Gerçek donanım üzerinde sertleştirilmiş bir ağ geçidi.

Kapsam

2016'daki Mirai botnet'i yüz binlerce IoT cihazını ele geçirdi — kameralar, termostatlar, yönlendiriciler — çünkü bu cihazların uçta ciddi bir savunması yoktu. Aradan on yıla yakın süre geçti; çoğu IoT kurulumu hâlâ ağa güvenip en iyisini umuyor.

Projenin kapsamı, gerçek bir uç cihazda çalışan bir katmanlı savunma kurmaktı: güvenlik duvarı, şifreli taşıma, mesaj bütünlüğü, yeniden oynatma koruması, saldırı tespiti ve anomali tespiti — hepsi bir arada ve tekrar üretilebilir biçimde.

Ne kurdum

• Donanım. Debian Trixie arm64 çalışan fiziksel bir Raspberry Pi 5. Sanal makine değil, gerçek bir cihaz.
• Güvenlik duvarı. nftables kuralları yalnızca ağ geçidinin gerçekten ihtiyaç duyduğu portlara ve yönlere izin veriyor.
• Şifreli taşıma. TLS ve erişim listesiyle Mosquitto MQTT sunucusu — her sensör kimlik doğruluyor, her mesaj yolda şifreli gidiyor.
• Mesaj bütünlüğü. Her veri paketinde HMAC-SHA256 imzası — yolda tek bayt değişse mesaj veritabanına ulaşmadan reddediliyor.
• Yeniden oynatma koruması. Sensör başına çerçeve sayacı (FCnt), yeniden başlatmalar arasında SQLite ile kalıcı — eski ama geçerli bir paketi tekrar göndermek bir saniye içinde yakalanıyor.
• Saldırı tespiti. Giriş arayüzünde Suricata IDS; port taramalarını ve bilinen kötücül kalıpları işaretliyor.
• Yapay zekâ ile anomali tespiti. Cihaz başına 480 pencere üzerinde eğitilmiş Isolation Forest; bütün kriptografik kontrolleri geçen ama olmaması gereken davranış sapmalarını (sabit sinyal gücü, paket hızı sıçramaları) yakalıyor.
• İzlenebilirlik. Üç panelli Grafana panosu — telemetri, güvenlik uyarıları, istatistikler — bir Python toplayıcı ve /telemetry, /alerts, /stats, /health uç noktalarına sahip bir Flask REST API tarafından besleniyor.
• Otomatik başlatma. Altı servisin tamamı (Mosquitto, toplayıcı, simülatör, API, anomali motoru, Grafana) systemd birimi olarak tanımlı — cihaz açılışta kendini savunmaya hazır geliyor.
• Saldırı tatbikatı. Dört saldırı betiği — yeniden oynatma, HMAC bozma, port tarama, anomali enjeksiyonu — hem doğrulama hem demo videosu olarak kullanıldı.

Proje raporu

Analiz

Saldırı tatbikatı temiz çalışıyor. Yeniden oynatma denemeleri bir saniyenin altında, denetim kaydıyla birlikte reddediliyor. HMAC'i bozulmuş veriler veritabanına hiç ulaşmıyor. Anomali enjeksiyonu bilinçli olarak ince: HMAC doğru, sinyal gücü sabit, yalnızca paket hızı yükseliyor — ve Isolation Forest bunu yakalıyor. Etkilenen sensörün anomali puanı ~0,26'dan ~0,11'e düşerken diğer sensörler normal bantta kalıyor. Hepsi Grafana panellerinde, zaman damgasıyla eşleştirilmiş halde görünüyor.

Projenin değeri tek bir bileşende değil; bunların hepsi bilinen teknikler. Değer bileşimde: 80 dolarlık bir kartın, doğru yapılandırıldığında, bütün bu güvenceleri aynı anda ve açılıştan itibaren, sahada ayakta kalacak biçimde uygulayabildiğini göstermek.