Uzun vadeli güvenlik: Eski OT sistemlerini modern siber tehditlere karşı korumak

Kesintisiz çalışmak üzere kurulmuş bir üretim tesisinde, yıllardır aynı fiziksel süreci neredeyse hiç aksamadan yürüten bir makine, üretkenlik geçmişinden daha az konuşulan bir şey kazanır: kurumsal güven. Zamanla bu sessiz güvenilirlik, belli bir denetimi gereksiz hissettirmeye başlar — öyle ki ekipman, fark edilmeden bir güvenlik kör noktasına dönüşebilir.

Uzun süre “dokunmadan bırakmanın” bir mantığı vardı. Üretimdeki operasyonel teknolojinin (OT) büyük kısmı, fiziksel süreci istikrarlı tutmak için tasarlanmıştı; üretim hattı bir kez çalışmaya başladıktan sonra en mantıklı hareket, ekipmanı işlevini sürdürebilecek şekilde iyi durumda tutmaktı.

Ancak yıllar içinde zemin kaydı ve değişime en az yatkın ekipmanlar, bugün etrafında en fazla korumaya ihtiyaç duyanlar hâline geldi. Günümüzde birçok üretim ortamı şu can alıcı sorularla yüzleşiyor: ağ üzerinden ekipmana kim dokunabiliyor, makinelerin bağlı olduğu sistemler ne kadar açık, ve “çalışıyorsa dokunma” mantığı artık riskin bir parçası hâline mi geldi?

Eskiyor mu?

Yirmi otuz yıl önce, üretim sektöründe internet kaynaklı saldırılar konusunda pek kimse uykusuz kalmıyordu. Tehdit ya yoktu ya da bir avuç devlet destekli hedefle sınırlıydı. Endüstriyel protokollerin içine hiç güvenlik önlemi konmamış olması pek önemli değildi — makineler zaten BT’den izoleydi ve güvenilmeyen hiçbir şey onlara ulaşamıyordu. Sadece çalışıyorlardı ve onlara dokunmak için ikna edici bir neden yoktu.

Ta ki bir gün oluncaya kadar. Dijitalleşmenin ve Endüstri 4.0’ın belirgin özelliği olan BT ve OT’nin “evliliği” dengeleri değiştirdi; endüstriyel kontrol sistemleri (ICS), hiçbir zaman bunun için tasarlanmadıkları ağlara bağlandı. Üretim sistemlerini kurumsal ağlara bağlamanın somut faydaları elbette var, ama bunun güvenlik sonuçları — bir zamanlar güvenli olan sistemlerin artık öyle olmaması — çok daha sessiz geldi. Zayıf kimlik doğrulama, sınırlı günlükleme, güvensiz varsayılan ayarlar ve maliyetli kesintiler gerektirebilen güncelleme süreçleri gibi çeşitli güvenlik eksiklikleri, birdenbire birer risk unsuruna dönüştü.

SANS Institute’a göre, “çeşitli sektörlerdeki OT saldırılarının yaklaşık %60’ının, kurumsal BT ortamlarındaki güvenlik ihlallerinden kaynaklandığı düşünülüyor.” Enstitünün yakın tarihli bir araştırması, kritik sektörlerdeki kuruluşların %22’sinin geçtiğimiz yıl bir siber güvenlik olayı yaşadığını; bu olayların %40’ının operasyonel aksamaya yol açtığını ve yaklaşık %20’sinin giderilmesinin bir aydan uzun sürdüğünü ortaya koydu.

Tehdidin ciddiyeti, 2025’te Jaguar Land Rover’ı vuran ve şu anda İngiltere tarihinin en yıkıcı siber saldırısı olarak kabul edilen olayla gün yüzüne çıktı. Üstelik tedarik zincirleri son derece sıkı programlarla ve neredeyse hiç hataya yer bırakmadan işlediğinden, tam zamanında teslimat taahhüdü olan bir tedarikçinin durması, birçok başka şirketi de içine çeken tam kapsamlı bir üretim krizine dönüşüyor.

Çalışan bir hatta dokunmanın bedeli

Görünürde işleyen bir üretim hattını, altyapı yükseltmesi için durdurmak genellikle zor bir satış konusudur. Varlıklar fiziksel sürece o kadar derinden gömülüdür ki, en üst düzey siber güvenlik kurumlarının isabetle “kendi kendine yarattığı eskime” dediği duruma sıkışıp kalırlar.

Bu arada, üretim sektörüne ciddi şekilde ilgi göstermeye başlayan fidye yazılımı çeteleri, yıllardır güvenlik yatırımıyla orantılı büyümeyen, genişleyen bir saldırı yüzeyi buldu. Operasyonel bir ortamı etkileyen bir hasar yaratmak, salt bir BT ihlalinden farklıdır. Bazıları özel OT yetenekleri geliştiren fidye yazılımı operatörleri bu hesabı biliyor ve taleplerini buna göre ayarlıyor. Bazen kurumsal BT’ye sızıp bağımlılıkların gerisini halletmesine izin vermek bile yeterli oluyor.

Elbette iş denklemi de değişiyor — çoğunlukla dışarıdan içeriye doğru. Tedarikçi sözleşmeleri giderek güvenlikle ilgili şartlar içeriyor, siber sigortacılar ise güvenlik kontrollerine dair kanıt talep ediyor; bunu sunamayan kuruluşlar ya yüksek primlere katlanıyor ya da sigortasız kalıyor. Düzenleyici gereklilikler de birçok ülkede sıkılaşıyor: örneğin NIS2, Avrupa’nın kritik sektörleri için daha katı siber güvenlik şartları getiriyor; ABD’deki geniş düzenleyici çerçeve de kritik sektörlerde güvenlik olgunluğunu zorunlu kılan belirli adımlar talep ediyor.

Öne çıkan siber tehditler

Kritik altyapıyı tehdit eden saldırılara ESET kadar yakından tanıklık eden az sayıda güvenlik şirketi var. Tehdit araştırma ekibi, yıllar içinde kayıtlara geçmiş en önemli olayların bazılarının içine girdi: 2015’te Ukrayna’da 230.000 kişiyi 4-6 saat elektriksiz bırakan BlackEnergy, onun ardılı GreyEnergy ve dünya genelinde kritik altyapı sistemlerinde kullanılan birçok endüstriyel iletişim protokolünü “konuşabilen”, son derece özelleştirilebilir bir zararlı yazılım olan ve 2016’da Kiev’de elektrik kesintisine yol açan Industroyer. 2022’de ESET araştırmacıları, Ukrayna’nın enerji altyapısını yeniden hedef alan Industroyer2’yi tespit etti. Ayrıca ESET’in NotPetya analizi, belirli bir OT hedefi olmayan bir saldırının bile operasyonel teknoloji işleten kuruluşları — üreticiler dahil — büyük ölçekte nasıl felç edebileceğini belgeledi.

Kritik ekipman etrafında güvenliği (yeniden) inşa etmek

Göremediğinizi koruyamazsınız; bu yüzden doğru varlık görünürlüğü, kendine saygısı olan her risk azaltma stratejisinin temelidir. İlk adım, bir ortamda hangi sistemlerin bağlı olduğunu ve hiçbir güvenlik kapsaması olmadığını, BT ile OT ağlarının nerede kesiştiğini, hangi segmentlerin izlenmediğini ve hangi üretim sistemlerinin artık hiçbir satıcı destek anlaşmasının kapsamında olmadığını haritalamaktır. Siber-fiziksel sistemlerin karmaşıklığı düşünüldüğünde, varlık envanteri ve benzeri görevler için tek bir standart yaklaşım yoktur.

Gerçek dağıtım mimarisinin de erken aşamada netleştirilmesi gerekir. İster tasarım gereği, ister müşteri sözleşmeleri, düzenleyici yükümlülükler ya da başka nedenlerle, bazı üretim ortamları hava boşluğu (air-gap) gerektiren şartlarla çalışır. Ağırlıklı olarak bulut bağlantısı üzerine kurulu güvenlik platformları bu durumda ne ihtiyaçlara ne de bütçeye uyabilir.

Öte yandan, hazır güvenlik araçları, eski donanım ve güncelliğini yitirmiş işletim sistemi sürümleriyle çalışan eski OT sistemlerindeki kurumsal ihtiyaçları çoğu zaman verimli şekilde karşılayamıyor. Bu araçların, üretimi etkilemeden kısıtlı sistemler üzerinde çalışabilecek kadar kararlı ve göze batmaz olması gerekiyor. Ağ koruması ise, hiçbir güvenlik ajanını çalıştıramayan ekipmanlarda değerini kanıtlıyor — ki bu durum çoğu üretim ortamında istisna değil, kural.

Uzun vadeli destek ise diğer katmanların tam olarak kapatamadığı boşluğu dolduruyor. Bir ICS satıcısı bir platform sürümünün geliştirmesini sonlandırdığında, güncellemeler er ya da geç durur. O sürümü çalıştıran üretim sistemleri ise yıllarca hizmete devam eder ve giderek daha fazla tehdide açık hâle gelir. Orijinal satıcının destek süresinin ötesine geçen destek taahhütleri, üretimi yıllar önce durdurulmuş bir aracın parça anlaşmasını uzun vadeli imzalamak gibidir. Makine “yola çıkmaya” devam eder.

Yıllarca çalışmak üzere inşa edildi

Üretim sektörünün krizlerden mühendislikle çıkma konusunda uzun bir geçmişi var. Aynı zamanda zor birkaç ders de öğrendi: bilinen bir sorunu görmezden gelmek, o soruna eklenen maliyeti genellikle öteler — ve çoğu zaman katlar. OT altyapısına yönelik siber tehdit artık iyi belgelenmiş durumda, ve bu tehditle mücadele edecek araçlar da mevcut. Bu sektörde, işleri harekete geçirmek için bu kadarı yeterli olmalı — ve nihayetinde siber dayanıklılığı sektörün operasyonlarına kalıcı olarak kazandırmalı.

Bu tehdit BT-OT sınırında yeni değil: BT ile OT buluştuğunda ortaya çıkan riskleri ve üretim sektöründeki artan tehditleri daha önce ele almıştık. Fidye yazılımı tarafında ise bir fidye saldırısı notunun söylemedikleri de OT ortamları için aynı derecede geçerli.