Windows XP, 7 ve Embedded tabanlı CNC makinelerini siber saldırılardan koruma: Sanal yama (Virtual Patching), izole DMZ ve port kısıtlama kılavuzu burada.
Hızlı Özet (TL;DR)
Bir CNC dik işleme merkezinin, 5 eksenli frezenin, kayar otomatın veya endüstriyel fiber lazer kesim tezgâhının mekanik ve mekatronik ömrü düzenli bakımlarla 20 ila 30 yılı rahatlıkla bulur. Ancak bu milyonlarca liralık tezgâhların HMI ve CNC kontrol ünitelerinde (Siemens Sinumerik, Fanuc, Heidenhain, Mazak Mazatrol, Mitsubishi) çalışan gömülü işletim sistemleri (Windows NT, Windows 2000, Windows XP Embedded, Windows 7 Embedded veya eski Linux çekirdekleri) üreticileri tarafından yıllar önce desteği kesilmiş, hiçbir güvenlik yaması almayan birer “yürüyen siber güvenlik açığıdır”. Bu makineleri sırf işletim sistemi eski diye hurdaya ayırmak ekonomik olarak imkânsızdır; doğrudan Windows güncellemesi yapmak veya standart antivirüs kurmak ise gerçek zamanlı eksen hareket (Real-Time Motion Control) kartlarını kilitleyerek tezgâhı bozar. Çözüm; tezgâhın iç yapısına dokunmadan, önüne endüstriyel güvenlik duvarı yerleştirerek Sanal Yama (Virtual Patching), mikro-segmentasyon ve güvenli SFTP/DNC dosya aktarım DMZ mimarisiyle tezgâhı dışarıdan zırhlamaktır.
Neden CNC Tezgâhlarına Doğrudan İşletim Sistemi Güncellemesi ve Antivirüs Kurulamaz?
Geleneksel bir ofis bilişim (IT) uzmanının Windows XP veya Windows 7 çalışan bir bilgisayar gördüğünde ilk refleksi işletim sistemini Windows 11’e yükseltmek ve üzerine kurumsal bir uç nokta koruma (EDR / Antivirüs) yazılımı yüklemektir. Ancak üretim sahasında (OT - Operasyonel Teknolojiler) bu müdahale felaketle sonuçlanır:
- Özel Donanım Sürücüleri ve ISA/PCI Hareket Kartları: CNC kontrol ünitesinin içinde bulunan PC tabanlı endüstriyel bilgisayar (IPC), servo motor sürücüleri ve PLC katmanı ile özel optik veriyolları veya eski PCI/ISA kartlar üzerinden haberleşir. Bu kartların sürücüleri yalnızca fabrikanın kurulduğu yılki işletim sistemi çekirdeği (Kernel) için yazılmıştır; işletim sistemi güncellendiği an tezgâh eksenlerini tanıyamaz ve tamamen devre dışı kalır.
- Gerçek Zamanlılık (Real-Time Determinism) Kaybı: CNC kontrolcüsü, takım yolunu (G-Kodu) işlerken milisaniyenin binde biri (mikrosaniye) hassasiyetinde kesme (Interrupt) sinyalleri üretir. Standart bir antivirüs yazılımı arka planda dosya taraması başlatıp işlemciyi veya diski 50 milisaniye dahi meşgul ederse, tezgâh servo senkronizasyonunu kaybeder, iş parçasını bozar veya yüksek hızda kalıba bindirme (Crash) yaparak yüz binlerce liralık mekanik hasara yol açar.
- Fahiş Üretici Yükseltme (Retrofit) Maliyetleri: Makine üreticisinden kontrol ünitesini güncel işletim sistemine yükseltmesi istendiğinde, sadece yazılım değil tüm HMI panelin ve anakartın değişimini içeren 15.000 ila 40.000 Euro arasında teklifler çıkabilmektedir.
Eski CNC Kontrol Ünitelerinin Siber Zafiyet ve Risk Tablosu
Talaşlı imalat ve sac işleme fabrikalarında en sık karşılaşılan eski işletim sistemli CNC ve endüstriyel kontrol ünitelerinin zafiyet analizi aşağıdadır:
| İşletim Sistemi / Platform | Resmi Destek Bitiş Yılı | En Kritik Siber Güvenlik Zafiyetleri | Sahada Karşılaşılan Tipik Saldırı Senaryosu | Neden Doğrudan Güncellenemez? |
|---|---|---|---|---|
| Windows NT 4.0 / 2000 | 2004 – 2010 | SMBv1 bellek taşması, NetBIOS açıkları, şifresiz LANMan | Ağdaki tek bir virüslü bilgisayardan saniyeler içinde otomatik bulaşma | Eski nesil kontrol kartları ve 16/32-bit HMI yazılımları yalnızca bu çekirdekte çalışır |
| Windows XP Professional / Embedded | 2014 | EternalBlue (MS17-010), WannaCry, Conficker, RPC açıkları | CAM paylaşım klasörü üzerinden fidye yazılımının CNC diskini şifrelemesi | Makine üreticisinin özel gerçek zamanlı uzantıları (RTX) yeni Windows’ta çalışmaz |
| Windows 7 Embedded / POSReady | 2020 | BlueKeep (CVE-2019-0708 RDP), PrintNightmare, SMB zafiyetleri | Uzaktan destek için açılan RDP portundan saldırganın tezgâha sızması | Donanım RAM/CPU kapasitesi düşüktür, üretici yükseltme için komple panel değişimi şart koşar |
| Eski Gömülü Linux / VxWorks | Değişken | Açık Telnet/FTP portları, sabit kodlanmış (Hardcoded) şifreler, eski OpenSSL | Ağ taramasında (Nmap) paketi bozuk sorgularla ağ kartının kilitlenmesi | Firmware güncellemesi makine kalibrasyon ve pitch-error parametrelerini sıfırlayabilir |
Sanal Yama (Virtual Patching) Nedir ve CNC Önünde Nasıl Çalışır?
Tezgâhın içindeki Windows XP veya Windows 7 işletim sistemine Microsoft yaması yükleyemiyorsak, yamayı tezgâha giden ağ kablosunun üzerine, yani Endüstriyel Güvenlik Duvarı (UTM / NGFW) katmanına uygularız. Siber güvenlik mühendisliğinde bu mimariye Sanal Yama (Virtual Patching) adı verilir.
Sanal Yamanın Adım Adım Çalışma Prensibi
Sanal yama uygulamasında CNC tezgâhları genel fabrika ağından (ofis bilgisayarlarının, muhasebenin ve telefonların bulunduğu düz switch yapısından) tamamen koparılır ve güvenlik duvarının arkasındaki özel bir CNC/OT İzole Bölgesine (VLAN) alınır:
- Derin Paket İnceleme (DPI) ve IPS Kalkanı: Ağdaki herhangi bir bilgisayardan CNC tezgâhının IP adresine doğru bir veri paketi gönderildiğinde, paket tezgâhın ağ kartına ulaşmadan önce Berqnet Güvenlik Duvarı üzerindeki IPS (Saldırı Engelleme Sistemi) motorundan geçer.
- İstismar (Exploit) Paketinin Havada İmhası: Örneğin ağa sızmış bir WannaCry fidye yazılımı, 445 numaralı SMB portundan Windows XP’deki
MS17-010 (EternalBlue)açığını tetikleyen özel hazırlanmış paketi gönderdiğinde; güvenlik duvarı bu paketin imzasını milisaniyeler içinde tanır, paketi anında çöpe atar (Drop) ve saldırgan IP’yi karantinaya alır. - Sıfır Performans Etkisi: CNC tezgâhının kendi işlemcisine veya RAM belleğine hiçbir yazılım kurulmadığı için eksen hareketlerinde, G-kodu okumada veya PLC döngü süresinde en ufak bir yavaşlama yaşanmaz. Tezgâh yamalı olmasa bile dış dünyaya karşı tam yamalı bir sistem gibi korunur.
Eski CNC Tezgâhları İçin 5 Kademeli Saha Karantina ve Zırhlama Stratejisi
Fabrika sahasında hem üretimin aksamaması hem de siber güvenliğin (TISAX, AS9100 ve ISO 27001 denetim kriterlerine uygun şekilde) sağlanması için uyguladığımız 5 adımlı mühendislik reçetesi şunlardır:
1. İnternet (WAN) Çıkışını ve Gelen Bağlantıları Tamamen Kesin
Bir CNC tezgâhının internette gezinmek, e-posta okumak veya bulut sunucularla konuşmak gibi hiçbir ihtiyacı yoktur. Güvenlik duvarı üzerinde CNC VLAN’ı için en üste Kaynak: CNC_VLAN -> Hedef: WAN (İnternet) -> Eylem: ENGELLE (Deny) kuralı yazılır. Eğer makine üreticisinin uzaktan arıza teşhisi için bağlanması gerekiyorsa, bu erişim yalnızca bilgi işlem onayıyla açılan, çok faktörlü kimlik doğrulamalı (MFA) ve süresi kısıtlı bir SSL VPN tüneli üzerinden sadece ilgili tezgâhın IP’sine yönlendirilir.
2. SMBv1 Protokolünü Kapatın ve Güvenli CAM/DNC Köprüsü (Jump Host) Kurun
Fabrikalarda yapılan en ölümcül hata, CAM mühendisinin bilgisayarındaki bir klasörü “Herkese Açık (Everyone - Tam Yetki)” olarak paylaşıma açmak veya CNC tezgâhının kendi sabit diskini tüm ağa SMBv1 ile açmaktır. Fidye yazılımları tam olarak bu açık dosya paylaşımlarını şifreler.
Bunun yerine İzole DNC / CAM Dosya Köprüsü (Staging Server) mimarisi kurulur:
- CAM mühendisi hazırladığı NC/G-Kodu programını doğrudan tezgâha değil, DMZ bölgesindeki sertleştirilmiş (Hardened) ara sunucuya yükler.
- Ara sunucu dosyayı zararlı yazılımlara karşı tarar.
- CNC tezgâhı yalnızca bu ara sunucunun IP adresinden, kısıtlı ve salt-okunur (Read-Only) yetkiyle veya güvenli SFTP/NFS/OPC-UA protokolüyle kendi programını çeker. CAM bilgisayarı ile CNC tezgâhı arasında doğrudan hiçbir ağ paketi geçemez.
3. Mikro-Segmentasyon ve Beyaz Liste (Whitelisting) Port Kısıtlaması
CNC tezgâhlarının kendi aralarında konuşmasına da gerek yoktur. Yönetilebilir endüstriyel switch üzerinde Private VLAN (Port Isolation) özelliği aktif edilerek, bir CNC tezgâhına virüs bulaşsa dahi yanındaki diğer CNC tezgâhına sıçraması (Lateral Movement) fiziksel port seviyesinde engellenir. Güvenlik duvarında ise sadece CNC Makine Veri Toplama (FOCAS, OPC UA, MTConnect) ve DNC program aktarımı için gereken spesifik TCP portlarına (örneğin Fanuc FOCAS için TCP 8193, OPC UA için TCP 4840) izin verilir; geri kalan 65.530 port tamamen kapatılır.
4. Fiziksel USB ve CF Kart Portlarını Donanımsal Olarak Kilitleyin
Ağ güvenliğini ne kadar sıkılaştırırsanız sıkılaştırın, bir operatörün dışarıdan getirdiği virüslü bir USB belleği G-kodu yüklemek veya telefonunu şarj etmek amacıyla HMI paneline takması tüm ağ zırhını delip geçer. Tezgâhların üzerindeki açık USB yuvaları fiziksel USB port kilitleriyle (Smart Keeper) kapatılmalı, dosya transferi tamamen güvenli yerel ağ (DNC) üzerinden Üretim Takip Yazılımı entegrasyonuyla dijital olarak yapılmalıdır.
5. CNC Disklerinin Çevrimdışı İmaj (Clonezilla / Acronis) Yedeğini Alın
Eski bir CNC tezgâhının içindeki 15 yıllık sabit disk (HDD) mekanik olarak bozulduğunda veya siber saldırıya uğradığında, içinde sadece işletim sistemi değil; tezgâha özel PLC merdiven (Ladder) diyagramları, takım değiştirici (ATC) makroları ve lazer kalibrasyon tabloları da silinir. Her bir tezgâhın diski sökülerek endüstriyel SSD’ye klonlanmalı ve birebir sektör bazlı imaj yedeği (Bare-Metal Image) çevrimdışı kilitli kasada ve kurumsal yedekleme sunucusunda saklanmalıdır.
Üretim sahanızdaki eski işletim sistemli CNC tezgâhlarını duruş yaşamadan siber saldırılara karşı zırhlamak için Güvenlik Duvarı Firewall ve Savunma Sanayii ve İmalat Ağ Güvenliği sayfalarımızı inceleyebilir, güvenli DNC ve canlı tezgâh izleme projelerimiz için Özel Yazılım Geliştirme ekibimizle iletişime geçebilirsiniz.
Sıkça Sorulan Sorular
Sanal yama (Virtual Patching) uygulandığında CNC tezgâhının çalışma hızı veya hassasiyeti etkilenir mi?
Kesinlikle etkilenmez. Sanal yama, CNC tezgâhının kendi içindeki endüstriyel bilgisayara (HMI/IPC) herhangi bir yazılım veya ajan (Agent) yüklemez. Tüm paket denetimi, tezgâhın dışındaki ağ kablosunun bağlı olduğu güvenlik duvarı donanımı üzerinde gerçekleşir. Böylece tezgâhın gerçek zamanlı servo motor kontrol döngüsü ve G-kodu işleme performansı %100 orijinal fabrika ayarlarında çalışmaya devam eder.
CAM bilgisayarından CNC tezgâhına kablosuz (Wi-Fi) ağ ile program göndermek güvenli midir?
Endüstriyel ortamlarda eski işletim sistemli CNC tezgâhlarını doğrudan standart Wi-Fi ağına bağlamak hem siber güvenlik hem de sinyal kararlılığı açısından büyük risk taşır. Eski cihazlar modern WPA3/802.1X kurumsal şifrelemeyi desteklemez. Mümkünse her zaman endüstriyel zırhlı Ethernet kablosu (Cat6A S/FTP) tercih edilmeli; kablo çekilemeyen noktalarda ise tezgâhın önüne endüstriyel bir istemci köprüsü (Industrial Wireless Client Bridge) konularak WPA3-Enterprise şifreleme ve MAC/Sertifika doğrulaması bu köprü cihazı üzerinden sonlandırılmalıdır.
Windows XP çalışan bir CNC tezgâhından canlı üretim verisi (OEE) toplamak güvenlik açığı yaratır mı?
Doğru ağ mimarisi kurulduğunda hiçbir güvenlik açığı yaratmaz. Veri toplama sunucusu ile CNC tezgâhı arasına konulan güvenlik duvarında yalnızca veri toplama protokolünün (örneğin Fanuc FOCAS TCP 8193 veya Mitsubishi/Siemens ilgili okuma portları) tek yönlü sorgulamasına izin verilir, SMB (445) ve RDP (3389) gibi işletim sistemi portları tamamen bloklanır. Böylece tezgâh tamamen izole kalırken milisaniyelik üretim ve duruş verileri güvenle MES ekranlarına akar.