Sanayi tesislerinde hücre bazlı mikrosegmentasyon: Üretim hatlarını birbirinden izole etme, yanal yayılmayı engelleme ve VLAN güvenlik yapılandırması.
Hızlı Özet (TL;DR)
Fabrikalarda üretim tezgahlarını, PLC’leri, HMI panellerini ve kalite kontrol bilgisayarlarını tek bir genel “Üretim Ağı (OT Network)” veya tek bir düz IP bloğu (192.168.1.0/24) altına toplamak, okyanusa açılan dev bir geminin gövdesinde hiç su geçirmez bölme (kompartıman) bırakmamaya benzer. Gövdede açılan tek bir delik nasıl tüm gemiyi batırırsa, bakım için gelen bir taşeron mühendisin dizüstü bilgisayarından tek bir PLC’ye veya eski Windows XP/7 tabanlı bir CNC tezgahına bulaşan fidye yazılımı (Ransomware / solucan) da dakikalar içinde tüm üretim sahasına sıçrar. Endüstriyel Ağ Mikrosegmentasyonu (Hücre Bazlı Güvenlik); her üretim hattını (Plastik Enjeksiyon, Talaşlı İmalat, Robotik Kaynak, Boyahane, CMM Kalite Laboratuvarı) bağımsız IEC 62443 Güvenlik Bölgelerine (Zones) bölerek, saldırganın veya zararlı yazılımın ağ içinde yatayda yayılmasını (Lateral Movement / East-West Traffic) L3/L7 güvenlik duvarı seviyesinde fiziksel ve mantıksal olarak engellemektir.
Geleneksel Düz (Flat) Fabrika Ağı vs Mikrosegmentasyonlu Hücre Mimarisi
Sanayi tesislerinde yıllar içinde kontrolsüzce uç uca eklenen yönetilemez (unmanaged) switch’lerle büyüyen düz ağlar ile Purdue Modeli ve IEC 62443 standartlarına göre kurgulanan mikrosegmentasyon mimarisi arasındaki kritik farklar:
| Kriter | Geleneksel Düz Fabrika Ağı (Flat OT Network) | Mikrosegmentasyonlu Hücre (Zone & Conduit) Mimarisi |
|---|---|---|
| IP ve Alt Ağ (Subnet) Yapısı | Tüm ofis ve makineler aynı IP bloğunda (192.168.1.0/24 veya /16) | Her üretim hücresi izole VLAN ve alt ağda (10.20.31.0/24, 10.20.32.0/24) |
| Yanal Yayılma (Lateral Movement) | 1 makineye bulaşan SMB/WannaCry solucanı 3 dakikada tüm fabrikayı kilitler | Tehdit yalnızca ilgili tek bir hücre (Zone) içinde hapsedilir, diğer hatlar çalışır |
| Broadcast Fırtınası ve Döngü (Loop) | Bir panodaki arızalı switch veya kablo döngüsü tüm fabrikanın ağını çökertir | Broadcast domain’leri bölünür, arıza sadece o hücrenin switch’inde sınırlı kalır |
| Doğu-Batı (East-West) Trafik Kontrolü | Makineler ve operatör PC’leri birbirleriyle serbestçe konuşabilir | Hücreler arası geçiş sıfır güven (Zero Trust) ile güvenlik duvarı denetimindedir |
| Eski İşletim Sistemli (Legacy) Cihazlar | Yamalanamayan Windows XP/7 CNC’ler doğrudan internete ve ofise açıktır | Sanal Yamalama (Virtual Patching / IPS) ile izole hücre içinde korunur |
| Regülasyon ve Denetim Uyumu | ISO 27001, TISAX ve Savunma Sanayii denetimlerinde kritik bulgu alır | IEC 62443 (Zones & Conduits) ve Purdue Modeli gereksinimlerini %100 karşılar |
Purdue Modeli ve IEC 62443 “Bölgeler ve Kanallar (Zones & Conduits)” Mimarisi
Endüstriyel siber güvenliğin anayasası kabul edilen ISA/IEC 62443 standardı, fabrika ağını dikeyde (IT ile OT arası) ve yatayda (üretim hücreleri arası) izole etmeyi şart koşar. Bu mimaride iki temel kavram vardır:
- Güvenlik Bölgesi (Zone): Benzer güvenlik gereksinimlerine ve operasyonel fonksiyona sahip varlıkların (örneğin 12 adet CNC Torna tezgahının) oluşturduğu mantıksal/fiziksel gruptur.
- İletişim Kanalı (Conduit): İki farklı bölge arasında yalnızca izin verilen protokollerin (örneğin sadece OPC UA TCP 4840 portunun) akmasına müsaade eden, Berqnet Güvenlik Duvarı ve IPS tarafından denetlenen güvenli boru hattıdır.
Fabrika Sahasında Hücre (Cell) Bazlı Güvenlik 4 Adımda Nasıl Kurgulanır?
Maysa Yazılım siber güvenlik ve endüstriyel ağ mühendisliği ekiplerinin sanayi tesislerinde uyguladığı 4 aşamalı mikrosegmentasyon metodolojisi:
1. OT Varlık Envanteri Çıkarma ve Fonksiyonel Hücreleme (VLAN Tasarımı)
Sahadaki yönetilemez (unmanaged) masaüstü switch’ler sökülerek yerlerine endüstriyel DIN-ray tipi yönetilebilir (Managed L2+/L3) switch’ler takılır. Fabrika katı işlevsel ve fiziksel sınırlarına göre bağımsız VLAN hücrelerine bölünür:
- VLAN 10 (Kurumsal IT): Muhasebe, İK, Satınalma ve Ofis Bilgisayarları
- VLAN 20 (Endüstriyel DMZ / IDMZ): IT ile OT arasındaki tampon bölge (OPC UA Toplayıcı, WSUS Güncelleme Sunucusu, Uzak Erişim Jump Host)
- Hücre A — VLAN 31 (
10.30.31.0/24): CNC Freze, Torna Merkezleri ve CNC Makine Veri Toplama Edge Cihazları - Hücre B — VLAN 32 (
10.30.32.0/24): Plastik Enjeksiyon Makineleri ve Kartezyen Robot Kollar - Hücre C — VLAN 33 (
10.30.33.0/24): Kalite Kontrol Koordinat Ölçüm (CMM) Cihazları ve Optik Tarayıcılar - Hücre D — VLAN 34 (
10.30.34.0/24): AGV (Otonom Taşıma Araçları), El Terminalleri (Endüstriyel Wi-Fi SSID) ve Barkod Yazıcılar - Hücre E — VLAN 35 (
10.30.35.0/24): Bina Otomasyonu (Chiller, Kompresör Dairesi, Trafo Enerji Analizörleri, IP Kameralar)
2. Hücreler Arası Doğrudan (East-West) İletişimi Yasaklama
Bir plastik enjeksiyon makinesinin veya kompresör dairesindeki PLC’nin, CNC işleme merkezine ya da kalite laboratuvarındaki CMM bilgisayarına doğrudan paket göndermesi için hiçbir meşru mühendislik sebebi yoktur.
- Tüm VLAN’ların varsayılan ağ geçidi (Default Gateway) omurga switch yerine doğrudan merkezi güvenlik duvarı (Firewall) üzerinde sonlandırılır (Router-on-a-Stick / L3 Firewalling).
- Güvenlik duvarında varsayılan politika olarak
Deny All Inter-VLAN(Hücreler arası tüm TCP/UDP/ICMP trafiğini engelle) kuralı devreye alınır. - Aynı hücre (aynı VLAN) içindeki iki CNC tezgahının bile birbiriyle konuşması gerekmiyorsa, yönetilebilir switch üzerinde Private VLAN (PVLAN) / Port Isolation özelliği açılarak aynı switch’e bağlı tezgahların dahi birbirine virüs bulaştırması L2 (MAC) katmanında engellenir.
3. Merkezi ERP/MES Sunucularına Kontrollü Kanal (Conduit) Açma
Her üretim hücresi yalnızca merkezi Maysa İmalat ERP ve MES sunucusuna iş emri durumu bildirmek, DNC üzerinden G-Kodu (NC programı) çekmek ve canlı telemetri göndermek için En Az Ayrıcalık Prensibi (Least Privilege) ile tanımlanmış tek yönlü portlar üzerinden iletişim kurabilir:
- Örneğin
VLAN 31 (CNC Hücresi)->MES Veri Toplama Sunucusu (10.20.20.15)yönüne yalnızcaTCP 4840 (OPC UA)veTCP 8193 (Fanuc FOCAS)portlarına izin verilir; SMB (TCP 445), RDP (TCP 3389) ve Telnet (TCP 23) gibi saldırganların en sevdiği protokoller kesin olarak bloklanır. - Bu mimari, özellikle Savunma Sanayii İmalat Ağ ve Siber Güvenlik denetimlerinde zorunlu tutulan sızdırmazlık kriterlerinin temel taşıdır.
4. Üretici / Taşeron Uzak Bakım Bağlantılarının İzolasyonu
Fabrikalara en büyük siber saldırılar, yurt dışındaki makine üreticisinin “uzaktan PLC arızasına bakacağım” diyerek tezgaha kurduğu kontrolsüz TeamViewer, AnyDesk veya 4G modemler üzerinden gerçekleşir. Mikrosegmentasyon mimarisinde hiçbir tezgah doğrudan internete çıkamaz. Makine üreticisi yalnızca çok faktörlü kimlik doğrulama (MFA destekli SSL VPN) ile Endüstriyel DMZ’deki kayıt alan (ekran videosu çeken) bir Jump Server üzerinden, sadece bakım saatleri boyunca ve sadece kendi sattığı makinenin IP adresine erişebilir.
Üretim sahanızda hücre bazlı mikrosegmentasyon, VLAN izolasyonu ve Berqnet UTM mimarisi kurmak için Güvenlik Duvarı Firewall ve fabrika ağınızdaki açıkları tespit etmek için Sızma Testi ve Pentest uzmanlarımıza danışabilirsiniz.
Kaynaklar
Sıkça Sorulan Sorular
Fabrika ağını VLAN’lara bölmek ve araya güvenlik duvarı koymak PLC/SCADA haberleşmesinde gecikme (latency) yaratır mı?
Hayır. Gerçek zamanlı (deterministik) milisaniye altı kontrol trafiği (PROFINET RT/IRT, EtherCAT, Modbus TCP I/O) zaten aynı üretim hücresinin (aynı VLAN’ın) içindeki endüstriyel switch üzerinde L2 katmanında döner ve güvenlik duvarına uğramaz. Güvenlik duvarından geçen trafik ise hücreden üst katmandaki MES/ERP sunucusuna giden raporlama ve reçete trafiğidir; modern donanımsal güvenlik duvarları bu paketleri 1 milisaniyenin altında (mikrosaniye mertebesinde) denetleyerek iletir.
Üzerinde Windows XP veya Windows 7 çalışan eski CNC ve CMM bilgisayarlarını ağa nasıl güvenle bağlarız?
Yüz binlerce euro değerindeki bir CNC veya CMM cihazının kontrol yazılımı sadece Windows XP/7 üzerinde çalışıyorsa işletim sistemini yükseltemezsiniz. Ancak bu cihazı izole bir VLAN’a alıp önüne IPS (Saldırı Önleme Sistemi) destekli bir güvenlik duvarı koyduğunuzda Sanal Yamalama (Virtual Patching) yapmış olursunuz. Güvenlik duvarı EternalBlue (MS17-010) gibi eski Windows zafiyetlerini sömürmeye çalışan paketleri havada yakalayıp imha eder; böylece tezgah eski işletim sistemiyle bile güvende kalır.
Mevcut çalışan fabrikada üretimi durdurmadan mikrosegmentasyona geçiş nasıl yapılır?
Geçiş tüm fabrikada aynı gün yapılmaz; Hücre Bazlı Fazlandırma (Phased Rollout) yöntemi uygulanır. Önce yeni VLAN yapıları ve güvenlik duvarı kuralları paralel olarak hazırlanır ve “İzleme Modunda (Monitor/Log Mode)” trafik analizi yapılır. Ardından hafta sonu veya vardiya değişimindeki 1-2 saatlik planlı pencerelerde her hafta bir üretim holü (önce Kalite, sonra Enjeksiyon, sonra CNC) yeni izole VLAN yapısına taşınır; böylece üretim tek bir dakika bile aksamaz.