Makine Üreticisi Uzaktan Erişimi: Güvenli Tedarikçi Bağlantısı

Hat durdu, üreticinin mühendisi uzaktan bağlanmak istiyor. Çoğu tesiste bu bağlantı IT ve güvenlik ekibinin haberi olmadan çoktan kurulmuştur: panoya yerleştirilmiş bir 4G modem, HMI’ya kurulmuş bir uzak masaüstü aracı ya da üreticinin bulut portalına sürekli bağlı bir ağ geçidi. Bu rehberde mevcut kontrolsüz yolları nasıl bulacağınızı ve onları onaylı, kayıtlı, zamana bağlı bir tedarikçi erişim modeline nasıl taşıyacağınızı anlatıyoruz.

Kontrolsüz tedarikçi erişim yolları

Sahada karşımıza çıkan kontrolsüz erişimler birkaç kalıba ayrılır. Ortak noktaları aynıdır: kurumun firewall’unu ve kimlik doğrulama altyapısını tamamen atlarlar.

• Makineyle birlikte gelen hücresel modem: Üretici, devreye alma sırasında panoya bir endüstriyel 4G router ekler. Cihaz kendi SIM kartıyla internete çıkar, makine ağına ise doğrudan bağlıdır. Sınır firewall’u bu trafiği hiç görmez.
• HMI veya mühendislik istasyonundaki uzak masaüstü aracı: Gözetimsiz erişim (unattended access) modunda kurulmuş araç, parolası tedarikçide duran sürekli açık bir kapıdır. İstasyon OT ağına da bağlı olduğundan saldırgan doğrudan PLC’ye ulaşır.
• Üretici bulut ağ geçidi: Üreticinin platformuna dışa doğru sürekli tünel kuran cihazlar. Kurulumu kolaydır; tünelin hangi kimlik doğrulamayla ve kimler tarafından kullanıldığını ise siz göremezsiniz.
• Kalıcı site-to-site VPN: Entegratörün ofisinden OT ağına sürekli açık tünel. Tedarikçinin ağı ele geçirilirse sizin OT ağınız onun bir uzantısı olur.
• Kişisel VPN hesapları: Kurumsal VPN üzerinden tedarikçiye verilmiş, OT’ye geniş kuralla erişen, süresiz açık kalmış hesaplar.

Bu yolların kurumsal siber güvenlik açısından riski yalnız dışarıdan saldırı değildir. Tedarikçi mühendisi yanlış makineye bağlanabilir, üretim sürerken program yükleyebilir ya da operatörün haberi olmadan parametre değiştirebilir. Bunların her biri emniyet veya kalite olayıdır.

Hedef model: aracı üzerinden, onaylı ve kayıtlı erişim

Hedef mimaride tedarikçi OT ağına hiçbir zaman doğrudan bağlanmaz. Bağlantı, IT ile OT arasındaki endüstriyel DMZ’de (IDMZ) duran bir aracıda sonlanır; buradan yalnız izin verilen hedefe, yalnız gereken protokolle devam eder. Bu yaklaşım, NIST SP 800-82 Rev. 3’teki DMZ üzerinden dolaylı erişim önerisiyle ve IEC 62443’ün zon–kanal modeliyle örtüşür.

1. Tedarikçi, kişiye özel hesabıyla ve MFA ile kurumun uzaktan erişim katmanına (VPN, ZTNA veya güvenli uzaktan erişim platformu) bağlanır.
2. Erişim katmanı kullanıcıyı yalnız IDMZ’deki atlama sunucusuna veya PAM ağ geçidine yönlendirir; OT alt ağlarına rota vermez.
3. Atlama sunucusundan hedef HMI, mühendislik istasyonu veya PLC’ye erişim, oturum süresince açılan dar bir firewall kuralıyla sağlanır.
4. Oturum boyunca ekran, komut ve dosya aktarımı kaydedilir; sahadaki sorumlu operatör oturumdan haberdardır.
5. Süre dolduğunda hesap ve kural otomatik kapanır.

Atlama sunucusunun kendisi kritik varlıktır. Kurumsal domaine üye olmamalı ya da ayrı bir yönetim forest’ında durmalı, internete doğrudan çıkışı olmamalı, üzerinde yalnız gerekli mühendislik yazılımları bulunmalıdır. Sahada en sık gördüğümüz hata, atlama sunucusunun zamanla herkesin her işi yaptığı genel amaçlı bir makineye dönüşmesidir. O noktada aracı değil, yeni bir saldırı yüzeyidir. IT ile OT arasındaki genel ayrım için IT/OT segmentasyonu rehberine bakabilirsiniz; burada o ayrımın üzerinden geçen tedarikçi trafiğine odaklanıyoruz.

Erişim yöntemleri karşılaştırması

Her tesise uyan tek yöntem yok. Aşağıdaki tablo yaygın seçenekleri güvenlik özellikleri açısından karşılaştırır.

Yöntem	Görünürlük	Erişim kapsamı	Temel sınırlama
Makinedeki 4G modem	Yok	Makine ağının tamamı	Kurum firewall’unu atlar
HMI’da uzak masaüstü aracı	Düşük	HMI ve bağlı ağ	Sürekli açık, paylaşılan parola
Doğrudan VPN ile OT ağı	Orta	Kurala bağlı, çoğunlukla geniş	Tedarikçi cihazı OT’ye girer
IDMZ atlama sunucusu	Yüksek	Tanımlı hedefler	Kayıt ve onay ayrıca kurulmalı
PAM / güvenli uzaktan erişim platformu	Yüksek	Hedef ve protokol bazlı	Lisans ve işletim yükü

Pratikte çoğu tesis IDMZ atlama sunucusuyla başlar. Tedarikçi sayısı ve oturum sıklığı arttıkça onay akışını ve kaydı yerleşik sunan bir PAM ya da OT’ye yönelik güvenli uzaktan erişim çözümüne geçilir. Erişim katmanını seçerken ZTNA ve VPN karar kriterleri yazısı işinize yarar; VPN kullanacaksanız kurumsal VPN güvenlik kontrolleri bu senaryoda da geçerlidir.

Talep, onay ve zaman kısıtlı oturum akışı

Teknik altyapı tek başına yetmez; her oturum bir iş kaydına bağlanmalıdır. Sahada işleyen akış şudur:

1. Talep: Bakım planlaması veya üretim sorumlusu iş kaydı açar: hangi makine, hangi amaç, hangi tedarikçi kişisi, tahmini süre.
2. Operasyon onayı: Hat sorumlusu, oturumun üretim durumuna uygun olduğunu onaylar. Program yüklemesi veya parametre değişikliği varsa hattın durdurulma koşulları burada belirlenir.
3. Güvenlik onayı: Rutin işlerde önceden tanımlı şablonla otomatik verilir; olağan dışı hedeflerde OT güvenlik sorumlusu onaylar.
4. Etkinleştirme: Tedarikçi hesabı ve ilgili firewall kuralı yalnız onaylı zaman penceresi için açılır.
5. Oturum: Sahadaki operatör oturumun başladığını bilir; gerekirse izler ve sonlandırır.
6. Kapanış: Tedarikçi yaptığı değişiklikleri iş kaydına yazar, hesap kapanır, değiştirilen PLC programı yedeklenir ve önceki sürümle karşılaştırılır.

Acil arıza için ayrı ve hızlı bir onay yolu tanımlayın. Tanımlamazsanız gece vardiyasındaki ilk arızada ekipler kapattığınız modemi yeniden açar. Bunu defalarca gördük. Acil yol da kayıt dışı kalmamalı; yalnız onay adımı sonradan tamamlanabilir olmalıdır.

Oturum kaydı ve izleme

Oturum kaydı hem caydırır hem de olay sonrası incelemenin ana kaynağıdır. Kayıt kapsamı en az şunları içermeli:

• Kullanıcı, kaynak IP, başlangıç ve bitiş zamanı, bağlanılan hedef
• Grafik oturumlarda ekran kaydı; SSH veya Telnet oturumlarında komut kaydı
• Dosya aktarımları: dosya adı, yön, boyut ve mümkünse hash değeri
• Oturum sırasında açılan ek bağlantılar

Kayıtları atlama sunucusunun üzerinde değil, ayrı ve değiştirilemez bir depoda saklayın. Atlama sunucusunu ele geçiren, üzerindeki kaydı da siler. Oturum açılış/kapanış olaylarını SIEM’e gönderin ve onaylı zaman penceresi dışındaki her girişi alarm kuralına bağlayın. OT ağında pasif izleme sensörü varsa, tedarikçi oturumu sırasında görülen PLC yazma ve program indirme olaylarını oturumla eşleştirin; değişikliğin yetkili olup olmadığını böylece dakikalar içinde ayırırsınız. Bu izleme kurgusu OT saldırı tespiti yazısında ayrıntılı anlatılıyor.

Sözleşme ve teknik gereklilikler

Tedarikçi erişimi teknik olduğu kadar sözleşme konusudur. IEC 62443-2-4, sistem entegratörü ve servis sağlayıcıların karşılaması gereken güvenlik yeteneklerini tanımlar ve satın alma şartnamelerinde referans olarak kullanılabilir. Sözleşmeye veya teknik şartnameye eklenmesini önerdiğimiz maddeler:

• Erişimin yalnız kurumun sağladığı yöntemle yapılacağı; tedarikçinin kendi modemini veya uzak erişim aracını kurmayacağı
• Erişecek kişilerin isim listesi ve bu listedeki değişikliklerin bildirim süresi
• Hesapların kişiye özel olacağı, paylaşılmayacağı ve MFA kullanılacağı
• Tedarikçinin kendi tarafında yaşadığı güvenlik olaylarını bildirme yükümlülüğü
• Bağlantı için kullanılan cihazların güncel ve zararlı yazılım korumalı olması
• Makinenin ihtiyaç duyduğu port, protokol ve hedeflerin yazılı listesi
• Yapılan her değişikliğin iş kaydına işlenmesi ve güncel programın teslimi

Bu maddeleri yeni makine alımında teklif aşamasında şartnameye koyun. Devreye almadan sonra pazarlık etmek çok daha zordur; makine sahadadır ve elinizde koz kalmamıştır. Tedarikçilerin genel siber risk değerlendirmesi, anket ve sözleşme süreçleri tedarikçi ve üçüncü taraf siber risk yönetimi kapsamında ele alınabilir.

Mevcut erişimlerin envanteri ve kapatılması

Yeni modeli kurmadan önce mevcut yolları bulun. Envanter üç kaynaktan beslenir: fiziksel saha turu, ağ trafiği ve uç nokta incelemesi.

Saha turu

Makine panolarında anten, SIM kart yuvası veya tanımadığınız ağ cihazı arayın. Bakım ekibine ve makine sorumlularına “arıza olduğunda üretici nasıl bağlanıyor?” diye doğrudan sorun. Yanıtlar çoğu zaman dokümanda olmayan yolları ortaya çıkarır.

Ağ trafiği

Sınır firewall’unda OT alt ağlarından internete giden bağlantıları ve DNS sorgularını inceleyin. Uzak masaüstü araçlarının ve üretici portallarının alan adlarına giden düzenli trafik, gözetimsiz erişimin işaretidir. Pasif varlık keşfi yaptıysanız OT ağında tanımlanamayan router’lar veya ikinci bir varsayılan ağ geçidi kullanan cihazlar da bu yolla görünür; yöntem için OT ağlarında pasif varlık keşfi yazısına bakın.

Uç nokta incelemesi

Windows tabanlı HMI ve mühendislik istasyonlarında kurulu uzak erişim yazılımlarını ve kalıcı dış bağlantıları listeleyin. Aşağıdaki PowerShell komutları yerelde, hiçbir şeyi değiştirmeden bilgi toplar:

# Kurulu uygulamalarda uzak erişim araçlarını ara
$keys = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*',
        'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*'
Get-ItemProperty $keys -ErrorAction SilentlyContinue |
  Where-Object { $_.DisplayName -match 'TeamViewer|AnyDesk|VNC|RustDesk|Splashtop' } |
  Select-Object DisplayName, DisplayVersion, InstallDate

# Çalışan ilgili servisler
Get-Service | Where-Object { $_.DisplayName -match 'TeamViewer|AnyDesk|VNC' } |
  Select-Object Name, Status, StartType

# Kurulu bağlantılar ve sahibi olan süreç
Get-NetTCPConnection -State Established |
  Select-Object LocalAddress, RemotePort, RemoteAddress,
    @{n='Process';e={(Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue).ProcessName}}

Bulduğunuz her yol için karar verin: kaldır, kurum aracısına taşı ya da geçici olarak kabul et ve telafi edici kontrol uygula. Kapatmayı makine sorumlusuyla planlayın ve yeni yolu test etmeden eskisini sökmeyin. Bir sonraki arızada çalışmayan erişim yöntemi, kontrolsüz yolun geri gelmesi demektir.

Bu dönüşümü OT güvenlik programının parçası olarak yürütmek, envanter, izleme ve olay müdahalesiyle tutarlı kılar; kapsamlı yaklaşım için OT/ICS ve endüstriyel siber güvenlik hizmetine göz atabilirsiniz. Başlamak için iki adım yeter: mevcut yolların listesini çıkarın, en sık bağlanan tedarikçiyi ilk olarak atlama sunucusu modeline taşıyın. OT uzaktan erişim mimarisi için temel dış referans NIST SP 800-82 Rev. 3 belgesidir.

Sık sorulan sorular

Makine üreticisi kendi 4G modemini kaldırmamızı kabul etmezse ne yapılmalı?

Modem kalacaksa en azından sökülebilir anahtarla ya da kontaktörle kesilebilir hale getirin, normalde kapalı tutun ve yalnız onaylı oturum süresince açın. Modemin hangi ağa bağlandığını, hangi portları açtığını ve bulut hesabının kimde olduğunu yazılı isteyin. Sözleşme yenilemesinde kurum aracısı üzerinden erişimi şart koşun.

Tedarikçi erişiminde paylaşılan hesap kullanmak neden sorun?

Paylaşılan hesapta oturumu kimin açtığını bilemezsiniz; tedarikçide işten ayrılan kişinin erişimi fark edilmeden sürer ve parola değiştiğinde tüm servis aksar. Kişiye özel hesap, MFA ve oturum kaydı birlikte kullanılınca hem sorumluluk hem olay incelemesi mümkün olur.

Oturum kaydı ne kadar süre saklanmalı?

Sabit bir zorunlu süre yoktur; süreyi olay inceleme ihtiyacınız, tedarikçi sözleşmesi, iç denetim döngünüz ve kayıtların kişisel veri içerip içermediği belirler. Saklama süresini yazılı politikaya bağlayın, kayıtları değiştirilemez bir depoda tutun ve süresi dolanları düzenli silin.

ZTNA ürünü bu ihtiyacı tek başına karşılar mı?

Hayır. ZTNA kimlik doğrulamasını ve uygulama düzeyinde erişimi iyileştirir; ama OT’de onay akışı, operatörün haberdar edilmesi, oturum kaydı ve hedef cihaza yalnız gerekli protokolle erişim ayrıca tasarlanmalıdır. Seçtiğiniz ürünün bu işlevleri karşılayıp karşılamadığını tek tek doğrulayın.