ICS Sistemlerinde Siber Güvenlik ve Kritik Altyapı Koruma

Endüstriyel Kontrol Sistemlerinin Temel Kapsamı

Endüstriyel Kontrol Sistemleri (ICS), fiziksel cihazları ve endüstriyel süreçleri izleyen donanım ve yazılımların genel adıdır. Bu sistemler vanaların açılıp kapanmasını, motor devirlerini ve kazan basınçlarını doğrudan kontrol eder. Ayrıca elektrik üretim santrallerini, kimyasal karıştırıcıları ve otomotiv robotlarını eksiksiz yönetir. Sahada meydana gelen saniyelik bir kesinti bile devasa mekanik arızalara yol açabilir.

Kritik ulusal altyapılar bu sistemlere doğrudan bağımlı durumdadır. Çünkü doğal gaz dağıtım hatları, elektrik iletim şebekeleri ve içme suyu tesisleri bu kontrolörlerle çalışır. Buna ek olarak nükleer santraller, maden işletmeleri ve lojistik merkezleri bu teknolojileri kullanır. Bu cihazlar sahadaki fiziksel parametreleri deterministik biçimde ve mikrosaniyeler içinde işler.

Eski yıllarda bu sistemler dış dünyadan tamamen izole edilmiş kapalı ağlarda çalışıyordu. Ancak dördüncü sanayi devrimi bu yalıtılmış çalışma modelini tamamen ortadan kaldırdı. Bunun sonucunda saha cihazları kurumsal ERP yazılımlarına ve bulut yönetim sistemlerine bağlandı. Dolayısıyla üretim hatları internet üzerinden gelebilecek gelişmiş siber tehditlerin açık hedefi haline geldi.

İşletmeler rekabet avantajı elde etmek amacıyla sahadan sürekli veri toplamayı hedefler. Bu nedenle üst yöneticiler üretim verimliliğini ofis bilgisayarlarından anlık olarak takip etmek ister. Ne var ki bu dijital entegrasyon fabrikaların saldırı yüzeyini beklenmedik biçimde genişletir. Çünkü ofis ortamındaki bir güvenlik açığı doğrudan saha denetleyicilerine sıçrayabilir.

Bu sebeple endüstriyel ortamlarda siber güvenliği sağlamak artık ertelenemez kurumsal bir sorumluluktur. Üretimin durması şirketleri ağır ekonomik krizlere sürükler. Üstelik çevreye zehirli kimyasalların sızması doğrudan insan hayatını tehdit eder. Bu doğrultuda ICS güvenliği, dijital tehditlere karşı fiziksel güvenliği temin eden hayati bir kalkandır.

Akıllı sensörler ve Endüstriyel Nesnelerin İnterneti (IIoT) birimleri sahaya hızla entegre olmaktadır. Bu uç cihazlar kablosuz protokoller aracılığıyla merkezi sunuculara telemetri verisi gönderir. Ancak çoğu sensör donanımsal kısıtlamalar sebebiyle yerleşik şifreleme mekanizmalarından yoksundur. Bu durum saldırganların kablosuz paketleri araya girerek değiştirmesine zemin hazırlar. Bu yüzden endüstriyel savunma mimarisi sahadaki en küçük sensörden en üst sunucuya kadar bütüncül kurgulanmalıdır.

Geleneksel Bilişim ile Endüstriyel Kontrol Ayrımı

Bilgi teknolojileri kurumsal verileri korumayı ve ticari sırların sızmasını önlemeyi amaçlar. Ancak operasyonel kontrol sistemlerinde birinci öncelik fiziksel güvenlik ve operasyonun kesintisiz devam etmesidir. Bu nedenle iki yapının yönetim felsefesi ve risk algısı birbirinden tamamen farklılaşır.

Klasik bilgi güvenliği literatüründe gizlilik unsuru her zaman en tepede yer alır. Buna karşın üretim sahalarında kesintisiz operasyon ve insan hayatı tartışmasız ilk sıradadır. Bu yaklaşımı endüstride AIC prensibi olarak tanımlıyoruz. Örneğin insan canını ve mekanik ekipman sağlığını gizlilik kaygılarının daima önünde tutuyoruz.

Operasyonel Süreklilik ve Telafi Edici Kontrol Yaklaşımı

Ofis bilgisayarlarında çalışan bir sunucuyu güvenlik güncellemesi amacıyla dilediğiniz an yeniden başlatabilirsiniz. Fakat çalışan bir çimento fabrikası döner fırınını ansızın devre dışı bırakamazsınız. Çünkü dakikalık bir duruş fırının mekanik dengesini bozar ve yüz binlerce liralık fiziksel hasar yaratır. Bu yüzden sahada kontrolsüz yama uygulamak yerine telafi edici güvenlik kontrolleri geliştiriyoruz.

Öte yandan bilgi işlem uzmanları düzenli güvenlik taramalarıyla zafiyet tespiti yapar. Ancak bu aktif tarama paketleri endüstriyel kontrolörlerin ağ arayüzlerini anında tıkayabilir. İşlemci gücü oldukça zayıf olan saha kontrolörleri bu yoğun paket yağmuru altında işlevsiz kalır. Bunun sonucunda kontrol döngüleri kopar ve tesis acil duruşa geçmek zorunda kalır.

Ayrıca saha sistemlerinde kullanılan işletim sistemleri onlarca yıl boyunca güncellenmeden çalışır. Fabrikalarda halen Windows NT veya eski işletim sistemleriyle çalışan operatör panelleri bulunmaktadır. Bu cihazların üreticileri teknik desteği çoktan sonlandırmıştır. Dolayısıyla klasik antivirüs programlarıyla bu donanımları korumak mümkün değildir. Bu sebeple ağ düzeyinde sıkı izolasyon ve mikro bölümleme stratejileri devreye alınmalıdır.

Bununla birlikte siber saldırganların kullandığı taktikler de iki alanda farklılaşır. Bilişim ağlarında amaç çoğunlukla kurumsal verileri şifreleyerek fidye talep etmektir. Ancak endüstriyel sahada amaç proses mantığını bozarak makineleri sınır değerlerin ötesinde çalıştırmaktır. Saldırganlar bir buhar kazanının basınç tahliye vanasını devre dışı bırakmayı hedefler. Bu sebeple güvenlik uzmanları ağ hareketlerinin yanında fiziksel parametre sapmalarını da izlemek zorundadır.

Endüstriyel Kontrol Mimarisi ve Protokol Zafiyetleri

Endüstriyel tesisler hiyerarşik bir donanım mimarisiyle çalışır. Ayrıca bu mimarideki saha cihazları belirli görevleri mükemmel bir koordinasyonla yürütür:

• Programlanabilir Mantıksal Denetleyiciler (PLC): Sensör verilerini milisaniyeler içinde değerlendirir. Örneğin saha motorlarını ve vanaları doğrudan yöneten dayanıklı elektronik beyinlerdir.
• Merkezi Denetleme ve Veri Toplama (SCADA): Coğrafi olarak geniş sahalara yayılmış tesisleri tek bir merkezden izler. Özellikle doğal gaz boru hatları bu sistemlerle uzaktan denetlenir.
• Dağıtık Kontrol Sistemleri (DCS): Tek bir fabrika sahasındaki karmaşık prosesleri yerel otonom kontrol döngüleriyle idare eder. Kimya tesisleri bu mimariyi yoğun biçimde tercih eder.
• İnsan-Makine Arayüzü (HMI): Saha operatörlerinin vanaları, basınç değerlerini ve grafiksel proses akışını izlediği panellerdir. Ayrıca operatörlere manuel müdahale yetkisi tanır.
• Uzak Uç Birimler (RTU): Uzak coğrafi noktalardan gelen saha verilerini toplayarak telemetri hatları üzerinden ana SCADA sunucularına iletir.

Haberleşme Protokolleri ve Kriptografik Zafiyetler

Geleneksel endüstriyel iletişim protokolleri tasarlanırken siber güvenlik faktörü hiçbir zaman gözetilmedi. Örneğin Modbus, Profinet, BACnet ve DNP3 protokolleri verileri düz metin halinde aktarır. Bunun yanı sıra bu protokollerde paketlerin kaynağını doğrulayan şifreleme ve kimlik mekanizmaları bulunmaz. Bu nedenle ağ hattına sızan bir saldırgan kolayca sahte operasyon komutları üretebilir.

Bir saldırgan kontrolöre “soğutma pompasını durdur” komutunu sahte bir IP adresiyle gönderdiğinde PLC bu paketi doğrudan uygular. Çünkü cihaz komutun gerçek bir operatörden mi yoksa bir saldırgandan mı geldiğini analiz edemez. Bu durum endüstriyel ağlarda güvenliğin yalnızca çevre güvenlik duvarlarıyla sağlanamayacağını kanıtlar. Dolayısıyla endüstriyel protokolleri anlayan ve paket yüklerini inceleyen derin denetim sistemleri şarttır.

Buna ek olarak modern fabrikalarda kablosuz sensör ağları giderek yaygınlaşmaktadır. WirelessHART ve ISA100 gibi standartlar kablolama maliyetlerini düşürür. Ancak kötü niyetli kişiler radyo frekanslarını uzaktan dinleyerek ağ anahtarlarını ele geçirebilir. Bu sebeple kablosuz endüstriyel ağlarda güçlü dinamik anahtar yapıları kullanılmalıdır.

Mühendislik iş istasyonları da siber korsanlar için en değerli hedefler arasında yer alır. Çünkü PLC kontrol yazılımları bu istasyonlar üzerinde derlenir ve sahaya yüklenir. Eğer bir saldırgan mühendislik bilgisayarına sızarsa PLC yazılımının mantığını gizlice değiştirebilir. Bu yüzden mühendislik terminallerine erişim son derece katı kimlik doğrulama adımlarıyla sınırlandırılmalıdır.

Purdue Referans Modeli ve Bölümlendirme İlkeleri

Endüstriyel ağları kontrolsüz karmaşadan korumak amacıyla Purdue Enterprise Reference Architecture (PERA) modelini referans alıyoruz. Çünkü bu model ağ mimarisini işlevsel düzeylere ayırır. Böylece kontrolsüz veri akışlarını kesin biçimde sınırlandırıyoruz.

Katmanlar Arası Trafik Denetimi ve Mikro Segmentasyon

Seviye 4 ve 5 kurumsal iş dünyasını, e-posta sunucularını ve genel internet çıkışını kapsar. Ancak ofis bilgisayarları Seviye 1 veya Seviye 2’deki kontrolörlere asla doğrudan IP seviyesinde bağlanmamalıdır. Çünkü tüm veri geçişleri Seviye 3.5 üzerindeki güvenli IDMZ katmanı üzerinden yürütülmelidir. Bu katmanda çift güvenlik duvarı mimarisi ve ara sunucular kullanıyoruz.

Örneğin bir muhasebe bilgisayarı sahada çalışan bir PLC cihazına doğrudan erişemez. Eğer üretim raporu alınacaksa işlem IDMZ üzerindeki veri tabanı aynalama sunucusuyla tamamlanır. Böylece kurumsal ağda patlak veren bir virüs salgınının saha kontrolörlerine ulaşması engellenir.

Bunun yanı sıra tesis içinde mikro segmentasyon stratejisi hayata geçirilmelidir. Benzer görevleri yürüten kontrolör gruplarını bağımsız sanal ağlara (VLAN) ayırıyoruz. Bu doğrultuda bir robotik hatta çıkan siber güvenlik ihlali diğer hatlara sıçramaz. Sonuç olarak Purdue modeli, modern endüstriyel savunmanın vazgeçilmez temel omurgasıdır.

Ağ bölümlendirmesi yalnızca yazılımsal kurallarla sınırlı kalmamalıdır. Endüstriyel ağ anahtarlarında fiziksel port güvenliği etkinleştirilmelidir. Ayrıca kullanılmayan tüm ağ portları kapatılmalı ve MAC adresi filtrelemesi uygulanmalıdır. Bu sayede sahaya gelen yetkisiz bir cihazın ağa dahil olması engellenir.

Sahada Karşılaşılan Güncel Tehdit Senaryoları

Endüstriyel kontrol sistemlerini hedef alan saldırılar çoğunlukla ofis ağlarından sahaya yayılır. Nitekim gerçek üretim tesislerinde yaşanan vakalar tehlikenin ciddiyetini gözler önüne sermektedir:

Dış Tedarikçi Bağlantıları

Makine üreticisi firma uzaktan arıza giderme amacıyla fabrikaya bağlanır. Ancak bu bağlantıda çok faktörlü kimlik doğrulama uygulanmaz. Tedarikçi personelin bilgisayarı ele geçirildiğinde saldırganlar kontrolörlere doğrudan ulaşır. Bunun sonucunda PLC kodlarının gizlice bozulması gibi ağır mekanik kazalar doğar.

Kurumsal Ağdan Bulaşan Fidye Yazılımları

Bir ofis çalışanı oltalama e-postasındaki sahte eki tıklar. Bununla birlikte zararlı yazılım kurumsal ağda hızla yayılır. Ağ segmentasyonu eksikliği nedeniyle yazılım üretim sunucularına sıçrar. Sonuç olarak operatör ekranları kilitlenince fabrika yönetimi emniyet gereği üretimi tamamen durdurur.

Mobil Medya ve USB İhlalleri

İnternete bağlı olmayan hava boşluklu sistemler de büyük tehdit altındadır. Örneğin bakım teknisyeninin getirdiği bir USB bellek virüs taşıyabilir. Oysa izole sanılan kontrolörler bu medya takıldığı anda enfekte olur. Nitekim meşhur Stuxnet saldırısı tam olarak bu senaryo üzerinden yürütülmüştür.

Eski Bellenimler ve Yama Eksiklikleri

Saha kontrolörlerinde çalışan yazılımlar yıllarca güncellenmeden çalışır. Bu cihazlar bilinen güvenlik açıklarına karşı tamamen savunmasızdır. Saldırganlar ağa sızdığında bilinen zafiyetleri istismar ederek kontrolörün hafızasını bozar. Ardından makinenin koruma limitlerini devre dışı bırakır.

Yetkisiz Kablosuz Erişim Noktaları

Kimi zaman saha çalışanları işlerini kolaylaştırmak amacıyla kontrol panosuna mobil 4G modem bağlar. Bu yetkisiz cihaz fabrikanın tüm kurumsal güvenlik duvarlarını baypas eder. İnternet üzerinden bağlanan saldırganlar doğrudan PLC komut satırına erişir. Dolayısıyla fabrikalarda düzenli olarak kablosuz spektrum taramaları yürütülmelidir.

Endüstriyel Siber Savunma ve IEC 62443 Standartları

Saha güvenliğini güçlendirirken üretim akışını sekteye uğratmamak esastır. Bu doğrultuda uluslararası IEC 62443 standartlar ailesi endüstriyel savunma için en güvenilir çerçeveyi çizer:

• Pasif Ağ İzleme: Aktif tarama paketleri hassas cihazları aksatabilir. Bu nedenle ağ anahtarlarındaki ayna portlardan geçen trafiği pasif olarak dinleyen sensörler konumlandırıyoruz.
• Derin Paket İncelemesi: Endüstriyel güvenlik duvarları Modbus ve Profinet komutlarını yük düzeyinde denetler. Ayrıca yetkisiz yazma komutlarını derhal engelleriz.
• Bölge ve Kanal Mimarisi: Benzer risk düzeyindeki varlıkları güvenli bölgelere ayırıyoruz. Böylece bölgeler arasındaki tüm iletişimi onaylı kanallar üzerinden denetleriz.
• Yetkili Erişim Yönetimi: Uzaktan bakım oturumlarında tek kullanımlık dinamik parolalar devreye alırız. Üstelik oturum süresince yapılan tüm hareketleri video olarak kaydederiz.
• Fiziksel Erişim Kontrolü: Saha panolarını ve kontrol odalarını kilitli tutuyoruz. Bu sayede yetkisiz şahısların kontrolör kablolarına doğrudan müdahale etmesini önleriz.
• Kapsamlı Varlık Envanteri: Ağdaki tüm PLC, HMI ve sensörlerin bellenim sürümlerini haritalandırıyoruz. Böylece zafiyet barındıran cihazları anında tespit ederiz.

IEC 62443 standardı, tesisin kritiklik derecesine göre dört farklı Güvenlik Seviyesi (Security Levels – SL) tanımlar. Örneğin bir içme suyu arıtma tesisi ile bir kimyasal patlayıcı deposu aynı kefeye konulmaz. Kurumlar kapsamlı risk analizleri gerçekleştirerek her üretim hattı için uygun güvenlik hedefini belirler. Dolayısıyla savunma bütçesini en riskli noktalara odaklayarak maksimum verim alıyoruz.

Olay Müdahale ve Operasyonel Dayanıklılık

Bir siber saldırı gerçekleştiğinde ekipler kriz anını sahada profesyonelce yönetmelidir. Bu nedenle işletmeler önceden kapsamlı endüstriyel olay müdahale planları hazırlamalıdır. Saha operatörleri hangi kritik eşikte fabrikayı manuel moda alacağını önceden bilmelidir.

İlk olarak sahadaki tüm PLC ve DCS program kodlarını çevrimdışı ortamlarda yedekliyoruz. Çünkü bir kontrolör bozulduğunda yazılımı sıfırdan oluşturmak haftalar sürebilir. Ancak temiz bir çevrimdışı yedekle donanımı dakikalar içinde devreye alırız. Bu sebeple yedeklerin sağlamlığını düzenli tatbikatlarla sınıyoruz.

Bununla birlikte siber olay müdahale tatbikatları periyodik olarak düzenlenmelidir. Masabaşı simülasyonlarda otomasyon mühendisleri ile bilgi teknolojileri uzmanları omuz omuza çalışır. Bu sayede acil durumlarda departmanlar arasındaki koordinasyon sorunları ortadan kalkar. Sonuç olarak operasyonel dayanıklılık, üretimin en kısa sürede güvenle devam etmesini sağlar.

Ayrıca olay sonrası teknik adli analiz süreçleri önceden belirlenmelidir. Saldırının hangi port üzerinden girdiği kesinleştirilmeden sistemler yeniden başlatılmamalıdır. Aksi halde saldırgan arka planda kalıcı erişim kapılarını korumaya devam eder. Bu doğrultuda endüstriyel ağ kayıtları değiştirilemez güvenli sunucularda arşivlenmelidir.

Sık Sorulan Sorular