Mühendislik İstasyonu (EWS) Güvenliği: PLC Erişimini Korumak

Mühendislik istasyonu (Engineering Workstation, EWS) PLC’ye program yükleyebilen, parametre değiştirebilen ve denetleyiciyi STOP moduna alabilen bilgisayardır. Bu yetki onu OT ağındaki en değerli hedeflerden biri yapar. Pratikte ise çoğu tesiste EWS, kontrol odasının köşesinde e-postası açık, yıllardır güncellenmemiş bir Windows makinesidir. Bu rehberde EWS’yi bütün olarak ele alıyoruz: kullanım modeli, işletim sistemi sıkılaştırması, proje dosyası bütünlüğü, PLC tarafındaki koruma özellikleri ve erişim kaydı.

EWS’nin saldırgan açısından değeri

HMI’yı ele geçiren saldırgan genellikle operatörün yapabildiğini yapar. EWS’yi ele geçiren ise prosesin mantığını değiştirir. Fark büyüktür. Kamuya açık analizlerde Stuxnet’in Siemens Step 7 proje dosyalarını ve mühendislik yazılımı ile PLC arasındaki iletişimi hedef aldığı, değiştirilmiş kodu operatörden gizlediği belgelenmiştir. Bu örnek, EWS’ye yönelik saldırının üç temel kazanımını gösterir:

• Program değişikliği: PLC mantığına zararlı blok eklemek veya mevcut mantığı değiştirmek.
• Kimlik ve parola bilgisi: Proje dosyalarında veya yazılımda kayıtlı PLC erişim parolaları, ağ yapılandırmaları ve diğer cihazların adresleri.
• Meşru araçla saldırı: Değişiklik üreticinin kendi yazılımıyla yapıldığı için ağ izlemesinde normal mühendislik faaliyeti gibi görünebilir.

Bu yüzden EWS güvenliği yalnız bir Windows sıkılaştırma işi değildir; kurumsal siber güvenlik açısından PLC programının bütünlüğünü koruma işidir.

Sabit ve taşınabilir EWS modelleri

Tesislerde iki model yaygındır: kontrol odasında veya IDMZ’de duran sabit istasyonlar ve bakım mühendislerinin sahaya taşıdığı dizüstü bilgisayarlar. Çoğu tesiste ikisi birlikte bulunur. Doğru soru “hangisi?” değil, her modelin riskine hangi kontrolün uyduğudur.

Ölçüt	Sabit EWS	Taşınabilir EWS
Ağ konumu	Tanımlı OT zonu, sabit IP	Bağlandığı hücre veya panoya göre değişir
Erişim kapsamı	Çoğunlukla birden çok hat	Bağlandığı hücreyle sınırlı
Ana risk	Uzaktan ele geçirme, geniş etki	Kayıp, başka ağa bağlanma, bulaşma taşıma
Kritik kontrol	Ağ erişim kısıtı, MFA’lı oturum	Disk şifreleme, OT’ye ayrılmış cihaz
İzleme	Merkezi log toplama kolay	Loglar senkronizasyon sonrası toplanır

Taşınabilir EWS kullanıyorsanız cihazı yalnız OT işine ayırın: kurumsal ağa ve internete bağlanmasın, kullanılmadığında kilitli dolapta dursun, teslim–iade kaydı tutulsun. Sahada en sık gördüğümüz durum, aynı dizüstünün hafta içi ofiste kurumsal Wi-Fi’ye, hafta sonu duruşta PLC panosuna bağlanmasıdır. Bu cihaz iki ağı birbirine taşır. Tedarikçinin kendi dizüstüyle sahaya gelmesi ayrı bir risk kalemidir; bu senaryo için tedarikçi uzaktan erişimi ve USB ve taşınabilir medya kontrolü yazılarındaki prosedürleri uygulayın.

İşletim sistemi ve uygulama sıkılaştırması

EWS’ler çoğunlukla mühendislik yazılımının desteklediği belirli bir Windows sürümüne bağlıdır. Sıkılaştırma kararlarını üreticinin uyumluluk listesine göre verin ve her değişikliği önce aynı imajla kurulmuş bir test istasyonunda deneyin. Temel adımlar:

1. Tek amaçlı kullanım: E-posta istemcisi, ofis paketi ve web tarayıcısıyla günlük iş yapılmaz. Dokümantasyon ihtiyacı ayrı bir bilgisayardan karşılanır.
2. İnternet çıkışı kapalı: Firewall’da EWS’nin internete çıkışı engellenir; yazılım güncellemeleri IDMZ’deki denetimli aktarım yoluyla gelir.
3. Uygulama izin listesi: AppLocker veya Windows Defender Application Control (WDAC) ile yalnız onaylı mühendislik yazılımlarının ve araçların çalışmasına izin verilir. İzin listesini denetim modunda başlatın, olayları inceledikten sonra zorlamaya geçin. Doğrudan zorlamayla başlarsanız ilk duruşta bir sürücü güncellemesi engellenir ve kural kaldırılır.
4. Hesap yapısı: Mühendisler günlük işi standart kullanıcıyla yapar; kurulum için ayrı yönetici hesabı kullanılır. Ortak “muhendis” hesabı yerine kişiye özel hesaplar tanımlanır. EWS bir domaine üyeyse yerel yönetici parolaları Windows LAPS ile her istasyonda farklı ve dönüşümlü hale getirilir; geçiş adımları Windows LAPS geçişi yazısında.
5. Yerel firewall: Gelen bağlantılar kapatılır; giden bağlantılara yalnız PLC alt ağları ve gerekli lisans/güncelleme sunucusu için izin verilir.
6. Disk şifreleme: Taşınabilir istasyonlarda BitLocker zorunludur; kurtarma anahtarları OT yönetiminin erişebildiği ayrı bir kasada saklanır.
7. Zararlı yazılım koruması: PLC üreticisinin uyumluluğunu onayladığı ürün ve istisna listesi kullanılır.

Lisanslar da bu kapsama girer. Mühendislik yazılımı lisansları çoğu zaman istasyona veya donanım anahtarına bağlıdır. Hangi istasyonda hangi lisansın bulunduğunu envanterde tutun; arıza anında lisans taşıma işi kontrolsüz kopyalara yol açmasın. Sunucu ve istemci sıkılaştırma şablonlarının OT’ye uyarlanması sistem ve sunucu güvenlik sıkılaştırma çalışmasıyla birlikte ele alınabilir.

PLC proje dosyalarının bütünlüğü ve sürüm kontrolü

PLC’de çalışan programın onaylı sürümle aynı olduğunu bilmek hem olay müdahalesinde hem günlük bakımda temel ihtiyaçtır. Gece yarısı arıza çağrısında “sahadaki program hangisi?” sorusunun cevabı yoksa, mühendis elindeki en yeni görünen dosyayı yükler. Bunun için üç katmanlı yaklaşım öneriyoruz:

• Merkezi depo: Onaylı proje dosyaları tek bir sürüm deposunda tutulur; EWS’lerdeki yerel kopyalar çalışma kopyasıdır. Depo, sürüm geçmişini ve kimin ne zaman yüklediğini saklar.
• Hash kaydı: Her onaylı sürüm için dosya hash değerleri kaydedilir ve periyodik olarak karşılaştırılır.
• Çevrimiçi karşılaştırma: Mühendislik yazılımlarının çoğu, PLC’deki programı projedeki sürümle karşılaştırma işlevi sunar. Bu karşılaştırmayı planlı bakım döngüsüne ekleyin.

Hash kaydı için ek yazılım gerekmez. Aşağıdaki PowerShell örneği proje klasörünün SHA-256 özetini çıkarır ve önceki kayıtla karşılaştırır:

# Onaylı sürüm için referans kaydı oluştur
$proje = 'D:\PLC_Projeleri\Hat3'
Get-ChildItem -Path $proje -Recurse -File |
  Get-FileHash -Algorithm SHA256 |
  Select-Object Hash, Path |
  Export-Csv 'D:\Referans\Hat3_v12.csv' -NoTypeInformation -Encoding UTF8

# Daha sonra güncel durumu referansla karşılaştır
$ref  = Import-Csv 'D:\Referans\Hat3_v12.csv'
$simdi = Get-ChildItem -Path $proje -Recurse -File |
  Get-FileHash -Algorithm SHA256 | Select-Object Hash, Path
Compare-Object $ref $simdi -Property Hash, Path

Çıktıdaki her satır eklenmiş, silinmiş veya değişmiş bir dosyadır. Referans CSV dosyasını EWS’nin kendisinde değil, salt okunur bir konumda saklayın. İstasyonu ele geçiren, referansı da değiştirir. Mühendislik yazılımları proje açıldığında bazı geçici dosyaları güncelleyebilir; ilk çalıştırmalarda hangi dosyaların kendiliğinden değiştiğini not edin ve karşılaştırmadan dışlayın.

PLC koruma seviyeleri ve erişim parolaları

EWS ne kadar iyi korunursa korunsun, PLC’nin kendi koruma özellikleri ikinci savunma hattıdır. Üreticiler farklı mekanizmalar sunar:

• Erişim seviyeleri: Siemens S7-1200 ve S7-1500 serilerinde TIA Portal üzerinden tam erişim, okuma erişimi, HMI erişimi ve erişim yok gibi seviyeler tanımlanır; seçilen seviyenin üzerindeki erişim (örneğin okuma erişimi seçiliyken yazma) için parola gerekir. Üretimdeki çoğu PLC için yazma erişimini parolayla koruyun ve HMI’ları yalnız ihtiyaç duydukları seviyeyle bağlayın.
• Fiziksel mod anahtarı: Rockwell Logix denetleyicilerinde anahtar RUN konumundayken program indirme ve çevrimiçi düzenleme yapılamaz. Anahtarın normalde RUN’da kalması ve değişiklik iş emriyle REM veya PROG konumuna alınması, uzaktan program yüklemeye karşı etkili bir fiziksel kontroldür. Sahada anahtarın yıllardır REM’de unutulduğunu çok görürüz.
• Blok ve kopya koruması: Know-how koruması gibi özellikler fikri mülkiyeti korur; bütünlük kontrolü yerine geçmez.

Parola yönetimi en çok ihmal edilen kısımdır. Tipik hatalar: tüm PLC’lerde aynı parola, parolanın proje dosyasına kayıtlı olması, tedarikçiyle paylaşılan parolanın hiç değiştirilmemesi. PLC parolalarını parola kasasında saklayın, tedarikçi işinden sonra değiştirin ve hangi PLC’nin hangi koruma seviyesinde olduğunu envantere işleyin. Seviye isimleri ve davranışlar firmware sürümüne göre değişebildiği için üreticinin güncel güvenlik kılavuzunu esas alın.

EWS erişiminin kayıt altına alınması

Bir program değişikliği tespit edildiğinde “kim, hangi istasyondan, ne zaman” sorusuna cevap verebilmelisiniz. Bunun için iki taraftan kayıt toplanır:

• EWS tarafı: Windows oturum açma olayları (4624, 4625), süreç oluşturma (4688, komut satırı kaydı açık), PowerShell script block kaydı (4104) ve harici cihaz bağlantı olayları (“Tak ve Kullan olaylarını denetle” açıkken 6416) merkezi log sunucusuna gönderilir.
• Ağ ve PLC tarafı: OT ağ izleme sensörü program indirme, mod değişikliği ve yazma komutlarını tespit eder. Bazı denetleyiciler bu olayları kendi tanı tamponunda veya değişiklik günlüğünde de tutar; özelliğin varlığını ürün dokümanından doğrulayın.

İki kaynağı zaman damgasıyla eşleştirdiğinizde yetkili bakım işini yetkisiz değişiklikten ayırırsınız. Bunun ön şartı, EWS ile sensörün aynı NTP kaynağından saat almasıdır; saatler dakikalarca kaymışsa eşleştirme tahmine döner. İş emri olmadan gerçekleşen program indirme olayı yüksek öncelikli alarm olmalıdır; bu alarmların kurgusu OT saldırı tespiti ve anomali izleme yazısında anlatılıyor.

Kontrol listesi

• Tüm EWS’ler (sabit, taşınabilir, tedarikçi) envanterde, sorumlusu ve konumuyla kayıtlı
• EWS’lerde e-posta, web tarama ve ofis işi yapılmıyor; internet çıkışı kapalı
• Uygulama izin listesi zorlama modunda; istisnalar belgeli
• Kişiye özel hesaplar; yönetici hesabı günlük işte kullanılmıyor
• Taşınabilir EWS’lerde disk şifreleme açık, teslim–iade kaydı tutuluyor
• Onaylı proje sürümleri merkezi depoda; hash referansları salt okunur konumda
• PLC’lerde yazma erişimi parolalı; parolalar kasada ve tedarikçi işi sonrası değiştiriliyor
• Fiziksel mod anahtarları normalde RUN konumunda; değişiklik iş emrine bağlı
• EWS ve OT ağ izleme kayıtları merkezi olarak toplanıyor ve eşleştiriliyor

Bu listeyi OT güvenlik programının diğer adımlarıyla birlikte yürütmek için OT/ICS ve endüstriyel siber güvenlik hizmet sayfasına bakabilirsiniz. Genel OT güvenlik rehberliği için CISA’nın endüstriyel kontrol sistemleri kaynakları da başvuru noktasıdır.

Sık sorulan sorular

EWS’ye antivirüs veya EDR kurmak PLC iletişimini bozar mı?

Bozabilir; bazı ajanlar mühendislik yazılımlarının sürücü ve iletişim bileşenleriyle çakışır. Ürün seçmeden önce PLC üreticisinin uyumluluk listesini veya onayını kontrol edin, kurulumu önce test istasyonunda yapın ve gerçek zamanlı tarama istisnalarını üreticinin önerdiği kapsamla sınırlı tutun.

PLC koruma parolası tek başına yeterli midir?

Hayır. Parola, yetkisiz bir istasyonun program yüklemesini zorlaştırır; ama parolanın kayıtlı olduğu ele geçirilmiş bir EWS üzerinden yapılan yüklemeyi engellemez. Parolayı EWS sıkılaştırması, ağ erişim kısıtı, fiziksel anahtar konumu ve değişiklik tespitiyle birlikte kullanın.

Taşınabilir EWS kullanmak her zaman daha mı risklidir?

Her zaman değil. Taşınabilir istasyon farklı ağlara bağlanma ve kaybolma riski taşır; ama tüm hatlara erişen tek bir sabit istasyondan daha dar bir saldırı yüzeyi de sunabilir. Belirleyici olan; cihazın yalnız OT’ye ayrılması, disk şifrelemesi, kapalı internet çıkışı ve kullanım kaydıdır.

PLC proje dosyalarını kurumsal Git sunucusunda tutabilir miyiz?

Tutulabilir. Ancak çoğu mühendislik yazılımı projeyi ikili formatta sakladığı için satır bazlı fark alamazsınız; sürüm geçmişi ve hash kontrolü ise sağlanır. Depoyu OT veya IDMZ tarafında konumlandırın, erişimi rol bazlı yapın ve proje dosyalarının kurumsal ağdaki genel paylaşımlara kopyalanmasını engelleyin.