VPN, Fabrikanızın En Büyük Arka Kapısı Olabilir
OT ortamlarında uzaktan erişimi yeniden düşünmenin zamanı geldi
Bir üretim tesisini düşünün.
PLC'ler çalışıyor. SCADA sistemleri üretimi yönetiyor. HMI ekranları operasyonun merkezinde. Kritik makineler birbirleriyle haberleşiyor. Ve dışarıdan bir mühendis, sistem entegratörü veya OEM üreticisi bu ortama uzaktan bağlanmak zorunda.
Bugün birçok kurumun cevabı hâlâ aynı: VPN.
Kullanıcı bağlanır, VPN tüneli açılır ve kullanıcı kendisine izin verilen ağa erişir.
BT dünyasında bu yaklaşım uzun yıllardır kullanılıyor. Ancak konu OT/ICS ortamları olduğunda problem tam da burada başlıyor.
VPN aslında ne sağlıyor?
VPN'in temel mantığı oldukça basit: Kullanıcıya bir uygulamaya değil, bir ağa erişim vermek.
Tünel açıldığında uzaktaki kullanıcı, bulunduğu ağ içerisindeki erişilebilir kaynaklara routable bir bağlantı elde ediyor. Bu durum OT ortamlarında ciddi bir risk yaratabiliyor. Çünkü bir saldırganın ihtiyacı olan şey her zaman doğrudan PLC'ye erişmek değil.
Önce bir sisteme girmek, sonra başka bir sisteme geçmek, ardından yetkilerini artırmak ve sonunda kritik OT varlıklarına ulaşmak yeterli olabilir.
Başka bir ifadeyle: VPN kullanıcıya bir iş yaptırmak yerine bir ağ konumu veriyor.
Ve OT ortamlarında bu fark oldukça kritik.
OT neden farklı?
IT ortamlarında çoğu zaman öncelik: Gizlilik → Bütünlük → Erişilebilirlik
şeklinde değerlendirilirken, OT ortamlarında öncelikler farklıdır.
Burada; İş sürekliliği ve güvenli operasyon çok daha kritik hale gelir.
Çünkü bir OT sistemindeki güvenlik olayının sonucu yalnızca veri kaybı olmayabilir.
Üretim durabilir. Makine zarar görebilir. Operasyon aksayabilir. Hatta bazı sektörlerde insan güvenliği bile etkilenebilir.
Üstelik OT sistemleri çoğu zaman uzun yaşam döngülerine sahiptir. Eski işletim sistemleri, güncellenmesi zor cihazlar ve sınırlı bakım pencereleri nedeniyle klasik IT güvenlik yaklaşımlarının tamamını burada uygulamak mümkün değildir.
Asıl soru artık “VPN güvenli mi?” değil. Doğru soru şu: “Bu kullanıcı neden bu sisteme erişmek zorunda?”
Ve hemen ardından: Hangi sisteme? Hangi protokolle? Ne kadar süreyle? Kimin onayıyla? Yaptığı işlemleri kim izliyor?
İşte modern OT uzaktan erişim mimarileri bu noktada devreye giriyor.
VPN'siz erişim nasıl çalışıyor?
Yeni yaklaşımda kullanıcıya doğrudan ağa erişim vermek yerine kontrollü bir erişim aracısı/broker kullanılıyor.
Mimarinin temel mantığı:
Kimlik → Doğrulama → Yetkilendirme → Bağlantı → İzleme → Sonlandırma
Örneğin bir OEM mühendisi yalnızca belirli bir PLC'ye erişmek istiyorsa:
MFA ile kimliği doğrulanır.
Yalnızca yetkili olduğu varlığa erişim verilir.
Erişim belirli bir zaman aralığıyla sınırlandırılır.
Gerekli kimlik bilgileri güvenli kasadan otomatik olarak aktarılır.
Kullanıcı gerçek parolayı görmek zorunda kalmaz.
Oturum izlenir ve kaydedilir.
İş tamamlandığında erişim otomatik olarak sona erer.
Böylece: “Ağa bağlan” yerine “bu varlığa, bu işlem için, bu süre boyunca bağlan.”
yaklaşımı uygulanır. Makaledeki VPN'siz OT modeli de tam olarak bu; outbound-only bağlantı, varlık bazlı yetkilendirme, MFA, credential vaulting ve oturum kaydı gibi kontrolleri öne çıkarıyor.
Zero Trust'ın OT karşılığı
Burada aslında yeni bir güvenlik felsefesinden bahsediyoruz:
Network'e güvenme. Kimliği doğrula. Yetkiyi sınırla. Her oturumu izle.
Bu, Zero Trust yaklaşımının OT ortamına uygulanmış hali olarak düşünülebilir. Özellikle üçüncü taraf erişiminde bu yaklaşım çok değerli.
Çünkü OEM, entegratör veya dış destek ekibine: “VPN kullanıcı adı ve şifresini verelim.” demek yerine, “Hangi sisteme, hangi amaçla ve ne kadar süre erişmesi gerekiyor?” sorusunu soruyorsunuz.
Aradaki fark yalnızca teknik değil. Güvenlik mimarisinin temel mantığı değişiyor.
Peki VPN tamamen ortadan kalkmalı mı?
Burada konu “VPN kötüdür, VPN kullanmayın” kadar basit değil.
Asıl mesele, OT ortamlarında ağ seviyesinde kalıcı erişimin artık yeterli bir güvenlik kontrolü olarak görülmemesi.
Özellikle üçüncü taraf erişimlerinde;
Kalıcı VPN hesapları
Ortak kullanıcı hesapları
Sınırsız ağ erişimi
Kaydedilmeyen oturumlar
Görünmeyen vendor aktiviteleri
Uzun süre açık kalan erişimler kurumların yeniden değerlendirmesi gereken noktalar.
Otoritelerde OT uzaktan erişiminde varlık bazlı, zaman sınırlı, kimlik merkezli ve kayıt altına alınan oturum modelini temel yaklaşım olarak öneriyor.
Sonuç: Tünel kalıcı olmak zorunda değil
Üretim tesislerine uzaktan erişim artık bir istisna değil. OEM'ler bağlanacak. Sistem entegratörleri bağlanacak. Mühendisler uzaktan destek verecek. Ancak bunun için tesisin ağına kalıcı bir kapı açmak zorunda değiliz.
Geleceğin OT uzaktan erişim yaklaşımı;
Network-level access yerine Identity-level access.
Standing access yerine Just-in-Time access.
Shared credentials yerine Credential Injection.
Görünmeyen oturumlar yerine Recorded Sessions.
Ve en önemlisi: Kullanıcıya ağı değil, ihtiyacı olan varlığı açmak.
Buteksoft olarak biz de OT/ICS güvenliğinde bu dönüşümü yakından takip ediyor, kurumların mevcut uzaktan erişim mimarilerini daha kontrollü, görünür ve Zero Trust yaklaşımına uygun hale getirecek teknolojileri değerlendiriyoruz.
Sizin üretim ortamınızda uzaktan erişim bugün gerçekten ne kadar kontrollü?
Proactive Defence. Real Impact.
Yorumlar