ICS/SCADA Güvenliği: Kapsamlı Rehber

Endüstriyel Kontrol Sistemleri (ICS) ve SCADA (Supervisory Control and Data Acquisition) sistemleri, fabrikalardan enerji santrallerine kadar kritik altyapının omurgasını oluşturur. Bu sistemler artık internete bağlı; bu da onları siber tehditlere açık hale getiriyor.

Temel Kavramlar

ICS (Industrial Control System): Fiziksel süreçleri kontrol eden sistemlerin genel adı. PLC, RTU, DCS, SCADA ve HMI içerir.

SCADA: Coğrafi olarak dağıtık tesisleri (boru hattı, enerji iletimi) merkezi olarak izleme ve kontrol sistemi.

PLC (Programmable Logic Controller): Makine ve proses kontrolü için özel donanım. Milisaniye cevap süreleri kritik.

HMI (Human Machine Interface): Operatörün sistemi izlediği ve kontrol ettiği arayüz. Çoğunlukla Windows tabanlı.

RTU (Remote Terminal Unit): Saha cihazı — SCADA ile uzak nokta arasında iletişim sağlar.

Neden ICS/SCADA Güvenliği Kritik?

Tarihsel Saldırılar

Stuxnet (2010): İran'ın uranyum zenginleştirme tesisini hedef aldı. Siemens PLC'lere gizlice yüklendi, santrifüjleri hasar görecek şekilde döndürdü. Siber saldırının fiziksel zarar verdiği ilk kanıtlanmış örnek.

Ukraine Power Grid (2015-2016): Spear phishing ile başladı, IT ağından OT ağına sıçradı, 230.000 hane saatler boyunca elektriksiz kaldı.

Triton/TRISIS (2017): Suudi Arabistan petrokimya tesisinde güvenlik enstrümantasyon sistemini (SIS) hedef aldı. Patlama potansiyeli vardı.

Oldsmar Water Treatment (2021): Operatör uzaktan erişim sırasında fareyi hareket ettiğini gördü — saldırgan sodyum hidroksit seviyesini 100 kat artırmaya çalışmıştı.

Türkiye'deki Risk

• Türkiye, enerji, ulaşım ve üretim altyapısında ICS kullanan yüksek hedef ülkeler arasında
• OSB'lerdeki fabrikaların %60'ı IT/OT ayrımı yapmadan çalışıyor
• Eski SCADA versiyonları (Windows XP tabanlı HMI) hâlâ yaygın
• Tedarikçi uzaktan erişimi çoğunlukla denetimsiz

ICS Güvenlik Mimarisi: Purdue Modeli

ISA-99 / IEC 62443 standartlarında referans model:

┌─────────────────────────────────────┐
│  Seviye 4-5: Kurumsal (ERP, email)  │  ← IT Ağı
├─────────────────────────────────────┤
│         Firewall / DMZ              │  ← Geçiş noktası
├─────────────────────────────────────┤
│  Seviye 3: MES, Üretim DB, Tarih    │
├─────────────────────────────────────┤
│  Seviye 2: SCADA, HMI, Supervisor   │  ← OT Ağı
├─────────────────────────────────────┤
│  Seviye 1: PLC, RTU, Kontrol        │
├─────────────────────────────────────┤
│  Seviye 0: Sensörler, Aktüatörler   │
└─────────────────────────────────────┘

Temel prensipler:

• Her seviye kendi zone'unda — aralarında firewall
• Üst-alt iletişim mümkün, alt-üst iletişim kısıtlı
• DMZ'de veri diode (tek yönlü veri geçidi) — en güvenli yaklaşım

IEC 62443: Endüstriyel Siber Güvenlik Standardı

IEC 62443, ICS güvenliği için uluslararası standartlar ailesini tanımlar.

Security Level (SL) Seviyeleri

Çoğu üretim tesisi için SL-2 hedef alınmalıdır.

Zone ve Conduit Kavramı

• Zone: Ortak güvenlik gereksinimleri olan cihaz grubu
• Conduit: Zoneler arası iletişim kanalı — her conduit güvenlik politikasıyla tanımlanır

Temel Güvenlik Kontrolleri

Ağ Segmentasyonu

En kritik kontrol. Uygulanmadığında diğer kontroller büyük ölçüde anlamsızlaşır:

Yanlış: IT ağı ←→ PLC (doğrudan erişim)
Doğru:  IT ağı ←→ Firewall ←→ DMZ ←→ Firewall ←→ OT ağı ←→ PLC

Firewall kuralları "varsayılan reddet" prensibine göre yazılmalı — sadece gereken portlar açık.

Uzaktan Erişim Güvenliği

Tedarikçiler ve bakım mühendisleri en büyük risk kapısı:

• VPN zorunlu: Doğrudan internet üzerinden RDP/VNC yasak
• Zaman kısıtlı erişim: Bakım süresi bitince erişim otomatik kapanır
• Kayıt: Her oturum kaydedilir (session recording)
• MFA: Tek şifre yetmez
• Jump server: Tedarikçi önce jump server'a bağlanır, oradan OT ağına

Kimlik ve Erişim Yönetimi

• Her kullanıcı bireysel hesap — "admin/admin" kabul edilemez
• Minimum ayrıcalık: Operatör sadece kendi makinesini görür
• Hesap yaşam döngüsü: İşten ayrılan = anında iptal

Yama Yönetimi

ICS yamalamada zorluklar:

• Makineler durdurulamaz (24/7 üretim)
• Test ortamı maliyetli
• Üretici destek almayı yamanın gelmesine bağlıyor

Çözüm yaklaşımı:

1. Kritik yamalar için planlı duruş penceresi (haftalık/aylık bakım)
2. Test ortamı (virtual ya da identical spare PLC)
3. Telafi edici kontroller (ek izleme, erişim kısıtı) yama yapılamayan sistemler için

İzleme ve Tespit

Geleneksel SIEM, OT protokollerini anlamaz. OT-spesifik çözümler:

• Claroty: OT asset discovery, anomali tespiti — pasif izleme
• Dragos: Tehdit istihbaratı ile OT izleme — üretim odaklı
• Nozomi Networks: Network görünürlüğü + SIEM entegrasyonu
• Microsoft Defender for IoT: Yerleşik tehdit modelleri, Azure entegrasyonu

Pasif vs. aktif izleme: OT ağında aktif tarama tehlikelidir — bazı PLC'ler trafik yoğunluğuna arıza ile yanıt verebilir. Pasif (traffic mirroring/SPAN port) tercih edilir.

Sık Karşılaşılan Güvenlik Açıkları

1. IT/OT Çapraz Erişim

Kurumsal ağdan OT'ye direkt erişim. En yaygın sorun; ransomware IT'den başlayıp OT'ye sıçrıyor.

2. Güvensiz Uzaktan Erişim

RDP açık bırakılması, VPN olmadan TeamViewer, zayıf şifreler.

3. End-of-Life Sistemler

Windows XP HMI'lar yaygın. Yamalanamıyor, modern antivirüs çalışmıyor.

4. Güvensiz Kablosuz

OT cihazlarına WEP şifreli ya da şifresiz WiFi erişimi.

5. USB Kullanımı

Bakım mühendisi kendi USB'sini getiriyor. Stuxnet USB ile yayıldı.

6. Gereksiz Servisler

PLC web server, FTP servisi açık ve kullanılmıyor. Her açık port saldırı yüzeyi.

Olay Müdahalesi: ICS'e Özel Yaklaşım

ICS olaylarında genel siber güvenlik playbook'ları yeterli değildir:

1. Güvenlik-üretim dengesi: Sistemi kapatmak üretimi durdurur. Alternatif yalıtım yöntemleri değerlendirilmeli.

2. Uzman ekip: OT süreçlerini anlayan ICS güvenlik uzmanları (sadece IT güvenlik değil)

3. Adli analiz: OT forensics IT'den farklıdır — PLC memory dump, historian log analizi

4. Fabrika-spesifik playbook: Her tesis için önceden hazırlanmış, test edilmiş müdahale prosedürü

Türkiye'de Yasal Çerçeve

• Bilgi Güvenliği Yönetim Sistemi: ISO 27001 birçok sektörde zorunlu hale geliyor
• Kritik Altyapı Koruması: Enerji ve su sektöründe BTK/EPDK düzenlemeleri
• NIS2 (AB): Türk tedarikçiler AB'ye ihracat yapıyorsa NIS2 uyum gereksinimleri
• KVKK: Endüstriyel verinin kişisel veri içermesi durumunda uygulama alanı

Başlangıç Adımları (Küçük/Orta Fabrika)

1. Envanter çıkarın: Tüm OT cihazları listesi, IP adresleri, protokoller
2. Segmentasyon yapın: IT/OT fiziksel veya mantıksal ayrım (VLAN + ACL)
3. Uzaktan erişimi düzenleyin: VPN zorunlu, zaman kısıtlı, kayıtlı
4. Varsayılan şifreleri değiştirin: Tüm PLC, HMI, switch
5. USB politikası: Sadece şirket USB'leri, antivirüs taraması
6. Temel izleme: Network trafiği log'u, anomali alarmları
7. Olay müdahale planı: Basit bile olsa belgelenmiş plan

Daha fazla bilgi: Fabrikalarda OT Güvenliği | Endüstriyel IoT Nedir?