Birleşik güvenlik sistemleri (Unified Security Systems) tasarlarken en sık karşılaştığımız sorulardan biri, web ve açık kaynak dünyasında yankı uyandıran zafiyetlerin VMS ve Geçiş Kontrol (ACS) altyapılarını ne derece etkilediğidir.
Geçtiğimiz günlerde sıkça tartışılan PHP uzaktan kod yürütme açıkları (PHP2Shell ve türevleri) sonrasında, sahada yönettiğimiz Genetec altyapılarının bu durumdan nasıl etkilendiğini hem sistem mimarisi hem de entegrasyon güvenliği boyutlarıyla masaya yatırmak istedim.
Mimarinin Röntgeni: Genetec Sunucularında PHP Var mı?
Kısa cevap: Hayır.
Genetec Security Center ekosistemi, Microsoft Windows ve .NET mimarisinin kurumsal standartları üzerine inşa edilmiştir:
- Directory ve Archiver: Yüksek hacimli veri trafiğini işlemek için C++ ve C# / .NET teknolojileriyle geliştirilmiştir; veri tabanı olarak Microsoft SQL Server kullanılır.
- Web İstemcisi ve Web SDK: Arayüz ve REST servisleri IIS ve Kestrel tabanlı ASP.NET Core üzerinde çalışır.
- Eklenti Dünyası: Genetec Workspace API doğrudan .NET DLL kütüphanelerine bağlandığı için üçüncü parti veya resmi eklentiler de C# ile kodlanır.
Özetle, Security Center sunucularında yerleşik bir PHP derleyicisi ya da çalışma ortamı bulunmaz. Dolayısıyla çekirdek sistem doğrudan bu zafiyetin hedefi olamaz.
Asıl Tehlike: Entegrasyon Köprüleri ve Çevre Sistemler
Peki her şey tamamen risksiz mi? Maalesef hayır. Bilişim ve fiziki güvenliğin kesiştiği entegrasyon noktalarında dikkat edilmesi gereken çok önemli senaryolar var:
1. Ziyaretçi ve Geçiş Portalları (Custom Web Portals)
Pek çok kurum, bina giriş-çıkışları veya ziyaretçi kayıtları için kurum içi PHP (Laravel, Symfony vb.) portalları kullanır. Bu sistemler son kullanıcıdan kimlik bilgilerini alır ve Genetec Web SDK üzerinden kart sahibi tanımlar. Eğer bu PHP portalı hacklenirse, saldırgan portalın yetkili Web SDK API anahtarlarını ele geçirebilir. Bu da saldırgana kapıları açma veya logları manipüle etme gücü verebilir.
2. Webhook ve Middleware Script’leri
Plaka tanıma (ALPR) kameralarından gelen plakaları alıp otopark ücreti hesaplayan ya da yangın alarmından gelen sinyali işleyen basit PHP middleware betikleri sıklıkla bir kenarda unutulur. Dışarıdan gelebilecek bir enjeksiyon bu ara katmanı felç edebilir.
3. Üçüncü Parti IoT Cihaz Panelleri
Sistemle entegre çalışan bazı çevre sensörleri, interkomlar veya network donanımlarının kendi web yönetim arayüzleri gömülü PHP kullanıyor olabilir.
Güvenliği Sağlamak İçin Ne Yapmalıyız?
Genetec altyapılarınızı bu tür zincirleme risklerden korumak için uygulayabileceğiniz temel hijyen kuralları:
Sunucunuzu Temiz Tutun: Security Center Directory ve Archiver makinelerinde gereksiz hiçbir harici runtime (PHP, Python, harici web sunucuları vb.) barındırmayın. PowerShell ile çalışan süreçleri düzenli tarayın.
En Az Yetki Kuralı: Entegrasyon için tanımladığınız API kullanıcısına asla “Admin” yetkisi vermeyin. Yalnızca kart sahibini listelemesi gerekiyorsa, sadece o nesneye okuma izni tanımlayın.
Ağ Segmentasyonu: Web SDK portlarını (4590, 8701 vb.) kurumsal ağın geri kalanından ve dış dünyadan izole edin. Yalnızca entegrasyon yapan sunucunun IP adresine güvenlik duvarı üzerinden izin verin.
Bültenleri Takip Edin: Genetec’in resmi Güvenlik Portalı’ndaki duyuruları ve CVE yayınlarını düzenli kontrol listelerinize ekleyin.
Sonuç Olarak;
Güvenlik zinciri, her zaman en zayıf halkası kadar güçlüdür. Genetec çekirdeğiniz ne kadar izole ve güvenli olursa olsun, onunla konuşan web ara yüzlerinin güvenliğini sağlamadığınız sürece fiziki güvenliğiniz de tehlikede demektir.
