Enerji ve Altyapıda Saha Verisi Alırken OT Ağını Korumak: DMZ ve Tek Yönlü Aktarım

Enerji dağıtımı, su ve doğal gaz gibi altyapı işletmelerinde yönetim, bakım ve raporlama ekipleri sahadan veri ister: sayaç okumaları, trafo sıcaklıkları, pompa durumları. Bu talep meşrudur. Sorun, veriye ulaşmanın en kısa yolunun çoğu zaman en riskli yol olmasıdır. Kurumsal ağdaki bir iş zekâsı sunucusu doğrudan SCADA veri tabanına sorgu atarsa, kurumsal tarafta ele geçirilen tek bir hesap kontrol ağına açılan bir kapıya dönüşebilir. OT ağını korumak, veriyi vermeyi reddetmek anlamına gelmez. Veriyi kontrollü bir yoldan, tek yönde ve izlenebilir biçimde dışarı çıkarmak demektir.

Bu yazıda OT/SCADA ağı ile kurumsal ağın DMZ ile nasıl ayrıldığını, verinin tek yönlü ve denetimli ağ geçitleriyle nasıl alındığını ve uygulamadan önce hangi noktaları kontrol etmeniz gerektiğini adım adım ele alıyoruz.

01OT ağını kurumsal ağdan ayıran DMZ katmanı

OT ortamlarında öncelik sıralaması BT'den farklıdır. Bir ofis sunucusunda yama için yeniden başlatma kabul edilebilir. Bir pompa istasyonunu kontrol eden sistemde kesinti sahada doğrudan sonuç doğurur. Üstelik saha cihazlarının önemli bölümü uzun yıllar aynı yazılımla çalışır ve yamalanması zordur. Bu yüzden korumanın ana ilkesi, kurumsal ağın OT ağıyla hiçbir zaman doğrudan konuşmamasıdır. İki taraf arasına DMZ (arındırılmış bölge) konur ve her iki taraf da yalnızca DMZ ile iletişim kurar.

Sade bir akış şöyle görünür:

1. Saha katmanı: PLC, RTU, sayaç ve sensörler.
2. Kontrol katmanı: SCADA sunucuları, operatör istasyonları, veri tarihçisi (historian).
3. OT güvenlik duvarı: Kontrol katmanından yalnızca tanımlı veriyi DMZ'ye geçirir.
4. DMZ: Veri toplayıcı ya da tarihçi kopyası, ters vekil sunucu (reverse proxy), dosya ve yama aktarım aracısı.
5. Kurumsal güvenlik duvarı: Kurumsal ağın DMZ'den veri çekmesine izin verir, OT'ye ulaşmasına izin vermez.
6. Kurumsal katman: Pano, raporlama, analitik ve bulut servisleri.

Endüstriyel kontrol sistemlerinde bu yapı, Purdue referans modelindeki kontrol ve işletme katmanları arasına yerleştirilen DMZ olarak bilinir. NIST SP 800-82 Rev. 3 (OT Güvenliği Rehberi), OT ağlarında bölümlendirme ve DMZ mimarilerini ayrıntılı biçimde ele alır. IEC 62443 serisi de ağı bölgelere (zone) ve bölgeler arası iletişim hatlarına (conduit) ayırmayı temel alır.

02Tek yönlü aktarım: veri diyotu ve denetimli ağ geçidi

DMZ tek başına yeterli değildir. Asıl soru, verinin DMZ'ye hangi yönde ve hangi mekanizmayla aktığıdır. Burada iki yaygın seçenek vardır:

• Donanım tabanlı tek yönlü geçit (veri diyotu): Fiziksel olarak yalnızca bir yönde veri taşır. Karşı taraftan OT'ye geri dönüş yolu teknik olarak yoktur. Kritikliği yüksek sistemlerde tercih edilir.
• Kural tabanlı tek yönlü ağ geçidi: Güvenlik duvarı ya da yazılım ağ geçidi ile yalnızca OT'den DMZ'ye bağlantıya izin verilir. Daha esnek ve genellikle daha ekonomiktir. Ancak yanlış yapılandırma riski taşıdığı için kural değişikliklerinin onaylı ve kayıtlı yapılması gerekir.

İki seçenekte de pratik bir ilke geçerlidir: bağlantıyı OT tarafındaki toplayıcı başlatır, dışarıdan OT'ye gelen bağlantı kuralı bulunmaz. Böylece kurumsal tarafta bir güvenlik sorunu yaşansa bile saldırganın OT'ye açık bir giriş noktası olmaz.

Bir noktaya dikkat edin: tek yönlü aktarım, uzaktan komut göndermeyi de engeller. Uzaktan müdahale gerekiyorsa bunu veri akışından ayrı, çok faktörlü doğrulamalı, oturumu kayıt altına alan ve işlem bazında onay isteyen ayrı bir kanalla tasarlayın. Veri yolu ile kontrol yolunu karıştırmayın.

Kısa kural: Veri yukarı akar, komut yukarıdan aşağı aynı yoldan inmez.

03Saha verisinin DMZ üzerinden akışını kurgulamak: örnek senaryo

Aşağıdaki akış varsayımsal bir trafo merkezi için hazırlanmış bir örnektir. Tüm adımları kendi ortamınıza uyarlamanız gerekir.

1. Veri envanteri çıkarın. Hangi noktadan hangi ölçüm, hangi sıklıkta, hangi amaçla isteniyor? Raporlama için gerçekten gerekmeyen noktayı akışa dahil etmeyin.
2. Protokolü OT sınırında dönüştürün. Saha cihazı Modbus ile konuşuyorsa bir ağ geçidi bu veriyi okuyup MQTT ya da OPC UA gibi daha yönetilebilir bir biçime çevirsin. Kurumsal taraf saha protokolünü hiç görmesin.
3. Veriyi tek yönde DMZ'ye gönderin. OT tarafındaki toplayıcı, DMZ'deki aracı sunucuya (broker) veriyi iter. DMZ'den OT'ye açık kural bulunmaz.
4. DMZ'de doğrulayın. Beklenen şemaya uyup uymadığına, zaman damgasının ve değer aralığının makul olup olmadığına bakın. Biçimi bozuk ya da aralık dışı veriyi ayırıp uyarı üretin.
5. Kurumsal taraf veriyi DMZ'den çeksin. Pano ve analitik sistemleri yalnızca DMZ'deki kopyayla çalışır. SCADA sunucusuna doğrudan sorgu atılmaz.
6. Kesinti senaryosunu planlayın. Bağlantı koptuğunda toplayıcı veriyi yerelde tamponlasın, bağlantı geri geldiğinde sırayla göndersin. Böylece raporlarda boşluk oluşmaz ve internet kesintisi üretim takibini durdurmaz.

Toplanan veri sonradan tüketim profili çıkarma, anormallik ve arıza tespiti ya da bakım önceliklendirme gibi analizlere kaynak olabilir. Ancak her analiz DMZ'deki kopya üzerinden yürür, OT ağına yük bindirmez.

04Uygulamadan önce kontrol listesi

Mimariyi devreye almadan önce aşağıdaki maddeleri gözden geçirin:

• Varsayılan red: OT ve DMZ güvenlik duvarlarında yalnızca açıkça tanımlanmış akışlara izin verin; kuralların her birinin sahibi ve gerekçesi yazılı olsun.
• Kimlik ayrımı: OT ortamı için kurumsal dizinden ayrı hesaplar ve ayrı yetkiler kullanın.
• Uzaktan erişim: Tedarikçi ve bakım erişimini DMZ'deki sıçrama sunucusu üzerinden, çok faktörlü doğrulama ve oturum kaydıyla verin; kalıcı VPN açık bırakmayın.
• Günlük kayıtları: DMZ ve OT sınırındaki kayıtları merkezi bir SIEM'e tek yönde aktarın. Aktarımın kendisi de yeni bir giriş noktası olmasın.
• Envanter ve yama planı: Hangi cihazın hangi yazılım sürümünde çalıştığını bilin; yamalanamayan cihazlar için telafi edici önlemi (ek segmentasyon, izleme) belirleyin.
• Yedek ve geri dönüş: Toplayıcı, ağ geçidi ve güvenlik duvarı yapılandırmalarının yedeğini alın, geri dönüşü bir kez deneyin.
• Tatbikat: Kurumsal ağda varsayımsal bir ele geçirme senaryosu kurgulayıp OT'ye ulaşılamadığını doğrulayın.

Risk yönetimi çerçevesi olarak NIST Siber Güvenlik Çerçevesi (CSF); tanımlama, koruma, tespit, müdahale ve kurtarma işlevleriyle bu listeyi yapılandırmak için kullanılabilir.

05Sık sorulan sorular

DMZ kurmak OT ağını tek başına korur mu?

Hayır. DMZ, kurumsal ağ ile OT arasındaki doğrudan teması kaldırır; ancak güvenlik duvarı kurallarının doğru yazılması, hesapların ayrılması, uzaktan erişimin denetlenmesi ve izleme olmadan etkisi sınırlı kalır. DMZ, katmanlı savunmanın bir parçasıdır.

Tek yönlü aktarım kullanırsak uzaktan müdahale mümkün olmaz mı?

Veri yolu üzerinden olmaz; zaten olmaması istenir. Uzaktan müdahale ihtiyacı varsa bunu ayrı bir kanalla, çok faktörlü doğrulama, yetki sınırı ve oturum kaydıyla tasarlarsınız. Böylece veri akışının tek yönlü kalma güvencesi bozulmaz.

Eski makinelerden veri almak için sisteme yeni bir şey eklemek gerekir mi?

Çoğu durumda mevcut sisteme dokunmadan ilerlenebilir. PLC bağlantısı olmayan makinelerde harici sensör ya da sayaç kullanılabilir. Ağı olan cihazlarda ise pasif ağ dinleme gibi yöntemler değerlendirilir. Hangisinin uygun olduğu cihazın yaşına, protokolüne ve üreticinin sunduğu imkânlara bağlıdır.

06Sonuç

Saha verisini kurumsal tarafa taşırken OT ağını korumak, üç kararın net olmasına bağlıdır: OT ile kurumsal ağ arasında DMZ bulunması, verinin OT'den dışarıya tek yönde ve denetimli ağ geçitleriyle akması ve uzaktan müdahale kanalının veri yolundan ayrı tutulması. Bunlar yerindeyse raporlama, analitik ve yapay zekâ projeleri OT ağına ek risk taşımadan ilerleyebilir. Enerji ve altyapı işletmelerine yönelik siber güvenlik, IoT ve gömülü sistemler, yönetilen güvenlik ve veri analitiği çalışmalarımızı Enerji ve Altyapı Çözümleri sayfasında bulabilirsiniz.