Düz OT Ağını Hücre Hücre Segmentlere Ayırma: Adım Adım Geçiş Planı

Pek çok fabrikada OT ağı yıllar içinde ekleye ekleye tek bir VLAN’da, tek bir alt ağda toplanmıştır: PLC’ler, HMI’lar, SCADA sunucuları, mühendislik istasyonları, kameralar, bazen ofis yazıcıları bile aynı yayın alanındadır. Bunun bölünmesi gerektiğini herkes bilir. Asıl soru, üretimi durdurmadan nasıl bölüneceğidir. Aşağıda düz bir OT ağını trafik ölçümüne dayanan, hücre hücre ilerleyen ve her adımı geri alınabilen bir planla segmentlere ayırma yöntemini anlatıyoruz.

Düz ağın riskleri ve geçişin hedefi

Düz ağın sorunu yalnız güvenlik değil. Riskler üç başlıkta toplanır:

• Yayılma: Bir mühendislik istasyonuna bulaşan zararlı yazılım ağdaki her PLC’ye ve sunucuya doğrudan ulaşır. Arada filtre yapılacak nokta yoktur.
• Arıza etkisi: Bir yayın fırtınası, döngü ya da arızalı bir cihazın ürettiği trafik tüm hatları aynı anda vurur. Arızanın yeri bulunana kadar tesis geneli etkilenir. Sahada bunu genellikle şöyle görürüz: bakımcı bir saha switch’ine iki ucu aynı switch’e giden bir kablo takar, birkaç saniye içinde bütün HMI’lar haberleşme alarmına düşer.
• Görünmezlik: Kimin kiminle konuştuğu bilinmez; yeni eklenen bir cihaz ya da beklenmedik bir bağlantı kolay fark edilmez.

Hedef “her şeyi ayırmak” değildir. Hedef, ölçülmüş iletişim ihtiyaçlarına göre zonlar oluşturmak ve zonlar arası akışları yalnız gerekli olanlarla sınırlamaktır. Zon ve kanal çerçevesi için IEC 62443’te zon ve kanal yaklaşımı yazısına bakabilirsiniz. Konu burada IT–OT ayrımı değil, OT ağının kendi içindeki bölünmesi.

Trafik temel çizgisi ve iletişim matrisi çıkarma

Segmentasyon kararı varsayımla değil, ölçümle verilir. İlk adım pasif trafik kaydıdır. Çekirdek veya dağıtım switch’inde SPAN (port mirroring) ya da hatta yerleştirilen bir TAP ile trafik kopyalanır ve bir toplama cihazına gönderilir. Cisco IOS tabanlı bir switch’te VLAN bazlı SPAN örneği:

monitor session 1 source vlan 10
monitor session 1 destination interface GigabitEthernet1/0/24
show monitor session 1

SPAN switch kaynaklarını kullanır ve yoğun trafikte paket düşürebilir; yüksek trafikli bağlantılarda TAP daha güvenilirdir. Bir de hedef portun hızına dikkat edin: kaynak VLAN’ın toplam trafiği hedef portu aşıyorsa kayıt eksik gelir ve eksikliği kimse fark etmez. Kayıt alındıktan sonra konuşma listeleri çıkarılır. Wireshark’ın komut satırı aracı tshark ile:

tshark -r ot-hat3.pcapng -q -z conv,ip
tshark -r ot-hat3.pcapng -q -z conv,eth
tshark -r ot-hat3.pcapng -q -z io,phs

İlk komut IP düzeyinde, ikincisi Katman 2 düzeyinde konuşmaları verir; üçüncüsü protokol hiyerarşisini. Katman 2 özetini atlamayın. PROFINET RT gibi IP kullanmayan trafik IP özetinde görünmez. Daha kapsamlı bir yaklaşım için pasif varlık keşfi araçları kullanılabilir; yöntem ve sınırları OT ağlarında pasif varlık keşfi rehberinde.

Ham veriden çıkan iletişim matrisinin her satırında kaynak, hedef, protokol/port, yön ve amaç bulunur. En çok emek amaç sütununa gider: her akış için “bu ne işe yarıyor, sorumlusu kim” sorusu üretim ve bakım ekibiyle birlikte cevaplanır. Amacı bilinmeyen akışlar ayrıca işaretlenir. Bunlar ya unutulmuş bir bağımlılıktır ya da kaldırılması gereken bir bağlantı. İkisini ayırmadan kural yazılmaz.

Hedef segment yapısının belirlenmesi

Matris hazır olunca zon sınırları çizilir. Sahada işe yarayan kurallar:

• Hücre, Katman 2 bağımlılığının sınırıdır: PROFINET IO trafiği Katman 2’de çalışır; IO controller ile IO cihazları aynı segmentte kalır. EtherNet/IP implicit (I/O) mesajlaşmasında multicast kullanılıyorsa üretici ve tüketici cihazların aynı alt ağda olması gerekebilir; varsayılan multicast TTL değeri genellikle yönlendirmeye izin vermez.
• Ortak hizmetler ayrı zon: SCADA sunucuları, historian, OT etki alanı denetleyicileri ve yama sunucusu bir “OT sunucu” zonunda toplanır.
• Mühendislik istasyonları ayrı zon: PLC’ye yazma yetkisi olan sistemler operatör HMI’larından ayrı tutulur.
• OT dışı cihazlar dışarı: Kameralar, yazıcılar, bina otomasyonu ve ofis cihazları kendi segmentlerine taşınır. Çoğu zaman en kolay ve en düşük riskli ilk adım budur.

Hedef yapı yazılı olarak şunları içerir: her zon için bir VLAN/alt ağ, zonlar arasında filtreleme yapan bir sınır (Katman 3 switch üzerinde ACL veya endüstriyel firewall) ve iletişim matrisinden türetilmiş kural listesi. Hücre sınırına firewall konacaksa çalışma modu seçimi hücre seviyesinde firewall: transparan mod mu, routed mod mu yazısında ayrıntılı ele alınıyor. EtherNet/IP kullanan hücrelerde multicast trafiğinin ayrılması için EtherNet/IP ağlarında IGMP snooping yazısı da işinize yarar.

İzleme modunda kural uygulama

Kurallar ilk günden engelleme modunda devreye alınmaz. Önce sınır cihazı yerleştirilir ve tüm trafiği geçiren ama her akışı loglayan tek bir genel kuralla çalıştırılır. Ardından matristen türetilen izin kuralları bu genel kuralın üstüne eklenir; her biri loglanır. Bir süre sonra genel kurala hâlâ düşen akışlar incelenir. Bunlar matriste eksik kalan akışlardır.

Bu aşama, genel kurala düşen akış kalmadığında ya da kalan her akışın bilinçli olarak reddedileceğine karar verildiğinde biter. Ancak o zaman en alttaki genel kural “izin ver ve logla”dan “reddet ve logla”ya çevrilir. Bu çevirme de bir değişikliktir ve pencerede yapılır. Sahada en sık gördüğümüz hata, bu son adımın hiç atılmamasıdır: firewall yıllarca izleme modunda kalır, kağıt üzerinde segmentasyon vardır, pratikte yoktur.

Dalga planı: hücre hücre taşıma

Geçiş birbirinden bağımsız dalgalara bölünür. Her dalga tek bir değişiklik penceresinde bitecek büyüklükte olur. Örnek plan:

Dalga	Kapsam	Pencere	Risk
0	Yönetim ağı ve izleme altyapısı	Üretim sırasında	Düşük
1	Kamera, yazıcı, bina otomasyonu çıkışı	Üretim sırasında	Düşük
2	OT sunucu zonu ve mühendislik zonu	Hafta sonu	Orta
3	Pilot hücre (en az kritik hat)	Planlı duruş	Orta
4..n	Kalan hücreler, her pencerede bir veya iki	Planlı duruş	Yüksek
Son	Genel kuralın reddetmeye çevrilmesi	Hafta sonu	Orta

Dalga 0’ı küçümsemeyin. Ağ cihazlarına üretim trafiğinden bağımsız bir yönetim yolu yoksa, sonraki dalgada yanlış bir VLAN değişikliği cihaza erişimi keser ve birinin merdivenle saha panosuna çıkması gerekir. Bu yolun tasarımı için OT yönetim ağı ve out-of-band erişim yazısına bakın. Her dalga da kendi içinde bir değişiklik penceresidir; plan şablonu ve go/no-go yaklaşımı OT’de değişiklik penceresi mühendisliği yazısındaki yönteme dayanır.

Her dalga için doğrulama ve geri dönüş

Her dalganın başında switch yapılandırmaları, PLC/HMI projelerindeki adres tanımları ve firewall kural tabanı yedeklenir. Taşıma şu sırayla yapılır: yeni VLAN ve alt ağın sınır cihazında hazırlanması, kuralların izleme modunda eklenmesi, hücre portlarının yeni VLAN’a alınması, gerekiyorsa cihaz adreslerinin ve ağ geçitlerinin değiştirilmesi, işlevsel test. Sık atlanan nokta ağ geçidi: PLC’nin IP adresi değişir ama projedeki ağ geçidi eski kalır, hücre içi haberleşme çalışır, hücre dışı haberleşme çalışmaz.

Doğrulama, ağın değil prosesin çalıştığı gösterilerek yapılır. Ping yetmez.

• PLC ile IO cihazları arasında bağlantı hatası yok; teşhis tamponunda yeni hata kaydı yok.
• HMI ve SCADA tüm etiketleri güncel değerle okuyor; haberleşme alarmı yok.
• Historian’da hücreye ait verilerde boşluk yok.
• Mühendislik istasyonundan PLC’ye online bağlantı kurulabiliyor.
• Hücreler arası gereken veri alışverişi (interlock, sinyal paylaşımı) çalışıyor.
• Sınır cihazında, dalgaya ait genel kurala düşen beklenmedik akış yok.

Geri dönüş kriteri ve yöntemi önceden yazılır: portlar eski VLAN’a, cihaz adresleri eski değerlerine alınır, eski yapılandırma geri yüklenir. Geri dönüş süresi ölçülmüş olmalı ve pencereye sığmalıdır.

Geçiş kontrol listesi

• Trafik kaydı tüm olağan çalışma döngülerini kapsıyor; Katman 2 ve Katman 3 konuşmaları ayrı ayrı çıkarıldı.
• İletişim matrisindeki her akışın amacı ve sorumlusu belli; amacı bilinmeyenler karara bağlandı.
• Zon sınırları Katman 2 bağımlılıklarını bölmüyor.
• Yönetim ağı segmentasyon dalgalarından önce hazır.
• Her dalga için yedek, uygulama adımları, doğrulama listesi ve geri dönüş kriteri yazılı.
• Kurallar önce izleme modunda; reddetmeye geçiş ayrı bir değişiklik olarak planlandı.
• Güncel ağ şeması, VLAN/alt ağ tablosu ve kural listesi her dalgadan sonra güncelleniyor.

Segmentasyon bitince iş bitmez. Zonlar arası akışların izlenmesi, yeni eklenen cihazların ve kural sapmalarının fark edilmesi süreklilik ister. Mevcut ağınızın trafik temel çizgisini çıkarmak ve geçiş planını birlikte kurmak için Fabrika OT altyapı keşfi, endüstriyel ağ izleme ve arıza analizi ve OT siber güvenlik ve segmentasyon sayfalarına bakabilirsiniz. Wireshark istatistik seçeneklerinin tamamı Wireshark dokümantasyonunda yer alır.

Sık sorulan sorular

Trafik temel çizgisi için ne kadar süre kayıt almak gerekir?

Sabit bir süre yok; kayıt tesisin tüm olağan çalışma döngülerini kapsamalıdır. Bu en az bir tam vardiya döngüsü, bir reçete veya ürün değişimi, haftalık yedekleme ve raporlama işleri, mümkünse bir bakım çalışması demektir. Kısa kayıtlarda nadiren çalışan ama gerekli akışlar, örneğin ay sonu raporu veya lisans doğrulaması, matristen düşer.

Segmentasyon için tüm cihazların IP adresini değiştirmek gerekir mi?

Her zaman değil. Bir hücreyi yeni bir VLAN ve alt ağa taşımak genellikle IP değişikliği ister. PLC ve HMI projelerinde sabit tanımlı adres çoksa, ilk aşamada hücrenin önüne transparan modda firewall konarak IP değişikliği olmadan sınır oluşturulabilir. Yeniden adresleme sonra, planlı bir modernizasyonla birlikte yapılır.

PROFINET cihazları farklı VLAN’lara bölünebilir mi?

PROFINET IO gerçek zamanlı trafiği Katman 2’de çalışır; IO controller ile ona bağlı IO cihazları aynı yayın alanında kalmalıdır. Bu yüzden bölme, bir PLC ve onun I/O cihazlarını birlikte içeren hücre sınırlarından yapılır. Hücreler arası veri alışverişi gerekiyorsa yönlendirilebilir haberleşme veya ağ geçidi işlevi gören cihazlar üzerinden tasarlanır.

Bir dalgada sorun çıkarsa tüm projeyi geri almak gerekir mi?

Gerekmez. Dalgalar birbirinden bağımsız planlanırsa geri dönüş yalnız sorunlu dalgayı kapsar. Her dalganın kendi geri dönüş adımları, eski VLAN ve port yapılandırmasının yedeği ve önceden yazılmış bir karar kriteri olur. Tamamlanmış dalgalar yerinde kalır.