OT (Operational Technology) Pentest Rehberi
Nisan 8, 2026
Kritik Altyapı,Siber Güvenlik,Siber Savunma
Endüstriyel tesisler, enerji santralleri, su arıtma tesisleri ve ulaşım altyapıları gibi kritik sistemlerin dijital dönüşümü, Operasyonel Teknoloji (OT) ortamlarını siber tehditlerin merkezine yerleştirdi. Geleneksel olarak izole çalışan bu sistemler, artık IT ağlarıyla entegre hale gelerek verimlilik ve uzaktan yönetim avantajları sunarken, aynı zamanda saldırı yüzeyini de genişletti. Bir OT sisteminin güvenliğinin ihlal edilmesi, yalnızca veri kaybıyla sınırlı kalmayıp fiziksel hasara, üretim duruşlarına ve hatta can güvenliği risklerine kadar uzanan sonuçlar doğurabilir. Bu rehberde, OT ortamlarına yönelik sızma testlerinin neden farklı bir yaklaşım gerektirdiğini, kapsamlı bir test sürecinin nasıl kurgulanması gerektiğini ve bu kritik altyapıları korumak için alınması gereken stratejik önlemleri ele alacağız.
OT Pentest Nedir ve Neden Farklıdır?
OT (Operational Technology) sızma testi, endüstriyel kontrol sistemlerini (ICS), SCADA platformlarını, PLC’leri ve ilgili ağ altyapılarını yetkili ve kontrollü bir şekilde güvenlik açısından değerlendiren uzmanlık gerektiren bir süreçtir. Geleneksel BT pentestlerinden köklü farklılıklar göstermesinin temel nedenleri şunlardır:
- Süreklilik Önceliği: OT ortamlarında “önce güvenlik” değil, “önce proses güvenliği” esastır. Testlerin üretim akışını kesintiye uğratmaması, “no-disruption” prensibiyle yürütülmesi zorunludur.
- Özel Protokoller ve Eski Altyapılar: Modbus, DNP3, Profibus, IEC 60870-5-104 gibi endüstriyel protokoller güvenlik odaklı tasarlanmamıştır. Ayrıca 10-20 yıllık cihaz ömürleri, güncellenemeyen firmware’ler ve yama almayan işletim sistemleri kalıcı risk alanları oluşturur.
- Fiziksel-Dijital Etkileşim: Bir siber saldırı, yalnızca veri ihlaliyle sonuçlanmaz; vanaların açılmasına, motorların aşırı ısınmasına veya basınç değerlerinin manipüle edilmesine neden olabilir.
- Kısıtlı İzleme Yetenekleri: OT ortamlarında geleneksel loglama ve SIEM entegrasyonları sınırlıdır. Anomali tespiti, protokol bazlı izleme gerektirir.
Bu nedenlerle OT pentest, hem teknik derinlik hem de operasyonel süreç bilgisi gerektiren uzmanlık alanıdır.
OT Pentest Kapsamı ve Test Türleri
Kapsamlı bir OT güvenlik değerlendirmesi, sistemin tüm bileşenlerini bütünsel olarak ele almalıdır. Temel test türleri şunlardır:
- Ağ Segmentasyonu ve İzolasyon Testleri: OT ve IT ağları arasındaki DMZ yapıları, güvenlik duvarı kuralları ve gereksiz yatay erişim yolları test edilir. “Air-gap” iddialarının gerçekte ne kadar geçerli olduğu, fiziksel ve mantıksal izolasyon kontrolleriyle doğrulanır.
- Endüstriyel Protokol Analizi: Modbus TCP, DNP3, IEC 61850, Profinet gibi protokollerin şifresiz iletim, kimlik doğrulama eksikliği ve komut enjeksiyonu riskleri değerlendirilir. Protokol fuzzing teknikleriyle anormal paketlerin sistem tepkisi ölçülür.
- HMI ve SCADA Yazılım Güvenliği: Operatör arayüzlerinde kimlik doğrulama, yetkilendirme, oturum yönetimi ve makro güvenliği test edilir. Varsayılan hesaplar, zayıf parolalar ve yetki aşımı senaryoları incelenir.
- PLC/RTU Cihaz Güvenliği: Programlanabilir mantık denetleyicilerdeki firmware zafiyetleri, fiziksel erişim kontrolleri, konfigürasyon yedekleme güvenliği ve uzaktan yönetim arayüzleri değerlendirilir.
- Tedarikçi ve Uzaktan Erişim Kanalları: Bakım amaçlı kullanılan VPN, RDP veya üçüncü taraf bulut bağlantılarının güvenliği, çok faktörlü doğrulama varlığı ve erişim loglaması kontrol edilir.
- Fiziksel Güvenlik ve Çevresel Kontroller: Veri merkezleri, kontrol odaları ve saha cihazlarının fiziksel erişim güvenliği, çevresel izleme sistemleri ve acil durum prosedürleri test edilir.
OT Pentest'in Stratejik Katkıları
Yetkili ve planlı şekilde yürütülen OT güvenlik testleri, kurumlar açısından çok katmanlı değer yaratır:
- Fiziksel Risklerin Proaktif Yönetimi: Potansiyel saldırı senaryoları önceden simüle edilerek, proses güvenliği ve siber güvenlik ekipleri arasında koordinasyon güçlendirilir.
- Regülatör Uyumluluğunun Sağlanması: EPDK, BDDK, NIS2 Direktifi, IEC 62443 ve ISO 27001 gibi standartlar, kritik altyapı işletmecilerinden periyodik güvenlik testleri talep eder. Test raporları, bu yükümlülüklerin nesnel kanıtı niteliğindedir.
- Operasyonel Kesinti Riskinin Azaltılması: Gerçek saldırı vektörleri önceden tespit edilerek, plansız duruşlar, üretim kayıpları ve acil müdahale maliyetleri minimize edilir.
- Kurumsal Olgunluğun Yükselmesi: OT ve BT ekiplerinin ortak dilde iletişim kurması, güvenlik politikalarının sahada uygulanabilirliği ve kriz senaryolarına hazırlık düzeyi artar.
Etkili OT Pentest İçin Uygulama Adımları
OT ortamlarında güvenlik testi yürütmek, özel metodoloji ve saha tecrübesi gerektirir. Başarılı bir süreç için aşağıdaki adımlar izlenmelidir:
- Ön Değerlendirme ve Risk Haritalaması: Kritik varlıklar (asset inventory), proses akış diyagramları ve veri akış haritaları çıkarılır. Testin üretim süreçlerine etkisi analiz edilir ve “test edilmeyecek” alanlar net olarak tanımlanır.
- Pasif Keşif ile Başlangıç: Aktif taramalar yerine önce ağ trafiği pasif olarak izlenir (packet capture). Protokol analizi, cihaz keşfi ve anormal davranış tespiti bu aşamada yapılır. Bu yaklaşım, üretim ortamına müdahale riskini sıfıra indirir.
- Kontrollü Aktif Testlerin Planlanması: Aktif testler, planlı bakım pencerelerinde, test ortamlarında veya izole edilmiş segmentlerde yürütülür. Her komut öncesi “rollback” planı hazırlanır ve operasyon ekipleriyle yazılı koordinasyon sağlanır.
- Bulguların Proses Etkisiyle Önceliklendirilmesi: Teknik açıklar, yalnızca CVSS skoruna göre değil; fiziksel etki potansiyeli, proses güvenliği riski ve kurtarılabilirlik düzeyi bağlamında derecelendirilir.
- Düzeltme ve Doğrulama Süreci: Öncelikli olarak ağ segmentasyonu, erişim kontrolleri ve izleme yetenekleri güçlendirilir. Tüm iyileştirmeler, üretim etkisi yaratmayacak şekilde test edilir ve dokümante edilir.
- Sürekli İzleme ve Tehdit Avcılığı: OT ortamlarında “tek seferlik test” yeterli değildir. Anomali tespiti, protokol bazlı SIEM kuralları ve düzenli tehdit avcılığı faaliyetleri ile sürekli korunma sağlanır.
OT Pentest İçin Kritik Başarı Faktörleri
OT güvenlik testlerinde başarı, yalnızca teknik yetkinlikle değil, aşağıdaki stratejik faktörlerin doğru yönetilmesiyle mümkündür:
- Operasyonel Ekiplerle Erken İş Birliği: Test planlaması aşamasında proses mühendisleri, saha operatörleri ve bakım ekiplerinin sürece dahil edilmesi, yanlış alarm ve operasyonel riskleri minimize eder.
- Test Araçlarının OT Uyumluluğu: Kullanılan tarama ve istismar araçlarının endüstriyel protokolleri desteklemesi, pasif izleme moduna sahip olması ve cihazlara zarar vermeyecek şekilde yapılandırılması esastır.
- Yasal ve Sözleşsel Çerçeve: Test kapsamı, yetki sınırları, veri gizliliği ve sorumluluk paylaşımları yazılı anlaşmalarla netleştirilmelidir.
- Raporlamanın İki Dilli Yapısı: Teknik bulgular, OT ekiplerinin anlayacağı proses diliyle ve yönetimin karar almasını sağlayacak iş etkisi odaklı özetlerle sunulmalıdır.
Tags :
#ICSSecurity,#IndustrialCybersecurity,#KritikAltyapı,#OTPentest,#PLC,#ProtokolAnalizi,#SCADA,#SiberSavunma
Share This :