Veri Diyotu (Unidirectional Gateway) Ne Zaman Firewall’dan Daha Doğru?

IT ile OT arasındaki sınır çoğu tesiste bir firewall ve arkasındaki DMZ ile korunur. Firewall’un güvenliği kural tabanının doğruluğuna bağlıdır; tek bir hatalı “any” kuralı sınırı iki yönlü hale getirir. Bazı tesisler bu riski kabul etmez ve sınırın yapılandırma hatasıyla açılamamasını ister. Veri diyotu (unidirectional gateway) bu ihtiyaç için kullanılan, veriyi fiziksel olarak tek yönde taşıyan donanım tabanlı sınırdır. Aşağıda çalışma mantığını, hangi verinin nasıl taşındığını, iki yönlü ihtiyaçların nasıl çözüldüğünü ve firewall’a göre ne zaman daha doğru seçim olduğunu anlatıyoruz.

Veri diyotu nedir ve nasıl çalışır

Özü basittir: gönderen tarafta yalnız optik verici, alıcı tarafta yalnız optik alıcı bulunur. Geri yönde ışık taşıyacak fiber ya da verici/alıcı çifti yoktur. Alıcı taraftan gönderen tarafa fiziksel olarak tek bir bit bile iletilemez; bu yönü ne bir yapılandırma hatası ne de yazılım zafiyeti açabilir. Geri yön yok.

Bu kısıtın doğrudan sonucu: TCP gibi el sıkışma ve onay (ACK) isteyen protokoller diyottan doğrudan geçemez. Ticari ürünler bu yüzden üç parçalı bir yapı kullanır:

• Gönderen aracı (OT tarafı): OT’deki kaynaklarla normal protokollerle konuşur; historian’dan veri okur, syslog alır, belirlenen klasördeki dosyaları toplar.
• Tek yönlü donanım: Aracının ürettiği veriyi tek yönlü bağlantı üzerinden, ürüne özgü bir taşıma biçimiyle aktarır.
• Alıcı aracı (IT veya DMZ tarafı): Gelen veriyi yeniden oluşturur ve IT’deki uygulamalara sunucu gibi sunar; historian replikası, OPC sunucusu veya dosya paylaşımı olarak.

IT’deki uygulama OT’deki sisteme değil, alıcı taraftaki kopyaya bağlanır. Bu, OT DMZ tasarımındaki “doğrudan oturum yok” ilkesinin donanımla zorlanmış hâlidir.

Tek yönlü aktarımda protokol replikasyonu

Diyottan ne taşınabileceğini ürünün desteklediği “bağlayıcı” (connector) yazılımlar belirler. Ürün seçiminde ilk soru bu yüzden donanım hızı değil, gereken protokollerin desteklenip desteklenmediğidir. Sahada en sık yapılan hata, diyotu satın alıp bağlayıcı listesine sonradan bakmaktır.

Veri türü	Gönderen tarafta	Alıcı tarafta
Historian verisi	Historian’dan okuma	Historian replikası
OPC DA/UA etiketleri	OPC istemcisi olarak okuma	OPC sunucusu olarak yayın
Syslog, SNMP trap	UDP olarak alma	SIEM’e iletme
Dosyalar (rapor, log)	Klasör izleme	Hedef klasöre yazma
Ekran görüntüsü/izleme	Ekran yakalama	Salt okunur görüntüleme

Historian replikasyonunda iki yaklaşım görülür. Birincisinde alıcı tarafta aynı üreticinin historian’ı çalışır ve diyot, üreticinin kendi replikasyon akışını taşıyan bir bağlayıcı kullanır. İkincisinde gönderen aracı etiket değerlerini genel bir biçimde aktarır, alıcı taraf bunları farklı bir veritabanına yazar. İlki etiket meta verisini, kalite bayraklarını ve geçmişe dönük doldurmayı daha iyi korur; ikincisi esneklik verir. Historian seçimi historian seçimi yazısında ele alınıyor.

Geri kanal olmadığı için kayıp yönetimi tasarımın merkezine oturur. Ürünler genellikle ileri hata düzeltme (FEC), paketlerin tekrar gönderimi ve sıra numaraları kullanır. Alıcı taraftaki kayıp ve sıra hatası sayaçları izlenir; replikasyonda boşluk tespit edildiğinde gönderen tarafın belirli bir zaman aralığını yeniden göndermesi için zamanlanmış bir iş tanımlanır. Bu yeniden gönderim alıcıdan gelen bir istekle tetiklenmez. Tetikleyemez de.

MQTT veya OPC UA Pub/Sub gibi yayınla-abone ol modelleri kavramsal olarak tek yönlü akışa daha yakındır. Ancak MQTT TCP üzerinde çalıştığı için diyottan doğrudan geçemez; OPC UA Pub/Sub’ın UDP tabanlı taşıması onay beklemese de pratikte bu akışlar da ürünün desteklediği bağlayıcılar üzerinden, diyotun iki yanındaki aracılarla taşınır. Protokol seçiminin genel kriterleri için OPC UA mı MQTT mi yazısına bakabilirsiniz.

İki yönlü ihtiyaçlar: yama, uzaktan destek, reçete

Veri diyotu projelerinde en çok zamanı OT’ye doğru gerçekten gereken akışlar alır. Diyot kurulduktan sonra bu akışlar için ikinci bir yol açılıyorsa, tasarımın güvenliğini artık o yol belirler.

• Yama ve antivirüs imzaları: Seçenekler; taranmış güncellemelerin kontrollü bir taşınabilir medya istasyonuyla içeri alınması, ters yönde ikinci bir diyotla yalnız belirli dosya türlerinin aktarılması ya da yalnız bakım penceresinde fiziksel olarak bağlanan geçici bir bağlantı. Ters yönlü diyot içeri giren verinin içeriğini doğrulamaz; dosya doğrulama ve tarama ayrıca yapılır.
• Uzaktan destek: Makine üreticisinin veya merkezi mühendisliğin uzaktan erişimi diyottan geçmez. Genellikle ayrı, varsayılan olarak kapalı, açılması için sahadan fiziksel veya prosedürel onay gereken, süre sınırlı ve kayıt altına alınan bir bağlantı tasarlanır. Tasarımı makine üreticisi uzaktan erişimi rehberinde.
• Reçete ve üretim emri: ERP veya MES’ten OT’ye iş emri ya da reçete aktarımı diyotun doğrudan çözemeyeceği bir ihtiyaçtır. Seçenekler; üretim emirlerinin OT’deki MES’e manuel ya da kontrollü medya ile aktarılması, ters yönde yalnız belirli bir mesaj biçimine izin veren ve içerik doğrulaması yapan ikinci bir kanal ya da bu akış için diyot yerine sıkı yapılandırılmış bir firewall.

Firewall ile karşılaştırma tablosu

Ölçüt	Firewall + DMZ	Veri diyotu
Yön garantisi	Kurala bağlı, yazılımla sağlanır	Fiziksel, geri yön yok
Yapılandırma hatası etkisi	Sınırı açabilir	Geri yönü açamaz
Desteklenen akışlar	Hemen her protokol	Bağlayıcı olan protokoller
İstek-yanıt, yazma	Mümkün	Mümkün değil
İşletme yükü	Kural yönetimi, denetim	Bağlayıcı yönetimi, ikinci yol
Maliyet kalemleri	Cihaz, lisans, kural bakımı	Donanım, bağlayıcı lisansı, iki taraf aracı sunucu

Tablodaki en önemli satır ikincisidir. Doğru yapılandırılmış bir firewall güçlü bir sınırdır; ama güvenliği, kural tabanının yıllar boyunca doğru tutulmasına bağlıdır. Vardiya değişir, tedarikçi değişir, “geçici” kurallar kalıcılaşır. Veri diyotu tek yönlü akışlar için bu bağımlılığı ortadan kaldırır; karşılığında esnekliği kısıtlar ve iki yönlü ihtiyaçları ayrı, dikkatle tasarlanması gereken yollara iter.

Hangi tesislerde tercih edilir

Veri diyotu her tesisin endüstriyel ağ ve OT altyapısı için doğru yatırım değildir. Tercihi destekleyen durumlar:

• Sonuç ağırlığı: OT’de bir saldırının can güvenliği, çevre ya da geniş çaplı hizmet kesintisiyle sonuçlanabileceği tesisler: enerji üretimi, su ve atık su, kimya, kritik altyapı.
• Düzenleyici beklenti: Sektörel düzenleme veya müşteri şartnamesi, en kritik zonlar için donanım tabanlı tek yönlü sınır öngörüyorsa.
• Akış profili: IT’ye giden akışlar ağırlıklı olarak izleme ve raporlamaysa, OT’ye doğru gereken akış az ve öngörülebilirse.
• Hedef güvenlik seviyesi: IEC 62443 kapsamında bir zon için yüksek hedef güvenlik seviyesi belirlenmiş ve kanalda yalnız tek yönlü veri gerekiyorsa. Hedeflemenin nasıl yapıldığı IEC 62443-3-3 güvenlik seviyeleri yazısında.

Sık reçete değişimi ve yoğun MES–ERP etkileşimi olan, OT’ye günde birçok iki yönlü akış gereken kesikli imalat tesislerinde ise iyi tasarlanmış bir firewall + DMZ yapısı çoğu zaman daha dengelidir. Ara yol da var: diyot yalnız en kritik zonun (örneğin güvenlik enstrümanlı sistem veya ana kontrol sistemi) sınırına konur, tesisin geri kalanı firewall ile ayrılır.

Tasarım ve işletme dikkat noktaları

1. Önce akış envanteri: Diyot seçmeden önce IT’ye giden ve OT’ye gelen tüm akışları listeleyin. OT’ye gelen her akış için diyotsuz çözümü yazın; çözülemeyen akış varsa proje başlamadan karara bağlanır.
2. Aracı sunucuların yönetimi: Gönderen aracı OT’de, alıcı aracı DMZ’de veya IT’de durur; ikisi de yama, yedek ve izleme ister. Gönderen aracının yönetimi OT tarafından, OT içinden yapılır.
3. Zaman senkronizasyonu: NTP istek-yanıt gerektirdiği için diyottan geçmez. OT tarafı zamanı IT’deki sunuculardan alamaz; OT içinde kendi kaynağına (örneğin GPS tabanlı bir zaman sunucusu) ihtiyaç duyar. Zaman damgaları gönderen tarafta üretilir, alıcı taraf bağımsız bir kaynaktan senkronize olur, iki saat arasındaki fark izlenir. Devreye almada bu madde genellikle unutulur.
4. İzleme: Bağlayıcı durumu, kayıp sayaçları, son başarılı aktarım zamanı ve replikasyon gecikmesi IT’deki izleme sistemine alarm olarak bağlanır. Sessizce duran replikasyon, raporlarda eksik veriye ve yanlış kararlara yol açar. Kimse fark etmez.
5. Fiziksel bütünlük: Diyotun etrafından dolaşan tek bir kablo tüm tasarımı geçersiz kılar. Sınırda başka bağlantı olmadığı periyodik olarak, yerinde kontrol edilir.
6. Kapasite: Bant genişliğinin yanında aracıların saniyede işleyebildiği etiket sayısı ve dosya boyutu sınırları kontrol edilir.

NIST’in OT güvenlik rehberi SP 800-82 Rev. 3, tek yönlü ağ geçitlerini IT/OT sınır koruması seçenekleri arasında ele alır ve değerlendirme için iyi bir başlangıç noktasıdır. Kritik sınırınız için firewall ile veri diyotu arasında akış envanterine dayalı karar vermek isterseniz OT siber güvenlik ve segmentasyon ile IT/OT entegrasyon danışmanlığı sayfalarına bakabilirsiniz.

Sık sorulan sorular

Veri diyotu kurulduktan sonra firewall’a gerek kalır mı?

Kalır. Veri diyotu yalnız IT ile OT arasındaki tek yönlü sınırı sağlar. OT içindeki zonlar arası ayrım, hücre firewall’ları ve diyot dışında kalan kontrollü erişim yolları, örneğin süre sınırlı uzak destek bağlantısı, yine firewall ile yönetilir. Diyot firewall’un yerini değil, en kritik sınırdaki rolünü alır.

OPC UA veya Modbus gibi istek-yanıt protokolleri diyottan nasıl geçer?

Protokolün kendisi geçmez. OT tarafındaki aracı yazılım veriyi istemci gibi okur ve tek yönlü kanaldan gönderir; IT tarafındaki aracı aynı veriyi sunucu gibi yayınlar. IT’deki uygulama bu kopyaya bağlanır. Bu yüzden IT tarafından OT’deki cihaza yazma veya komut gönderme bu yol üzerinden mümkün değildir.

Veri diyotunda veri kaybı olursa ne olur?

Geri kanal olmadığı için alıcı kayıp paketi yeniden isteyemez. Ürünler bunu ileri hata düzeltme, paketleri birden çok kez gönderme ve sıra numarasıyla kayıp tespiti gibi yöntemlerle telafi eder. Alıcı taraftaki kayıp sayaçları izlenir; historian replikasyonunda boşluk oluşursa yeniden gönderim, gönderen tarafta zamanlanmış bir işle tetiklenir.

Yazılım tabanlı tek yönlü çözümler veri diyotu yerine geçer mi?

Aynı güvenceyi vermez. Firewall kuralıyla veya yazılımla tek yönlü davranış sağlayan çözümlerde geri yön fiziksel olarak mümkündür; yapılandırma hatası veya zafiyetle açılabilir. Veri diyotunu ayıran şey, geri yönün donanım düzeyinde, örneğin optik alıcının hiç bulunmamasıyla, imkânsız olmasıdır. Ürün değerlendirirken bu ayrımın nasıl sağlandığı açıkça sorulmalıdır.