Endüstriyel ağlarda proaktif siber tehdit avcılığı: SPAN/TAP port dinleme, temel hat (baseline) çıkarma ve anormal PLC komutlarını yakalama yöntemleri.
Hızlı Özet (TL;DR)
Gelişmiş siber saldırganların ve endüstriyel casusluk gruplarının bir üretim tesisine sızdıktan sonra fiziksel sabotaj, reçete hırsızlığı veya fidye yazılımı aşamasına geçmeden önce ağda sessizce bekleme süresi (Dwell Time) ortalama 100 ila 200 gündür. Bu kuluçka süresinde saldırganlar ofis ağından (IT) üretim ağına (OT) sızarak PLC tiplerini, SCADA sunucularını, CNC tezgahlarını ve DNC/MES iletişim şemasını haritalandırır. Geleneksel reaktif güvenlik (antivirüsün alarm vermesini beklemek) endüstriyel sahada yetersizdir. Endüstriyel Tehdit Avcılığı (OT Threat Hunting); SPAN/TAP portları üzerinden pasif derin paket analizi (DPI) yaparak ağda daha önce görülmemiş yetkisiz cihazları, mesai dışı atılan kritik Modbus/S7Comm yazma komutlarını ve gizli yanal hareketleri hasar oluşmadan proaktif olarak yakalama disiplinidir.
Endüstriyel Sahada (OT/ICS) Neden Aktif Tarama Yapılamaz ve Pasif Dinleme Şarttır?
Kurumsal bilgi işlem (IT) ağlarında güvenlik uzmanları zafiyet ararken Nmap, Nessus veya OpenVAS gibi araçlarla tüm IP bloğuna saniyede binlerce aktif TCP/UDP paketi göndererek port taraması yapabilir. Ancak aynı aktif tarama aracını bir fabrikanın Operasyonel Teknoloji (OT / ICS / SCADA) ağında çalıştırdığınız anda; gerçek zamanlı (Real-Time) döngüyle çalışan eski nesil bir PLC’nin (Programlanabilir Mantıksal Denetleyici) veya 5 eksenli CNC kontrol ünitesinin ağ kartı tampon belleği taşar, cihaz “Fault” (Arıza) moduna geçer ve üretim bandı anında durur.
Purdue Modeli (Seviye 0–3) ve Endüstriyel Kontrolcülerin Kırılganlığı
IEC 62443 standardı ve Purdue Referans Modeli’nde Seviye 0 (sensörler, aktüatörler, motor sürücüler), Seviye 1 (PLC, RTU, CNC kontrolcüler) ve Seviye 2 (HMI panelleri, mühendislik iş istasyonları, yerel SCADA) üzerinde çalışan donanımlar güvenlik için değil, kesintisiz deterministik çalışma ve milisaniyelik tepki süresi için tasarlanmıştır:
- Birçok endüstriyel protokolde (Modbus TCP, Ethernet/IP, PROFINET, eski S7Comm sürümleri) yerleşik şifreleme veya kimlik doğrulama bulunmaz; ağ kablosuna erişebilen herhangi bir düğüm PLC’ye doğrudan “Dur” (Stop) veya “Değeri Değiştir” komutu gönderebilir.
- PLC’lerin ve gömülü CNC işletim sistemlerinin üzerine geleneksel EDR/Antivirüs ajanı kurulamaz.
SPAN (Port Mirroring) ve Donanımsal Network TAP ile Sıfır Etkili Dinleme
Üretim hattına tek bir bayt bile ek yük bindirmeden tehdit avcılığı yapabilmek için endüstriyel omurga ve kenar anahtarlar (Managed Industrial Switch) üzerinde SPAN / RSPAN (Switched Port Analyzer) yapılandırılır veya kritik hatların arasına fiziksel optik/bakır Network TAP (Test Access Point) cihazları yerleştirilir. Ağdan geçen tüm paketlerin birebir kopyası tek yönlü olarak endüstriyel IDS (Saldırı Tespit Sistemi) ve paket analiz sensörlerine akıtılır. Böylece PLC’ler ve CNC ve Makine Veri Toplama istasyonları dinlendiğini fark etmeden %100 güvenle çalışmaya devam eder.
Reaktif Güvenlik ve Proaktif Tehdit Avcılığı Karşılaştırması
Geleneksel IT odaklı reaktif güvenlik anlayışı ile fabrika sahasında uygulanan proaktif endüstriyel tehdit avcılığının operasyonel farkları aşağıda karşılaştırılmıştır:
| Değerlendirme Kriteri | Reaktif Güvenlik (Geleneksel Yaklaşım) | Proaktif Endüstriyel Tehdit Avcılığı (OT Threat Hunting) |
|---|---|---|
| Tetikleyici Unsur | Bilinen bir antivirüs/IPS imzası uyarısı veya makine çökmesi | “Saldırgan güvenlik duvarını aştı ve şu an OT ağında gizleniyor” hipotezi |
| Odaklandığı Katman | Bilinen zararlı dosya özetleri (Hash) ve standart TCP/IP portları | Endüstriyel protokol yükleri (Payload), fonksiyon kodları ve davranış anomalileri |
| İzleme Yöntemi | Uç nokta ajanları ve kenar güvenlik duvarı logları | SPAN / Network TAP üzerinden L2–L7 pasif derin paket analizi (DPI) |
| Tespit Zamanlaması | Fidye yazılımı ekranı kilitledikten veya PLC durduktan sonra | Keşif ve yanal hareket (Lateral Movement) aşamasında, hasar oluşmadan önce |
| Sıfır Gün (Zero-Day) Başarısı | İmza veritabanında olmayan saldırılara karşı kördür | İmzaya değil “normal dışı davranışa” baktığı için Zero-Day saldırılarını yakalar |
| Üretim Sürekliliğine Etkisi | Yanlış pozitif (False Positive) durumunda üretimi durdurma riski | %100 pasif dinleme ve kontrollü izolasyon ile sıfır plansız üretim duruşu |
Endüstriyel Protokollerde Derin Paket Analizi (DPI) ve Anomali Göstergeleri
Standart bir güvenlik duvarı yalnızca “A IP adresinden B IP adresine 502 portundan trafik gitti” bilgisini görür ve kuralda izin varsa paketi geçirir. Oysa endüstriyel tehdit avcılığında kullanılan Derin Paket Analizi (DPI - Deep Packet Inspection) motoru paketin içine girerek hangi endüstriyel fonksiyon kodunun çağrıldığını denetler:
| Endüstriyel Protokol | Standart Port | Normal Operasyonel Trafik (Baseline) | Kritik Tehdit ve Anomali Göstergesi (Avlanan Davranış) |
|---|---|---|---|
| Modbus TCP | TCP 502 | Fonksiyon Kodu 01, 02, 03, 04 (Salt okuma / telemetri sorguları) | Yetkisiz bir IP’den gelen FC 05, 06, 15, 16 (Register/Coil Yazma) veya 08 (Tanılama/Reset) |
| Siemens S7Comm / S7+ | TCP 102 | HMI ve SCADA’nın düzenli veri bloğu (DB) okuma işlemleri | Mühendislik istasyonu dışından gelen PLC STOP, Block Download (OB1 değişimi) veya parola kırma |
| PROFINET / DCP | UDP 34964 / L2 | Tanımlı I/O kontrolcü ve cihazlar arası döngüsel (cyclic) haberleşme | Ağda aniden beliren sahte DCP Identify (Ağ keşif) yayınları ve IP/İsim değiştirme komutları |
| OPC-UA | TCP 4840 | Sertifikalı MES/ERP sunucusunun belirli düğümleri (Nodes) okuması | SecurityMode = None ile bağlanma denemesi, tüm adres uzayını (Address Space) tarama |
| FANUC FOCAS / MTConnect | TCP 8193 / 7878 | Üretim takip sunucusunun devir, parça sayısı ve alarm kodu okuması | CNC belleğindeki G-Code (NC Programı) dosyalarını silme, dışarı çekme veya değiştirme |
4 Aşamalı Endüstriyel Tehdit Avı (OT Threat Hunting) Metodolojisi
Ofis ağlarının aksine üretim sahası (OT) ağları deterministik bir yapıya sahiptir: Bir tekstil, otomotiv veya savunma sanayii fabrikasında hangi makinenin hangi sunucuyla hangi saatte konuşacağı sabittir; bir CNC tezgahı durup dururken internetteki bir IP adresine bağlanmaz veya yanındaki kaynak robotuna SMB üzerinden dosya göndermez. Bu deterministik doğa, anomali tespitini son derece güçlü kılar.
1. Deterministik Ağ Temel Hattı (Baseline) ve Varlık Haritası Çıkarma
İlk aşamada fabrika omurgasının SPAN portuna bağlanan pasif analiz cihazı 7 ila 14 gün boyunca tüm trafiği dinleyerek tesisin Normal Davranış Haritasını (Baseline) çıkarır:
- Ağdaki tüm PLC, HMI, RTU, CNC, IP kamera ve endüstriyel PC’lerin MAC adresleri, üretici (OUI) bilgileri, firmware sürümleri ve açık portları otomatik envantere alınır.
- “Hat-2’deki Siemens S7-1500 PLC yalnızca
10.30.10.5IP’li SCADA sunucusuyla ve10.30.10.20IP’li mühendislik istasyonuyla konuşur” kuralı matematiksel bir beyaz liste (Whitelist) modeline dönüştürülür.
2. MITRE ATT&CK for ICS Çerçevesinde Hipotez Oluşturma
Tehdit avcısı alarm beklemek yerine MITRE ATT&CK for ICS (Endüstriyel Kontrol Sistemleri) matrisindeki saldırgan taktiklerini temel alarak somut av hipotezleri kurar ve ağ telemetrisini geriye dönük sorgular:
- Hipotez 1 (Transient Cyber Asset / Rogue Device): “Bakım amacıyla dışarıdan gelen bir servis mühendisinin dizüstü bilgisayarı veya yetkisiz bir 4G modem doğrudan OT switch’ine takıldı mı?” (MAC tablosunda yeni üretici kodu ve DHCP isteği avı).
- Hipotez 2 (Lateral Movement & Living off the Land): “Ofis ağından OT ağındaki bir Windows HMI bilgisayarına mesai saatleri dışında RDP, WMI, PsExec veya SMB (
445/TCP) bağlantısı kuruldu mu?” - Hipotez 3 (Program Upload / Logic Manipulation): “Son 30 gün içinde mesai saatleri dışında veya planlı bakım takvimi haricinde herhangi bir PLC’ye yeni merdiven diyagramı (Ladder Logic) yüklendi mi veya mevcut program dışarı indirildi mi?”
3. Komuta Kontrol (C2), DNS Tünelleme ve Çift Ağ Kartlı (Dual-Homed) Bilgisayar Tespiti
Endüstriyel ağlarda en büyük güvenlik zafiyeti, üzerinde iki adet ağ kartı (NIC) bulunan veya bir ayağı fabrika makine ağında, diğer ayağı ise kurumsal Wi-Fi/ofis ağında olan Dual-Homed (Çift Bacaklı) mühendislik bilgisayarlarıdır. Saldırganlar güvenlik duvarını atlamak için bu bilgisayarları köprü olarak kullanır. Tehdit avı sırasında OT VLAN’ı içerisinde görülmemesi gereken DNS sorguları, HTTP/HTTPS çıkış denemeleri, ICMP/DNS tünelleme paketleri ve ARP tablosu değişimleri incelenerek bu gizli köprüler tespit edilir ve kapatılır.
4. Üretimi Durdurmadan Karantina ve Kalıcı Sıkılaştırma
Bir anomali veya sızma girişimi doğrulandığında, IT ağlarındaki gibi “tüm ağı kapat” refleksiyle hareket edilmez; çünkü eriyik metal döküm hattını veya kimyasal reaktörü aniden kesmek fiziksel felakete yol açabilir:
- Öncelikle saldırganın kullandığı yanal hareket portu (örneğin HMI üzerindeki SMB/RDP portu) veya dış bağlantı yaptığı çift bacaklı arayüz Güvenlik Duvarı Firewall ve yönetilebilir switch ACL (Erişim Kontrol Listesi) kurallarıyla kesilir; makinenin Seviye 1 kendi iç döngüsü korunur.
- Tüm paket kayıtları (PCAP) ve sistem günlükleri 5651 Yasal Loglama ve adli bilişim standartlarına uygun olarak imzalanıp saklanır.
- Ardından tespit edilen mimari boşluk, Savunma Sanayii İmalat Ağ ve Siber Güvenlik ilkelerine uygun olarak mikro-segmentasyon, 802.1X port güvenliği ve güvenli Jump-Host mimarisiyle kalıcı olarak kapatılır.
Endüstriyel tesislerinizde üretimi riske atmadan proaktif tehdit avcılığı, pasif OT ağ analizi, anomali tespiti ve siber dayanıklılık denetimleri gerçekleştirmek için Sızma Testi ve Pentest ve kurumsal ağ koruması için Güvenlik Duvarı Firewall sayfalarımızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
Üretim ağımız (OT) internetten tamamen kapalı (Air-Gap); yine de tehdit avcılığına ihtiyaç var mıdır?
Evet, saha denetimlerimiz “tamamen kapalı” olduğu düşünülen OT ağlarının %90’ında aslında ERP/MES veri alışverişi için açılmış unutulan kuralların, bakım firmalarının taktığı 4G/LTE modemlerin, hem ofis Wi-Fi’sine hem makineye bağlanan dizüstü bilgisayarların veya USB belleklerle taşınan zararlı yazılımların bulunduğunu göstermektedir. Tarihteki en ünlü endüstriyel sabotaj saldırısı olan Stuxnet bile internetten tamamen izole (Air-Gap) bir tesise USB bellek ve mühendislik bilgisayarı üzerinden sızmıştır.
OT ağında tehdit avcılığı ve anomali tespiti yapılırken CNC tezgahları veya PLC’ler yavaşlar mı?
Hayır, kesinlikle yavaşlamaz. Endüstriyel tehdit avcılığında ağa aktif tarama paketleri gönderilmez ve PLC’lerin üzerine herhangi bir yazılım kurulmaz. İnceleme, ağ anahtarlarının (Switch) SPAN/Mirror portlarından veya pasif Network TAP donanımlarından alınan trafik kopyası üzerinde yürütülür; dolayısıyla üretim hattındaki makineler üzerinde sıfır gecikme ve sıfır kesinti etkisi vardır.
Bir PLC’ye gönderilen anormal komutun siber saldırı mı yoksa operatör/bakım hatası mı olduğu nasıl anlaşılır?
Pasif derin paket analizi (DPI) sistemi, komutu gönderen cihazın IP ve MAC adresini, kullanılan protokol fonksiyon kodunu ve zaman damgasını kaydeder. Eğer bir PLC program değişikliği (Download Block) yetkili mühendislik iş istasyonu dışındaki bir IP’den (örneğin bir HMI panelinden veya muhasebe VLAN’ından) geliyorsa, planlı bakım saatleri dışında gerçekleşmişse veya aynı anda birden fazla PLC’ye seri halde gönderiliyorsa bu durum doğrudan yüksek öncelikli siber saldırı/anomali olarak sınıflandırılır.