Endüstriyel Sistemlerde Siber Güvenlik Nasıl Güçlendirilmeli?
İçindekiler
Siber güvenlik stratejilerinden teknik projelere, birçok şirket endüstriyel kontrol sistemlerini (EKS) nasıl devreye alması gerektiği konusunda sıkıntı çekiyor. IEC 62443 standartlarının hepsini ve ilgili yazınları tamamen ele almak zor olsa da, bu yazı IEC 62443 standartlarının püf noktalarını özetleyerek bir Siber Güvenlik Yönetim Sistemi geliştirirken göz önünde bulundurulabilecek bazı tavsiyeler veriyor. Bu yazı aynı zamanda IEC 62443 uyumluluk sürecinde varlık sahiplerini desteklemede ürün ve şirket sertifikasyonlarının önemini de ele alıyor.
Giriş
Genel itibariyle birçok şirket, teoriyi pratik eylemlere dönüştürmede zorluk çeker. Bu zorluklar siber güvenlik stratejisi için “yöneticileri nasıl ikna ederiz”den “hangi teknoloji ihtiyaçlara daha iyi cevap verecek”e ve teknik projelerde “en alakalı riskler hangileri”ne kadar değişkenlik gösterir. Bu yazı, IEC 62443 standardı tarafından önerilen birtakım temel eylemlerin nasıl gerçekleştirileceğine dair bir rehber görevi sunuyor. Bu kapsamlı konunun çok derinlerine inemeyeceğimizin farkındayız, buna karşın bu yazı teknik personel ve yöneticilerin IEC 62443 standardı tarafından sunulan tavsiyeleri daha iyi anlamalarına yardımcı olabilir.[5][6]
IEC 62443 standartları, endüstriyel kontrol sistemlerinin (EKS) güvenliğini sağlamaya yönelik bütüncül ve kapsamlı bir yaklaşım sunar. Bu standartlar bütüncüldür, çünkü güvenlik stratejisini farklı yapısal yönleriyle ele alır. Bu yönler Uluslararası Elektroteknik Komisyonu (IEC) tarafından “İnsan”, “Süreç” ve “Teknoloji” olarak tanımlanmıştır. Buna ek olarak bu standartların çok kapsamlı olması gerekir, çünkü varlık sahiplerine, tedarik zinciri yönetimine ve ürün geliştirme ekiplerine dahili ve harici tavsiyelerde bulunurlar. Varlık sahipleri için IEC 62443 standardı bir Siber Güvenlik Yönetim Sistemi (CSMS) oluşturulmasını tavsiye eder. CSMS, şirketin risk toleransına göre sistemin analizini, adreslenmesini, denetimini ve risklere karşı iyileştirilmesini kapsar. Tedarik zinciri yönetimi için, ürün yaşam döngüsü boyunca tanımlamalar güvenlik iyileştirme tavsiyesi verir. Bu, “tasarımdan güvenli” yaklaşımını içeren yönlerden başlar, ürün imalatına kadar devam eder. Hedef, çözüm sağlayıcının sunduğu ürün ve sistemlerde yeterli bir güvenlik seviyesini geliştirip korumaktır.[1][2][3][4]
IEC 62443 standardı tarafından sunulan siber güvenlik yönetim sistemi (CSMS) altı unsurdan oluşur:
- CSMS programını başlatmak (yönetimin desteğini almak için gerekli bilgileri sağlamak)
- Yüksek düzey risk değerlendirmesi (risklerin tanımlanması ve önceliklerinin değerlendirilmesi)
- Detaylı risk değerlendirmesi (güvenlik açıkları için detaylı teknik değerlendirme)
- Güvenlik, organizasyon ve farkındalık politikalarının oluşturulması
- (Organizasyona dair risklerin düşürülmesi için) karşı önlemler seçilmesi ve uygulanması
- CSMS’in bakımı (CSMS’in etkili kalacağının ve organizasyonun hedeflerini destekleyeceğinin güvenceye alınması)[4]
Bu yazı bu unsurların ana fikirlerini özetlemeyi amaçlar.
Yönetimin Desteği
Teknik açılardan değerlendirme yapmadan önce, IEC 62443 standardının ilk ve önemli tavsiyesi şirket mantığını düşünmek ve yönetimin desteğini sağlamaktır. Destek sağlamak için şirketin sistemleri, alt sistemleri ve güvenlik ve işletim için zaruri veya kritik olan bileşenleri yeterince iyi biçimde kavramış olması gerekir. Bu sağlandıktan sonra yönetime herhangi bir bileşenin etkilenmesi durumunda olası etkileri aktarmak daha kolay hale gelecektir.[4]
Kritik Varlıklar
Gizliliği ihlal edildiği takdirde bir kuruluş üzerinde yüksek finansal, sağlıksal, çevresel veya güvenliğe dair etki oluşturabilecek herhangi bir cihaz, kritik varlıklar arasında sayılır. Bir şirketin kritik varlıklarının listesi, risk yönetim analizinin temelini oluşturur, gelecekte alınacak kararlarda bir rehber görevi görür. [18]
Şirket Gerekçeleri
Şirketin kritik varlıklarını belirlemesinden itibaren yönetimi devreye sokmak ve yönetimden geliştirilecek siber güvenlik planına yatırım yapma güvencesini almak gereklidir. Yönetimin desteği olmadan bu planın başarı şansı çok düşüktür. Üst düzey yönetim, CSMS’in yeterli kaynak ve desteğe sahip olacağını güvenceye almak için şirketin temel ilkelerini belirlemede aktif rol oynamalı ve onaylamalıdır. Böylece CSMS gerektiğinde sistemde ve tüm işletme boyunca gerekli değişiklikleri uygulamaya koyabilir. Bazı durumlarda yönetim ekibine sunmak üzere IEC 62443 standartlarının da önerdiği üzere bir iş mantığı oluşturmak gerekli olabilir.
İş mantığı, olası tehditlerin ve işe olası etkilerinin bir listesinden oluşur. Bu listeye olası etkilerin yıllık masrafları ve alınabilecek önlemlerden doğan masraflar da eklenir. Bu listeyle risklere genel bir bakış elde edilirken bu riskleri tahammül edilebilir düzeye çekmenin giderleri de görülebilir, böylece yönetimin desteğini alma ihtimalleri de yükseltilmiş olur. [4][7][8]
Risk Değerlendirmesi
Yönetim ekibi, CSMS’i desteklemeye ve benimsemeye karar verdiğinde, bir risk değerlendirmesi yapmak önemlidir. Risk değerlendirmesi, her şirketin genel risk yönetimi stratejisinin bir parçasıdır ve sağlam ve verimli bir siber güvenlik stratejisi oluşturmak için zorunlu bir adımdır. Şirket içinde birçok farklı grup arasında ilişki ve işbirliği gerektirir. Bu seviyeler, NIST (Ulusal Standartlar ve Teknoloji Enstitüsü) tarafından kuruluş, misyon/iş süreçleri ve bilgi sistemleri (IT ve EKS) seviyeleri olarak tanımlanmıştır. [11][13]
Risk yönetimi, yatırım, bütçeleme, yasal sorumluluk, güvenlik, envanter ve tedarik zinciri riskleri gibi farklı alanlarda şirketin maruz kaldığı farklı risk türlerini değerlendirmeyi ve anlamayı amaçlar. Bu makalenin odak noktası, genellikle bir organizasyon için en büyük potansiyel risk alanlarından biri olarak kabul edilen EKS’ye yönelik riskler olacaktır.[9][10][12]
EKS‘nin risk değerlendirmesini yapabilmek için, değerlendirilecek sistemin (System under Consideration, SuC) kapsamı ve sınırlarının tanımlanması gereklidir. SuC tanımlandıktan sonra, tehditleri ve zayıflıkları sistemli olarak tanımlamak, analiz etmek ve riskleri potansiyel sonuçlarına göre önceliklendirmek gereklidir. Aynı zamanda, varlık önem derecesi ve operasyona olan bağımlılıkların da tanımlanması önemlidir.[9]
Risk şu formülle hesaplanır: [1][2][4]
Tehlike Olasılığı = Tehditin Gerçekleşme Olasılığı x Etki Büyüklüğü [1]
Risk = Tehlike Olasılığı x Etki [2]
EKS için uygulanabilecek iki farklı risk değerlendirmesi türü vardır: yüksek seviyeli ve detaylı risk değerlendirmeleri. İsimlerinden de anlaşılabileceği gibi, bir yaklaşım özellikle yüksek seviye hassasiyete sahip konularla ilgilenirken, diğeri farklı risk türlerine detaylı bir bakış gerektirir. İş mantığı ve iş durumu için genellikle yüksek seviyeli risk değerlendirmesi yapılır, akabinde tasarımın içerisine özel karşı önlemlerin dahil edildiğinden emin olmak için detaylı bir risk değerlendirmesi yapmak da elbette gereklidir. [4][9][10][13][14]
Bu adımdan beklenen sonuç, kritik varlıkların kapsamlı bir listesinin oluşturulabilmesi ve bağlantının nerede yapıldığının belirlenebilmesidir. Değerlendirme ayrıca bağımlılıkları belirleyebilmeli, bu süreçlerin işletme/güvenliği için kritik riskleri belirleyebilmeli ve bu risklere uygun yanıtları, sistemlerin bölge ve hatlara ayrılmasını içeren, şirketin kabul edebileceği risk seviyelerine azaltacak karşı önlemleri belirleyebilmelidir. [15]
Katmanlı Savunma
Bir EKS’deki en yaygın güvenlik açıklarından biri, tüm cihazların gerek olmasa bile birbirleriyle iletişim kurmasına izin veren, koruma ve ayrımcılık amacıyla katmanlara ayrılmamış “yatay” ağların kullanılmasıdır. Bu istenmeyen bir senaryodur, tehditlerin yayılmasını (harici faktör) ve iletişim bozulmasını (dahili faktör) kolaylaştıran farklı içsel ve dışsal faktörlerden kaynaklanır. Her ikisine de ağ üzerindeki veri iletişiminin gerekli biçimde kontrol edilememesi neden olur. [30]
Bu tür sorunları ele almak için, yüksek düzeyde siber güvenlik risk değerlendirmesi tamamlandıktan sonra, SuC’nin ilk bölümlendirmesine başlamak gereklidir. Ayrılan her bölüm bir “bölge” olarak adlandırılır. Bölge kavramı bir sonraki bölümde detaylandırılmış olmakla birlikte, daha geniş bağlamda bir katmanlı savunma yaklaşımının da önemli bir parçasını oluşturur. [18]
Katmanlı savunma, bir potansiyel saldırgan veya izinsiz giriş yapan bir kişiye karşı farklı seviyelerde veya katmanlarda koruma sağlayan bir askeri kavramdır. Bir ağ söz konusu olduğunda, bu yaklaşımın sonucunda sistem boyunca farklı, özelleştirilmiş siber güvenlik karşı önlemlerinin uygulanmasıdır. Teknoloji ile yakından ilişkili olsa da, katmanlı savunma, konumlandırılmasının bir parçası olarak insanlar ve süreçleri de dikkate almalıdır. Katmanlı savunmanın önemli unsurlarından başlıcaları fiziksel güvenlik, EKS ağ mimarisi (bölgeler ve hatlar), EKS ağı sınır güvenliği (güvenlik duvarları ve atlama sunucuları), ana bilgisayar veya cihaz güvenliği, güvenlik izleme, insan faktörü ve tedarikçi yönetimidir. [10][19]
Bölge ve Hatların Oluşturulması
Katmanlı savunma stratejisinin bir parçası olarak, bir bölge, tüm haberleşme cihazlarının aynı güvenlik gereksinimlerini paylaştığı ve dolayısıyla eşit derecede kritik olduğu ağ haberleşme sisteminin bir alt kümesidir. Farklı güvenlik gereksinimleri olan başka bir bölge içinde bir bölge oluşturmak da mümkündür.
Hatlar, farklı bölgeler tarafından paylaşılan iletişimlerin denetimini ve korunmasını sağlar. Bölgeler ve hatlar fiziksel veya mantıksal olarak kurulabilir. Son olarak hatlar bir kanal kavramı içerir, bu da içinde yer aldığı hattın güvenlik seviyesine saygı gösteren spesifik bir bağlantıya işaret eder. Tüm bu kavramlar korumada birlik sağlamak için tasarlanmıştır. Her bir bölge, en zayıf halkası kadar güvenlidir, bu nedenle yüksek riskli varlıkların özel bölgelere izole edilmesi şiddetle tavsiye edilir. [17]
Güvenlik Seviyeleri
Katmanlı savunma stratejisinin önemli bir parçası, bölgelere ve dahili ürünlere yönelik karşı önlemleri düşünmektir. Bu nedenle, IEC 62443 standardı bölgelere, kanallara ve ürünlere uygulanabilen güvenlik seviyeleri (SL) kavramını sunar. Güvenlik seviyesi, bir cihazı araştırarak belirlenir ve sistemdeki yerine bağlı olarak hangi güvenlik seviyesine sahip olması gerektiği belirlenir. Güvenlik seviyeleri, dört farklı seviyeye (0 seviyesi nadiren kullanılan bir “açık” seviye olmak üzere) sınıflandırılabilir:
- Seviye 1: rastgele bir maruziyet durumu
- Seviye 2: düşük kaynaklarla kasıtlı bir saldırı
- Seviye 3: orta kaynaklarla kasıtlı bir saldırı
- Seviye 4: kapsamlı kaynaklarla kasıtlı bir saldırı
Bir bölgenin güvenlik seviyesi hedefi belirlendikten sonra, bölgedeki cihazların karşılık gelen güvenlik seviyesini karşılayıp karşılamadığı analiz edilmelidir. Eğer karşılamıyorlarsa, hangi karşı önlemlerin SL hedefine ulaşmaya yardımcı olabileceği planlanmalıdır. Bu önlemler teknik (güvenlik duvarı gibi), idari (politikalar ve prosedürler gibi) veya fiziksel (kilitli kapılar gibi) olabilir. [17]
Kritik Varlıkların Korunması
Daha önce de bahsettiğimiz üzere, kritik varlıklar EKS’nin doğru çalışması için hayati önem taşır. Bu varlıklar üzerinde herhangi bir etki, bir organizasyon üzerinde yüksek maddi, sağlık, güvenlik veya çevresel etkilere neden olabilir. Bu varlıklar risk değerlendirmesinde ve şirket güvenlik stratejisinde her zaman yüksek öncelikli olmalıdır.
Kritiklik değerlendirmesi, kapsam ve bölge korumasının tanımlanmasına yönelik bir girdidir. Bu değerlendirme, varlıkların organizasyon üzerindeki etki düzeyini belirler. ABD Savunma Bakanlığı’nın (DoD) CARVER (Criticality, Accessibility, Recuperability) değerlendirmesi gibi diğer değerlendirmeler ise, saldırgan bakış açısından işletmelere en büyük etkiyi yaratabilecek hedefleri belirlemeyi amaçlar. Her halükarda kritik varlıkların şirketin uygun bulacağı seviyelere uygun, orantılı karşı önlemlerle daha yüksek güvenlik seviyelerine sahip olması beklenir. Bu, IEC 62443 standardının bölgeler içinde farklı güvenlik seviyelerine sahip bölge kullanımını önermesinin nedenlerinden biridir. [9][24][35]
Cihaz Güvenliği
Aynı güvenlik seviyesi (SL) kavramı ürünlere de uygulanır. IEC 62443-4-2, dört bileşen türü için güvenlik gereksinimlerini tanımlar: yazılım uygulama gereksinimleri (SAR), gömülü cihaz gereksinimleri (EDR), ana cihaz gereksinimleri (HDR) ve ağ cihazı gereksinimleri (NDR). Ayrıca, her bileşen türü için temel gereksinimler (FR) olarak tanımlanan yedi farklı bakış açısı bulunur, bunlar kimlik doğrulama kontrolü (IAC), kullanım kontrolü (UC), sistem bütünlüğü (SI), veri gizliliği (DC), kısıtlanmış veri akışı (RDF), olaylara zamanında yanıt (TRE) ve kaynak kullanılabilirliği (RA) olarak tanımlanır. Bu tanımlamalar, varlık sahiplerinin teknik özellikleri basitleştirmelerine ve ürün seçim sürecinde beklenen güvenlik seviyesinin uygulanmasını sağlamalarına yardımcı olur, çünkü her güvenlik seviyesinin (SL) farklı temel gereksinimleri ve ölçülebilir ve karşılaştırılabilir ayrıntıları vardır. [20]
Yukarıdaki tüm temel gereksinimlerin cihazlara gerçekten uygulandığını denetlemek için IEC 62443-4-2 gerekliliklerini karşılayan ürünleri sertifikalandırabilen ISA Secure gibi farklı laboratuvarlar bulunur. Bu laboratuvarlar, varlık sahibi için seçim sürecini basitleştirir, çünkü yapmaları gereken tek şey, gerekli güvenlik seviyesini belirlemek ve bu gereksinimi karşılayan sertifikalı bir ürün seçmektir. Bunun sonucunda, tanımlanan SL’e uygun güvenlik gereksinimlerini karşılamak için organizasyonun ihtiyaç duyduğu tüm güvenlik özellikleri seçilen donanımda var olacaktır. [21]
Bu bileşen seviyesine inen güvenlik güvencesi, katmanlı savunma stratejisinin bir parçası olarak sisteme başka bir koruma katmanı ekler. Güçlendirme olarak bilinen bu katman, güvenlik seviyesine uygun bölge korumasını kolaylaştırır. [22][23]
Görünürlüğü Artırmak için Güvenlik Denetimi
ABD İç İşleri Bakanlığı’na göre, 2016 yılında en yaygın tehdit ‘bilinmeyen’ idi. Yalnızca görülebilir olanı yönetebildiğimiz için, çoğu olay görünürlük eksikliği nedeniyle incelenemiyordu. Bu da tehditleri tespit etmeyi, savunmaları nasıl geçtiklerini anlamayı ve saldırının kökenini tespit etmek için atılması gereken adımları belirlemeyi zorlaştırıyordu. Buna adli analiz denir. Adli analiz, varlık sahipleri için önemli bilgiler sağlayarak olayın nasıl gerçekleştiğini anlamalarına olanak tanır ve gelecekte benzer olayların önlenmesine yardımcı olabilir. [36][37][38]
Görünürlüğü artırmak, uygulanan herhangi bir savunmayı geçen potansiyel tehditleri tanımlamak için sürekli olarak sistemleri izlemeye uygun bir siber güvenlik stratejisi gerektirir. [4][24][25][26][27]
Bir ağın izlenmesi için en yaygın çözüm, bir ağ sızma tespit sistemi (NIDS) veya basitçe Sızma Tespit Sistemi (IDS) ‘dir. Ağ trafiğindeki anormallikleri ya da kötücül imzaları izleyerek ağ görünürlüğünü artırır. Bir IDS’in benimsenmesi, adli analiz ve olaya yanıt verme sürecini kolaylaştırır. Verimliliği artırmak için, IDS ve diğer cihazlardan toplanan adli verilerin senkronize edilmesi gereklidir; çünkü bu farklı türlerde toplanan veriler arasında ilişki analizini kolaylaştıracaktır. [10]
Ayrıca, kaç adet sensörün gerekli olduğunu, nereye kurulacağını ve her bir uygulama için pasif ya da aktif bir topolojinin mi daha uygun olduğunu belirlemek de gereklidir. Her biri, bir izleme çözümü seçerken değerlendirilmesi gereken avantaj ve dezavantajlara sahiptir. [39][40]
Olaylara Yanıt Verme
Ağ görünürlüğü önemli olsa da, tespit edilen siber güvenlik olaylarına yanıt vermek daha da önemlidir. Bu da bir siber güvenlik olayı yanıt planı gerektirir. Kısaca siber güvenlik olayı yanıt planı, EKS’yi etkileyebilecek herhangi bir olumsuz olaya hazırlık ve olayın gerçekleşmesinden sonra mümkün olan en kısa sürede normale dönmek için nasıl hareket edileceği konusunda yapılacak hazırlıktır. Temel unsurları planlama, olay önleme, tespit, sınırlandırma, düzeltme, kurtarma, restorasyon ve olay sonrası analiz / adli tıp işlemlerini içerir. Ayrıca, doğru iletişim yollarına sahip olmayı ve her yanıt için adli tıp analizi yapacak ilgili sahipleri atamayı da gerektirir. [4] [24] [25] [26] [27] [41]
Belirli türlerdeki olaylara yanıt vermek için EKS içinde bir saldırı önleme sistemi (IPS) kullanıp kullanmamak günümüzde hala tartışma konusudur. Bir IPS, tehditleri tanımlamak ve önceden onaylanmış yanıtları yürütmek için imza tabanlı tespit (belirli olayları ve tehditleri izler) veya anormallik tabanlı tespit (trendlerdeki değişiklikleri izler) gibi farklı teknolojiler kullanabilir. Duruma göre değişebilse de, IPS’in etkisini artırmak ve yanlış pozitifleri en aza indirmek için genel bir öneri, IPS’in ve algoritmasının önce çevrimdışı olarak (pasif olarak) eğitilmesidir. Bu şekilde, IPS ağ desenlerini öğrenecek ve güvenlik analisti tarafından önceden doğrulanabilecek potansiyel cevaplar verecektir, böylece daha etkili hale gelecektir. Örneğin, saldırı türlerinin en yaygın olanlarından biri, ağ trafiği akış desenlerini etkileyen hizmet reddi (DoS) saldırısıdır. EKS’nin deterministik doğası nedeniyle, bu saldırılar kolayca tespit edilir ve bir IPS’nin etkisinin kalibre edilmesi için iyi bir başlangıç noktasıdır. [10][31][32]
İnsan Unsuru, Eğitimi ve Güvenlik Farkındalığı
Siber güvenlik söz konusu olduğunda, insan faktörü de dikkate alınmalıdır. İnsanlar sisteme farklı açıklar ekleyebilirler, bunlar motivasyon (kasıtlı veya kasıtsız) ve nedenlerinden (yorgunluk veya yeterli uzmanlığın olmaması gibi) bağımsız olarak, sosyal mühendislik ve yanlış yapılandırma gibi yaygın örnekleri içerebilir. Bu riskleri en aza indirmek için karşı önlemler almak gereklidir. [28][29]
Bu nedenle, IEC 62443 standartları özellikle tüm çalışanların, güvenlik farkındalığı hakkında eğitim almalarını önerir. Bu eğitimler, çalışanların görevlerini daha güvenli bir şekilde yerine getirebilmeleri ve insan hatalarından kaynaklanabilecek herhangi bir riski azaltmaları için gerekli bilgileri sağlar. [4]
Tedarik Zinciri Yönetimi ve Desteği
Tartışılan tüm öğeleri etkileyen bir konu, tedarik zinciri ve çözüm sağlayıcılarının güvenliğidir. Tedarikçiler destek, kalite kontrol, performansın doğrulanması ve güvenlik açıklarına yanıt verme gibi ürün yaşam döngüsü boyunca güvenliği sağlamalıdır. Bu yönlerle uyumluluğu desteklemek amacıyla, IEC 62443 standartları özellikle ürün yaşam döngüsü boyunca ‘güvenli tasarım’ sağlama isterlerini belirleyen IEC 62443-4-1 alt bölümüne sahiptir (yani cihazların inşa edilmesi, bakımı ve kullanımdan kaldırılması). Bu gereksinimler genellikle yama yönetimi, politikalar, prosedürler için gereken desteğe ve bilinen güvenlik açıkları hakkında güvenlik iletişimlerine ilişkindir. Ürün sertifikasyonu için IEC 62443-4-2 standardına benzer şekilde, bir çözüm sağlayıcının iyi güvenlik yönetimi uygulamalarını takip ettiğini ve IEC 62443-4-1 standardındaki somut kriterlere uyduğunu sertifikalandırmak mümkündür, bu da varlık sahibinin karar verme sürecini basitleştirir. [10][33][34]
Sonuç
Artık cihazlar ve tedarik zinciri yönetiminin IEC 62443 önerilerine göre sertifikalandırılabilmesine rağmen, varlık sahipleri IEC 62443 standartlarını bütünsel olarak uygulamayı düşünmelidir. IEC 62443 standardı, dünya çapında siber güvenlik uzmanları tarafından yaygın biçimde tartışılan birçok önemli konuyu bir araya getirir. Bu yazı, önemli bazı konuları ilerici ve uygulanabilir bir şekilde ele almış olsa da, IEC 62443 gibi kapsamlı bir bilgi bütününü basitleştirmek zordur. Bu nedenle, IEC 62443 önerilerini kendi uygulamalarına uyarlamak isteyen şirketlerin, IEC 62443 yolculuklarına başlarken sertifikalı ortaklar ve uzmanlara danışmaları tavsiye edilir.
*Yararlanılan kaynaklar için tıklayın.