Bu bölümde SCADA ve Endüstriyel Kontrol Sistemlerinde operasyonel bakım tehditlerini inceleyeceğiz. Bu bölümdeki tehditlerimizi 6 kısma ayırabiliriz. Bunlar;
1) Şifreler
Güvenlik önlemleri genel olarak mantıklı olmalı ve günlük operasyonel görevlerde mümkün olduğunca sınırlı bir etkiye sahip olmalıdır. Aksi takdirde, insanlar, şirketin genel güvenlik duruşunu kesinlikle azaltacak bir çalışma arayışında olacaklardır. Bir, çok tartışılan konu şifreler, gerekli parola gücü (uzunluk ve entropi) ve parola son kullanma süresidir. EKS alanındaki bu tartışma, Bilgi ve Haberleşme Teknolojileri alanından daha karmaşıktır.
Öncelikle, önemli sayıda EKS ortamında, kurulum sırasında ayarlanmış veya fabrika varsayılan ayarlarında bırakılmış ve hiç değiştirilmemiş tek bir kullanıcı adı ve şifre kullanmaktadır. Bu kısımdaki tehdit, günlükler hangi kişinin ne yaptığını göstermemektedir ve daha da kötüsü, zamanla dışarıdan (kurumdan ayrılan personeller gibi) yetkisiz kişilerin çoğu parola bilgisine sahip olmasıdır. Bir kuruluş bireysel kullanıcı adı-şifre kombinasyonları kullansa bile, zorunlu şifre değişikliği yılda sadece bir kez gerçekleşebilir. Birçok durumda, bir yıldan daha uzun bir süre sonra geçici olarak bir değişiklik yapılması gerekmektedir. EKS’lere sahip kuruluşlar nadiren kendi Bilgi ve Haberleşme Teknolojileri alanlarında yaygın olarak kullanılan ve EKS’ler için kendi sektör çapında iyi yetkilendirilen 3–6 aylık şifre değiştirme sıklığını kullanırlar.
Öncelikle, önemli sayıda EKS ortamında, kurulum sırasında ayarlanmış veya fabrika varsayılan ayarlarında bırakılmış ve hiç değiştirilmemiş tek bir kullanıcı adı ve şifre kullanmaktadır. Bu kısımdaki tehdit, günlükler hangi kişinin ne yaptığını göstermemektedir ve daha da kötüsü, zamanla dışarıdan (kurumdan ayrılan personeller gibi) yetkisiz kişilerin çoğu parola bilgisine sahip olmasıdır. Bir kuruluş bireysel kullanıcı adı-şifre kombinasyonları kullansa bile, zorunlu şifre değişikliği yılda sadece bir kez gerçekleşebilir. Birçok durumda, bir yıldan daha uzun bir süre sonra geçici olarak bir değişiklik yapılması gerekmektedir. EKS’lere sahip kuruluşlar nadiren kendi Bilgi ve Haberleşme Teknolojileri alanlarında yaygın olarak kullanılan ve EKS’ler için kendi sektör çapında iyi yetkilendirilen 3–6 aylık şifre değiştirme sıklığını kullanırlar.
2) Yetkilendirme
Geleneksel olarak, proses mühendisliğinin kültürü, bir sürecin kontrol dışı kalması durumunda daha etkin hale gelmek ve düzeltici eylemde bulunmak için süreci ayarlamak için değişiklikler yapmaktır. Tehdit, EKS’lerde yapılan değişikliklerin, yetkilendirilen personel tarafından uygun değişim yönetimi prosedürleri ve sonuç analizleri olmadan yapılmasıdır. Hollanda’da bir vakada yetkilendirilme yapılmadığı için 26.000 hane, ısıtma ve yemek pişirmede gerekli olan üç günlük doğal gazdan mahrum bırakıldı. Proses Mühendisinin sistem üzerinde yaptığı değişiklikten EKS sistemini kullanan yetkili personel habersizdi. Yetki karmaşalarını ortadan kaldırmak için EKS kullanıcılarına yetkilendirme doğru bir şekilde yapılmalı ve tanımlanmalıdır.
3) Değişim Yönetimi
EKS operasyonlarına yönelik büyük bir tehdit, değişim yönetimi eksikliği ve güncel EKS konfigürasyon belgeleri ve yedekleridir. Genellikle karmaşık EKS ve tek saatlik bakım ihtiyaçları göz önünde bulundurulduğunda, son yazılım ve yapılandırma değişikliklerinde mevcut belgeler ve bilgiler iş süreci kesinti süresinin azaltılmasına yardımcı olabilir. Ekipmanın zarar görmesi durumunda, iyi yapılandırma belgeleri ve uzaktan depolanmış yedeklemeler, EKS işlemlerini olabildiğince hızlı bir şekilde kurtarmaya yardımcı olabilir.
Uygun değişiklik yönetimi ayrıca EKS geliştirme ve test ortamının operasyonel EKS ortamından ayrılmasını gerektirir. İşletim sistemine izinsiz ve yanlışlıkla yapılan değişikliklerin tehdidi yüksektir. Bu sebeple yapılan değişiklikler test ortamında gerçekleştirilip başarıya ulaştıktan sonra gerçek EKS ortamında uygulanmalıdır.
Uygun değişiklik yönetimi ayrıca EKS geliştirme ve test ortamının operasyonel EKS ortamından ayrılmasını gerektirir. İşletim sistemine izinsiz ve yanlışlıkla yapılan değişikliklerin tehdidi yüksektir. Bu sebeple yapılan değişiklikler test ortamında gerçekleştirilip başarıya ulaştıktan sonra gerçek EKS ortamında uygulanmalıdır.
4) Yamalar
Bilgi İletişim Teknolojileri alanı içinde, mümkün olan en kısa zamanda bilinmekte olan bu zayıflıkları ortadan kaldırmak yaygın bir uygulama haline gelmiştir. 7/24 EKS ortamında, “Bozulmazsa, düzeltmeyin” düşünce kuralları gerçerlidir. Üstelik, EKS üreticileri ve sistem entegratörleri, temelde bir işletim sistemi veya iletişim yazılımı için bir yamanın EKS uygulamalarını etkilemeyeceğini doğrulamak için uzun zaman üzerinde çalışmaları gerekiyor. Yamaların otomatik olarak uygulanması genellikle mümkün değildir, çünkü kontrol edilen sürecin önemli bir döneminde kontrol kaybına neden olabilir.
EKS alanındaki yama, çoğu zaman, belirli siber risklere karşı iş süreçleri sürekliliğinde temel işletim sistemi ve uygulama yazılımı hala destekleniyorsa kurumsal ikilemlere neden olmaktadır. Risk, bir Truva atı veya solucanının EKS ağına girmein ve İnsan Makine Arayüzünün veya diğer EKS uygulamalarının temel işletim sistemini etkilemenin bir yolunu bulmasıyla ortaya çıkar.
Kuruma yönelik tehdit, tek bir EKS üreticisinin bazı yazılım kütüphanelerinin ve modüllerinin, çeşitli EKS üreticileri tarafından piyasaya sürülen geniş bir EKS ürün setine yerleştirilmesidir. Böyle bir çekirdek modülde bir güvenlik açığı oluştuğunda, yamaları modülleri kullanan tüm üreticiler tarafından dağıtılmadan önce uyumluluk sorunlarının tespit edilmesi uzun sürebilir. Yeniden satış yapan üreticiler, bu tür güvenlik açıkları için müşterilerine bile düzeltme uygulamayamazlar. CoDeSys Kontrol Çalışma Zamanı Sisteminde bulunan güvenlik açıkları, bu duruma örnek olarak verilebilir.
EKS alanındaki yama, çoğu zaman, belirli siber risklere karşı iş süreçleri sürekliliğinde temel işletim sistemi ve uygulama yazılımı hala destekleniyorsa kurumsal ikilemlere neden olmaktadır. Risk, bir Truva atı veya solucanının EKS ağına girmein ve İnsan Makine Arayüzünün veya diğer EKS uygulamalarının temel işletim sistemini etkilemenin bir yolunu bulmasıyla ortaya çıkar.
Kuruma yönelik tehdit, tek bir EKS üreticisinin bazı yazılım kütüphanelerinin ve modüllerinin, çeşitli EKS üreticileri tarafından piyasaya sürülen geniş bir EKS ürün setine yerleştirilmesidir. Böyle bir çekirdek modülde bir güvenlik açığı oluştuğunda, yamaları modülleri kullanan tüm üreticiler tarafından dağıtılmadan önce uyumluluk sorunlarının tespit edilmesi uzun sürebilir. Yeniden satış yapan üreticiler, bu tür güvenlik açıkları için müşterilerine bile düzeltme uygulamayamazlar. CoDeSys Kontrol Çalışma Zamanı Sisteminde bulunan güvenlik açıkları, bu duruma örnek olarak verilebilir.
5) Kötü Amaçlı Yazılım Koruması
Bilgi İletişim Teknolojileri alanında, genellikle internette bulunan güncellemeleri otomatik olarak yükleyen ve uygulayan anti-malware yazılımı çalıştırmak yaygındır. EKS için zararlı yazılım önleme çözümleri, EKS alanındaki yaşlanma ve eski EKS bileşenleri nedeniyle zor uygulama ve bellek kapasitesi gerektirir. Kötü amaçlı yazılım önleme yazılımının güncellenmesi uygulandığında, EKS’lerin bir çok işlemci ve bellek kaynağını meşgul edebilir veya zararlı yazılım taraması yapıldığında sistemdeki olayların gecikmesi hatta bozulması durumlarıyla karşılaşılabilir.
Bu nedenlerden dolayı, çoğunlukla EKS etki alanında antimalware yazılım çözümleri uygulamamaktadır. Öte yandan, sektör çapında yapılan düzenlemelerde, söz konusu güncellemelerin, piyasaya sürüldükten sonra 24 saat içinde uygulanması gerektiğini belirtmektedir. EKS’leri kullanan çeşitli kritik altyapı sektörlerindeki kıyaslamalar, düzenleme ve uygulama arasındaki bu boşlukların var olduğunu göstermiştir. EKS alanlarındaki kötü amaçlı yazılım olayları meydana geldiğinden ve büyük operasyonları etkilediğinden iş riski göz ardı edilmemelidir. Avustralya elektrik şebekesi işletmecisi Integral Energy’nin şebeke kontrol merkezinde bu yüzden bir sıkıntı yaşandı. Kontrol sistemlerinde Windows sistemlerini etkileyen kötü amaçlı yazılım nedeniyle neredeyse tüm İnsan Makine Arayüzlerini kaybettiler. Integral Energy’nin Elektrik şebekesini kontrol edememesinden kaynaklanan enerji kaybı (satılamayan enerji) 2.1 milyon haneyi etkilemiştir.
Bu nedenlerden dolayı, çoğunlukla EKS etki alanında antimalware yazılım çözümleri uygulamamaktadır. Öte yandan, sektör çapında yapılan düzenlemelerde, söz konusu güncellemelerin, piyasaya sürüldükten sonra 24 saat içinde uygulanması gerektiğini belirtmektedir. EKS’leri kullanan çeşitli kritik altyapı sektörlerindeki kıyaslamalar, düzenleme ve uygulama arasındaki bu boşlukların var olduğunu göstermiştir. EKS alanlarındaki kötü amaçlı yazılım olayları meydana geldiğinden ve büyük operasyonları etkilediğinden iş riski göz ardı edilmemelidir. Avustralya elektrik şebekesi işletmecisi Integral Energy’nin şebeke kontrol merkezinde bu yüzden bir sıkıntı yaşandı. Kontrol sistemlerinde Windows sistemlerini etkileyen kötü amaçlı yazılım nedeniyle neredeyse tüm İnsan Makine Arayüzlerini kaybettiler. Integral Energy’nin Elektrik şebekesini kontrol edememesinden kaynaklanan enerji kaybı (satılamayan enerji) 2.1 milyon haneyi etkilemiştir.
6) Donanım Erişimi ve Ağ
Yukarıda bahsettiğim gibi, Bilgi İletişim Teknolojileri ve EKS departmanları arasında sıklıkla bir sürtüşme ve anlayış eksikliği bulunmaktadır. Servisleri ağ seviyesinde buluşduğu için, EKS sürekliliğine yönelik önemli bileşenler sadece bu servis ağının bir kullanıcısı olduğu için veya finansal departman vb. departmanlara yaklaşım mantığı ile düşünülerek, EKS operasyonları hakkında bilgi sahibi olmadan Bilgi İletişim Teknolojileri bölümü tarafından kontrol edilebilir, sürdürülebilir ve geliştirilebilir değildir.
Bilgi İletişim Teknolojileri bakım personeli, izlenen ve kontrol edilen fiziksel işlemlerin yapıldığı odalarda veya binalarda ağ bileşenlerine fiziksel olarak erişme ihtiyacı duyabilir. Yanlışlıkla, EKS alanı için kritik olan kabloları çıkarmayı veya EKS bileşenlerini istemeden kapatmayı başarabilirler, bu EKS işlemlerinin sürekliliğine yönelik büyük bir tehdittir. Ayrıca, Bilgi İletişim Teknolojileri personeli, tüm siber güvenlik prosedürlerini ihmal eden EKS’nin önemli ağ elemanlarına yetkisiz ekipman bağlayabilir. Bu olay, bir nükleer santralin kritik EKS ağlarında yaşanmış bir durumdur.
Bilgi İletişim Teknolojileri bakım personeli, izlenen ve kontrol edilen fiziksel işlemlerin yapıldığı odalarda veya binalarda ağ bileşenlerine fiziksel olarak erişme ihtiyacı duyabilir. Yanlışlıkla, EKS alanı için kritik olan kabloları çıkarmayı veya EKS bileşenlerini istemeden kapatmayı başarabilirler, bu EKS işlemlerinin sürekliliğine yönelik büyük bir tehdittir. Ayrıca, Bilgi İletişim Teknolojileri personeli, tüm siber güvenlik prosedürlerini ihmal eden EKS’nin önemli ağ elemanlarına yetkisiz ekipman bağlayabilir. Bu olay, bir nükleer santralin kritik EKS ağlarında yaşanmış bir durumdur.