OT Penetrasyon Testi: “Üretimi Durdurmadan” Gerçek Riskleri Görmek

OT (Operational Technology) ortamlarında “penetrasyon testi” kelimesi çoğu yöneticide aynı refleksi tetikler: “Üretimi durdurur mu?” Doğru planlanmazsa evet, risklidir. Doğru metodoloji ile yapılırsa ise tam tersi: Üretimi durdurabilecek gerçek saldırı yollarını kontrollü şekilde ortaya çıkarır ve kurumun en pahalı riskini—plansız duruşu—azaltır.

OT’nin IT’den farkı şudur: IT’de güvenlik açığı çoğu zaman “veri ihlali” demektir. OT’de ise güvenlik açığı, fiziksel süreç ve insan güvenliği ile aynı masaya oturur. Bir PLC’ye yanlış komut gitmesi, bir HMI ekranının manipüle edilmesi, proses parametrelerinin “sessizce” değiştirilmesi; kaliteyi düşürür, makineyi yıpratır, hatta kazaya yol açabilir. Bu yüzden OT sızma testi; agresif port scan’lerden, her şeye exploit basmaktan ibaret değildir. Saha gerçekliği ile yürür: erişim sınırları, bakım pencereleri, üretim vardiyası, emniyet kilitleri, geri dönüş planı (rollback) ve ölçülü testler.

Korkutucu senaryo şu şekilde başlar: Bir taşeron teknisyen, uzaktan bağlantı için kullanılan “geçici” VPN hesabını, işi bitince kapatmayı unutur. Parola da “Oskon2025!” gibi tahmin edilebilir bir şifredir. Saldırgan bu hesabı ele geçirir, VPN ile OT ağına girer. DMZ’deki bir jump server’da güncellenmemiş bir servis vardır. Oradan lateral movement ile kontrol ağına geçer. Hedefi “gürültü çıkarmak” değildir. Hedefi, üretimi saatler sonra durduracak şekilde parametreleri değiştirmektir: sıcaklık limitleri, PID ayarları, motor hızları… İlk bakışta her şey normal görünür. Ürün kalitesi düşer, hurda artar, rulmanlar ısınır, bakım maliyeti patlar. O an kimse “siber saldırı” demez; “operasyon bozuldu” denir. İşte OT saldırılarının en tehlikeli yüzü budur: sessiz sabotaj.

OT penetrasyon testinde amaç; bu zincirin hangi halkasının zayıf olduğunu kanıtla ortaya koymaktır. İyi bir test şunları kapsar:

• Kapsam & güvenlik çerçevesi: Üretimi riske atmayacak test sınırları, zaman pencereleri, “dokunulmayacak sistemler” listesi.

• Erişim yolları analizi: VPN, RDP, remote engineering, modemler, vendor erişimleri, Wi-Fi köprüleri, saha switch’leri.

• Kimlik & yetki testleri: MFA eksikliği, paylaşımlı hesaplar, hard-coded şifreler, “admin/admin” türevleri, zayıf AD/LDAP entegrasyonu.

• Segmentasyon & akış kuralları: Flat network, “her yer her yere” izinli firewall kuralları, OT-IT geçişleri.

• Protokol ve servis güvenliği: Modbus, DNP3, S7, OPC (klasik), RDP, SMB, VNC gibi yüzeyler; anomali yaratmadan kontrollü doğrulamalar.

• Görünürlük & loglama: Olay izleri var mı? SIEM/SOC OT tarafında kör mü? Zaman senkronu (NTP) var mı?

Testin çıktısı sadece “bulgu listesi” değildir. OT’de en değerli çıktı; saldırı yolu (attack path) anlatımıdır: “Şuradan girilir, buradan geçilir, şu varlık etkilenir ve sonuç budur.” Yönetim için ikna edici kısım tam burasıdır: Risk “teorik” olmaktan çıkar, iş kaybı senaryosuna dönüşür. Örneğin 2 saatlik duruş, X ton üretim kaybı, SLA cezası, vardiya mesaisi, malzeme ziyanı… Bu tablo, bütçeyi “güvenlik harcaması” değil, “duruş maliyeti önleme yatırımı” haline getirir.

Son söz: OT penetrasyon testi; doğru ekiple, kontrollü yöntemle ve iyi planla yapılırsa kurumun “kör noktalarını” gün yüzüne çıkarır. Kötü niyetli biri bunu plansız ve gürültülü değil, sabırla yapar. Sizin de bunu sizden önce keşfetmeniz gerekir.