BT, OT ve DMZ Ağları Managed File Transfer

Endüstriyel bir DMZ üzerinden gerçekleştirilen BT/OT dosya aktarımı, siber riskleri azaltmak amacıyla oluşturulmuş segmentasyon sınırlarını aşmak zorunda olması nedeniyle bir güvenlik ve operasyon sorunu haline gelmektedir. Industrial , yamaların, reçetelerin, günlüklerin, tedarikçilerden gelen verilerin, yedeklemelerin ve raporların öngörülebilir bir takvime göre bölgeler arasında aktarılmasını hâlâ gerektirmektedir.

E-posta, paylaşımlı sürücüler, ara sunucular ve çıkarılabilir ortamlar gibi geçici kanallar, dosya yoluyla bulaşan kötü amaçlı yazılımlara maruz kalma riskini artırır ve izlenebilirliği azaltır. Industrial (IDMZ) iş akışları, tek seferlik istisnaları önlemek için denetim kanıtları, değişiklik kontrolü uyumu ve tesisler arasında tutarlı bir uygulama gerektirir.

IT'den OT'ye dosya aktarımında yaygın olarak görülen kullanım örnekleri arasında mühendislik iş paketleri, PLC ve HMI güncellemeleri, tarihsel veri özetleri, antivirüs imza güncellemeleri, yedeklemeler ve tedarikçi donanım yazılımı paketleri yer alır. Mühendislik belgeleri ve donanım yazılımı güncellemeleri, genellikle rutin raporlar veya periyodik günlük aktarımlarına kıyasla daha sıkı bir sorumluluk zinciri kanıtı gerektirir.

Periyodik akışlar genellikle planlı yedeklemeleri, antivirüs güncellemelerini ve standart rapor teslimatlarını içerir. Acil akışlar ise genellikle acil durum donanım yazılımı düzeltme yamalarını, olay müdahalesi için veri alımlarını veya zaman açısından hassas reçete değişikliklerini içerir. Dosyalar, güvenlik açısından kritik davranışları değiştirebildiğinde veya üretim kalitesini önemli ölçüde etkileyebildiğinde, izlenebilirlik gereklilikleri artar.

Geleneksel kurumsal DMZ modeli, OT ile tam olarak örtüşmemektedir; zira internete açık bir DMZ öncelikle dış erişimi yönetirken, endüstriyel bir DMZ ise esas olarak deterministik işlemleri, sıkı değişiklik kontrolünü ve güvenlik açısından kritik süreçlerin korunmasını sağlar. Purdue Seviye 3.5 segmentasyonunun amacı, OT’ye giriş yollarını kısıtlamak ve bölgeler arası örtük güveni azaltmaktır. 

Operasyonel Teknoloji (OT) ortamlarında dosya kaynaklı riskler daha da artmaktadır; zira eski sistemler, sınırlı yama uygulama süreleri ve kullanılabilirlik kısıtlamaları, reaktif düzeltme işlemlerine yönelik toleransı azaltmaktadır. Industrial ayrıca, doğrudan BT-OT oturumları oluşturulmadan denetlenebilen, öngörülebilir aktarım yolları ve tekrarlanabilir onay süreçleri gerektirmektedir. 

"Tüm bağlantıların DMZ'de sonlandırılması", BT ve OT dosya aktarımlarında, güven sınırını aşan kurumsal uç noktalar ile OT uç noktaları arasında doğrudan uçtan uca oturumların kurulmaması gerektiği anlamına gelir. "Tüm bağlantıların DMZ'de sonlandırılması" ayrıca, tasarımlarda bölgeler arasında köprü görevi gören çift bağlantılı sunuculardan kaçınılması ve bölgeler arası istemci bağlantılarına izin veren güvenlik duvarı kurallarının kullanılmaması gerektiği anlamına gelir.

Bu ilke, savunulabilir kısıtlamalarla somutlaşır: BT sistemleri yalnızca DMZ hizmetleriyle iletişim kurar, OT sistemleri yalnızca DMZ hizmetleriyle iletişim kurar ve dosya aktarımı, aracılık edilen depolama ve iletme iş akışları aracılığıyla gerçekleşir. Endüstriyel DMZ’deki sonlandırma noktaları, inceleme, karantina, onay ve denetim günlüğü tutma işlemleri için kontrol noktaları haline gelir.

Otomasyonu kesintiye uğratmadan BT ile OT arasında doğrudan oturumların kurulmasını önlemek için, gönderenin yalnızca DMZ’de bulunan aktarım hizmetlerine, OT alıcısının ise yalnızca DMZ’de bulunan alma hizmetlerine bağlandığı aracılı aktarım modelleri gereklidir. Aracılı dosya aktarımında genellikle önce DMZ’ye aktarım (push-to-DMZ), ardından OT’ye aktarım (pull-to-OT) adımları kullanılır; böylece bölgeler arası oturum oluşmaz.

Sabitlenmiş bağlantı noktaları, sıkı izin listeleri ve iş akışı bazında sınırlandırılmış hizmet kimlikleri kullanılarak bağlantı noktası maruziyeti asgari düzeyde tutulur. İş akışı bazında hizmet hesapları, yatay hareket riskini azaltır ve periyodik incelemeler sırasında erişim kurallarının yeniden onaylanmasını destekler.

Çift ağ kartı ve paylaşımlı depolama, segmentasyon sınırları arasında bir yönlendirme veya kimlik bilgisi aktarım noktası haline gelebileceğinden, istenmeyen bölgeler arası köprülerin oluşmasına neden olur. Paylaşılan SMB dosya paylaşımları ve çoğaltılmış kimlik bilgileri de, sayılması ve yeniden doğrulanması zor olan örtük bölgeler arası erişim yollarını mümkün kılarak segmentasyon amacını zedeleyebilir.

Kaçınılması gereken uygulamalar arasında, hem BT hem de OT ağlarına aynı anda bağlanan çift bağlantılı dosya sunucuları, bölgeler arası “aktarım” noktası olarak kullanılan paylaşımlı SMB klasörleri ve denetim noktalarını atlayan ara sunucu üzerinden dosya aktarımı yer alır. Sınırların uygulanması, kolaylık sağlayan yollar yerine bağlantı noktası denetimi, inceleme ve açık yetkilendirmeye dayanır.

Dosya aktarımı için tasarlanmış bir Purdue Seviye 3.5 endüstriyel DMZ mimarisi, IDMZ’yi kurumsal BT ve OT ağları arasındaki denetim ve politika uygulama sınırı olarak konumlandırır. Purdue Seviye 3.5 endüstriyel DMZ mimarisi ayrıca, BT ve OT uç noktalarının birbirleriyle değil, DMZ hizmetleriyle entegre olmasını sağlar.

DMZ hizmetlerinin temel bileşenleri arasında genellikle bir dosya aktarım ağ geçidi veya yönetilen dosya aktarım sunucusu, karantina depolama alanı, denetim katmanları ve merkezi günlük kaydı bulunur. Aracılı depolama ve iletim işlevi, segmentasyon amacını bozmadan deterministik işlemleri destekler.

Güvenli dosya alışverişi için endüstriyel DMZ'de yer alması gereken hizmetler arasında dosya aktarım ağ geçidi veya yönetilen dosya aktarım sunucusu, kötü amaçlı yazılım tarama ve sanal ortam katmanları, içerik etkisizleştirme ve yeniden yapılandırma (CDR) katmanları, karantina depolama alanı ve merkezi günlük kaydı toplama yer alır. Industrial hizmetleri ayrıca onay ve yayın süreçlerini kontrol eden iş akışı ve politika uygulama bileşenlerini de içerir.

BT uç noktaları dosyaları DMZ bırakma alanlarına göndermeli, OT uç noktaları ise onaylanmış paketleri DMZ hazırlık alanlarından almalıdır. DMZ sınırı, kötü amaçlı yazılım taraması, temizleme, politika değerlendirmesi ve sorumluluk zinciri kaydı için tutarlı bir denetim noktası haline gelir.

Aracılı bir tasarımdaki güvenlik duvarı ve yönlendirme modeli, genellikle kurumsal ağ ile DMZ arasındaki trafiğin ve OT ile DMZ arasındaki trafiğin ayrı ayrı kontrol edildiği çift güvenlik duvarlı bir IDMZ mimarisi kullanır. İzin listeleri kaynak, hedef, protokol ve hizmet kimliğine uygulanır; böylece her iş akışının açık ve incelenebilir bir yolu olur.

Sayısı az ve iyi tanımlanmış akışlar, çok sayıda özel yolun olduğu durumlara kıyasla güvenlik duvarının karmaşıklığını azaltır. Aracılı tasarımlar ayrıca sabitlenmiş bağlantı noktalarını ve tutarlı hizmet uç noktalarını destekler; bu da kural yeniden sertifikalandırma sürecini basitleştirir ve geniş kapsamlı kuralların zamanla genişleme olasılığını azaltır.

DMZ’ye aktarım ve ardından OT’ye çekme iş akışı, pratikte tekrarlanabilir bir dizi adım olarak işler: veri alımı, karantina, inceleme, temizleme, onaylama, yayınlama ve teslim. DMZ’ye aktarım ve ardından OT’ye çekme iş akışı, her iki tarafın da yalnızca DMZ hizmetlerine bağlandığı için segmentasyonu da korur.

Push yöntemi genellikle BT sistemlerinin paketleri oluşturduğu durumlarda uygunken, pull yöntemi genellikle OT sistemlerinin onaylanmış içeriği belirli zamanlamalara göre aldığı durumlarda uygundur. Adlandırma kuralları, meta veri toplama ve politika kararları her akış için tutarlı olduğunda, standart bir iş akışı birden fazla tesiste uygulanabilir hale gelir.

IT’den DMZ’ye aktarım modelleri, IT gönderenlerinin DMZ alım hizmetlerine ve DMZ bırakma alanlarına erişimini sınırlayarak OT sınırını kapalı tutar. Yaygın modeller arasında zamanlanmış yüklemeler, olay tetiklemeli yüklemeler ve politika kararları ile denetim kanıtları için gerekli meta verileri ekleyen API gönderimler yer alır.

Operasyonel kılavuz, tutarlı adlandırma kuralları, kaynak sistem ve hedeflenen hedef bölge için gerekli meta veri alanları ile TLS kullanılarak gerçekleştirilen aktarım sırasındaki şifrelemeyi içerir. BT tarafındaki gönderim, DMZ’nin aktarımı hangi kullanıcı veya hizmetin başlattığını kaydedebilmesi için kimlik bağlamayı da içermelidir.

DMZ'den OT'ye veri aktarım modelleri, onaylanmış paketleri almak üzere yalnızca OT'den DMZ'ye giden bağlantıları OT veri alma aracı veya zamanlanmış görevlerin başlatmasını sağlayarak riski azaltır ve güvenlik duvarı yapılarını basitleştirir. OT veri alımı, hedef özel kuyruklar veya dizinlerle sınırlandırılmalıdır; böylece OT uç noktaları, onaylanmamış karantina içeriğine erişemez.

Pull, OT’ye gelen bağlantıları engelleyerek ve OT’ye açık bağlantı noktaları ile hizmetleri sınırlayarak güvenlik riskini azaltır. OT veri alımı, OT sistemlerinin yalnızca operasyon programları kurulum veya hazırlık aşamasına izin verdiğinde veri alabilmesi nedeniyle, değişiklik pencerelerini de destekler.

Endüstriyel DMZ dosya aktarımları için vazgeçilmez denetimler arasında inceleme, temizleme, karantina, onaylar, en az ayrıcalıklı erişim, şifreleme ve sorumluluk zincirini destekleyen denetim günlüğü yer alır. Vazgeçilmez denetimler öncelikle DMZ’de uygulanmalıdır; zira DMZ, bölgeler arası dosya aktarımının sonlandırma noktası ve politika sınırını oluşturur.

Endpoint ve hedef denetimleri hâlâ önemini korumaktadır, ancak DMZ, sistemin atlatılmasını önleyen tutarlı bir denetim noktası işlevi görmelidir. Her denetim, bir iş akışı aşamasına eşleştirilmelidir; böylece operasyon ekipleri sonuçları öngörebilir ve güvenlik ekipleri kanıtları doğrulayabilir.

DMZ'de tek bir tarama motoruna bağlı kalmadan kötü amaçlı yazılım taraması yapmak, bilinen ve yeni ortaya çıkan tehditlerin daha geniş bir tespit kapsamına sahip olması için çoklu tarama ve katmanlı tespit yöntemlerini gerektirir. Çoklu motorlu tarama sonuçları, iş akışlarının belirleyici nitelikte kalması için "geçti", "başarısız" ve "bilinmiyor" gibi net sonuçlar vermelidir.

Hata sonuçları, eskalasyon prosedürleri kapsamında karantinada tutulmalıdır. Bilinmeyen sonuçlar ise, sanal ortamda test etme veya daha kapsamlı inceleme politikaları gibi ek analizler tamamlanana kadar karantinada tutulmalıdır. DMZ politikası, karantinanın kontrolsüz bir birikim haline gelmemesi için zaman aşımı sürelerini, analist inceleme adımlarını ve serbest bırakma kurallarını tanımlamalıdır.

İçerik etkisizleştirme ve yeniden yapılandırma (CDR), kötü amaçlı yazılım algılama temiz sonuçlar verse bile aktif içeriği kaldırmak için önleme odaklı temizleme gerektiğinde, yalnızca algılama odaklı yaklaşımlardan daha üstündür. CDR, politikaya bağlı olarak makrolar veya gömülü nesneler gibi aktif bileşenleri kaldırırken iş amaçlı kullanılabilirliği korumak üzere dosyaları yeniden yapılandırarak riski azaltır.

Temizleme işleminden sıklıkla fayda gören dosya türleri arasında ofis belgeleri, PDF’ler ve komut dosyaları ya da gömülü yükler içerebilen arşivler yer alır. Temizleme öncelikli politikalar, imza kapsamına olan bağımlılığı azaltır ve OT sistemlerine giren “temiz ancak kötü amaçlı” belgelere karşı operasyonel riski düşürür.

Yüksek riskli veya yüksek etkili aktarımlar için Sandbox , statik taramanın gözden kaçırabileceği davranışları tespit etmek üzere dinamik analiz sağlar. Sandbox , dosya türü, kaynak güvenilirlik düzeyi, hedef kritikliği ve ortamda gözlemlenen geçmiş tehdit kalıplarına dayandırılmalıdır.

Sandbox , operasyon ekibinin gecikmeleri öngörebilmesi için açık zaman sınırları içeren politika kararlarına temel oluşturmalıdır. DMZ politikası, sandbox kararlarının karantina süresine, analist inceleme gerekliliklerine ve acil bakım senaryoları için eskalasyon yollarına nasıl yansıtılacağını tanımlamalıdır.

Bölgeler arası dosya aktarımı için veri kaybı önleme (DLP) sistemi, anahtar kelime ve desen eşleştirme, sınıflandırma yönetimi ve hedef kısıtlamaları gibi proaktif denetimler uygulamalıdır. DLP uygulamaları, hassas verilerin yetkisiz bölgelere veya hedeflere aktarılmaması için akış bazlı ilkelere uygun olmalıdır.

Aşırı engelleme riski, operasyonel ihtiyaçları yansıtan aşamalı uygulama ve akışa özgü izin listeleri aracılığıyla yönetilmelidir. Kanıt alanlarında, uygulanan DLP kuralları, eşleşme sonuçları ve işlem sonuçları kaydedilmelidir; böylece uyumluluk raporlaması, tutarlı bir işleyişi kanıtlayabilir.

Bölgeler arası dosya aktarımı için en düşük ayrıcalık ilkesi ve onay süreçleri, rol tabanlı erişim kontrolü, görevlerin ayrılması ve değişiklik pencereleri ile kesinti kısıtlamalarına uygun, süre sınırlı erişim gerektirir. En düşük ayrıcalık ilkeleri, paylaşılan hesapların kullanılmasını engellemeli ve izinleri iş akışı, hedef ve dosya türüne göre sınırlandırmalıdır.

Onay modelleri, tutarlı roller, tutarlı kanıt toplama ve düşük riskli iş akışları için otomasyon kullanılarak tüm tesislerde ölçeklendirilebilmelidir. Yönetişim ayrıca, açık kayıt tutma ve olay sonrası inceleme gerekliliklerini içeren acil durum prosedürlerini tanımlamalıdır.

BT-OT-DMZ dosya aracıları için rol tabanlı erişim kontrolü (RBAC), görevleri gönderici, inceleyici, yayınlayıcı ve OT alıcı gibi rollere ayırır. RBAC, bir göndericinin içeriği tek başına OT'ye yayınlayamamasını ve bir OT alıcısının karantinaya alınmış içeriğe erişememesini sağlamalıdır.

Mevcut kimlik sağlayıcılarıyla kimlik entegrasyonu, idari yükü azaltabilir; ancak OT kimlik riskleri, kapsam belirleme, segmentasyon ve en az ayrıcalık ilkesi yoluyla kontrol altında tutulmalıdır. Denetim süreçlerini desteklemek ve birbiriyle ilişkili olmayan aktarımlar arasında ayrıcalıkların yeniden kullanılmasını önlemek için hizmet hesapları, her iş akışı için benzersiz olmalıdır.

Tedarikçiler için süreli erişim ve acil durumlar, geçerlilik süresi olan kimlik bilgileri, sınırlı süreli izinler ve iş akışına göre dar kapsamlı erişim kullanmalıdır. Süreli erişim, sürekli maruz kalma riskini azaltır ve erişim aralıklarını bakım programları ile değişiklik onay süreleri ile uyumlu hale getirir.

Günlük kaydı gereklilikleri, erişim talebini kimin yaptığını, erişimi kimin onayladığını, hangi kapsamda erişim izni verildiğini ve süre sınırlamalı politika kapsamında hangi dosyaların aktarıldığını içermelidir. Acil durum önlemleri, olağanüstü durumlarda hesap verebilirliği sağlamak amacıyla incelemeye sunulacak açık bir kanıt paketi oluşturmalıdır.

Uyumluluk gerekliliklerine uygun BT, OT ve DMZ dosya aktarımı için denetim günlüğü, manuel bilet sistemine başvurmaya gerek kalmaksızın BT, DMZ ve OT ortamları genelinde uçtan uca izlenebilirlik kanıtı sağlamalıdır. Denetim günlüğü, iş akışı aşamaları boyunca tutarlı tanımlayıcılar kullanarak soruşturmaları, uyumluluk raporlamasını ve operasyonel sorun gidermeyi desteklemelidir.

Zincirleme sorumluluk kanıtları, dosyayı kimin gönderdiğini, hangi denetim ve temizleme işlemlerinin yapıldığını, yayınlamayı kimin onayladığını ve teslimatın teyit edilip edilmediğini içermelidir. DMZ merkezli günlük kaydı, OT uç noktalarının görünürlüğüne olan bağımlılığı azaltır ve segmentasyonu korur.

Hangi dosyanın kim tarafından gönderildiğini ve nereye gittiğini kanıtlayan asgari günlük alanları arasında kullanıcı kimliği ve hizmet kimliği, kaynak bölge ve hedef bölge, dosya adları, SHA-256 gibi dosya karma değerleri, her iş akışı aşaması için zaman damgaları, uygulanan ilke, inceleme ve temizleme sonuçları, onay kayıtları ve teslimat onayı yer alır. Korelasyon tanımlayıcıları, alım, karantina, inceleme, serbest bırakma ve teslimat olaylarını birbirine bağlamalıdır.

Tutarlı günlük alanları, çoklu tesis dağıtımlarında izlenebilirlik sağlar. Karma işleme, reddedilemezliği destekler ve aktarım yolu boyunca dosya bütünlüğünü kanıtlayarak olay müdahalesine yardımcı olur.

Operasyonel izleme ve uyarılar, denetim motorlarından gelen tekrarlanan hatalar, politika ihlalleri, olağandışı dosya türleri, anormal aktarım hacmi ve tekrarlanan bilinmeyen işlemler gibi uyarı koşulları kullanılarak denetim günlüklerinden türetilmelidir. Operasyonel gösterge panelleri, güvenilirliği sağlamak amacıyla veri işleme hacmini, karantina kuyruğunu ve teslimat onay oranlarını takip etmelidir.

SIEM entegrasyonu güvenlik korelasyonunu desteklerken, operasyon panoları hizmet durumunu ve iş akışı öngörülebilirliğini destekler. Uyarı eşikleri akış bazında ayarlanmalıdır; böylece kritik hedefler, kritikliği düşük rapor gönderimlerine kıyasla daha hızlı bir şekilde üst düzeye taşınır.

OT DMZ'sinde yönetilen dosya aktarımı ile bağımsız bir SFTP sunucusu arasındaki temel fark, protokol desteğinden ziyade yönetişim, denetim entegrasyonu ve denetlenebilirlik alanlarında ortaya çıkar. Yönetilen dosya aktarımı, akış başına politika düzenlemesi yaparak, karantina ve onay süreçlerini uygulayarak ve kanıt toplama işlemlerini merkezileştirerek, bölümlere ayrılmış ağlar için bir kontrol düzlemi sağlar.

Bağımsız SFTP, genellikle tarama, onay ve raporlama işlemleri için harici süreçlere bağımlı bir aktarım uç noktası haline gelir. Industrial kurulumları, genellikle çoklu tesis ölçeğinde güvenilirliğini koruyan tutarlı kontrol noktaları gerektirir.

DMZ'deki bağımsız SFTP sistemleri, manuel onaylar, tutarsız kötü amaçlı yazılım taramaları, paylaşılan hesaplar, sınırlı meta veri toplama ve birden fazla sistemde dağınık günlükler nedeniyle genellikle operasyon saatlerinde arızalanır. Manuel işlemler, özellikle acil bakım zamanlarında, güvenlik önlemlerinin atlatılma olasılığını da artırır.

Çoklu tesis yapısı, her tesisin tarama, veri saklama ve erişim kontrollerini birbirinden biraz farklı şekilde uygulamaya eğilimli olması nedeniyle bu farklılıkları daha da belirgin hale getirir. Parçalanmış kanıtlar da soruşturmaları yavaşlatır; zira kanıt zinciri kanıtlaması, birbirinden farklı günlükler ve bilet sistemleri arasında manuel bir ilişkilendirme yapılmasını gerektirir.

Sınır farkındalıklı yönetilen dosya aktarımı, akış başına politika düzenlemesi, karantina ve serbest bırakma kontrolleri, entegre çok katmanlı dosya güvenliği ve bölgeler arası merkezi görünürlük sağlamalıdır. Sınır farkındalıklı yönetilen dosya aktarımı ayrıca, aktarım yolunda çoklu tarama, CDR, sanal ortam analizi ve DLP uygulamasını içeren denetim aşamalarını desteklemelidir.

OPSWAT MetaDefender File Transfer™ (MFT), Metascan™ Multiscanning, Deep CDR™ Teknolojisi, Proactive DLP™ ve sanal alan analizini tek bir iş akışında bir araya getiren, güvenliği ön planda tutan bir yönetilen dosya aktarım platformu örneği olarak gösterilebilir. Merkezi yönetim, BT, IDMZ ve OT ortamlarında tutarlı bir şekilde kuralların uygulanmasını destekler.

OT'ye giren dosyalar için CDR dosyası temizleme ile antivirüs taraması arasındaki fark, kötü niyetli içeriğin önleme odaklı yeniden yapılandırılması ile tespit odaklı tanımlanması arasındaki ayrımdır. Katmanlı denetimler, çoklu motorlu tarama, yüksek riskli formatlar için temizleme ve şüpheli durumlar için isteğe bağlı sanal ortam analizini bir araya getirerek, bilinmeyen ve yapay zeka tarafından üretilen tehditlerden kaynaklanan riski azaltır.

Seçim kriterleri, dosya türü ile hedef kritiklik düzeyini denetim kapsamıyla uyumlu hale getirmelidir. İlkeler, hangi dosya türlerinin varsayılan olarak temizleme işlemine tabi tutulması gerektiğini ve hangi dosya türlerinin ise sadece tarama aşamasında kalıp, gerektiğinde daha üst düzey işlemlere yönlendirilebileceğini tanımlamalıdır.

Antivirüs taraması, bir tarama motorunun tarama anında mevcut imza ve sezgisel yöntemlere dayanarak bilinen zararlı içeriği tespit edemediğini kanıtlayabilir; ancak antivirüs taraması, bir dosyanın OT ortamında kullanım için güvenli olduğunu kanıtlayamaz. Yanlış negatif sonuçlar ve yeni tehditler, kritik ortamlarda operasyonel açıdan önemini korumaktadır.

"Temiz" ancak şüpheli görünen vakalar, çoklu tarama, sanal ortamda çalıştırma veya temizleme politikaları gibi çok aşamalı analizler tamamlanana kadar karantinada tutulmalıdır. İş akışı tasarımı, operasyonel anormallikler ortaya çıktığında "temiz" sonuçların da kanıt olarak kaydedilmesini ve daha sonraki soruşturmaları desteklemesini sağlamalıdır.

Deep CDR™ Teknolojisi ile gerçekleştirilen içerik temizleme, algılama sonuçları temiz çıksa bile aktif içerik riskinin azaltılması gerektiğinde daha güvenli bir varsayılan seçenektir. İçerik temizleme, operasyonel ihtiyaçlar için kullanılabilir içeriği korurken aktif unsurları kaldırarak veya etkisiz hale getirerek riski azaltır.

Politika örnekleri arasında, yüksek kritiklik derecesine sahip OT hazırlık alanlarına giren ofis belgeleri ve PDF’ler için varsayılan olarak uygulanan temizleme işlemleri, iç içe geçmiş arşivler için daha sıkı arşivleme kuralları ve hedef konumun kritiklik derecesine göre mühendislik çıktılarının kontrollü bir şekilde işlenmesi yer almaktadır. Temizleme politikaları, izleme zinciri kanıtlarını korumak amacıyla hangi dönüşümlerin gerçekleştirildiğini kaydetmelidir.

OT dosya aktarımı için veri diyotu ile çift güvenlik duvarı DMZ'si arasındaki fark, tek yönlü uygulama ile yine de DMZ'de sonlanan kontrollü çift yönlü iş akışları arasında yapılan bir tasarım tercihidir. Veri diyotu tasarımları, tasarım gereği yönlülüğü sağlarken, çift güvenlik duvarı IDMZ tasarımları ise yönlülüğü kural ve izin listeleri aracılığıyla sağlar.

Tek yönlü uygulama, onay işlemlerinin ve etkileşimli sorun gidermenin kısıtlanmasına neden olduğu için iş akışı beklentilerini değiştirir. Kullanım senaryoları iki yönlülüğü gerektirdiğinde ve telafi edici kontroller açık ve denetlenebilir kaldığında, kontrollü iki yönlü aktarım savunulabilir bir seçenek olarak kalabilir.

Risk toleransı, yasal düzenlemeler veya sonuçları ağır olabilecek ortamlarda katı tek yönlü telemetri ve saldırı yüzeyinin azaltılmasına yönelik gereklilikler söz konusu olduğunda, OT'den IT'ye veri aktarımları için bir veri diyotu gereklidir. Veri diyotunun kullanım alanları arasında genellikle tek yönlü izleme, dışa doğru tarihsel veri replikasyonu veya OT'ye yönelik tüm gelen veri yollarını kısıtlayan düzenlemelere tabi ortamlar yer alır.

Operasyonel dezavantajlar arasında, etkileşimli onaylar yoluyla teslimatı teyit etme imkânının azalması ve sorunları gerçek zamanlı olarak giderme imkânının azalması sayılabilir. İş akışı tasarımı, DMZ tarafında teslimat onayı ve değiştirilemez günlükler gibi alternatif kanıtlama yöntemlerini içermelidir.

Endüstriyel bir DMZ'deki çift güvenlik duvarı, her iki yönde de trafiğin denetim geçitleri, karantina kontrolleri ve sıkı politika uygulamalarıyla DMZ içinde sonlandırılmasını sağlayarak, kontrollü çift yönlü iletişim ihtiyaçlarını karşılar. Çift yönlü iş akışları, tedarikçi güncellemelerinin teslimi, kontrollü veri aktarımı veya gerekli mutabakat belgeleri gibi haklı kullanım durumlarıyla sınırlı tutulmalıdır.

Telafi edici kontroller, katı izin listeleri, sabitlenmiş bağlantı noktaları, akış başına hizmet kimlikleri ve onay gereklilikleri dahil olmak üzere belgelendirilmelidir. Belgelendirme, kuralların aşırı çoğalmasını önlemek amacıyla periyodik güvenlik duvarı kuralı yeniden sertifikalandırmasını da içermelidir.

Tedarikçilerin DMZ üzerinden OT'ye dosya aktarımı, DMZ'deki tedarikçi erişimini sonlandıran ve inceleme, karantina, süre sınırlı erişim ile denetim günlüğü tutma uygulamalarını zorunlu kılan, tedarikçi dostu bir iş akışı kullanmalıdır. Tedarikçi iş akışları, operasyonel planlama açısından teslimat sürelerini öngörülebilir kılarken, tedarikçilerin OT varlıklarına doğrudan erişimini engellemelidir.

Kimlik doğrulama ve yetkilendirme, tedarikçiye özgü bırakma alanları ve tedarikçiye özgü dosya türleriyle sınırlandırılmalıdır. DMZ'ye aktarım, kayıtlı bir onay gerektirmeli ve OT hazırlık ortamına teslimat onayı sağlamalıdır.

Paylaşımlı hesaplar veya kalıcı erişim olmadan gerçekleştirilen tedarikçi kimlik doğrulamasında, bireysel tedarikçi kimlikleri kullanılmalı, mümkün olduğunda çok faktörlü kimlik doğrulama uygulanmalı ve erişim süresi bakım pencerelerine göre sınırlandırılmalıdır. Maruz kalma riskini azaltmak için tedarikçi kimlikleri belirli bırakma alanlarıyla sınırlandırılmalı ve dosya türü kısıtlamaları uygulanmalıdır.

Erişim, OT'nin doğrudan alınmasından ziyade, gönderim ve durum bilgilerinin görüntülenmesiyle sınırlandırılmalıdır. Ayrıca, tedarikçilerin erişimi, izin verilen hedefler konusunda politika uygulamasını da içermelidir; böylece tedarikçi paketleri, onaylanmış OT ara depolama konumlarının ötesine yönlendirilemez.

Satıcı dosyaları, DMZ karantina deposuna girerek, kötü amaçlı yazılım taramasından geçerek, gerektiğinde temizleme işleminden geçerek ve politika tetikleyicileri devreye girdiğinde sanal ortam analizinden geçerek karantinadan onaylanmış sürüm bölümüne taşınır. OT'nin geri alınması, ancak sürüm onayı alındıktan ve politika işleme süreci paketi onaylanmış olarak işaretledikten sonra izin verilmelidir.

Onay işlemi, denetçiler ve yayınlayıcılar gibi görev ayrımı uygulanan belirli roller tarafından gerçekleştirilmelidir. Kanıt kaydı, denetim sonuçlarını, temizleme işlemlerini, zaman damgalarını ve onaylayıcının kimliğini içermelidir.

OT-DMZ dosya aktarımındaki yanlış yapılandırmalar, bölgeler arası bağlantıyı yeniden tesis ederek, denetim geçitlerini zayıflatarak veya onay ve erişimle ilgili hesap verebilirliği bozarak risk yaratır. Yanlış yapılandırmanın önlenmesi için, açıkça belirtilmiş “yapılmaması gerekenler” kuralları, düzenli incelemeler ve baypas davranışlarını erken aşamada tespit eden izleme sinyalleri gereklidir.

Risk oluşturabilecek durumlar arasında paylaşılan kimlikler, SMB paylaşımlarının genişlemesi, güvenlik duvarı kurallarının aşırı çoğalması ve karantinayı atlayan manuel kopyalama işlemleri sayılabilir. Standartlar, arıza senaryolarını uygulanabilir mimari ve operasyonel gerekliliklere dönüştürmelidir.

Paylaşılan hesaplar ve manuel kopyalama işlemleri hesap verebilirliği bozar; zira paylaşılan kimlik bilgileri reddedilemezlik ilkesini ortadan kaldırır ve soruşturmalar sırasında güvenilir bir şekilde sorumluluğun belirlenmesini engeller. Manuel kopyalama işlemleri ayrıca, zaman baskısı altında denetim adımlarının atlanma olasılığını artırır.

Gönderme, inceleme, yayınlama ve erişim işlemleri için rol ayrımı ve bireysel kimlikler zorunlu kılınmalıdır. Onay süreçlerini içeren otomatik iş akışları, gayri resmi uygulamalara olan bağımlılığı azaltır ve denetimleri ile olay müdahalesini destekleyen tutarlı kanıtlar sağlar.

SMB paylaşımları ve güvenlik duvarı kurallarının yaygınlaşması, görünmez geçiş yolları yaratır; zira SMB erişim kalıpları zamanla genişleme eğilimindedir ve kapsamlı güvenlik duvarı kurallarının denetlenmesi zorlaşır. Görünmez geçiş yolları, izlenemeyen yatay hareket imkânları yaratarak segmentasyonun amacını bozar.

Hizmet sabitleme ve katı izin listeleri, istenmeyen genişlemeleri önler. Güvenlik duvarı kurallarının düzenli olarak yeniden onaylanması, her kuralın onaylanmış bir iş akışına karşılık geldiğini ve kuralların uçtan uca erişim sağlamaktansa DMZ sonlandırma noktalarıyla sınırlı kaldığını doğrulamalıdır.

Endüstriyel DMZ dosya aktarımı güvenlik güçlendirme kontrol listesi, IDMZ denetimlerini tekrarlanabilir doğrulama maddelerine dönüştürerek mimari incelemelerini, tesis entegrasyonunu ve değişiklik yönetimini standart hale getirir. Endüstriyel DMZ dosya aktarımı güvenlik güçlendirme kontrol listesi, DMZ sonlandırma, denetim geçitleri, yönetişim iş akışları ve denetim kanıtı gereklilikleriyle uyumlu olmalıdır.

Kontrol listesi temelli standardizasyon, tesisler arası sapmaları azaltır ve güvenlik paydaşları arasındaki uyumu artırır. Kontrol listesi maddeleri, uygulama sırasında test edilebilen ve periyodik gözden geçirmeler sırasında yeniden onaylanabilen, doğrulanabilir ifadeler halinde yazılmalıdır.

DMZ'de sonlanan aktarımlar için yapılan Firewall hizmet güçlendirme kontrolleri, sabitlenmiş bağlantı noktalarını, katı izin listelerini, BT ile OT arasında doğrudan oturumların bulunmamasını ve çift bağlantılı köprüleme sistemlerinin bulunmamasını doğrulamalıdır. Ayrıca, yönetim erişiminin OT ağlarına gizli geçiş yolları oluşturmaması için yönetim erişim modelleri de kısıtlanmalıdır.

DMZ sistemleri için yama stratejisi, bakım zaman aralıklarıyla uyumlu olmalı ve hizmet kesintilerinin en aza indirilmesine öncelik vermelidir. Kural yeniden onaylama süreci, her kuralın belgelenmiş bir iş akışına karşılık geldiğini ve sonlandırma işleminin DMZ içinde kaldığını teyit etmelidir.

Yüksek riskli dosya türleri için yapılan inceleme ve sanitasyon güçlendirme kontrolleri, çoklu tarama kapsamını, CDR ilke kapsamını, sanal alan tetikleyicilerini, arşiv işleme sınırlarını ve başarısızlık ya da bilinmeyen sonuçlar durumunda karantina davranışını doğrulamalıdır. Arşiv işleme, iç içe geçmiş arşiv açma sınırlarını ve gerçek dosya türü algılama kontrollerini içermelidir.

İstisna durumlarının ele alınması, kayıt altına alınmış gerekçelendirme, açık onay ve kanıt niteliğindeki belgelerin saklanmasını gerektirmelidir. Ayrıca istisnalar, geçici izinlerin kalıcı bir atlatma yolu haline gelmesini önlemek amacıyla düzenli gözden geçirmeleri tetiklemelidir.

BT, OT ve DMZ ağları arasında yönetilen dosya aktarımı için hazırlanan teklif talebi (RFP) şartnameleri, bölümlere ayrılmış ortamlar için sınır denetimini, çok katmanlı dosya güvenliğini, merkezi yönetişimi ve denetlenebilirliği öncelikli olarak ele almalıdır. Teklif talebinin metni iş akışına odaklı olmalı; böylece şartnameler, yalnızca aktarım özelliklerinden ziyade DMZ’de sonlandırma, denetim geçitleri, onay süreçleri ve kanıt kaydı gibi unsurları yansıtmalıdır.

Teklif talebi (RFP) şartnamesi, yüksek kullanılabilirlik, çevrimdışı veya kısıtlı ağ operasyonları ile tesisler arasında tutarlı politika uygulamasını da kapsamalıdır. Şartnamede, platformun bölgeler arası oturumlar oluşturmadan “DMZ’ye gönder, ardından OT’ye al” iş akışlarını nasıl uyguladığı da tanımlanmalıdır.

Protokol ve konektör gereksinimleri, aktarım yöntemine aşırı önem vermeden, kurumsal ve endüstriyel ortamlarda ihtiyaç duyulan yaygın protokolleri içermelidir. Entegrasyon beklentileri arasında, depolama ve iletme işlevinin desteklenmesi ile kısıtlı veya bağlantısı kesik ağlara yönelik destek yer almalıdır.

Teklif talebi şartnamesinde, öngörülebilir yeniden deneme davranışı, büyük dosyalar için devam ettirilebilir aktarımlar ve tesis operasyonlarını dikkate alan bant genişliği kontrolleri belirtilmelidir. Bağlantı noktası şartnamesinde ayrıca hizmet kimliklerinin yönetimi ve mümkün olduğu durumlarda kimlik sistemleriyle entegrasyon konuları da ele alınmalıdır.

Politika düzenleme gereksinimleri, akış başına politika tanımlamasını, karantina ve serbest bırakma iş akışlarını, otomatik yönlendirmeyi ve görevlerin ayrılmasını içermelidir. Politika düzenleme, aktarım yolunda çoklu tarama, CDR, sanal ortam ve DLP uygulamasına yönelik açık entegrasyon noktalarını içermelidir.

Onay iş akışı gereklilikleri, kademeli onay süreçlerini ve belgelenmiş istisna yönetimi içeren düşük riskli iş akışları için otomasyonu belirtmelidir. Gereklilikler ayrıca, denetim ve soruşturma amaçları doğrultusunda her aşamada kaydedilen kanıt alanlarını da belirtmelidir.

Görünürlük ve denetim izi gereklilikleri, raporlama, günlük alanı gereklilikleri, saklama kontrollerini ve SIEM veya merkezi günlük platformlarına aktarım süreçlerini kapsamalıdır. Değiştirilemez günlükleme gereklilikleri, kanıt elde etme amacıyla kurcalanmaya karşı koruma kontrollerini ve erişim kontrollerini kapsamalıdır.

Teslimat onayı gereklilikleri, onaylanmış paketlerin OT hazırlık alanına ulaştığını ve yetkili kişiler tarafından alındığını kanıtlayan bilgileri içermelidir. Kanıt paketi gereklilikleri ise hash değerlerini, zaman damgalarını, inceleme sonuçlarını, onayları ve ilişkilendirme tanımlayıcılarını içermelidir.

Metascan Multiscanning, Deep CDR™ Teknolojisi, Proactive DLP ve sanal ortam teknolojisiyle desteklenen MetaDefender Managed File Transfer MFT), endüstriyel bir DMZ üzerinden gerçekleştirilen BT/OT dosya aktarımları için merkezi kontrol sağlayarak dosya kaynaklı riskleri azaltan OPSWATyönetilen dosya aktarımı (MFT) çözümüdür.