OT/ICS Pentest Klasik Pentestten Neden Farklıdır?

Kısa cevap

OT/ICS sızma testinin başarısı, en çok zafiyeti bulmak değil; üretimi, çalışan güvenliğini ve ekipmanı riske atmadan gerçek saldırı yollarını kanıtlamaktır. IT testlerinde gizlilik çoğu zaman önceliklidir. OT tarafında ise erişilebilirlik, proses bütünlüğü ve fiziksel güvenlik aynı anda korunmalıdır. Bu nedenle test yaklaşımı, onaylar ve kanıt standardı klasik web veya kurumsal ağ pentestinden farklıdır.

NIST, OT güvenliğinin performans, güvenilirlik ve safety gereksinimlerine göre ele alınması gerektiğini vurgular. Bu, IT test tekniklerinin OT ağına doğrudan taşınamayacağı anlamına gelir. NIST SP 800-82 Rev. 3

OT ile IT testini ayıran kararlar

Kapsam nasıl çıkarılır?

Sağlıklı bir çalışma, IP aralığı listesiyle başlamaz. Önce proses sahibinin hangi üretim, izleme ve bakım akışlarının kritik olduğu anlaşılır. PLC, HMI, SCADA, historian, engineering workstation, jump host, vendor bağlantısı ve IT/OT geçiş noktaları aynı haritada görünmelidir.

Kapsam belgesinde en az şu kararlar yazılı olmalıdır:

• Teste açık ve kapalı varlıklar, protokoller ve saat aralıkları
• Operasyon, güvenlik ve bakım ekiplerinin sorumluları
• Aktif doğrulama için ön onay gerektiren sistemler
• Acil durdurma sözcüğü, iletişim kanalı ve geri dönüş adımları
• Üretici desteği, bakım sözleşmesi ve değişiklik yönetimi kısıtları
• Kanıtın nasıl toplanacağı ve hangi bulguların retest edileceği

Bu hazırlık, test ekibinin temkinli davranması için değil, güvenlik bilgisini doğru iş etkisine bağlaması için gereklidir.

Güvenli test yaklaşımı

1. Pasif görünürlük ve varsayım kontrolü

İlk aşamada mevcut ağ diyagramı, varlık envanteri, firewall kuralları, uzaktan erişim kayıtları ve mümkünse pasif ağ telemetrisi karşılaştırılır. Amaç “şemada var” kabulünü kırmaktır: bakım tüneli, eski bir VPN hesabı veya unutulmuş bir engineering workstation, beklenmeyen bir giriş noktası olabilir.

2. Saldırı yolu modelleme

Yalnızca cihaz listesi değil, bir saldırganın IT’den OT’ye nasıl ilerleyebileceği incelenir. Örneğin phishing ile ele geçirilen bir kimlik bilgisinin VPN, jump host, vendor portalı ve engineering workstation üzerinden hangi yetkilere ulaşabildiği; kontrollü kanıtla değerlendirilir.

3. Kontrollü doğrulama

Aktif tarama, paket üretimi veya protokol testi yalnızca risk değerlendirmesi ve operasyon onayıyla uygulanır. Üretim sürecini etkileyebilecek bir adımın yerine yapılandırma incelemesi, kayıt analizi, laboratuvar doğrulaması veya bakım penceresinde sınırlı test tercih edilebilir.

4. Düzeltme ve retest

Her bulgu, teknik tanımın yanında varlık sahibi, proses etkisi, geçici kontrol, kalıcı düzeltme ve retest koşulu ile raporlanmalıdır. “Patch yükleyin” OT için çoğu zaman yeterli cevap değildir; üretici desteği, bakım penceresi ve telafi kontrolleri birlikte planlanır.

En sık atlanan risk alanları

Uzaktan erişim: Vendor ve bakım erişimi, yalnızca VPN kullanıyor diye güvenli sayılmaz. Kimlik, yetki, kayıt, süre sınırı ve jump host kontrolü ayrı ayrı değerlendirilmelidir. CISA, internetten erişilebilen endüstriyel sistemlerde mümkün olduğunda MFA, izlenen erişim noktaları ve düzenli değerlendirme önerir. CISA Internet Exposure Reduction Guidance

Segmentasyon: IT ve OT ağlarının ayrı VLAN’larda olması tek başına yeterli değildir. Gerçek erişim yolunun firewall, jump host, paylaşılan servis hesabı ve yönetim protokolleri üzerinden doğrulanması gerekir.

Eski sistemler: Destek dışı işletim sistemi veya üretici tarafından kısıtlanan patch süreci, riski görmezden gelme gerekçesi değildir. Ağ ayrıştırma, uygulama allowlist’i, erişim sınırı, izleme ve yedekli kurtarma gibi telafi kontrolleri ölçülebilir şekilde tasarlanmalıdır.

Kurtarma hazırlığı: Test, yedeklerin varlığını değil; kritik konfigürasyonların geri yüklenebilirliğini ve bu işlemin üretim hedefleriyle uyumunu sorgulamalıdır.

Örnek karar senaryosu

Bir tesisin vendor erişimi, tüm bakım firmasına ait ortak bir kullanıcıyla açılıyorsa ilk soru “port açık mı?” değildir. Doğru sorular şunlardır: Erişim kim için, hangi varlıkta, ne kadar süreyle geçerli? İşlem kaydı tutuluyor mu? Jump host üzerinden mi gidiliyor? Bu hesabın engineering workstation’a veya üretim hücresine erişimi var mı?

Bulgu, ortak hesabın varlığından ibaret kalmamalıdır. Yetki zinciri ve proses etkisi kanıtlanmalı; ardından kişisel hesap, MFA, onaylı oturum, süre kısıtı ve kayıt incelemesi gibi düzeltmeler sahipleriyle planlanmalıdır.

OT/ICS testinden önce kontrol listesi

• Varlık envanteri ve ağ diyagramı operasyon ekibiyle doğrulandı mı?
• Test penceresi, durdurma kriterleri ve iletişim zinciri yazılı mı?
• Vendor, VPN ve jump host erişimleri kişi bazında gözden geçirildi mi?
• IT/OT geçiş kuralları gerçek trafik yoluna göre doğrulandı mı?
• Destek dışı varlıklar için telafi kontrolleri belirlendi mi?
• Kritik konfigürasyonların geri yükleme testi yapıldı mı?
• Her bulgu için iş etkisi, sahip, hedef tarih ve retest koşulu tanımlı mı?

Eresus yaklaşımı

Eresus Security, OT çalışmasını agresif tarama yarışı olarak ele almaz. Kapsamı operasyon sahipleriyle netleştirir; güvenli keşif, segmentasyon, uzaktan erişim ve kanıtlanabilir saldırı yollarına odaklanır. Çıktı; üretim ekibinin uygulayabileceği sahiplik, öncelik ve retest bilgilerini içeren bir remediation planıdır.

Kaynaklar

• NIST SP 800-82 Rev. 3: Guide to Operational Technology Security
• CISA: Configuring and Managing Remote Access for Industrial Control Systems