ICS/SCADA Sistemlerinde Mikro-Segmentasyon ve Sıfır Güven

Kritik altyapılar ve otomasyon tesisleri, tarihsel süreçte dış dünyadan mantıksal ve fiziksel olarak izole edilmiş "hava boşluklu" (air-gapped) mimariler üzerinde yükselmiştir. Ancak Endüstri 4.0, Nesnelerin İnterneti (IoT) ve uzaktan bakım altyapılarının üretim sahasına entegrasyonu, Bilgi Teknolojileri (IT) ile Operasyonel Teknolojiler (OT) arasındaki sınırları belirsizleştirmiştir. Bu teknolojik yakınlaşma; operasyonel verimliliği artırırken ICS (Endüstriyel Kontrol Sistemleri) ve SCADA (Denetleyici Kontrol ve Veri Toplama) ağlarını gelişmiş siber tehditlerin açık hedefi haline getirmiştir.

Geleneksel Çevre Güvenliği Mimarisi ve Sınırlılıkları

Endüstriyel ağ mimarilerinde uzun yıllar boyunca temel güvenlik yaklaşımı, Purdue Referans Modeli (PERA)çerçevesinde kurgulanan Geleneksel Çevre Güvenliği (Perimeter-Based Security) olmuştur. Bu yaklaşımda güvenlik; kurumsal IT ağı (Seviye 4-5) ile OT kontrol sahası (Seviye 0-3) arasına yerleştirilen bir Arındırılmış Bölge (DMZ), geleneksel güvenlik duvarları (Firewall) ve sanal özel ağlar (VPN) aracılığıyla sağlanmaya çalışılır.

Geleneksel çevre güvenliği modelinin OT ortamlarında yetersiz kalmasının temel teknik nedenleri şunlardır:

• Dikey ve Yatay Trafik Odak Farkı: Geleneksel güvenlik duvarları, katmanlar arası dikey (Kuzey-Güney / North-South) veri akışını denetlemede etkilidir. Ancak aynı ağ segmenti içinde bulunan cihazların birbirleriyle gerçekleştirdiği yatay (Doğu-Batı / East-West) veri trafiğini denetleme yeteneğinden yoksundur.
• Düz Ağ (Flat Network) Zafiyeti: OT katmanında genellikle geniş ağ segmentleri kullanılır. Bu durum, mantıksal olarak ağın iç kısmını "düz" (flat) hale getirir. Ağ sınırını aşan veya çevre bariyerlerini baypas eden bir tehdit vektörü, ağ içindeki tüm PLC (Programlanabilir Mantıksal Denetleyici), RTU (Uzak Uç Birimi) ve HMI (İnsan-Makine Arayüzü) cihazlarına kısıtlamasız erişim imkanı elde eder.
• Çevre Bypass Vektörleri: Hava boşluğu (Air-gap) varsayımı; sahada kullanılan mühendislik bilgisayarlarına takılan yetkisiz USB bellekler, tedarikçi uzaktan bakım bağlantıları veya köklenmiş (dual-homed) cihazlar nedeniyle geçerliliğini yitirmektedir. Stuxnet, Industroyer ve PIPEDREAM gibi gelişmiş kalıcı tehditler (APT), geleneksel çevre güvenliğinin bu yapısal zafiyetlerinden yararlanarak yayılmıştır (CISA, 2023).

Mikro-Segmentasyon: OT Ağlarında Sıfır Güven Dönüşümü

Geleneksel çevre güvenliğinin zafiyetlerini gidermek üzere geliştirilen mikro-segmentasyon, endüstriyel ağ ortamını en küçük mantıksal birimlerine (cihaz, iş yükü veya spesifik proses kontrol döngüsü bazlı mikro alanlar) ayırma işlemidir.

Mikro-segmentasyon, Sıfır Güven (Zero Trust) felsefesi doğrultusunda "asla güvenme, her zaman doğrula" prensibini OT ağına uyarlar. Aynı şalter sahasına veya montaj hattına bağlı iki PLC arasındaki iletişim dahi kurallara bağlanır; yalnızca izin verilen IP, port ve endüstriyel protokol komutlarının geçişine olanak tanınır.

ICS/SCADA Ortamlarında Mikro-Segmentasyon Standartları ve İlkeleri

ICS/SCADA ağlarında mikro-segmentasyon uygulanırken operasyonel sürekliliğin korunması hayati önem taşır. Bu süreçte uluslararası standartlar ve teknik ilkeler referans alınır:

ISA/IEC 62443 "Bölgeler ve Kanallar" Modeli

ISA/IEC 62443 standardı, otomasyon sistemlerinde siber güvenliğin temel çerçevesini çizer (ISA/IEC, 2021). Standarda göre benzer güvenlik gereksinimlerine sahip varlıklar Bölgeler (Zones) halinde gruplandırılır; bölgeler arasındaki iletişim ise sıkı bir şekilde denetlenen Kanallar (Conduits) üzerinden gerçekleştirilir. Mikro-segmentasyon, "Zone" tanımını cihaz seviyesine kadar indirgeyerek standardın gereksinimlerini eksiksiz karşılar.

Derin Paket İnceleme (Deep Packet Inspection - DPI)

Geleneksel IP/Port bazlı filtreleme OT protokolleri için yetersizdir. Endüstriyel mikro-segmentasyon çözümleri DPIteknolojisini desteklemelidir. Örneğin; Modbus TCP 502 portunda iletişime izin verilirken, HMI'ın PLC'ye yalnızca "Read Holding Registers" (Fonksiyon Kodu 03) komutu göndermesi sağlanmalı; cihazın durdurulmasına veya bellek alanının yeniden yazılmasına yol açabilecek "Write Multiple Registers" (Fonksiyon Kodu 16) komutları mikro-segmentasyon seviyesinde bloklanmalıdır (NIST, 2023).

NIST SP 800-82 Rev. 3 ve Sıfır Güven Mimarisi

NIST SP 800-82 Rev. 3 kılavuzu, OT ortamlarında Sıfır Güven Mimarisi (NIST SP 800-207) ilkelerinin uygulanmasında mikro-segmentasyonun anahtar rol oynadığını vurgular (NIST, 2020; NIST, 2023). Her bir endüstriyel varlık, kendi mikro çevresi içerisinde izole edilmiş bir kaynak olarak kabul edilir.

Teknik Uygulama Metodolojileri

ICS/SCADA altyapılarında mikro-segmentasyonun hayata geçirilmesinde kullanılan başlıca mimari yaklaşımlar şunlardır:

• Yazılım Tanımlı Ağlar (SDN): Fiziksel topolojiyi değiştirmeden, merkezi bir kontrolcü üzerinden ağ anahtarlarına (Switch) akış kuralları enjekte edilerek mantıksal izolasyon sağlanır.
• Ağ Tabanlı Endüstriyel Donanımlar (Inline Security Appliances): Gerçek zamanlı işletim sistemine sahip, ajan kurulması mümkün olmayan PLC ve RTU bileşenlerinin önüne yerleştirilen, milisaniye altı gecikme değerleriyle çalışan endüstriyel güvenlik donanımlarıdır.
• Kimlik ve Varlık Tabanlı Segmentasyon: Dinamik IP adreslemesi yapılan ortamlarda, varlıkların MAC adresi, dijital sertifikası veya endüstriyel cihaz tipi üzerinden tanımlanan politikalar vasıtasıyla erişim denetimi yürütülür.

ICS/SCADA Sistemlerinde Adım Adım Mikro-Segmentasyon Kurulumu

Üretim sahasında kesintiye (unplanned downtime) yol açmamak adına mikro-segmentasyon süreci 4 aşamalı bir metodolojiyle uygulanmalıdır:

1. Varlık ve Akış Keşfi (Discovery & Flow Mapping): Pasif ağ dinleme yöntemleriyle OT ağındaki tüm varlıklar, yazılım sürümleri ve aralarındaki trafik matrisi çıkarılır.
2. Risk Bazlı Bölgeleme (Zone Design): Proses bağımlılıkları göz önüne alınarak ISA/IEC 62443 uyumlu mikro bölgeler ve geçiş politikaları tasarlanır.
3. Pasif İzleme ve Simülasyon (Monitor Mode): Oluşturulan kurallar "Aksiyonsuz İzleme" modunda çalıştırılır. Meşru operasyonel trafiğin engellenip engellenmediği simüle edilerek kurallar optimize edilir.
4. Aktif Sıkılaştırma (Enforcement): Doğrulanmış kural seti aktif moda geçirilerek yetkisiz erişimler ve protokol düzeyindeki anormallikler anında engellenir.

Operasyonel Zorluklar ve Uygulama Gerçekleri

• Kritik Gecikme Toleransı (Latency Constraints): Hassas proses kontrol döngülerinde (örneğin koruma röleleri veya yüksek hızlı montaj hatları) mikro-segmentasyon katmanının getireceği milisaniyelik gecikmeler tolere edilemez.
• Miras (Legacy) Otomasyon Varlıkları: Sahada uzun yıllardır çalışan ve modern güvenlik protokollerini desteklemeyen eski nesil cihazların izolasyonu, özel şifreleme ve tünelleme çözümleri gerektirir.

Kaynakça

• CISA. (2023). Improving Industrial Control System Cybersecurity with Defense-in-Depth Strategies. Cybersecurity and Infrastructure Security Agency.
• ISA/IEC. (2021). ISA/IEC 62443-3-3: Security for industrial automation and control systems - System security requirements and security levels. International Society of Automation.
• NIST. (2020). Zero Trust Architecture (NIST Special Publication 800-207). National Institute of Standards and Technology.
• NIST. (2023). Guide to Operational Technology (OT) Security (NIST Special Publication 800-82, Revision 3). National Institute of Standards and Technology.