncellemesi nedeniyle Windows kurulum tabanının büyük bölümünü durdurduğu bir olay yaşandı
• Bu durumda suçlanacak çok kişi bulunabilir, ancak çoğu kişi sadece "bu tür sistemler internete bağlı olmamalı" iddiasını tekrarlıyor

İnternete bağlı olmamanın pratikteki değerlendirmeleri

• Modern iş bilgisayarları neredeyse tamamen birer iletişim cihazı olarak işlev görüyor
• Kurumsal ve coğrafi sınırları aşan bağlantılar olmadan değer üretmek zor
• Havayolu rezervasyon ve planlama sistemleri gibi yapılar özünde iletişim sistemidir; bu yüzden ağ olmadan çalışamazlar

Bakım ve işletim için ağ bağlantısının önemi

• Gerçek zamanlı iletişim gerektirmeyen sistemlerde bile ağ bağlantısı; bakım, izleme ve iş gereksinimlerindeki değişikliklere uyum açısından çok faydalıdır

İnternete bağlı olmamanın farklı anlamları

• İnternete bağlı olmamanın birçok biçimi vardır; bu yüzden net bir tanım olmadan ciddi bir tartışma yürütmek zordur
• Tek bir cihazın hiç ağ bağlantısı olmamasından NSA onaylı cross-domain çözümlerine kadar çeşitli senaryolar vardır
• Özel WAN'lar, şifreli tünelleme, AWS private VPC gibi sınırlı internet bağlantısının farklı biçimleri bulunur

İnternet bağlantısı olmayan sistemleri işletmenin zorlukları

• Neredeyse tüm yazılım ortamları internet bağlantısı varsayımıyla tasarlandığı için çevrimdışı ortamlarda her şey daha zor hale gelir
• OS güncellemeleri, paket yöneticileri, TLS sertifikaları, bulut lisanslama gibi birçok alanda ek iş ve maliyet ortaya çıkar
• Kurumsal yazılım tedarikçileriyle karmaşık etkileşimler nedeniyle zaman ve maliyetin ciddi biçimde arttığı çok sayıda örnek vardır

Çevrimdışı ortamlar çok yaygın değil

• Güçlü anlamda çevrimdışı ortamlar savunma, istihbarat kurumları ve bazı bankalarla sınırlıdır
• Bu sektörler genellikle aşırı maliyetli ve zaman alıcı olmalarıyla bilinir
• Daha zayıf biçimleri bile ancak ağır regülasyona tabi sektörlerde veya güvenliğe öncelik veren bazı şirketlerde görülür

İyileştirme için öneriler

• Mümkün olduğunca kısıtlayıcı ağ politikaları uygulamak (AWS gibi bulutlar bunu kolaylaştırır)
• Çevrimdışı ortamlar düşünülerek yazılım geliştirmek (harici bağlantıları en aza indirmek, endpoint'ler için alternatifler hazırlamak vb.)
• Sistem güven deposunun kullanımı, dağıtım anında bağımlılıkların çözülmesi gibi konular üzerinden TLS ve diğer örtük varsayımları yeniden değerlendirmek
• Docker, çevrimdışı ortam yönetimini daha zor hale getiren paradoksal bir örnektir

GN⁺ görüşü

• CrowdStrike olayı, internete bağlı olup olmamakla ilgili bir sorun değildir. Çevrimdışı ortamlarda bile güvenlik güncellemeleri zorunlu olarak yapılmalıdır
• Ancak pratikte çevrimdışı güncellemeler gecikmeye daha yatkındır ve bu da ironik biçimde bazen güvenliğe yardımcı olabilir
• Ağdan fiziksel olarak kopuk olmak kavramsal olarak çekicidir, ancak gerçek hayatta uygulaması çok zordur. Yazılım sektörünün gelecekte buna daha iyi hazırlanması gerekir
• Öte yandan, internete bağlı olma varsayımına dayanan modern BT ortamının temel sınırlamalarını kabul edip, ağ politikalarını güçlendirmek gibi uygulanabilir iyileştirmeleri önce değerlendirmek gerekir
• Kritik altyapı, savunma gibi ultra yüksek güvenlik gerektiren alanlarda ise zorluklarına rağmen fiziksel ağ ayrımı değerlendirilmeye değerdir

[GN⁺]

Hacker News görüşleri

• Güvenlik/sistem/operasyon alanında çalışan biri olarak, çoğu insan işini iyi yapmıyor ve tüm sektör bunu destekleyecek şekilde yapılandırılmış durumda

  • Dijital signage dağıtırken, ağ erişimi yalnızca sunucunun IP adresine izin verecek şekilde sınırlandırılmalı ve sadece imzalı güncellemelerle sertifika sabitlemeli bağlantılar kabul edilmeli
  • IoT cihazlarının güvenliği zayıf; çok sayıda varsayılan parola ve açık port bulunuyor
  • Çoğu şirket işini iyi yapmıyor ve "en iyi uygulamalar"ı ya da satıcı yönergelerini takip etmek işini iyi yapmak anlamına gelmiyor

• İsveç'te internetten izole edilmiş, sağlık hizmeti sağlayıcılarının kullandığı Sjunet adlı özel bir ağ var

  • Sjunet, sektör genelinde bir air-gap ortamı olarak görülebilir; güvenliği artırırken maliyeti düşüktür

• Bir kontrol mühendisi olarak, Ethernet kablosu kullanan makinelerin internete bağlı olmaması gerektiğini düşünüyorum

  • Üretim tesislerinde PLC ve HMI sistemleri Ethernet kullanır, ancak internete açık değildir
  • Direnç kaynak makinesi gibi eski makineler modern güvenlik sistemlerine ihtiyaç duymaz

• Sistemlerin air-gap yapılmaması gerektiği iddiasına katılmıyorum

  • İnternet merkezli geliştirme pratikleri kullanılmamalı
  • Bir MRI cihazının NPM'den JS bağımlılıkları çekmesi yanlış olur

• Özel bir ağ işletirken, iç hizmetlerin popüler bir CA'den TLS sertifikasına sahip olmaması muhtemeldir

  • JRE'nin trust store sorunları yüzünden çok zaman boşa gidebilir

• McDonald's kioskunu kullandıktan sonra başka yerlerdeki ekipmanları da test ettim

  • Bir food court'taki kiosk internete tamamen açıktı ve zararlı yazılım indirilebiliyordu
  • Otopark kioskları harden edilmemişti
  • Bir bira markasının interaktif ekranı büyük zarar vermedi ama üzerine "su için" mesajı bıraktım

• Ana sonuç, sistemlerin internete bağlı olmaması gerektiği değil

  • Sistemler dışa giden ağ trafiğine izin vermemeli
  • Birçok enterprise yazılım ürününde otomatik güncellemeler devre dışı bırakılabilir
  • Güncellemeler kademeli olarak rollout edilerek sorunlar en aza indirilebilir

• Hamnet kısmen internet yönlendirmesi yapabilir ve amatör radyo spektrumunu kullanır

  • Ticari kullanım yasaktır

• Havayolu rezervasyon sistemlerinin ağa bağlı olması gerekir, ancak birçok ekipmanın çevrimiçi olmasına gerek yoktur

  • İnternete bağlı buzdolabı, kettle, garaj kapısı gibi çok sayıda cihaz var
  • Tüm güvenlik önlemleri kullanıcıda bir miktar rahatsızlık yaratır

• Belirli bir yazılım popülerliğini kaybetti ve artık zarar veremiyor

  • Ancak hâlâ çok sayıda black box ve proprietary yazılım var ve felaket kurtarma kabiliyetleri yetersiz