Triton, diğer adıyla Trisis, endüstriyel tesislerde son savunma hattı olan emniyet enstrümanlı sistemleri (SIS) hedef alan ve bilinen ilk bu türden zararlı yazılımdır. Bu sistemler, bir proses tehlikeli sınıra ulaştığında tesisi otomatik olarak güvenli duruma getirir; örneğin basınç kritik seviyeye çıktığında bir vanayı kapatır ya da üretimi durdurur. Triton’un amacı bu son emniyet frenini sessizce devre dışı bırakarak, bir kaza anında koruma katmanının çalışmamasını sağlamaktı.

Triton, dijital bir saldırının hedefini veri hırsızlığından çıkarıp doğrudan insan hayatını koruyan fiziksel emniyet sistemlerine yönelten bir dönüm noktasıdır.

Emniyet Sistemleri Neden Kritik?

Bir endüstriyel tesiste kontrol sistemleri katmanlıdır. Üretimi yürüten kontrolörlerin üzerinde, bağımsız çalışan ve yalnızca felaketi önlemek için var olan emniyet sistemleri bulunur. Bu ayrım kasıtlıdır: üretim sistemi arızalansa bile emniyet sistemi devreye girip tesisi durdurabilsin diye. Triton’un tehlikesi, tam da bu bağımsız güvenlik ağını hedef almasıydı. Emniyet sistemi kandırılırsa, üretim tarafındaki bir arıza ya da sabotaj, patlama veya toksik salım gibi fiziksel bir felakete kadar ilerleyebilir.

Zararlı, emniyet kontrolörünün programlama yazılımını taklit ederek cihaza kendi kodunu yüklemeye çalıştı. Aslında saldırı, bir programlama hatası sonucu emniyet sistemini beklenmedik biçimde tetikleyip tesisi durdurunca fark edildi; yani plan tam olarak işlemeden yakalandı. Bu tesadüf olmasaydı, saldırgan sabote edilmiş bir emniyet sistemini pusuda bekletebilirdi.

Endüstriyel Kontrol Ağlarının Zayıf Noktaları

Triton’un ulaşabilmesi, emniyet sisteminin kurumsal ağdan tam olarak yalıtılmamış olmasıyla mümkün oldu. Saldırgan önce kurumsal ağa girdi, oradan üretim ağına ve nihayet emniyet katmanına ilerledi. Oysa bu katmanların birbirinden kesin biçimde ayrılması, SCADA sistemleri güvenliğinin temel ilkesidir. Ağ segmentasyonundaki her boşluk, saldırganın en dıştaki ofis ağından en içteki emniyet sistemine kadar ilerlemesine izin veren bir köprü haline gelir.

Endüstriyel ortamların bir diğer zorluğu, bu cihazların on yıllarca hizmette kalması ve modern güvenlik özelliklerinden yoksun tasarlanmış olmasıdır. Emniyet kontrolörleri genellikle kendisine kod yükleyen tarafın gerçekten yetkili olup olmadığını doğrulamaz; güven, cihazın fiziksel ve ağ erişiminin kısıtlı olduğu varsayımına dayanır. Bu varsayım kırıldığında, cihazın kendi savunması kalmaz.

Kritik Altyapı Savunması

Triton’un en kalıcı dersi, kritik altyapı güvenliği alanında dijital riskin artık fiziksel sonuçlar doğurabildiğidir. Enerji, su, petrokimya gibi sektörlerde bir siber olay, sadece veri kaybı değil, çevresel felaket ve can kaybı anlamına gelebilir. Bu nedenle savunma, emniyet sistemlerini erişilemez kılmaya, programlama yetkisini fiziksel anahtarlarla sınırlamaya ve ağ katmanlarını gerçekten ayırmaya odaklanmalıdır.

Endüstriyel bir tesiste böyle bir tehdit tespit edildiğinde, olayı yönetim ağını ve fiziksel prosesleri bir arada değerlendirebilen bir yaklaşım gerekir; çünkü ilk soru ‘veri mi çalındı’ değil, ’emniyet fonksiyonu hâlâ güvenilir mi’ olur. Endüstriyel ortamlara özgü bir olay müdahale ihtiyacı için olay inceleme ve müdahale hizmetimiz, kontrol ağındaki izleri prosese verilebilecek zararı önceliklendirerek inceler.