Fidye Yazılımı OT’ye Nasıl Sıçrar? Yayılma Yolları ve Kesme Noktaları

Üretimi durduran fidye yazılımı olaylarının çoğunda saldırgan PLC’ye hiç dokunmaz. Saldırı kurumsal ağda başlar; ortak kimlik altyapısı, veri aktarım sunucuları veya uzak erişim yolları üzerinden HMI ve SCADA sunucularına ulaşır ya da yalnız IT sistemlerini şifreleyip hattı dolaylı olarak durdurur. Aşağıda IT’den OT’ye uzanan tipik yayılma yollarını tek tek ele alıyor, her biri için kesme noktasını ve “IT çökerse üretim ne kadar devam eder” sorusunu yanıtlayan bağımlılık analizini veriyoruz.

Üretim doğrudan saldırı olmadan da durur

2021’deki Colonial Pipeline olayında fidye yazılımı kurumsal IT sistemlerini etkilemiş, şirket tehdidi sınırlamak için boru hattı operasyonunu önlem amaçlı durdurmuştu. Kamuya açık bu örnek, OT şifrelenmeden de üretimin durabileceğini gösterir. Durmanın üç tipik nedeni var:

• Bağımlılık: İş emri, reçete, etiket, kalite onayı veya sevkiyat bilgisi IT sistemlerinden geliyorsa, bu sistemler kapandığında hat fiziksel olarak çalışsa bile ürün çıkaramaz.
• Belirsizlik: OT’nin etkilenip etkilenmediği bilinmiyorsa yönetim, emniyet ve kalite riskine karşı üretimi durdurmayı seçer.
• Gerçek yayılma: Fidye yazılımı OT’deki Windows sunucularına ve istemcilerine ulaşır; HMI ve SCADA ekranları kaybolur, operatör prosesi göremez.

Bu yüzden endüstriyel siber güvenlik açısından korunma iki soruya cevap vermeli: Fidye yazılımı OT’ye hangi yollardan ulaşır? Ulaşmasa bile üretim IT’ye ne kadar bağımlı?

Yayılma yolu: paylaşılan kimlik altyapısı

En tehlikeli yol, OT sunucularının ve istemcilerinin kurumsal Active Directory’ye üye olmasıdır. İnsan tarafından yönetilen fidye yazılımı operasyonlarında saldırgan genellikle önce domain yöneticisi düzeyinde yetki elde eder, sonra grup ilkesi (GPO), zamanlanmış görevler veya uzaktan yönetim araçlarıyla yükü tüm domaine dağıtır. OT bilgisayarları aynı domaindeyse ayrım yapılmaz. Hepsi aynı anda gider.

Aynı etki başka kapılardan da gelir: OT’de kurumsal yönetici hesaplarının kullanılması, aynı yerel yönetici parolasının IT ve OT’de tekrarlanması, tüm uç noktaları yöneten tek bir EDR veya yazılım dağıtım konsolu. Merkezi yönetim konsolu ele geçirilirse OT’deki ajanlar saldırganın aracına dönüşebilir.

Mevcut durumu görmek için OT bilgisayarlarının hangi domainde olduğunu ve kurumsal ayrıcalıklı grupların içeriğini listeleyin:

# OT OU'sundaki bilgisayarlar (OU yolunu kendi yapınıza göre değiştirin)
Get-ADComputer -SearchBase "OU=Uretim,DC=kurum,DC=local" -Filter * `
  -Properties OperatingSystem, LastLogonDate |
  Select-Object Name, OperatingSystem, LastLogonDate

# Kurumsal ayrıcalıklı grupların üyeleri
foreach ($g in "Domain Admins","Enterprise Admins","Administrators") {
  Get-ADGroupMember -Identity $g -Recursive |
    Select-Object @{n='Grup';e={$g}}, Name, objectClass
}

Bu çıktıyı OT bilgisayarlarındaki yerel Administrators grubunun içeriğiyle karşılaştırın. Hedef, OT sunucularında oturum açabilen kurumsal ayrıcalıklı hesapların tam listesidir. Sahada bu listede çoğu zaman yıllar önce ayrılmış bir yüklenicinin hesabı ya da “geçici” eklenmiş bir yardım masası grubu çıkar. Listedeki her hesap, ele geçirildiğinde OT’ye yayılma aracıdır.

Kesme noktası: OT için ayrı bir AD forest veya domainsiz (workgroup) yönetim, kurumsal yönetici hesaplarının OT’de kullanılmaması ve OT için ayrı yönetim araçları. Kurumsal tarafta yönetici hesaplarının katmanlanması da yayılmayı zorlaştırır; bu yaklaşım Active Directory tier modeli yazısında anlatılıyor.

Yayılma yolu: historian, MES ve veri aktarımı

Üretim verisinin IT’ye akması iş açısından gerekli. Sorun akışın nasıl kurulduğudur. Sahada sık gördüğümüz riskli tasarımlar:

• IT’deki raporlama sunucusunun OT’deki historian veritabanına doğrudan SQL bağlantısı kurması
• MES sunucusunun IT ağında durup OT’deki HMI ve PLC’lere çift yönlü bağlantı açması
• Reçete, NC programı veya etiket dosyalarının IT’deki bir SMB paylaşımından OT istemcilerine çekilmesi
• İki ağa birden bağlı (dual-homed) sunucuların köprü işlevi görmesi

SMB paylaşımları ayrıca tehlikelidir: fidye yazılımı erişebildiği ağ paylaşımlarını tarayıp şifreler ve o paylaşıma bağlı tüm istemciler aynı anda etkilenir. Tek paylaşım, bütün hat.

Kesme noktası: IT ile OT arasındaki tüm veri alışverişinin IDMZ’de sonlanması. Historian için OT’den IDMZ’deki kopyaya tek yönlü replikasyon, dosya aktarımı için IDMZ’de denetimli bir aktarım sunucusu ve IT’den OT’ye doğrudan geçen hiçbir iletişimin olmaması temel kuraldır. Bu ayrımın ağ tasarımı IT/OT segmentasyonu rehberinde ele alınıyor.

Yayılma yolu: atlama sunucusu ve uzak erişim

OT’ye erişim için kurulmuş atlama sunucusu yanlış tasarlanırsa saldırgana hazır bir geçittir. Kurumsal domaine üye, kurumsal hesaplarla RDP yapılan ve OT ağına geniş erişimi olan bir atlama sunucusu, domain düştüğü anda OT’nin giriş kapısı olur. HMI’lara kurulmuş uzak masaüstü araçları ve tedarikçilerin kalıcı VPN tünelleri de IT’yi tamamen atlayan yollar açar.

Kesme noktası: Atlama sunucusunun ayrı kimlik altyapısında olması, erişimde MFA, OT’ye yalnız tanımlı hedef ve protokollerle erişim, panoya kopyalama ve sürücü yönlendirme gibi RDP özelliklerinin kapatılması. Tedarikçi bağlantılarını bu modele taşımak için makine üreticisi uzaktan erişimi yazısına bakın.

Yayılma yolu: ortak altyapı servisleri

Daha az görünen bağımlılıklar da aynı ölçüde tehlikelidir: OT sunucularını yedekleyen kurumsal yedekleme sunucusu, OT’ye güncelleme dağıtan kurumsal WSUS, IT ve OT’nin ortak kullandığı sanallaştırma kümesi, tek bir hipervizör yönetim konsolu. Sanallaştırma katmanını şifreleyen saldırılarda aynı kümede çalışan OT sanal makineleri de etkilenir. Hipervizör düşerse üstündeki her şey düşer.

Kesme noktası: OT sanal altyapısının ayrı kümede ve ayrı yönetim ağında olması; OT yedeklerinin kurumsal kimlikle erişilemeyen, değiştirilemez bir depoda tutulması. Yedek tarafındaki ayrım için yedek altyapısında kimlik izolasyonu yazısı uygulanabilir adımlar veriyor.

IT bağımlılık analizi: üretim IT’siz ne kadar çalışır

Yayılma yollarını kesmek, üretimin IT kesintisinden etkilenmeyeceği anlamına gelmez. Bu yüzden her hat veya tesis için bağımlılık analizi yapılır. Analizi operasyon, bakım, kalite ve lojistik temsilcileriyle bir çalıştayda yürütün; her IT servisi için “bu servis yarın sabah çalışmazsa ne olur?” diye sorun. Aşağıdaki tablo örnek bir çalışma formatıdır; süreleri tesisinize göre doldurun.

IT servisi	Üretimdeki işlevi	Manuel alternatif	Dayanma süresi
ERP / iş emri	Ne üretileceği	Basılı üretim planı	Planın kapsadığı süre
MES	Reçete, izlenebilirlik	Yerel reçete kopyası, kâğıt form	Tesise göre belirlenir
Etiket / barkod sunucusu	Ürün ve palet etiketi	Önceden basılmış etiket stoğu	Stok miktarı kadar
Lisans sunucusu	SCADA/HMI yazılım lisansı	Üreticiye göre ödünç süresi	Üretici dokümanından doğrulayın
AD, DNS, NTP	Oturum, ad çözümleme, zaman	OT’de yerel servisler	Yerel servis varsa kesintisiz

Lisans sunucusu satırı en sık atlanan satırdır. Bazı SCADA ve HMI yazılımları lisansı ağ üzerinden doğrular ve bağlantı kaybında belirli bir süre sonra çalışmayı durdurabilir. Bu davranışı her ürün için üreticiden yazılı teyit edin. Analizin çıktısı, iş sürekliliği planının OT bölümüne girdi olur; uyum açısından planın kurgusu üretimde IT/OT iş sürekliliği yazısında anlatılıyor.

Kesme noktaları ve önceliklendirme tablosu

Aşağıdaki tablo her yayılma yolunu kesme noktası ve uygulama zorluğuyla yan yana koyar. Önceliklendirmedeki ilke basit: en geniş etki alanını kapatan ve üretime en az dokunan kontrolle başlayın.

Yayılma yolu	Kesme noktası	Zorluk	Öncelik
Ortak AD	Ayrı OT kimlik altyapısı	Yüksek	1
IT’den OT’ye doğrudan bağlantı	IDMZ’de sonlanan akışlar	Orta	1
Uzak erişim / atlama sunucusu	Ayrı kimlik, MFA, dar kural	Orta	1
SMB paylaşımları	IDMZ aktarım sunucusu	Düşük–orta	2
Ortak sanallaştırma / yedek	Ayrı küme, değiştirilemez yedek	Yüksek	2
IT servis bağımlılığı	Yerel servis, manuel prosedür	Değişken	2

AD ayrımı zor olmasına rağmen ilk sıradadır, çünkü tek bir kimlik ihlalinin tüm OT’yi götürmesini engeller. Geçiş uzun sürecekse ara adım uygulanabilir: OT bilgisayarlarının OU’suna bağlanan bir grup ilkesiyle kurumsal ayrıcalıklı grupları “Yerel olarak oturum açmayı reddet”, “Uzak Masaüstü Hizmetleri ile oturum açmayı reddet” ve “Bu bilgisayara ağdan erişimi reddet” haklarına ekleyin; OT için ayrı ve yalnız OT’de kullanılan yönetici hesapları tanımlayın. Kısıtı önce tek bir test istasyonunda deneyin. Servis hesapları ve mühendislik yazılımları etkilenmiyorsa yaygınlaştırın; etkileniyorsa önce bağımlılığı çözün.

Kurtarma tarafı bu rehberin kapsamı dışında; yedeklerin ve kurtarma sürecinin hazırlanması için fidye yazılımına karşı kurtarma hazırlığı rehberine, OT yedeklerinin korunması için yedekleme güvenliği ve fidye yazılımına hazırlık hizmetine bakabilirsiniz. Yayılma yollarını sahada doğrulamak ve kesme noktalarını yol haritasına çevirmek, OT/ICS ve endüstriyel siber güvenlik çalışmasının ilk adımlarındandır. Genel önlemler için CISA’nın #StopRansomware kaynakları da başvuru noktasıdır.

Sık sorulan sorular

OT sistemleri Windows kullanmıyorsa fidye yazılımı riski yok mu?

Var. PLC ve saha cihazları genellikle fidye yazılımının doğrudan hedefi değildir; ama onları yöneten HMI, SCADA sunucusu, historian ve mühendislik istasyonlarının büyük kısmı Windows üzerinde çalışır. Üretim ayrıca etiketleme, iş emri ve sevkiyat gibi IT sistemlerine bağımlı olduğu için OT’ye hiç dokunulmadan da durabilir.

OT sunucularını kurumsal domainden çıkarmak zorunlu mu?

Zorunlu bir kural değil, ama en etkili kesme noktalarından biri. Kurumsal domaine bağlı OT sunucuları, domain yöneticisi kimliği ele geçirildiğinde tek hamlede etkilenebilir. Alternatif olarak OT için ayrı bir forest, güven ilişkisi olmayan ya da sınırlı tek yönlü güven ve ayrı yönetici hesapları kullanılabilir.

Fidye yazılımı tespit edildiğinde IT/OT bağlantısını kesmek doğru mu?

Genellikle doğru ilk adımdır, ancak üretimin IT’ye hangi servisler için bağımlı olduğunu önceden bilmeniz gerekir. Kesme kararını ve kimin vereceğini olay müdahale planında önceden tanımlayın; bağlantı kesildiğinde üretimin hangi manuel yöntemlerle süreceğini tatbikatla doğrulayın.

Historian verisi IT’ye nasıl güvenli aktarılır?

OT historian’ından IDMZ’deki bir kopyaya tek yönlü replikasyon kurun ve IT kullanıcılarını yalnız bu kopyaya erişecek şekilde sınırlayın. Böylece IT tarafından OT’deki historian’a doğrudan bağlantı gerekmez. Yüksek güvence gereken yerlerde veri diyotu gibi donanım tabanlı tek yönlü aktarım da değerlendirilebilir.