Kurumlarının korumalı olduğuna inanan ama OT/ICS ortamlarına hiç güvenlik gözüyle bakmamış CISO’lar, CIO’lar ve üst düzey yöneticiler için bir uyarı.
Her Şey Bir Firmware Güncellemesiyle Başladı
2022 yılında büyük bir Avrupalı liman operatörü, saldırganların operasyonel ağlarında on bir aydır bulunduğunu keşfetti. İlk giriş noktası, endüstriyel bir ağ geçidi cihazındaki rutin bir firmware güncellemesiydi — hiçbir IT güvenlik ekibinin envanterini hiç çıkarmadığı, çünkü IT departmanına değil operasyon departmanına ait olan bir bileşen.
On bir ay. Saldırganlar vinç çizelgeleme sistemlerini gözlemledi, kargo yönlendirme mantığını haritalandırdı ve maksimum kesinti yaratabilecekleri tam koşulları belirledi. IT ağına hiç dokunmadılar. Tek bir SIEM uyarısı tetiklemediler.
Sonunda harekete geçtiklerinde, yoğun boşaltma saatlerinde üç terminal vinci eş zamanlı olarak devre dışı kaldı. Liman dört günlük operasyonunu yitirdi. Tedarik zinciri cezaları ve itibar hasarı hesaba katılmadan maliyet on iki milyon euroyu aştı.
Bu istisnai bir hikaye değil. Bir şablon.
Kurumları Saldırıya Açık Bırakan Varsayım
Çoğu üst yönetim ekibi temel bir güvenlik varsayımıyla hareket eder: SIEM sessizse kurum güvendedir. Bu varsayım IT ortamları için makul. OT ortamları için ise felaket getirici derecede yanlış.
Nedeni şu. SIEM’iniz — ne kadar iyi yapılandırılmış olursa olsun — yalnızca kendisine bağlı olanları görür. Microsoft Sentinel çalışma alanınız Defender for Endpoint, Entra ID, Exchange Online, firewall’larınız ve VPN’inizden sinyal alır. Büyük ihtimalle almadığı sinyaller şunlar:
- Üretim hatlarınızı yöneten PLC’ler
- Vinç operasyonlarınızı veya boru hattı akışlarınızı yöneten SCADA sistemleri
- Operatörlerin endüstriyel süreçleri kontrol ettiği HMI’lar
- Otomatik yönlendirmeli araçları bağlayan endüstriyel kablosuz ağlar
- Fiziksel altyapınıza gömülü onlarca veya yüzlerce sensör
Bu cihazlar çevrimiçi. Çoğu zaman doğrudan ya da tedarik zinciri satıcı bağlantıları üzerinden internete erişilebilir durumdalar. Yıllardır güncellenmemiş firmware üzerinde çalışıyorlar. Ve SOC’unuza ulaşan sıfır güvenlik telemetrisi üretiyorlar.
İşte kör noktanız bu. Saldırganlar tam olarak nerede olduğunu biliyor.
OT’de Riskler Farklı
Saldırganlar bir IT ortamını ele geçirdiğinde hasar modeli tanıdıktır: veri sızıntısı, fidye yazılımı şifrelemesi, iş kesintisi. Maliyetli — ama yönetilebilir. Sistemler geri yüklenebilir. Veriler kurtarılabilir.
Saldırganlar bir OT ortamını ele geçirdiğinde hasar modeli tamamen değişir. Verilerinizin peşinde değiller. Operasyonlarınızın peşindeler.
Üretimde: bir üretim hattını döngü ortasında durdurmak ekipmanlara zarar verebilir, süreç içi stoku mahvedebilir ve maliyetli yeniden başlatma prosedürlerini tetikleyebilir. Kimya, ilaç, gıda üretimi gibi proses endüstrilerinde bir OT saldırısı fiziksel güvenlik tehlikeleri yaratabilir.
Limanlarda: tek bir terminalin otomatik sistemlerini aksatmak tüm lojistik zincirinde kaskad bir birikime yol açar. Demirdeki gemiler. İhlal edilen sözleşmeler. Bozulan soğutmalı kargo.
Ciddi bir OT olayından kaynaklanan finansal maruziyet genellikle bir IT olayını üç ila beş kat aşar. Buna rağmen OT güvenlik harcamaları çoğu kurumda IT güvenlik harcamalarının küçük bir bölümünde kalmaya devam ediyor.
Bu Boşluk Neden Devam Ediyor?
IT/OT güvenlik boşluğu yeni değil. Güvenlik profesyonelleri on yılı aşkın süredir bu konuda uyarıyor. Peki neden devam ediyor?
Çalıştığımız kurumların tutarlı biçimde dile getirdiği üç neden var:
Birincisi, kurumsal silolar. OT ortamları IT’ye değil operasyon, mühendislik veya tesis ekiplerine aittir. Güvenlik bütçeleri ve yetkileri CISO ofisinden geçer — tarihsel olarak OT altyapısı üzerinde çok az görünürlüğü veya yetkisi olan bir ofis.
İkincisi, aksaklık korkusu. OT ortamları çoğu zaman kesintisiz operasyon yürütmektedir. Bir PLC’ye yama uygulamak veya endüstriyel bir kontrolöre güvenlik ajanı dağıtmak gerçek operasyonel kesinti riski taşır. Güvenlik ekipleri anlamadıkları sistemlere dokunmaktan çekinir; operasyon ekipleri ise dış müdahaleye direnir.
Üçüncüsü, araç uyumsuzluğu. Geleneksel güvenlik araçları OT protokolleri için tasarlanmamıştır: Modbus, DNP3, PROFINET, EtherNet/IP. Yakın zamana kadar IT güvenlik kapsamını OT ortamlarına genişletmek, çoğu kurumun satın almayı haklı çıkaramadığı özel platformlar gerektiriyordu.
Bu üç engelin de bugün çözümleri var. Soru, kurumların yeterince hızlı hareket edip etmediği.
Kör Noktayı Kapattığınızda Ne Değişiyor?
IT ve OT güvenlik görünürlüğünü başarıyla birleştiren kurumlar ortak bir mimariyi paylaşıyor: her iki katmandan telemetri alan merkezi bir SIEM platformu — çoğu durumda Microsoft Sentinel.
OT tarafında ise Cisco Cyber Vision bunu mümkün kılar. Endüstriyel ağ içinde konumlandırılan sanal Cyber Vision sensörleri, her varlığı pasif olarak keşfeder, her iletişim ilişkisini haritalandırır ve sürekli güvenlik telemetrisi üretir — OT sistemlerine dokunmadan veya kesinti yaratmadan. Ajan yok. Yama yok. Operasyonel risk yok.
Bu telemetri IT sinyalleriyle birlikte Microsoft Sentinel’e akar. Aniden daha önce imkânsız olan korelasyon rutin hale gelir: Entra ID’de olağandışı bir kimlik doğrulama girişiminin ardından bir BT atlama sunucusundan OT ağ geçidine yeni bağlantı — iki ayrı görünmez olay değil, tek bir ilişkilendirilmiş olay haline gelir.
Bu mimarinin üstüne Equip’in 7/24 MDR hizmeti eklendiğinde, SOC operasyonlarında analistler tam olarak bu tür çapraz yüzey tehdit kalıplarını aktif olarak avlar — saat gibi.
Bu Çeyrek İçinde Yapmanız Gereken Konuşma
Bu yazıyı okuyan bir CISO iseniz, bu hafta ekibinize sormanız gereken soru basit: ağımızdaki her OT cihazının güncel envanterini ve bu cihazlardan son 30 günün güvenlik telemetrisini bana gösterebilir misiniz?
Cevap hayırsa — ya da ekibiniz yanıtlamadan önce duraksıyorsa — bir kör noktanız var demektir. Ve bugünün tehdit ortamında bu kör nokta teorik risk değil. Operasyonel maruziyettir.
İyi haber şu: kurumunuzun Cisco altyapısı ve Microsoft E5 lisansı varsa, bu boşluğu kapatmaya sandığınızdan çok daha yakınsınız. Teknoloji ya zaten mevcut ya da sahip olduğunuz anlaşmalara dahil. Eksik olan, bunu etkinleştirecek strateji ve yönetilen hizmet.
Equip MDR tam olarak bunu sağlıyor.
