Endüstriyel firewall cihazlarında DPI (Deep Packet Inspection): Modbus/Profinet komut filtreleme, salt okunur koruma ve yazma blokajı yapılandırması burada.
Hızlı Özet (TL;DR)
Geleneksel kurumsal güvenlik duvarları (Layer 3/4 Stateful Firewall) yalnızca ağ paketinin dış zarfına, yani kaynak/hedef IP adresine ve TCP/UDP port numarasına bakar. Örneğin; üretim sahasında Modbus TCP için kullanılan 502 numaralı porta izin verildiğinde, klasik güvenlik duvarı o porttan geçen paketin masum bir sıcaklık okuma sorgusu mu yoksa buhar kazanı vanasını zorla açan veya PLC’yi durduran yıkıcı bir yazma komutu mu olduğunu ayırt edemez. Endüstriyel Derin Paket İnceleme (DPI - Deep Packet Inspection); OSI 7. Katman (Uygulama Katmanı) düzeyinde paketin yükünü (Payload) satır satır açarak Modbus, Siemens S7comm, Profinet, EtherNet/IP ve OPC UA protokollerindeki fonksiyon kodlarını (Function Codes) denetleyen ve yetkisiz operasyonel komutları milisaniyede engelleyen gelişmiş OT siber güvenlik kalkanıdır.
1. Neden OT/ICS Protokolleri Tasarım Gereği Güvensizdir?
Endüstriyel Kontrol Sistemleri (ICS) ve SCADA sahasında kullanılan haberleşme protokollerinin büyük çoğunluğu 1970’li ve 1990’lı yıllar arasında, hız ve deterministik tepki süresi odaklı tasarlanmıştır. Bu protokollerin doğasında siber güvenlik mekanizmaları bulunmaz:
- Kimlik Doğrulama (Authentication) Yokluğu: Modbus TCP veya S7comm (eski nesil) protokollerinde bir PLC, kendisine paket gönderen cihazın gerçekten yetkili SCADA sunucusu mu yoksa ağa sızmış bir saldırganın dizüstü bilgisayarı mı olduğunu sormaz; gelen her geçerli komutu koşulsuz icra eder.
- Şifrelemesiz Düz Metin (Cleartext) İletişim: Reçete parametreleri, kalıp basınç değerleri ve eksen koordinatları ağ kablosu üzerinden tamamen açık metin olarak akar; araya giren (Man-in-the-Middle) bir zararlı yazılım bu paketleri anında değiştirebilir.
- IT ve OT Yakınsaması (Convergence) Riski: CNC Makine Veri Toplama ve ERP entegrasyonu amacıyla fabrika ağının ofis ağına bağlanması, ofisteki bir oltalama (phishing) e-postasının üretim hattındaki PLC’lere ulaşabilmesi riskini doğurmuştur.
2. Standart Güvenlik Duvarı vs Endüstriyel DPI Karşılaştırması
Geleneksel IT güvenlik duvarı ile endüstriyel protokol farkındalığına sahip (OT-Aware) DPI güvenlik duvarı yaklaşımının üretim sahasındaki kritik farkları aşağıda karşılaştırılmıştır:
| Özellik ve Denetim Kriteri | Geleneksel Katman 4 Güvenlik Duvarı | Endüstriyel DPI (Deep Packet Inspection) Güvenlik Duvarı |
|---|---|---|
| İnceleme Seviyesi (OSI) | Yalnızca Ağ ve Taşıma Katmanı (IP, Port, TCP/UDP bayrakları) | Uygulama Katmanı (Layer 7) ve Endüstriyel Protokol Yükü (Payload) |
| Modbus TCP (Port 502) İzni | Ya tüm 502 portuna izin verir ya da portu tamamen kapatır | Okuma komutuna (FC 03) izin verir, yazma komutunu (FC 06/16) bloklar |
| Siemens S7comm (Port 102) | Yalnızca TCP 102 portunun açık/kapalı kontrolünü yapar | PLC CPU STOP, blok silme ve firmware yükleme komutlarını filtreler |
| Profinet / EtherNet/IP | Trafiği tanıyamaz, standart TCP/UDP akışı olarak geçirir | Belirli CIP nesnelerine, servis kodlarına ve gerçek zamanlı (RT) çerçevelere göre süzer |
| OPC UA (Port 4840) Denetimi | Port bazlı kaba geçiş izni | Oturum güvenliği, düğüm (Node) okuma/yazma yetkisi ve sertifika doğrulaması |
| Veri Değeri ve Eşik Kontrolü | Paket içindeki register adresini ve nümerik değeri okuyamaz | “Register 40010’a yazılan sıcaklık değeri 250°C’yi aşarsa paketi düşür” kuralı işletir |
3. Endüstriyel DPI ile Yazma Koruması (Write Protection) ve Komut Filtreleme
IEC 62443 (Endüstriyel Otomasyon ve Kontrol Sistemleri Güvenliği) standardı ve Purdue Modeli mimarisinde, üst katmandaki (Seviye 3/4) veri toplama, OEE izleme veya enerji takip sunucularının alt katmandaki (Seviye 1) PLC ve CNC kontrolörlerden yalnızca veri okumasına izin verilmeli, sahaya herhangi bir sinyal yazması kesinlikle engellenmelidir.
Örnek Modbus TCP Fonksiyon Kodu (Function Code) Filtreleme Kuralı
Bir plastik enjeksiyon veya pres hattında veri toplama sunucusunun yalnızca PLC’den üretim sayacı ve sıcaklık verisi okuması gerekiyorsa, endüstriyel güvenlik duvarı üzerinde şu DPI kuralı tanımlanır:
KURAL ADI : MES_Sunucu -> PLC_Enjeksiyon_Hatti_Salt_Okunur
KAYNAK : 10.20.30.15 (MES Veri Toplama Sunucusu - Seviye 3)
HEDEF : 10.10.10.50 (Enjeksiyon PLC - Seviye 1)
PROTOKOL : Modbus TCP (TCP Port 502, Unit ID: 1)
DPI EYLEMİ:
- İZİN VER (ALLOW) : Function Code 01 (Read Coils)
- İZİN VER (ALLOW) : Function Code 02 (Read Discrete Inputs)
- İZİN VER (ALLOW) : Function Code 03 (Read Holding Registers - Adres: 40001-40100)
- İZİN VER (ALLOW) : Function Code 04 (Read Input Registers)
- ENGELLE VE ALARM : Function Code 05 (Write Single Coil)
- ENGELLE VE ALARM : Function Code 06 (Write Single Register)
- ENGELLE VE ALARM : Function Code 15/16 (Write Multiple Coils / Registers)
- ENGELLE VE ALARM : Function Code 08 / 43 (Diagnostics & Encapsulated Interface)
Bu mimari sayesinde MES sunucusuna veya operatör paneline (HMI) bir fidye yazılımı ya da truva atı bulaşsa dahi, zararlı yazılım aynı açık 502 portunu kullanarak PLC’ye yeni parametre yazamaz, röleleri tetikleyemez ve tezgahı sabote edemez.
Siemens S7comm ve Mühendislik İstasyonu (TIA Portal) Koruması
Fabrikalarda en büyük risklerden biri, bakım mühendislerinin kullandığı dizüstü bilgisayarların (Engineering Workstation) doğrudan PLC ağlarına takılmasıdır. Endüstriyel DPI kuralları ile; normal vardiya saatlerinde PLC’lere Download Block (yeni merdiven diyagramı yükleme) veya PLC Stop komutlarının gönderilmesi ağ katmanında kilitlenir. Yalnızca planlı bakım penceresinde ve yetkili MAC/IP adresine sahip mühendislik bilgisayarından bu komutların geçişine izin verilir.
4. Kritik Eşik Sınırlaması (Value Range Checking) ve Sanal Yamalama (Virtual Patching)
Gelişmiş DPI ve Endüstriyel IPS (Saldırı Önleme Sistemi) motorları yalnızca komutun okuma mı yazma mı olduğuna bakmaz; yazılmasına izin verilen reçete parametrelerinin mühendislik sınırları içinde olup olmadığını da (Sanity Check) denetler:
- Parametre Sınır Denetimi: Örneğin bir ısıl işlem fırınının çalışma sıcaklığı 180°C ile 220°C arasında, hidrolik presin maksimum basınç limiti ise 200 bar ise; DPI motoru reçete sunucusundan gelen paketteki
Registerdeğerini okur. Eğer operatör hatası veya siber saldırı sonucu gönderilen değer 201 bar veya üzeriyse, paket PLC’ye varmadan ağda imha edilir ve mekanik kalıp patlaması önlenir. - Eski (Legacy) PLC ve CNC’ler İçin Sanal Yamalama: 15 yıldır çalışan ve üreticisi tarafından artık yazılım güncellemesi (Firmware Patch) yayınlanmayan eski CNC tezgahlarını veya PLC’leri değiştirmek milyonlarca liraya mal olur. DPI güvenlik duvarı, bu cihazların bilinen CVE zafiyetlerini sömüren bozuk (malformed) paketleri cihazın önünde yakalayarak (Virtual Patching) tezgaha dokunmadan tam koruma sağlar.
- Öğrenme Modu (Baseline Learning) ve Anomali Tespiti: Kurulumun ilk iki haftasında DPI cihazı pasif dinleme (SPAN/Mirror Port) modunda çalışarak fabrikadaki tüm PLC-HMI-SCADA konuşmalarının normal haritasını çıkarır. Beyaz liste (Allowlist) devreye alındıktan sonra normal profilin dışındaki her yabancı komut anında engellenir.
Endüstriyel ağlarınızda IEC 62443 uyumlu mikro-segmentasyon, derin paket inceleme ve gelişmiş UTM koruması kurmak için Güvenlik Duvarı Firewall ve Savunma Sanayii ve İmalat Siber Güvenlik çözümlerimizi inceleyebilir, sahadaki OT güvenlik açıklarını tespit etmek için Sızma Testi ve Pentest uzmanlarımıza başvurabilirsiniz.
Sıkça Sorulan Sorular
Derin Paket İnceleme (DPI) işlemi gerçek zamanlı endüstriyel haberleşmede gecikmeye (Latency) yol açar mı?
Donanım hızlandırmalı (ASIC/FPGA destekli) modern endüstriyel güvenlik duvarlarında Modbus TCP, S7comm ve OPC UA paketlerinin DPI analizi mikrosaniyeler (genellikle 1 ms’nin çok altında) mertebesinde tamamlanır. Bu süre, PLC çevrim sürelerini (Scan Time) veya SCADA ekran yenilemelerini kesinlikle etkilemez. Milisaniye altı deterministik hareket kontrolü gerektiren Profinet IRT veya EtherCAT gibi kapalı çevrim servo trafiği ise zaten Seviye 0/1 içindeki yerel hücre anahtarında döner; DPI cihazı hücrenin üst ağa (Seviye 2/3) çıkış sınırına konumlandırılır.
DPI güvenlik duvarı arızalanırsa veya enerjisi kesilirse üretim hattındaki haberleşme durur mu?
Endüstriyel saha şartları için tasarlanan güvenlik duvarlarında donanımsal “Fail-Open” (LAN Bypass) röleleri ve Aktif-Pasif Yüksek Erişilebilirlik (High Availability - HA) yedekliliği bulunur. Cihazda güç kesintisi veya donanım arızası yaşanması durumunda, dahili fiziksel röle milisaniyede kapanarak giriş ve çıkış portlarını düz bir bakır kablo gibi birbirine bağlar ve üretim hattının durmasını engeller.
OPC UA protokolü şifreli (TLS) çalıştığında DPI cihazı içerikteki komutları nasıl inceleyebilir?
OPC UA trafiği TLS ile uçtan uca şifrelendiğinde, güvenlik duvarı üzerine kurumsal iç kök sertifika (Internal CA) tanımlanarak SSL/TLS İnceleme (TLS Inspection / Termination) devreye alınır veya güvenlik duvarı bir OPC UA Güvenlik Vekili (Security Proxy) olarak konumlandırılır. Böylece şifreli tünel güvenlik duvarında güvenli şekilde açılarak içerideki düğüm (NodeId) okuma/yazma izinleri ve metod çağrıları denetlenir, ardından tekrar şifrelenerek hedef PLC’ye iletilir.