Üretim Ortamında USB ve Taşınabilir Medya Kontrolü

Segmentasyon ne kadar sıkı olursa olsun, üretim sahasında dosya taşınır: reçete aktarımı, makine yazılımı güncellemesi, PLC proje dosyası, servis teknisyeninin tanılama aracı. Bu akışın büyük kısmı USB bellekle yürür ve ağ kontrollerinin tamamen dışında kalır. Firewall belleği görmez. Bu rehberde USB’yi yasaklamak yerine yönetilebilir hale getirmenin yolunu anlatıyoruz: kullanım senaryoları, tarama istasyonu ve onaylı medya modeli, Windows tabanlı HMI’larda teknik kısıtlamalar ve tedarikçi ziyareti prosedürü.

Taşınabilir medya OT’de neden ana bulaşma yoludur

İzole veya iyi segmentlenmiş bir OT ağında dış dünyaya açılan az sayıda yol kalır. Taşınabilir medya bu yolların en az denetleneni olmaya meyillidir:

• Kaynak kontrolsüz: USB bellek teknisyenin dizüstüsünde, ofis bilgisayarında ya da evde kullanılmış olabilir.
• Hedef zayıf: HMI ve mühendislik istasyonları sıklıkla güncel olmayan Windows sürümleri çalıştırır; antivirüs imzaları geç güncellenir ya da hiç yoktur.
• Görünürlük düşük: Ağ sensörleri ve firewall’lar USB’den gelen dosyayı görmez; olay ancak sonuçları ağda belirdiğinde fark edilir.
• Sadece depolama değil: USB ile bağlanan 4G modemler, ağ adaptörleri ve klavye taklidi yapan cihazlar depolama kısıtlamalarını aşabilir.

Stuxnet vakası, hava boşluğuyla ayrılmış bir tesise taşınabilir medya üzerinden ulaşılabileceğini gösteren en bilinen örnek olarak anılır. Sahada daha sık karşılaşılan tablo ise çok daha sıradan: hedefli olmayan bir zararlı, ofisten getirilen bir bellekle HMI’a bulaşır ve aynı hücredeki diğer Windows makinelerine yayılır.

Kullanım senaryolarının envanteri

Kontrol tasarımına “USB’yi kapatalım” kararıyla başlarsanız kural ilk bakım duruşunda delinir. Gece vardiyasında reçete yüklenmesi gerekir, kimse kimseyi arayamaz, port açılır ve öyle kalır. Önce gerçek ihtiyaçları listeleyin. Her senaryo için sorulacak sorular: hangi dosya, kimden, hangi cihaza, ne sıklıkla taşınıyor ve alternatif bir yol var mı?

Senaryo	Tipik içerik	Alternatif yol
Reçete / parametre aktarımı	CSV, üreticiye özgü reçete dosyası	OT DMZ üzerinden dosya aktarım servisi
PLC proje yedeği	Mühendislik yazılımı proje arşivi	Merkezi proje deposu (OT içinde)
Makine yazılımı güncellemesi	OEM güncelleme paketi	Tarama istasyonundan geçen onaylı medya
Servis tanılaması	Log dosyaları, ekran görüntüsü	Onaylı medyaya yalnız dışa aktarma
Kalite ve üretim raporları	PDF, Excel	Historian veya MES üzerinden ağ aktarımı

Tablo iki sonuç verir: USB’nin gerçekten gerekli olduğu senaryolar daralır, geri kalanlar için ağ üzerinden kontrollü bir aktarım yolu planlanır. Ağ yolu da güvenli olmalı; OT DMZ’deki aktarım servisi aynı tarama ve kayıt kurallarına tabidir. Kontrolsüz paylaşım klasörü, USB’den iyi değildir.

Tarama istasyonu (kiosk) yaklaşımı

Tarama istasyonu, dışarıdan gelen medyanın OT’ye girmeden önce kontrol edildiği ayrı bir bilgisayardır. İşe yarayan bir istasyonda şunlar bulunur:

• Ayrı konum ve ağ: İstasyon OT ağına bağlanmaz. İmza güncellemesi için kısıtlı internet veya IT bağlantısı kullanılır.
• Birden fazla tarama motoru: Tek antivirüs ürünü yerine farklı motorlarla tarama, tespit kapsamını genişletir.
• Dosya türü izin listesi: Senaryo envanterindeki uzantılar dışındaki dosyalar (çalıştırılabilir dosyalar, betikler, makrolu ofis dosyaları) varsayılan olarak reddedilir; istisna onayla açılır.
• Temiz medyaya aktarım: Taranan dosyalar gelen bellekten değil, istasyonun verdiği onaylı medyaya kopyalanır. Gelen bellek OT cihazına hiç takılmaz.
• Kayıt: Her işlemde kişi, tarih, dosya adları ve hash değerleri saklanır.

İstasyonun kendisi de bakım ister. İmzaları aylardır güncellenmemiş, köşede tozlanan bir kiosk sahada sık rastlanan bir manzara; kâğıt üzerinde kontrol var, gerçekte yok. Tarama istasyonu bilinen zararlıları yakalar, ancak hedefli veya yeni zararlılara karşı tek başına yeterli bir endüstriyel siber güvenlik kontrolü değildir. Hedef sistem tarafındaki kısıtlamalar ve dosya türü kısıtı birlikte uygulanır.

Onaylı ve şifreli medya modeli

Onaylı medya modelinde OT cihazlarına yalnız kurumun sağladığı, kayıtlı ve tercihen donanım şifrelemeli bellekler takılır. Modelin unsurları:

1. Her bellek seri numarasıyla kayda alınır ve bir kişiye veya bir hatta zimmetlenir.
2. Bellekler OT dışında kullanılmaz; “OT’ye giriş” ve “OT’den çıkış” için ayrı bellek kullanmak tersine bulaşma riskini de azaltır.
3. Donanım şifrelemeli bellek kaybolduğunda veri sızmaz; proje dosyaları ve reçeteler fikri mülkiyet açısından değerlidir.
4. Hedef cihazlarda yalnız bu belleklerin donanım kimliklerine izin verilir (aşağıdaki teknik bölüm).

Donanım kimliğine (VID/PID) dayalı izin listesi tek başına güçlü bir kontrol değil; bu kimlikler taklit edilebilir. Yine de rastgele bir belleğin takılmasını engeller ve fiziksel kontrol ile prosedürle birleştiğinde anlamlı bir katman oluşturur. Tek katman yetmez.

HMI ve mühendislik istasyonunda cihaz kısıtlama

Windows tabanlı HMI ve mühendislik istasyonlarında iki grup ilkesi ailesi kullanılır. İlki cihaz sürücüsünün kurulmasını engelleyen Device Installation Restrictions; ikincisi kurulmuş depolama sınıflarına erişimi sınırlayan Removable Storage Access ayarları.

İlke (Bilgisayar Yapılandırması › Yönetim Şablonları › Sistem)	Etkisi
Device Installation › Device Installation Restrictions › Prevent installation of devices not described by other policy settings	İzin listesinde olmayan yeni cihazların kurulmasını engeller
… › Allow installation of devices that match any of these device IDs	Onaylı belleklerin ve gerekli çevre birimlerinin donanım kimliklerine izin verir
Removable Storage Access › Removable Disks: Deny write access	Çıkarılabilir disklere yazmayı engeller
Removable Storage Access › All Removable Storage classes: Deny all access	Tüm çıkarılabilir depolama sınıflarına erişimi kapatır

Uygulamada sık takıldığımız noktalar:

• İzin listesi modunda klavye, fare, dokunmatik ekran ve lisans dongle’ı gibi çevre birimleri unutulursa, bunlardan biri değiştiğinde cihaz kullanılamaz hale gelir. Operatör paneli gece yarısı fare kabul etmez. İlk uygulamada mevcut çevre birimlerinin kimliklerini Get-PnpDevice ile çıkarın.
• Kurulum kısıtlamaları varsayılan olarak yalnız yeni kurulumları etkiler. Kimliğe göre engelleyen “Prevent installation of devices that match any of these device IDs” ilkesinde, zaten kurulu cihazlara da uygulamak için “Also apply to matching devices that are already installed” seçeneği ayrıca işaretlenir.
• Bir USB bellek Windows’ta birden fazla cihaz düğümü oluşturur (USB denetleyici tarafı, USBSTOR disk, birim). İzin listesine yalnız USB\VID_xxxx&PID_yyyy kimliğini eklemek yetmeyebilir; onaylı belleği test sisteminde takıp oluşan tüm kimlikleri Get-PnpDevice ile kontrol edin.
• Domain’e bağlı olmayan HMI’larda yerel grup ilkesi veya kayıt defteri kullanılır. Yönetilen ortamda kayıt defteri değişikliği grup ilkesiyle ezilebilir; tek bir yöntem seçin.
• HMI üreticisinin bu kısıtlamalarla uyumluluğu (örneğin lisans için USB dongle kullanımı) önceden doğrulanmalı.

Domain’e bağlı olmayan bir HMI’da yazma engelini ve otomatik çalıştırmanın kapatılmasını uygulayan, USB takma olaylarının denetimini açan örnek komutlar (yönetici PowerShell):

# Çıkarılabilir disklere yazmayı engelle (Removable Disks: Deny write access)
$k = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}'
New-Item -Path $k -Force | Out-Null
New-ItemProperty -Path $k -Name Deny_Write -PropertyType DWord -Value 1 -Force

# Tüm sürücü türlerinde AutoRun/AutoPlay'i kapat
$e = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer'
New-Item -Path $e -Force | Out-Null
New-ItemProperty -Path $e -Name NoDriveTypeAutoRun -PropertyType DWord -Value 255 -Force

# Harici cihaz tanınma olaylarını denetle (Güvenlik günlüğü, olay 6416)
auditpol /set /subcategory:"Plug and Play Events" /success:enable

# Mevcut disk sürücüleri ve donanım kimlikleri
Get-PnpDevice -Class DiskDrive | Select-Object Status, FriendlyName, InstanceId

# Son harici cihaz olayları
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=6416} -MaxEvents 20

Değişikliklerden sonra cihazı yeniden başlatmak veya ilkeleri yenilemek gerekebilir. Ayarları önce bir test HMI’ında veya bakım penceresinde deneyin; canlı operatör panelinde ilk deneme yapılmaz. Intune veya başka bir MDM ile yönetilen sistemlerde aynı ayarlar Microsoft’un DeviceInstallation Policy CSP belgelerinde tanımlı. Mühendislik istasyonlarının USB dışındaki sıkılaştırma adımları mühendislik istasyonu güvenliği rehberinde ele alınıyor.

Tedarikçi servis ziyaretleri için prosedür

Makine üreticisinin teknisyeni kendi bilgisayarı ve belleğiyle geldiğinde taşınabilir medya riski en yüksek noktasındadır. Duruş sürüyor, herkes acele ediyor, kontrol adımları ilk atlanan şey oluyor. Prosedür ziyaretten önce paylaşılmalı ve sözleşmeye bağlanmalı:

1. Ön bildirim: Tedarikçi getireceği yazılım ve dosyaların listesini ziyaretten önce iletir.
2. Giriş kontrolü: Getirilen tüm medya tarama istasyonundan geçer; dosyalar onaylı medyaya aktarılır.
3. Teknisyen bilgisayarı: Mümkünse kurumun sağladığı temiz servis bilgisayarı kullanılır. Teknisyenin kendi bilgisayarı kullanılacaksa ayrı bir servis segmentine bağlanır; güncel koruma yazılımı ve tarama kanıtı istenir.
4. Refakat ve kayıt: İşlemler bakım personeli refakatinde yapılır; hangi cihaza ne yüklendiği kayda geçer.
5. Çıkış: Dışarı alınacak loglar onaylı çıkış belleğine kopyalanır; değişen PLC programı ve yapılandırmanın yedeği alınır.

Uzaktan servis gerektiğinde aynı ilkeler ağ bağlantısına uygulanır; ayrıntılar makine üreticisi uzaktan erişimi rehberinde.

Kontrol listesi ve izleme

• USB kullanım senaryoları listelendi; ağ üzerinden yapılabilenler ağa taşındı.
• Tarama istasyonu kuruldu, imzaları güncel, dosya türü izin listesi tanımlı, işlem kaydı tutuluyor.
• Onaylı bellekler seri numarasıyla kayıtlı ve zimmetli; giriş/çıkış bellekleri ayrı.
• HMI ve mühendislik istasyonlarında cihaz kurulum kısıtlaması ve AutoRun kapatma uygulandı.
• Harici cihaz olayları (6416) merkezi log sistemine toplanıyor; onaysız cihaz için alarm var.
• Tedarikçi prosedürü sözleşmelere eklendi ve bakım ekibine anlatıldı.
• Kullanılmayan portlar fiziksel olarak kilitli.

İzlemede en değerli sinyal, onaylı listede olmayan bir cihazın takılma denemesi. Bu olayları periyodik olarak bakım kayıtlarıyla karşılaştırın; açıklaması olmayan her deneme bir soru işaretidir. Saha personelinin kuralların gerekçesini bilmesi uyumu teknik kontrollerden daha fazla etkiler; konu operatör ve bakım ekibi farkındalık programı ile desteklenmeli. Kontrollerin OT ortamına uyarlanması için OT/ICS ve endüstriyel siber güvenlik hizmetine başvurulabilir.

Sık sorulan sorular

OT’de USB kullanımını tamamen yasaklamak mümkün mü?

Çoğu tesiste mümkün değil; reçete aktarımı, makine güncellemesi ve servis işleri taşınabilir medya gerektirir. Gerçekçi yol, kullanım senaryolarını daraltmak ve kalanları tarama istasyonu ile onaylı medya üzerinden kontrollü hale getirmektir.

Tarama istasyonu zararlı yazılımı her zaman yakalar mı?

Hayır. Tarama istasyonu bilinen zararlıların büyük kısmını yakalar, ancak yeni veya hedefli zararlılara karşı tek başına yetmez. Dosya türü kısıtı, hedef sistemde cihaz kısıtlaması ve olay izlemeyle birlikte kullanılmalı.

Domain’e bağlı olmayan HMI’larda USB nasıl kısıtlanır?

Yerel grup ilkesi veya ilgili kayıt defteri anahtarları kullanılır. Removable Storage Access ayarlarıyla yazma veya tüm erişim engellenir, Device Installation Restrictions ile yalnız onaylı cihazların kurulmasına izin verilir. Ayarlar önce test sisteminde denenir.

USB takma olayları nasıl izlenir?

Gelişmiş denetim ilkesinde Plug and Play Events alt kategorisi etkinleştirildiğinde Windows güvenlik günlüğüne 6416 numaralı olay yazılır. Bu olaylar merkezi log sistemine toplanıp onaylı cihaz listesiyle karşılaştırılır.