OT Ağlarında Pasif Varlık Keşfi: Yöntem, Sensör Yeri ve Sınırlar

Segmentasyon, izleme ve yama kararı aynı soruya takılır: sahada hangi cihaz var, hangi firmware’i çalıştırıyor, kiminle konuşuyor? Bu soruyu yanıtlamadan çizilen zon diyagramı kâğıt üzerinde kalır. OT ağında bu bilgiyi toplamanın en güvenli yolu, ağa tek paket göndermeden trafiği dinlemektir. Aşağıda pasif varlık keşfini nasıl kurduğumuzu, sensörü nereye koyduğumuzu ve yöntemin nerede tıkandığını anlatıyoruz; hedef okur, OT envanteri başlatacak güvenlik ve otomasyon ekipleri.

OT’de aktif tarama neden risklidir

IT tarafında varlık keşfi alışkanlıkla aktif taramayla yapılır: ICMP süpürmesi, port taraması, servis ve işletim sistemi parmak izi. Aynı tarayıcıyı üretim ağına saldığınızda tablo değişir. Eski nesil PLC’lerin, haberleşme modüllerinin ve gömülü HMI’ların TCP/IP yığınları kısıtlı kaynakla, belirli bir trafik deseni varsayılarak yazılmıştır. Standart dışı bayraklı paketler, yarım bırakılan TCP oturumları ve kısa sürede açılan onlarca bağlantı bu cihazlarda şu sonuçları doğurabilir:

• Bağlantı tablosunun dolması: Birçok endüstriyel cihaz aynı anda yalnız birkaç TCP oturumu kabul eder. Tarayıcı bu yuvaları tüketirse HMI veya SCADA sunucusu cihaza bağlanamaz.
• Haberleşme modülünün hataya düşmesi: İşletim sistemi tespiti için yollanan tuhaf paketler bazı modülleri yeniden başlatır ya da hata durumuna sokar.
• Zaman kritik trafiğin bozulması: Gerçek zamanlı I/O taşıyan segmentte ek yük, kontrol döngüsünde zaman aşımı üretebilir.
• Emniyet sistemine etki: Emniyet PLC’sinde (SIS) haberleşme kaybı, tasarım gereği prosesi güvenli duruma götürür. Bu, plansız duruş demektir.

Her cihaz böyle tepki vermez. Sorun, hangisinin vereceğini önceden bilmemenizdir. Kurumsal siber güvenlik açısından envanter çalışmasının amacı da zaten bu bilinmezliği kaldırmak. Bu yüzden ilk adım hiç paket göndermeyen pasif gözlemdir.

Pasif keşif: SPAN, TAP ve sensör yerleşimi

Pasif keşifte mevcut trafiğin kopyası analiz sensörüne aktarılır. Kopyayı almanın iki temel yolu var:

Yöntem	Avantaj	Sınırlama
SPAN (port mirroring)	Ek donanım gerekmez, uzaktan yapılandırılır	Aşırı yüklenmede paket düşürür; hatalı çerçeveler kopyalanmaz; switch CPU’suna yük getirebilir
Pasif TAP	Kayıpsız kopya, ağ cihazından bağımsız	Kurulum için hattın kısa süre kesilmesi gerekir; her bağlantı için ayrı donanım
Agregasyon TAP / paket broker	Çok sayıda noktayı tek sensörde toplar	Maliyet ve ek yönetim yükü

Cisco IOS tabanlı bir dağıtım switch’inde yerel SPAN oturumu şöyle tanımlanır:

monitor session 1 source interface GigabitEthernet1/0/1 - 12 both
monitor session 1 destination interface GigabitEthernet1/0/48
!
show monitor session 1

Hedef port yalnız sensöre bağlanır, başka trafik taşımaz. Kaynak portların toplam trafiği hedef portun kapasitesini aşarsa kayıp kaçınılmazdır; o zaman kaynakları bölersiniz ya da TAP’e geçersiniz. Konsolda ilk bakılacak yer show monitor session çıktısı ve hedef porttaki output drop sayacıdır. Sayaç artıyorsa sensörün gördüğü resim eksiktir.

Sensör nereye konmalı?

Sahada en sık gördüğümüz hata, sensörü yalnız IT/OT sınırındaki firewall’a veya çekirdek switch’e takmak. O noktadan SCADA, historian ve uzak erişim trafiği görünür; hücre içindeki PLC–I/O haberleşmesi görünmez. PROFINET gerçek zamanlı trafiği (Ethertype 0x8892) ve EtherNet/IP I/O trafiği çoğunlukla hücre switch’inden dışarı çıkmaz, yönlendirilmez. Pratik yerleşim sırası:

1. Seviye 3 ile seviye 2 arasındaki geçiş: SCADA, HMI, mühendislik istasyonu ve PLC arasındaki denetim trafiği.
2. Hücre veya hat switch’lerinin uplink portları: hücre içi trafiğin yönlendirilen kısmı ve yayın trafiği.
3. Kritik hücrelerde hücre switch’inin kendisi: PLC ile saha cihazları arasındaki Katman 2 trafiği.

Yerleşimi yapmadan önce topoloji çizimi güncel olmalı. Purdue seviyeleri ve hücre sınırları belirsizse önce mevcut IT/OT segmentasyon yapısının çıkarılması gerekir. Çizim yanlışsa sensör de yanlış yerdedir.

Endüstriyel protokollerden çıkarılabilen varlık bilgisi

Pasif keşfin gücü, endüstriyel protokollerin cihaz kimliğini kendi içinde taşımasından gelir. Ama bu bilgi yalnız ilgili mesaj ağda dolaştığında görünür. Hangi bilginin hangi koşulda çıktığı aşağıda:

Protokol (port)	Çıkarılabilen bilgi	Görünür olma koşulu
Modbus TCP (502/tcp)	Master–slave ilişkileri, unit ID, fonksiyon kodları; FC 43/14 ile üretici, ürün kodu, revizyon	Read Device Identification yalnız biri sorguladığında görünür
S7comm (102/tcp)	CPU tipi, sipariş numarası, firmware, modül bilgisi	Mühendislik yazılımı veya HMI SZL okuması yaptığında
EtherNet/IP (44818/tcp, 2222/udp)	Vendor ID, cihaz tipi, ürün kodu, revizyon, seri numarası, ürün adı	List Identity yanıtı ağda dolaştığında
PROFINET DCP (Katman 2)	Station name, vendor ID, device ID, IP ayarları	Mühendislik aracı veya controller DCP Identify gönderdiğinde
Genel (ARP, DHCP, LLDP, SNMP)	MAC/OUI, IP, host adı, switch port komşulukları	Sürekli

Tabloda asıl bakılacak sütun “görünür olma koşulu”. Bir S7 CPU’nun firmware sürümü, ancak mühendislik istasyonu o CPU’ya bağlanıp tanılama bilgisi okuduğunda trafiğe düşer. Aylardır kimsenin bağlanmadığı bir PLC için pasif sensörün bildiği şey IP, MAC, OUI üzerinden üretici ve haberleşme ilişkisidir. Fazlası yok. Yeni nesil S7-1200/1500 ailesinin kullandığı S7comm-plus ve şifreli oturumlar çözümlenebilecek alanı daha da daraltır.

Ham trafiğe ilk bakışı açık kaynak araçlarla yapabilirsiniz. Zeek’te Modbus ve DNP3 ayrıştırıcıları yerleşik gelir; CISA’nın ICSNPP projesi S7comm, EtherNet/IP ve PROFINET gibi protokoller için ek Zeek ayrıştırıcıları sunar. Wireshark’ın komut satırı aracı tshark ile hızlı bir ilişki haritası çıkar:

# IP konuşma çiftleri ve hacimleri
tshark -r hucre3.pcapng -q -z conv,ip

# Katman 2 uç noktaları (MAC adresleri)
tshark -r hucre3.pcapng -q -z endpoints,eth

# Modbus istekleri: kaynak, hedef, fonksiyon kodu
tshark -r hucre3.pcapng -Y "modbus" -T fields -e ip.src -e ip.dst -e modbus.func_code | sort | uniq -c

Ticari OT görünürlük platformları aynı işi sürekli ve otomatik yapar, ancak aynı protokol sınırına takılırlar. “Tüm varlıkları otomatik keşfeder” cümlesinin arkasında hep bir şart vardır: ilgili mesajın ağda dolaşması.

Pasif, seçici aktif ve manuel yöntem karşılaştırması

Pasif keşif tek başına eksiksiz envanter çıkarmaz. Boşlukları iki yöntem doldurur. Seçici aktif sorgu, cihazın kendi protokolüyle, düşük hızda ve hedefli yapılan sorgudur: Modbus cihazına FC 43/14 isteği, EtherNet/IP cihazına List Identity, Siemens cihazlarında üreticinin kendi aracıyla erişilebilir düğüm taraması gibi. Bunlar cihazın normal işletimde zaten yanıtladığı mesajlardır; port taraması gibi rastgele değildir. Yine de ilk deneme bakım penceresinde, operasyon onayıyla ve önce test ortamında veya kritik olmayan bir hücrede yapılır.

Manuel envanter ağda hiç görünmeyen bilgiyi toplar: seri hat üzerinden konuşan cihazlar, ağa bağlı olmayan operatör panelleri, pano içindeki I/O modülleri, fiziksel konum ve sorumlu kişi. Pano kapağını açmadan bu bilgi gelmez.

Kriter	Pasif	Seçici aktif	Manuel
Üretime etkisi	Yok	Düşük, kontrollü	Yok (saha erişimi gerekir)
Firmware/seri no	Koşullu	Genellikle evet	Evet (etiket, panel)
Haberleşme ilişkileri	Evet	Hayır	Kısmen (dokümandan)
Ağa bağlı olmayan cihazlar	Hayır	Hayır	Evet
Süreklilik	Sürekli	Periyodik	Periyodik

Çalışma sırası şöyle: önce birkaç haftalık pasif gözlem, sonra boşluklar için hedefli aktif sorgu, en son saha turuyla doğrulama. Pasif gözlem vardiya değişimlerini, reçete değişikliklerini ve en az bir bakım faaliyetini kapsayacak kadar uzun tutulursa mühendislik trafiği de yakalanır. Kısa tutarsanız firmware sütunu boş kalır.

OT varlık envanterinde tutulacak alanlar

Envanterin işe yarayıp yaramaması, alanların sonraki süreçlere göre seçilmesine bağlı. Zafiyet eşlemesi ürün ve firmware bilgisi ister, olay müdahalesi sorumlu ve konum ister, segmentasyon iletişim ilişkisi ister. Asgari alan seti:

• Kimlik: Etiket/tag adı, üretici, model, sipariş numarası (ör. Siemens MLFB), seri numarası.
• Yazılım: Firmware sürümü, HMI veya SCADA yazılım sürümü, işletim sistemi ve yama seviyesi.
• Ağ: IP, MAC, VLAN, bağlı olduğu switch ve port, PROFINET station name.
• Haberleşme: Kullandığı protokoller, konuştuğu cihazlar, rolü (master/slave, client/server).
• Operasyon bağlamı: Hat, hücre, proses fonksiyonu, kritiklik derecesi, emniyet fonksiyonu taşıyıp taşımadığı.
• Sorumluluk: Bakım sorumlusu, makine üreticisi (OEM), destek sözleşmesi, uzaktan erişim yolu.
• Kaynak ve tarih: Bilginin hangi yöntemle (pasif/aktif/manuel) ve ne zaman doğrulandığı.

Son madde çoğu envanterde atlanıyor. “Firmware V2.8” bilgisi iki yıl önceki bir saha turundan mı geldi, dün yakalanan bir SZL yanıtından mı? Zafiyet kararında bu fark doğrudan sonucu değiştirir. Bu alanlar, OT zafiyet ve yama kararlarının girdisidir.

Envanterin güncel tutulması ve doğrulama

Tek seferlik proje çıktısı olarak bırakılan envanter birkaç ay içinde sahadan kopar. Yeni pano eklenir, bir modül değişir, OEM bir dizüstüyü hücreye bağlar. Sürekli pasif sensör varsa güncelleme otomatik olaylara bağlanabilir:

• Daha önce görülmemiş bir MAC/IP ağda belirdiğinde kayıt açılır ve sahibi aranır.
• Bir cihazın firmware veya ürün bilgisi değiştiğinde (ör. List Identity yanıtında farklı revizyon) değişiklik kaydıyla karşılaştırılır.
• Yeni bir iletişim ilişkisi çıktığında (ör. bir PLC’nin ilk kez bir ofis IP’siyle konuşması) olay güvenlik izlemesine aktarılır; bu, OT saldırı tespiti çalışmasının da temelidir.

Doğrulama için üç ölçüt başlangıçta yeterli: switch MAC adres tablolarındaki aktif port sayısını envanterdeki ağ bağlantılı cihaz sayısıyla karşılaştırmak, rastgele seçilen birkaç panoda saha turuyla kayıtları eşleştirmek ve firmware alanı dolu kayıtların oranını dönemsel izlemek. Bu karşılaştırmaları her bakım duruşunda tekrarlarsanız sapma erken görünür. Tekrarlamazsanız envanter sessizce eskir.

Envanter, IEC 62443 kapsamındaki zon ve kanal tasarımının ve risk değerlendirmesinin de ön koşulu. Varlık listesini bu çerçevede yapılandırmak isteyen ekipler IEC 62443 danışmanlığı ile, sahadaki keşif ve değerlendirme çalışmasını planlayanlar OT/ICS güvenlik hizmeti ile ilerleyebilir. Yöntemin genel çerçevesi için NIST’in SP 800-82 Rev. 3 OT güvenlik rehberi başvuru kaynağıdır.

Sık sorulan sorular

Pasif keşif tüm OT varlıklarını bulur mu?

Hayır. Pasif sensör yalnız trafik üreten ve kendi gördüğü segmentteki cihazları bulur. Seri hat cihazları, ağa bağlı olmayan paneller ve uzun süredir haberleşmeyen cihazlar için seçici aktif sorgu ve saha turu şarttır.

SPAN mı TAP mi tercih edilmeli?

Geçici keşif ve düşük trafikli segmentlerde SPAN çoğu zaman yeter. Kayıpsız ve sürekli görünürlük isteyen kritik bağlantılarda, özellikle switch yük altındaysa pasif TAP daha güvenilir veri verir.

Pasif gözlem ne kadar sürmeli?

Sabit bir süre yok. Gözlem vardiya değişimlerini, reçete veya ürün değişikliklerini ve en az bir bakım ya da mühendislik faaliyetini kapsamalı. Kapsamazsa yalnız rutin trafik görülür, firmware gibi bilgiler boş kalır.

Seçici aktif sorgu tamamen risksiz midir?

Risk düşük ama sıfır değil. Sorgu cihazın kendi protokolüyle ve yavaş yapılsa da ilk uygulama bakım penceresinde, operasyon onayıyla ve önce kritik olmayan bir hücrede denenmeli.