Basit bir güncelleme hatası global yazılım sistemini alt üst etti

Global yazılım sistemlerinde dünya genelinde yaşanan teknik aksaklık birçok sektörde işlerin sekteye uğramasına neden oldu. Küresel siber krizinin etkilerini İstinye Üniversitesi öğretim üyeleri değerlendirdi. İstinye Üniversitesi (İSÜ) Mühendislik ve Doğa Bilimleri Fakültesi Öğretim Üyesi Prof. Dr. Sedat Akleylek, krize global firmalara güvenlik desteği sağlayan uygulamadaki basit bir güncelleme hatasının sebep olduğunu belirtirken, İstinye Üniversitesi Veri Bilimi Anabilim Dalı Başkanı Doç. Dr. Şebnem Özdemir ise yapay zekâ sistemlerinin entegrasyonuna dikkat çekti.

Global yazılım sisteminde dünya genelinde yaşanan teknik aksaklık birçok sektörde iş akışını durdurdu. Bankacılıktan ulaştırmaya, ödeme cihazlarından havalimanlarındaki check-in sistemleri ile süpermarketlerdeki kasaların işletim sistemlerine kadar pek çok alanda sistemler hata uyarısı alarak kullanılamaz duruma geldi. İstinye Üniversitesi (İSÜ) Mühendislik ve Doğa Bilimleri Fakültesi Öğretim Üyesi Prof. Dr. Sedat Akleylek, bu durumun basit bir güncelleme hatasından kaynakladığını ifade ederek şu açıklamaları yaptı:

Bu tip problemlerin çözümü bilinir ancak uygulamada sonuca ulaşılması vakit alır

Öncelikle kısa hatırlatma yapmak istiyorum. Bilişim sistemleri birbiri ile anlık olarak haberleşmekte, birbirleri ile sürekli iletişim halinde olup problemli durumları çözmek için güncelleme ihtiyacı duymaktadır. Bir bilişim sistemini zincirin halkaları gibi düşünebiliriz. Sistemin verimli ve problemsiz çalışabilmesi için kendi içinde uyumlu olması gerekiyor. Bugün yaşadığımız problemi büyük ölçekli firmaların veya kurumların kullandığı sistemlere güvenlik desteği sağlayan bir uygulamadaki basit bir güncelleme hatası olarak özetleyebiliriz. Microsoft Crowdstrike uygulaması gerçek zamanlı saldırıları tespit etme ve önleme için kullanılmaktadır. Bu uygulamada yapılan hatalı bir güncelleme sonucunda sunucular ilgili güvenlik politikaları veya çalışma prensipleri nedeniyle kendini durdurmaya ya da yeniden başlatmaya çalıştı. Bu tip problemlerin çözümü teoride bilinmekte olup uygulamada sonuca ulaşılması vakit almaktadır. Yapılacak işlem güncellemenin geriye alınması ve sistemlerin yeniden güvenli sürümü yüklenerek geri başlatılmasıdır. Buradan çıkarmamız gereken en önemli ders, problemsiz çalışan sistemlerde yapılacak en küçük iyileştirmenin bile güvenlik ve güvenilirlik kontrollerinin başka ortamlarda denenmesidir. Hatalı güncellemeden etkilenen bilgisayarlar ve sunucular otomatik olarak çevrimdışı hale gelmekte ve kendini kurtarma, ön yükleme çevrimine girmeye zorladığı için sisteme erişebilirlik ortadan kalkıyor. Bundan dolayı, ana sistem isteklere cevap verememeye başlıyor.

Bu tarz problemler aslında ülkemiz için yeni fırsatları ortaya çıkarıyor

Günümüzde işlemlerimizi anlık sonuçlandırma ihtiyacımız var. Örneğin, havale, EFT gibi para transferi faaliyetleri anlık yapılmadığı durumlarda karşılıklı mağduriyetler yaşanabiliyor. Bilişim sistemlerimiz modüllerden, modüller alt modüllerden/fonksiyonlardan meydana geliyor. Her fonksiyon ihtiyaç duyulan başka bir problem çözmeye yönelik tasarlanıyor ve bu fonksiyonların uyumlu bir şekilde çalışması beklenir. Bu beklenti entegrasyon faaliyetlerinin ne kadar problemsiz yapılması gerektiğinin önemini bir kez daha vurgulamakta. Bu tip problemler aslında ülkemiz için yeni fırsatları ortaya çıkarıyor. Kullanılan hazır ürünler için yerli ve milli muadillerin yapılması ile bu tip global problemlerden kaçmak mümkün Haberlerden edindiğimiz bilgilere göre Çin, Rusya gibi bu tip ürünleri minimum düzeyde kullanan ülkelerde bu krizin etkilerinin sınırlı olduğunu görüyoruz.

Siber saldırı değil 

Buradaki temel problem güncellemenin uygulamadaki etkilerinin yeterli düzeyde test edilmemesinden kaynaklı. Yazılım geliştirme yaşam döngüsünü ele aldığımızda test ve kalite yönetim faaliyetlerinin her bir aşama için yapılması gerektiğinin önemi bir kez daha ortaya çıkıyor. Güncelleme yapılan Crowstrike uygulaması siber saldırı tespit ve önleme odaklı olmasına rağmen uygulamanın yanlış zamanda uyarı vermesi neticesinde problem yaşandığı ifade edildi. Bu yüzden, bu yapıyı siber saldırı olarak değerlendirmek doğru olmaz.

“Bir zincir en zayıf halkası kadar güçlüdür”

Siber saldırılar günlük hayatımızda sıkça kullandığımız web ve mobil uygulamaların hizmet verememesine, istenilen işlevlerini yerine getirememesine yol açmaktadır. Sistem güvenliğinde gizlilik, erişilebilirlik ve bütünlük kavramları ön plana çıkmaktadır. Çevrimiçi veya çevrimdışı sistemler farklı tarzda siber saldırılara hedef olabiliyor. Çevrimdışı başka bir ifadeyle internete bağlı olmayan sistemlere takılabilecek zararlı yazılım bulaşmış bellekler ile sistem ele geçirilebilir. “Bir zincir en zayıf halkası kadar güçlüdür” cümlesi kullanılan bilişim sistemlerindeki her modülün ve fonksiyonun gerekli olan tüm test ve analiz işlemlerinden geçirilmesi gerektiğini bize hatırlatmaktadır. Kullanılan cihazlardaki kişisel bilgi güvenliği ve zararlı yazılımlar için gerekli önlemlerin alınması elzemdir. Kişisel cihazların başkalarına kullandırılmaması başka bir ifadeyle “kişisel siber hijyen” kavramına uygun hareket edilmesi gerekmektedir. 

“Bankada parası olanlar için risk gözükmüyor”

Belirtilen problemler sistemin gizliliği ve bütünlüğüne yönelik herhangi bir tehdit içermediğinden, bu açıdan risk gözükmemektedir. Son kullanıcıların yine de kendi güvenlikleri için ilgili uygulamalarını ilgili kurumlardan problem giderilmiştir bilgisi gelmeden kullanmamaları en garantici yaklaşım olacaktır. 

Editöre not: *İstinye Üniversitesi Mühendislik ve Doğa Bilimleri Fakültesi Öğretim Üyesi Prof. Dr. Sedat Akleylek, bilgisayar bilimleri ve mühendisliği, bilgi güvenliği ve kriptoloji, siber güvenlik alanlarında çalışmaktadır

İstinye Üniversitesi Veri Bilimi Anabilim Dalı Başkanı Doç. Dr. Şebnem Özdemir:

Yapay zekâ sistemlerinin entegrasyonu hem koruma hem saldırı tarafında sistemleri güçlü ya da güçsüz hale getirecektir

İstinye Üniversitesi Veri Bilimi Anabilim Dalı Başkanı Doç. Dr. Şebnem Özdemir ise, konuyla ilgili şu açıklamayı yaptı:

“Bunun şu anda olmuş olması geçmişte hiç olmadığı ya da gelecekte de olmayacağı anlamına gelmiyor. Dijital dünya henüz sınırlarını bilmediğimiz, kimin ne yapabileceği konusunda net bir fikrimizin olmadığı, birbirleriyle konuşan sistemler arttıkça bu sistemler arasındaki karar alma ve hareket etme mekanizmasının çözümlenemeyeceği bir noktada. Tabii öyle olunca ister siber saldırı ister sistemler arasındaki problemlerden kaynaklı, bu tarz olaylar giderek artacaktır. 

Özellikle yapay zekâ sistemlerinin entegrasyonu hem koruma hem saldırı tarafında sistemleri güçlü ya da güçsüz hale getirecektir. Üretmediğimiz her sistemin mahkûmuyuz, sınırlarını tam olarak keşfedemediğimiz hizmetlerin bize ne getireceğini bilemeyiz. Örneğin bir lokantada bize yemeği getiren garsonu görebiliriz, yemeyi görebiliriz ama arka tarafta o yemeğin nasıl hazırlandığını bilemeyiz. Dış kaynaklı alınan her ürün masaya hazır gelen sizin pişirmediğiniz bir yemek gibidir.

Sorunun kaynağının şimdilik siber saldırı olmadığı söyleniyor. Sonuçta Microsoft gibi büyük bir devin siber saldırı altında cevap veremiyor olması dünya sahnesinde onu gülünç bir duruma düşürecektir. Dolayısıyla burada ‘siber saldırı oldu’ açıklamasının hiçbir zaman geleceğini düşünmüyorum. Saldırının kaynağının sistem içerisindeki bir başka program olduğu ifade edildi. Programın içerisindeki bug adı verilen öngörülemeyen bir hatadan dolayı mı yoksa programın doğası gereği mi oluştuğuna dair henüz bir bilgi de yok.”