Kısaca
Endüstriyel Kontrol Sistemleri (ICS/SCADA), enerji üretim ve dağıtımından su arıtma tesislerine, petrokimya rafinerilerinden akıllı üretim hatlarına kadar kritik altyapıların operasyonel omurgasını oluşturur. Geleneksel olarak izole ortamlarda çalışan bu sistemler, dijital dönüşüm ve Endüstri 4.0 ile birlikte kurumsal IT ağlarına ve hatta internete bağlanmaya başlamıştır. Bu durum, daha önce fiziksel güvenlikle korunan OT (Operational Technology) ortamlarını siber saldırılara karşı savunmasız hâle getirmiştir.
Bu rehberde; IT ve OT arasındaki temel farkları, SCADA mimarilerini, endüstriyel protokol zafiyetlerini, OT zafiyet tarama yaklaşımlarını, Purdue referans modelini, OT sızma testi metodolojisini, endüstriyel yama yönetimini, tarihsel tehditleri (Stuxnet, Triton), IT-OT yakınsaması stratejilerini, IEC 62443 standardını ve SİTEY platformunun endüstriyel zafiyet yönetimi süreçlerine nasıl entegre edilebileceğini detaylı biçimde ele alıyoruz.
IT ve OT: Temel Farklar ve Güvenlik Paradigması
IT (Information Technology) ve OT (Operational Technology) ortamları, öncelikler, yaşam döngüleri ve güvenlik yaklaşımları açısından temelden farklıdır. Bu farkları anlamak, etkili bir endüstriyel güvenlik stratejisi kurmanın ilk adımıdır.
Öncelik Sıralaması
IT güvenliğinde klasik CIA (Confidentiality, Integrity, Availability) üçgeni geçerlidir ve gizlilik genellikle en üst sıradadır. OT ortamlarında ise öncelik sıralaması tersine döner:
- Availability (Erişilebilirlik): OT sistemlerinde kesintisiz çalışma hayati önem taşır. Bir enerji santralinin birkaç saniyelik durması bile milyonlarca dolarlık hasar ve can kaybına yol açabilir.
- Integrity (Bütünlük): Proses verilerinin doğruluğu operasyonel güvenlik için kritiktir. Yanlış bir sensör okuması felaket sonuçlar doğurabilir.
- Confidentiality (Gizlilik): OT ortamlarında verinin gizli tutulması genellikle en düşük önceliğe sahiptir; önemli olan verinin doğru ve zamanında iletilmesidir.
Yaşam Döngüsü ve Yama Yönetimi
- IT Sistemleri: Ortalama 3-5 yıl ömür, düzenli güncellemeler, otomatik yama dağıtımı, haftalık/aylık bakım pencereleri.
- OT Sistemleri: 15-30+ yıl ömür, nadiren güncelleme, yama uygulaması için planlı duruş gereksinimi, bazı sistemlerde yama imkânsızlığı (ör. Windows XP Embedded çalıştıran HMI'lar).
Protokol ve İletişim
- IT: TCP/IP, HTTP/HTTPS, SSH, TLS - kimlik doğrulama ve şifreleme yaygın.
- OT: Modbus, DNP3, OPC DA/UA, PROFINET, EtherNet/IP, BACnet - çoğu protokolde yerleşik kimlik doğrulama ve şifreleme bulunmaz.
Başarısızlık Sonuçları
IT sistemlerinde bir güvenlik ihlali veri kaybı, finansal zarar veya itibar hasarıyla sonuçlanır. OT sistemlerinde ise başarısızlığın sonuçları fiziksel dünyayı doğrudan etkiler: ekipman hasarı, çevresel felaketler, üretim kaybı ve en kötü senaryoda insan hayatı kaybı. Bu nedenle OT güvenliği, siber-fiziksel güvenlik olarak da adlandırılır.
SCADA Mimarisi ve Temel Bileşenler
SCADA (Supervisory Control and Data Acquisition) sistemleri, endüstriyel süreçlerin uzaktan izlenmesi ve kontrolü için tasarlanmış dağıtık otomasyon mimarisidir. Temel bileşenleri şunlardır:
Saha Cihazları (Field Devices)
- Sensörler ve Aktüatörler: Sıcaklık, basınç, akış hızı, seviye gibi fiziksel parametreleri ölçen sensörler ve vanalar, pompalar, motorlar gibi fiziksel aksiyonları gerçekleştiren aktüatörler.
- PLC (Programmable Logic Controller): Saha cihazlarını doğrudan kontrol eden gerçek zamanlı kontrolörler. Ladder Logic, Structured Text veya Function Block Diagram ile programlanır.
- RTU (Remote Terminal Unit): Uzak sahalardaki sensör ve aktüatörlerle iletişim kuran ve verileri merkeze ileten birimler. Genellikle seri protokoller (Modbus RTU, DNP3) kullanır.
- IED (Intelligent Electronic Device): Enerji sektöründe yaygın olarak kullanılan akıllı koruma ve ölçüm cihazları.
İletişim ve Kontrol Katmanı
- HMI (Human Machine Interface): Operatörlerin süreçleri izlediği ve kontrol ettiği görsel arayüzler. Genellikle Windows tabanlı yazılımlar üzerinde çalışır.
- SCADA Sunucusu: Tüm saha verilerini toplayan, depolayan ve operatörlere sunan merkezi yazılım. Historik veriler, alarm yönetimi ve raporlama işlevleri barındırır.
- DCS (Distributed Control System): Büyük ve karmaşık süreçlerde kullanılan dağıtık kontrol sistemi. PLC tabanlı mimarilere göre daha entegre bir yapı sunar.
- Engineering Workstation: PLC/RTU programlama ve yapılandırma için kullanılan mühendislik istasyonları - saldırganlar için en değerli hedeflerden biri.
Ağ Altyapısı
Modern SCADA ağları; Ethernet tabanlı endüstriyel ağlar, seri iletişim hatları, kablosuz iletişim (Wi-Fi, LoRa, cellular), fiber optik ve uydu bağlantılarının bir kombinasyonunu kullanır. Her bir iletişim kanalı, kendine özgü saldırı yüzeyi oluşturur. Özellikle kablosuz bağlantılar ve internete açık HMI arayüzleri kritik risk noktalarıdır.
Endüstriyel Protokoller ve Zafiyetleri
Endüstriyel kontrol sistemlerinde kullanılan protokollerin büyük çoğunluğu, güvenlik düşünülmeden onlarca yıl önce tasarlanmıştır. Bu protokoller, güvenilir ve izole ağ ortamları varsayımıyla geliştirilmiştir.
Modbus (TCP/RTU)
- 1979'da geliştirilen en yaygın endüstriyel protokol
- Kimlik doğrulama mekanizması yok - herhangi bir cihaz komut gönderebilir
- Şifreleme yok - trafik kolayca dinlenebilir ve değiştirilebilir
- Man-in-the-Middle (MitM) saldırılarına karşı savunmasız
- Replay saldırıları ile geçerli komutlar tekrarlanabilir
DNP3 (Distributed Network Protocol)
- Enerji sektöründe yaygın olarak kullanılır
- DNP3 Secure Authentication (SA) opsiyoneli mevcut ancak nadiren uygulanır
- Unsolicited Response mesajları manipüle edilebilir
- Fuzzing saldırılarına karşı savunmasız eski implementasyonlar
OPC (Open Platform Communications)
- OPC DA (Classic): DCOM/RPC tabanlı - Windows güvenlik zafiyetlerini miras alır, firewall yapılandırması karmaşıktır
- OPC UA: Modern ve güvenlik odaklı tasarım - sertifika tabanlı kimlik doğrulama, TLS şifreleme, granüler yetkilendirme. Ancak yanlış yapılandırma hâlâ risk oluşturur
Diğer Protokoller
- EtherNet/IP: CIP (Common Industrial Protocol) tabanlı, kimlik doğrulama zayıf
- PROFINET: Siemens ekosisteminde yaygın, ARP spoofing'e açık
- BACnet: Bina otomasyon sistemlerinde kullanılır, varsayılan güvenlik düşük
- IEC 61850 (GOOSE/MMS): Enerji şebekeleri için, multicast GOOSE mesajları sahteleştirilebilir
Bu protokol zafiyetleri, OT ortamlarında ağ segmentasyonunun ve erişim kontrolünün neden bu kadar kritik olduğunu açıkça ortaya koymaktadır.
Purdue Referans Modeli ve Ağ Segmentasyonu
Purdue Enterprise Reference Architecture (PERA), endüstriyel ağ segmentasyonu için en yaygın referans modelidir. ISA/IEC 62443 standardının temelini oluşturur ve OT ağlarını mantıksal katmanlara ayırır:
Katman 0 - Fiziksel Süreç
Sensörler, aktüatörler, vanalar, motorlar ve diğer saha cihazlarının bulunduğu katman. Fiziksel sürecin kendisini temsil eder.
Katman 1 - Temel Kontrol
PLC'ler, RTU'lar, DCS kontrolörleri ve güvenlik enstrümante sistemleri (SIS). Gerçek zamanlı proses kontrolünün yapıldığı katman.
Katman 2 - Alan Kontrol
HMI'lar, SCADA sunucuları, engineering workstation'lar. Operatörlerin süreci izlediği ve müdahale ettiği katman.
Katman 3 - Üretim Operasyonları
Historian sunucular, MES (Manufacturing Execution System), OT güvenlik araçları, antivirüs sunucuları. Üretim verilerinin analiz edildiği katman.
Katman 3.5 - Demilitarized Zone (DMZ)
IT ve OT ağları arasındaki kritik tampon bölge. Veri aktarımı bu bölge üzerinden güvenli ve kontrollü biçimde gerçekleştirilir. Jump server'lar, veri diyotları ve tek yönlü gateway'ler bu katmanda konumlanır.
Katman 4-5 - Kurumsal IT
ERP sistemleri, e-posta sunucuları, iş zekâsı platformları, Active Directory ve internet erişimi. Geleneksel IT güvenlik kontrollerinin uygulandığı katman.
Her katman arasında firewall kuralları, erişim kontrol listeleri ve izleme mekanizmaları uygulanmalıdır. Özellikle Katman 3.5 DMZ, IT-OT arasındaki en kritik güvenlik bariyeridir. Doğrudan IT-OT bağlantısı kesinlikle engellenmelidir.
OT Zafiyet Tarama Yaklaşımları
OT ortamlarında zafiyet tarama, IT ortamlarına kıyasla çok daha hassas ve dikkatli bir yaklaşım gerektirir. Agresif tarama teknikleri PLC'lerin çökmesine, süreçlerin durmasına veya güvenlik sistemlerinin devre dışı kalmasına neden olabilir.
Pasif Zafiyet Tarama
- Ağ trafiğinin dinlenerek (network tap/SPAN port) cihazların ve protokollerin keşfedilmesi
- DPI (Deep Packet Inspection) ile endüstriyel protokol trafiğinin analiz edilmesi
- Firmware sürümlerinin, protokol versiyonlarının ve yapılandırma bilgilerinin pasif olarak tespit edilmesi
- Anomali tespiti - normal trafik davranışından sapmaların belirlenmesi
- Avantaj: Sürece hiçbir etkisi yoktur, üretim kesintisi riski sıfırdır
- Dezavantaj: Yalnızca ağ üzerinde aktif olan cihazlar ve protokoller görülebilir
Aktif Zafiyet Tarama
- OT ortamına özel tarama profillerinin kullanılması (düşük bant genişliği, seyrek paket, endüstriyel protokol desteği)
- Üretim saatleri dışında veya bakım pencerelerinde tarama yapılması
- Her cihaz tipine uygun tarama şiddetinin kalibre edilmesi
- PLC ve RTU'lar için üretici onaylı tarama yöntemlerinin kullanılması
- Avantaj: Daha kapsamlı zafiyet tespiti, tüm açık portlar ve servisler belirlenebilir
- Dezavantaj: Cihaz çökme, servis kesintisi, false-positive alarm riski
Hibrit Yaklaşım
En etkili OT zafiyet yönetimi stratejisi, pasif ve aktif taramanın kombinasyonudur. Pasif keşif ile varlık envanteri çıkarılır, ardından bakım pencerelerinde kontrollü aktif taramalar yapılır. Firmware analizi, yapılandırma denetimi ve bilinen zafiyet veritabanı eşleştirmesi ile kapsamlı bir güvenlik değerlendirmesi elde edilir.
OT Sızma Testi Metodolojisi
OT sızma testi, IT sızma testinden farklı bir metodoloji, araç seti ve risk yönetimi yaklaşımı gerektirir. Yanlış bir test adımı, fiziksel dünyada ciddi sonuçlara yol açabilir.
Hazırlık ve Kapsam Belirleme
- Test edilecek sistemlerin kritiklik seviyesinin belirlenmesi (Safety Integrity Level - SIL)
- Üretim etkisi analizi ve geri dönüş planının hazırlanması
- Mümkünse laboratuvar ortamında (OT testbed) ön testler yapılması
- Operasyon ekibi ile test sırasında sürekli iletişim kanalı oluşturulması
- Acil duruş prosedürlerinin tanımlanması ve onaylanması
Keşif ve Haritalama
- Pasif ağ dinleme ile cihaz ve protokol envanterinin çıkarılması
- Endüstriyel protokol tarayıcıları ile PLC/RTU/HMI tespiti (Nmap ICS scriptleri, PLCScan)
- Shodan/Censys araştırması - internete açık OT cihazlarının tespiti
- Firmware sürüm bilgileri ve bilinen CVE eşleştirmesi
Güvenlik Değerlendirmesi
- Ağ segmentasyonu doğrulama - Purdue katmanları arası geçiş testleri
- Varsayılan kimlik bilgisi kontrolleri (PLC, HMI, switch, router)
- Endüstriyel protokol güvenlik testi (Modbus komut enjeksiyonu, DNP3 fuzzing)
- HMI web arayüzü güvenlik testi (SQL injection, XSS, authentication bypass)
- Uzaktan erişim noktalarının güvenlik değerlendirmesi (VPN, RDP, TeamViewer)
- Engineering workstation güvenliği - yazılım whitelisting, USB politikası
Raporlama
OT sızma testi raporu, IT raporlarından farklı olarak operasyonel etki analizini, üretim kaybı senaryolarını, güvenlik (safety) risklerini ve fiziksel dünya sonuçlarını detaylı biçimde içermelidir. Düzeltme önerileri, üretim kesintisini minimize edecek şekilde aşamalandırılmalıdır.
Endüstriyel Ortamlarda Yama Yönetimi
OT ortamlarında yama yönetimi, IT ortamlarına kıyasla çok daha karmaşık ve riskli bir süreçtir. Birçok durumda geleneksel IT yama yönetimi yaklaşımı uygulanamaz.
OT Yama Yönetiminin Zorlukları
- Üretim Kesintisi: Yama uygulaması için planlı duruş gerekir; bazı tesislerde yılda yalnızca 1-2 bakım penceresi mevcuttur.
- Uyumluluk Sorunları: Bir OT yazılımına yama uygulanması, üretici garanti kapsamını bozabilir veya kontrol sistemiyle uyumsuzluk yaratabilir.
- Eski Sistemler: Windows XP, Windows 7, eski Linux sürümleri veya proprietary işletim sistemleri üzerinde çalışan cihazlara yama bulunmayabilir.
- Test Gerekliliği: Her yama, üretim ortamına uygulanmadan önce test ortamında kapsamlı biçimde doğrulanmalıdır.
- Güvenlik Sertifikasyonu: Güvenlik enstrümante sistemlerinde (SIS) yama uygulaması, SIL sertifikasyonunu etkileyebilir.
Kompanzasyon Kontrolleri
Yama uygulanamayan sistemler için alternatif güvenlik önlemleri uygulanmalıdır:
- Ağ segmentasyonu ve mikro-segmentasyon ile saldırı yüzeyini daraltma
- Uygulama whitelisting - yalnızca onaylı yazılımların çalışmasına izin verme
- Host tabanlı ve ağ tabanlı IDS/IPS konuşlandırma
- USB port kontrolü ve çıkarılabilir medya politikası
- Sanal yama (virtual patching) - OT firewall/IPS kuralları ile bilinen zafiyetlerin ağ katmanında engellenmesi
- Gerçek zamanlı izleme ve anomali tespiti
Tarihsel OT Siber Tehditleri: Stuxnet'ten Triton'a
Endüstriyel kontrol sistemlerine yönelik siber saldırılar, son 15 yılda hem sayı hem de karmaşıklık açısından dramatik biçimde artmıştır. Tarihsel olaylar, OT güvenliğinin neden kritik bir öncelik olduğunu açıkça ortaya koymaktadır.
Stuxnet (2010)
İran'ın Natanz nükleer tesisindeki uranyum zenginleştirme santrifüjlerini hedef alan ilk bilinen endüstriyel siber silah. Siemens S7-300 PLC'lerin Step 7 programlama yazılımını hedef almıştır. Santrifüjlerin dönüş hızını manipüle ederken HMI ekranlarında normal değerler göstermiştir. 4 adet zero-day zafiyet kullanmış ve yaklaşık 1.000 santrifüjü tahrip etmiştir. Stuxnet, siber saldırıların fiziksel dünyada yıkıcı sonuçlar doğurabileceğini kanıtlamıştır.
Industroyer/CrashOverride (2016)
Ukrayna elektrik şebekesine yönelik saldırıda kullanılan zararlı yazılım. IEC 101, IEC 104, IEC 61850 ve OPC DA protokollerini doğrudan hedef almış, 230.000'den fazla kullanıcıyı elektriksiz bırakmıştır. Endüstriyel protokolleri anlayan ve manipüle edebilen ilk zararlı yazılımlardan biridir.
Triton/TRISIS (2017)
Orta Doğu'daki bir petrokimya tesisinde Schneider Electric Triconex güvenlik enstrümante sistemini (SIS) hedef almıştır. Güvenlik sistemini devre dışı bırakmayı amaçlayan ilk bilinen saldırı. Başarılı olsaydı fiziksel patlama veya kimyasal sızıntıya yol açabilirdi. SIS sistemlerinin siber güvenlik açısından da değerlendirilmesi gerektiğini gósteren dönüm noktası olmuştur.
PIPEDREAM/INCONTROLLER (2022)
Schneider Electric ve Omron PLC'leri doğrudan hedef alan modüler saldırı çerçevesi. CODESYS, Modbus ve OPC UA protokollerini kullanabilir. Herhangi bir sektördeki endüstriyel tesisi hedef alabilecek genel amaçlı bir siber silah olarak tasarlanmıştır.
Bu tarihsel örnekler, endüstriyel kontrol sistemlerinin devlet destekli aktörler ve gelişmiş tehdit grupları (APT) için birincil hedefler olduğunu göstermektedir. Zafiyet yönetimi bu nedenle OT ortamlarında hayati bir güvenlik fonksiyonudur.
IT-OT Yakınsaması: Fırsatlar ve Riskler
Endüstri 4.0, dijital ikiz teknolojileri, IIoT (Industrial Internet of Things) ve bulut tabanlı analitik, IT ve OT dünyalarının birbirine yakınsamasını kaçınılmaz hâle getirmiştir. Bu yakınsama hem büyük fırsatlar hem de yeni riskler doğurmaktadır.
Yakınsamanın Getirdiği Güvenlik Riskleri
- Daha önce izole olan OT ağlarının kurumsal IT ağlarına ve dolayısıyla internete açılması
- IT tabanlı saldırıların (ransomware, phishing) OT ortamlarına bulaşma riski
- Ortak kimlik doğrulama altyapısı (Active Directory) üzerinden lateral movement
- IIoT cihazlarının güvenlik açıklarının OT ortamına sızma noktası oluşturması
- Bulut bağlantılarının yeni saldırı yüzeyleri yaratması
Güvenli Yakınsama Stratejileri
- Güçlü DMZ: IT ve OT arasında katı bir DMZ uygulaması, tek yönlü veri diyotları kullanımı
- Zero Trust Yaklaşımı: OT cihazlarına erişimde kimlik doğrulama ve yetkilendirmeyi her katmanda uygulama
- Ayrı Güvenlik Operasyonları: OT-SOC veya birleşik SOC yapısında OT uzmanlarının bulunması
- Bütünleşik Görünürlük: IT ve OT varlıklarının tek bir envanter ve zafiyet yönetim platformunda birleştirilmesi
- Ortak Risk Yönetimi: IT ve OT risklerinin entegre bir çerçevede değerlendirilmesi
IEC 62443: Endüstriyel Siber Güvenlik Standardı
IEC 62443 (ISA/IEC 62443), endüstriyel otomasyon ve kontrol sistemleri (IACS) için kapsamlı bir siber güvenlik çerçevesidir. Hem varlık sahipleri, hem sistem entegratörleri, hem de ürün geliştiriciler için gereksinimler tanımlar.
Standart Yapısı
- IEC 62443-1: Genel kavramlar, terminoloji ve modeller
- IEC 62443-2: Politikalar ve prosedürler - varlık sahibi gereksinimleri (güvenlik yönetim sistemi, yama yönetimi, risk değerlendirmesi)
- IEC 62443-3: Sistem gereksinimleri - güvenlik seviyeleri (SL), bölge ve kanal modeli, sistem tasarımı
- IEC 62443-4: Bileşen gereksinimleri - güvenli ürün geliştirme yaşam döngüsü, teknik güvenlik gereksinimleri
Güvenlik Seviyeleri (Security Levels)
IEC 62443, dört güvenlik seviyesi tanımlar:
- SL 1: Rastgele ve kasıtsız ihlallere karşı koruma
- SL 2: Düşük motivasyonlu saldırganlara karşı koruma (sınırlı kaynak ve beceri)
- SL 3: IACS'a özel bilgi ve motivasyona sahip sofistike saldırganlara karşı koruma
- SL 4: Devlet destekli aktörler ve APT gruplarına karşı koruma (en yüksek seviye)
Bölge ve Kanal Modeli
IEC 62443, OT ağını güvenlik bölgelerine (zone) ayırır ve bu bölgeler arasındaki iletişim kanallarını (conduit) tanımlar. Her bölge için hedef güvenlik seviyesi (SL-T) belirlenir ve mevcut güvenlik seviyesi (SL-A) ile karşılaştırılır. Fark analizi, düzeltme önceliklendirmesinin temelini oluşturur.
SİTEY ile Endüstriyel Zafiyet Yönetimi
SİTEY platformu, endüstriyel ortamlarınızdaki güvenlik açıklarını IT varlıklarıyla birleşik bir platformda yönetmenizi sağlar:
- OT Varlık Keşfi: Pasif ve aktif tarama yöntemleriyle PLC, RTU, HMI, switch ve diğer OT cihazlarını otomatik olarak envantere ekler. Firmware sürümleri, marka/model bilgileri ve ağ konumları dahil.
- Endüstriyel Zafiyet Tespiti: CVE veritabanı, ICS-CERT danışma notları ve üretici güvenlik bildirimleri ile OT cihazlarındaki bilinen zafiyetleri eşleştirir. CVSS puanı yanında operasyonel etki analizi de sunar.
- Risk Tabanlı Önceliklendirme: Zafiyetleri kritiklik seviyesi, istismar edilebilirlik, ağ erişimi ve operasyonel etki bileşenlerini dikkate alarak önceliklendirir. Purdue katmanına göre bağlamsal risk skoru hesaplar.
- Yama ve Kompanzasyon Takibi: Üretici yamalarını takip eder; yama uygulanamayan sistemler için kompanzasyon kontrollerinin (sanal yama, segmentasyon, IDS kuralı) durumunu izler.
- IEC 62443 Uyumluluk: Güvenlik bölgeleri ve kanallar bazında uyumluluk değerlendirmesi yapar. Hedef güvenlik seviyesiyle mevcut durum arasındaki farkı raporlar.
- IT-OT Birleşik Görünürlük: IT ve OT varlıklarını tek bir dashboard'da birleştirerek bütünsel risk görünümü sağlar. Yakınsama noktalarındaki riskleri özellikle vurgular.
SİTEY'in zafiyet yönetimi yaklaşımı, endüstriyel ortamların kendine özgü kısıtlamalarını (üretim sürekliliği, eski sistemler, sertifikasyon gereksinimleri) göz önünde bulundurarak pratik ve uygulanabilir bir güvenlik iyileştirme yol haritası sunar.
OT Güvenlik En İyi Uygulamaları
Endüstriyel kontrol sistemleri güvenliğini artırmak için uygulanması gereken en iyi uygulamalar:
Ağ Güvenliği
- Purdue modeline uygun katmanlı ağ segmentasyonu
- IT-OT arasında güçlü DMZ - doğrudan bağlantı yok
- Endüstriyel firewall'lar ile protokol düzeyinde erişim kontrolü
- Uzaktan erişimde MFA ve jump server zorunluluğu
- Kablosuz ağ erişiminde WPA3 Enterprise ve VLAN izolasyonu
Cihaz Güvenliği
- Varsayılan kimlik bilgilerinin değiştirilmesi
- Gereksiz servislerin ve portların kapatılması
- Firmware güncellemelerinin düzenli takibi ve uygulanması
- Uygulama whitelisting ile yetkisiz yazılım çalıştırılmasının engellenmesi
- PLC/RTU programlama erişiminin fiziksel anahtar veya güvenli protokollerle sınırlandırılması
İzleme ve Müdahale
- OT ağ trafiğinin sürekli izlenmesi ve anomali tespiti
- OT spesifik SIEM kuralları ve kullanım senaryoları
- Endüstriyel olay müdahale planı oluşturulması ve tatbikatı
- OT ortamına özgü yedekleme ve kurtarma prosedürleri
- Operatör güvenlik farkındalık eğitimleri
Sıkça Sorulan Sorular (SSS)
OT zafiyet taraması üretim süreçlerini etkiler mi?
Agresif aktif tarama teknikleri bazı OT cihazlarını (özellikle eski PLC ve RTU'lar) olumsuz etkileyebilir, hatta çökmelerine neden olabilir. Bu nedenle OT ortamlarında öncelikle pasif tarama yöntemleri (ağ trafiği analizi, DPI) tercih edilmeli, aktif taramalar yalnızca bakım pencerelerinde ve OT ekibiyle koordineli olarak gerçekleştirilmelidir. SİTEY platformu, OT cihaz tiplerine özel hassasiyet profilleri sunarak bu riski minimize eder.
SCADA sistemlerine yama uygulanmadığında ne yapılmalıdır?
Yama uygulanamayan OT sistemleri için kompanzasyon kontrolleri uygulanmalıdır: ağ segmentasyonu ile cihazın saldırı yüzeyini daraltın, sanal yama (virtual patching) ile bilinen zafiyetleri ağ katmanında engelleyin, uygulama whitelisting ile yetkisiz yazılım çalışmasını önleyin, gerçek zamanlı ağ izleme ve anomali tespiti kurun, USB port kontrolü ve fiziksel erişim kısıtlamalarını uygulayın. Bu önlemler yama uygulanamasını telafi eder.
IEC 62443 uyumluluk süreci ne kadar sürer?
IEC 62443 uyumluluk süreci, organizasyonun büyüklüğüne, mevcut güvenlik olgunluğuna ve hedeflenen güvenlik seviyesine (SL 1-4) bağlı olarak 6 aydan 2 yıla kadar sürebilir. Süreç; risk değerlendirmesi, bölge ve kanal tanımı, güvenlik seviyesi kıyaslaması, düzeltme faaliyetleri ve doğrulama denetimlerini kapsar. SİTEY platformu, bu süreci otomatik uyumluluk kontrolleri ve raporlama ile hızlandırır.
IT-OT yakınsamasında en kritik güvenlik kontrolü nedir?
En kritik güvenlik kontrolü, IT ve OT ağları arasında güçlü bir DMZ (Demilitarized Zone) uygulamasıdır. Doğrudan IT-OT bağlantısı kesinlikle engellenmelidir. DMZ'de tek yönlü veri diyotları, jump server'lar ve veri aracılık (data broker) mekanizmaları konumlandırılmalıdır. Ayrıca IT ortamından OT ortamına erişimde her zaman MFA ve detaylı oturum kaydı zorunluluğu uygulanmalıdır.
OT sızma testi ile IT sızma testi arasındaki temel fark nedir?
OT sızma testi; üretim sürekliliğini, fiziksel güvenliği ve insan hayatını doğrudan etkileyebileceğinden çok daha dikkatli bir planlama ve yürütme gerektirir. IT sızma testinde kullanılan agresif teknikler OT ortamında uygulanamaz. OT pentestinde endüstriyel protokol bilgisi, saha cihazları deneyimi ve operasyonel etki analizi uzmanlığı gereklidir. Test genellikle laboratuvar ortamında hazırlık, pasif keşif, kontrollü aktif test ve operasyon ekibiyle sürekli iletişim aşamalarından oluşur.