Kayseri OSB'de Üretim Ağı Güvenliği: Ofis ile Üretim Hattı Arasındaki Sınır

Kayseri Organize Sanayi Bölgesi Türkiye’nin en büyük OSB’lerinden biridir ve mobilya, tekstil, gıda ve makine sektörlerinde binlerce üretim tesisine ev sahipliği yapar. Bu tesislerin dijitalleşmesi son yıllarda hızlandı: ERP sistemleri, üretim hattını yöneten PLC ve SCADA üniteleri, bulut tabanlı stok ve sipariş yazılımları artık standart hale geldi.

Bu yazıda, üretim yapan bir şirkette güvenlik testinin neden ofis bilgisayarlarıyla sınırlı kalmaması gerektiğini ve asıl bakılması gereken sınırın nerede olduğunu anlatıyoruz.

Asıl risk tek bir açık değil, iki ağın birbirine değdiği nokta

Üretim tesislerinde en sık karşılaşılan yapı şudur: muhasebenin, satın almanın ve satışın kullandığı ofis ağı ile üretim hattını yöneten kontrol ağı, fiziksel olarak ayrı görünse de aynı anahtarlar üzerinden veya aynı VLAN yapısı içinde birbirine bağlıdır.

Bu genellikle bilinçli bir tercih değildir. Bir raporlama ihtiyacı doğar, üretim verisini ofisteki bir panoya taşımak gerekir, aradaki kural geçici olarak açılır ve kalıcı hale gelir. Kimse bunu bir güvenlik kararı olarak vermez; bir entegrasyon işi olarak verir.

Sonuç, saldırgan açısından şudur: ofis tarafında açılan bir ekin, üretim hattına ulaşan bir zincirin ilk halkası olabilmesi.

Zincir nasıl kuruluyor?

Tipik senaryo şu sırayla ilerler:

1. Satın alma biriminden birine tedarikçi görünümlü bir e-posta gelir ve ek açılır.
2. Saldırgan ofis ağında bir kullanıcı bilgisayarında yer edinir.
3. Ağ içinde tarama yapar ve yönetim arayüzlerini arar.
4. ERP sunucusuna veya bir mühendislik istasyonuna erişir.
5. O istasyondan üretim ağındaki kontrol ünitelerine ulaşır.

Bu zincirin her adımı tek başına düşük riskli görünebilir. Beşi birleştiğinde ortaya çıkan sonuç üretim hattının durmasıdır, ve üretim yapan bir şirkette kesintinin maliyeti veri kaybının maliyetinden çoğu zaman daha yüksektir.

”Ağlarımız ayrı” ile “ayrılığı doğrulandı” aynı şey değil

Kapsam görüşmelerinde en sık duyulan cümle, ofis ve üretim ağlarının ayrı olduğudur. Çoğu zaman bu cümle iyi niyetlidir ve ağ şemasında da doğrudur.

Şema ile çalışan yapılandırma arasındaki fark, testin bulduğu şeydir. Kural setleri zamanla değişir, geçici izinler kapanmaz, bir yönetim arayüzü her iki tarafa da bakar hale gelir. Ağ şeması bunları göstermez, çünkü şema kurulduğu günü anlatır.

Sorulması gereken soru şudur: ofis ağındaki bir kullanıcı bilgisayarından üretim ağına giden bir yol var mı, ve varsa nerede duruyor?

Testte pratikte nelere bakılır?

Üretim yapan bir kurumda kapsam genellikle şu başlıklardan oluşur:

• Segmentasyon doğrulaması: ofis ağından kontrol ağına erişim denemeleri, hangi portların gerçekten kapalı olduğunun ölçülmesi
• Mühendislik istasyonları: üretim ağına erişimi olan ve çoğu zaman güncellenmeyen bilgisayarlar
• ERP ve raporlama entegrasyonları: iki ağ arasında veri taşıyan servisler ve bu servislerin çalıştığı yetkiler
• Uzaktan bakım erişimleri: makine üreticisinin destek için açtığı bağlantılar
• Bayi ve tedarikçi portalları: dışarıya açık, çoğu zaman kapsam çıkarılırken unutulan sistemler

Kontrol ağındaki testler her zaman kontrollü yapılır. Üretim hattını durdurma riski taşıyan denemeler çalışma kuralları dokümanında yazılı onaya bağlanır ve üretim planına göre zamanlanır. Amaç kesinti oluşturmak değil, kesintinin mümkün olduğunu üretim durmadan önce belgelemektir.

Nereden başlamalı?

Bütün kapsamı ilk testte kapatmak gerekmez. Üretim yapan bir kurumda mantıklı sıra şudur:

Önce dışarıya bakan yüzey. Bayi portalı, e-ticaret, kurumsal site ve dışarıdan erişilebilen servisler. Saldırgan buradan başlar.

Sonra ofis ile üretim arasındaki sınır. Segmentasyonun gerçekten çalışıp çalışmadığı. En yüksek etkili bulgular genellikle burada çıkar.

En son kontrol ağının içi. Bu aşama daha fazla hazırlık ve daha dar bir zaman penceresi gerektirir.

Bu sıra, bulunan her bulgunun bir sonraki aşamanın kapsamını daraltmasını sağlar.

---

Kayseri’deki hizmetlerimizin kapsamını Kayseri sızma testi sayfamızda bulabilirsiniz. Bir projenin aşamalarını Sızma Testi Aşamaları yazısında, tarama ile testin farkını Zafiyet Taraması, Zafiyet Yönetimi ve Sızma Testi yazısında anlattık.