Endüstriyel Saldırı Tespit ve Önleme (OT IDS/IPS)

Hızlı Özet (TL;DR)

Geleneksel ofis bilişim (IT) dünyasında kullanılan Saldırı Tespit ve Önleme Sistemleri (IDS/IPS), HTTP, TLS, SMB, DNS ve SMTP gibi kurumsal protokolleri tanır; ancak üretim sahasında (OT) makinelerin konuştuğu Modbus TCP, Profinet, S7comm, EtherNet/IP, OPC UA veya DNP3 gibi endüstriyel protokollerin iç yapısını (Payload) çözümleyemez. Daha da kritik olanı; üretim hattında hat üzerinde (In-Line) çalışan standart bir IPS’in yanlış alarm (False Positive) üreterek tek bir PLC paketini bile engellemesi, çalışan fabrikanın aniden durmasına, kalıp kırılmasına ve saatte yüz binlerce lira zarara yol açar. Endüstriyel OT IDS mimarisi ise fabrika omurga switch’leri üzerindeki Ayna Port (SPAN / RSPAN) veya Ağ TAP donanımları üzerinden trafiği %100 pasif (Out-of-Band) olarak dinler; üretim trafiğine sıfır gecikme (Zero Latency) uygular ve yetkisiz bir bilgisayardan PLC’ye gönderilen “Stop” veya “Parametre Değiştir” komutlarını saniyesinde tespit ederek güvenlik ekibini uyarır.

Neden Standart IT IPS Çözümleri Üretim Sahasında (OT) Yetersiz ve Tehlikelidir?

Birçok sanayi kuruluşunda bilgi işlem departmanı, internet çıkışındaki güvenlik duvarında bulunan standart IPS özelliğini açtığında içerideki CNC tezgâhlarının ve PLC’lerin de korunduğunu düşünür. Ancak sahada yaşanan siber olaylar bu varsayımın iki büyük kör noktası olduğunu kanıtlamaktadır:

1. Kuzey-Güney (North-South) ve Doğu-Batı (East-West) Trafik Körlüğü: İnternet çıkışındaki güvenlik duvarı yalnızca dışarıdan içeriye (Kuzey-Güney) gelen trafiği görür. Oysa fabrikalardaki siber saldırıların %80’inden fazlası; bakım için gelen bir taşeron mühendisin dizüstü bilgisayarını üretim switch’ine doğrudan takması, virüslü bir USB belleğin HMI panele bağlanması veya hücresel modemli bir IoT cihazı üzerinden Doğu-Batı (Makineden Makineye) yönünde yayılır. Bu trafik ana güvenlik duvarına hiç uğramadan saha switch’leri üzerinde döner.
2. Protokol Körlüğü ve Hatalı Blokaj Riski: Standart bir IT IPS cihazı, TCP 502 portundan geçen bir paketin “Modbus” olduğunu sadece port numarasından tahmin eder; ancak paketin içindeki komutun masum bir sıcaklık okuması (Function Code 03) mı yoksa fırını patlatacak bir basınç set değeri yazması (Function Code 16) mı olduğunu ayırt edemez. Ayrıca aktif engelleme (IPS) modunda çalışırken gerçek zamanlı (Real-Time) Profinet paketlerini birkaç milisaniye geciktirmesi bile servo sürücülerin senkronizasyon hatası (Watchdog Timeout) verip üretimi durdurmasına neden olur.

Kurumsal IT IDS/IPS ve Endüstriyel OT IDS Karşılaştırma Tablosu

İki siber güvenlik mimarisinin tasarım felsefesi, bağlantı topolojisi ve protokol yetenekleri arasındaki temel mühendislik farkları aşağıdadır:

Kriter	Kurumsal IT IDS / IPS (Ofis ve Sunucu Ağı)	Endüstriyel OT IDS (Fabrika ve Üretim Sahası)
Ağa Bağlantı Topolojisi	Hat üzerinde (In-Line) aktif geçiş noktası	SPAN (Mirror) Port veya Donanımsal TAP ile %100 Pasif Dinleme
Birincil Mühendislik Prensibi	Şüpheli paketi anında düşür (Gizlilik ve Bütünlük öncelikli)	Üretim hattı asla durmamalıdır; sıfır müdahale ile anlık alarm üret
Gecikme (Latency) ve Arıza Etkisi	Milisaniyelik paket işleme gecikmesi yaratır	0 ms (Sıfır gecikme); OT IDS cihazı kapansa bile üretim trafiği kesilmez
Desteklenen Protokol Derinliği	HTTP/S, DNS, SMB, RDP, SSH, SQL, FTP	Modbus, Profinet, Siemens S7comm, EtherNet/IP, OPC UA, BACnet, IEC 104
Tespit Metodolojisi	Bilinen zararlı yazılım imzaları (CVE Signature)	Davranışsal Temel Hat (Baseline), Protokol Anomalisi ve Komut Denetimi
Varlık Keşfi (Asset Discovery)	Aktif Nmap/SNMP taraması (OT cihazlarını kilitleyebilir)	Pasif paket dinleme ile PLC marka, model, slot ve firmware tespiti

Pasif Ağ İzleme (SPAN Port ve Network TAP) Mimarisi Nasıl Çalışır?

Endüstriyel OT IDS sisteminin en büyük gücü, üretim ağına tek bir paket bile göndermeden (tamamen görünmez/hayalet modda kalarak) sahadaki her biti analiz edebilmesidir. Bu mimari iki yöntemle kurulur:

1. Yönetilebilir Switch Üzerinde SPAN / RSPAN (Port Mirroring) Yapılandırması

Fabrika sahasındaki PLC, CNC, robot ve SCADA sunucularının bağlı olduğu yönetilebilir endüstriyel switch’ler üzerinde bir veya birkaç port SPAN (Switched Port Analyzer / Ayna Port) olarak tanımlanır:

• Switch, port 1 ile port 24 arasındaki tüm endüstriyel cihazların birbiriyle konuştuğu Ethernet çerçevelerinin birebir kopyasını (RX ve TX yönünde) gerçek zamanlı olarak 25. porta (OT IDS sensörünün bağlı olduğu porta) kopyalar.
• OT IDS sensörünün ağ kartı Promiscuous Mode (Sadece Dinleme Modu) ve IP adresi atanmamış (Unnumbered/Tx-Disabled) olarak çalışır; yani sensörden switch’e doğru fiziksel olarak hiçbir veri paketi çıkamaz.

2. Kritik Hatlarda Donanımsal Ağ TAP (Test Access Point) Kullanımı

Çok yüksek güvenlik gerektiren savunma sanayii, enerji veya kimya tesislerinde switch işlemcisini yormamak için fiber veya bakır ana hat kablosunun üzerine pasif optik Network TAP cihazı yerleştirilir. Fiber optik ışığı prizmayla ikiye bölen bu donanım, elektrik kesilse dahi ana hattaki iletişimi kesmez ve trafiğin %100 kopyasını OT IDS analiz motoruna aktarır.

OT IDS’in Yakaladığı 5 Kritik Endüstriyel Saldırı ve Anomali Senaryosu

Pasif olarak trafiği dinleyen bir OT IDS motoru, Derin Paket İnceleme (Deep Packet Inspection - DPI) ve makine öğrenmesi tabanlı Davranışsal Temel Hat (Behavioral Baseline) algoritmasıyla şu 5 tehlikeyi saniyeler içinde yakalar:

1. Yetkisiz PLC Programlama ve Firmware Yükleme (Logic Download): Normal şartlarda bir PLC’ye yalnızca mühendislik istasyonunun IP adresinden ve mesai saatleri içinde S7comm Download Block veya Stop CPU komutu gönderilir. Gece saat 02:30’da ağdaki başka bir bilgisayardan PLC’nin merdiven (Ladder) yazılımını değiştirmeye çalışan bir paket geçtiği anda OT IDS en üst seviyede kırmızı alarm üretir.
2. Ağa Yeni Cihaz Bağlanması (Rogue Device Detection): Fabrikanın 14 günlük öğrenme (Learning) fazında ağdaki 180 adet PLC, HMI ve CNC’nin MAC ve IP adresleri haritalanmıştır. Sahadaki bir panoya yabancı bir dizüstü bilgisayar, Raspberry Pi veya 4G modem takıldığı saniye yeni MAC adresi tespit edilir ve hangi switch’in hangi portuna takıldığı bilgi işleme bildirilir.
3. Yatay Yayılım ve Keşif Taramaları (Lateral Movement & Recon): Bir ofis bilgisayarına bulaşan zararlı yazılımın OT ağına sıçrayıp 102 (Siemens S7), 502 (Modbus) veya 44818 (EtherNet/IP) portlarını sırayla taraması (Port Scanning) veya ARP zehirleme denemesi anında yakalanır.
4. Protokol İçi Parametre ve Set Değeri Manipülasyonu: SCADA ekranından PLC’ye normalde 0 ile 150 bar arasında gönderilen basınç reçetesinin, bozuk veya saldırı amaçlı bir paketle 450 bar olarak gönderilmesi (Out-of-Bounds Parameter) DPI motoru tarafından tespit edilir.
5. Pasif Zafiyet ve Envanter Çıkarımı: Aktif tarama yapmadan, sadece geçen paket başlıklarından “Üretim Holü 2’deki Siemens S7-1200 PLC’nin Firmware sürümü V4.1 ve bu sürümde bilinen CVE-2020-xxxx güvenlik açığı var” raporunu otomatik oluşturur.

OT IDS ile Güvenlik Duvarının (Firewall) Entegre Orkestrasyonu

Pasif OT IDS tek başına trafiği kesmez ancak Berqnet Güvenlik Duvarı ve yönetilebilir switch altyapısıyla entegre çalışarak Kontrollü Önleme (Automated Response) sağlar.

Örneğin; OT IDS, üretim hücresinin içindeki iki PLC arasındaki trafiğe asla dokunmaz (üretim durmasın diye). Ancak IT ağından veya VPN üzerinden bağlanan bir taşeron bilgisayarının OT ağına zararlı paket gönderdiğini tespit ettiği anda, güvenlik duvarına API/Syslog üzerinden sinyal göndererek sadece o saldırgan bilgisayarın IP adresini güvenlik duvarı seviyesinde karantinaya aldırır. Böylece üretim hattı 1 saniye bile durmadan saldırgan sistemden izole edilmiş olur.

Fabrika sahanızda IEC 62443 uyumlu pasif ağ izleme, OT IDS/IPS ve endüstriyel güvenlik bölgeleri kurmak için Savunma Sanayii ve İmalat Ağ Güvenliği ile Güvenlik Duvarı Firewall sayfalarımızı inceleyebilir, mevcut OT ağınızın zafiyet haritasını çıkarmak için Sızma Testi ve Pentest hizmetimizden yararlanabilirsiniz.

Sıkça Sorulan Sorular

Fabrikamızda aktif tarama (Nessus / OpenVAS / Nmap) yapmak yerine neden pasif OT IDS kullanmalıyız?

Ofis bilgisayarlarında kullanılan aktif zafiyet tarayıcıları, hedef cihaza saniyede binlerce bozuk/test paketi göndererek açık portları yoklar. Ancak PLC’lerin, CNC kontrol ünitelerinin ve eski endüstriyel Ethernet kartlarının TCP/IP yığınları çok hassastır; basit bir aktif Nmap veya Nessus taraması bile PLC’nin haberleşme işlemcisini kilitleyerek (Buffer Overflow / DoS) çalışan üretim bandını anında durdurabilir. Pasif OT IDS ise ağa tek bir paket bile göndermeden sadece SPAN porttan geçen mevcut trafiği dinleyerek %100 güvenli envanter ve zafiyet tespiti yapar.

OT IDS sisteminin fabrikanın normal çalışma düzenini (Baseline) öğrenmesi ne kadar sürer?

Standart bir imalat tesisinde OT IDS sensörü SPAN portuna bağlandıktan sonra genellikle 7 ila 14 günlük bir “Öğrenme Modu (Learning Phase)” çalıştırılır. Bu süre zarfında sistem; vardiya değişimlerini, haftalık bakım saatlerini, MES/SCADA sunucularının periyodik sorgularını ve DNC program yükleme rutinlerini analiz ederek fabrikanın dijital iletişim parmak izini çıkarır. Öğrenme fazı bittikten sonra bu profilin dışına çıkan her türlü iletişim anomali olarak raporlanır.

Mevcut kenar switch’lerimiz yönetilemez (Unmanaged) ise OT IDS kurabilir miyiz?

Yönetilemez (Unmanaged) basit switch’lerde SPAN / Port Mirroring özelliği bulunmaz ve VLAN ayrımı yapılamaz. Ancak tüm saha switch’lerini bir anda değiştirmeye gerek kalmadan, önce üretim hatlarının birleştiği ana toplama (Distribution / Core) katmanına endüstriyel yönetilebilir bir switch konularak hızlıca OT IDS dinlemesi başlatılabilir; ardından kademeli bir planla sahadaki kritik hücre switch’leri yönetilebilir endüstriyel modellere yükseltilebilir.