Bir kurumsal ofis ağında güvenlik duvarı IP adreslerine, portlara ve web protokollerine bakar. Oysa bir üretim tesisinde geçen trafik Modbus, DNP3, PROFINET ya da OPC gibi tamamen farklı bir dille konuşur ve klasik bir güvenlik duvarı bu dili anlamaz. OT güvenlik duvarı işte bu boşluğu kapatmak için tasarlanmıştır; paketin içindeki endüstriyel komutu okuyup ‘bu vananın kapatılması’ ile ‘sadece durum okuması’ arasındaki farkı ayırt edebilir.

Neden BT güvenlik duvarı yetmez

Operasyonel teknoloji güvenliği, erişilebilirliği ve süreç bütünlüğünü gizlilikten önce koyduğu için BT dünyasından farklı önceliklerle çalışır. Bir üretim protokolü çoğu zaman kimlik doğrulaması içermez; komutu gönderen kim olursa olsun cihaz itaat eder. Bu yüzden trafiği yalnızca ‘nereden nereye’ değil, ‘hangi komutu taşıyor’ düzeyinde denetlemek gerekir. Klasik bir kural seti port 502’yi açıp kapayabilir, ama o porttan geçen tehlikeli bir yazma komutunu masum bir okuma isteğinden ayıramaz.

Protokol denetimi, endüstriyel bir paketi sadece adreslerine göre değil, taşıdığı komutun anlamına göre değerlendirmektir.

Protokol farkındalıklı denetim nasıl işler

OT güvenlik duvarı, endüstriyel protokolleri derinlemesine ayrıştırır ve her komut tipine ayrı bir politika uygulayabilir. Örneğin bir mühendislik istasyonundan PLC’ye yapılandırma yazmaya izin verilirken, aynı komutun operatör panelinden gelmesi engellenebilir. Bu ayrım, endüstriyel kontrol sistemleri içindeki normal operasyonel akışı bozmadan, kötü niyetli veya yanlış yönlendirilmiş komutları filtrelemeyi mümkün kılar. Denetim ayrıca beklenmedik komut dizilerini işaretleyerek erken uyarı sağlar.

Bölümleme ile birlikte tasarım

Protokol denetimi tek başına bir sihirli değnek değildir; sağlam bir mimarinin parçası olduğunda değer üretir. Tesisi mantıksal bölgelere ayıran ağ segmentasyonu, seviyeler arası geçişleri az sayıda kontrollü noktaya indirir ve OT güvenlik duvarı tam bu geçiş noktalarında konumlandırılır. Daha hassas hücrelerde ise mikro segmentasyon devreye girerek tek bir PLC ya da hücre grubunu bile kendi güven sınırı içine alır. Böylece bir bölgeye sızan tehdit, protokol düzeyindeki kurallara takılmadan yatayda ilerleyemez.

Sahaya kurarken dikkat edilecekler

Bu kontrolleri yerleştirirken canlı üretimi durdurma riski gerçektir, bu yüzden ilk aşama çoğunlukla pasif dinleme ve trafik profillemesidir. Normal komut örüntüsü öğrenildikten sonra kurallar önce alarm modunda, ardından engelleme modunda devreye alınır. Yanlış yapılandırılmış bir kural, bir güvenlik olayı kadar zarar verebilecek bir üretim kesintisine yol açabileceği için değişiklikler kontrollü pencerelerde ve geri alınabilir biçimde uygulanmalıdır.

Endüstriyel ağınızda protokol denetiminin doğru noktalara yerleştiğinden ve bölümleme mimarisiyle uyumlu olduğundan emin olmak için altyapı ve mimari gözden geçirme hizmetimizle tesis topolojinizi birlikte değerlendirebiliriz.