İnternete açık endüstriyel sistemler saldırı altında: NCSC uyardı

Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), 27 Ağustos 2026’da internete açık operasyonel teknoloji (OT) sistemlerinin farklı tehdit aktörlerince daha yoğun hedeflendiğini bildirdi. NCSC’nin 27 Ağustos tarihli uyarısı, faaliyetin Birleşik Krallık dahil dünya genelinde birden fazla sektörde görüldüğünü ve sınırlı gerçek dünya kesintilerine yol açtığını belirtiyor.

27 Ağustos uyarısı tek bir saldırganı, güvenlik açığını, ürün ailesini veya mağdur listesini açıklamıyor. Bunun yerine doğrudan internetten erişilebilen OT varlıklarına ve yanlış yapılandırma, eski bağlantı ya da yönetilmeyen cihazlardan doğan açıklara dikkat çekiyor. LexisNexis’in 28 Ağustos tarihli özeti, varlık envanteri, erişim kontrolü, güvenli protokoller, ağ ayrımı, izleme, yedekleme ve kurtarma testlerinin tavsiyeler arasında bulunduğunu doğruluyor.

Risk yalnızca üretim hattındaki denetleyicilerle sınırlı değil

NCSC’ye göre internete açık OT kullanan, kuran veya bakımını yapan her kuruluş etkilenebilir. Öncelikle programlanabilir mantık denetleyicilerinin (PLC), insan-makine arayüzlerinin (HMI), endüstriyel ağ geçitlerinin ve uzaktan bakım bağlantılarının gerçekten dışarıdan erişilemez olduğu doğrulanmalı. Ağ şeması güvenli görünse bile unutulmuş NAT kuralları, eski bağlantılar ve envantere girmemiş cihazlar farklı bir sonuç verebilir.

Uyarı ayrıca OT dışındaki kuruluşları etkileyen daha geniş bir örüntü kapsamında internete açık sistemlere ve edge cihazlarına işaret ediyor. Cybernews’in olayla ilgili haberi, yönlendiriciler, güvenlik duvarları, VPN ağ geçitleri ve ağ anahtarlarının da görünür saldırı yüzeyinde değerlendirilmesi gerektiğini aktarıyor.

OT’de yetkisiz erişimin sonucu yalnızca veri kaybı olmayabilir: denetleyici mantığının değiştirilmesi, operatör görünürlüğünün kesilmesi veya bir cihazın kullanılamaz hale gelmesi fiziksel süreci aksatabilir. Ancak NCSC’nin açıklaması, bütün sektörlerde kesinti yaşandığı ya da internete açık her cihazın ele geçirildiği anlamına gelmiyor; kamuya açıklanan kapsam “sınırlı” gerçek dünya etkileriyle sınırlı.

İlk 24 saat: Gerçek internet görünürlüğünü doğrulayın

Türkiye’deki kurumlar için ilk hedef, belgelenmiş mimariyle gerçek dış erişim durumunu karşılaştırmak olmalı. OT sorumlusu, ağ ekibi ve güvenlik operasyon merkezi; kamuya açık IP adreslerini, NAT ve güvenlik duvarı kurallarını, VPN cihazlarını, uzaktan bakım kanallarını ve yönetim arayüzlerini ortak bir listede eşleştirmeli.

1. Sahibi ve işlevi belirleyin: Her açık sistem için tesis, fiziksel işlev, teknik sorumlu, dış bağlantı ve erişim gerekçesi kaydedilmeli. Sahibi veya amacı bulunamayan servis öncelikli incelemeye alınmalı.
2. Gereksiz erişimi kaldırın: Kullanılmayan port yönlendirmeleri ile herkese açık yönetim panelleri kapatılmalı. İş için zorunlu bağlantılar izinli kaynaklar, güçlü kimlik doğrulama ve oturum kaydıyla sınırlandırılmalı.
3. Eski protokolleri kapatın: Telnet, SNMP v1 ve SNMP v2 kullanımı kaldırılmalı; güvenli karşılığı bulunmayan endüstriyel protokoller yalıtılmış ağ bölümlerine alınmalı.
4. Değişikliği kanıtlayın: Dışarıdan erişim testi, güncel güvenlik duvarı kuralı ve bağlantı kayıtları görev çıktısı olarak saklanmalı.

Yedi gün: OT ve edge cihazları için ayrı öncelik belirleyin

OT cihazlarıyla geleneksel ağ sınırı cihazları aynı değişiklik kuyruğunda ele alınmamalı. PLC ve HMI tarafında fiziksel süreç güvenliği, üretici desteği, bakım penceresi ve geri dönüş yöntemi birlikte değerlendirilirken; güvenlik duvarı, yönlendirici ve VPN cihazlarında internetten yönetim, destek durumu, güvenlik güncellemeleri ve kullanım ömrü daha hızlı denetlenebilir.

OT, yönetim ve kurumsal BT ağları işlevlerine ve kritikliklerine göre ayrılmalı; bölgeler arasındaki trafik yalnızca belgelenmiş operasyon ihtiyacı için açılmalı. Uzaktan üretici desteği gerekiyorsa bağlantı doğrudan kontrol cihazına ulaşmamalı. NCSC’nin OT bağlantı ilkesi, erişimin güvenlik kontrollü ayrı bir bölümdeki aracı ağ geçidinden geçirilmesini, izlenmesini ve yalnızca gerektiği süre boyunca açık tutulmasını öneriyor.

Yedi günlük kontrolün doğrulama çıktısı; desteklenen sürüm veya telafi edici kontrol kaydı, dışarıya kapatılmış yönetim portları, bölgeler arası izin matrisi ve yetkili uzaktan erişimin sınırlarını gösteren test sonucu olmalı. OT değişiklikleri, fiziksel süreci riske atmamak için tesisin değişiklik yönetimi ve emniyet prosedürleriyle birlikte yürütülmeli.

Otuz gün: Yedeğin varlığını değil, geri dönüşü sınayın

Bir aylık hedef, kritik fiziksel işlevin güvenli biçimde geri getirilebildiğini göstermek olmalı. PLC yapılandırmaları, denetleyici mantığı, HMI projeleri, ağ cihazı ayarları ve kritik mühendislik verileri güvenilir ve fidye yazılımına dayanıklı yedeklerle korunmalı. Yedek erişimi, üretim ortamındaki aynı hesaplara ve tek bir kimlik altyapısına bütünüyle bağımlı bırakılmamalı.

Masa başı tatbikat tek başına teknik geri dönüşü kanıtlamaz. Seçilmiş kritik bir sistemin yapılandırması yalıtılmış test ortamında geri yüklenmeli; doğru sürümün açıldığı, haberleşmenin kurulduğu ve sistemin tanımlanmış güvenli çalışma durumuna geçtiği kaydedilmeli. Başarı ölçütü yalnızca yedek dosyasını bulmak değil, önceden belirlenen süre içinde güvenli işlevi yeniden kurabilmektir.

Kalan internet erişimi istisnaları da kalıcı yönetime bağlanmalı. Her istisnanın iş sahibi, teknik sorumlusu, izin verilen kaynakları, kimlik doğrulama yöntemi ve gözden geçirme tarihi bulunmalı; geçici bağlantının kapanış zamanı baştan belirlenmeli.

Uyarının açıklamadığı noktalar

NCSC, ilgili sektörlerle doğrudan çalıştığını belirtiyor ancak saldırıların teknik göstergelerini, etkilenen kurumları, ülkelere göre dağılımı veya belirli bir saldırı zincirini kamuya açık duyuruda paylaşmıyor. Bu nedenle incelemeyi tek bir üreticiye, güvenlik açığına ya da saldırgan grubuna indirgemek için yeterli veri yok.

Şimdilik doğrulanmış tablo, farklı aktörlerin çeşitli sektörlerde internete açık OT sistemlerini daha yoğun hedeflediği ve sınırlı gerçek dünya kesintilerinin oluştuğu yönünde. Kurumlar açısından ölçülebilir sonuç; gerçek internet görünürlüğünün çıkarılması, gereksiz erişimin kaldırılması, zorunlu bağlantıların bölümlendirilmesi ve kritik bir OT sisteminin kurtarılabildiğinin uygulamalı olarak doğrulanmasıdır. Olayların kapsamını daraltacak yeni teknik göstergeler veya mağdur bilgileri henüz açıklanmış değil.