Fabrikalarda iki farklı dünya aynı binada yaşar: E-posta, ERP ve ofis uygulamalarının çalıştığı bilgi teknolojileri (IT) ağı ile PLC’lerin, robotların, SCADA sistemlerinin ve operatör panellerinin çalıştığı operasyonel teknoloji (OT) ağı. Yıllarca birbirinden habersiz büyüyen bu iki ağ, endüstri 4.0 ile birbirine bağlandı. Bu bağlantı verimlilik getirirken, ofisteki bir güvenlik olayının üretim hattına ulaşabilmesinin de yolunu açtı.
IT ve OT ağları neden farklı yönetilir?
| IT ağı | OT ağı | |
|---|---|---|
| Öncelik | Gizlilik, bütünlük, erişilebilirlik | Erişilebilirlik ve güvenli çalışma; duruş kabul edilemez |
| Cihaz ömrü | 3–5 yıl | 10–20 yıl ve üzeri |
| Güncelleme | Düzenli ve hızlı | Seyrek, planlı duruşlara bağlı, bazen hiç mümkün değil |
| Protokoller | HTTP, SMB, e-posta | Modbus, PROFINET, EtherNet/IP, OPC UA |
| Güvenlik yazılımı | Kurulabilir | Çoğu cihaza kurulamaz |
Bu farklar, OT ağının korumasının cihaz üzerinde değil, ağ mimarisinde sağlanması gerektiğini gösterir.
Purdue modeli: katmanlı yaklaşım
Endüstriyel ağ güvenliğinde yaygın kullanılan Purdue modeli, ağı işlevlere göre katmanlara ayırır:
- Seviye 0–1: Sensörler, aktüatörler ve PLC’ler (hücre / hat).
- Seviye 2: Operatör panelleri (HMI) ve hat kontrol sistemleri.
- Seviye 3: Üretim yönetimi, SCADA sunucuları, tarihsel veri sistemleri.
- Seviye 3.5 – Endüstriyel DMZ: IT ile OT arasındaki tek ve kontrollü geçiş bölgesi.
- Seviye 4–5: ERP, e-posta ve kurumsal IT sistemleri, internet.
Temel kural: IT ile OT arasında doğrudan trafik olmaz; tüm veri alışverişi DMZ’deki sunucular (veri aktarım, yama dağıtım, uzaktan erişim ağ geçidi) üzerinden yapılır. IEC 62443 standart ailesi de benzer şekilde ağı “bölgeler” ve bölgeler arası “kanallar” olarak ele alır.
Ayrıştırma adımları
- Varlık envanteri: OT ağındaki tüm PLC, HMI, sunucu, switch ve bağlantıların listesi çıkarılır. Pasif izleme araçları, ağı etkilemeden cihazları ve iletişim desenlerini ortaya çıkarır.
- Trafik analizi: Hangi sistemin kiminle, hangi protokolle konuştuğu belirlenir. Çoğu fabrikada bu aşama, kimsenin bilmediği bağlantıları gösterir.
- Bölge tasarımı: Üretim hatları veya süreçler kendi bölgelerine ayrılır; bölgeler arası iletişim yalnızca gerekli protokollerle sınırlandırılır.
- IT/OT firewall: IT ile OT arasına, endüstriyel protokolleri tanıyabilen ve saldırı önleme yapabilen bir firewall yerleştirilir; DMZ bu firewall üzerinde kurgulanır.
- İzleme modunda doğrulama: Kurallar önce yalnızca kayıt tutar; üretimi etkileyebilecek bir engel olmadığı doğrulandıktan sonra uygulanır.
- Planlı geçiş: Fiziksel ve mantıksal değişiklikler planlı duruşlara ve vardiya aralarına göre programlanır.
Uzaktan bakım erişimi
Makine üreticilerinin ve entegratörlerin uzaktan erişimi, OT ağına en sık giriş yollarından biridir. Kalıcı açık VPN hesapları, makinelere takılmış 3G/4G modemler ve uzak masaüstü yazılımları ciddi risk oluşturur. Güvenli model:
- Erişim yalnızca talep üzerine ve süreli açılır,
- Çok faktörlü kimlik doğrulama zorunludur,
- Bağlantı DMZ’deki erişim ağ geçidi üzerinden ve yalnızca ilgili makineye verilir,
- Oturumlar kayıt altına alınır.
Endüstriyel ağ altyapısı
Üretim sahasındaki ağ, ofis ağından farklı fiziksel koşullara dayanmalıdır: toz, nem, titreşim, sıcaklık ve elektromanyetik parazit. Endüstriyel sınıf switch’ler, ekranlı kablolama, fiber omurga ve halka (ring) topolojilerle hızlı toparlanan yedekli yapılar kullanılır. Depo ve sahadaki el terminalleri ve otonom araçlar için tasarlanmış kablosuz ağ, roaming performansı açısından ayrıca ele alınmalıdır. Kablolama tarafı için yapısal kablolama rehberimize bakabilirsiniz.
İzleme ve olay müdahalesi
OT ağında olağandışı bir iletişim (yeni bir cihaz, beklenmeyen bir protokol, mesai dışı programlama değişikliği) erken tespit edilmelidir. Firewall ve izleme kayıtları merkezi bir log sisteminde toplanır; üretim ekibinin de dahil olduğu bir olay müdahale planı hazırlanır. Ağa yetkisiz cihaz bağlanmasını önlemek için NAC değerlendirilir.
Fabrika ağı kontrol listesi
- OT ağındaki tüm cihazların güncel bir envanteri var mı?
- Ofis ve üretim ağları arasında doğrudan trafik var mı?
- IT/OT geçişleri tek bir DMZ üzerinden ve kayıt altında mı?
- Üretici uzaktan erişimleri süreli, MFA’lı ve kayıtlı mı?
- Kritik hatlar için yedekli ağ yolu ve yedek konfigürasyonlar var mı?
- Üretim ekibini de kapsayan bir olay müdahale planı var mı?
F2 yaklaşımı: Honda otomobil fabrikasının kablolu ve kablosuz ağ altyapısını yenilediğimiz proje gibi üretim ortamlarında; pasif envanterle başlayıp IT/OT firewall, endüstriyel DMZ, saha kablolaması ve kablosuz ağı üretimi durdurmayan planlı geçişlerle kuruyoruz.
