Endüstri 4.0 vizyonu, üretim hatlarını ve kritik altyapıları otomatikleştirmekle kalmadı; operasyonel teknoloji (OT) ağlarını kurumsal IT ağlarıyla birleştiren köklü bir dijital dönüşümü de beraberinde getirdi. Bu dönüşümün güvenlik ayağındaki en kritik kavramlardan biri de OT SOC, yani endüstriyel sistemlere özel tasarlanmış Güvenlik Operasyon Merkezi.
Günümüzde akıllı IIoT (Endüstriyel IoT) sensörlerinden elde edilen telemetri verileri doğrudan ERP sistemlerine aktarılırken, bakım mühendisleri dünyanın farklı noktalarından PLC (Programmable Logic Controller) cihazlarına uzaktan erişim sağlayarak operasyonları yönetebiliyor. Bir zamanlar dış dünyadan tamamen yalıtılmış (air-gapped) olduğu düşünülen SCADA, DCS ve diğer Endüstriyel Kontrol Sistemleri (ICS), artık kurumsal IT ağlarıyla ve internet ekosistemiyle doğrudan iletişim halinde.
Bu dönüşüm; üretim verimliliği, operasyonel esneklik ve uzaktan yönetim kabiliyeti açısından önemli avantajlar sağlarken, saldırı yüzeyini de dramatik biçimde genişletti. Artık kritik üretim süreçleri fiziksel risklerin yanında siber tehditlere de açık durumda. Bu bağlamda OT siber güvenliği (Operational Technology Security), yalnızca ağ güvenliğinin değil, üretim sürekliliğinin de temel bileşenlerinden biri haline geldi.
Peki üretim ağları bu kadar erişilebilir hale gelmişken bu sistemleri kim, nasıl ve hangi yaklaşımla 7/24 izleyecek? Geleneksel IT Güvenlik Operasyon Merkezleri (IT SOC), fiziksel süreçlerin yönetildiği operasyonel teknolojileri korumak için yeterli olabilir mi?
Bu makalede OT SOC yaklaşımını teknik ve operasyonel açıdan ele alacağız: IT SOC ile OT SOC arasındaki temel farkları, birleşik (Converged) SOC mimarisinin neden zorunluluk haline geldiğini, endüstriyel protokollerden toplanan ham verilerin SIEM platformlarında nasıl anlamlı tehdit istihbaratına dönüştürüldüğünü ve OT ortamlarına özgü tehdit avcılığı ile alarm mühendisliği pratiklerini inceleyeceğiz.
OT SOC Nedir?
OT SOC (Operational Technology Security Operations Center); SCADA, DCS, PLC, RTU ve HMI gibi endüstriyel kontrol sistemi bileşenlerini 7/24 izleyen, endüstriyel protokolleri anlamlandırabilen ve güvenlik olaylarını üretim süreci bağlamında değerlendirerek müdahale eden özelleşmiş bir güvenlik operasyon merkezidir.
Klasik bir SOC’tan farkı, yalnızca izlediği varlıkların türü değildir. OT SOC; insan ve çevre güvenliğini (safety) merkezine alan öncelik modeli, pasif veri toplama yaklaşımı, Purdue Modeli’ne dayalı varlık bağlamı ve süreç farkındalığı (process awareness) yetkinliğiyle bambaşka bir operasyon disiplinini temsil eder. IEC 62443 ve NIST SP 800-82 Rev.3 gibi endüstriyel güvenlik standartları, bu operasyon modelinin referans çerçevesini oluşturur.
IT SOC ile OT SOC Arasındaki Temel Farklar
IT ve OT güvenliği; SIEM, IDS ve tehdit istihbaratı gibi benzer araç setlerinden yararlanıyor gibi görünse de bu ortak araçlar, iki dünyanın aynı güvenlik yaklaşımına sahip olduğu anlamına gelmez. Korunmaya çalışılan varlıklar ve operasyonel öncelikler tamamen farklıdır.
Kurumsal IT dünyasında güvenlik stratejisinin temelini klasik CIA (Confidentiality, Integrity, Availability) üçgeni oluşturur. Bu modelde en kritik öncelik gizliliktir. Yetkisiz erişim, veri sızıntısı veya kullanıcı hesaplarının ele geçirilmesi en yüksek risk senaryoları arasında değerlendirilir; şüpheli bir sunucunun ağdan izole edilmesi olağan bir güvenlik refleksidir.
Operasyonel teknolojiler tarafında ise öncelikler tersine döner. Temel hedef, veriyi korumaktan önce fiziksel sürecin güvenliğini sağlamaktır. Bu nedenle OT güvenliğinin temelinde Safety (insan ve çevre güvenliği) ile Availability (kesintisiz çalışabilirlik) yer alır; gizlilik çoğu endüstriyel ortamda son sıradadır. Bir üretim tesisinde asıl korunması gereken unsur verinin kendisi değil; üretim hattını yöneten PLC’lerin, SCADA sistemlerinin, DCS yapılarının, pompaların, vanaların ve tüm siber-fiziksel süreçlerin güvenli şekilde çalışmaya devam etmesidir.
Aşağıdaki tablo iki operasyon modeli arasındaki temel farkları özetler:
| Boyut | IT SOC | OT SOC |
|---|---|---|
| Öncelik modeli | CIA (Gizlilik > Bütünlük > Erişilebilirlik) | SAIC yaklaşımı (Safety > Availability > Integrity > Confidentiality) |
| Korunan varlık | Veri, kimlikler, uygulamalar | Fiziksel süreç, PLC/DCS/SCADA, insan ve çevre güvenliği |
| Olay müdahale refleksi | İzole et, kapat, yeniden imajla | Süreci durdurmadan kontrol altına al; izolasyon son çare |
| Varlık ömrü / yama | 3–5 yıl, düzenli yama döngüsü | 15–25 yıl, yama pencereleri kısıtlı (planlı duruşlar) |
| Protokoller | HTTP/S, SMB, RDP, LDAP | Modbus TCP, S7Comm, DNP3, OPC UA, EtherNet/IP, IEC 104 |
| İzleme yöntemi | Ajan tabanlı EDR + aktif tarama | Pasif ağ izleme (SPAN/TAP), kontrollü aktif sorgulama |
| Referans çerçeveler | ISO 27001, NIST CSF | IEC 62443, NIST SP 800-82 Rev.3, Purdue Modeli |
Bu yaklaşım farkı, olaylara verilen tepkileri de değiştirir. IT ortamında güvenlik amacıyla gerçekleştirilen agresif izolasyon politikaları, OT tarafında ciddi operasyonel sonuçlar doğurabilir. NIST SP 800-82 Rev.3 rehberinde de açıkça belirtildiği gibi, OT sistemlerinde uygulanacak her güvenlik kontrolü; operasyonel sürekliliği ve insan güvenliğini tehlikeye atmayacak şekilde tasarlanmalıdır.
Örneğin kurumsal bir ağda zararlı davranış sergilediği düşünülen bir sunucunun otomatik olarak ağdan izole edilmesi başarılı bir müdahale olarak değerlendirilebilir. Aynı yaklaşımın bir petrokimya tesisinde ana prosesi yöneten PLC’ye uygulanması ise basınç kontrolünün kaybedilmesine, üretimin durmasına, hatta fiziksel güvenlik risklerinin oluşmasına neden olabilir. Bu sebeple OT güvenliğinin amacı yalnızca saldırganı durdurmak değildir; başarılı bir OT SOC yapısı, güvenlik ile operasyon sürekliliği arasında hassas bir denge kurmak zorundadır.
Bir diğer fark varlık görünürlüğüdür. IT cihazları işletim sistemi ve servis perspektifinden değerlendirilirken, OT ağlarında cihazın hangi Purdue katmanında (Seviye 0: saha enstrümanları, Seviye 1: kontrolörler, Seviye 2: denetim sistemleri, Seviye 3: operasyon yönetimi, Seviye 3.5: OT DMZ, Seviye 4-5: kurumsal ağ) bulunduğu, hangi prosese etki ettiği ve devre dışı kalmasının üretim zincirini nasıl etkileyeceği bilinmelidir. OT varlık yönetimi, operasyonel bağlamı da anlamayı gerektirir.
Tam da bu noktada klasik SOC anlayışından ayrılan en önemli kavram ortaya çıkar: Süreç farkındalığı (Process Awareness). OT SOC’u diğer güvenlik operasyon merkezlerinden ayıran en kritik yetkinlik, yalnızca logları analiz etmek değil, o logların üretim sürecindeki gerçek karşılığını anlayabilmektir.
Process Awareness (Süreç Farkındalığı) Neden Kritik?
Felsefi farklılıklar, aynı teknik olayın iki ekip tarafından farklı yorumlanmasına neden olabilir. Örneğin bir PLC’ye gönderilen standart CPU STOP komutu (MITRE ATT&CK for ICS‘te T0858 – Change Operating Mode tekniği), IT tarafında planlı bakım kapsamındaki rutin bir işlem gibi görülebilir. Ancak operasyonel süreci bilen bir OT analisti için bu; hattın durması, proses dengesinin bozulması ve fiziksel hasarın başlaması anlamına gelebilir. Teknik olarak aynı log incelense bile, gerçek risk ancak üretim süreciyle birlikte anlaşılır.
OT SOC analistleri, ağ trafiğini yorumlamanın ötesinde üretim süreçlerini de bilmek zorundadır. Bu süreç farkındalığını oluşturabilmek için başarılı bir OT SOC yapısının aşağıdaki temel yetkinliklere sahip olması gerekir:
1. Varlık Farkındalığı (Asset Awareness)
Endüstriyel ağlarda yalnızca IP veya MAC adreslerini bilmek yeterli değildir. Her cihazın Purdue Modeli içerisindeki konumu, üretici/model/firmware sürümü, hangi üretim hattına hizmet ettiği, hangi PLC veya HMI ile haberleştiği ve devre dışı kalması durumunda hangi fiziksel süreçlerin etkileneceği bilinmelidir. Bu envanterin çıkarılmasında pasif ağ dinleme (SPAN/TAP üzerinden trafik analizi) tercih edilmeli; aktif sorgulama yalnızca üretici protokollerine uygun, kontrollü ve düşük frekanslı biçimde yapılmalıdır. Hassas eski nesil kontrolörler, standart bir Nmap taramasında bile kilitlenebilir. Dolayısıyla OT varlık envanteri sadece keşif amacı taşımaz; risk analizi ve olay müdahalesinin de temelini oluşturur.
2. Mühendislik İstasyonlarının İzlenmesi
Engineering Workstation (EWS) olarak adlandırılan mühendislik istasyonları, OT ağlarının en kritik sistemleri arasında yer alır; çünkü PLC programlarının değiştirilmesi, firmware güncellemeleri veya proses parametrelerinin yeniden yapılandırılması doğrudan bu sistemler üzerinden gerçekleştirilir. Stuxnet’ten PIPEDREAM’e kadar bilinen tüm hedefli ICS saldırılarında EWS, saldırganın OT ağındaki temel sıçrama noktası olmuştur.
Bu nedenle kod yükleme işlemleri (Program Upload/Download – MITRE T0843/T0845), firmware güncellemeleri ve çevrim dışı yapılan mühendislik değişiklikleri ayrıntılı biçimde izlenmeli; her değişiklik, planlı bakım kayıtları ve değişiklik yönetimi (MoC) süreçleriyle ilişkilendirilmelidir. Bakım penceresi dışında gerçekleşen her program yüklemesi, varsayılan olarak şüpheli kabul edilmelidir.
3. Güvenlik PLC’lerinin (SIS) Ayrıştırılması
Safety Instrumented System (SIS) bileşenleri, tesisin acil durdurma (ESD) ve güvenlik fonksiyonlarını yöneten en kritik sistemlerdir. 2017’de Suudi Arabistan’daki bir petrokimya tesisini hedef alan Triton/TRISIS saldırısı, doğrudan Schneider Electric Triconex SIS kontrolörlerini hedef alarak bu sistemlerin neden ayrı bir risk sınıfında değerlendirilmesi gerektiğini acı bir şekilde gösterdi.
Süreç kontrol PLC’leri ile SIS kontrolörlerinin aynı risk seviyesinde değerlendirilmesi doğru değildir. IEC 62443’ün bölge (zone) ve geçit (conduit) modeli uyarınca SIS, ayrı bir güvenlik bölgesi olarak segmente edilmeli; SIS cihazlarına yönelik her erişim, konfigürasyon değişikliği veya program yükleme girişimi en yüksek öncelikli (P1) alarm olarak değerlendirilmelidir.
4. Historian Entegrasyonu
Modern OT SOC mimarilerinde yalnızca güvenlik loglarının incelenmesi yeterli değildir. Historian veri tabanlarında bulunan sıcaklık, basınç, akış hızı, titreşim veya enerji tüketimi gibi fiziksel proses verileri de güvenlik olaylarıyla korele edilmelidir. Saldırgan sistem loglarını silebilir ya da HMI ekranına sahte değerler yansıtabilir (Stuxnet’in yaptığı gibi); ancak fiziksel süreçte meydana gelen beklenmeyen basınç değişimleri veya anormal üretim davranışları, saldırının etkisini bağımsız bir veri kaynağı üzerinden ortaya çıkarabilir. Historian verisi, bu anlamda OT SOC’un “yer gerçeği” (ground truth) kaynağıdır.
Birleşik (Converged) SOC: Operasyonel Sınırları Ortadan Kaldırmak
Endüstriyel siber güvenlikte uzun yıllar yapılan en büyük stratejik hatalardan biri, IT ve OT güvenlik operasyonlarını bağımsız iki yapı olarak tasarlamaktı. Oysa günümüz saldırıları bu ayrımı ortadan kaldırmış durumda.
Modern tehdit aktörleri genellikle OT ağına doğrudan saldırmayı tercih etmez. Saldırı zinciri kurumsal IT ortamından başlar: kimlik bilgileri ele geçirilir, VPN’ler kötüye kullanılır, Active Directory üzerinde yanal hareketle Purdue Seviye 3.5’teki OT DMZ katmanına ulaşılır ve mühendislik istasyonları üzerinden OT ağına geçiş yapılır. Son aşamada PLC’ler hedef alınarak fiziksel sürece müdahale edilir. Ukrayna elektrik şebekesine yönelik Industroyer saldırıları, bu zincirin ders kitabı niteliğindeki örnekleridir.
Bu zincirin tek bir halkası incelendiğinde sıradan görünebilir: IT SOC için olay yalnızca şüpheli bir VPN oturumuyken, OT SOC için beklenmeyen bir PLC bağlantısıdır. Ancak iki olay birlikte değerlendirildiğinde bütüncül saldırı anlaşılır. Converged SOC yaklaşımı tam bu noktada devreye girerek IT ve OT dünyasını tek bir olay yönetim modelinde birleştirir.
Converged SOC mimarisi kurumlara dört temel avantaj sağlar:
- Bütünleşik Görünürlük (Unified Visibility): IT ve OT logları ortak platformda toplanır; analistler olayları tek merkezden, tek veri modeli üzerinden değerlendirir.
- Çapraz Etki Alanı Korelasyonu (Cross-Domain Correlation): IT’deki olağan dışı kullanıcı hareketleri ile OT’deki anormal protokol trafiği aynı korelasyon motorunda ilişkilendirilir. Bu, yanlış pozitifleri azaltırken gerçek saldırıların tespit süresini (MTTD) kısaltır.
- Tekil Olay Zaman Çizelgesi: İlk kimlik avı e-postasından PLC değişikliğine kadar tüm süreç tek bir kronolojik zincirde görüntülenir; bu, müdahaleyi hızlandırır ve adli analizi kolaylaştırır.
- Ortak Tehdit İstihbaratı: Kritik altyapıları hedef alan aktörlerin taktikleri iki ortamda eş zamanlı izlenir. Böylece MITRE ATT&CK Enterprise ve MITRE ATT&CK for ICS matrisleriyle uyumlu, davranışsal tespit mekanizmaları kurulabilir.
Birleşik SOC yaklaşımı sadece operasyonel verimlilik sağlamaz; olaylara bütüncül bakmayı mümkün kılar. Özellikle kritik altyapılar, enerji tesisleri ve büyük ölçekli üretim organizasyonları için Converged SOC mimarisi artık bir tercih değil, zorunluluktur.
OT Loglarının SIEM Dünyasında Anlamlandırılması
Birleşik bir OT SOC mimarisinin önündeki en büyük teknik zorluk, endüstriyel sistemlerden gelen ham verilerin klasik SIEM platformları tarafından doğrudan anlamlandırılamamasıdır. Standart işletim sistemi loglarının aksine Modbus TCP, Siemens S7Comm, DNP3 veya EtherNet/IP (CIP) gibi endüstriyel protokoller, syslog formatında olay üretmez; ham ağ paketlerinden oluşur. Bu nedenle veri toplama katmanında genellikle SPAN portları veya ağ TAP’leri üzerinden pasif dinleme yapan, derin paket analizi (DPI) yeteneğine sahip OT ağ sensörleri kullanılır.
Toplanan verilerin güvenlik analitiğine uygun hale getirilmesi üç aşamada gerçekleşir:
- Parsing (Ayrıştırma): Ağdan yakalanan ham paketler; zaman damgası, cihaz kimliği, protokol fonksiyon kodu, register/coil adresi, kaynak-hedef IP gibi alanlara bölünerek SIEM’in işleyebileceği yapısal formata dönüştürülür.
- Normalization (Normalleştirme): Farklı üreticilerin (Siemens, Schneider Electric, ABB, Rockwell vb.) aynı olayı farklı şekillerde ifade eden logları, ortak bir veri modeli altında standartlaştırılır. Böylece korelasyon kuralları marka bağımsız çalışabilir.
- Endüstriyel Protokol Semantik Analizi: Gerçek bir OT SOC, paketin operasyonel anlamını da analiz eder. Örneğin Modbus TCP’de Function Code 05/06/15/16 (coil ve register yazma işlemleri), okuma işlemlerinden (FC 01–04) çok daha kritiktir. Benzer şekilde S7Comm blok yüklemeleri, OPC UA oturum ve node yazma işlemleri, EtherNet/IP konfigürasyon değişiklikleri ile DNP3 Direct Operate (FC 0x05) komutları, yüksek riskli operasyonlar olarak ayrıştırılmalıdır.
Komutun sadece gönderilmiş olması değil, üretim sürecini nasıl etkileyebileceği de değerlendirilir. Hangi register’ın hangi proses değişkenini (setpoint, alarm limiti, vana konumu) tuttuğunu bilmek, aynı yazma komutunun rutin bir operatör işlemi mi yoksa prosese müdahale girişimi mi olduğunu belirler. OT SOC’u klasik izleme sistemlerinden ayıran temel fark budur.
OT Ortamlarında Tehdit Avcılığı: İmzadan Davranışsal Tespite
Geleneksel IT güvenliğinde tehdit avcılığı (Threat Hunting), büyük ölçüde dosya hash’leri, IP adresleri ve alan adları gibi bilinen tehdit göstergelerine (IOC) dayanır. Ancak operasyonel teknolojiler söz konusu olduğunda bu yaklaşım yetersiz kalır.
OT ortamlarını hedef alan Stuxnet, Industroyer, Triton ve PIPEDREAM gibi saldırılar incelendiğinde, saldırganların standart zararlı yazılımlar yerine hedef tesise özel geliştirilmiş, meşru endüstriyel protokolleri kullanan araçlardan yararlandığı görülür. PIPEDREAM’in OPC UA ve CODESYS protokollerini natif olarak konuşabilmesi bunun en çarpıcı örneğidir. Bu sebeple saldırının başlangıcında bilinen bir IOC bulunmayabilir; saldırı trafiği, protokol düzeyinde tamamen “meşru” görünebilir.
Bu noktada OT SOC’un temel yaklaşımı, normal operasyon modelinden sapan eylemleri erken yakalamayı hedefleyen davranışsal tespit (Behavioral Detection) olmalıdır. Davranışsal analiz, deterministik çalışan OT ağlarında yüksek başarı sağlar; üretim sistemleri, IT ağlarına kıyasla çok daha öngörülebilir iletişim modellerine sahiptir. Hangi PLC’nin hangi HMI veya SCADA sunucusuyla, hangi protokolle ve hangi periyotta haberleşeceği önceden bellidir. Bu yapı sayesinde öğrenilen iletişim taban çizgisinden (baseline) en küçük sapmalar bile anlamlı birer güvenlik göstergesine dönüşür.
Bir OT SOC bünyesinde yürütülmesi gereken örnek tehdit avcılığı sorguları şunlardır:
- Yeni Varlık Keşfi: Son 30 günde OT ağına ilk kez bağlanıp endüstriyel protokollerle iletişim kuran yeni IP veya MAC adresleri (MITRE T0846 – Remote System Discovery ile ilişkili).
- Zaman Dışı Müdahale: Planlı bakım takvimi dışındaki saatlerde mühendislik istasyonlarından PLC’lere yapılan program veya firmware yükleme girişimleri (T0843 – Program Download).
- Anormal Tarama: OT ağında kısa sürede çok sayıda Modbus, S7Comm veya DNP3 sorgusu gönderen keşif (scanning) davranışları.
- Yanal Hareket: Çift ağ kartlı (dual-homed) sistemlerde IT ile OT ağları arasında oluşan olağan dışı veri geçişleri ve beklenmeyen uzak masaüstü oturumları.
- Süreç Sapmaları: Historian verileri ile güvenlik logları karşılaştırıldığında fiziksel süreçte görülen açıklanamayan sapmalar (T0831 – Manipulation of Control şüphesi).
Bu sorgular, gerçekleşmiş saldırıların yanı sıra henüz hazırlık ve keşif aşamasındaki tehditleri de erkenden ortaya çıkarabilir.
7/24 İzleme ve Alarm Mühendisliği: Hangi Alarmlar Kritik?
Kurumsal IT ortamlarındaki binlerce günlük alarm kabul edilebilir olsa da OT’de bu yaklaşım ciddi sorunlara yol açar. En büyük risklerden biri, analistlerin sürekli ve düşük değerli alarmlar nedeniyle kritik olaylara karşı duyarsızlaşması, yani alarm yorgunluğudur (Alert Fatigue). Başarılı bir OT SOC “çok” değil, “doğru” alarm üretmeyi hedefler. Alarm kuralları oluşturulurken ağ davranışının yanında proses bilgisi, bakım planları ve varlık kritikliği de değerlendirilmeli; her alarm, MITRE ATT&CK for ICS teknikleriyle eşleştirilerek önceliklendirilmelidir.
Bir OT SOC içerisinde sürekli izlenmesi gereken başlıca alarm senaryoları şunlardır:
- Controller Mode Drift: Bir PLC’nin çalışma modunun RUN durumundan PROGRAM veya STOP moduna geçirilmesi (T0858).
- Unauthorized Register Write: Kritik proses parametrelerini (setpoint, alarm limiti) tutan register adreslerine yetkisiz veya beklenmeyen kaynaklardan yazma komutları gönderilmesi (T0836).
- New Asset Discovery: Purdue Modeli’nin Seviye 1 veya Seviye 2 ağlarında daha önce görülmeyen yeni bir cihazın tespit edilmesi.
- Configuration Drift: PLC veya RTU cihazlarının çalışan konfigürasyonlarının, güvenilir kabul edilen referans kopya (“Golden Image”) ile uyuşmaması.
- Industrial Protocol Scanning: Bir istemcinin kısa sürede çok sayıda endüstriyel sorgu göndererek keşif faaliyeti yürütmesi.
- SIS Alteration: Safety Instrumented System bileşenlerine yönelik her erişim, yazma veya konfigürasyon değişikliği girişimi — istisnasız en yüksek öncelikli (P1) alarm.
- Baseline Traffic Violation: Deterministik OT ağında, öğrenilen iletişim profilinin dışına çıkan beklenmeyen trafik akışları veya protokol değişiklikleri.
- Firmware Flash Attempt: Bakım planı dışında endüstriyel cihazlara firmware yükleme girişimleri (T0857 – System Firmware).
- Dual-Homed Host Anomaly: Hem IT hem OT ağına bağlı geçiş noktası sistemlerinde olağan dışı dış dünya bağlantılarının tespiti.
Alarm mühendisliği sadece kuralları yazmakla bitmez. Alarm eşikleri düzenli gözden geçirilmeli, yanlış pozitif oranları ölçülmeli ve üretim süreçlerindeki değişikliklere göre güncellenmelidir. Ortalama tespit süresi (MTTD), ortalama müdahale süresi (MTTR) ve yanlış pozitif oranı; olgun bir OT SOC operasyonunun düzenli raporlaması gereken temel performans metrikleridir.
Sıkça Sorulan Sorular (SSS)
OT SOC nedir ve neden gereklidir?
OT SOC; PLC, SCADA, DCS ve RTU gibi endüstriyel kontrol sistemlerini 7/24 izleyen, endüstriyel protokolleri anlamlandıran ve güvenlik olaylarını üretim süreci bağlamında değerlendiren özelleşmiş bir güvenlik operasyon merkezidir. IT-OT yakınsamasıyla artan saldırı yüzeyi, üretim sürekliliğini ve insan güvenliğini korumak için bu özelleşmiş yapıyı zorunlu kılar.
IT SOC, OT ortamlarını da izleyemez mi?
Teknik olarak log toplanabilir; ancak IT SOC analistleri endüstriyel protokolleri, Purdue katmanlarını ve proses etkisini yorumlayacak süreç farkındalığına sahip değildir. IT reflekslerinin (ör. otomatik izolasyon) OT’de uygulanması üretim kesintisine ve fiziksel risklere yol açabilir. Doğru model, IT ve OT’yi ortak olay yönetiminde birleştiren Converged SOC yaklaşımıdır.
OT SOC hangi standartlara dayanır?
Temel referans çerçeveleri IEC 62443 (bölge/geçit modeli ve güvenlik seviyeleri), NIST SP 800-82 Rev.3 (OT güvenlik rehberi), Purdue Referans Modeli ve MITRE ATT&CK for ICS matrisidir. Enerji sektöründe ayrıca EPDK bilgi güvenliği mevzuatı gibi ulusal düzenlemeler devreye girer.
OT ağlarında aktif tarama neden risklidir?
Eski nesil PLC ve RTU’ların TCP/IP yığınları kırılgandır; standart port taramaları bile cihazların kilitlenmesine veya yeniden başlamasına neden olabilir. Bu nedenle OT varlık keşfi öncelikle SPAN/TAP üzerinden pasif ağ dinlemesiyle yapılmalı, aktif sorgulama yalnızca üretici protokolüne uygun ve kontrollü biçimde kullanılmalıdır.
Converged SOC’a geçiş nereden başlamalı?
İlk adım, pasif keşifle eksiksiz bir OT varlık envanteri çıkarmak ve Purdue/IEC 62443 uyumlu ağ segmentasyonunu doğrulamaktır. Ardından OT ağ sensörleriyle görünürlük sağlanır, OT logları ortak SIEM veri modeline entegre edilir ve IT-OT çapraz korelasyon senaryoları ile alarm mühendisliği devreye alınır.
Sonuç
Operasyonel teknolojilerde siber güvenlik anlayışının geçirdiği dönüşüm, OT güvenliğini sadece bir ağ güvenliği problemi olmaktan çıkararak operasyonel sürekliliğin ayrılmaz bir parçası haline getirdi.
Modern OT SOC yaklaşımı; varlık görünürlüğü, süreç farkındalığı, davranışsal tehdit tespiti, endüstriyel protokol analizi ve 7/24 sürekli izleme yeteneklerini tek bir operasyon modeli altında birleştirir. Başarılı bir güvenlik operasyon merkezi saldırıları tespit etmekle kalmamalı, aynı zamanda üretim süreçlerinin güvenli ve kesintisiz şekilde devam etmesini de sağlamalıdır.
Günümüzde birçok kurum güvenlik seviyesini artırmak amacıyla farklı üreticilere ait çok sayıda güvenlik çözümünü aynı ortamda kullanmayı tercih ediyor. Ancak siber güvenlikte olgunluk, kullanılan ürün sayısıyla değil; bu ürünlerin doğru mimari içerisinde yönetilebilmesiyle ölçülür. Gereğinden fazla karmaşık yapılar, görünürlüğü artırmak yerine olay yönetimini zorlaştırabilir ve analistlerin karar verme süreçlerini olumsuz etkileyebilir.
Biz de CBERNET olarak bu nedenle siber savunma yaklaşımımızın merkezine yalın, sürdürülebilir ve operasyon odaklı güvenlik mimarilerini yerleştiriyoruz. Çünkü karmaşıklığın arttığı her noktada yönetilebilirlik azalırken, doğru tasarlanmış sade bir mimari hem görünürlüğü artırır hem de olay müdahale süreçlerini hızlandırır.
Endüstriyel tesislerin, enerji santrallerinin ve kritik altyapıların güvenliği; yalnızca doğru teknolojileri seçmekle değil, bu teknolojileri süreç odaklı bir güvenlik operasyon modeli içerisinde yönetebilmekle mümkündür. Kurumların OT varlıklarını keşif aşamasından derin görünürlüğe, tehdit tespitinden 7/24 Converged SOC operasyonlarına kadar uçtan uca destekleyerek, üretim süreçlerinin güvenliğini ve sürekliliğini korumalarına yardımcı oluyoruz.
Siber tehditlerin her geçen gün daha sofistike hale geldiği bir ortamda, operasyonel teknolojileri korumanın en etkili yolu; süreçleri gereksiz yere karmaşıklaştırmadan, doğru görünürlük sağlayan, davranış odaklı ve sürdürülebilir bir OT güvenlik mimarisi oluşturmaktır.
