Fabrika sahası ile ofis ERP yazılımlarını güvenle bağlama: Purdue Seviye 3.5 Endüstriyel DMZ, çift yönlü firewall filtreleme ve OPC UA proxy mimarisi.
Hızlı Özet (TL;DR)
Endüstri 4.0 ve karanlık fabrika vizyonunun başarılı olabilmesi için ofisteki kurumsal ERP yazılımının üretim sahasındaki PLC, SCADA ve CNC tezgahlarından canlı telemetri alması ve iş emirlerini sahaya anlık iletmesi gerekir. Ancak kurumsal bilgi teknolojileri (IT) ağı ile operasyonel teknoloji (OT) ağını tek bir ağ anahtarı (Switch) veya basit bir yönlendirme üzerinden doğrudan birbirine bağlamak ölümcül bir siber güvenlik zafiyetidir. Çözüm; ISA/IEC 62443 standardı ve Purdue Referans Modeli’nde “Seviye 3.5” olarak tanımlanan Endüstriyel DMZ (IDMZ) mimarisidir. IDMZ; iki ağ arasında sıkı denetlenen bir tampon gümrük bölgesi oluşturarak IT ve OT katmanındaki hiçbir cihazın doğrudan birbiriyle paket alışverişi yapmasına izin vermez; tüm veri akışı çift güvenlik duvarı arasındaki izole proxy ve veri köprüleri üzerinden gerçekleşir.
IT ve OT Yakınsaması (Convergence) Neden Tehlikeli Bir Çatışma Yaratır?
Tarihsel olarak fabrikaların üretim sahaları (OT), dış dünyadan tamamen kopuk, seri haberleşme kablolarıyla (RS-485, Profibus) kendi içinde çalışan kapalı adalardı. Ofis tarafındaki IT ağları ise internet, e-posta, bulut servisleri ve ERP sistemleriyle dünyaya açıktı. Ancak günümüzde gerçek zamanlı OEE (Toplam Ekipman Etkinliği) takibi, enerji izleme ve anlık üretim maliyet analizi ihtiyacı bu iki dünyayı Ethernet (TCP/IP) çatısı altında birleşmeye zorlamıştır.
Sorun şudur ki, IT ve OT dünyalarının öncelik piramitleri (CIA Triad) birbirinin tam tersidir:
- IT (Ofis Ağı) Önceliği: Gizlilik (Confidentiality) -> Bütünlük (Integrity) -> Erişilebilirlik (Availability). E-posta sunucusu yama için 10 dakika yeniden başlasa kimseye zarar gelmez.
- OT (Üretim Sahası) Önceliği: Erişilebilirlik ve Fiziksel Emniyet (Safety & Availability) -> Bütünlük -> Gizlilik. Eritme ocağını veya yüksek hızlı CNC tezgahını yöneten bir PLC’nin ağ taraması yüzünden 500 milisaniye donması fiziksel kazaya ve milyonluk kalıp kırılmasına yol açar!
Eğer IT ve OT ağları doğrudan birbirine bağlanırsa; muhasebe departmanındaki bir bilgisayara oltalama (Phishing) e-postasıyla bulaşan fidye yazılımı, SMB veya açık portlar üzerinden saniyeler içinde üretim sahasındaki Windows tabanlı SCADA ve HMI panellerine sıçrayarak tüm fabrikayı durdurur.
Purdue Referans Modeli (Seviye 0 – Seviye 5) ve Seviye 3.5 IDMZ’nin Yeri
Endüstriyel siber güvenliğin anayasası kabul edilen Purdue Modeli (ISA-95 / IEC 62443), bir üretim tesisini aşağıdan yukarıya doğru kesin güvenlik katmanlarına (Zones & Conduits) ayırır:
- Seviye 0 (Fiziksel Süreç Katmanı): Sıcaklık/basınç sensörleri, enkoderler, servo motorlar, valfler ve aktüatörler.
- Seviye 1 (Temel Kontrol Katmanı): Makineleri milisaniye bazında yöneten PLC’ler, RTU’lar ve güvenlik röleleri (SIS).
- Seviye 2 (Denetleyici Kontrol Katmanı): Operatör HMI panelleri, lokal SCADA ekranları ve hücre kontrol bilgisayarları.
- Seviye 3 (Saha Operasyonları ve Üretim Yönetimi): Fabrika içi MES (Üretim Yürütme Sistemi), DNC sunucusu, yerel Historian (zaman serisi veritabanı) ve OT Active Directory.
- Seviye 3.5 (Endüstriyel DMZ - IDMZ): IT ile OT arasındaki askerden arındırılmış tampon güvenlik bölgesi.
- Seviye 4 (Kurumsal İş Planlama - IT): Ofis ağı, Özel ERP & CRM ve İmalat Çözümleri, e-posta, İK ve finans sunucuları.
- Seviye 5 (Kurumsal Kenar ve İnternet): Bulut bağlantıları, dış tedarikçi erişimleri ve açık internet.
Doğrudan Bağlantı vs Endüstriyel DMZ Karşılaştırması
İki entegrasyon modelinin siber dayanıklılık ve standart uyumu açısından karşılaştırması aşağıdaki tabloda detaylandırılmıştır:
| Güvenlik ve Mimari Kriteri | Doğrudan IT-OT Bağlantısı (Düz Ağ / Tehlikeli) | Endüstriyel DMZ Mimarisi (Purdue Seviye 3.5) |
|---|---|---|
| Yanal Hareket (Lateral Movement) | Ofisteki bir virüs doğrudan PLC ve CNC’lere ulaşır | İki katmanlı güvenlik duvarı ile %100 trafik sonlandırma |
| Endüstriyel Protokol İzolasyonu | güvensiz Modbus TCP, S7comm ve SMB ofis ağına taşar | OT protokolleri IDMZ’de sonlanır; IT’ye yalnızca TLS şifreli OPC UA / HTTPS çıkar |
| Kimlik ve Dizin Yönetimi | Tek bir Active Directory (Domain Admin çalınırsa fabrika çöker) | Bağımsız OT ve IT dizinleri; kimlik bilgisi tekrarı (Pass-the-Hash) önlenir |
| Yedekleme ve Dosya Aktarımı | Ortak Windows ağ paylaşımı (\\server\klasor) ile çift yönlü risk | Tek yönlü çekme (Pull) veya SFTP/API aracılı güvenli tampon bölge |
| Uzaktan Bakım (Vendor Access) | Makine üreticisinin TeamViewer/AnyDesk ile doğrudan PLC’ye girmesi | MFA doğrulamalı ve ekran kayıtlı Jump Host (Bastion) üzerinden kontrollü geçiş |
| Yasal ve Sektörel Uyum | IEC 62443, ISO 27001, TISAX ve Savunma Sanayii denetimlerinden kalır | Uluslararası endüstriyel siber güvenlik standartlarına tam uyumlu |
IDMZ İçinde Hangi Tampon Sunucular Bulunmalıdır?
Endüstriyel DMZ bölgesinin altın kuralı şudur: IT ağından başlayan hiçbir paket doğrudan OT ağına geçemez (No Direct Routing); OT ağından başlayan hiçbir paket de doğrudan IT ağına geçemez. Tüm trafik IDMZ içindeki vekil (Proxy) sunucularda sonlandırılır ve denetlenerek yeniden başlatılır:
1. OPC UA Gateway / VeriToplayıcı ve Historian Aynası (Mirror)
Fabrikadaki PLC’lerden (Seviye 1-2) toplanan canlı üretim adetleri, sıcaklık ve duruş verileri Seviye 3’teki ana Historian sunucusuna yazılır. Bu sunucu veriyi şifreli bir tek yönlü kanal üzerinden IDMZ içindeki Replica Historian veya OPC UA Proxy sunucusuna gönderir. Seviye 4’teki Maysa İmalat ERP sunucusu ise üretim sahasına hiç dokunmadan, yalnızca IDMZ içindeki bu vekil sunucudan (TCP 4840 veya REST API 443) veriyi okur.
[OT Sahası: PLC / CNC] ---> (OT Firewall) ---> [IDMZ: OPC UA Proxy / Replica DB] <--- (IT Firewall) <--- [IT: Maysa ERP]
2. Yama ve Antivirüs Dağıtım Vekili (WSUS / EDR Relay)
Üretim sahasındaki Windows tabanlı SCADA ve IPC bilgisayarlarının güvenlik güncellemelerini veya antivirüs imza veritabanlarını almak için doğrudan internete çıkmasına asla izin verilmez. Güncellemeler önce IT tarafından indirilir, test edilir ve IDMZ içindeki WSUS / Repository sunucusuna aktarılır. OT cihazları güncellemeleri yalnızca bu güvenli yerel depodan çeker.
3. Zıplama Noktası ve Ayrıcalıklı Erişim Sunucusu (Jump Host / PAM Bastion)
Yurt dışındaki makine üreticisinin veya fabrika otomasyon mühendisinin uzaktan bir PLC’ye bağlanması gerektiğinde doğrudan VPN ile OT ağına girmesi yasaktır:
- Mühendis önce çok faktörlü kimlik doğrulama (MFA / 2FA) ile IDMZ içindeki Jump Host sunucusuna bağlanır.
- Oturum boyunca yapılan tüm fare hareketleri, ekran görüntüsü ve yüklenen dosyalar saniye saniye video olarak kaydedilir.
- Mühendis yalnızca yetkili olduğu tekil PLC IP adresine ve mühendislik portuna erişebilir.
Çift Güvenlik Duvarı Kuralı (Dual-Firewall / Two-Tier Architecture)
Kurumsal savunma sanayii ve büyük ölçekli imalat tesislerinde IDMZ mimarisi iki ayrı güvenlik duvarı katmanıyla (tercihen farklı donanım/yazılım motorları veya tamamen izole VDOM/Context yapılarıyla) kurgulanır:
- Üst Güvenlik Duvarı (IT - IDMZ Firewall): Ofis ağı ile IDMZ arasındaki trafiği denetler. Yalnızca ERP sunucusunun belirli IP adresinden IDMZ veri sunucusuna
HTTPS / SQLokuma isteği yapılmasına izin verir. - Alt Güvenlik Duvarı (IDMZ - OT Firewall): Derin Paket İnceleme (DPI - Deep Packet Inspection) yeteneğine sahip endüstriyel güvenlik duvarıdır. OPC UA, Modbus TCP, Profinet ve EtherNet/IP paketlerinin içeriğini denetler; yetkisiz fonksiyon kodlarını (örneğin PLC’ye dışarıdan
Write Coil / Stop CPUkomutu gönderilmesini) anında bloklar.
Fabrika sahanızı ve kurumsal yazılımlarınızı siber güvenlik standartlarına tam uyumlu mimariyle entegre etmek için Özel ERP & CRM ve İmalat Çözümleri, Savunma Sanayii ve İmalat Siber Güvenlik ve ağ güvenliği için Güvenlik Duvarı Firewall sayfalarımızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
Küçük ve orta ölçekli bir fabrikada Endüstriyel DMZ kurmak için iki ayrı fiziksel güvenlik duvarı almak şart mıdır?
En üst düzey güvenlik (örneğin enerji santralleri ve savunma sanayii) için iki ayrı fiziksel güvenlik duvarı (Dual-Vendor Firewall) önerilir. Ancak orta ölçekli sanayi işletmelerinde yüksek performanslı kurumsal bir yeni nesil güvenlik duvarı (NGFW) üzerinde tamamen izole bir Endüstriyel DMZ Bölgesi (Zone / VLAN) oluşturularak “Üç Bacaklı Güvenlik Duvarı” (Three-Homeds Firewall: IT Bacağı, OT Bacağı, IDMZ Bacağı) topolojisiyle aynı mantıksal izolasyon çok daha ekonomik bir bütçeyle sağlanabilir.
ERP yazılımımız tezgahlara iş emri gönderirken IDMZ mimarisi gecikme (Latency) yaratır mı?
Hayır, insan gözünün veya üretim sürecinin fark edebileceği hiçbir gecikme yaratmaz. ERP’den gönderilen bir üretim iş emri veya reçete IDMZ içindeki mesaj kuyruğu / OPC UA Proxy sunucusuna 1-2 milisaniyede yazılır ve aynı saniye içinde saha terminalinin ekranına düşer. Milisaniye altı gerçek zamanlı döngüler (örneğin servo motor kontrolü) zaten Seviye 1’deki PLC’nin kendi içinde döndüğü için IDMZ üzerinden geçmez.
Fabrika içindeki kameralar (CCTV), kartlı geçiş sistemleri ve misafir Wi-Fi ağı OT ağına dahil edilmeli midir?
Kesinlikle hayır! Güvenlik kameraları (IP CCTV), yangın panelleri, iklimlendirme (HVAC) cihazları ve el terminallerinin bağlandığı Wi-Fi erişim noktaları OT (PLC/CNC) ağıyla asla aynı VLAN üzerinde bulunmamalıdır. Özellikle ucuz IP kameralar siber saldırganların en kolay ele geçirdiği IoT cihazlarıdır. Bu sistemler tamamen ayrı bir “Bina Otomasyon / CCTV VLAN” ve “Endüstriyel Kablosuz VLAN” katmanında izole edilmelidir.