OT’de anomali tespiti, endüstriyel bir ağda neyin normal olduğunu öğrenip bu normalden sapan davranışları işaretleyerek hem siber saldırıları hem de arıza belirtilerini erken yakalayan izleme yaklaşımıdır. Kurumsal bilişimde savunma çoğunlukla bilinen kötücül imzaları arar; oysa saha ağında trafiğin şekli o kadar öngörülebilirdir ki asıl güç, olağandışı olanı fark etmekte yatar.

Endüstriyel bir ağda her cihaz her gün neredeyse aynı şeyi söyler; anomali tespiti, birinin aniden farklı bir şey söylediği anı dinler.

Neden İmza Değil Taban Çizgisi?

Bir ofis ağında kullanıcı davranışı tahmin edilemezken, bir üretim hattındaki kontrolör her gün aynı cihazlarla, aynı komutlarla, aynı ritimde konuşur. Bu düzen, sistemin haftalarca izlenerek bir taban çizgisi çıkarılmasına imkân verir: hangi cihaz kiminle, hangi protokolle, ne sıklıkta haberleşir. Taban çizgisi oturduktan sonra, daha önce hiç görülmemiş bir bağlantı ya da bir kontrolöre gelen beklenmedik bir yazma komutu anında öne çıkar. Bu yaklaşım, saldırganın yepyeni bir yöntemle geldiği durumlarda bile işe yarar çünkü aranan şey kötücül imza değil, normalden sapmadır.

Pasif Dinlemenin Zorunluluğu

Saha cihazları kırılgandır; beklenmedik bir tarama ya da fazladan bir paket, on yıllık bir kontrolörü kilitleyebilir. Bu yüzden OT anomali tespiti neredeyse her zaman pasif çalışır: ağdaki trafiğin bir kopyasını dinler, sürecin içine hiçbir paket enjekte etmez. Sistem, protokolleri derinlemesine çözerek yalnızca kimin kiminle konuştuğunu değil, gönderilen komutun anlamını da yorumlar. Bir valfe kapanma komutu gitmesi teknik olarak normal olabilir ama sürecin o aşamasında anlamsızsa, bağlamsal anomali olarak yakalanır.

Hangi Sapmalar Önemli?

• Yeni bir cihazın ağda belirmesi veya bilinen bir cihazın kaybolması
• İki cihaz arasında daha önce hiç görülmemiş bir iletişim yönü
• Kontrolöre gönderilen beklenmedik yapılandırma veya yazma komutları
• Trafik hacminde ya da zamanlamasında taban çizgisinden belirgin kayma
• Bir sürecin mantık sırasına aykırı komut dizileri

Bu sinyallerin çoğu tek başına bir arızayı da işaret edebilir; bu yüzden ağ akışındaki istatistiksel sapmaları yorumlama tekniği, NetFlow analizinde anomali yaklaşımlarıyla aynı temele oturur. Endüstriyel bağlamda ise izlenen cihazlar endüstriyel kontrol sistemleri katmanına ait olduğundan, alarmın gerçek bir tehdit mi yoksa proses değişikliği mi olduğunu ayırmak alan uzmanlığı ister.

Savunmaya Katkısı

Anomali tespiti tek başına bir çözüm değil, geniş bir savunmanın gözü kulağıdır; ürettiği sinyaller ancak yorumlayıp harekete geçen bir ekiple değer kazanır. Bu tespit yeteneğinin operasyonel teknoloji güvenliği mimarisine oturtulması ve alarmların gerçek olaya dönüştürülmesi için Privia’nın SOC olgunlaştırma hizmeti, izleme katmanını olay müdahale süreçleriyle birleştirir.