Herkes en iyi kodu hangi modelin yazdığı konusunda tartışırken, çok daha eski ve çok daha az gösterişli bir sorun, her yeni yapay zekâ veri merkeziyle birlikte sessizce büyüyor: anakart yönetim denetleyicisi veya BMC. Güvenlik araştırmacıları bu hafta, büyük üreticilerin internete bağlı binlerce sunucusunun bu denetleyicilerdeki açıklar üzerinden uzaktan arka kapılanabileceğine dair bulgular sundu; bu kusurların bazıları on yıldan daha eski. Bu, hiç de yapay zekâ hakkında bir hikâye değil. Bu, yapay zekânın üzerinde çalıştığı donanımla ilgili bir hikâye ve yapay zekâyla bağlantılı güvenlik işlerinde bir sonraki dalganın nereden geleceğini düşünüyorsanız anlamaya değer.

BMC aslında nedir ve neden korkutucudur?

BMC, neredeyse her kurumsal sunucunun anakartına lehimlenmiş küçük, ayrı bir bilgisayardır. Kendi işletim sistemini ve kendi ağ yığınını çalıştırır, kendi IP adresine sahiptir — ana sunucuda çalışan işletim sistemi ve uygulamalardan tamamen bağımsızdır. Yöneticiler BMC'leri "ışıklar kapalı" veya "bant dışı" yönetim için kullanır: bir makineyi yeniden başlatmak, ürün yazılımını yeniden yüklemek, işletim sistemini yeniden kurmak; bunların tümünü uzaktan ve kritik olarak ana sunucu kapalı ya da tamamen yanıt vermiyor olsa bile gerçekleştirebilirler.

BMC'yi ele geçirilmiş hâle getiren ve onu bu kadar tehlikeli yapan da tam olarak budur. Bir saldırgan BMC'ye girdiğinde ana işletim sisteminin çalışıyor olması gerekmez, üzerine kurulmuş uç nokta güvenliğini aşması gerekmez ve BMC, normal BT güvenlik araçlarının izlediği katmanın altında ve dışında bulunduğu için işletim sistemi yeniden kurulumları boyunca kalıcılığını sürdürebilir. Bu hafta ele alınan araştırmaya göre en sık ilişkilendirilen protokol IPMI ve güvenlik araştırmacıları bu risk sınıfına en az 2013'ten beri dikkat çekiyor. Başka bir deyişle: bu yeni bir hata değil; sektörün on yılı aşkın süredir hoş gördüğü, eski, bilinen ve yapısal olarak düzeltilmesi zor bir hata kategorisi.

Bu neden artık daha önemli, daha az değil?

Yapay zekâ yatırımı fiziksel açıdan tarihin en büyük sunucu tedarik dalgalarından biri: tedarikçilerin sevk edebildiği hızda yeni ve genişletilmiş veri merkezlerine GPU sunucusu rafları ve rafları yerleştiriliyor. Bu sunucuların her biri bir BMC ile geliyor, çünkü veri merkezi işletmecileri filoları büyük ölçekte BMC'ler aracılığıyla yönetiyor; depo büyüklüğündeki bir binaya girip on bin makineyi elle yeniden başlatamazsınız. Dolayısıyla yapay zekâ patlaması yalnızca işlem gücü satın almıyor — zorunlu olarak, kritik güvenlik açıklarıyla dolu, belgelenmiş ve on yılı aşan bir geçmişe sahip, yeterince izlenmeyen küçük bant dışı bilgisayarlardan eşdeğer büyüklükte bir filo da satın alıyor.

Teknik borç işte bu: yatırımın hızında öncelik, GPU'ları raflara yerleştirip eğitim çalışmalarını başlatmak; her anakartın altında yer alan ve içine gömülü yönetim ürün yazılımını denetlemek değil. Bu haftaki açıklamanın arkasındaki araştırmacıların BMC'leri "yaygın, yeterince izlenmeyen, yeterince yamalanmayan paralel bir saldırı yüzeyi" olarak tanımladığı bildirildi — bu tanım yapay zekâ veri merkezi patlamasından önceye dayanıyor, ancak BMC sayısını şu anda üretimde çoğaltan şey bu patlama.

Bunun açtığı niş alan

Yapay zekâ altyapısıyla birlikte güvenlik kariyerlerinin nereye yöneldiğini planlıyorsanız, en bariz alanların çoğu — model kırmızı takım testleri, komut enjeksiyonuna karşı savunma, ajan yönetişimi — zaten kalabalık ve başka yerlerde de yeterince ele alınmış durumda. Donanım ve bant dışı güvenlik denetimi ise öyle değil. Bu, yapay zekâ açılış konuşmalarında yer almayan, altyapı güvenliğinin gösterişsiz ve cazip olmayan bir köşesi; tam da boşluk burada: talep her yeni veri merkeziyle büyüyor ve ürün yazılımı düzeyindeki ve bant dışı saldırı yüzeylerini anlayan insanların arzı az, çünkü bu gerçekten uygulama veya bulut güvenliğinden farklı bir beceri seti.

İşin somut olarak nasıl göründüğü:

  • Ürün yazılımı ve protokol bilgisi. IPMI'yi (ve bilinen zayıf noktalarını — bazı cihazların hâlâ etkin olarak sevk ettiği, uzun zaman önce kullanımdan kaldırılmış 0 numaralı şifre takımı gibi unsurları) belirli bir sunucu filosunun yalnızca teorik olarak savunmasız olup olmadığını değil, gerçekten açıkta olup olmadığını değerlendirebilecek kadar iyi anlamak.
  • Ağ segmentasyonu denetimleri. BMC/yönetim arayüzlerinin gerçekten özel bir yönetim ağı üzerinde izole edilip edilmediğini veya üretim ağından ya da genel internetten erişilebilir olup olmadığını kontrol etmek — sahada tekrar tekrar eksik olduğu görülen temel bir kontrol.
  • Kimlik bilgileri ve yama düzeni incelemeleri. BMC'ler çoğu zaman varsayılan ya da tedarikçi tarafından belirlenmiş kimlik bilgileriyle ve bir veri merkezinin normal işletim sistemi yama döngüsünün parçası olmayan ürün yazılımlarıyla gelir; çünkü bu işletim sistemi değildir ve "yamalama" sorumluluğunun kime ait olduğunu belirleyen kişinin kapsamı dışında kalması kolaydır.
  • Tedarikçi ve tedarik zinciri farkındalığı. BMC ürün yazılımı genellikle az sayıda uzman tedarikçi tarafından yazılır ve sunucu üreticilerine lisanslanır; bu nedenle bir tedarikçinin kodundaki kusur aynı anda birçok donanım markasına yayılabilir — bu haftaki açıklamadaki örüntü tam olarak budur. Hangi sunucu markasının altında hangi ürün yazılımı yığınının bulunduğunu bilmek işin bir parçasıdır.

Bunun için kendinizi gerçekten nasıl konumlandırabilirsiniz?

Bu gerçekten niş bir alan ve mevcut altyapı veya güvenlik ekipleri içinde bir uzmanlık olarak kalmasına kıyasla bu alana kaç özel kadro açılacağı konusunda şüpheci olmakta haklısınız — "BMC güvenlik denetçisi"nin tek başına bir iş unvanı olmaktan ziyade daha geniş bir donanım/veri merkezi güvenliği rolüne ekleyeceğiniz bir beceri hâline gelebileceği konusunda kendinize karşı dürüst olun. Ancak birkaç somut ve doğrulanabilir adım her durumda mantıklıdır: erişiminiz varsa herhangi bir kurumsal sunucuyla veya laboratuvar ortamında kullanabileceğiniz ikinci el donanımla IPMI ve bant dışı yönetim araçlarını uygulamalı olarak deneyimleyin; büyük sunucu ve BMC ürün yazılımı üreticilerinin BMC ürün yazılımlarına ilişkin güvenlik duyurularını okuyun, çünkü inceleyebileceğiniz gerçek güvenlik açığı açıklamaları yayımlarlar; zaten bulut veya altyapı güvenliğinde çalışıyorsanız kendi kuruluşunuzun veri merkezi ya da donanım tedarik ekibine basit ve doğrulanabilir bir soru sormaya başlayın — BMC/IPMI yönetim düzlemimiz izole bir ağda mı ve yamalamadan kim sorumlu? Kimsenin kendinden emin bir yanıtı yoksa bu yalnızca bir bulgu değil, aynı zamanda bu niş alanın tam olarak ihtiyaç duyduğu uzmanlığın bir göstergesidir.