Hızlı cevap: IoT ve OT sızma testi, nesnelerin interneti cihazlarının ve endüstriyel kontrol sistemlerinin (ICS, SCADA, PLC) güvenlik açıklarını, üretimi durdurmadan ve kontrollü biçimde ortaya çıkaran bir hizmettir. Bu sistemlerin kritik farkı, önceliğin gizlilik değil süreklilik ve güvenli çalışma olmasıdır; bir fabrikada yanlış bir test, fiziksel bir sonuca yol açabilir. En sık görülen açıklar, varsayılan parolalar, şifrelenmemiş endüstriyel protokoller ve ağ segmentasyonunun eksikliğidir. DSET bu testi yerel yapay zekâ motoru KAOS ile, en düşük etki ilkesiyle yürütür.

Bir ofis ağında bir sistemin çökmesi bir aksaklıktır; bir üretim hattında ya da bir enerji sisteminde aynı şey fiziksel bir sonuç doğurabilir. Bu yüzden endüstriyel sistemlerin güvenlik testi, bilişim ağlarından farklı bir disiplin ister. IoT ve OT sızma testi, bu sistemleri üretimi riske atmadan inceleyen bir hizmettir. Bu yazı, IoT ve OT testinin ne olduğunu, bilişim testinden farkını ve DSET ile KAOS yaklaşımını anlatır.

IoT ve OT sızma testi nedir

IoT, internete bağlı cihazları; OT ise bir fiziksel süreci yöneten operasyonel teknolojiyi, yani endüstriyel kontrol sistemlerini kapsar. Bu testin amacı, bir saldırganın bu cihazlara ve kontrol sistemlerine erişip erişemeyeceğini ve fiziksel süreci etkileyip etkileyemeyeceğini kanıtlamaktır. Bilişim testinden en büyük farkı önceliklerin ters sırada olmasıdır: bilişimde gizlilik önce gelir, endüstride ise sistemin kesintisiz ve güvenli çalışması önce gelir.

Boyut Bilişim (IT) testi Endüstriyel (OT) testi
Birincil öncelik Gizlilik ve veri Süreklilik ve güvenli çalışma
Test agresifliği Yüksek olabilir Düşük, üretimi durdurmaz
Tipik protokol HTTP, TCP, TLS Modbus, DNP3, OPC UA
En sık açık Yazılım ve yapılandırma Varsayılan parola, segmentasyon eksikliği
Yanlış testin sonucu Servis kesintisi Fiziksel ve güvenlik sonucu

Tablonun özü şudur: endüstriyel test, bilişim testiyle aynı amacı taşır ama tam tersi bir dikkatle yürütülür. Bu testin hangi standart çerçevesinde yapıldığı için pentest standartları PTES, OWASP, OSSTMM ve NIST karşılaştırması başvuru noktasıdır.

En sık görülen açıklar

Endüstriyel sistemlerde açıkların çoğu, bir yazılım hatasından değil, yıllarca değişmeyen bir tasarım kabulünden kaynaklanır: ağın izole olduğu varsayımı. Bu varsayım bozulduğunda, varsayılan parolalar, kimlik doğrulaması olmayan endüstriyel protokoller ve bilişim ağı ile endüstriyel ağın birbirine karışması bir saldırgana geniş alan açar. Kablosuz erişim noktaları da bu yüzeyin sık unutulan bir parçasıdır; kablosuz tarafın derin incelemesi kablosuz ağ WiFi sızma testi kapsamına girer. Bir saldırganın bir sistemden diğerine geçişi ise Active Directory ve iç ağ sızma testi ile birlikte değerlendirilir.

Bu test nasıl güvenli yürütülür

Endüstriyel bir test, agresifliğiyle değil dikkatiyle ölçülür. Doğru yaklaşım, mümkün olduğunda testi bir laboratuvar kopyasında veya bir bakım penceresinde yürütmek, canlı sistemde ise yalnızca pasif ve düşük etkili yöntemlerle çalışmaktır. Yetki sınırları ve hangi işlemlerin canlı sistemde yapılabileceği, testten önce sözleşme ve yasal yetkilendirme çerçevesinde yazılı olarak belirlenir. Dış yüzeyden bu sistemlere açılan erişim noktalarının keşfi dış saldırı yüzeyi yönetimi hizmetimizle birleşir.

KAOS ve DSET yaklaşımı

DSET, IoT ve OT sızma testini yerel yapay zekâ motoru KAOS ile, en düşük etki ilkesiyle yürütür. KAOS, endüstriyel protokolleri ve cihazları haritalar, kimlik doğrulaması olmayan ve varsayılan yapılandırmayla açık kalan noktaları tespit eder ve bir bulguyu yalnızca ayrı ve açık bir onayla, kontrollü biçimde kanıtlar. Fark şudur: canlı üretime etki edebilecek hiçbir işlem, önceden yazılı onay olmadan çalıştırılmaz; varsayılan davranış pasif ve okuma düzeyindedir. Her bulgu kanıt temelli doğrulama ilkesiyle raporlanır. DSET ekibi, enerji ve endüstriyel kontrol sistemleri üzerine özel bir laboratuvar çalışması yürütür.

Sık sorulan sorular

OT sistemine sızma testi üretimi durdurur mu? Doğru planlanmış bir testte hayır. Endüstriyel testin en önemli kuralı, üretimi riske atmamaktır. Bu yüzden yüksek etkili denemeler, mümkünse bir laboratuvar kopyasında veya bakım penceresinde yapılır; canlı sistemde ise pasif ve düşük etkili yöntemler kullanılır. Hangi işlemin canlıda yapılabileceği önceden yazılı olarak kararlaştırılır.

IoT cihazları için ayrı bir test mi gerekir? IoT cihazları hem bir ağ varlığı hem bir uygulama hem de çoğu zaman bir bulut arayüzü taşır. Bu yüzden testi tek boyutlu değildir: cihazın kendisi, konuştuğu ağ protokolü ve bağlandığı bulut servisi birlikte incelenir. Bir akıllı cihazın asıl açığı çoğu zaman cihazda değil, onu yöneten arka uç serviste bulunur.

Hangi sektörler bu testi yaptırmalı? Bir fiziksel süreci kontrol sistemiyle yöneten her sektör: enerji ve elektrik, su ve altyapı, üretim ve fabrika, lojistik ve bina otomasyonu. Bu sektörlerde bir siber olay yalnızca veri kaybı değil, fiziksel ve güvenlik sonucu doğurabilir; bu yüzden endüstriyel test, bilişim testinden daha yüksek bir dikkat ister.

Kaynaklar

Endüstriyel kontrol sistemlerinizi ve IoT cihazlarınızı üretimi riske atmadan, kanıt temelli bir testle incelemek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan IoT ve OT sızma testi ve danışmanlık sağlıyoruz.