Endüstriyel kontrol sistemlerinin siber güvenliği: Bir YZ ajanı 4 saatte 4 ciddi açık buldu, fabrikalar ne yapmalı?

Otonom bir yapay zekâ ajanı, parçacık hızlandırıcılarını yöneten EPICS yazılımında 3 saat 49 dakikada dört ciddi açık buldu. Endüstriyel kontrol sistemlerinin siber güvenliği için OT zafiyet yönetimi tablosu, Türkiye verisi ve kontrol listesi.

Yıllarca "kimse bu eski kontrol yazılımını incelemez" varsayımıyla korunan fabrika ve tesis sistemleri için kötü bir haber var. The Register'ın 27 Ekim'de aktardığına göre otonom bir yapay zekâ ajanı, dünyanın büyük bilim tesislerinde kullanılan açık kaynaklı EPICS kontrol yazılımında dört ciddi açığı yalnızca 3 saat 49 dakikada buldu ve doğruladı ^[1]. Aynı gün ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) bir endüstriyel kontrol sistemi bildirimi yayımladı ^[2]. Bu yazıda olayın endüstriyel kontrol sistemlerinin siber güvenliği için ne anlama geldiğini ve fabrikaların atabileceği somut adımları ele alıyoruz.

Ne oldu? EPICS'te dört açık, düzeltme 7.0.11'de

EPICS (Experimental Physics and Industrial Control System), Los Alamos ve Argonne ulusal laboratuvarlarında geliştirilmiş, dağıtık SCADA sistemleri kurmak ve fiziksel cihazları uzaktan yönetmek için kullanılan bir yazılım çatısı. The Register'a göre dünya genelinde yaklaşık 90 büyük bilimsel, üniversite ve endüstriyel projede kullanılıyor ^[1].

Kaynak: The Register ^[1], CISA ICSA-26-300-01 ^[2]. Etkilenen sürümler EPICS Base 7.0.10 ve öncesi; düzeltmeler 7.0.11 sürümünde ^[2][3].

CISA'ya göre açıkların başarılı istismarı hizmet engelleme, bellek bozulması, hassas bilgi ifşası ya da potansiyel olarak keyfi kod çalıştırma ile sonuçlanabilir ^[2]. Bildirim, sektör olarak "Kritik İmalat"ı işaretliyor ^[2].

Alıntılanabilir istatistik: Causal Security'nin "Cipher" adlı YZ ajanı, daha önce tanımadığı EPICS sisteminde dört bilinmeyen açığı bulup istismar edilebilirliğini 3 saat 49 dakikada doğruladı ^[1].

Asıl ders: "Gizlilikle güvenlik" dönemi bitiyor

Causal Security kurucu ortağı Shubham Raj, ilk incelemenin insan müdahalesi olmadan yapıldığını; yalnızca derin istismar testleri için güvenli bir ortamda tek bir onay verildiğini söylüyor ^[1]. Raj'a göre bu açıkları istismar etmek için parçacık fiziği ya da derin OT bilgisi gerekmiyor; geleneksel istismar becerisi olan biri, giderek yetenekli YZ sistemlerinin yardımıyla bunu yapabilir ^[1].

The Register'ın değerlendirmesi de aynı yönde: Bu bulgular, YZ ajanlarının eskiden "bilinmezlik" sayesinde korunan endüstriyel ve operasyonel teknoloji (OT) sistemlerinde açık bulmakta ne kadar iyi olduğunu gösteriyor ^[1]. Yani saldırgan tarafında açık bulma maliyeti düşüyor; savunma tarafında yama ve segmentasyon temposu artmak zorunda.

İyi haber şu: Bu açıkları gerçek bir tesiste istismar etmenin ön koşulu, kontrol ağındaki EPICS servislerine ulaşabilmek. Bu da ağlar yeterince ayrılmamışsa ya da başka bir sistem bu ağa erişebiliyorsa mümkün oluyor ^[1]. Ağ segmentasyonu hâlâ en güçlü kalkan.

Tek örnek değil: Aynı hafta başka ICS bildirimleri

CISA, EPICS bildirimiyle aynı gün Mitsubishi Electric'in GENESIS, ICONICS Suite ve MC Works64 gibi SCADA/HMI ürünleri için de ayrı bir bildirim (ICSA-26-300-02) yayımladı; bu bildirimde kimlik doğrulamanın atlatılması ve keyfi kod çalıştırma riskleri sayılıyor ^[4]. Fabrikalar için gerçek iş, tek bir açığı kapatmak değil, bu bildirim akışını düzenli bir süreçle yönetmek.

CISA'ya göre EPICS açıklarının kamuya açık şekilde istismar edildiğine dair bir bildirim henüz yok; ajans ayrıca savunma önlemlerini devreye almadan önce etki analizi ve risk değerlendirmesi yapılmasını hatırlatıyor ^[2]. OT'de aceleyle yapılan bir değişiklik de üretimi durdurabilir.

Türkiye için okuma

Türkiye'ye özgü en güncel kamuya açık veri biraz eski: Kaspersky'nin 2023'ün ilk yarısına ait verilerine göre Türkiye'de ICS bilgisayarlarının %41,9'unda kötü amaçlı nesne engellendi; dünya ortalaması %34'tü ^[5]. Kaspersky ICS CERT'in 2026 ikinci çeyrek raporuna göre ise küresel oran 2022'den bu yana en düşük seviyeye inerken, fidye yazılımlarının hedef aldığı ICS bilgisayarlarının sayısı Orta Doğu'da çeyrekten çeyreğe %11 arttı ^[6]. Kaspersky uzmanları düzenli güvenlik değerlendirmesi, zafiyetlerin önceliklendirilmesi, kritik bileşenlerin zamanında güncellenmesi ve BT ile OT personelinin eğitimini öneriyor ^[6].

Fabrikada tarayıcı, robot ve MES gibi bileşenlerin güvenliğini daha önce barkod okuyucu güvenliği ve ISA-95 ile seviye 3 MES yazılarımızda ele almıştık. ISA-95'in seviye modeli, aşağıdaki segmentasyon adımları için de doğal bir harita sunuyor.

OT zafiyet yönetimi: BT yaması ile farkı

Tablo, CISA'nın ağ maruziyetini azaltma ve izolasyon önerileri ^[2] ile Kaspersky'nin önerileri ^[6] temel alınarak tarafımızca derlenmiştir.

Endüstriyel kontrol sistemlerinin siber güvenliği: 10 maddelik kontrol listesi

• Tüm kontrol sistemi cihaz ve yazılımlarının sürümlü envanterini çıkarın (EPICS, SCADA, HMI, PLC yazılımları)
• EPICS kullanıyorsanız 7.0.11'e yükseltin; kullanmıyorsanız CISA ICS bildirimlerini haftalık takip edin ^[2][3][4]
• Kontrol ağını internetten ve iş ağından ayırın, güvenlik duvarının arkasına alın ^[2]
• Uzaktan erişim gerekiyorsa VPN gibi güvenli yöntemler kullanın ve VPN'i en güncel sürümde tutun ^[2]
• Kontrol ağına erişebilen her BT sistemini listeleyin; gereksiz yolları kapatın ^[1]
• Yama yapılamayan sistemler için telafi edici kontrol tanımlayın (erişim listesi, izleme)
• Zafiyetleri CVSS'in yanında istismar edilebilirlik ve üretime etkiye göre önceliklendirin ^[6]
• Planlı duruş takvimine yama pencereleri ekleyin
• BT ve OT ekiplerine ortak eğitim ve tatbikat planlayın ^[6]
• Fidye yazılımı senaryosu için çevrimdışı yedek ve geri dönüş planı hazırlayın ^[6]

Eski Windows sunucuları da OT ağlarında sık görülen bir risk; bkz. Windows Server 2016 destek sonu.

Sıkça sorulan sorular

Endüstriyel kontrol sistemlerinin siber güvenliği neden zor?

OT sistemlerinde öncelik kesintisiz çalışma ve fiziksel güvenlik; yama ancak planlı duruşlarda ve üretici onayıyla yapılabiliyor. Bu yüzden segmentasyon ve erişim kısıtlama genellikle ilk savunma hattı ^[2].

EPICS açıkları hangi sürümü etkiliyor?

CISA'ya göre EPICS Base 7.0.10 ve öncesi etkileniyor; düzeltmeler 7.0.11'de ^[2][3].

Yapay zekâ OT sistemlerinde açık bulabiliyor mu?

Evet. Causal Security'nin Cipher ajanı EPICS'te dört açığı 3 saat 49 dakikada buldu ve doğruladı ^[1].

Açığı istismar etmek için ne gerekiyor?

The Register'a göre saldırganın kontrol ağındaki EPICS servislerine ulaşması gerekiyor; yetersiz segmentasyon bu yolu açabiliyor ^[1].

Türkiye'de endüstriyel sistemler ne kadar hedefte?

Kaspersky'nin 2023 ilk yarı verisine göre Türkiye'de ICS bilgisayarlarının %41,9'unda kötü amaçlı nesne engellendi (dünya: %34) ^[5]. Daha güncel Türkiye'ye özgü kamuya açık veri bulamadık.