Purdue Modeli ile IT/OT Ağ Ayrımı: Pratik Bir Başlangıç

Birçok fabrikada ofis bilgisayarları, PLC’ler, operatör panelleri ve kameralar aynı düz ağdadır. Bu yapı yıllarca sorunsuz çalışmış olabilir; ancak ofis tarafında başlayan bir zararlı yazılımın üretim hattına ulaşmasını hiçbir şey engellemez. IT/OT ayrımı bu riski yönetmenin temelidir ve Purdue modeli bu ayrım için ortak bir dil sunar.

Purdue modelinin seviyeleri

Temel kural şudur: kurumsal ağ ile kontrol seviyeleri arasında doğrudan bağlantı olmaz; veri alışverişi endüstriyel DMZ’deki servisler üzerinden yapılır.

1. Envanterle başlayın

Neyin korunacağı bilinmeden segment çizilemez. Hat bazında PLC, HMI, sürücü, robot, mühendislik bilgisayarı, kamera ve ağ cihazları; IP adresleri, firmware sürümleri ve sorumlu kişilerle birlikte listelenmelidir. Pasif ağ izleme araçları, envanteri üretimi etkilemeden tamamlamaya yardımcı olur.

2. Trafik akışlarını çıkarın

Hangi sistemin kiminle, hangi protokol ve port üzerinden konuştuğunu belirleyin: MES’in PLC’den veri okuması, historian’ın SCADA’dan veri alması, mühendislik bilgisayarının PLC’ye program yüklemesi gibi. Bu liste, ileride yazılacak firewall kurallarının ta kendisidir.

3. Endüstriyel DMZ’yi kurun

IT ile OT arasına iki tarafa da kural uygulayabilen bir firewall katmanı ve DMZ yerleştirilir. Bu alanda tipik olarak şunlar bulunur:

• Uzaktan bakım için atlama sunucusu (jump host) ve kayıtlı erişim
• Historian veya veri aktarım sunucusu (IT tarafı buradan okur)
• Yama ve antivirüs güncelleme dağıtım noktası
• Dosya aktarımı için kontrollü bir ara alan

4. OT içinde hücre ve alanlar

IT/OT ayrımından sonra OT’nin kendisi de bölünmelidir. Her üretim hattı veya hücre ayrı bir segment olabilir; böylece bir hattaki sorun diğer hatlara yayılmaz. Hücreler arası trafik yalnız gerekli akışlarla sınırlandırılır.

5. Kademeli geçiş

• Firewall önce yalnız izleme ve kayıt modunda devreye alınır.
• Kayıtlar incelenerek beklenmeyen akışlar netleştirilir.
• Kurallar hat hat ve planlı duruş pencerelerinde uygulanır.
• Her adımda geri dönüş planı ve üretim ekibinin onayı bulunur.

Sık yapılan hatalar

• Uzaktan bakım için PLC’ye doğrudan açılan port yönlendirmeleri
• OT ve IT’nin aynı Active Directory alanında, aynı yetkilerle yönetilmesi
• Envanter ve akış analizi olmadan yazılan “her şeye izin ver” kuralları
• Segmentasyonun tek seferlik proje sanılması; değişiklik yönetiminin kurulmaması

Sık sorulan sorular

Purdue modeli bir standart mıdır?

Purdue modeli bir referans mimaridir; endüstriyel sistemleri işlevlerine göre seviyelere ayırır. Güvenlik gereksinimleri için genellikle IEC 62443 gibi standartlarla birlikte kullanılır.

Segmentasyon üretimi durdurur mu?

Doğru planlanırsa durdurmaz. Önce trafik akışları izleme modunda çıkarılır, kurallar kayıt (log) modunda denenir, geçiş planlı duruş pencerelerinde hat hat yapılır.

OT ağı internete hiç çıkmamalı mı?

İdeal olan OT seviyelerinin internete doğrudan çıkmamasıdır. Uzaktan bakım ve güncelleme gibi ihtiyaçlar endüstriyel DMZ’deki kontrollü servisler üzerinden karşılanmalıdır.