OT Güvenlik Kontrol Listesi

Endüstriyel Güvenlikte Temel İlkeler ve Çerçeve

Klasik bilgi teknolojileri (IT) sistemleri verinin gizliliğini ilk sıraya koyar. Ancak operasyonel teknolojiler (OT) sahasında insan hayatı, çevre güvenliği ve üretimin kesintisizliği her şeyin önünde gelir. Bu nedenle sahadaki PLC, RTU, DCS ve SCADA sistemlerini yöneten mühendisler sistemin erişilebilirliğini (availability) korumak zorundadır.

İlk olarak IEC 62443 ve NIST SP 800-82 gibi uluslararası standartlar bu yaklaşımın temelini oluşturur. Bu çerçeveler, sahadaki operasyonel süreçleri derinlemesine savunma anlayışıyla yapılandırır. Tek bir güvenlik duvarının arkasına sığınmak yerine her otomasyon hücresini kendi içinde bağımsız bir kale haline getirmeyi önerir.

Bunun yanında tesis yönetiminin OT ve IT ekipleri arasında ortak bir iletişim dili kurması şarttır. Güvenlik analistlerinin fabrika sahasındaki hassasiyetleri bilmemesi, yanlış bir aktif ağ taramasıyla montaj robotlarını durdurur. Tam aksine otomasyon uzmanlarının siber tehditleri göz ardı etmesi tesisi fidye yazılımlarına açık bırakır. Bu sebeple yapılandırılmış bir kontrol listesi iki dünya arasındaki boşluğu doldurur.

Varlık Envanteri ve Görünürlük Kontrolleri

Göremediğiniz ve varlığından haberdar olmadığınız bir cihazı korumanız imkansızdır. Birçok endüstriyel tesiste bakım ekiplerinin yıllar önce kurduğu ve unuttuğu kontrolörler ağda sessizce çalışmayı sürdürür. Bu cihazlar dış dünyaya açık zafiyet barındıran gizli giriş kapılarıdır.

Varlık Yönetimi İçin Kontrol Maddeleri

Ekipler sahadaki tüm dijital donanımları kapsayan canlı bir envanter oluşturmalıdır. Bu envanter sadece IP adreslerini değil, donanım revizyonlarını ve yazılım sürümlerini de içermelidir:

• Sahadaki tüm PLC, RTU, HMI, SCADA sunucusu ve endüstriyel switch cihazlarının marka, model ve firmware sürümleri kayıt altındadır.
• Ağda aktif tarama yapmayan, yalnızca ayna portlar (SPAN/TAP) üzerinden çalışan pasif varlık keşif araçları devrededir.
• Cihazların kullandığı endüstriyel protokoller (Modbus, Profinet, EtherNet/IP, DNP3, BACnet) eksiksiz tespit edilmiştir.
• Tesis dışına doğrudan veya hücresel modemler (4G/5G router) üzerinden bağlı kaçak donanımlar denetlenmiştir.
• Ekipler tedarikçilerin sahaya getirdiği servis bilgisayarları ve taşınabilir bellekler için fiziksel kontrol noktaları belirlemiştir.

Özellikle pasif dinleme sensörleri üretim trafiğine müdahale etmeden paketleri inceler. Bu sayede cihazların yanıt verme sürelerini bozmadan ağdaki anomalileri anında tespit eder. Nitekim bilinmeyen bir cihazın ağa bağlandığı an alarm üretmesi ilk savunma hattını güçlendirir.

Ağ Segmentasyonu ve Çevre Güvenliği

Düz ağ mimarisi endüstriyel tesislerin en büyük felaket senaryosudur. Kurumsal ofis ağındaki bir muhasebe bilgisayarına bulaşan zararlı yazılım, düz ağ yapısında dakikalar içinde üretim bandındaki sürücülere ulaşır. Bu yıkıcı zincirleme reaksiyonu engellemenin yolu Purdue Kurumsal Referans Mimarisine dayalı mikro segmentasyondur.

Ağ Güvenliği Kontrol Maddeleri

Ağ katmanını izole ederken aşağıdaki teknik adımlar eksiksiz uygulanmalıdır:

• Kurumsal ofis ağı (Seviye 4) ile endüstriyel operasyon ağı (Seviye 3) arasına Endüstriyel DMZ (IDMZ) yerleştirilmiştir.
• Ofis sistemlerinden fabrika sahasındaki Seviye 2 ve Seviye 1 cihazlarına doğrudan yönlendirilmiş hiçbir ağ rotası bulunmamaktadır.
• Tüm veri aktarımları aradaki IDMZ sunucuları (çift ağ kartlı veri havuzları) üzerinden gerçekleştirilmektedir.
• Endüstriyel güvenlik duvarlarında derin paket inceleme (DPI) kuralları aktiftir ve anormal protokol komutları filtrelenmektedir.
• Farklı üretim hücreleri arasındaki yatay trafik (Doğu-Batı) VLAN ve endüstriyel güvenlik duvarlarıyla sınırlandırılmıştır.
• Kablosuz endüstriyel ağlar WPA3-Enterprise standardında şifrelenmiştir ve misafir ağlarından kesin olarak ayrılmıştır.

Bunun yanında güvenlik duvarları sadece port kontrolü yapmakla kalmamalıdır. Örneğin güvenlik duvarı Modbus protokolünde sadece veri okuma komutlarına izin vermeli, kritik register yazma komutlarını kesin olarak engellemelidir. Böylece saldırgan ağa sızsa dahi makinelere tehlikeli parametreler gönderemez.

Endüstriyel Protokol Güvenliği ve Derin Paket İnceleme

Geleneksel bilişim ağlarında kullanılan TCP/IP protokollerinin aksine, endüstriyel kontrol sistemleri operasyon sahasına özel protokollerle haberleşir. Ancak Modbus, DNP3, Profinet ve EtherNet/IP gibi eski protokoller tasarlanırken siber tehditler hesaba katılmamıştır. Üstelik bu protokollerin ezici çoğunluğu şifrelemeden yoksundur ve kimlik doğrulaması yapmaz.

Protokol Seviyesinde Kontrol Adımları

Haberleşme trafiğini koruma altına almak isteyen mühendisler şu adımları izlemelidir:

• Mühendisler sahadaki tüm endüstriyel iletişim akışını derin paket inceleme (DPI) yapabilen güvenlik duvarları üzerinden geçirir.
• Bununla birlikte okuma ve yazma fonksiyon kodları birbirinden ayrılır; operatör panelleri dışındaki cihazların PLC hafızasına yazması engellenir.
• Ayrıca mümkün olan kontrolörlerde OPC UA gibi TLS şifrelemesini ve sertifika tabanlı doğrulamayı destekleyen modern protokoller devreye alınır.
• Ağ yöneticileri beklenmeyen yayın fırtınalarına (broadcast storm) karşı hız kısıtlama kuralları işletir.
• Protokol anomalileri ve standart dışı paket boyutları güvenlik izleme yazılımlarına gerçek zamanlı loglanır.

Öte yandan saldırganlar genellikle sahadaki kontrolörlere doğrudan bağlanmak yerine meşru protokol paketlerinin içine zararlı komutlar enjekte eder. Örneğin bir su arıtma tesisinde klor pompalama komutunu değiştiren sahte bir paket, derin paket inceleme olmadan sıradan bir veri gibi görünür. Bu nedenle protokolün içeriğini anlayan akıllı güvenlik katmanları oluşturmak şarttır.

Kimlik Doğrulama ve Uzaktan Erişim Güvenliği

Endüstriyel tesislerde dış tedarikçilerin ve makine üreticilerinin uzaktan destek vermesi yaygın bir uygulamadır. Ancak kontrolsüz bırakılan TeamViewer veya AnyDesk benzeri ticari uzak masaüstü araçları saldırganların en sevdiği arka kapılardır. Bu sebeple uzaktan erişim süreçleri kurumsal standartlarla denetlenmelidir.

Kimlik ve Erişim Kontrol Maddeleri

Sahaya yönelik erişim izinleri tanımlanırken şu maddeler kontrol edilmelidir:

• İlk olarak SCADA, HMI ve mühendislik iş istasyonlarında varsayılan üretici şifreleri (admin/admin vb.) değiştirilmiştir.
• Bunun yanında dışarıdan gelen tüm uzaktan erişim talepleri çok faktörlü doğrulama (MFA) zorunluluğu olan kurumsal VPN tünelleriyle karşılanmaktadır.
• Özellikle tedarikçilerin doğrudan PLC seviyesine inmesi yasaklanmıştır; erişimler IDMZ içindeki atlama sunucuları üzerinden sağlanmaktadır.
• Uzaktan oturumlar esnasında gerçekleştirilen tüm klavye ve ekran hareketleri video ve metin formatında kayıt altına alınmaktadır.
• Bakım tamamlandığında uzaktan erişim hesapları otomatik olarak devre dışı bırakılmaktadır; sürekli açık hesap tutulmamaktadır.
• En az yetki prensibi (PoLP) gereğince teknisyenlere yalnızca sorumlu oldukları makine grubuna erişim hakkı verilmektedir.

Ayrıca tesis içindeki operatör panellerinde ortak hesap kullanımından vazgeçilmelidir. Her vardiya sorumlusunun kendine ait akıllı kart veya biyometrik kimlikle oturum açması hesap verebilirlik sağlar. Bu sayede üretim parametrelerinde yapılan kritik bir değişikliğin kim tarafından yapıldığı saniyeler içinde kanıtlanır.

Endüstriyel Zafiyet ve Yama Yönetimi

Aslında OT cihazlarının kullanım ömürleri bilişim teknolojilerine göre çok uzundur. Bir ofis bilgisayarı 4 yılda yenilenirken bir fabrika kontrolörü 20 yıl boyunca aralıksız hizmet verebilir. Nitekim bu durum sahada Windows XP tabanlı HMI cihazlarının ve zayıf protokollerin bulunmasına yol açar.

Zafiyet Yönetimi Kontrol Maddeleri

Eski nesil cihazların güvenliğini sağlamak amacıyla şu kontroller yürütülmelidir:

• Ekipler desteği bitmiş işletim sistemlerine sahip HMI cihazlarını izole alt ağlara almış ve internet çıkışlarını kapatmıştır.
• Öte yandan güvenlik yamaları sahaya yüklenmeden önce simülasyon veya yedek test laboratuvarında test edilmektedir.
• Yamalanması mümkün olmayan PLC ünitelerinin önüne sanal yama (virtual patching) kabiliyetine sahip güvenlik duvarları yerleştirilmiştir.
• Cihazların üzerindeki gereksiz servisler, kullanılmayan fiziksel USB portları ve açık haberleşme portları donanımsal olarak kapatılmıştır.
• Teknisyenler mühendislik yazılımlarını yalnızca yetkilendirilmiş ve korumalı bilgisayarlarda çalıştırır.

Bununla birlikte sanal yama teknolojisi eski cihazları yenileme maliyetine girmeden korur. Özellikle güvenlik duvarı zafiyet istismar girişimini ağ seviyesinde yakalayarak kontrolöre ulaşmasını engeller. Bu sayede tesis yöneticileri üretimi durdurmadan kritik açıkları bertaraf eder.

Yedekleme ve Felaket Kurtarma Planlaması

Siber saldırılar ne kadar güçlü tedbir alınırsa alınsın gerçekleşebilir. Kriz anında kurumsal dayanıklılığın gerçek göstergesi, bir saldırı sonrası tesisin ne kadar hızlı ayağa kalktığıdır. Fidye yazılımları karşısında son savunma hattı çevrimdışı yedeklerdir.

Yedekleme ve Kurtarma Kontrol Maddeleri

İş sürekliliğini teminat altına almak için aşağıdaki süreçler denetlenmelidir:

• PLC merdiven mantığı (ladder logic) kodları, SCADA veritabanları ve robotik konfigürasyon dosyaları düzenli olarak yedeklenmektedir.
• Bununla birlikte kritik sistem yedeklerinin en az bir kopyası internet ve yerel ağ ile fiziksel bağı olmayan (air-gapped) ortamlarda saklanmaktadır.
• Ayrıca yedekleme dosyaları silinmeye ve şifrelenmeye karşı değiştirilemez (immutable) depolama mimarisinde tutulmaktadır.
• Ekipler yılda en az iki kez tüm tesisin sıfırdan yedekten geri yükleme tatbikatını yapar ve kurtarma sürelerini ölçer.
• Siber saldırı anında üretim hattının manuel kontrole nasıl geçirileceğini belirleyen acil durum eylem planı hazırlanmıştır.
• Olay müdahale ekibinin ve kilit personelin kriz anında internet olmadan erişebileceği basılı iletişim rehberleri mevcuttur.

Özellikle tatbikat yapılmayan yedekleme prosedürleri sahte bir güven hissi üretir. Çünkü kriz anında yedek dosyasının bozuk çıkması veya şifresinin unutulması tesisi haftalarca durdurur. Bu sebeple geri yükleme süreçlerini periyodik olarak test etmek hayati bir gerekliliktir.

Kapsamlı OT Güvenlik Matrisi

Endüstriyel tesis yöneticileri için hazırlanan özet denetim tablosu, güvenlik seviyesini geleneksel ve modern yaklaşımlar ekseninde karşılaştırır:

Tablodaki kriterler uygulandığında fabrika sahası yalnızca siber saldırılara değil, çalışan hatalarına ve donanım arızalarına karşı da yüksek bir direnç kazanır. Böylece plansız duruş maliyetleri asgari düzeye iner.

5 Aşamalı Sahaya İniş Planı

Bu kontrol listesini fabrikalarında hayata geçirmek isteyen yöneticilerin izlemesi gereken operasyonel adımlar aşağıda özetlenmiştir:

Sık Sorulan Sorular