Üretim sahasında kontrolsüz USB bellek tehdidi: Endüstriyel terminallerde port güvenliği, Safetica DLP politikaları ve zararlı yazılım engelleme rehberi.
Hızlı Özet (TL;DR)
Fabrikalarda internete bağlı olmayan (Air-Gapped) veya güvenlik duvarlarıyla izole tutulan üretim makinelerine zararlı yazılımların sızmasının ve içeriden kritik Ar-Ge verilerinin çalınmasının bir numaralı yolu kontrolsüz USB belleklerdir. Tarihteki en yıkıcı endüstriyel siber silah olan Stuxnet dahi nükleer tesise bir USB bellek üzerinden girmiştir. Operatörlerin cep telefonlarını şarj etmek için CNC veya HMI USB portunu kullanması, dış bakım teknisyenlerinin kişisel belleklerle PLC güncellemesi taşıması veya taşeronların tezgaha G-kodu yüklemesi tüm üretim hattını felç edebilir. Kesin çözüm; fiziksel port kilitleri, Safetica DLP ile donanım seri numarası bazlı USB beyaz listesi (Whitelist), salt okunur yetkilendirme ve tesis girişinde konumlandırılan USB temizleme istasyonlarıdır (Sheep Dip Kiosk).
Üretim Sahasında “İnternete Kapalıyız” Yanılgısı ve USB Köprüsü
Sanayi kuruluşlarında saha yöneticilerinin en sık sığındığı savunma cümlesi şudur: “Bizim CNC tezgahlarımız, SCADA sunucularımız ve CMM ölçüm cihazlarımız internete bağlı değil; dolayısıyla siber saldırı veya fidye yazılımı riskimiz yok.” Oysa modern fabrikalarda kurulan en gelişmiş güvenlik duvarları bile cebinde 64 GB’lık denetimsiz bir USB bellekle turnikeden içeri giren bir bakım personelinin veya operatörün önünde etkisiz kalır.
Üretim sahasındaki endüstriyel bilgisayarlar (IPC), HMI paneller ve CNC kontrol üniteleri genellikle eski işletim sistemleri (Windows Embedded, Windows 7/10 IoT veya özelleştirilmiş Linux sürümleri) üzerinde çalışır ve makine üreticisinin garanti kısıtlamaları nedeniyle her hafta güvenlik yaması (Patch) alamaz. Evindeki bilgisayarda film indirirken belleğine solucan (Worm) veya fidye yazılımı bulaştıran bir operatör, ertesi sabah vardiya başında bu belleği G-kodu yüklemek amacıyla CNC tezgahına taktığı anda zararlı yazılım makine ağına (OT VLAN) sıçrar ve tüm tezgahları dakikalar içinde şifreleyerek üretimi durdurur.
USB Tehdit Vektörleri ve Endüstriyel Zararları
Üretim sahasında USB arayüzü üzerinden gerçekleşen 5 temel siber ve fiziksel tehdit vektörü ile alınması gereken mühendislik tedbirleri aşağıdaki tabloda karşılaştırılmıştır:
| USB Tehdit Türü | Teknik Çalışma Yöntemi | Hedeflenen Saha Sistemi | Olası Operasyonel Yıkım | Alınması Gereken Kesin Tedbir |
|---|---|---|---|---|
| Zararlı Yazılım ve Solucan Taşıma | Enfekte USB’deki .lnk istismarı, autorun veya gizli betikler | CNC, HMI, SCADA, CMM Windows PC’leri | Üretim hattının şifrelenmesi ve günlerce duruş | Otomatik çalıştırmayı kapatma, Safetica DLP ajan blokajı |
| Endüstriyel Casusluk ve Reçete Hırsızlığı | Operatörün CAD/CAM çizimlerini, kalıp ve reçete dosyalarını kopyalaması | Ar-Ge iş istasyonları, CNC hafızası, PDM sunucusu | Rakip firmaya geçen milyonlarca liralık Ar-Ge birikimi | Safetica DLP ile dışa yazma engeli ve gölge kopya kaydı |
| BadUSB / Rubber Ducky Saldırısı | USB bellek görünümlü mikrodenetleyicinin kendini “Klavye (HID)” olarak tanıtması | Tüm USB portlu endüstriyel ve ofis cihazları | Saniyede 1.000 tuş vuruşuyla arka kapı açılması | Donanım VID/PID bazlı HID yetkilendirmesi, fiziksel port kilidi |
| Akıllı Telefon / MTP Ağ Köprüsü | Şarj için takılan telefonun USB Tethering ile bilgisayarı 4.5G/5G internete bağlaması | İzole (Air-Gapped) SCADA ve üretim terminalleri | Hava boşluğunun delinmesi ve C2 sunucusuna bağlantı | Taşınabilir WPD/MTP protokol blokajı ve veri pini kesici |
| USB Killer (Elektriksel Sabotaj) | USB içindeki kondansatörlerin -240V DC gerilimi anakarta boşaltması | PLC, CNC kontrol kartı, özel laboratuvar cihazları | Binlerce Euro değerindeki CNC anakartının fiziksel yanması | Fiziksel mekanik USB port kilitleri (Smart Keeper / Port Blocker) |
BadUSB ve Akıllı Telefon Şarjı Neden Görünmez Birer Tehlikedir?
Geleneksel antivirüs yazılımları yalnızca bir depolama birimi (Mass Storage Class) takıldığında içindeki dosyaları tarar. Ancak BadUSB (HID Spoofing) saldırılarında kullanılan cihazın içinde bir depolama çipi değil, programlanabilir bir mikrodenetleyici bulunur. Cihaz USB portuna takıldığı milisaniyede işletim sistemine kendisini “Standart USB Klavye” olarak tanıtır. İşletim sistemi klavyeye güvendiği için otomatik olarak kabul eder ve cihaz hemen Win + R tuşlarına basıp gizli bir PowerShell penceresi açarak zararlı komutu çalıştırır.
Benzer şekilde, gece vardiyasında canı sıkılan bir operatörün cep telefonunu şarj etmek için SCADA veya ERP terminalinin USB portuna takması iki büyük risk doğurur:
- MTP (Media Transfer Protocol) Dosya Transferi: Telefon standart bir flash bellek gibi sürücü harfi (
E:\) almaz, taşınabilir medya aygıtı olarak bağlanır. Basit grup ilkeleri (GPO) MTP üzerinden fotoğraf veya teknik çizim kopyalanmasını engelleyemez. - USB Tethering (Ağ Paylaşımı): Telefon üzerinden “USB Bağlantı Noktası Paylaşımı” açıldığı anda, yıllarca özenle internete kapatılmış fabrika bilgisayarı operatörün mobil hattı üzerinden doğrudan açık internete bağlanmış olur!
Safetica DLP ile Endüstriyel Port Güvenliği ve Beyaz Liste Mimarisi
Üretim esnekliğini öldürmeden tam güvenlik sağlamanın yolu, işletim sistemi çekirdeği (Kernel Driver) seviyesinde çalışan Safetica DLP (Veri Sızıntısı Önleme) ajanlarıyla merkezi cihaz kontrolü (Device Control) politikası uygulamaktır:
1. Varsayılan Sıfır Güven (Zero-Trust Default Deny)
Fabrika ve ofis bilgisayarlarına kurulan DLP ajanı; USB yığın depolama, MTP/PTP telefon bağlantıları, Bluetooth dosya aktarımı, harici DVD yazıcılar ve USB ağ adaptörlerini varsayılan olarak tamamen bloklar. Kişisel bir bellek takıldığında kullanıcı ekranında kurumsal uyarı görüntülenir ve olay anında güvenlik yöneticisine raporlanır.
2. Donanım Seri Numarası Bazlı Beyaz Liste (Hardware ID Whitelisting)
Her USB belleğin üretim aşamasında çipine kazınmış benzersiz bir Vendor ID (VID), Product ID (PID) ve Device Instance Serial Number kimliği vardır. Yalnızca IT departmanı tarafından satın alınmış, donanımsal olarak AES-256 bit şifrelenmiş ve seri numarası Safetica yönetim konsoluna kaydedilmiş kurumsal belleklerin çalışmasına izin verilir.
3. Yönlü ve Bağlamsal Yetkilendirme (Read-Only vs Write)
Üretim sahasında CNC tezgahına veya CMM ölçüm cihazına veri aktarımı zorunluysa yetkiler kullanıcı ve departman bazında ayrıştırılır:
- CNC Operatör Terminali: Beyaz listedeki kurumsal USB bellekten makineye G-kodu okunmasına (Read-Only) izin verilir; ancak makinedeki mevcut programların veya kalıp parametrelerinin USB belleğe kopyalanması (Write Denied) kesin olarak engellenir.
- Ar-Ge ve Kalıphane İstasyonları:
.sldprt,.step,.dwguzantılı CAD dosyalarının hiçbir koşulda harici belleklere yazılmasına izin verilmez; zorunlu transferlerde dosyanın bir gölge kopyası (Shadow Copy) denetim sunucusuna kaydedilir.
# Windows Endüstriyel Terminallerde Kayıt Defteri (Registry) ve Denetim Kontrolü Örneği
# 1. USBSTOR sürücü durumunu kontrol etme (3 = Etkin, 4 = Devre Dışı)
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR" -Name "Start"
# 2. Tüm çıkarılabilir medya birimlerinde Otomatik Çalıştırma (AutoRun) özelliğini tamamen kapatma
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" -Name "NoDriveTypeAutoRun" -Value 255
USB Temizleme İstasyonu (Sheep Dip Kiosk) ve Fiziksel Port Kilitleri
Ajan kurulamayan eski nesil CNC kontrol üniteleri (Fanuc, Mitsubishi, Heidenhain, Siemens Sinumerik eski seriler) ve dış servis mühendislerinin getirdiği bellekler için iki fiziksel katman uygulanır:
Tesis Girişi USB Karantina ve Temizleme Kiosk’u
Güvenlik kulübesine veya bakım mühendisliği girişine ağdan tamamen bağımsız bir USB Temizleme İstasyonu (Kiosk) konumlandırılır. Dışarıdan gelen makine servis personeli veya fason tedarikçi belleğini önce bu istasyona takar:
- Kiosk belleği otomatik olarak salt okunur modda bağlar ve içindeki tüm dosyaları 4 farklı antivirüs/EDR motoruyla tarar.
- PDF ve Office belgelerindeki gizli makroları CDR (Content Disarm and Reconstruction) teknolojisiyle temizler.
- Yalnızca temizlenen güvenli dosyaları şirketin kendi kriptografik imzalı kurumsal USB belleğine aktarır ve dışarıdan gelen belleğin üretim sahasına sokulmasına izin verilmez.
Fiziksel USB Port Kilitleri (Physical Port Blockers)
PLC kabinlerinde, saha switch’lerinde ve CNC panellerinde boşta duran tüm USB ve RJ45 Ethernet portlarına özel anahtarla açılabilen mekanik Fiziksel Port Kilitleri takılır. Böylece hem kötü niyetli kişilerin USB Killer veya BadUSB takması fiziksel olarak engellenir hem de operatörlerin CNC portlarını telefon şarj cihazı olarak kullanmasının önüne geçilir.
Modern Alternatif: USB Bellekleri Fabrika Sahasından Tamamen Kaldırmak (DNC)
En güvenli USB bellek, hiç kullanılmayan USB bellektir! Fabrika sahasında elden ele gezen bellekleri tamamen ortadan kaldırmak için tüm CNC tezgahları ve saha terminalleri güvenli bir Endüstriyel DMZ üzerinden merkezi Ortak Dosya Sunucusu ve Yedekleme altyapısına ve Özel ERP & CRM ve İmalat Çözümleri içindeki DNC / CAM Reçete Yönetimi modülüne bağlanır. CAM mühendisi onaylı G-kodunu sunucuda yayınladığında, operatör USB taşımadan doğrudan tezgah ekranından güncel revizyonu çeker.
Fabrika sahanızda USB kaynaklı veri sızıntılarını ve zararlı yazılımları tamamen engellemek için DLP Veri Sızıntısı Önleme, Savunma Sanayii ve İmalat Siber Güvenlik ve kurumsal ağ koruması için Güvenlik Duvarı Firewall sayfalarımızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
Windows Grup İlkeleri (GPO) ile USB portlarını kapatmak yeterli değil midir, neden DLP yazılımına ihtiyaç duyulur?
Standart Windows GPO politikaları ya tüm USB depolama aygıtlarını körlemesine kapatır ya da hepsini açar; “Ahmet Usta sadece şirket onaylı şu seri numaralı belleğe .nc uzantılı G-kodu kopyalayabilsin ama .dwg uzantılı teknik çizim kopyalayamasın” şeklinde dosya içeriğine ve kullanıcı rolüne duyarlı ayrım yapamaz. Ayrıca GPO ile yapılan basit engellemeler kopyalanan dosyaların denetim kaydını (Audit Log) tutmaz. Safetica DLP ise hem seri numarası bazlı beyaz liste yönetir hem de kim, hangi saniyede, hangi dosyayı hangi belleğe taşımaya çalıştı bilgisini kanıtlarıyla raporlar.
Üzerine yazılım (DLP ajanı) kurulamayan kapalı devre CNC tezgahlarında USB güvenliğini nasıl sağlarız?
Üzerinde eski işletim sistemi veya özel gömülü yazılım çalışan CNC tezgahlarında iki aşamalı koruma uygulanır: İlk olarak tezgah üzerindeki USB portlarına yalnızca bakım şefinin özel mekanik anahtarıyla açılabilen Fiziksel USB Port Kilitleri takılır. İkinci olarak, mümkün olan tüm tezgahlar RS-232 seri port dönüştürücüleri veya izole Ethernet VLAN hattı üzerinden merkezi DNC dosya sunucusuna bağlanarak sahada USB bellek gezdirme ihtiyacı tamamen ortadan kaldırılır.
Operatörlerin mesai sırasında telefonlarını bilgisayarların USB portundan şarj etmesi neden yasaklanmalıdır?
Akıllı telefonların USB veri kablosuyla bilgisayara bağlanması üç kritik tehlike yaratır: Birincisi, telefon MTP protokolü üzerinden bilgisayardaki gizli çizim ve tabloların kopyalandığı dev bir harici diske dönüşür. İkincisi, telefonda tek tuşla açılan USB Tethering özelliği izole fabrika bilgisayarını güvenlik duvarını atlayarak doğrudan mobil internete bağlar. Üçüncüsü, ucuz ve arızalı şarj kabloları endüstriyel bilgisayarın USB güç entegresine kısa devre yaptırarak anakart arızasına yol açabilir. Personel telefonları için dinlenme alanlarında yalnızca elektrik prizine bağlı şarj dolapları tahsis edilmelidir.