Kritik Altyapılar ve SCADA Güvenliği - Gais Security- Gais Siber Güvenlik Teknolojileri

Kritik Altyapılar ve SCADA Güvenliği

1.GİRİŞ

SCADA sistemleri ilk olarak 1960’ lı yıllarda Kuzey Amerika’ da hayata geçirilmiştir. Her ne kadar SCADA sistemleri ilk kuruldukları yıllarda kurulum ve bakım maliyetlerinin yüksek olmasına sebep olsa da günümüzde teknolojik gelişmelerin sayesinde maliyetler düşmüş ve sistemin işletilmesi için iş gücünü de azaltmıştır. [1]

SCADA, bilişim teknolojileri kullanılarak uzaktan kontrol edilebilip yine uzaktan yönetilebilen sistemin adıdır. SCADA sistemleri, elektriksel ve işlemsel olmak üzere 2 (iki) grupta incelenir.

Elektriksel (Electrical) SCADA, kurulduğu bölgenin, ülkenin veya şehrin; elektrik, doğalgaz, su, nükleer tesis, yenilenebilir/ sürdürülebilir enerji tesisleri gibi tesislerin kurumlar tarafından uzaktan kontrolünü sağlamaktadır.

İşlemsel (Process) SCADA, üretim yapan fabrikalarda tesisin kontrolünü sağlayan, otomasyon ile ilişkilendirilen ve yine amacı merkezi kontrol ve yönetim olan sistem olarak karşımıza çıkmaktadır.

Gelişen teknolojiyle birlikte, yukarıda saydığımız tesislerin kontrolleri günümüzde kolaylaşmış, zaman, maliyet gibi kavramların da sağlıklı yürütülmesi için bilgisayarlar, algılayıcılar, haberleşme teknolojileri kullanılarak oluşturulan SCADA sistemleri, tesis, bölge, ülke için kritik altyapı sistemlerini kontrol ve yönetim süreçlerini izlediğinden dolayı birçok faktöre dikkat edilmesi gereken sistemlerdir.

Kritik altyapı kavramının ortaya çıkmasının en önemli nedeni bilgi teknolojilerinin yaygın bir şekilde kullanılmasıdır. Kritik altyapının SCADA sistemleriyle olan ilişkisinden dolayı güvenlik, bazı tehditlerle karşılaşılacağından dolayı önem arz etmektedir. Bu önem, “kritik bilgi altyapıları” teriminin ortaya çıkmasına yol açmıştır. [1] Kritik bilgi altyapılarına gerçekleştirilecek saldırılar, sağlık hizmetlerine, toplumsal emniyet ve güveliğe, vatandaşların ve hükümetin ekonomik refahına ve sistemin verimli çalışmasına zarar verir.

SCADA ve kritik altyapı sistemlerine tehdit olabilecek konuları, çevresel tehditler, fiziksel tehditler, siber tehditler gibi sıralayabiliriz. Bu sistemler, terör saldırılarına, su baskınlarına, yangınlara ve siber saldırılara karşı korunaklı olması gereken sistemler olup, terör saldırıları için uzak ve ulaşımı kolay bölgeler seçilmelidir. Çevresel tehditler için de yangın alarm sistemleri, su seviye sensörleri, acil tahliye vb. sistemler kurularak önlem alınabilir. Gelelim asıl bahsetmek istediğimiz siber tehditlere. Bu sistemlerde, bilgisayarlar, uzak sunucular, modemler, yönlendiriciler ve son olarak da bunların da haberleşebilmeleri için network yapısı olacağından, bu yapılara siber saldırılar gelebilir. Bu süreçlerin yaşanmaması için CERT ekipleri kurulmalı, firewall (güvenlik duvarı) oluşturulmalı, sisteme erişim için kimlik doğrulama sistemleri kurulabilir.

2.Kritik Altyapı

Kritik altyapı, yukarıda da bahsettiğimiz gibi, bölgenin, ülkenin sınırlarında yaşayan toplumun ve devletin yaşam seviyesini refahını oluşturan gerek gündelik ihtiyaçların doğrultusunda gerek insan hayatı boyunca ihtiyacı olan temel yapıtaşlarındandır. Doğalgaz dağıtım santralleri, elektrik santralleri, su arıtma tesisleri, yenilebilir/ sürdürebilir enerji santralleri, nükleer tesisler, kritik altyapıya örnek teşkil edebilecek belirli bir altyapı üzerine dizayn edilen ve aynı zamanda kendilerinin de birer altyapı olduğunu söyleyebileceğimiz tesislerdir. Bu tesislerde yaşanabilecek her bir problem, toplumun ve devletin ekonomik, sağlık ve refah gibi olmazsa olmaz değerlerine zarar verebilir. Bundan dolayıdır ki “kritik altyapı” denir.

Kritik altyapı bilgi sistemleri, iki başlıkta incelenebilir. Bunlar, bilişim sistemleri ve endüstriyel kontrol sistemleridir.

Bilişim sistemleri iki kola ayrılmaktadır, tekil sistemler olan bilgi sistemi sunucuları bunlardan biridir. Bilgi sunucuları sistemi, bir kuruma hizmet veren bilgisayarlardan oluşan sistemdir. Bilişim sistemlerinin ikinci kolu olan iletişim sistemleri, bilgi sistemlerinin tersine tekil değil; geniş alana yayılmış altyapı sistemleridir. İletişim sistemleri, coğrafi olarak geniş bir alana hükmeden bileşenlerin bir araya gelerek oluşturduğu ve birçok kuruma iletişim hizmetini sağlayan sistemlerdir.

Endüstriyel kontrol sistemleri de iki başlıkta incelenebilir: SCADA sistemleri ve dağıtık kontrol sistemleri. SCADA sistemleri, iletişim sistemleri gibi geniş bir altyapıya hükmeden, birçok bileşenden meydana gelmiş, bir sistemin bileşenlerini merkezi olarak kontrol ve yönetime izin veren sistemlerdir. Dağınık kontrol sistemleri, SCADA sistemlerinin tersine tekildir, geniş bir alana hitap etmez. Belirli bir tesis ve konumla sınırlandırılmış endüstriyel süreci takip etmek ve izlemek için kurulan sistemlerdir.

Kritik Altyapılar ve SCADA Güvenliği

Şekil 1. Kritik Altyapı Bilgi Sistemleri [2]

2.1.Kritik Altyapı Sistemlerinin Güvenliği

Kritik altyapı sistemlerinin gerek çevresel faktörlerden gerek fiziksel ve “uzay boyutu” saldırılarından yani siber saldırılardan korunması ve bu konuyla gerekli önlemlerin alınması gerekmektedir. Kritik altyapı sistemlerinin yönetim ve kontrolü network ağları üzerinden gerçekleşmektedir. Network’ e bağlı olan bilgisayar sistemleri TCP/IP protokol ailesini kullandığı için internet bağlı olsa da olmasa da güvenlik riskleriyle karşı karşıyadır. TCP/IP protokolünü barındıran network ağlarından biraz bahsedilmesi gerekir. Bunlar, internet, intranet ve eksranet olmak üzere üçe ayrılırlar. İnternet, global hizmete açık olan ağlardır. İntranet, ikili veya çoklu partnerlerin arasında altyapısını kurarak haberleştikleri ağlardır. Ekstranet ise sadece kurulumu gerçekleşen bölge veya ülkenin dışarıya kapalı olan ve aslında internet ağlarında bulunan verilerin birer kopyalarının oluşturabildiği ağlardır. Her ne olursa olsun kritik altyapı sistemlerine erişim konusunda gerekli önlemler alınmalı, güvenlik duvarları oluşturmalı ve rutin olarak CERT ekibi tarafından sisteme sızma testleri yapılarak sistem açıkları giderilmelidir. Kritik altyapı sistemlerinin hem fiziksel hem de ağlar üzerinden yetkisiz erişimleri denetlenmeli ve kontrol altına alınarak log kayıtları yapılmalıdır. Fiziksel erişimler için fiziksel güvenlik, alarm sistemleri, kimlik doğrulama sistemleri kurulabilir. 2010 yılında varlığı ortaya çıkan Amerika- İsrail ortaklığında üretilen ve İran’ nın nükleer tesislerine, bir usb bellek aracılığı ile ağın içine konuşlandırılan “Stuxnet”, İran’ da sansasyonel etki oluşturmuştu. Stuxnet ile ağa bağlı olan PLC sistemler olumsuz etkilenmişti ve komut gerekmeksizin PLC sistemlerini etkilemiştir. Ağ üzerinden yetkisiz erişimleri önlemek için VLAN  (Virtual Local Area Network)  sanal yerel ağ anlamına gelen ağ yapısı kullanılarak önlem alınabilir. VLAN ağları üzerinde erişim izni (access list) daha kolay sağlanabilir.  İzin verilen IP adreslerinin düzenli kontrolleri için CERT ekibi kullanılabilir. Stuxnet gibi virüslerin de önüne geçebilmek için taşınabilir saklama ortamlarının kısıtlanması gerekmektedir. Sızma testleri yapılarak sistem iyileştirebilir ve filtre yazılımlarına yatırım yaparak veya danışmanlık alarak sistem korunabilir. Sistemleri yöneten personellere kurum içi, kurum dışı, yurt içi ve yurt dışı imkanları sağlanarak da bilgileri güncel tutularak sistemin güvenliği korunabilir.

İngiltere’ de kritik altyapıların güvenliği konularında çalışma yapan CPNI (Center for Protection of National Infrastructure) proses kontrol ve SCADA sistemlerinin güvenliği konusunda bir rehber yayınlayarak belirli güvenlik önlemlerinden bahsetmiştir. Bunlar:

  • İş risklerinin anlaşılması,
  • Güvenli mimarinin gerçekleşmesi,
  • Olayları ele alma yeteneğinin oluşturulması,
  • Farkındalığın artırılması ve yeteneklerin geliştirilmesi,
  • Üçüncü parti risklerin yönetimi,
  • Projelerin güvenlikle birlikte ele alınması,
  • Sürekli bir yönetim modelinin kurulması,

olarak yayınlanmıştır. [1]

3. Scada Sistemleri

Endüstriyel sistemlerin barındırdığı, yönlendiricileri, sensörleri, PLC ile çalışan mekanizmaların vb. uzaktan kontrolüne yönetime izin verene SCADA sistemleri bileşenleri ile aralarındaki haberleşmeyi internet üzerinden sağlayan bir sistemdir.

Ülkelerin elektrik dağıtım şebekeleri, su arıtma tesisleri gibi birçok tesis ve tesisleri yöneten kurumlar tarafından kullanılan SCADA sistemleri, tesislerin kontrol ve yönetim kolaylığı açısından faydalı olduğu gibi kritik altyapıların üstüne konuşturulan sistemlerdir.

SCADA sistemleri, PLC sistemleri ile sensörler ile koordineli çalışan bir otomasyon sistemi olarak da düşünülebilir. Elektriğin bir bölgede istenildiğinde kesilmesi veya arıtma sistemlerinde yapılacak işlemlere istinaden arıtılmış suların tahliye kanalları tek bir operatör kullanıcı arayüzü ile sağlayan monitoring ve processing ekranlarını barındırır. Endüstriyel alanda da sık sık karşılaştığımız SCADA sistemleri, üretim gerçekleştirilen tesiste üretim bantlarının kontrolleri veya robotik sistemlerle çalışan bir üretim tesisinde robotik kolların merkezi yönetimini ve kontrollerini de sağlar. SCADA sistemleri oluşturulduğu ilk yıllarda her ne kadar BT (Bilgi ve Teknoloji) sistemleri ile ilişkilendirilmemiş olsa bile günümüz gelişen teknolojisi ile BT sistemleri ile uyumlu hale gelmiştir.

Kritik Altyapılar ve SCADA Güvenliği

Şekil 2. Üretim Kontrolü Aşamasında Kullanılan SCADA Sistemleri [3]

Şekil 2’ de kullanılan SCADA sistemi üretim kontrolünü, yönetimini ve dolayısıyla verimliliğini de arttırabildiği gibi fiziksel veya siber saldırılar neticesinde hem çalışan personelin sağlığını hem de üretimi kötü bir şekilde etkileyecektir.

Kritik Altyapılar ve SCADA Güvenliği

Şekil 3. Su Arıtma Tesisinde Kullanılan SCADA [4]

Şekil 3’ te kullanılan SCADA sistemi pompalardan geçen suyun akış hızlarını, hacimlerini kontrol etmeye imkan sağlayan gerektiğinde irsaliye hattını kapatabilmeye imkan sağlarken, yine fiziksel veya siber saldırılar sebebiyle arıtılmamış kirli suların şebekelere dağıtılarak büyük sağlık sorunlarına sebep olabilir.

3.1. Başlıca SCADA Sistemleri ve Modbus Protokolünün Güvenliği

2008 yılında Paris’de yapılan CİGRE konferansında yöneltilen sorular ve yapılan araştırmaya göre, dünya genelinde enerji otomasyonu / istasyon otomasyonu iletişim protokolleri kullanımı konusunda bilgi sahibi olmak mümkündür. Dünya genelinde katılımcıların çoğu enerji otomasyonunda birden fazla protokol kullandıklarını belirtmişlerdir.

Bu protokoller arasında, beraber kullanılan DNP 3. Ve IEC 60870-5 protokolleri kullanımı öne çıkmıştır. Yaklaşık %31 oranında katılımcı alt yapı yenileme ile IEC 61850 protokolünü uyguladıklarını belirtmiştir. Ancak yine %31 oranında katılımcı birkaç yıl içerisinde IEC 61850 protokolünü uygulamaya başlayacaklarını ifade etmiştir.

Mevcut protokollerden IEC 61850’ye geçiş belli oranda maliyet ve alt yapı çalışmasını beraberinde getireceğinden, enerji otomasyonu uygulayıcı ve kullanıcılarının hareket tarzları nedenleri anlaşılmaktadır.

Aynı konuda özellikle Kuzey Amerika ülkeleri (enerji alanında öne çıkan ülkelerdir) yaklaşık %65 oranında DNP3 ve seri iletişim modelini benimsediğini ifade etmiştir. %30 oranında katılımcı Modbus (seri haberleşme yöntemi ile) modelini benimsediğini belirtmiştir.

Uluslararası araştırmaya Kuzey Amerika’da yaklaşık %52 oranla IEC 61850’ye geçişi düşünmediğini ortaya koymuştur. %39’a yakın bir oran birkaç yıl içerisinde IEC61850’ye geçiş yapabileceğini ifade etmiştir. [5]

Kritik altyapı sistemlerinin güvenliğinde bahsedilen kriterlerin aynısı SCADA sistemlerinde kullanılmalıdır; çünkü SCADA, kritik altyapı sistemlerinin uzaktan kontrol ve yönetimi sağlayan sistemdir.

SCADA için geliştirilen güvenlik önlemlerinden bahsedilmesi gerekirse, SCADA haberleşme protokollerinden en yaygın olarak kullanılan Modbus protokonün test edilmesi ve simüle edilmesi amacıyla uygun bir yazılım platform olan Modbus Poll, SCADA sistemlerinin siber güvenlik çalışmalarında kullanılmıştır. Yanfei ve arkadaşları Modbus tabanlı ZigBee kablosuz sensör teknolojisi geliştirirken yazılım test aracı olarak Modbus Poll kullanmışlardır. [6]

Shang ve arkadaşlarının yaptıkları çalışmada endüstriyel kontrol sistemlerinde karşılaşılan zararlı yazılımlara yönelik incelemeler yapılmış ve Modbus TCP protokolü uygulama katmanından gelen tehditlere yönelik paket boyutunda derinlemesine analiz edilmiştir. Modbus TCP haberleşmesi için savunma modeli olarak “White List” kuralı önerilmiştir. [7]

Deney düzeneği topolojisi paylaşarak üzerinden biraz yorumlama yapabiliriz.

Kritik Altyapılar ve SCADA Güvenliği

Şekil 4. Deney Düzeneği Topolojisi [8]

Saldırgan, gerekli önlem ve firewall yazılımlarını aşarak Modbus Slave cihazına eriştiği sırada Wireshark ile trafik kontrolü yapılır ve IP adresi tespit edildikten sonra 503 portu dinlemeye alınıp, belirli IP adresleri dışında Modbus Sandbox (Kontrol Ara Katmanı) tarafına erişim sağlayamayacaktır. Daha önceden bahsettiğimiz gibi erişim sağlayacak IP adreslerinin daha önceden belirlenmesi bu yüzden önemlidir. Bu durumlarda “metasploit framework” kullanılabilir.

Modbus Sandbox cihazı phyton programlama diliyle çalışan bir cihaz olduğu için yapılacak belirli tanımlamaların ardından saldırganın PLC tarafında yapacağı değer tanımlamalarının bir önemi kalmayacaktır. Her ne kadar değerleri değiştirmiş olsa bile yazılan kod ile aslında “değerler belirli aralığın dışına çıkamayacaktır.”

Kritik Altyapılar ve SCADA Güvenliği

Şekil 5. (a)saldırı öncesi değerler

(b) saldırı sonra değerler [8]

Şekil 5’ te görüldüğü gibi Modbus Slave cihazında yazmaçların değiştirildiğini görüntülemekteyiz. Saldırgan dikkat çekmemesi için ve sistemin bir anda alarm vermemesi için sadece bir değeri değiştirmiştir. Şekil 5’ te bulunan değerlerin nükleer tesise ait olduğunu düşünürsek, basınç değerlerini değiştirmiş olmak, sadece bir reaktörde bulunan basınç değerlerini değiştirmek telafisi olmayacak çok büyük sorunlar doğuracaktır.

Stuxnet olayında da benzeri yaşanmıştı. Tek farkı direkt olarak bir saldırgan tarafından yapılan bir işlem değildi; çünkü İran, tesiste internet network’ ünü kullanmadı. Sonuç olarak virüs, reaktörlerden birini çalışamayacak hale getirdiği için tesis patlama riski ile karşı karşıya kalmıştı.

4. Türkiyede SCADA Sistemleri

Ülkemizde, 1980’ li yıllarda elektrik ve dağıtım sistemlerinde, SCADA sistemlerine geçme çalışmaları başlamıştır. Netice olarak TEİAŞ, elektrik üretim ve dağıtım bilgilerinin büyük bir bölümünü 2010 yılı faaliyet raporunda yayınlamıştır. [1]

Ayrıca, Ulaştırma ve Altyapı Bakanlığının yayımladığı, “2013- 2014 Ulusal Siber Güvenlik Stratejisi ve Eylem Planı” ve “2016- 2019 Ulusal Siber Güvenlik Stratejisi” kapsamında siber savunmanın güçlendirilmesi ve kritik altyapıların korunması amacıyla çalışmalara katkılar sağlayacağı değerlendirilmektedir.

TEİAŞ 2016 faaliyet raporuna göre, SCADA sistemlerinin kullanıldığı trafo merkezi ve santrallerin sayısı 575’ e ulaşmıştır. [9]

5. Sonuç

Kritik altyapıları, elektrik dağıtım şebekeleri ki bunlara barajlar, HES (hidro-elektrik santraller), su arıtma tesisleri gibi oluşumlardan oluşmaktadır. Elektrik ve suyun, günümüzde ekosisteme direkt veya dolaylı olarak dahil olması, kontrol altında olması gerektiğini göstermektedir.

Ülkede bulunan elektrik santrallerinin, ülkenin temel yapıtaşlarından olduğuna veya “elektriksiz bir hayat” düşünülemeyeceğinden kontrol altında olması gerektiğinden veya su arıtma tesislerinde suyun arıtılmadan isale hatlarına aktarılmasının büyük sağlık sorunlarına sebep olacağından bahsedildi. Aslında global olarak bakıldığında SCADA sistemlerinin güvenliğinin, sadece bulunduğu tesise için değil, çevre sağlığı, insan sağlığı ve yaşam refahı için önemli olduğunu unutmamak gerekir.

Kritik altyapı sistemlerinde kullanılan çeşitli protokolleri mevcut ve SCADA sistemleri tasarlanmadan önce bu protokollerin altyapıları iyi bir analiz süreciyle hazırlanmalıdır; çünkü iletişim protokolünün kötü bir analizle kurulması neticesinde, protokol yapısını değiştirmek yüksek maliyetlere sebep olacaktır.

Türkiye’ nin, Asya ve Avrupa kıtaları arasında bir köprü olması, birçok global firma için üretim tesislerinin kurulmasını cazip hale getirmektedir. Dolayısıyla SCADA sistemlerinin kullanım alanları ve kullanım oranları her geçen gün artmaktadır. Artan kullanımın, güvenlik konusunda daha dikkatli olunması gerektiğini ispatlamaktadır.

KAYNAKÇA

  1. KARA, M., ÇELİKKOL, S., “Ağ ve Bilgi güvenliği Sempozyumu Kritik Altyapılar: Elektrik Üretim ve Dağıtım Sistemleri SCADA Güvenliği”, TUBİTAK BİLGEM UEKAE, Kocaeli, 2011.
  2. TUBİTAK, “Kritik Bilgi Sistem Altyapıları için Asgari Güvenlik Önlemleri Dökümanları, (https://hgm.uab.gov.tr/uploads/pages/siber-guvenlik/kritik-bilgi-sistem-altyapilari-i-c-in-asgari-gu-venlik-o-nlemleri-6445b90e-b2ad-4e5e-9c13-6ae19ba10e37.pdf), (Erişim Tarihi: 16.01.2020).
  3. http://www.automationtr.com/yeni-nesil-scada-platformu-movicon-automation-platform-next.html (Erişim Tarihi: 18.01.2020)
  4. http://www.teknikicerik.com/wp-content/uploads/2017/05/scada3.jpg (Erişim Tarihi: 18.01.2020)
  5. Stouffer, K., Falco J., Kent K., “Guide to Supervisory Control and Data Acquisition (SCADA) and Industrial Control Systems Security Recommendations of the National Institute of Standards and Technology”, INITIAL PUBLIC DRAFT-NIST Special Publication 800-82, USA, 3.1-3.19, 5.1-6.31, (2006).
  6. L. Yanfei, W. Cheng, Y. Chengbo, Q. Xiaojun, Research on zigbee wireless sensors network based on modbus protocol. Proceedings of 2009 international forum on information technology and applications, 1 (2009) 487–490.
  7. W. L. Shang, L. Li, M. Wan, P. Zeng, Security defense model of Modbus tcp communication based on zone/border rules : misuse. International conference on network security and communication engineering (2014).
  8. IRMAK, E., ERKEK, İ., “Endüstriyel Kontrol Sistemleri ve SCADA Uygulamalarının Siber Güvenliği: Modbus TCP Protokolü Örneği”, Gazi Üniversitesi, Fen Bilimleri Dergisi, Part C, 6 (1): 1- 16 (2018).
  9. TEİAŞ, “2016 Faaliyet Raporu”, 2016, Ankara. (teias.gov.tr) (Erişim Tarihi: 18.01.2020
 

Yunus Emre ÇOBAN 06.02.2020