Üretim Tesislerinde IT/OT Segmentasyonu

Birçok üretim tesisinde ofis bilgisayarları, sunucular, PLC’ler ve operatör panelleri aynı ağda veya serbestçe yönlendirilen VLAN’larda bulunur. Bu yapı, ofiste başlayan bir fidye yazılımının üretimi durdurabilmesine yol açar. IT/OT segmentasyonu bu riski azaltmanın temel adımıdır. Bu rehber, üretimi durdurmadan ilerleyen bir yaklaşımı anlatır.

Referans model: Purdue seviyeleri ve IEC 62443 zone/conduit

Purdue modeli, kurumsal ağdan (seviye 4–5) sahadaki sensör ve PLC’lere (seviye 0–1) uzanan katmanları tanımlayan yaygın bir referanstır. IEC 62443-3-2 ise sistemi benzer güvenlik gereksinimlerine sahip zone’lara ve bu zone’lar arasındaki iletişim yollarını conduit’lere ayırarak her biri için hedef güvenlik seviyesi belirlemeyi önerir. İki yaklaşım birlikte kullanılabilir.

Adım adım segmentasyon

1. Pasif keşif ve akış haritası

OT cihazları aktif taramalara hassas olabilir. Bu nedenle envanter, switch üzerindeki SPAN/mirror port’tan alınan trafiğin pasif olarak analiz edilmesiyle çıkarılır. Sonuçta hangi IT sisteminin hangi OT sistemiyle, hangi protokolle konuştuğu belgelenir (ör. ERP ↔ historian, mühendislik istasyonu ↔ PLC, uzak bakım ↔ HMI).

2. Hedef mimari: endüstriyel DMZ

IT ile OT arasına bir endüstriyel DMZ (seviye 3.5) konulur. İlke basittir: hiçbir oturum IT’den OT’ye doğrudan geçmez. Veri aktarımı DMZ’deki ara sistemler üzerinden yapılır.

3. Firewall politikası: önce izle, sonra engelle

IT/OT sınırındaki firewall ilk etapta yalnızca loglama yapar. Birkaç haftalık gözlemle gerçek akışlar doğrulanır, üretim ve BT birlikte onaylar; ardından izin listesi dışındaki trafik planlı bir bakım duruşunda engellenir.

4. Ortak hizmetleri ayırın

IT ve OT’nin aynı Active Directory’yi, dosya paylaşımlarını veya yönetim araçlarını paylaşması dolaylı bir köprü oluşturur. OT için ayrı kimlik alanı veya yerel yönetim ve ayrı yönetim istasyonları değerlendirilmelidir.

5. Hücre ve alan ayrımı

Kritik hatlar veya farklı tedarikçilerin makineleri arasında ek ayrım, bir hattaki olayın diğerlerine yayılmasını sınırlar.

Sık yapılan hatalar

• Yalnızca VLAN ayrımını yeterli saymak; VLAN arası yönlendirme denetlenmiyorsa ayrım yoktur.
• Makine tedarikçilerinin kendi modem veya uzaktan masaüstü araçlarıyla kurduğu bağlantıları envanterde unutmak.
• Kuralları gözlem yapmadan engelleme modunda devreye almak.
• Değişiklikleri üretim planlamasıyla koordine etmemek.

Çalışmayı tesisinizde planlamak için IT/OT Ağ Segmentasyonu, keşif ve risk analizi için OT/ICS ve Endüstriyel Siber Güvenlik, standart temelli yaklaşım için IEC 62443 Danışmanlığı sayfalarımızı inceleyebilirsiniz.