Üretim hattı siber saldırıya uğradığında acil eylem planı: OT izolasyon adımları, can güvenliği protokolleri ve manuel üretime güvenli geçiş rehberi burada.
Hızlı Özet (TL;DR)
Fabrika sahasındaki (OT - Operational Technology) bir siber saldırı; örneğin yüksek tonajlı hidrolik preslerin, robot kollarının, ısıl işlem fırınlarının veya kimyasal dozajlama vanalarının kontrolsüz komutlar alması ya da SCADA ekranlarının kilitlenmesi, ofis bilişimindeki (IT) gibi sadece “bilgisayarların çalışmaması” anlamına gelmez. Doğrudan fiziksel can güvenliği, yangın, patlama, kalıp/makine kırılması ve çevre felaketi riski taşır. Endüstriyel Olay Müdahale Planı (OT Incident Response Plan - IRP); siber saldırı tespit edildiği saniyede önce insan hayatını ve fiziksel tesis bütünlüğünü korumayı, IT ile OT ağları arasındaki köprüyü tek tuşla keserek fabrikayı “Ada Moduna (Island Mode)” almayı ve üretimi güvenli şekilde kontrollü “Manuel Üretim” veya “Güvenli Duruş (Safe Shutdown)” prosedürüne geçirmeyi sağlayan mühendislik protokolüdür.
1. Standart IT Müdahale Planları Fabrikada Neden Tehlikelidir?
Bir ofis ağında muhasebe sunucusuna şüpheli bir yazılım bulaştığında BT uzmanının yapacağı ilk ve en doğru hareket, o sunucunun ağ kablosunu çekmek veya sunucuyu anında kapatmaktır. Ancak aynı refleksi bir üretim tesisinde gösterir ve çalışan bir fabrikanın merkezi SCADA sunucusunu veya PLC ağını rastgele kapatırsanız saldırganın veremediği fiziksel hasarı kendi elinizle vermiş olursunuz:
- Metalürji ve Döküm Tesisleri: Ergitme ocağındaki veya transfer potasındaki 1.400°C sıvı metalin akış kontrolü ve soğutma suyu sirkülasyonu aniden kesilirse, pota donar veya soğutma ceketi patlayarak ölümcül iş kazalarına yol açar.
- Plastik Enjeksiyon ve Ekstrüzyon Hatları: Koruyucu boşaltma (Purge) çevrimi tamamlanmadan ısıtıcılar ve vidalar aniden durdurulursa, erimiş hammadde kovan ve kalıp içinde donarak yüz binlerce Euro değerindeki hassas kalıpları kullanılmaz hale getirir.
- Kimya, İlaç ve Gıda Reaktörleri: Ekzotermik reaksiyon devam ederken karıştırıcı motorların ve soğutma vanalarının kontrolsüz kapanması basınç artışına ve tüm parti üretimin imha olmasına neden olur.
Bu nedenle endüstriyel olay müdahalesi; yalnızca BT uzmanlarının değil, Tesis Müdürü, Otomasyon/Bakım Şefi, İSG Uzmanı ve Siber Güvenlik Mühendisinin ortaklaşa yürüttüğü fiziksel-dijital bir kriz yönetimidir.
2. IT ve OT Olay Müdahalesi Arasındaki Temel Mühendislik Farkları
İki ortamın kriz anındaki öncelik sıralaması (CIA Üçlüsü: Gizlilik-Bütünlük-Erişilebilirlik vs. Güvenlik-Güvenilirlik) birbirinin tam tersidir:
| Müdahale ve Kriz Kriteri | Ofis Ağı Olay Müdahalesi (IT Incident Response) | Fabrika Sahası Olay Müdahalesi (OT / ICS Incident Response) |
|---|---|---|
| 1. Mutlak Öncelik | Veri gizliliğini (Confidentiality) ve sızıntıyı önleme | İnsan can güvenliği (Safety), çevre ve fiziksel ekipman bütünlüğü |
| Sistemi Kapatma Kararı | Enfekte sunucular ve bilgisayarlar derhal kapatılabilir | Hat aniden kapatılamaz; Kontrollü Güvenli Duruş (Safe Shutdown) şarttır |
| Kriz Komuta Ekibi | BT Yöneticisi, Siber Güvenlik Uzmanı, Hukuk, İletişim | Fabrika Müdürü, Otomasyon/Bakım Şefi, İSG Uzmanı ve OT Güvenlik Ekibi |
| Kanıt Toplama (Forensics) | Disk ve RAM imajı alınırken sistem saatlerce kapalı kalabilir | Canlı PLC/SCADA üzerinde üretimi bozmayan pasif ağ ve bellek analizi yapılır |
| Kurtarma Hedefi (RTO) | Veritabanını ve dosyaları yedekten geri yükleme | PLC mantığının (Ladder/STL) doğrulanması ve fiziksel sensör kalibrasyonu |
| Fiziksel Yedek Plan | Kağıt kalemle geçici işlem veya bekleyiş | Donanımsal emniyet röleleri (SIS), pnömatik/mekanik manuel kumanda |
3. Olay Anında İzlenecek 6 Aşamalı Endüstriyel Eylem Sırası (NIST SP 800-82 & IEC 62443)
Savunma Sanayii ve İmalat Ağ Güvenliği kapsamında fabrikalar için hazırladığımız Olay Müdahale Planları (Playbook), kriz anında panik yapmadan adım adım uygulanacak 6 fazdan oluşur:
Aşama 1: Fiziksel Emniyet ve Can Güvenliği Protokolü (Safety First)
Eğer saldırgan veya zararlı yazılım; robot kollarının, CNC eksenlerinin, konveyörlerin hızını/yönünü değiştiriyor ya da fırın/kazan basınç değerlerini manipüle ediyorsa, ekrandan dijital komut göndermeye çalışarak vakit kaybedilmez.
- Yazılımsal PLC’den tamamen bağımsız çalışan, donanımsal kablolu Emniyet Enstrümanlı Sistemler (SIS - Safety Instrumented Systems) ve fiziksel kırmızı mantar Acil Durdurma (E-Stop) butonları devreye sokulur.
- Tehlikeli hücredeki saha operatörleri İSG prosedürüne göre derhal güvenli bölgeye tahliye edilir.
Aşama 2: IT / OT Köprüsünü Kesme ve “Ada Modu (Island Mode)” İzolasyonu
Saldırıların %90’ından fazlası kurumsal ofis ağından (IT - e-posta, ERP, internet) başlar ve üretim ağına (OT) doğru yayılır. Olay tespit edildiği anda Güvenlik Duvarı Firewall ve omurga switch üzerinde önceden tanımlanmış olan “Acil OT İzolasyon Kuralı (Kill-Switch / Island Mode)” tetiklenir:
- Fabrika üretim sahasının ofis ağıyla, internetle ve dış tedarikçi VPN tünelleriyle olan tüm bağlantısı saniyeler içinde fiziksel veya mantıksal olarak kesilir.
- Ancak fabrika içindeki yerel PLC-HMI ve PLC-Sensör haberleşmesi kesilmez; böylece üretim hattı dış dünyadan tamamen yalıtılmış bir “Ada (Island)” halinde kendi içinde kontrollü çalışmaya veya güvenli duruşunu tamamlamaya devam eder.
Aşama 3: Görünüm Kaybı (Loss of View) ve Kontrol Kaybı (Loss of Control) Analizi
Otomasyon ve siber güvenlik ekibi sahadaki durumu iki kritik metrikle teşhis eder:
- Görünüm Kaybı (Loss of View): Merkezi SCADA bilgisayarları veya Üretim Takip Yazılımı (MES) ekranları fidye yazılımıyla kilitlenmiş olabilir; ancak alttaki PLC’ler sağlıklı çalışmaya devam ediyordur. Bu durumda üretimi tamamen durdurmak yerine, makine üzerindeki fiziksel göstergeler (manometreler, termometreler) ve yerel operatör panelleriyle izleme sürdürülür.
- Kontrol Kaybı (Loss of Control): Zararlı yazılım doğrudan mühendislik iş istasyonuna (EWS) ve PLC kodlarına bulaşmış, makine otonom kontrolünü kaybetmiştir. Bu durumda derhal Manuel / Yarı-Otomatik Üretime Geçiş veya Güvenli Duruş prosedürü başlatılır.
Aşama 4: Manuel Üretime Geçiş ve Çevrimdışı İş Emirleri
Dijital ağlar izole edildiğinde fabrikanın tamamen felç olmaması için “İş Sürekliliği B Planı” devreye girer:
- Planlama departmanı, o günün kritik iş emirlerini ve parça teknik resimlerini izole yedek kasasından basılı olarak atölyeye indirir.
- Kritiklik derecesi uygun olan tezgahlar merkezi SCADA bağlantısı olmadan, kendi yerel PLC hafızalarındaki doğrulanmış programlarla tekil (Standalone) modda çalıştırılır.
Aşama 5: Adli Bilişim (OT Forensics), Temizleme ve PLC Kod Doğrulaması
Saldırı kontrol altına alındıktan sonra izlerin silinmemesi için enfekte olmuş SCADA veya Mühendislik İstasyonu (EWS) bilgisayarlarına hemen format atılmaz:
- Önce disk imajları ve KVKK ve 5651 Yasal Loglama sunucusundaki güvenlik duvarı/VPN erişim kayıtları incelenerek saldırganın ağa hangi zafiyetten (İlk Sızma Noktası - Patient Zero) girdiği tespit edilip kapatılır.
- En kritik mühendislik adımı olarak; sahadaki tüm PLC’lerin, robot kontrolcülerinin ve HMI panellerinin içindeki çalışma kodu, Ortak Dosya Sunucusu ve Yedekleme ünitesinde tutulan çevrimdışı altın yedeklerle (Golden Image / Offline PLC Backup) satır satır (Checksum / Compare) karşılaştırılır. Saldırganın PLC içine gizlediği bir zaman ayarlı mantık bombası veya değiştirilmiş sıcaklık parametresi varsa temiz yedekten geri yüklenir.
Aşama 6: Kademeli Devreye Alma (Phased Recovery) ve Kalibrasyon
Tüm üretim hatları aynı anda elektriğe ve ağa verilmez. Önce yardımcı tesisler (kompresörler, soğutma kuleleri, havalandırma), ardından öncelikli üretim hücreleri tek tek devreye alınır. İlk üretilen numune parçalar kalite laboratuvarında (CMM / Spektrometre) %100 sıkı kontrolden geçirilerek makine kalibrasyonlarının bozulmadığı teyit edilir ve normal seri üretime geçilir.
4. Masa Başı Tatbikatları (Tabletop Exercises) Neden Şarttır?
Klasörde duran ve hiç test edilmemiş 100 sayfalık bir Olay Müdahale Planı, gerçek bir saldırı gecesi saat 02:00’de hiçbir işe yaramaz. Fabrika yönetimi, bakım mühendisleri ve BT ekibi yılda en az iki kez “Masa Başı Siber Kriz Tatbikatı” yapmalıdır:
- “Gece vardiyasında boyahane SCADA ekranı şifrelendiğinde gece amiri kimi arayacak?”
- “Güvenlik duvarındaki Ada Modu (İzolasyon) kuralını devreye alma yetkisi ve şifresi kimde?”
- “PLC’lerin en son çevrimdışı yedeği hangi kasada duruyor ve geri yüklemek kaç dakika sürüyor?”
Bu soruların yanıtları tatbikat sırasında pratik edildiğinde, gerçek bir kriz anında fabrikanın kurtarma süresi (MTTR) günlerden dakikalara iner.
Fabrikanız için özel endüstriyel olay müdahale planları (OT Playbook) hazırlamak, saha tatbikatları yürütmek için Sızma Testi ve Pentest ve ağ seviyesinde hücre izolasyonu çözümlerimiz için Güvenlik Duvarı Firewall sayfalarımızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
Fidye yazılımı (Ransomware) PLC’lerin kendi iç hafızasını şifreleyebilir mi?
Geleneksel Windows tabanlı fidye yazılımları (LockBit, Akira vb.) doğrudan Siemens, Allen-Bradley veya Omron PLC’lerin tescilli gerçek zamanlı işletim sistemlerinde (RTOS) çalışamaz. Ancak bu yazılımlar PLC’leri programlayan Windows tabanlı Mühendislik İş İstasyonlarını (EWS), SCADA sunucularını ve HMI panellerini şifreleyerek üretimi kör ve sağır bırakır. Daha sofistike endüstriyel zararlılar (Industroyer, Triton, Pipedream) ise doğrudan OT protokollerini (Modbus, S7comm, OPC UA) konuşarak PLC’nin içindeki programı silebilir, üzerine bozuk firmware yazabilir veya çıkış rölelerini tehlikeli konumlara zorlayabilir.
“Ada Modu (Island Mode)” devreye alındığında ERP sistemiyle bağlantı kesilirse üretim nasıl devam eder?
İyi tasarlanmış bir üretim mimarisinde fabrika sahası (Seviye 0–3), üstteki kurumsal ERP sistemine (Seviye 4) anlık göbekten bağımlı olmamalıdır. Endüstriyel DMZ veya yerel MES sunucusu üzerinde en az 24 ila 72 saatlik aktif iş emri ve reçete tamponu (Local Buffer) tutulur. Ada Modu aktif edildiğinde ofis ağı ve ERP ile bağlantı tamamen kopsa dahi, atölyedeki tezgahlar yerel önbellekteki iş emirlerini üretmeye ve kalite verilerini yerel kuyruğa kaydetmeye kesintisiz devam eder; kriz çözülüp köprü tekrar açıldığında veriler ERP ile senkronize edilir.
Bir endüstriyel siber saldırı sonrasında yasal bildirim yükümlülüğü var mıdır?
Evet. Eğer siber saldırı sonucunda çalışanların, müşterilerin veya tedarikçilerin kişisel verileri sızdırılmış ya da erişilemez hale gelmişse KVKK uyarınca en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna veri ihlali bildirimi yapılması yasal zorunluluktur. Ayrıca tesis kritik altyapı, enerji, kimya veya savunma sanayii tedarik zincirinde yer alıyorsa USOM (Ulusal Siber Olaylara Müdahale Merkezi) ve ilgili sektörel düzenleyici kurumlara (EPDK, SSB vb.) acil durum bildirimi yapılmalı, zaman damgalı log kayıtları adli soruşturma için muhafaza edilmelidir.