Endüstriyel Kontrol Sistemleri Güvenliği
Bir enerji santralinde türbin hızını kontrol eden SCADA sunucusuna sızmak, bir bankanın müşteri veri tabanını ele geçirmekten çok daha ağır sonuçlar doğurabilir. Fiziksel hasar, iş sürekliliğinin durması, çevre felaketleri ve hatta can kaybı. Üretim bantları, su arıtma tesisleri, doğalgaz boru hatları artık yalıtılmış ortamlar değil. Kurumsal ağlarla, bulut sistemleriyle ve hatta uzaktan erişim noktalarıyla birbirine bağlı.
Türkiye’de kamu kurumları, organize sanayi bölgeleri ve kritik altyapı işletmecileri dijital dönüşümü hızla sürdürürken, siber güvenlik çoğu zaman fiziksel güvenliğin gölgesinde kalıyor. Oysa Stuxnet’ten bu yana endüstriyel sistemleri hedef alan gelişmiş kalıcı tehditler (APT) her geçen gün artıyor. Bu makalede ICS güvenliğini tüm katmanlarıyla ele alıyor, sızma testi süreçlerini, uluslararası standartları ve Nesil Teknoloji’nin TSE A Sınıfı yetkisiyle gerçekleştirdiği saha uygulamalarını adım adım anlatıyoruz.
Endüstriyel kontrol sistemleri (ICS) artık izole değil. Modbus, DNP3, Profinet gibi protokoller güvenlik gözetilmeden tasarlandı. Tehdit aktörleri fidye yazılımlarıyla üretimi durduruyor. Sızma testleri pasif keşif, ağ segmentasyon analizi, protokol fuzzing ve sosyal mühendislik aşamalarını içerir. NIST SP 800-82 ve IEC 62443 standartları rehber alınır. Türkiye’de KVKK, BDDK ve Enerji Piyasası Düzenlemeleri ICS güvenliğini zorunlu kılıyor.
1. ICS Mimarisi Temelleri
Endüstriyel Kontrol Sistemleri (ICS) terimi; SCADA (Denetim ve Veri Toplama), Dağıtık Kontrol Sistemleri (DCS) ve Programlanabilir Lojik Kontrolörler (PLC) gibi alt bileşenleri kapsar. Geleneksel BT ağlarından farklı olarak ICS, gerçek zamanlı işlem önceliklidir ve kullanılan protokoller genellikle kimlik doğrulama veya şifreleme içermez.
Endüstriyel Ağ Bileşenleri
Birincil kontrol döngüsü sensörler, aktüatörler, RTU’lar ve PLC’ler ile sağlanır. RTU’lar uzaktaki saha cihazlarından veri toplar ve merkezi SCADA sunucusuna iletir. SCADA sunucusu operatörlere insan-makine arayüzü (HMI) sunar. Modern tesislerde bu katmanlar kurumsal ağa bağlanır ve genellikle veri tarihçileri (historian) ile buluta veri aktarımı yapılır. Bu bağlantı noktaları saldırganlar için ideal geçiş noktalarıdır.
Protokollerin Zayıflıkları
Modbus TCP, endüstride en yaygın kullanılan protokollerden biridir. Modbus, bir master cihazın slave cihazlara okuma/yazma komutları gönderdiği basit bir yapıya sahiptir. Hiçbir oturum açma veya yetkilendirme mekanizması yoktur. Saldırgan ağa eriştiğinde tüm slave cihazlara komut gönderebilir, değerleri değiştirebilir. DNP3 ise daha gelişmiştir ancak güvenlik eklentileri (DNP3-SA) çoğu tesiste etkinleştirilmemiştir. Profinet, EtherNet/IP gibi protokoller de benzer güvenlik açıkları taşır.
2. Güncel Tehditler
Endüstriyel sistemlere yönelik tehditler üç ana başlıkta toplanabilir: fidye yazılımları, hedefli APT saldırıları ve insan hataları. Fidye yazılımları artık yalnızca verileri şifrelemekle kalmıyor, aynı zamanda PLC’lerin kilidini açarak üretimi durduruyor. 2022’de bir Alman rüzgar türbini üreticisi, türbin kontrol sistemlerini etkileyen bir fidye yazılımı nedeniyle haftalarca üretim yapamadı.
Gerçek Dünya Vaka Analizi: Ukrayna Elektrik Kesintisi (2015)
Ukrayna’da üç enerji dağıtım şirketine yapılan saldırı, siber saldırıların fiziksel kesintiye yol açabileceğinin ilk büyük örneğidir. Saldırganlar, kurumsal ağa kimlik avı e-postaları ile sızdıktan sonra SCADA sistemlerine geçmiş, kontrol merkezlerindeki bilgisayarları kilitlemiş ve 30 trafo merkezini devre dışı bırakmıştır. Saldırıda BlackEnergy 3 kötü amaçlı yazılımı kullanılmış ve KillDisk bileşeni ile diskler silinmiştir. Bu olay, BT ve OT ağları arasındaki zayıf segmentasyonun sonuçlarını gözler önüne sermiştir.
Su Arıtma Tesisine Zehir Saldırısı (Florida 2021)
Bir saldırgan, eski bir TeamViewer yazılımı üzerinden su arıtma tesisinin kontrol sistemine erişti. Uzaktan erişim şifresi zayıftı ve iki faktörlü kimlik doğrulama yoktu. Saldırgan, suya eklenen sodyum hidroksit miktarını 100 kat artırarak 15.000 kişinin içme suyunu zehirlemeye çalıştı. Neyse ki bir operatör anormal değişikliği fark edip müdahale etti. Bu vaka, insan faktörünün önemini ve uzaktan erişim güvenliğinin hayati olduğunu göstermektedir.
3. Sızma Testi Metodolojileri
ICS ortamında sızma testi, BT sızma testinden çok daha dikkatli ve aşamalı yürütülmelidir. Canlı üretim sistemlerine müdahale felakete yol açabilir. Bu nedenle testler genellikle yedek ortamlarda veya belirli zaman dilimlerinde gerçekleştirilir. Nesil Teknoloji, TSE A Sınıfı yetkisiyle, ICS sızma testlerini uluslararası kabul görmüş ISA/IEC 62443 standartlarına göre uygular.
Test Aşamaları
- Pasif Keşif: Ağ trafiğinin dinlenmesi, cihazların ve protokollerin belirlenmesi. Nmap gibi araçlar pasif modda kullanılır, aktif tarama yapılmaz.
- Aktif Tarama (Kontrollü): Üretim dışı saatlerde, cihazların yanıt verme davranışlarını analiz etmek için düşük yoğunluklu taramalar.
- Zafiyet Analizi: PLC, RTU ve SCADA sunucularındaki bilinen açıkların kontrolü. Örneğin Siemens, Rockwell, Schneider markalarının güvenlik bültenleri taranır.
- Protokol Fuzzing: Modbus, DNP3 gibi protokollere bozuk veya beklenmeyen veri göndererek cihazların tepkilerinin ölçülmesi. Amaç, cihazı çökertmeden güvenlik açıklarını keşfetmektir.
- Sosyal Mühendislik: Operatörlere yönelik simüle edilmiş kimlik avı saldırıları, USB bırakma testleri.
4. Standartlar ve Düzenlemeler
Endüstriyel siber güvenlik alanında en kapsamlı standart ailesi IEC 62443’tür. Bu standart, tesis sahiplerinden üreticilere kadar tüm paydaşlara rehberlik eder. NIST SP 800-82, ABD merkezli olup pratik uygulama kılavuzları sunar. Türkiye’de ise kritik altyapılar için Enerji Piyasası Düzenleme Kurumu (EPDK) ve Bilgi Teknolojileri ve İletişim Kurumu (BTK) düzenlemeleri yürürlüktedir. Ayrıca KVKK, kişisel veri işleyen tüm sistemleri kapsadığı için operatör ekranlarından alınan veriler de koruma altındadır.
IEC 62443’ün Bileşenleri
- 62443-1-1: Terminoloji ve kavramlar.
- 62443-2-1: Güvenlik yönetim sistemi gereksinimleri.
- 62443-3-3: Sistem güvenliği gereksinimleri ve güvenlik seviyeleri (SL).
- 62443-4-2: Teknik bileşenler (PLC, IED) için güvenlik gereksinimleri.
Bir tesiste IEC 62443 uyumluluğu için önce risk analizi yapılır, ardından güvenlik bölgeleri ve konduitler (kanallar) tanımlanır. Her bölge için hedef güvenlik seviyesi (SL-T) belirlenir. Sızma testleri, bu hedef seviyelere ulaşılıp ulaşılmadığını doğrulamak için kullanılır.
5. Güvenlik Araçları Karşılaştırması
ICS güvenlik testlerinde kullanılan araçları açık kaynak ve ticari olarak ikiye ayırabiliriz. Her birinin avantajları ve sınırlamaları vardır. Aşağıdaki tabloda en yaygın kullanılan araçları yeteneklerine göre karşılaştırdık.
| Araç | Tür | Desteklenen Protokoller | Öne Çıkan Özellik | Zorluk Seviyesi |
|---|---|---|---|---|
| Nmap (ics-nse script) | Açık Kaynak | Modbus, BACnet, EtherNet/IP | Ağ keşfi ve cihaz tanıma | Orta |
| Metasploit (auxiliary/scada) | Açık Kaynak | Modbus, DNP3, Siemens S7 | Zafiyet sömürü modülleri | Yüksek |
| Wireshark (dissector) | Açık Kaynak | Hemen hepsi | Trafik analizi ve protokol detaylandırma | Orta |
| ModbusPal | Açık Kaynak | Modbus TCP/RTU | Sanal PLC simülasyonu | Düşük |
| Claroty Platformu | Ticari | 400+ protokol | Sürekli izleme ve tehdit algılama | Uzman |
| Nozomi Guardian | Ticari | 300+ protokol | OT ağ topolojisi görselleştirme | Uzman |
Açık kaynak araçlar genellikle testlerde hızlı keşif için yeterlidir. Ancak derinlemesine protokol analizi ve sürekli izleme için ticari platformlar daha kapsamlı çözümler sunar. Nesil Teknoloji, hem açık kaynak hem de ticari araçları bir arada kullanarak hibrit bir test yaklaşımı benimser.
Sık Sorulan Sorular
Endüstriyel sızma testi ile BT sızma testi arasındaki en büyük fark nedir?
BT sızma testinde hedef veri gizliliği, bütünlüğü ve erişilebilirliğidir. ICS sızma testinde ise öncelik sırası erişilebilirlik (kesintisiz çalışma), bütünlük ve gizlilik şeklindedir. Ayrıca ICS testlerinde kullanılan araçlar ve metodolojiler, üretimi durdurma riskini en aza indirecek şekilde uyarlanmalıdır.
IEC 62443 sertifikası almak zorunlu mu?
IEC 62443 uyumluluğu yasal olarak zorunlu değildir ancak birçok kamu ihalesi ve uluslararası yatırımcı tarafından ön koşul olarak istenmektedir. Ayrıca siber sigorta poliçelerinde IEC 62443 uyumluluğu indirim sağlayabilir.
TSE A Sınıfı Sızma Testi yetkisi ne anlama geliyor?
Türk Standardları Enstitüsü tarafından verilen bu yetki, firmanın belirli bir olgunluk seviyesine ulaştığını, denetim süreçlerinin bağımsız olarak onaylandığını ve sızma testi hizmetini uluslararası standartlarda (ISO/IEC 27001, TS ISO/IEC 27037 gibi) sunduğunu gösterir. Nesil Teknoloji, bu yetki kapsamında kritik altyapılarda yasal mevzuata uygun testler gerçekleştirmektedir.
Fabrikamızda eski nesil PLC’ler var, sızma testi yapılabilir mi?
Eski nesil cihazlar genellikle daha fazla güvenlik açığı barındırır. Test sırasında bu cihazların çökmesini önlemek için pasif analiz yöntemleri ağırlıklı kullanılır. Ayrıca yedek ortamda test yapılması önerilir. Nesil Teknoloji, eski sistemler için risk bazlı ve iş sürekliliğini ön planda tutan bir yaklaşım izler.
