Yazıcılar, IP Telefonlar ve IoT

Kurumsal Ağdaki Sessiz Tehlike

Bu cihazlar iş sürekliliği için vazgeçilmezdir; ancak aynı zamanda kurumsal ağın en zayıf halkalarından biri olma potansiyeline sahiptir. Daha da tehlikelisi, bu risklerin çoğu fark edilmez ve uzun süre görünmez kalır.

Kurumsal Ağ Neden Artık Daha Kırılgan?

Dijital dönüşümle birlikte kurumsal ağlar yalnızca bilgisayarlar ve sunuculardan oluşmuyor. Bugün bir ofiste:

1. 1. Ağ üzerinden çalışan yazıcılar
   2. VoIP altyapısına bağlı IP telefonlar
   3. Akıllı kameralar, sensörler, kapı sistemleri
   4. IoT tabanlı ortam kontrol cihazları

aynı ağ segmentinde yer alabiliyor.

Bu çeşitlilik, saldırı yüzeyini ciddi şekilde genişletiyor. Güvenlik politikaları çoğu zaman kullanıcı bilgisayarlarına ve sunuculara odaklanırken, bu cihazlar varsayılan ayarlarıyla yıllarca çalışmaya devam edebiliyor.

Yazıcılar: Masum Görünümlü Ama Tehlikeli

Yazıcılar genellikle “sadece çıktı alan cihazlar” olarak görülür. Oysa modern yazıcılar:

1. 1. Kendi işletim sistemine sahiptir
   2. Dahili disklerde belge tutabilir
   3. Web arayüzleri üzerinden yönetilir
   4. SMTP, FTP, SMB gibi servisler çalıştırır

Birçok kurumda yazıcıların web arayüzleri hâlâ varsayılan şifrelerle açıktır. Firmware güncellemeleri yapılmaz ve loglama çoğu zaman kapalıdır.

Bir saldırgan için yazıcı, ağa ilk giriş noktası olabilir. Buradan elde edilen erişimle ağ keşfi yapılabilir, kimlik bilgileri toplanabilir ve daha kritik sistemlere geçiş sağlanabilir.

IP Telefonlar: Konuşmaların Ötesinde Bir Risk

IP telefonlar genellikle “iletişim altyapısının parçası” olarak görülür ve güvenlik radarının dışında kalır. Ancak bu cihazlar:

1. 1. Sürekli ağ bağlantısına sahiptir
   2. Merkezi sunucularla haberleşir
   3. Çoğu zaman VLAN’lar arası erişime sahiptir

Yanlış yapılandırılmış bir IP telefon, saldırganın hem ses trafiğini dinlemesine hem de ağ içinde yatay hareket yapmasına olanak tanıyabilir. Ayrıca bazı modellerde eski ve zayıf işletim sistemleri bulunur ve bu sistemler yıllarca güncellenmez.

Bu durum, IP telefonları sessiz ama etkili bir sıçrama tahtasına dönüştürür.

IoT Cihazlar: Güvenlik Sonradan Düşünülür

IoT dünyasının en büyük problemi şudur:

Güvenlik, genellikle tasarımın merkezinde değildir.

Birçok IoT cihazı:

1. 1. Varsayılan kullanıcı adı/şifre ile gelir
   2. Şifre değiştirme zorunluluğu yoktur
   3. Şifreleme kullanmaz veya zayıf kullanır
   4. Log üretmez ya da dışarı aktaramaz

Kurumsal ağda bulunan bir kamera ya da sensör, fark edilmeden saldırgan kontrolüne girebilir. Bu cihazlar çoğu zaman SIEM’e log göndermez, EDR tarafından izlenmez ve güvenlik ekipleri için adeta “kör nokta” oluşturur.

Sessiz Tehlikenin En Büyük Gücü: Görünmezlik

Bu cihazların asıl tehlikesi, genellikle fark edilmemeleridir. Güvenlik ekipleri alarm almadığı sürece sorun yokmuş gibi görünür. Oysa saldırganlar bu cihazları:

1. 1. Kalıcı erişim noktası
   2. Komuta-kontrol kanalı
   3. İç ağ keşif aracı

olarak kullanabilir.

Birçok olay incelemesinde saldırının ilk giriş noktasının bir yazıcı ya da IoT cihazı olduğu, ancak bunun çok geç fark edildiği görülür.

Kurumlar Neden Bu Riski Göz Ardı Ediyor?

Bunun birkaç temel nedeni vardır. Bu cihazlar genellikle IT değil, farklı ekipler tarafından yönetilir. Yazıcılar idari birimlerin, IP telefonlar telekom ekiplerinin, IoT cihazlar ise bina yönetiminin sorumluluğundadır. Güvenlik politikaları bu alanlara tam olarak nüfuz edemez.

Ayrıca “çalışıyorsa dokunma” yaklaşımı, bu cihazların yıllarca güncellenmeden çalışmasına yol açar.

Bu Sessiz Tehlike Nasıl Kontrol Altına Alınır?

Gerçekçi bir yaklaşım, bu cihazların varlığını kabul etmekle başlar. Ağda neyin olduğunu bilmeden güvenlik sağlamak mümkün değildir. Envanter çıkarılmalı, bu cihazlar ayrı ağ segmentlerinde izole edilmeli ve erişimleri minimum seviyeye indirgenmelidir.

Firmware güncellemeleri, varsayılan şifrelerin kaldırılması ve mümkün olan yerlerde logların merkezi sistemlere gönderilmesi büyük fark yaratır. Daha da önemlisi, bu cihazların “güvenilir” olarak varsayılmaması gerekir.

Sonuç: Tehlike Gürültü Yapmaz

Yazıcılar, IP telefonlar ve IoT cihazları alarm vermez, kullanıcı şikâyeti oluşturmaz ve genellikle sessizce çalışır. Ancak tam da bu sessizlik, onları kurumsal ağlar için bu kadar tehlikeli kılar.

Siber güvenlikte en büyük risk, fark edilmeden büyüyen risktir.

Ve çoğu zaman bu risk, ofisin köşesindeki yazıcıdan başlar.