Bugün öğrendim ki: Super Bowl, İç Güvenlik Bakanlığı tarafından tehditler, güvenlik açıkları ve sonuçlar açısından en yüksek risk taşıyan ve "kapsamlı federal kurumlar arası destek" gerektiren 1. Seviye özel etkinlik olarak sınıflandırılmıştır.
Las Vegas glamor ve gösterişiyle tanınırken, şehir aynı zamanda birçok trajedinin de merkezi olmuştur; bu da Süper Kupa LVIII yaklaşırken güvenlik yetkililerinin aklında olan bir konuydu.
En belirgin olanları, 1 Ekim 2017'de Route 91 Harvest konserine katılanların katliamı ve geçen Aralık ayında Nevada-Las Vegas Üniversitesi'nde yaşanan toplu silahlı saldırıdır. Üç ay önce şehir Formula 1 yarış etkinliğine ev sahipliği yaptı ve şimdi yetkililer yılın en büyük ve en kârlı spor etkinliğini güvence altına almak zorundalar.
İki hafta önceki AFC Şampiyona maçında, Pennsylvania'dan bir adam İHA'sını Baltimore'daki M&T Bank Stadyumu üzerinde uçurmayı başardı ve ilk çeyrekte açıklanamayan bir mola yaşanmasına neden oldu.
Daha bu hafta bile, Süper Kupa için güvenlik ve seyahat prosedürleri hakkındaki bir basın toplantısında, Las Vegas Metropolitan Polis Departmanı Şefi Kevin McMahill, polislerin Sphere Las Vegas'ın tepesine tırmanan bir adrenalin tutkunu hakkında ne yaptığını kürsüden açıklamak zorunda kaldı.
AFC İHA girişine atıfta bulunan İç Güvenlik Bakanı Alejandro Mayorkas, Pazar günü beklenen 65.000 taraftar için "böyle bir olayın ne kadar önemli bir tehdit oluşturacağını anlamak için çok fazla hayal gücüne gerek yok" dedi.
Mayorkas, DHS İstihbarat ve Analiz Ofisi ile FBI'ın maç öncesinde tehdit ortamını değerlendirdiğini ve Las Vegas ve Nevada güvenlik yetkilileriyle bilgi paylaştığını söyledi.
Mayorkas gazetecilere, "Süper Kupa ve Las Vegas'a yönelik bilinen, güvenilir bir tehdit yok, ancak tetikteyiz ve hazırız" dedi.
Güç Gösterisi
Pazar günü Las Vegas'ta McCarran Uluslararası Havaalanı'ndan Strip'e ve Allegiant Stadyumu'na kadar fiziksel güvenlik açısından bir eksiklik olmayacak.
Maçtaki 65.000 taraftarın yanı sıra polis, maç sırasında diğer aktivitelere katılmak için Strip'i ziyaret eden 330.000 kişiye kadar insan bekliyor.
Las Vegas Metropolitan Polis Departmanı'ndan bir asistan şerif olan Sasha Larkin, Clark County Komisyonu'na, kurumun sivil huzursuzluk, siber güvenlik, insan ticareti ve İHA'lar gibi güvenlik endişelerini kapsamak için yaklaşık otuz kadar çalışma grubu oluşturduğunu söyledi.
Süper Kupa, İç Güvenlik Bakanlığı tarafından tehditler, kırılganlıklar ve sonuçlar açısından en yüksek riskli kabul edilen en yüksek seviye olan Seviye 1 özel etkinlik olarak derecelendirilmiştir ve "kapsamlı federal kurumlar arası destek" gerektirmektedir.
NFL Güvenlik Direktörü Cathy Lanier, güvenlik hazırlıklarının büyük ölçüde Strip, tatil köyleri ve kumarhaneler boyunca çalışan özel güvenlik firmalarıyla önceden kurulan ilişkiler sayesinde iyi gittiğini söylüyor. Lanier, "Bu karmaşık bir ortam. Her gün çalışan ve yaşayan ve işbirliği yapan kurumların uzmanlığı bunu çok daha iyi hale getirdi" diyor.
DHS, metro bölgesinin çeşitli noktalarında 385 çalışana ve ajana sahip olacak. FBI ve DHS'den istihbarat ve analistlere ek olarak, Siber Güvenlik ve Altyapı Güvenliği Ajansı kırılganlık değerlendirmeleri yaptı. Eyalet ve yerel yönetimlerle birden fazla planlama tatbikatı ve bomba güvenliği atölyesi düzenlendi.
ABD Gümrük ve Sınır Koruması, stadyuma giren araçları ve kargoyu silahlar, uyuşturucular ve diğer kaçak mallar açısından tarıyor. USCBP ve Ulaştırma Güvenliği İdaresi, havacılık güvenliği, video gözetimi ve arabaların, kargoların ve futbol taraftarlarının sezgisel olmayan denetimlerini sağlıyor.
ABD Gizli Servisi, DHS, Göçmenlik ve Gümrük Uygulama, Sınır Güvenliği Soruşturmaları ve CBP, bu yıl DHS'nin "Mavi" kampanyasını başlatarak insan ticaretine odaklanıyor; bu kampanya Las Vegas'taki Lyft sürücüleriyle başlayacak ve bu yıl ABD genelinde büyüyecek.
Lyft, Mavi Kampanya'nın insan ticareti kaynaklarını, sürücülere bir kurban olabileceklerini gösteren işaretleri öğretmek ve doğru makamlara nasıl başvurulacağı da dahil olmak üzere yardım edecek kaynakları sağlamak için Lyft'in yalnızca sürücülere özel uygulama içi Öğrenme Merkezi'nde sergileyecek.
Mavi Kampanya ayrıca, ziyaretçiler, sakinler ve ön saflarda çalışanların insan ticaretini tespit etme ve bildirme olasılığı daha yüksek olan oteller, konaklama ve ulaşım gibi sektörlerde çalışanlar arasında insan ticaretine ilişkin farkındalığı artırmak için Las Vegas bölgesinde dijital ve açık hava reklamları yayınlıyor.
Kitle İmha Silahlarıyla Mücadele Ofisi (CWMD), Las Vegas şehri ile koordinasyon içinde Mobil Tespit Dağıtım Programı ve BioWatch programından artırılmış destek sağlıyor. ABD Sahil Güvenlik Pasifik Taarruz Ekibi de Bakanlığın kimyasal, biyolojik, radyolojik ve nükleer tehditleri tespit etme ve engelleme yeteneğini güçlendirmek için Mobil Tespit Dağıtım Programını destekliyor.
Bir Süper Kupa'da ilk kez, Bilim ve Teknoloji Direktörlüğü, stadyumdaki güvenlikteki kapsama boşluklarını doldurmak için kritik varlık koruması ve yetkisiz girişi önleme sağlamak üzere hızla kurulabilen, monte edilmesi kolay, genişletilebilir güvenlik bariyerleri konuşlandıracak.
Siber Tehditler Öne Çıkıyor
Devasa fiziksel güvenlik tehditlerinin yanı sıra, bu yılki Süper Kupa aynı zamanda LinkedIn, Twitter, Weibo, Tencent ve diğer platformlardan 26 milyar kaydın tehlikeye girdiği "Tüm İhlallerin Annesi" (MOAB) olayının hemen ardından geliyor.
Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), geçen sonbaharda Ulusal Futbol Ligi ile bu yılki Süper Kupa'yı aksatabilecek çeşitli bilgisayar korsanlığı senaryolarını planlamak için masaüstü alıştırmaları düzenledi. Bazı takımlar da doğrudan bilgisayar korsanlarının hedefi oldu: San Francisco 49ers ofislerine yapılan bir fidye yazılımı saldırısı, milyonlarca dolarlık bir anlaşmayla sonuçlandı. Ev sahibi şehirler ve spor bahis hizmetleri de hedefler arasında yer alıyor.
Süper Kupa için siber müdahale konusundaki ilk büyük test geçen sonbaharda, CISA, Ulusal Futbol Ligi, Allegiant Stadyumu ve Süper Kupa LVIII ortak kuruluşlarının oyun öncesinde siber güvenlik müdahale yeteneklerini, planlarını ve prosedürlerini keşfetmek, değerlendirmek ve geliştirmek için bir Süper Kupa LVIII Siber Güvenlik Masaüstü Tatbikatı düzenlemesiyle geldi.
4 saat süren tatbikatın amacı, etkinlik sırasında önemli bir siber saldırıya karşı korunmak, müdahale etmek ve iyileşmek için planları ve prosedürleri, kaynakları, yetenekleri ve en iyi uygulamaları tartışmaktı.
Tatbikat sırasında katılımcılar, hepsi fiziksel sistemler üzerinde yığılan etkileri olan kimlik avı, fidye yazılımı, veri ihlali ve potansiyel bir içeriden tehdit içeren varsayımsal bir senaryoyu tartıştılar.
Bu tür bir olay, birden fazla ortağın ve satıcının ve binlerce taraftarın biletleme sistemleriyle ve mobil cihazlar aracılığıyla stadyum Wi-Fi'sini kullanan satış noktalarıyla etkileşime girmesiyle hızla değişen dinamik bir siber güvenlik saldırı yüzeyine sahiptir. Hassas bilgilere erişen mobil uygulamaların kimliğe bürünmeye veya manipülasyona karşı korumalı olduğunun doğrulanması gerekir.
CISA Altyapı Güvenliğinden Sorumlu İcra Komisyonu Başkan Yardımcısı Steve Harris, "Bu, o planlardaki boşlukları belirlemek ve hepimizin rolleri ve sorumlulukları konusunda ortak bir anlayışa sahip olduğundan emin olmak için güvenli, düşük stresli bir ortam oldu. Kısacası, bu tatbikat oyun gününde karşımıza çıkacak zorluklara hazır olmamıza yardımcı olacak" dedi.
'Siber Tehdit Avcıları'
Binary Defense'te Siber Hizmetler Başkanı Joe McMann, şu anda NFL tarafından kullanılan en son güvenlik çabalarını kullanan Cleveland Browns ile çalışıyor.
Spor bilgisayar korsanlığı, siber suçlular için büyük bir endüstri haline geliyor. NFL takımları, değerli kişisel ve finansal bilgilerin yanı sıra oldukça rağbet gören spor IP'si ve oyun günü stratejileri, oyuncu sağlık durumu, izleme raporları, teknik heyet e-postaları ve benzerleri gibi içeriden bilgiler için bir depo görevi görüyor. McMann, bilgisayar korsanlarının futbola ve diğer sporlara odaklandığını ve NFL'nin bu tür olayları meydana gelmeden önce önlemek için tehdit avını kullandığını söylüyor.
Örneğin, Binary Defense'in yaklaşan fidye yazılımı saldırılarından stadyumlardaki fiziksel tehditlere ve hatta potansiyel taraftar davranış bozukluklarına kadar olası sorunların herhangi bir işaretini aramak için Karanlık Web, Derin Web, sosyal medya ve daha fazlasını tarayan "siber tehdit avcılarından" oluşan bir ekibi var. McMann, CISA ve NFL'nin işbirliği yapma ve hazırlanma konusunda yaptıklarından dolayı cesaret aldığını söylüyor.
"Onların bu konuda son derece proaktif olduğunu söyleyebilirim. Risklerin ve tehditlerin ne olduğunun ve bunun NFL, bireysel bir takım veya bir oyuncu veya sahip üzerindeki potansiyel etkisinin ne olabileceğinin çok farkındalar," diyor McMann.
"Herkesin bu işe sarılmasından ve bir şeyin olmasına engel olmak için gerekli adımları atmak için yatırım ve kaynak koymasından etkilendim."
Yetkililer, bir kuruluşun nasıl tepki verdiğini ve iletişim süreçlerini test eden geniş bir tehdit senaryosuyla yukarıdan aşağıya bir tatbikat yapmayı seçebilirler. Veya McMann, çok tekil, küçük bir olayla aşağıdan yukarıya çok teknik bir olay olabilir.
"Diyelim ki, bir bilgisayarın önünde oturan bir bireyin ekranında o olayı görmesinden nasıl başlar? Bunun nasıl genişlemeye başladığı ve daha büyük bir olaya dönüşmeye başladığı?" diye açıklıyor McMann.
"Sonuçta, en başarılı tatbikatlar, hem görüşleri içeren hem de ortada bir yerde buluşanlardır, böylece teknik parçayı, operasyonel parçayı, ne olduğunun düşük seviyeli ayrıntılarını, dakikası dakikasına, saati saatine, günü gününe anlarsınız, ancak aynı zamanda daha büyük sonuçları ve bununla başa çıkmak için harekete geçirilmesi gereken tüm üst düzey parçaları da anlarsınız."
McMann, en başarılı kuruluşların risk değerlendirmesinden sorumlu bir ekibe veya kişiye sahip olduğunu ve bir işletme, müşteriler, seçmenler - veya bu durumda Süper Kupa - için en büyük risklerin ne olduğunu anlamaları gerektiğini ekliyor. Bazılarının siber veya BT güvenliği bileşeni olabilir.
"En azından siber güvenlik bakış açısından, her zaman başlayacağımız yer orası. O faaliyetin çalıştığımız bir işletme için ne tür bir risk oluşturacağını belirleyeceğiz ve sonra bundan aşağıya doğru modelleyeceğiz," diyor. "Gerçekçi bir başlangıç yapmak istediğimizi söyleyeceğim. Bir kıyamet senaryosuyla başlamayacağız. En yüksek potansiyele veya olasılığa sahip bir şeyle başlayacağız ve nihayetinde, ideal olarak, o olay üzerinde olumlu bir etkiye sahip olacak bir müdahalemiz olan bir şeyle başlayacağız."
Mobil uygulamalar ve API'leri için çalışma zamanı güvenlik çözümleri sağlayan bir firma olan Approov CEO'su Ted Miracco, yalnızca siber saldırıların sayısında bir artış olmadığını, aynı zamanda faillerin agresifliğinde ve ihlallerin büyüklüğünde de bir artış olduğunu söylüyor. Yapay zekanın, verilerin savunucularına yardım etmekten çok saldırganlara daha fazla yardımcı olduğuna inanıyor.
Miracco, "Kullanıcı adınızı ve şifrenizi girmenizi isteyen sahte web siteleri ile gerçek olanlar arasındaki fark eskiden gülünçtü - sadece bir aptal buna kanardı," diyor. "Şimdi, siber güvenlik uzmanları neyin gerçek neyin gerçek olmadığını ayırt etmekte zorlanıyor. Ve içeri girmeden önce gerçekten dikkatli bakmalısınız."
Herkese açık bir şarj istasyonu gibi masum görünen bir şey, kullanılan bağlantı türüne bağlı olarak bir tehdit olabilir.
Miracco, "Bazıları sizden 'katılıyorum' veya benzeri bir şeye tıklamanızı isteyecek ve bu, o bağlantıya tüm verilerinize erişim verecek," diye belirtiyor. "Yakın alan iletişimini, Bluetooth'u ve diğer yolları istismar ederek etkili bir şekilde cihazınızın içine girebilirler. Tüm hayatınız o cihazda. Tüm bankacılık bilgileriniz, tüm iletişim bilgileriniz, tüm şifreleriniz.
"Bir Wi-Fi ağı, ortadaki adam saldırıları için bağlanabileceğiniz en savunmasız şeylerden biridir."
API Tehlikeleri
Wi-Fi tek sorun değil - stadyumu çeşitli altyapılara bağlayan bağlantı da var. Bu nedenle, bir masaüstü tatbikatı, organizatörlerin "birisi yanlış ağa bağlandığında veya iletişimlerin masum insanlar ile altyapının geri kalanı arasında kesintiye uğrayıp uğramadığını görmelerine" yardımcı oluyor, diyor Miracco.
"Sahte hücre kuleleri oluşturabilirsiniz, böylece insanlar Wi-Fi ağına bağlı olmasalar bile, insanların hücresel iletişimini onun üzerinden yönlendirebilir."
DraftKings ve FanDuel gibi bahis hizmetleri de aktif olacak, bu da başka bir risk. "İçki içen, dikkatsiz, sosyalleşen, bahis oynayan bir sürü insan olacak. DraftKings ve FanDuel gibi uygulamalar aktif olacak. İnsanlar bahis oynayacak, bu uygulamalar banka hesaplarına bağlı olacak ve insanlar kimlik bilgilerine erişmeye çalışacaklar."
Yetkililer, muazzam tehditlere orantısız bir dikkat gösterecekler, "ancak bu, bireysel banka hesaplarına saldırmaktan tüm etkinliği büyük ölçüde kesintiye uğratmaya kadar her şeyi kapsayacak ve tüm senaryolara hazır olmaları gerekiyor," diyor.
Miracco, CISO'ların API güvenliği konusunda her zamankinden daha fazla endişelenmeleri gerektiğine inanıyor.
"Sadece bir kullanıcı adı ve şifreye güvenemezsiniz. Yalnızca kullanıcı kimlik bilgilerinden başka bütünlük kontrolleri yapmanız gerekir, çünkü bunlar büyük ölçüde çalındı ve karanlık web'de bulunuyor. Başka bütünlük kontrolleri yapmanız gerekiyor."
Mayorkas, Süper Kupa ile siber tehdit faktörünün bir süredir yıldan yıla arttığını söylüyor. Bu haftaki medyaya, "Artık daha fazla birbirine bağlı bir dünyada, en zayıf bağlantımız kadar güvendeyiz" dedi. "Her bireyin kendi teknoloji ortamını güvence altına alma gücü vardır ve daha güçlü bir ekosistem oluşturabiliriz."
John Dobberstein, SecurityInfoWatch.com'un genel yayın yönetmenidir ve web sitesi için tüm içerik oluşturmayı denetler. Dobberstein, çeşitli gazetelerde ve B2B dergilerinde duraklamaları içeren 34 yıllık ödüllü gazetecilik kariyerine devam ediyor.