Operasyonel Teknoloji yahut OT, fizikî süreçlere sahip olan yahut üretim yapan kurumlar tarafından kullanılan kritik bir ağ bileşeni olarak tanımlanıyor. Üretim, kimyasal unsur, petrol, gaz, maden, ulaşım ve lojistik dalları güç şebekelerini, üretim ve montaj alanlarını çalıştırmak için özel teknolojiler kullanıyor. Bu sistemlerin denetimi, kontrolü ve idaresi son birkaç yıl içerisinde giderek otomatik hale getiriliyor. Bu işleri yapan özel sistemler de Endüstriyel Denetim Sistemleri (ICS), Merkezi Kontrol ve Bilgi Toplama (SCADA) yahut kısaca OT olarak isimlendiriliyor.
OT sistemlerinin kullanıldığı ağlar, çoklukla şirketlerdeki BT ortamlarından ve internetten yalıtık hale getiriliyor. Bu sistemler BT çalışanları yerine operasyon çalışanları tarafından yönetiliyorlar. Üretim alanları şirketler için saatte milyonlarca dolarlık üretim yaparken, beşerler pak su ve güç üzere muhtaçlıklar için bu kritik altyapılara güveniyor. Bu sistemlerin yalnızca birkaç dakika durması bile yüzbinlerce liralık ziyana sebep olabiliyor, tıpkı vakitte çalışanları ve hizmet alan insanları olumsuz etkileyebiliyor.
BT data idaresi ile ilgilenirken, OT ise bir şeyler üretmeye odaklanıyor. OT sistemlerinin büsbütün izole edilmesi, BT dünyasının uzun müddettir karşılaştığı bir zahmet olan bilgisayar korsanlığına karşı dayanıklılık algısını beraberinde getirdi.
Lakin yakın vakitte yaşanan hücumlar, aksini ispatladı.
Bu sistemleri ve OT altyapılarını gaye alan siber ataklar giderek artıyor ve değerli ziyanlara neden oluyor. Birinci resmi OT saldırısı olarak gösterilen on yıl evvelki Stuxnet akınında maksat alınan sistem rastgele bir dış ağ ile teması olmayan inançlı bir ilişkiydi, lakin yeniden de dokunulmaz değildi. 2017’de NotPetya fidye yazılımı da üretimi aksattı ve ofislerin kapanmasına sebep oldu. Tıpkı yıl içerisinde Trisis/Triton berbat gayeli yazılımı petrol ve gaz üretimi ekipmanlarının güvenlik araçlarını amaç aldı. 2020’de de ICS sistemlerini gaye alan Ekans yahut Snake olarak bilinen fidye yazılımı ortaya çıktı.
Fizikî Yalıtım Yok Oluyor
OT ortamlarını maksat alan taarruzların artmasında birkaç faktör rol oynuyor.
İzolasyon tekniği OT sistemlerine erişilmesini zorlaştırdı lakin sistemleri yalıtmak hiçbir vakit kesin güvenlik sağlamadı. Fizikî erişim oluşturmak ise otoparkta virüslü USB belleği bırakmak yahut bir işçinin gerisinden binaya girmek üzere usullerle her vakit mümkün.
Ayrıyeten endüstriyel makinelerin bakımı ve tamiratı için gereken erişim, ICS araçlarının uzaktan güncellenmesi yahut uzaktan yapılan aygıt yazılımı güncellemeleri, OT ortamlarının zayıf noktaları haline gelebiliyor.
Fakat BT ve OT ortamlarının birleşmeye başlamış olması ve bu yüzden OT’nin BT ortamı üzerinden gerçekleşebilecek taarruzlara karşı savunmasız hale gelmesi ise en kıymetli faktör olarak öne çıkıyor. Bilgiyi ve üretim süreçlerini birleştirmek, kurumların pazarda yaşanan değişimlere daha süratli ahenk sağlayabilmesini ve sistemleri uzaktan yönetip denetim edebilmesini sağlıyor. Ancak bu avantajlar birtakım riskleri beraberinde getiriyor. Bilhassa OT ekipmanlarını amaç alan yeni makûs gayeli yazılımlar, sistemlerin zayıf noktalarını bulan arama ve taşıma bileşenlerini kullanarak BT ortamını ve ağ ilişkilerini istismar edebiliyor ve endüstriyel denetim sistemlerine erişim sağlayabiliyor.
Trisis/Triton isimli berbat emelli yazılım, petrokimya tesisleri tarafından kullanılan güvenlik ve kontrol sistemlerini gaye alıyor. OT’ye özel olan bu siber taarruzun güvenlik sistemine sızabilmek için kullandığı süreçler, prosedürler ve teknikler büsbütün BT’ye ilişkin siber atak, arama ve ulaşım metotlarından oluşuyor.
BT ve OT Ortamları Birleşiyor
BT ve OT ortamlarının birleşimi, finansal ve operasyonel manada yararlar sunduğu için OT ağlarına yönelik artan risklere karşın gerçekleşmeye devam ediyor. Operasyon grubu, BT sistemlerinde çalışan yazılım ve bilgi tabanlarını kullanan gelişmiş denetim sistemlerini çalıştırıyor. Wi-Fi özelliğine sahip termostatlar ve vanalar, BT altyapısı üzerinden uzaktan gözlenebiliyor ve denetim edilebiliyor. Lakin maliyetlerden sorumlu yöneticiler (CFO), birbirinden başka ağların ve ağları çalıştıran farklı takımların oluşturduğu maliyetleri azaltmaya çalışıyor.
BT ve OT ortamları bir ortaya getirildiğinde daha gelişmiş bir süreç ve iş verimliliği oluşuyor. Münasebetiyle bu birleşim gerçekleştiği için şirketlerin siber risklerin arttığını kabul etmesi gerekiyor.
Siber saldırganların hedefleyebileceği aygıt sayısı arttığı için dijital akın tabanı genişletiyor. Sayıları artan ağ sunucuları, şubeler, uzaktan yahut meskenden çalışanlar ve Objelerin İnterneti aygıtları, BT ağına bağlanan ve oradan da OT ortamına geçiş yapabilen potansiyel bir geçit misyonu görebiliyor. Tıpkı biçimde BT sistemlerine bağlı birçok OT sistemi de aktüel tehditler karşısında eskimiş olabileceği için daha savunmasız hale geliyor.
Fortinet’e nazaran tehlikelerin yalnızca sayısı değil, gelişmişlik seviyeleri de artıyor. Şirketler dijital dönüşüm seyahatlerinde çeşitli yazılımlar geliştirirken, siber saldırganlar da tıpkı teknikleri kullanarak son derece karmaşık ve çeşitli makus maksatlı yazılımlar üretiyor. Yaptıkları akınlar, BT ve OT ortamlarına sızarken güvenlik evrelerini geçmek için birçok farklı düzenek kullanıyor.
Günümüzde güvenlik araç sayısının çok yüksek olması, tehlikelerin üstesinden gelmeyi daha da zorlaştırıyor. Anketler belirli büyüklükteki birçok şirketin neredeyse her biri farklı tedarikçilerden olmak üzere 30-90 ortası güvenlik aracı kullandığını gösteriyor. Birbirinden farklı idare konsollarına sahip güvenlik araçlarını kullanabilmek için şirketlerin eğitimli elemanlara sahip gerekiyor. Lakin birden fazla vakit güvenlik elemanlarının her bir araçla ilgilenecek vakti ve kaynağı olmuyor. Bu yüzden siber taarruzlar bu karmaşa içinde tespit edilmeden sisteme sızabiliyor.
Siber hücumları ve şahsî bilgilerin korunmasını ele alan regülasyonlar, BT ve OT yöneticileri için güvenliği daha da sıkılaştırıyor. Kurumların anlaması ve takip etmesi gereken PCI-DSS (Ödeme Kartları Bölümü Data Güvenliği Standartları), GDPR (Genel Bilgi Muhafaza Tüzüğü), ve NIST (Ulusal Standartlar ve Teknoloji Enstitüsü) üzere birtakım genel standartlar bulunuyor. Bunlara ek olarak çeşitli kuruluşların oluşturduğu ISO (Uluslararası Standartlar Teşkilatı) ve ANSI (Amerikan Ulusal Standartlar Enstitüsü) üzere güvenliğin nerede ve nasıl uygulanması gerektiğini belirleyen bölümlere özel standartlar ve regülasyonlar da var.
Amaç Alınan Şirketlerin Mağdur Olmamak için Yapması Gerekenler
OT ortamları siber saldırganların ilgisini çekiyor ve bu yüzden her an bir akın gerçekleşebilir.
ICS yahut SCADA sistemlerinin yer aldığı örneklerde yatırımların kıymetli derecede eksik olduğu gözlemleniyor. Bunun birçok nedeni var fakat evvel bu durumun düzeltilmesi gerekiyor. Kurumların BT ve OT ortamlarını birleştirmese bile aşağıdaki kimi yüksek düzeyli güvenlik tedbiriyle Operasyonel Teknolojilerini muhafazası gerekiyor.
Giderek artan riskleri tanımlamak ve buna karşı tedbir almak için harekete geçmek.
OT ve BT ağlarına kapsamlı görünürlük sağlayacak güvenlik araçlarını yerleştirmek. Bu araçların aygıtları tanıyabilmesi ve envantere dahil edebilmesi gerekiyor. Tıpkı vakitte erişim müsaadesi olan çalışanlara denetim erişimi sağlaması ve uygulamalar ve trafik üzerinde görünürlük sağlaması da kıymetli.
Bir bölümleme stratejisi geliştirmek. BT ve OT alanları ortasına sıkı prensiplere sahip geçitler entegre ederek bu tekniğin OT ağının farklı düzeyleri ortasında uygulanması sağlanabilir. Bu süreçle her sistemin ve altsistemin yalnızca yapmaları gereken işleri yapması hedeflenmeli. Zira bölümleme süreci, bir noktadan başlayıp her yere yayılan atakların önüne geçebiliyor.
Açık ve inanç temelli erişim sistemi yerine sıfır itimat stratejisini kullanmak. Kullanıcıyı doğrulayacak erişim denetimleri sayesinde çalışanların yalnızca işlerini yapmaları için gereken sistemlere bağlanması sağlanabilir ve bağlıyken de denetlenebilir. Bu metodun herkese uygulanması gerekiyor lakin bilhassa tedarikçiler üzere üçüncü taraf şirketlerin buna dahil edilmesi hayati ehemmiyete sahip.
Olayların tahlilinde dayanak ve tepki suratınızı arttırmak için otomasyondan faydalanmak. Aktiviteleri kaydeden araçlar, bu kayıtlarda olağandışı davranışlar arayan analitik sistemler ve bu tespit edilen tehditlere karşılık verebilen güvenlik sistemleri kurulmalı. Otomasyon ve orkestrasyon, günümüzdeki taarruzların suratı göz önünde bulundurulduğunda birkaç saniye içerisinde tehditleri saptayabilmek ve harekete geçebilmek için çok kıymetli.
Bir sızıntı durumunda denetleme için bir süreç sürecine ek olarak yedekleme, kurtarma ve tamirat için kural ve strateji dokümanı oluşturmak.
