-
Sadrazamv4
ig:sadrazam_v4 tg: Sadrazam.spy
Klasik IT dünyasında internette gezinirken http/https, dosya gönderirken FTP, e-posta alırken de SMTP kullanırız. Bu protokollerin çoğu yıllar geçtikçe çeşitli güvenlik önlemleri ile de güncellendi.
Ancak OT dünyasında… pek değil. Buradaki protokoller 70’li, belki 80’li yıllarda yani sözgelimi çok daha geçmiş yıllarda tasarlandı. Takdir edersiniz ki bu zamanlar da siber saldırı diye bir şey kimsenin aklına gelmezdi bu protokolleri tasarlarken. Tek amaç hız ve hafiflikti. Veri paketinin içerisine eğer şifrelemeler ve güvenlik önlemleri koyacak olurlarsa paket ağırlaşır ve hız da buna bağlı olarak düşerdi ve yine buna bağlı olarak tasarlanma amacı tamamen oyun dışı kalırdı. İşte bu yüzden bu protokollerin Neredeyse(Tamamı değil) tamamı doğası gereği güvensizdir. Bir bakalım bu protokollere ve bunların potansiyel zafiyetlerine:
Modbus (Endüstriyel Dünyanın Latincesi)
1979 yılında Modicon (şu an Schneider Electric) tarafından geliştirilen, endüstriyel dünyadaki en eski ve en yaygın protokoldür. Neredeyse her PLC veya sensör Modbus konuşmayı bilir.
Master/Slave(Efendi/Köle) mimarisiyle çalışır. Ağda bir tane master; yani SCADA veya PLC diyelim örnek olarak vardır, diğer cihazlar ise SLAVE’dir. Slave’ler soru sormadığı sürece Masterlar asla devreye girmez, yani normal şartlarda en azından.
Bir de bu protokole Siber güvenlik boyutu ile bakacak olursak ise tehlikeli olmasının nedeni ise hiçbir kimlik doğrulama sisteminin bulunmamasıdır. Yani ağa sızmış olan bir bilgisayar kendisini Master olarak göstererek bileşenlere istedikleri gibi komutlar gönderebilirler. Mesela PLC’ye vanayı aç gibi örnek olarak.Ve PLC’de bunun gerçekten Master’mı yoksa bir saldırgan mı olduğunu anlaması için hiçbir kimlik doğrulama mekanizması bulunmadığı için PLC’de emri direkt uygular.
Aynı zamanda Modbus protokolünün trafiğinde şifreleme olmadığı için ağa bağlanmış bir kişi Wireshark ile akan paketleri de doğrudan izleyebilir ve araya kendi komutunu da sokabilir.
DNP3 (Distributed Network Protocol)
Özellikle elektrik ve su dağıtım sistemlerinde yaygın olarak kullanılan bir protokoldür. SCADA ile uzaktaki RTU’lar arasındaki haberleşmeyi sağlar.
Modbus’a göre çok daha gelişmiştir. Zaman damgası kullanır. Yani mesela bir elektrik trafosunda arıza olduğu takdirde, o arızanın milisaniyesine kadar tam olarak ne zaman gerçekleştiğini merkeze raporlayabilir.
Yine bir de siber güvenlik tarafından bakacak olursak; orijinal DNP3 tamamen güvensizdir. Sahte komutlara ve araya girme saldırılarına karşı oldukça açıktır. Son yıllarda Secure DNP3 adında güvenli bir sürümü çıkarılmış olsa da sahadaki birçok cihaz hala eski ve güvensiz DNP3 protokolünü kullanmaktadır.
OPC UA (Open Platform Communications Unified Architecture)
Endüstri 4.0 ile hayatımıza giren, eski güvensiz protokollerin yerini alması için tasarlanmış modern bir mimaridir. Farklı markaların; yani örnek olarak Siemens ve Rockwell gibi markaların cihazlarının ortak bir dille konuşmasını sağlar.
Platform bağımsızdır. Yani Linux ta olsa, Windows ta olsa ya da gömülü sistem de olsa sorun olmaz ve çalışır. Nesne yönelimli bir veri yapısı sunar.
Siber güvenlik için ise diğerlerinin aksine OPC UA güvenli tasarlanmıştır. İçinde dijital sertifikalar, kimlik doğrulamaları ve AES gibi şifreleme mekanizmaları gibi güvenlik önlemleri bulunur. Buradaki en büyük zafiyet genellikle insan hatasıdır. Mühendisler sistemi kolay kurmak için güvenlik özelliklerini kapatır veya sistem varsayılan ayarlar ile bırakılırsa, OPC UA bile savunmasız kalır.
Profinet (Process Field Net)
Siemens tarafından geliştirilen, endüstriyel otomasyonda standart Ethernet kabloları ve altyapısı üzerinden çalışan gayet hızlı bir protokoldür. Fabrika içindeki PLC’lerin sahadaki motor ve sürücülerle milisaniyenin altında sürelerle konuşabilmesini sağlar.
Gerçek zamanlı(Real-Time) ve Kritik gerçek zamanlı(ITR) modları vardır. Standart TCP/IP katmanlarını bypass ederek(Atlatarak yani) doğrudan hardware seviyede haberleşebilir ve bu yüzden de çok hızlıdır.
Profınet için bu kadar hızlı dedik ancak bu hızın yanında hız öncelikli olduğu için de şifreleme barındırmaz. Aynı ağ segmentine sızan bir saldırgan, sahte Profinet paketleri üreterek üretim bandındaki bir motoru anında kilitleyebilir veya durdurabilir.
EtherNet/IP (Industrial Protocol)
Rockwell Automation tarafından desteklenen bu protokolümüz ise, Profinet'in en büyük rakibidir. Standart Ethernet ve TCP/IP protokol ailesini kullanarak endüstriyel cihazları birbirine bağlar.
Bildiğimiz Ethernet kabloları ve switch’ler üzerinden çalışır. Ticari IT ağları ile entegrasyonu en kolay yapılan protokoldür.
Ancak bir de kötü taraftan bakarsak IT ağları ile bu kadar iç içe oluşu sebebi ile bu durum onu büyük bir hedef haline getirir. Eğer IT-OT ayrımı iyi yapılmazsa, IT ağına sızan bir zararlı yazılım doğrudan Ethernet üzerinden doğrudan fabrikadaki CIP paketlerini manipüle edebilir. Bu durum için sonradan bir CIP Security diye bir katman eklenmiş olsa bile uygulanması maliyetlidir.
IEC 61850
Dünya genelindeki tüm modern elektrik trafo merkezlerinin ve enerji santrallerinin kullandığı uluslar arası standart bir protokoldür.
Trafo merkezlerindeki koruma rölelerinin, kesicilerin ve akıllı cihazların birbiriyle çok hızlı şekilde haberleşmesini sağlar. GOOSE (Generic Object Oriented Substation Events) adı verilen mesaj tipi, bir arıza anında veya başka bir olağanüstü durum olduğunda elektriği milisaniyeler içinde kesmek için kullanılır.
Ancak bu GOOSE mesajları o kadar hızlı iletilmelidir ki(4 milisaniyeden kısa sürede) şifreleme işlemine vakit yoktur; yani hız amaçlayan protokollerin genel zafiyeti bu gördüğümüz üzere bir genelleme yaparsak, bu yüzden ağa saldıran bir saldırgan, sahte bir mesela arıza olduğuna ilişkin bir GOOSE mesajı yayınlayacak olursa koca bir şehrin elektriği anında kesilebilir.
Yani; özetleyecek olursak gördüğünüz üzere endüstriyel protokollerin ortak sorunu gelen komutun kimden geldiğini genel olarak sorgulamadan uygulamasıdır.
Ancak OT dünyasında… pek değil. Buradaki protokoller 70’li, belki 80’li yıllarda yani sözgelimi çok daha geçmiş yıllarda tasarlandı. Takdir edersiniz ki bu zamanlar da siber saldırı diye bir şey kimsenin aklına gelmezdi bu protokolleri tasarlarken. Tek amaç hız ve hafiflikti. Veri paketinin içerisine eğer şifrelemeler ve güvenlik önlemleri koyacak olurlarsa paket ağırlaşır ve hız da buna bağlı olarak düşerdi ve yine buna bağlı olarak tasarlanma amacı tamamen oyun dışı kalırdı. İşte bu yüzden bu protokollerin Neredeyse(Tamamı değil) tamamı doğası gereği güvensizdir. Bir bakalım bu protokollere ve bunların potansiyel zafiyetlerine:
Modbus (Endüstriyel Dünyanın Latincesi)
1979 yılında Modicon (şu an Schneider Electric) tarafından geliştirilen, endüstriyel dünyadaki en eski ve en yaygın protokoldür. Neredeyse her PLC veya sensör Modbus konuşmayı bilir.
Master/Slave(Efendi/Köle) mimarisiyle çalışır. Ağda bir tane master; yani SCADA veya PLC diyelim örnek olarak vardır, diğer cihazlar ise SLAVE’dir. Slave’ler soru sormadığı sürece Masterlar asla devreye girmez, yani normal şartlarda en azından.
Bir de bu protokole Siber güvenlik boyutu ile bakacak olursak ise tehlikeli olmasının nedeni ise hiçbir kimlik doğrulama sisteminin bulunmamasıdır. Yani ağa sızmış olan bir bilgisayar kendisini Master olarak göstererek bileşenlere istedikleri gibi komutlar gönderebilirler. Mesela PLC’ye vanayı aç gibi örnek olarak.Ve PLC’de bunun gerçekten Master’mı yoksa bir saldırgan mı olduğunu anlaması için hiçbir kimlik doğrulama mekanizması bulunmadığı için PLC’de emri direkt uygular.
Aynı zamanda Modbus protokolünün trafiğinde şifreleme olmadığı için ağa bağlanmış bir kişi Wireshark ile akan paketleri de doğrudan izleyebilir ve araya kendi komutunu da sokabilir.
DNP3 (Distributed Network Protocol)
Özellikle elektrik ve su dağıtım sistemlerinde yaygın olarak kullanılan bir protokoldür. SCADA ile uzaktaki RTU’lar arasındaki haberleşmeyi sağlar.
Modbus’a göre çok daha gelişmiştir. Zaman damgası kullanır. Yani mesela bir elektrik trafosunda arıza olduğu takdirde, o arızanın milisaniyesine kadar tam olarak ne zaman gerçekleştiğini merkeze raporlayabilir.
Yine bir de siber güvenlik tarafından bakacak olursak; orijinal DNP3 tamamen güvensizdir. Sahte komutlara ve araya girme saldırılarına karşı oldukça açıktır. Son yıllarda Secure DNP3 adında güvenli bir sürümü çıkarılmış olsa da sahadaki birçok cihaz hala eski ve güvensiz DNP3 protokolünü kullanmaktadır.
OPC UA (Open Platform Communications Unified Architecture)
Endüstri 4.0 ile hayatımıza giren, eski güvensiz protokollerin yerini alması için tasarlanmış modern bir mimaridir. Farklı markaların; yani örnek olarak Siemens ve Rockwell gibi markaların cihazlarının ortak bir dille konuşmasını sağlar.
Platform bağımsızdır. Yani Linux ta olsa, Windows ta olsa ya da gömülü sistem de olsa sorun olmaz ve çalışır. Nesne yönelimli bir veri yapısı sunar.
Siber güvenlik için ise diğerlerinin aksine OPC UA güvenli tasarlanmıştır. İçinde dijital sertifikalar, kimlik doğrulamaları ve AES gibi şifreleme mekanizmaları gibi güvenlik önlemleri bulunur. Buradaki en büyük zafiyet genellikle insan hatasıdır. Mühendisler sistemi kolay kurmak için güvenlik özelliklerini kapatır veya sistem varsayılan ayarlar ile bırakılırsa, OPC UA bile savunmasız kalır.
Profinet (Process Field Net)
Siemens tarafından geliştirilen, endüstriyel otomasyonda standart Ethernet kabloları ve altyapısı üzerinden çalışan gayet hızlı bir protokoldür. Fabrika içindeki PLC’lerin sahadaki motor ve sürücülerle milisaniyenin altında sürelerle konuşabilmesini sağlar.
Gerçek zamanlı(Real-Time) ve Kritik gerçek zamanlı(ITR) modları vardır. Standart TCP/IP katmanlarını bypass ederek(Atlatarak yani) doğrudan hardware seviyede haberleşebilir ve bu yüzden de çok hızlıdır.
Profınet için bu kadar hızlı dedik ancak bu hızın yanında hız öncelikli olduğu için de şifreleme barındırmaz. Aynı ağ segmentine sızan bir saldırgan, sahte Profinet paketleri üreterek üretim bandındaki bir motoru anında kilitleyebilir veya durdurabilir.
EtherNet/IP (Industrial Protocol)
Rockwell Automation tarafından desteklenen bu protokolümüz ise, Profinet'in en büyük rakibidir. Standart Ethernet ve TCP/IP protokol ailesini kullanarak endüstriyel cihazları birbirine bağlar.
Bildiğimiz Ethernet kabloları ve switch’ler üzerinden çalışır. Ticari IT ağları ile entegrasyonu en kolay yapılan protokoldür.
Ancak bir de kötü taraftan bakarsak IT ağları ile bu kadar iç içe oluşu sebebi ile bu durum onu büyük bir hedef haline getirir. Eğer IT-OT ayrımı iyi yapılmazsa, IT ağına sızan bir zararlı yazılım doğrudan Ethernet üzerinden doğrudan fabrikadaki CIP paketlerini manipüle edebilir. Bu durum için sonradan bir CIP Security diye bir katman eklenmiş olsa bile uygulanması maliyetlidir.
IEC 61850
Dünya genelindeki tüm modern elektrik trafo merkezlerinin ve enerji santrallerinin kullandığı uluslar arası standart bir protokoldür.
Trafo merkezlerindeki koruma rölelerinin, kesicilerin ve akıllı cihazların birbiriyle çok hızlı şekilde haberleşmesini sağlar. GOOSE (Generic Object Oriented Substation Events) adı verilen mesaj tipi, bir arıza anında veya başka bir olağanüstü durum olduğunda elektriği milisaniyeler içinde kesmek için kullanılır.
Ancak bu GOOSE mesajları o kadar hızlı iletilmelidir ki(4 milisaniyeden kısa sürede) şifreleme işlemine vakit yoktur; yani hız amaçlayan protokollerin genel zafiyeti bu gördüğümüz üzere bir genelleme yaparsak, bu yüzden ağa saldıran bir saldırgan, sahte bir mesela arıza olduğuna ilişkin bir GOOSE mesajı yayınlayacak olursa koca bir şehrin elektriği anında kesilebilir.
Yani; özetleyecek olursak gördüğünüz üzere endüstriyel protokollerin ortak sorunu gelen komutun kimden geldiğini genel olarak sorgulamadan uygulamasıdır.
