OT (Operasyonel Teknoloji) Sistemlerinin BT Ağlarıyla Entegre Olması Sırasında Siber Güvenliğin Artırılması

OT sistemleri BT ağlarıyla entegre olmaya devam ettikçe, üretim şirketlerinin riskleri azaltmak için daha güçlü siber güvenlik önlemlerine ihtiyacı var.

Endüstriyel Nesnelerin İnterneti'nin (IIoT) yükselişi, şüphesiz bağlantıyı cihaz seviyesinden buluta genişletti ve böylece otomatik tesislerin saldırı yüzeyini artırdı. Buluta doğrudan bağlantılar, uzaktan bakım izleme, temel performans göstergesi (KPI) izleme ve süreç optimizasyonu gibi çekici iş avantajları sunarken, bu avantajlar zayıflamış güvenlik pahasına geliyor. ODVA'da Pazarlama Direktörü olan Steve Fales, "Bu yeni bağlantılar, kötü niyetli kişilerin endüstriyel ağlara sızmasına izin verebilir ve herhangi bir cihaza bağlanmadan önce doğrulama gerektiren Sıfır Güven gibi güvenlik kavramlarına daha fazla odaklanılmasına neden olabilir. Ayrıca, ağın tüm bölümlerini kapsayacak şekilde birden fazla güvenlik yaklaşımının dağıtılmasının önemi önemli ölçüde artmıştır." şeklinde açıklıyor.

Sıfır Güven kavramı, ağın zaten tehlikeye atılmış olduğunu varsayar. Bu, kökeni ne olursa olsun her bağlantının doğrulanması ve mümkün olan en kısa süre için yalnızca gereken asgari erişimin sağlanması gerektiği anlamına gelir. Dahası, tüm iletişimler güvenli olmalıdır. Sıfır Güven'e doğru ilerlemek için şirketler iletişimleri şifrelemeli, rol tabanlı erişim sağlamalı, uç noktaları doğrulamalı ve iletişimlerin kurcalanmaya karşı dayanıklı olduğundan emin olmalıdır.

Steve, Sıfır Güven'i benimsemenin yanı sıra, endüstriyel kontrol ağlarının güvenliğini sağlamak için derinlemesine savunma stratejisinin bir parçası olarak birden fazla güvenlik yönteminin kullanılmasını öneriyor. Süreç odaklı bütünsel bir yaklaşımın parçası olarak, fiziksel güvenlik ve çalışan eğitimi mükemmel başlangıç ​​noktalarıdır. Bunlar, kötü aktörleri caydırmak için iki basit ancak etkili yöntemdir.

Tehdit modellemesini uygulamak, ağ güvenlik açıklarını anlamak ve yanıt planları oluşturmak için bir diğer önemli yoldur. Buna dayanarak, anahtar tabanlı güvenlik duvarları, derin paket incelemesi, beyaz listeleme ve diğer ağ korumaları düzenli bir şekilde dağıtılacaktır. Steve devam ediyor, "Doğrudan bağlantı nedeniyle ikinci bir kanal ağı açılırsa, cihaz katmanını korumak da önemlidir. Cihaz katmanı korumasına bir örnek, cihaz kimlik doğrulaması, kimlik, veri bütünlüğü, gizlilik, kullanıcı kimlik doğrulaması ve politika uygulaması sağlayan EtherNet/IP'nin CIP Güvenliği'dir. CIP Güvenliği ayrıca, kullanıma bağlı olarak talep üzerine uygulanabilen profiller aracılığıyla esnek koruma sunar. Son olarak, ağ saldırı davranışları ve yöntemleri sürekli olarak geliştiğinden, güvenlik stratejilerini, eğitimi ve koruyucu önlemleri düzenli olarak gözden geçirmek ve revize etmek gerekir."

Buluta doğrudan bağlanan otomatik cihazların sayısının artması ve ağların düzleşmesiyle birlikte, iyi kaynaklı ve planlı bir güvenlik stratejisine sahip olmak kritik öneme sahiptir. "Yeni gerçeklik, güvenlik açıklarının oluşma olasılığının yüksek olması ve her bağlantı için doğrulama gerektiren ve yalnızca gerekli erişime izin veren Sıfır Güven güvenlik yaklaşımının yükselişine yol açmasıdır. Fiziksel güvenliğin, çalışan eğitiminin ve süreç tabanlı yaklaşımların yatırıma çok yüksek getiriler sağlayabileceğini hatırlamak da aynı derecede önemlidir." Steve, korumanın en düşük seviyelerde uygulanması gerektiğine inanıyor. Güvenlik, otomatik cihazları buluta bağlamanın temel itici gücüdür ve önemli üretkenlik kazanımlarına yol açarak gelecekteki endüstriyel operasyonlar için değerli bir yatırım haline getirir.

Güvenliği Temelden Tasarlamak

Geleneksel olarak, endüstriyel işletmeler fiziksel süreçleri, sensörleri, izleme kontrollerini, operasyonları ve lojistiği segmentlere ayırarak güvenli OT ortamları oluşturmak için Purdue modeline güvenmiştir. Ancak duyduğumuz gibi, daha açık platformlar artık OT ağ güvenliğini daha net bir şekilde odak noktasına getiriyor.

Emerson'da Siber Güvenlik Stratejisi, Yönetim ve Mimarisi Direktörü olan Michael Lester, "Kuruluşların artık siber güvenliği kontrol sistemi projelerinin ön uç mühendislik ve tasarım aşamasında dikkate alması gerekiyor; bu da sistemi tasarıma göre güvenli hale getiriyor. Geçmişte, siber güvenlik savunmaları genellikle sonradan ekleniyordu. Bu, siber güvenliği projeye en başından dahil etmekten daha pahalı ve daha az etkili." diyor.

Bu nedenle, üretim şirketlerinin artık tasarıma göre doğal olarak güvenli fabrikalar yaratmak için Sıfır Güven ilkelerine dayalı olarak OT yazılım uygulamalarını sıfırdan tasarlamaları gerekiyor. Emerson'un Baş Teknoloji Sorumlusu Peter Zornio, tasarıma göre doğal fabrika güvenliğinin bir gecede gerçekleşmeyeceğine inanıyor; yıllarca çaba gerektirecek ve ancak sistem yazılımı güvenlik mimarisini içerecek şekilde kademeli olarak güncellendiğinde tam olarak gerçekleştirilecek. Başka bir yazılımla her iletişim kurduğunda, kimlik doğrulaması araması ve doğru veri erişim haklarına sahip olması gerekecek. Emerson'un en son ürünlerinden bazıları zaten doğal tasarım güvenliğine sahip yazılımlar içeriyor, ancak gerçekçi olmak gerekirse, fabrikalardaki tüm yazılımların Sıfır Güveni destekleyebilmesi 5 ila 10 yıl sürebilir. Ancak, bu gerçekleştiğinde, siber güvenlik sorunlarına nihai çözüm olacak.

Dahası, siber güvenlik yalnızca teknolojiden fazlasını gerektirir. Michael, siber güvenliğin davranış ve kültürde de değişiklikler gerektirdiğine inanıyor. Tüm organizasyonun, anlamlı davranış değişikliğini yönlendirmek için kritik olan siber güvenliğin neden ve nasıl elde edileceğini derinlemesine anlaması gerekir. Bu nedenle, insanları, süreçleri ve teknolojiyi içeren bir siber güvenlik kültürü oluşturmak önemlidir.

OT Sistem Koruması İçin Daha Güçlü Önlemler

OT sistemleri BT ağlarıyla entegre olmaya devam ettikçe, MQTT gibi internet tabanlı iletişim protokollerini ve HTTPS, CsCAN ve Modbus gibi mevcut veri iletim protokollerini tanıtarak, saldırı yüzeyi genişler ve yeni saldırı vektörleri getirir. Bu, riskleri azaltmak için daha güçlü siber güvenlik önlemleri setini gerektirir. Horner Ireland'da Siber Güvenlik Mühendisi olan Sean Mackey, kontrol mühendislerinin OT ortamlarını daha iyi korumalarına yardımcı olmak için aşağıdaki önlemleri önermektedir:

1. Çevreyi Anlayın: Endüstriyel kontrol sistemleri, SCADA, PLC'ler ve diğer birbirine bağlı cihazlar dahil olmak üzere OT altyapısını tam olarak anlayın. Varlıkları, ağ mimarisini, protokolleri ve iletişim yollarını belgelendirerek olası güvenlik açıklarını belirleyin.
2. Risk Değerlendirmesi ve Varlık Envanteri: Kritik varlıkları ve olası güvenlik açıklarını belirlemek için kapsamlı bir risk değerlendirmesi yapın. Bir varlık envanteri oluşturun, sistemleri kritikliklerine göre kategorilere ayırın ve ilişkili riskleri değerlendirin. Bu değerlendirmeye göre güvenlik önlemlerine öncelik verin.
3. Ağ Segmentasyonu: Hava boşlukları, trafiği filtrelemek ve izlemek için güvenlik duvarları ve önemli OT varlıklarını kritik olmayan sistemlerden ve harici ağlardan ayrı tutmak için kritik sistemleri izole etme gibi sağlam ağ segmentasyonu uygulayın. Güvenlik açıklarının veya saldırıların etkisini, bunları belirli ağ segmentleri içinde tutarak ve saldırı yüzeyini azaltarak sınırlayın.
4. Erişim Kontrolü ve Kimlik Doğrulama: OT sistemlerine yetkisiz erişimi sınırlamak için güçlü erişim kontrolü ve kimlik doğrulama mekanizmaları uygulayın. Kritik sistemlere yalnızca yetkili personelin erişebilmesini sağlamak için çok faktörlü kimlik doğrulama, rol tabanlı erişim kontrolü ve en az ayrıcalık ilkesi uygulanmalıdır.
5. Yama Yönetimi: OT sistemlerini bilinen güvenlik açıklarıyla güncel tutmak için sıkı bir yama yönetim süreci geliştirin ve uygulayın. Bu, PLC'ler/HMI'ler için herhangi bir güvenlik açığı düzeltmesiyle ilgili aygıt yazılımı ve yazılım güncellemelerini içerir. Yamaları kritikliğe göre önceliklendirin.
6. Ağ İzleme ve Saldırı Tespiti: Olağandışı aktiviteleri gerçek zamanlı olarak tespit etmek ve bunlara yanıt vermek için sağlam ağ izleme araçları ve saldırı tespit sistemleri (IDS) dağıtın. Olası tehditleri veya güvenlik ihlallerini derhal belirlemek için ağ trafiğini, sistem günlüklerini ve davranış kalıplarını izleyin.
7. Uç Nokta Güvenliği: Endüstriyel cihazlarınızı kötü amaçlı yazılımlardan ve yetkisiz erişimden korumak için aynı ağdaki benzer cihazlara güvenlik duvarı, antivirüs yazılımı ve saldırı önleme sistemleri gibi uç nokta koruma çözümleri uygulayın.
8. Şifreleme: Yetkisiz müdahaleyi veya kurcalamayı önlemek için verileri hem aktarım sırasında hem de bekleme sırasında şifreleyin. Özellikle MQTT'nin yoğun olduğu endüstrilerde X.509 sertifikaları kullanırken, Taşıma Katmanı Güvenliği (TLS) gibi ağ iletişimi için güçlü şifreleme protokolleri uygulayın ve OT aygıtlarında depolanan hassas verileri şifreleyin.
9. Olay Müdahale Planı: Siber güvenlik olaylarını tespit etme, sınırlama ve azaltma prosedürlerini özetleyen kapsamlı bir olay yanıt planı geliştirin. Rolleri ve sorumlulukları tanımlayın, iletişim protokolleri oluşturun ve siber saldırılara karşı hazırlıklı olmayı sağlamak için düzenli tatbikatlar yapın.
10. Çalışan Eğitimi ve Farkındalığı: OT personelini siber güvenlik en iyi uygulamaları konusunda eğitin; bunlara kimlik avı girişimlerini tanıma, şüpheli faaliyetleri belirleme ve güvenlik olaylarına yanıt verme dahildir. Siber güvenlik farkındalığı kültürünü teşvik edin ve çalışanların OT sistemlerini korumaya aktif olarak katılmalarını sağlayın.
11. Tedarikçi Risk Yönetimi: OT bileşenleri veya hizmetleri sağlayan üçüncü taraf satıcılar ve tedarikçilerle ilişkili siber güvenlik risklerini değerlendirin ve yönetin. Güvenlik gereksinimlerini belirleyen sözleşmesel anlaşmalar geliştirin ve satıcıları düzenli olarak denetleyin.
12. Uyumluluk ve Düzenleyici Gereksinimler: NIST SP 800-82 ve ISA/IEC 62443 gibi OT siber güvenliğiyle ilgili sektöre özgü düzenlemeler ve uyumluluk standartları hakkında bilgi sahibi olun. Yasal ve düzenleyici sonuçlardan kaçınmak ve zayıf siber güvenlik uygulamasından kaynaklanan OT ihlalleri riskini en aza indirmek için OT sistemlerinin bu gerekliliklere uyduğundan emin olun.

OT Sistemlerinin Tam Korunmasının Sağlanması

OT ortamlarında çoğu sistem kritiktir, yani herhangi bir kesinti veya uzlaşmanın çok geniş kapsamlı sonuçları olabilir. Paessler'de Küresel İş Geliştirme IIOT'den Daniel Sukowski, riskler göz önüne alındığında, OT ortamlarını etkili bir şekilde korumanın hiç bu kadar önemli olmadığını vurguluyor. Ancak, bu hedefe ulaşmak hiç bu kadar zor olmamıştı. Birbirine bağlı ve dijital bir dünyada, IIOT cihazlarının üstel büyümesi giderek daha karmaşık sistemlere yol açıyor. Daha önce izole edilmiş OT ağları artık yeni sistemleri ve cihazları harici kaynaklardan, genellikle bölgeler arasında bağlamak için açılıyor. Bu bağlantı birçok avantaj sunsa da, önemli riskler de getiriyor.

OT sistemlerini tam olarak korumak için şirketler izleme teknolojisine yatırım yapmalıdır. Daniel, "Merkezi bir pano ve uyarı yeteneklerine sahip etkili bir izleme sistemi, işletmelere daha kapsamlı bir resim sunabilir. Tüm konumlardan (OT ortamları, IIoT sensörleri, kablolu ve kablosuz ağlar ve geleneksel BT cihazları ve sistemleri) gelen verileri tek bir koruyucu platform altında birleştirebilir. Siber suçlular gelişmeye ve olgunlaşmaya devam ettikçe her zamankinden daha önemli olan kapsamlı görünürlük sağlar." diyor.

Ayrıca, şirketlerin güvenlik açıklarını belirlemeye yardımcı olmak için operasyonel sistemlerinin güvenlik denetimlerini ve risk değerlendirmelerini düzenli olarak gerçekleştirmeleri gerekir. Buna bilgi güvenliği riskleri, siber riskler ve tüm yaygın OT operasyonel riskleri dahil edilmelidir. Zorluğun bir diğer kısmı da tüm ilgili çalışanlar için devam eden eğitimdir. Şirketlerin en son yönergeler ve düzenlemelere uygun şekilde faaliyet göstermesini sağlamak için eğitim içeriği düzenli olarak güncellenmelidir. Örneğin, yaklaşan NIS2 Direktifi Ekim 2024'te tüm AB üye ülkelerinde ulusal yasa haline geldiğinde, çalışanların kendilerinin ve daha geniş işletmelerinin uyumlu kalmasını sağlamaları gerekir.

NIS2 Yönergesi, mevcut AB siber güvenlik yasalarını güncelleyerek orijinal NIS Yönergesi'ni (NISD) temel alır. Amacı, OT güvenliğini güçlendirmek, raporlamayı kolaylaştırmak ve AB genelinde tutarlı kurallar ve cezalar oluşturmaktır. NIS2, kapsamını genişleterek daha fazla şirket ve sektörün siber güvenlik önlemleri uygulamasını gerektirecektir.

Daha fazlasını okumak için lütfen aşağıdaki bağlantıya tıklayın:

Reeman Moon Knight Robot Şasisini Tanıtıyoruz

Flash Yemek Teslimat Robotunu Tanıtıyoruz

Hemşire Hastane Doğum Robotunu Tanıtıyoruz