Endüstriyel Siber Güvenlik: Stratejiler ve Çözümler

Bir üretim hattında vanalar beklenmedik şekilde açılıyor, kompresör kendi kendine devreye giriyor ya da ekranda anlamsız komutlar beliriyor. İlk akla gelen arıza mı, yoksa başka bir şey mi? On yıl önce bu soru sorulmazdı. Bugün endüstriyel tesislerde çalışan herkesin bilmesi gereken bir gerçek var: siber saldırılar artık yalnızca bilgisayarları değil, fabrikaların kalbini hedef alıyor.

Hava boşluğu efsanesi nasıl çöktü?

Endüstriyel kontrol sistemleri, kısaca EKS, uzun yıllar başka ağlardan tamamen izole “hava boşluklu” ortamlarda çalıştı. SCADA, DCS ve PLC’ler güvenilirlik ve fiziksel emniyet önceliğiyle tasarlanmıştı; siber güvenlik o günlerin gündeminde yoktu. İnternet ve verimlilik arayışı bu düzeni değiştirdi. Veri analizi ve uzaktan yönetim için EKS’ler önce kurumsal BT ağlarına, sonra internete bağlandı. Buna BT/OT yakınlaşması diyoruz. Getirdiği faydalar büyük; ama kapanan hava boşluğu, tehdit aktörlerine de yol açtı.

Dönüm noktaları 21. yüzyılın başında geldi. 2000’de Avustralya’daki Maroochy su arıtma tesisi saldırısı, arıtılmamış kanalizasyonun çevreye salınmasıyla sonuçlandı. Asıl kırılma ise 2010’daki Stuxnet oldu. Siemens SCADA sistemlerini hedef alan bu solucan, İran’ın nükleer santrifüjlerine fiziksel zarar verdi ve siber saldırıların gerçek dünyada yıkım yaratabileceğini kanıtladı. Ardından 2013’te Target mağazaları bir HVAC satıcısı üzerinden sızıldı; 2015’te Ukrayna elektrik şebekesi, bilinen ilk başarılı şebeke saldırısına maruz kaldı. Bu olaylar, endüstriyel siber güvenliği niş bir konu olmaktan çıkarıp ulusal güvenlik meselesine dönüştürdü.

OT ve BT: iki ayrı dünya

Korunacak sistemleri anlamak için terminolojiyi bilmek gerekiyor. EKS; SCADA, DCS, PLC ve ilgili enstrümantasyonu kapsayan genel bir terim. SCADA geniş coğrafi alanları (boru hatları, enerji şebekeleri) izler ve kontrol eder; DCS tek bir tesisteki proses kontrolünü üstlenir; PLC ise belirli süreçleri otomatikleştiren, kontrol hiyerarşisinin en altındaki endüstriyel bilgisayarlardır.

BT ile OT arasındaki öncelik farkı, güvenlik yaklaşımını da şekillendirir. BT güvenliği gizlilik, bütünlük ve kullanılabilirlik üçlüsüne dayanır. OT tarafında ise iş emniyeti ve kesintisiz çalışma her şeyin önüne geçer. Bir elektrik santralinde gücün kesilmemesi, veri gizliliğinden daha kritiktir; çünkü kesinti doğrudan ekonomik ve toplumsal sonuç doğurur. Bu yüzden BT güvenlik araçlarını birebir OT ortamına taşımak çoğu zaman işe yaramaz, hatta zarar verebilir.

Savunma nasıl kurulur?

Klasik yaklaşım derinlemesine savunmadır: birden fazla güvenlik katmanı, bir katman aşılsa bile diğerleri korusun diye üst üste konur. İlk adım ağ tasarımı. EKS ağını BT ağından ve internetten ayırmak, saldırı yüzeyini küçültür; güvenlik duvarları, DMZ bölgeleri ve güvenli uzaktan erişim bu işin araçları. Segmentasyon, bir saldırganın ağ içinde yatay hareketini zorlaştırır. Bir SCADA ağını kurumsal ağdan ayrı bir segmentte tutmak, BT tarafındaki bir ihlalin OT’ye sızmasını engelleyen en etkili önlemlerden biridir.

İkinci katman anomali tespiti. Normal çalışma verilerine göre bir temel çizgi belirlenir; sıcaklık, basınç ya da kontrolör komutlarındaki sapmalar işaretlenir. Makine öğrenmesi bu işte giderek daha çok kullanılıyor. Bir pompa motorunun normal aralığın dışındaki okumaları ya da beklenmedik bir komut dizisi, saldırının ilk habercisi olabilir. Üçüncü katman ise gerçek zamanlı tehdit analizi: ağ etkinliği ve sistem günlüklerinin sürekli izlenmesi, endüstriyel protokollere özgü tehdit istihbaratıyla birleştiğinde erken müdahale şansı doğurur.

Bugünün tehdit manzarası

Güncel örnekler riskin ne kadar somut olduğunu gösteriyor. 2021’deki Colonial Pipeline saldırısında BT tarafındaki bir ihlal, OT sistemlerinin tedbiren kapatılmasına yol açtı ve akaryakıt dağıtımı durdu. 2023’te ABD’deki su ve atık su tesislerindeki Unitronics PLC’lerine yönelik saldırılar, kritik altyapının hedefte olduğunu bir kez daha gösterdi. Fidye yazılımı çeteleri de artık üretimi hedef alıyor; 2023’ün ilk yarısında her altı saldırıdan en az biri üretimin ya da teslimatın durmasına neden oldu.

Standartlar ve yapay zeka

Bu karmaşık alanda işin bir de standardizasyon ayağı var. İki referans öne çıkıyor. IEC 62443, otomasyon ve kontrol sistemlerindeki OT güvenliğini tüm yaşam döngüsü boyunca ele alan uluslararası standart serisi. NIST SP 800-82 ise risk yönetimi, derinlemesine savunma ve olay müdahalesine odaklanan rehber; son revizyonu kapsamı tüm OT’ye genişletti. Bizim tarafımızda periyodik elektrik kontrollerinde tesisin tek hat şemasını sormak ne kadar doğalsa, bir OT sisteminde ağ segmentasyon haritasını sormak da o kadar doğal olmalı; görünürlük, denetimin ilk adımıdır.

Yapay zeka tarafında davranışsal analiz, tahmini bakım ve tehdit istihbaratı öne çıkan kullanımlar. Bunların üstüne sıfır güven ve mikro-segmentasyon, bir ihlalin etkisini sınırlamak için giderek daha çok uygulanıyor.

Rakamlar ne diyor?

Sahada bu işin ne kadar ciddi olduğunu rakamlar özetliyor. 2023’te katılımcıların yüzde 44’ü EKS tehditlerini “yüksek” olarak değerlendirmiş; bu oran 2019’da yüzde 38’di. Bir EKS/OT olayının ortalama maliyeti 3 milyon dolar civarında, bazı vakalarda 100 milyon doları aşabiliyor. Plansız kesinti saat başına 125.000 dolara, ortalama günlük maliyet 1,9 milyon dolara ulaşabiliyor. İhlallerin önemli bir kısmı BT ağından kaynaklanıyor; yani segmentasyon yalnızca teknik bir tercih değil, doğrudan maliyet meselesi.

Kimin sorumluluğu?

Bu iş tek kişinin ya da tek birimin işi değil. Tesis sahipleri için öncelik üretimin durmaması; BT uzmanları ağ güvenliğini biliyor ama OT’nin protokollerine hâkim değil; OT mühendisleri süreci biliyor ama siber güvenlikte derinleşmemiş. Devlet standartları koyup müdahaleyi koordine ederken, satıcılar OT’ye özel çözümler geliştiriyor. Bu paydaşların ortak dili bulması, en az teknolojinin kendisi kadar önemli.

Zorluklar da ortada: güvenlik düşünülmeden tasarlanmış eski sistemler, tescilli protokoller, karmaşık ortamlarda görünürlük eksikliği ve OT konusunda uzmanlaşmış siber güvenlik insanı bulmanın zorluğu. Yine de yön net: BT/OT işbirliği, düzenli test edilen olay müdahale planları ve doğru segmentasyonla endüstriyel sistemlerin direnci artırılabilir.

Sonuç

Endüstriyel siber güvenlik artık yalnızca bir BT konusu değil; üretimin, enerjinin ve altyapının kesintisizliğini ilgilendiren operasyonel bir mesele. Saldırılar daha karmaşık hale geliyor ama savunma araçları da gelişiyor. Önemli olan, “bize bir şey olmaz” varsayımını bir kenara bırakıp sistemleri bugünden segmentlemek, izlemek ve bu işe ayrılan kaynağı saldırı sonrası maliyetlerle kıyaslamak. Hesap, proaktif yatırımın lehine sonuçlanıyor.