IoT Cihazlarında Veri Güvenliği: Temel Önlemler
IoT neden riskli?
- Cihazlar sahada, fiziksel erişime açık
- Sınırlı işlemci ve bellek, güçlü güvenlik çözümlerini zorlaştırır
- Yıllarca güncellenmeden çalışabilirler
- Çok sayıda cihaz, yönetimi zorlaştırır
Mirai gibi botnetler, varsayılan parolalarla internete açık bırakılmış yüz binlerce kamera ve modemi ele geçirerek büyük saldırılarda kullanmıştır.
Temel önlemler
1. Benzersiz kimlik
Her cihazın kendine ait kimlik bilgisi veya tercihen X.509 sertifikası olmalı. Tüm cihazlarda aynı parolanın kullanılması, birinin ele geçirilmesiyle hepsinin tehlikeye girmesi demektir.
2. Şifreli iletişim
Cihaz ile platform arasındaki tüm trafik TLS ile şifrelenmeli. MQTT için 8883, HTTP için HTTPS kullanılmalı.
3. Güvenli yazılım güncelleme (OTA)
Güncellemeler imzalı olmalı, cihaz imzayı doğrulamadan yeni yazılımı çalıştırmamalı. Güncelleme yarıda kalırsa cihaz eski sürüme dönebilmeli.
4. Ağ ayrımı
IoT cihazları kurumsal ağdan ayrı bir segmentte (VLAN) olmalı; yalnızca gerekli sunuculara erişebilmeli. Cihazlar internete doğrudan açılmamalı.
5. Gereksiz servisleri kapatma
Telnet, açık hata ayıklama portları ve kullanılmayan web arayüzleri kapatılmalı.
6. İzleme
Cihazların bağlantı davranışı izlenmeli; beklenmedik bir adrese bağlanma veya olağan dışı veri miktarı alarm üretmeli.
7. Yaşam döngüsü
Hizmetten çıkarılan cihazların kimlik bilgileri iptal edilmeli, üzerindeki veriler silinmeli.
Standartlar
ETSI EN 303 645 tüketici IoT cihazları için temel güvenlik gereksinimlerini; IEC 62443 serisi ise endüstriyel otomasyon sistemleri için güvenlik çerçevesini tanımlar. Avrupa Birliği'nin Siber Dayanıklılık Yasası (Cyber Resilience Act) da dijital ürünlere güvenlik yükümlülükleri getirmektedir.
Sonuç
Güvenlik, IoT projesinin sonuna eklenen bir katman değil, tasarımın parçası olmalıdır. IoT yazılım geliştirme ve siber güvenlik testleri hizmetlerimizi inceleyebilir veya ücretsiz keşif görüşmesi talep edebilirsiniz.