Fabrikalarda PLC (Programlanabilir Mantıksal Denetleyici) güvenliği: Mantık enjeksiyonu, firmware imzalama ve yetkisiz komut blokajı adımlarını keşfedin.
Hızlı Özet (TL;DR)
PLC’ler (Programlanabilir Mantıksal Denetleyiciler - Programmable Logic Controllers), fabrikalardaki yüksek basınçlı buhar vanalarını açıp kapatan, servo motorları süren, fırın sıcaklıklarını dengeleyen ve robot kollarını milimetrik hassasiyetle yönlendiren endüstriyel beyinlerdir. Geleneksel PLC protokolleri (Modbus TCP, S7comm, EtherNet/IP, Fins) hız ve kesintisiz çalışma odaklı tasarlandığı için yerleşik kimlik doğrulama veya şifreleme mekanizmalarına sahip değildir; ağ üzerinden gelen her STOP CPU veya Logic Download komutunu meşru kabul eder. PLC siber güvenliği; Purdue Modeli Seviye 1 ağ izolasyonu, kriptografik firmware doğrulama, fiziksel çalışma anahtarının (RUN modu) kilitlenmesi, derin paket inceleme (DPI) ve otomatik PLC program yedekleme/bütünlük denetimi kurallarını şart koşar.
IT Güvenliği ile OT / PLC Güvenliği Arasındaki Hayati Fark
Bilgi Teknolojileri (IT) dünyasında en önemli öncelik Gizlilik (Confidentiality) iken, Operasyonel Teknolojiler (OT) ve PLC dünyasında tartışmasız birinci öncelik Emniyet (Safety) ve Süreklilik (Availability) ilkesidir. Bir muhasebe bilgisayarında şüpheli bir trafik görüldüğünde EDR yazılımı o bilgisayarı ağdan anında koparabilir veya yeniden başlatabilir. Ancak 1.200 derecede ergimiş metal taşıyan bir döküm potasını veya yüksek hızlı bir kimyasal reaktörü kontrol eden PLC’yi siber güvenlik yazılımı aniden durdurursa, bu durum ölümcül iş kazalarına, patlamalara veya milyonlarca dolarlık mekanik kırıma yol açar.
Endüstriyel siber güvenliğin tarihini değiştiren Stuxnet saldırısından günümüzdeki Industroyer2, Triton (Trisis) ve Pipedream (InController) gelişmiş kalıcı tehditlerine (APT) kadar tüm endüstriyel saldırıların ortak bir hedefi vardır: Operatörün önündeki SCADA/HMI ekranında her şeyin “Normal (Yeşil)” görünmesini sağlarken, arka planda PLC’nin içindeki merdiven mantığını (Ladder Logic / Structured Text) değiştirerek fiziksel ekipmanı kendi kendini imha edecek limitlere zorlamak.
Fabrikaların Endüstri 4.0 kapsamında PLC’lerini üretim verisi toplamak amacıyla kurumsal ofis ağına ve internete bağlaması, onlarca yıldır kapalı devre çalışan bu savunmasız denetleyicileri doğrudan siber saldırganların menziline sokmuştur.
PLC Siber Tehditleri ve Endüstriyel Savunma Matrisi
PLC seviyesinde karşılaşılan temel siber saldırı vektörleri, fiziksel etkileri ve mühendislik savunma stratejileri:
| Tehdit Yöntemi ve Protokol | Saldırının Teknik Mekanizması | Olası Fiziksel ve Üretimsel Zarar | Endüstriyel Savunma Stratejisi |
|---|---|---|---|
| Mantık Enjeksiyonu (Logic Injection) | PLC’deki OB1/Main organizasyon bloğuna veya fonksiyon bloklarına zararlı merdiven (Ladder/STL) kodu yükleme | Makinenin mekanik eksen limitlerini aşması, kalıp kırma, hatalı toleransta gizli kusurlu üretim | Fiziksel anahtarı RUN konumuna kilitleme, PLC CPU yazma parolası ve günlük kod hash karşılaştırması |
| Sahte HMI Gösterimi (Spoofing & MitM) | PLC ile SCADA/HMI arasına girerek operatöre sahte “Basınç Normal” verisi gönderirken vanayı kapatma | Operatörün tehlikeyi fark edememesi, kazan/reaktör patlaması veya hammadde taşması | TLS/IPsec destekli güvenli protokoller (OPC UA Security, S7comm-Plus) ve ARP Spoofing korumalı endüstriyel switch |
| Zararlı Firmware Yükleme (Firmware Mod) | PLC’nin gerçek zamanlı işletim sistemini (RTOS) arka kapılı sahte bir firmware imajıyla güncelleme | Denetleyicinin kalıcı olarak tuğlaya dönmesi (Bricking) veya sıfırlansa bile silinmeyen kalıcı virüs | Yalnızca üreticinin dijital kriptografik imzalı (Signed) firmware paketlerini kabul eden donanım doğrulaması |
| Yetkisiz Komut Gönderimi (Unauthorized Stop/Write) | Modbus Function Code 05/06/15/16 veya S7 STOP paketlerini ağ üzerinden şifresiz gönderme | Tüm üretim hattının vardiyanın ortasında aniden durması, yarı mamullerin fırında donması | Endüstriyel Güvenlik Duvarı Firewall üzerinde Derin Paket İnceleme (DPI) ile WRITE komutlarını bloklama |
| Ağ Paketi Boğma (Network DoS / Fuzzing) | PLC’nin zayıf Ethernet haberleşme işlemcisine (CP) saniyede binlerce bozuk TCP/UDP paketi gönderme | PLC iletişim kartının çökmesi, Watchdog zaman aşımıyla CPU’nun FAULT moduna geçmesi | Yönetilebilir switch üzerinde Storm Control, Rate-Limiting ve mikro-segmente edilmiş OT VLAN mimarisi |
Donanımsal Anahtarın (Physical Key Switch) ve CPU Koruma Seviyelerinin Önemi
Birçok endüstriyel PLC ailesinin (Siemens SIMATIC S7-1500/300/400, Allen-Bradley ControlLogix, Omron, Mitsubishi, Schneider Modicon) üzerinde fiziksel bir anahtar yuvası veya donanımsal mod seçici bulunur:
RUN(Salt Çalışma) Modu: PLC yalnızca hafızasındaki mevcut derlenmiş kodu çalıştırır. Ağ üzerinden hiçbir mühendislik yazılımı (TIA Portal, Studio 5000) yeni bir blok yükleyemez, mevcut kodu silemez veya CPU’yu uzaktan durduramaz. Yalnızca veri okuma (SCADA/MES izleme) işlemlerine izin verilir.REM(Remote / Uzaktan) veyaRUN-PModu: Ağ üzerinden PLC’ye bağlanan bir bilgisayarın çalışma modunu değiştirmesine ve canlı program güncellemesi (Online Change) yapmasına izin verir. Siber saldırıya en açık moddur.STOPModu: PLC çıkışlarını keser ve programı durdurur.
Saha Güvenlik Kuralı: Fabrikalarda makine devreye alma (Commissioning) aşamasında otomasyon mühendisleri kolaylık olması için anahtarı REM veya RUN-P konumunda bırakırlar ve bu durum yıllarca öyle unutulur. Devreye alma tamamlandıktan sonra anahtar mutlaka fiziksel olarak RUN (Salt Okunur) konumuna getirilmeli, anahtar yuvasından çıkarılarak kilitli pano kasasında muhafaza edilmelidir. Ayrıca modern PLC’lerde (örneğin S7-1500 ve S7-1200) erişim seviyesi “Tam Erişim (No Protection)” yerine “Okuma Erişimi (Read Access)” veya “HMI Erişimi” olarak sınırlandırılmalı ve mühendislik yazma yetkisi güçlü bir parolayla mühürlenmelidir.
Endüstriyel Protokollerde Derin Paket İnceleme (Industrial DPI)
Standart bir kurumsal güvenlik duvarı yalnızca IP adresine ve port numarasına (örneğin TCP 502 Modbus veya TCP 102 Siemens S7) bakar. Eğer Üretim Takip Yazılımı (MES) sunucusunun PLC’den üretim adedini okuması için TCP 502 portuna izin verirseniz, standart güvenlik duvarı o porttan geçen okuma komutuna da, PLC’nin tüm adreslerini sıfırlayan yazma komutuna da izin verir.
Oysa Endüstriyel Derin Paket İnceleme (OT-DPI) yeteneğine sahip bir güvenlik duvarı, paketin uygulama katmanı yükünü (Payload) açarak şu ayrımı yapar:
- İzin Verilen Paketler: Modbus Function Code
01, 02, 03, 04(Read Coils, Read Holding Registers) — MES ve SCADA sunucuları PLC’den sıcaklık, basınç ve üretim sayacı verilerini güvenle okuyabilir. - Bloklanan Paketler: Modbus Function Code
05, 06, 15, 16(Write Single/Multiple Coils & Registers) veya08(Diagnostics/Restart) — Eğer kurumsal ağdaki veya MES katmanındaki bir sunucu fidye yazılımıyla ele geçirilirse ve PLC’ye değer değiştirme komutu gönderirse, güvenlik duvarı bu paketi havada yakalar, düşürür (Drop) ve siber güvenlik ekibine kritik alarm üretir.
Mühendislik İstasyonu (EWS) Güvenliği ve Otomatik Kod Yedekleme
PLC’lere yapılan saldırıların en yaygın sıçrama tahtası, bakım mühendislerinin kullandığı dizüstü bilgisayarlardır (Engineering Workstations - EWS). Bakım personelinin internete girdiği, e-posta okuduğu ve USB bellek taktığı dizüstü bilgisayarı doğrudan PLC panosundaki switch’e takması tüm ağ izolasyonunu bozar.
- İzole Mühendislik İstasyonları: PLC programlama yazılımlarının (TIA Portal, Step7, CX-Programmer) yüklü olduğu bilgisayarlar internete tamamen kapalı olmalı, USB portları DLP ile kısıtlanmalı ve yalnızca yetkilendirilmiş Jump Host üzerinden veya fiziksel kilitli portlardan OT ağına bağlanmalıdır.
- Sürüm Kontrolü ve Değişiklik Tespiti: PLC içindeki çalışan program (Running Logic) her gece otomatik olarak altın kopya (Golden Master) ile karşılaştırılmalıdır. Eğer gece vardiyasında bir operatör veya yetkisiz bir kişi bir sensörü köprülemek (Bypass) için PLC koduna müdahale ederse, sabah sistem yöneticisine hangi ağda (Rung) hangi kontağın değiştirildiğini gösteren satır bazlı fark (Diff) raporu gönderilmelidir.
Fabrikanızdaki PLC, CNC ve SCADA hatlarının siber dayanıklılığını canlı üretimi hiç durdurmadan pasif yöntemlerle test etmek için Sızma Testi ve Pentest, OT/IT ağ izolasyonu için Savunma Sanayii ve İmalat Siber Güvenlik ve güvenli makine-ERP entegrasyonları için İmalat ERP Çözümleri uzmanlarımıza başvurabilirsiniz.
Sıkça Sorulan Sorular
PLC’lerimize siber güvenlik önlemi uygularken veya sızma testi yaparken üretim hattımız durur mu?
Canlı üretim yapan OT ağlarında kesinlikle aktif ve agresif port taraması (Nmap flood vb.) yapılmaz; çünkü eski nesil PLC’lerin ağ kartları yoğun paket altında kilitlenebilir. Bunun yerine endüstriyel switch’in SPAN / Mirror portundan ağ trafiğini pasif olarak dinleyen (Passive Network Monitoring) yöntemler ve PLC’nin çevrim süresini (Scan Cycle Time) milisaniye dahi etkilemeyen mimari denetimler uygulanır.
Fabrikamızdaki 15 yıllık eski PLC’ler şifreleme ve parola desteklemiyor, bunları nasıl koruyabiliriz?
Eski nesil (Legacy) PLC’leri değiştirmek yüksek yatırım maliyeti gerektirebilir. Bu cihazları korumanın en etkili ve ekonomik yolu “Sanal Yamalama (Virtual Patching)” ve “Bölge/Kanal (Zone & Conduit)” mimarisidir. Eski PLC’nin hemen önüne endüstriyel bir mikro-güvenlik duvarı veya tek yönlü bir OPC UA Ağ Geçidi (IoT Edge Gateway) yerleştirilir; dış ağla yalnızca bu güvenli ağ geçidi şifreli konuşur, PLC ise dış dünyadan tamamen yalıtılmış kendi alt ağında çalışmaya devam eder.
Uzaktaki makine üreticisi (OEM) arıza anında PLC’ye bağlanmak istediğinde nasıl güvenli erişim vermeliyiz?
Makine üreticisine 7/24 açık kalan kontrolsüz TeamViewer/AnyDesk veya doğrudan port yönlendirmesi (Port Forwarding) vermek en büyük siber güvenlik hatasıdır. Bunun yerine pano üzerine fiziksel bir “Uzaktan Bakım Yetki Anahtarı” konmalı; yalnızca fabrika bakım mühendisi bu anahtarı çevirdiğinde ve MFA onaylı, ekran kaydı (Session Recording) alan güvenli erişim geçidi (PAM / Bastion Host) üzerinden zaman kısıtlı oturum açıldığında OEM firmasına erişim izni verilmelidir.