Otel Ağlarında Ransomware Riski ve Güvenlik

1. Ağ Zafiyetleri ve Tehdit Yüzeyi

Otelcilik sektörü yüksek müşteri sirkülasyonuna sahiptir. Bu nedenle siber korsanlar bu sektörü sıkça hedefler. İşletmeler teknolojik altyapılarını hızla yenilemektedir. Ancak otel ağlarında ransomware riski bu yeniliklerle beraber büyümektedir. Çünkü tesis bünyesinde pek çok cihaz aktif şekilde çalışır. Örneğin POS cihazları, akıllı TV’ler, HVAC sistemleri ve kartlı kapı kilitleri internete bağlanır. Dolayısıyla bu geniş entegrasyon tehdit yüzeyini katlayarak genişletir.

Ortak Ağ Açıkları

Birçok otel işletmesi öncelikle operasyonel hıza odaklanır. Bunun sonucunda teknik ekipler misafir ağı ile idari ağı yetersiz ayırabilir. Örneğin lobideki Wi-Fi ağına bağlanan bir saldırgan kolayca iç ağa sızabilir. Ayrıca yanlış yapılandırılmış VLAN sistemleri bu durumu daha da kolaylaştırır. Saldırganlar genellikle doğrudan veri tabanına saldırmaz. İlk olarak en zayıf olan akıllı cihazı ele geçirirler. Bu yüzden zayıf halkalar tüm sistemi tehlikeye atar. Sonuç olarak teknik ekip düzenli denetim yapmazsa ciddi sızmalar yaşarsınız.

Bununla birlikte sektörde personel devri oldukça yüksektir. Vardiya değişimlerinde çalışanlar maalesef ortak şifreler kullanmaktadır. Ayrıca çalışanlar oltalama e-postalarını ayırt edemeyebilir. Bu durum insan kaynaklı güvenlik açıklarını önemli ölçüde artırır. Güvenlik zafiyetlerini engellemek için yöneticiler proaktif tedbirler almalıdır. Dolayısıyla tesisler tüm dijital varlıklarını detaylıca haritalandırmalıdır. Ayrıca uzmanlar yetkisiz cihazların ağa erişimini derhal engellemelidir.

IoT ve POS Riski

Bunun yanında bina otomasyon sistemleri (BMS) ile iklimlendirme üniteleri aynı ana omurgaya bağlanır. Bu cihazların çoğu zaman güncel olmayan yazılımlar içerdiği bilinmektedir. Siber korsanlar bu donanımlardaki üretici şifrelerini kullanarak sızma gerçekleştirir. Erişimin ardından ağ topolojisinde yatayda ilerleyerek ana sunuculara ulaşırlar. Dolayısıyla her bir akıllı cihaz potansiyel bir truva atı görevi üstlenir.

Ayrıca restoran, spa ve hediyelik eşya dükkanlarındaki ödeme terminalleri (POS) büyük finansal çekim oluşturur. Yetersiz korunan POS ağları müşteri kredi kartı verilerini tehlikeye atar. Bu noktada PCI-DSS standartlarına uyumsuz yapılandırmalar ağır cezai sorumluluklar doğurur. Sonuç olarak işletmelerin bu karmaşık ekosistemi tek merkezden kontrol etmesi gerekmektedir. Aksi takdirde küçük bir zafiyet tüm otelin kilitlenmesine yol açabilir.

2. Ransomware Bulaşma Vektörleri

Siber korsanların kullandığı yöntemler günden güne çeşitlenmektedir. Şüphesiz otel ağlarında ransomware riski son derece karmaşık tekniklerle somutlaşır. Saldırganlar genellikle sosyal mühendislik yöntemlerine başvurur. Çünkü açık Uzak Masaüstü Protokolü (RDP) portları devasa bir tehlike yaratır. Ayrıca güncellenmeyen otomasyon yazılımları da tehlikeli bir sızma noktası oluşturur. Örneğin saldırganlar sahte rezervasyon iptal e-postalarını personele gönderir. Resepsiyon çalışanları zararlı ekleri açtığında bulaşma gerçekleşmiş olur.

Tedarik Zinciri Tehdidi

Bunun yanında tedarik zinciri saldırıları devasa riskler üretmektedir. Otel Yönetim Yazılımı (PMS) sağlanan dördüncü taraf firmalar bulunmaktadır. Bu tedarikçilerin altyapısındaki açıklar otel sunucularına doğrudan erişim sağlar. Ancak saldırganlar ağa girer girmez hemen şifreleme yapmaz. Aksine haftalarca sistemde sessizce kalmayı tercih ederler. Bu sürede veri hırsızları kritik verileri dışarı sızdırır. Nitekim bu süreci CISA uzmanları raporlarında ayrıntılı biçimde belgeler.

Çifte Şantaj Yöntemi

Öte yandan şifreleme başladığında rezervasyon kayıtları tamamen kilitlenir. Bu yüzden müşteri pasaport bilgileri ve ödeme detayları erişilemez hâle gelir. Tesislerin hizmet kesintisine hiç tahammülü yoktur. Bu nedenle fidyeciler işletmelerden çok yüksek tutarlar talep eder. Sonuç olarak saldırı öncesinde teknik ekipler erken tespit sistemleri kurmalıdır. Aksi halde işletmeler ağır veri kayıplarını engelleyemez.

Ayrıca günümüzdeki ransomware çeteleri çifte şantaj (double extortion) taktiğini sıkça uygular. Saldırganlar verileri şifrelemeden önce kendi uzak sunucularına kopyalar. İşletme yedekten dönse bile verileri internete sızdırmakla tehdit ederler. Konaklama sektörünün prestij kaygısı nedeniyle bu şantaj türü son derece etkilidir. Dolayısıyla sadece yedek almak tek başına yeterli bir savunma oluşturmamaktadır.

Buna ek olarak kablosuz ağ üzerinden ortadaki adam (MitM) saldırıları düzenlenmektedir. Saldırganlar otel misafiri gibi davranarak sahte erişim noktaları (Rogue AP) kurarlar. Giriş yapmaya çalışan çalışanların oturum bilgilerini el altından çalarlar. Bu yolla elde edilen yetkili hesaplar doğrudan idari ağın kontrolünü korsanlara verir. Bu sebeple kablosuz güvenlik protokolleri her zaman en üst düzeyde tutulmalıdır.

3. Ağ Segmentasyonu ve Güvenlik Mimarisi

İşletmeler riskleri düşürmek için mutlaka güçlü bir strateji geliştirmelidir. Şüphesiz otel ağlarında ransomware riski katı bir ağ segmentasyonu ile kontrol altına girer. Teknik ekipler misafir kablosuz ağlarını idari ağlardan tamamen ayırmalıdır. Sistem mimarları hem mantıksal hem de fiziksel izolasyon sağlar. Ayrıca yöneticiler VLAN yapılandırmaları ve mikro-segmentasyon uygular. Böylece her departmanın veri erişim yetkisi sınırlandırılmış olur.

Zero Trust Yaklaşımı

Bunun yanı sıra kurumlar Sıfır Güven (Zero Trust) prensibini tam olarak benimsemelidir. Çünkü bu yaklaşım hiçbir cihazı doğrulamadan güvenli kabul etmez. Güvenlik sistemleri kullanıcıları ve cihazları sürekli kontrol eder. Konuyla ilgili teknik standartları NIST araştırmacıları dokümanlarında detaylıca açıklar. Ağ segmentasyonuna ek olarak uzmanlar şu adımları atar:

• Sıkı Kimlik Doğrulama: Sistem yöneticileri kurumsal hesaplarda Çok Faktörlü Doğrulama (MFA) kullanımını zorunlu yapar.
• Endpoint Detection and Response (EDR): Ekipler sunuculara ve bilgisayarlara EDR çözümleri kurar. Böylece yazılımlar anormallikleri anlık tespit eder.
• Yama Yönetimi: Uzmanlar yazılımların ve ağ cihazlarının güncellemelerini gecikmeden uygular.
• Erişim Kontrol Listeleri (ACL): Mühendisler IoT cihazlarının sadece gerekli IP adresleriyle haberleşmesini sağlar.
• Ağ Trafiği Şifreleme: Tüm dahili haberleşmeler SSL/TLS gibi güçlü protokollerle korunmalıdır.

NGFW ve Yetkilendirme

Öte yandan yazılımsal önlemler tek başına yeterli gelmez. Güvenlik uzmanları ağ trafiğini 7/24 kesintisiz izlemelidir. Otomasyonlar anormal veri akışlarını fark ettiğinde ilgili cihazları anında izole eder. Bu mimari sayesinde fidyeciler ağ içinde yatay ilerleyemez. Dolayısıyla işletmeler olası bir sızmanın etki alanını oldukça daraltır.

Ağ katmanında Yeni Nesil Güvenlik Duvarı (NGFW) kullanılması büyük önem taşımaktadır. Bu cihazlar derin paket incelemesi (DPI) gerçekleştirerek zararlı trafiği etkili şekilde süzmektedir. Ayrıca coğrafi IP engellemeleri ve bilinen komut-kontrol (C2) sunucularının tespiti bu yolla kolayca sağlanır. Ağ izole edildiğinde, saldırı bir noktada başlasa bile tüm tesise yayılması engellenir.

Bununla beraber otel çalışanlarının erişim hakları En Az Yetki (Least Privilege) ilkesine göre düzenlenmelidir. Örneğin bir resepsiyon görevlisinin veri tabanı sunucusuna direkt erişimi kesinlikle engellenmelidir. Vardiya bazlı dinamik yetkilendirme modelleri uygulanarak gereksiz erişim hatları kapatılmalıdır. Böylece şifresi çalınan bir personelin etki alanı son derece sınırlı kalır.

4. Veri Koruma ve Yedekleme Politikaları

Felaket kurtarma planları siber güvenliğin en temel bel kemiğidir. Özellikle otel ağlarında ransomware riski yönetilirken güvenilir yedekleme hayati bir şarttır. Çünkü saldırı durumunda fidye ödemeden kurtulmanın tek yolu sağlam yedeklerdir. Ancak modern zararlı yazılımlar ilk olarak yedek sunucularını hedefler. Saldırganlar yedekleri silmeye veya şifrelemeye çalışır.

3-2-1-1 Kuralı

Bu sebeple ekipler 3-2-1-1 yedekleme kuralını eksiksiz uygulamalıdır. Bu kural verinin üç kopyasını tutmayı gerektirir. Ayrıca yöneticiler iki farklı depolama medyası türü seçer. Bunun yanında ekipler bir kopyayı kurum dışında güvenle saklar. Son olarak uzmanlar bir kopyayı değiştirilemez (immutable) formatta tutar. İşletmelerin yedekleme süreçlerinde dikkat etmesi gereken detayları tabloda derledik:

Yedek Testi ve Şifreleme

Bününla birlikte yedeklerin varlığı tek başına çözüm üretmez. Ekipler bu yedeklerin çalışabilirliğini periyodik olarak test etmelidir. Uzmanlar gerçekçi geri dönme (restore) provaları yapar. Aksi halde kriz anında büyük başarısızlıklar yaşarsınız. Şirketler otomatize test protokollerini düzenli çalıştırmalıdır. Böylece sistemler veri bütünlüğünü kesinleştirir.

Bunun yanında veri yedekleme adımlarında şifreleme standartları doğru seçilmelidir. Örneğin AES-256 gibi askeri düzeydeki şifreleme algoritmaları saklanan verileri korur. Şifreleme anahtarları ise ayrı bir anahtar yönetim sisteminde (KMS) tutulmalıdır. Ayrıca yedek sunucularına erişim sağlayan yöneticilerin ayrıcalıkları düzenli olarak denetlenmelidir.

Ayrıca felaket kurtarma senaryolarında kurtarma süresi hedefi (RTO) ve kurtarma noktası hedefi (RPO) netleştirilmelidir. Tesisin kaç saatlik veri kaybına dayanabileceği önceden hesaplanır. Dolayısıyla bu hedeflere uygun yedekleme sıklığı belirlenir. Örneğin PMS veri tabanları saatlik olarak yedeklenirken, kamera kayıtları günlük olarak yedeklenebilir.

5. Olay Müdahale ve Siber Dayanıklılık

Siber saldırılar ne kadar önlem alınsa da ne yazık ki gerçekleşebilir. Bu nedenle otel ağlarında ransomware riski karşısında dinamik bir Olay Müdahale Planı (IRP) hayati önem taşır. Saldırı anında panik yapmadan hareket etmek maddi hasarı en aza indirir. Bu yüzden ekiplerin kimin ne yapacağını önceden bilmesi gerekir.

Sistem İzolasyonu

İlk aşamada enfekte olmuş sistemler derhal ağdan izole edilmelidir. Kablosuz bağlantılar kesilmeli ve ethernet kabloları derhal çıkarılmalıdır. Ancak cihazların gücü kapatılmamalıdır. Çünkü ram bellek (RAM) üzerindeki adli deliller canlı analiz için gereklidir. Gücün kesilmesi kritik izlerin tamamen silinmesine sebep olabilir.

• İzolasyon ve Sınırlandırma: Etkilenen sunucular ana ağdan fiziksel ve mantıksal olarak ayrılır.
• Kök Neden Analizi: Adli bilişim uzmanları zararlı yazılımın ağa giriş noktasını tespit eder.
• Temizleme ve Kurtarma: Sistemler güvenli imajlar kullanılarak sıfırdan kurulur ve yedekler yüklenir.
• Yasal Bildirimler: Kişisel verilerin sızması durumunda KVKK ve GDPR kapsamında bildirim yapılır.

Kriz İletişimi

Sonrasında kriz yönetimi ekibi zaman kaybetmeden toplanmalıdır. Halkla ilişkiler, hukuk ve bilgi teknolojileri departmanları koordineli çalışmalıdır. Misafirlere ve kamuoyuna şeffaf ancak kontrollü bilgilendirme yapılmalıdır. Çünkü bilgi kirliliği işletmenin marka değerine saldırının kendisinden daha çok zarar verebilir.

Saldırı tamamlandıktan sonra ders çıkarma (Lessons Learned) toplantısı düzenlenmelidir. Güvenlik açığının kapatılıp kapatılmadığı titizlikle kontrol edilir. Olay raporu hazırlanarak gelecekteki benzer tehditlere karşı altyapı güçlendirilir. Böylece işletme gelecekteki saldırılara karşı çok daha dirençli bir yapıya kavuşur.

6. Sibertim Uzmanlığı ve Siber Güvenlik Hizmetleri

Sibertim turizm sektörünün dijital ihtiyaçlarını yakından analiz etmektedir. Firmamız otel ağlarında ransomware riski oluşturan zafiyetleri hızlıca tespit eder. Uzman ekibimiz bu açıkları kapatmak için uçtan uca çözümler sunmaktadır. Ayrıca operasyonel akışı bozmadan uluslararası standartlarda altyapılar tasarlıyoruz. Bu sayede tesislerin siber dayanıklılığını maksimuma çıkarıyoruz.

Sızma Testleri

Sunduğumuz sızma testleri hizmeti ile otel altyapınızı kapsamlıca denetliyoruz. Uzmanlarımız iç ve dış ağları detaylı incelemeden geçirir. PMS entegrasyonları, IoT cihazları ve kablosuz sistemler simüle saldırılarla test edilir. Böylelikle kötü niyetli aktörlerden önce zayıflıkları buluyoruz. Ayrıca 7/24 Siber Güvenlik Operasyon Merkezi (SOC) hizmeti veriyoruz. Ekibimiz ağ trafiğinizi sürekli izler. Sonuç olarak şüpheli hareketleri anında engelliyoruz.

Sibertim’in konaklama sektörüne sunduğu temel güvenlik yetkinliklerini aşağıda sıraladık:

• Kapsamlı Sızma Testi ve Zafiyet Analizi: Ekibimiz ağ cihazlarını, web uygulamalarını ve kablosuz ağları detaylıca tarar. Zafiyetleri eksiksiz raporluyoruz.
• Ağ Mimarisi Yeniden Yapılandırma: Uzmanlarımız Micro-segmentation ve Zero Trust modeline uygun mimariler kurar.
• Oltalama Simülasyonu ve Personel Eğitimi: Eğitmenlerimiz resepsiyon ve idari kadroya farkındalık eğitimleri verir. Ayrıca simüle saldırılar düzenliyoruz.
• Olay Müdahale ve Adli Bilişim: Mühendislerimiz olası bir ihlal anında anında müdahale eder. Böylece sistemleri hızla ayağa kaldırıyoruz.
• Mevzuat Uyumluluk Danışmanlığı: Danışmanlarımız KVKK ve GDPR gereksinimlerine uygun veri koruma süreçlerini yapılandırır.
• Sürekli Tehdit Avcılığı (Threat Hunting): Uzmanlarımız ağınızdaki gizli tehditleri yenilikçi tekniklerle tespit eder.

Kurumsal Danışmanlık

Bununla beraber Sibertim, işletmenizin mevcut güvenlik olgunluk seviyesini ölçen danışmanlık raporları sunar. İdari kadrodan teknik personele kadar her seviye için özelleştirilmiş eğitim programları hazırlıyoruz. Bu sayede siber güvenlik bilincini kurum kültürünüzün ayrılmaz bir parçası haline getiriyoruz.

Sonuç olarak işletmenizin itibarını korumak için güvenlik süreçlerini asla tesadüfe bırakmayın. Ancak doğru adımlarla telafisi imkansız kayıpları engellemek mümkündür. Sibertim uzman kadrosu ile otel ağınızı tam korumaya alabilirsiniz. İhtiyaçlarınıza özel çözümler sunmak için her zaman yanınızdayız.

Sık Sorulan Sorular