BACnet, ısıtma, soğutma, havalandırma, aydınlatma ve yangın sistemleri gibi bina bileşenlerinin ortak bir dille konuşmasını sağlayan bir bina otomasyon protokolüdür. BACnet güvenliği, bu protokol üzerinden dolaşan cihaz keşif, okuma ve yazma mesajlarının kötüye kullanılmasını önlemeye odaklanır. Protokolün klasik biçimi, kimlik doğrulama olmadan çalışacak şekilde tasarlanmıştır; ağa erişebilen herhangi bir düğüm cihazları sorgulayabilir ve çoğu durumda değerlerini değiştirebilir.

BACnet, binadaki cihazların birbirini tanımadan konuştuğu bir protokoldür; ağa giren herkesin varsayılan olarak geçerli konuşmacı sayıldığı bir güven boşluğu taşır.

Protokolün Zayıf Noktaları

Klasik BACnet mesajlarında ne şifreleme ne de gönderici kimliği bulunur. Bir saldırgan ağa eriştiğinde BACnet’in keşif mekanizmasıyla tüm cihazları ve bunların yazılabilir özelliklerini listeleyebilir; ardından bir vananın konumunu, bir fanın hızını ya da bir set değerini doğrudan değiştirebilir. Ayrıca UDP tabanlı yayın mesajları, sahte cevaplarla trafik boğma ve keşif isteklerini kötüye kullanarak servis dışı bırakma saldırılarına açıktır.

Bu zafiyetlerin somut sonucu fizikseldir: yaz ortasında bir veri merkezinin soğutmasının kapatılması, bir hastanede basınç dengesinin bozulması ya da bir ofiste yangın damperlerinin yanlış konumlanması. Yeni sürümlerde tanımlanan BACnet/SC (Secure Connect) katmanı TLS ile şifreleme ve kimlik doğrulama getirir, ancak sahadaki cihazların büyük bölümü hâlâ korumasız klasik sürümle çalışmaktadır.

Savunma Yaklaşımı

Protokolün kendisi güvenli olmadığı için savunmanın ağırlığı çevresel kontrollere kayar. En etkili adım ağ ayrımıdır: BACnet trafiği kurumsal IT ağından ve internetten yalıtılmış, ayrı bir otomasyon segmentinde tutulmalıdır. Bu segmentin sınırında yalnızca BACnet’i anlayan bir denetim noktası konumlandırmak, hangi cihazın kiminle konuşabileceğini sınırlamayı mümkün kılar; burada bir OT güvenlik duvarı ve protokol denetimi çözümü yazma komutlarını izleyip beklenmedik keşif ya da yazma isteklerini engelleyebilir.

BACnet nadiren tek başına bulunur; genellikle bir binadaki tüm mekanik sistemleri yöneten daha geniş bir platformun taşıyıcısıdır. Bu nedenle BACnet güvenliği, altında yattığı bina yönetim sistemi güvenliği çalışmasının ayrılmaz bir parçası olarak ele alınmalı; protokol düzeyindeki kontroller ile sistem düzeyindeki erişim yönetimi birlikte tasarlanmalıdır.

Kritik Altyapı Bağlamı

Veri merkezleri, hastaneler, havalimanları ve büyük tesislerdeki bina otomasyonu, kesintisi doğrudan operasyonu durduran bir kritik altyapı güvenliği alanıdır. Bir soğutma ya da havalandırma arızası, bağlı bilişim sistemlerini ve hatta can güvenliğini etkileyebilir; bu yüzden BACnet ağları gelişigüzel değil, sonuç odaklı bir risk perspektifiyle korunmalıdır.

Kurumsal açıdan en yüksek kazanç, BACnet cihazlarının bina ağı içinde nerelere temas ettiğini ve dış dünyaya sızma yollarını netleştirmekten gelir. Bu bağlantı haritasını çıkaran ve segmentasyon eksiklerini gösteren bir altyapı ve mimari gözden geçirme çalışması, korumasız protokolün etki alanını daraltarak fiziksel riski somut biçimde azaltır.