Endüstri 4.0, üretim makinelerinin, sensörlerin ve kontrol sistemlerinin ağa bağlanarak veri üretmesi ve bu verinin iş sistemleriyle birleşmesi demektir. Nesnelerin interneti (IoT) de bu bağlantının cihaz tarafıdır: sıcaklık sensörü, enerji analizörü, bağlı bir pres ya da hattaki bir kamera. Kazanç açıktır: Makinenin ne kadar çalıştığı, neden durduğu ve ne kadar enerji harcadığı anlık görünür. Ancak her bağlantı, üretim hattını ofis ağındaki risklere de açar. Kocaeli gibi sanayinin yoğun olduğu bölgelerde birçok tesis bu dengeyle uğraşıyor. Bu yazıda üretim tesislerinde operasyonel teknoloji (OT) ile bilgi teknolojisi (IT) ağlarını neden ve nasıl ayırmanız gerektiğini anlatıyoruz. Genel çerçeve için ağ güvenliği sayfamıza da bakabilirsiniz.
OT ve IT: iki farklı dünya
IT, ofisteki bilgisayarları, sunucuları, e-postayı ve ERP’yi kapsar. OT ise fiziksel süreci yöneten sistemlerdir: PLC’ler, operatör panelleri (HMI), SCADA yazılımları, robot kontrolcüleri ve sensörler. İki dünyanın öncelikleri farklıdır:
| IT | OT | |
|---|---|---|
| Öncelik | Verinin gizliliği ve bütünlüğü | Sürecin kesintisiz ve güvenli çalışması |
| Cihaz ömrü | Birkaç yıl | Çoğu zaman on yıl ve üzeri |
| Güncelleme | Düzenli, planlı | Nadir; üretici onayı ve duruş gerektirir |
| Yeniden başlatma | Bakım penceresinde mümkün | Hattın durması demektir |
| Güvenlik yazılımı | Her cihazda standart | Çoğu cihaza kurulamaz |
Bu farklar yüzünden OT cihazları, ofis bilgisayarlarının korunduğu yöntemlerle korunamaz. Desteği bitmiş bir işletim sistemiyle çalışan bir operatör paneli, üretici izin vermediği için güncellenemeyebilir. Bu cihazı korumanın yolu, ona ulaşılabilecek yolları sınırlamaktır.
Düz ağın riski
Birçok tesiste ağ yıllar içinde kendiliğinden büyümüştür: Ofis bilgisayarları, üretim makineleri, kameralar, yazıcılar ve misafir Wi-Fi aynı ağda, aynı IP bloğunda durur. Bu yapıda ofiste bir kullanıcının açtığı zararlı bir e-posta eki, doğrudan üretim hattındaki cihazlara ulaşabilir. Fidye yazılımı OT cihazlarını hedeflemese bile, hattı izleyen Windows bilgisayarları şifreleyerek üretimi durdurabilir.
Ters yön de risklidir. Bir makine üreticisinin uzaktan destek için bıraktığı bir modem ya da uzak erişim yazılımı, ofis ağına açılan kontrolsüz bir kapı olabilir.
Referans çerçeveler: Purdue modeli ve IEC 62443
Endüstriyel ağ tasarımında iki kavram sık kullanılır. Purdue modeli, tesisteki sistemleri katmanlara ayırır: sahadaki sensör ve aktüatörler, onları yöneten kontrolcüler, izleme ve SCADA sistemleri, üretim yönetimi ve en üstte kurumsal IT. Katmanlar arasındaki geçişler kontrol altında tutulur.
IEC 62443 standart ailesi ise "bölgeler ve kanallar" (zones and conduits) yaklaşımını getirir: Benzer güvenlik ihtiyacı olan varlıklar bir bölgede toplanır, bölgeler arasındaki iletişim yalnızca tanımlı kanallardan geçer. ABD Ulusal Standartlar ve Teknoloji Enstitüsü’nün (NIST) Eylül 2023’te yayımladığı OT güvenliği rehberi SP 800-82 Rev. 3 de kurumsal ağ ile kontrol ağı arasında doğrudan iletişim yerine, trafiğin denetlendiği bir ara bölge (DMZ) kullanılmasını önerir.
Bir KOBİ ölçeğindeki tesiste bu çerçevelerin hepsini birebir uygulamak gerekmez; ama temel fikir aynıdır: Ağı bölgelere ayırın ve bölgeler arasında yalnızca gereken trafiğe izin verin.
Pratikte OT/IT ayrımı nasıl yapılır?
Envanter çıkarın
Ayrım, neyin nerede olduğunu bilmekle başlar. Hattaki her cihazın IP adresini, üreticisini, işletim sistemini ve kiminle konuştuğunu listeleyin. Bu çalışmada çoğu tesis, varlığından haberdar olmadığı cihazlarla karşılaşır.
Ağı bölgelere ayırın
Ofis, üretim hattı, kameralar, misafir Wi-Fi ve sunucular ayrı VLAN’lara alınır. Bölgeler arasındaki geçişler, kuralları tek tek tanımlanmış bir güvenlik duvarından yapılır. Bir üretim hattının içindeki makineler de gerekiyorsa kendi aralarında ayrı bölgelere bölünür.
Ara bölge kurun
Üretim verisinin ERP’ye ya da raporlama sistemine aktarılması gerekiyorsa, ofis bilgisayarlarının doğrudan PLC’lere bağlanması yerine veri bir ara sunucuda toplanır. Ofis tarafı yalnızca bu ara sunucuyla konuşur.
Uzaktan erişimi tek kapıya toplayın
Makine üreticilerinin ve servis firmalarının uzaktan erişimi, dağınık modemler ve kalıcı açık bağlantılar yerine, güvenlik duvarı üzerinden, kişiye özel hesaplarla, gerektiğinde açılan ve kayıt altına alınan bir yoldan yapılmalıdır.
Kuralları sade tutun
"Her şeye izin ver" kuralıyla kurulan bir ayrım, kâğıt üzerinde vardır. Hangi cihazın hangi cihaza, hangi portla konuşması gerektiğini belirleyin; geri kalanını kapatın.
Bölgeler arasındaki geçişleri yöneten güvenlik duvarının endüstriyel protokolleri tanıyabilmesi işi kolaylaştırır. Örneğin FortiGate, FortiGuard OT güvenlik hizmetiyle Modbus gibi endüstriyel protokoller için uygulama kontrolü ve saldırı önleme imzaları sunar; bu sayede yalnızca "bu cihaz o cihaza bağlanabilir" değil, "yalnızca okuma yapabilir" gibi kurallar yazmak mümkün olur.
İzleme: normali bilmek
OT ağlarının iyi bir yanı vardır: Trafik genellikle tekrarlıdır. Aynı panel aynı PLC ile her gün aynı şekilde konuşur. Bu yüzden normalden sapmayı görmek, ofis ağına göre daha kolaydır. Cihazların erişilebilirliğini, anahtar portlarındaki hataları ve bölgeler arasındaki trafiği izlemek; bir makinenin ağdan düştüğünü ya da beklenmeyen bir bağlantının başladığını erken gösterir. Bu yapıyı nasıl kurduğumuzu ağ ve sunucu izleme sayfamızda anlattık.
Fiziksel ortam ve süreklilik
Üretim ağının kalbi, çoğu zaman tesisin bir köşesindeki kabin ya da sistem odasıdır. Toz, sıcaklık, titreşim ve elektrik dalgalanmaları, ofis ortamından çok daha zorlu koşullardır. Kabinlerin doğru konumlandırılması, iklimlendirme, kesintisiz güç kaynağı ve ortam izleme bu yüzden önemlidir. Ayrıntıları sistem odası sayfamızda bulabilirsiniz.
Unutulan bir başka konu da OT yedekleridir. PLC programlarının, HMI projelerinin ve SCADA yapılandırmalarının güncel bir kopyası, bir arıza sonrasında hattın ne kadar sürede yeniden çalışacağını belirler. Bu kopyalar da diğer yedekler gibi ayrı bir yerde tutulmalıdır; genel çerçeve için yedekleme sayfamıza bakabilirsiniz.
Unna ile üretim ağı güvenliği
- Önce dinleriz. Tesisinizi yerinde gezer, ağdaki cihazların envanterini çıkarır, üretim ekibinizle hangi sistemlerin kritik olduğunu konuşuruz.
- Birlikte planlarız. Bölgeleri, bölgeler arası izinleri ve uzaktan erişim yolunu, üretimi durdurmayacak bir geçiş takvimiyle tasarlarız.
- Aşamalı olarak uygularız. Ayrımı planlı duruşlarda, hat hat devreye alır, her adımdan sonra üretimle birlikte test ederiz.
- Yanınızda kalırız. Ağı izler, kuralları düzenli gözden geçirir, yeni makineler eklendikçe yapıyı birlikte güncelleriz.
Kocaeli ve çevresindeki tesisinizde üretim ağınızı birlikte değerlendirmek için bize ulaşabilirsiniz.
