Operasyonel Teknoloji Güvenliği ( OT Security) 1– IT & OT Kavramları ve Mimarileri

Öncelikle IT (Information Technology) ve OT (Operational Technology) birbirine çok karıştırılan iki kavram. Birazdan detaylandıracağız ama kabaca OT, Operasyonel Teknoloji ekipmanını kontrol eden yapı iken IT, Bilgi Teknolojisi verilerini kontrol eden yapıdır. Aslında bu iki kavramın karışımı gibi duran, hepimizin artık aşina olduğu bir de IOT kavramımız var. IOT’yi de nesnelerin interneti olarak tanımlıyoruz ama operasyonel işlerde kullanılabilen IT komponentleri gibi de yorumlayabiliriz.

OT, 1900’lü yıllarda basit işlemler yapan, lojik kontrolcülerden oluşan, üretim kapasiteleri ve operasyonel işlemlerin artmasıyla bünyesine çoklu bant sistemleri, kameralar, basınç sensörleri, hareket sensörleri, anahtarlama vb sistemleri katan, son dönemlerde aynı tesiste birden çok otomasyon adalarının oluşması ile büyüyen ve bu büyüyen yapıların kontrolü için kullanılan, tüm operasyonel komponentlerin oluşturduğu yapıdır. Genellikle üretim, depolama ve dağıtım sistemlerine sahip firmalarda olan bu yapılar bünyesinde PLC, HMI, SCADA vb ürünleri barındırıyor. Yine bu kavramlara tekrar değineceğiz.

IT; önceden sadece bilgisayar ve yazıcıların birbirine bağlandığı bir yapı iken gelişen teknoloji ile telefon, tablet, server vb network ekipmanlarının katılımıyla genişleyen, veri alışveriş izinleri olan, VPN ve güvenli WAN ile uzak erişime açık, şimdilerde sanallaşma teknolojilerini de kapsayarak kurumsal yapıları ethernet üzerinde konumlandıran yapının genel adı. 

OT’nin Güvenliği Neden Önemli?

Önceden fabrikalar tekil bant sistemleri ile ya da birkaç lojik kontrolcü (PLC) ile çalışıyordu. Çalışma alanı küçük olduğundan göz ile kontrol ve hızlı müdahale sağlanabiliyordu. Ancak artan üretim ihtiyacı ile 1 adet olan konveyör sistemi ve PLC, yerini yüzlercesine bıraktı. Otomasyon adacıkları oluştu. Haliyle gözlem zorlaştı, alan büyüdü, kontrol ve anında müdahale önem kazandı. PLC’leri yöneten kontrolcülere ihtiyaç oluştu. Dolayısıyla operasyon büyüdü. Bu sebeple uzaktan erişim ve müdahale ihtiyacı doğdu. SCADA, HMI sistemleri ile uzaktan kontrol ve internete erişimler başladı. Bu hızlı dönüşüm ile birlikte siber güvenlik riskleri de beraberinde geldi. Böylece birbiri ile daha az etkileşimde olan IT ve OT özellikle kritik altyapılarda olmak üzere yoğun etkileşime girdi.

Örneğin 2018’de saldırganlar bir su firmasının su akışı ve kimyasal seviyelerini takip ettikleri SCADA sistemlerine sızdılar, 2020’de Suudi Arabistan’da bir petrol şirketinin fiziksel süreçleri engellendi, yine yakın zamanda OT sistemleri ile backdoor kuran bir saldırıda Ukrayna’da 200000 hane elektriksiz hale geldi. Hal böyle olunca etki alanı büyük olan bu sistemlerin güvenliği kritik bir hal kazandı. Şimdi de bir örnek üzerinde IT ve OT kavramlarını görüp mimarilerinden bahsedelim.

İçinde büyük büyük süt tanklarının olduğu ve süt ürünleri üreten bir tesisimiz olsun. Bantlar ile taşınan peynirler, sütler, yoğurtlar, sütün sıcaklığını ölçen sensörler, kontrolörler (PLC’ler), dağınık kontrol sistemleri (DCS), tesisin giriş çıkış kayıt cihazları, iklimlendirmesi vb ile komplike bir tesis. Aslında tesis içerisindeki her operasyonel teknoloji komponentlerini OT olarak tanımlayabiliriz. Peki ya IT? IT’yi de personel bilgisayarları, tabletler, telefonlar, web server’lar, mail server’lar olarak aynı şekilde tanımlayabiliriz. Şimdi de hem IT’nin hem OT’nin birlikte olduğu mimariyi tanıyalım.

Yukarıdaki görselde görüleceği üzere aslında control network katmanındaki her komponentten toplanan datalar görüntülenmek, değerlendirilmek ve aksiyona dönüştürülmek üzere OT Network katmanına aktarılıyorlar. Bu katmanda HMI (İnsan makine arayüzü), SCADA ve browser’lar ile tesisin bütününün gözetim ve kontrolü sağlanıyor. Uzaktan çalışanlar bu arayüzlere erişerek üretimden taşımaya her alanda gerekli gözlemleri sağlıyorlar. Bu arayüz dataları, uzaktan erişimler ile aslında IT networkü ile buluşmuş oluyor. Buradan mail server’lara, FTP sunuculara ve internete erişim sağlanabiliyor. 

Böylece OT ve IT genel kavramlarından ve mimariden bahsetmiş olup kabaca konunun sınırlarını çizdik. “Operasyonel Teknoloji (OT) Güvenliği 2” blog yazımız ile bu konuştuğumuz kavramları tek bir görselde toparlamaya çalışacağız, OT’deki güvenlik standartlarından, Purdue modelinden ve IT güvenlik bakış açısı ile neden OT’yi koruyamadığımıza değineceğiz. Şimdiden keyifli okumalar.