Fabrika sahasında Zero Trust (Sıfır Güven) güvenliği: OT mikrosegmentasyon, makine kimlik doğrulaması ve en az ayrıcalık politikasını adım adım öğrenin.
Hızlı Özet (TL;DR)
Geleneksel “kale-hendek (Castle-and-Moat)” güvenlik modelinde, fabrika sahasındaki yerel ağa bir kez giren her kullanıcı, bakım bilgisayarı veya makine varsayılan olarak “güvenilir” kabul edilirdi. Oysa modern endüstriyel siber saldırılarda tehdit aktörleri doğrudan güvenlik duvarını kırmak yerine; bir ofis bilgisayarını oltalama (phishing) e-postasıyla ele geçirerek, fason tedarikçi VPN tünelini kullanarak veya bakım teknisyeninin dizüstü bilgisayarı üzerinden fabrikaya sızar. Endüstriyel Sıfır Güven (OT Zero Trust); ağın içindeki hiçbir cihaza, operatöre, PLC’ye veya yazılıma konumundan dolayı varsayılan olarak güvenmemek, her bağlantıyı kimlik ve protokol düzeyinde sürekli doğrulamak ve En Az Ayrıcalık İlkesini (Least Privilege) üretim hücrelerine kadar uygulamaktır.
1. Fabrika Sahasında “Kale-Hendek” Modeli Neden Çöktü?
Yıllar boyunca sanayi kuruluşlarında siber güvenlik yalnızca internet çıkışına bir güvenlik duvarı koymaktan ibaret görüldü. Fabrika içindeki tüm CNC tezgahları, PLC kontrolörleri, robot hücreleri, IP kameralar, kalite kontrol bilgisayarları ve hatta misafir Wi-Fi erişim noktaları 192.168.1.0/24 veya 10.0.0.0/16 gibi tek bir düz (flat) L2/L3 ağ üzerinde birbirini doğrudan görebilecek şekilde yapılandırıldı.
Bu düz mimaride dış çeper (hendek) bir kez aşıldığında saldırganın önünde hiçbir iç engel kalmaz:
- Muhasebe departmanındaki bir bilgisayara bulaşan fidye yazılımı (Ransomware), açık dosya paylaşımları ve SMB protokolü üzerinden 3 dakika içinde üretim hattındaki SCADA sunucusuna ve CNC kontrol ünitelerine yayılır.
- Makine bakımı için gelen dış servis personelinin virüslü dizüstü bilgisayarını üretim panosundaki switch’e takmasıyla tüm fabrika otomasyonu enfekte olur.
- Üretim sahasındaki eski bir Windows 7 HMI paneli üzerinden kurumsal ERP veritabanına yatay geçiş (Lateral Movement) yapılabilir.
Endüstriyel Zero Trust mimarisi, bu kontrolsüz yatay hareketi imkânsız hale getirmek için tasarlanmıştır.
2. Geleneksel Çevre Güvenliği ve Endüstriyel Zero Trust Karşılaştırması
İki güvenlik felsefesinin fabrika ve üretim sahasındaki (OT) teknik yansımaları şu şekildedir:
| Güvenlik Kriteri | Geleneksel Çevre Modeli (Kale-Hendek) | Endüstriyel Zero Trust (Sıfır Güven) Modeli |
|---|---|---|
| Güven Varsayımı | Ağın içi güvenli, dışı güvensiz kabul edilir | “Ağın içi zaten ihlal edilmiş olabilir” (Assume Breach) varsayılır |
| Ağ Topolojisi | Düz (Flat) ve geniş paylaşımlı fabrika switch’leri | Purdue Modeli ve IEC 62443 uyumlu hücre/bölge (Zone & Conduit) mikrosegmentasyonu |
| Erişim İzinleri | Geniş IP bloklarına 7/24 tüm portlardan tam erişim | Yalnızca iş emri süresince, tekil IP ve tekil OT protokol komutuna izin (JIT) |
| Cihaz ve Kullanıcı Doğrulama | Tek seferlik paylaşımlı VPN şifresi veya fiziksel kablo bağlantısı | 802.1X NAC, MFA, cihaz sertifikası ve Cihaz Sağlık Durumu (Posture Check) |
| Protokol Denetimi | Yalnızca L3/L4 port kontrolü (Örn: Port 502 açık) | Derin Paket Analizi (DPI) ile Modbus/S7 içinde yalnızca “Okuma” komutuna izin verme |
| Zararlının Yayılması | Bir tezgahtan tüm fabrikaya dakikalar içinde yayılır | Zararlı yalnızca bulunduğu tek üretim hücresinde (Zone) hapsedilir, diğer hatlar çalışmaya devam eder |
3. Endüstriyel Zero Trust’ın 3 Temel Mühendislik İlkesi
NIST SP 800-207 ve IEC 62443 standartlarını temel alan Savunma Sanayii ve İmalat Ağ Güvenliği projelerimizde Sıfır Güven mimarisi üç ana sütun üzerine inşa edilir:
1. Açıkça Doğrula (Verify Explicitly)
Fabrika ağına bağlanan her insan ve her makine; kimliği, MAC adresi, IP’si, dijital sertifikası, işletim sistemi yama seviyesi ve bağlandığı fiziksel switch portuyla sürekli doğrulanmalıdır.
- 802.1X Ağ Erişim Kontrolü (NAC): Fabrika katındaki pano switch portlarına yetkisiz takılan yabancı bir dizüstü bilgisayar veya sahte bir cihaz, 802.1X ve MAB (MAC Authentication Bypass) doğrulamasından geçemediği anda port otomatik olarak kapatılır veya izole bir karantina VLAN’ına düşürülür.
- OT Varlık Envanteri ve Parmak İzi: Ağdaki her PLC, HMI, sensör ve robot; üretici firma (Vendor OUI), firmware sürümü ve konuştuğu endüstriyel protokol bazında kayıt altına alınır. Bir IP kameranın aniden PLC’ye Modbus paketi göndermeye çalışması kimlik ihlali olarak yakalanır.
2. En Az Ayrıcalığı Uygula (Least Privilege & JIT Access)
Bir bakım mühendisinin veya tedarikçi firmanın “Pres Hattı-2” üzerindeki bir PLC’yi güncellemek için tüm fabrikanın SCADA ağına veya diğer 50 tezgaha erişmesine kesinlikle gerek yoktur.
- Uygulama ve Komut Seviyesinde Kısıtlama: Yeni nesil endüstriyel güvenlik duvarları ve Berqnet UTM/NGFW politikalarıyla; teknisyene yalnızca ilgili PLC’nin IP adresine ve yalnızca
TCP 102(Siemens S7) veyaTCP 502(Modbus) portuna erişim verilir. - Tam Zamanında Erişim (Just-In-Time - JIT): Bu erişim kuralı 365 gün açık bırakılmaz. Bakım iş emri başladığında 2 saatliğine aktif edilir ve süre dolduğunda kural otomatik olarak kendini kapatır.
- Salt Okunur (Read-Only) Telemetri: Üretim Takip Yazılımı (MES) veya OEE veri toplama sunucusunun PLC’den yalnızca parça sayısı ve duruş verisi okuması gerekir; PLC’ye yeni parametre yazmasına gerek yoktur. Zero Trust mimarisinde MES sunucusuna yalnızca
Read Holding Registersyetkisi verilir,Writekomutları güvenlik duvarı tarafından engellenir.
3. İhlal Edildiğini Varsay (Assume Breach)
Sistem mimarları tasarımı yaparken, ofis ağındaki bir bilgisayarın, bulut bağlantısının veya fason çalışanların cihazlarının şu an bile ele geçirilmiş olabileceğini varsaymalıdır. Bu doğrultuda:
- Bölgeler ve Kanallar (Zones and Conduits): Fabrika; Enjeksiyon Hattı, CNC Atölyesi, Boyahane, Kalite Laboratuvarı ve Robotik Kaynak Hücresi gibi bağımsız güvenlik bölgelerine (Security Zones) ayrılır. İki bölge arasındaki iletişim yalnızca sıkı denetlenen dar veri kanallarından (Conduits) geçebilir.
- Doğu-Batı (East-West) Trafik Denetimi: Sadece internetten gelen Kuzey-Güney (North-South) trafiği değil, fabrikadaki bir makineden diğer makineye giden iç trafik de sürekli anomali ve imza taramasından geçirilir.
4. Purdue Modeli Üzerinde Adım Adım Zero Trust Uygulama Yol Haritası
Çalışan bir fabrikada üretimi bir dakika bile durdurmadan Sıfır Güven mimarisine geçmek için 4 aşamalı mühendislik yol haritası izlenir:
Aşama 1: Pasif Keşif ve Trafik Haritalama (Görünürlük)
İlk adımda ağa hiçbir müdahalede bulunulmaz. Merkez omurga switch’in SPAN (Mirror) portundan trafik dinlenerek fabrikada hangi cihazın hangi cihazla, hangi saatte ve hangi protokolle konuştuğunun tam iletişim matrisi çıkarılır. Gölge IT (Shadow OT) cihazları, unutulmuş 4G modemler ve yetkisiz Wi-Fi köprüleri tespit edilir.
Aşama 2: IT / OT Sınır İzolasyonu ve Endüstriyel DMZ (Seviye 3.5)
Kurumsal ofis ağı (Seviye 4 - ERP, e-posta, internet) ile fabrika üretim ağı (Seviye 0–3) arasındaki doğrudan yönlendirme (Routing) tamamen kesilir. Araya bir Endüstriyel DMZ (Seviye 3.5) bölgesi inşa edilir. ERP ile üretim sahası arasındaki veri alışverişi doğrudan veritabanı bağlantısıyla değil, DMZ’deki güvenli aracı sunucular (Broker / Historian / API Gateway) üzerinden yürütülür.
Aşama 3: Hücre Bazlı Mikrosegmentasyon (Seviye 1–2)
Tek bir büyük fabrika VLAN’ı parçalanarak her üretim hattı veya kritik makine grubu kendi izole VLAN’ına taşınır. Hücreler arası doğrudan erişim kapatılır. Böylece Boyahane hattında çıkabilecek bir siber olay veya yayın fırtınası (Broadcast Storm), CNC atölyesini hiçbir şekilde etkilemez.
Aşama 4: Kimlik Doğrulamalı Uzaktan Erişim (ZTNA) ve Sürekli Denetim
Geleneksel tam ağ erişimli VPN’ler kaldırılarak yerine ZTNA (Zero Trust Network Access) ve MFA destekli PAM mimarisi kurulur. Tüm erişim denemeleri, başarılı/başarısız oturumlar ve güvenlik duvarı logları KVKK ve 5651 Yasal Loglama altyapısında zaman damgalı olarak kayıt altına alınır.
Fabrika sahanızda Zero Trust mimarisi kurmak, IT/OT ağınızı zırhlandırmak için Güvenlik Duvarı Firewall ve uç nokta mühendislik verisi güvenliği için DLP Veri Sızıntısı Önleme hizmetlerimizi keşfedebilirsiniz.
Sıkça Sorulan Sorular
Zero Trust mimarisi ve güvenlik duvarı denetimi PLC-SCADA arasındaki gerçek zamanlı haberleşmede gecikme (Latency) yaratır mı?
Doğru tasarlanmış bir OT Zero Trust mimarisinde, aynı üretim hücresi (Zone) içindeki PLC ile I/O modülleri veya servo sürücüler arasındaki milisaniyelik gerçek zamanlı (Real-Time PROFINET / EtherCAT) haberleşme kendi yerel endüstriyel switch’i üzerinde döner; güvenlik duvarından geçmez. Güvenlik duvarı ve derin paket denetimi, hücre dışına çıkan (Hücre-SCADA, SCADA-MES veya Uzaktan Bakım) trafikte uygulanır ve donanımsal ASIC hızlandırma sayesinde 1 milisaniyenin altında gecikmeyle çalışarak üretimi kesinlikle yavaşlatmaz.
Sertifika ve 802.1X desteklemeyen 20 yıllık eski CNC ve PLC’ler Zero Trust ağına nasıl dahil edilir?
Endüstriyel sahadaki eski (Legacy) PLC ve CNC ünitelerinin büyük çoğunluğunda 802.1X istemcisi veya TLS sertifika desteği bulunmaz. Bu cihazlar için switch portunda MAB (MAC Authentication Bypass) + Sabit IP Eşleşmesi + Derin Protokol Profilleme birlikte kullanılır. Switch portu yalnızca o CNC tezgahının MAC ve IP adresine kilitlenir ve güvenlik duvarı o porttan yalnızca beklenen endüstriyel protokolün (örneğin sadece Fanuc FOCAS veya Modbus) geçmesine izin verir; biri kabloyu çıkarıp aynı MAC adresini taklit eden bir bilgisayar taksa bile farklı protokol konuştuğu anda port kilitlenir.
Zero Trust projesi için fabrikadaki tüm switch ve kabloları değiştirmek gerekir mi?
Hayır. Fiziksel kablolama altyapısı (Cat6 / Fiber Optik) olduğu gibi korunur. Eğer ana dağıtım panolarındaki switch’ler VLAN (802.1Q) ve temel port güvenliğini destekleyen yönetilebilir (Managed) endüstriyel switch’ler ise donanım değişimine gerek kalmadan mevcut altyapı üzerinde mikrosegmentasyon devreye alınabilir; yalnızca yönetilemeyen (Unmanaged) kör switch’lerin kritik noktalarda yönetilebilir modellerle değiştirilmesi önerilir.