Özet: 26-27 Temmuz tarihlerinde Minnesota’daki 30’dan fazla su sistemi, koordineli bir siber saldırıya maruz kaldı. Birkaç gün sonra Michigan eyaleti de kendi su sistemlerinden dokuzunda benzer güvenlik ihlalleri yaşandığını doğruladı. Bu olaylar, OT siber güvenliğindeki tek bir tasarım kusurunun nasıl ulusal çapta bir saldırı yüzeyi haline geldiğini ortaya koyuyor.
30 Temmuz 2026 tarihinde, FBI ve EPA ortak bir kamu hizmeti duyurusu (PSA; Uyarı I-073026-PSA) yayınlayarak Minnesota saldırısı hakkında daha ayrıntılı bilgi verdi. Duyuruya göre, saldırganlar internete bağlı PLC'lere uzaktan erişim sağlayarak bunların IP adreslerini ve şifrelerini değiştirdi ve böylece operatörlerin izleme ve kontrol işlevlerini devre dışı bıraktı. En az bir kuruluş, çeşitli tesislerde merdiven mantığı tutarsızlıkları fark ettikten sonra değiştirilmiş PLC proje dosyaları da tespit etti. FBI ise, üçüncü taraflarca sağlanan ağ kurulumlarındaki benzerliklerin, saldırganların aynı tekniği birden fazla müşteride tekrarlamasına olanak sağlamış olabileceğini belirtti.
1 Ağustos’ta bir başka saldırı kamuoyuna duyuruldu. Bu kez, Michigan Eyaleti Çevre, Büyük Göller ve Enerji Bakanlığı dokuz su sistemine yönelik siber saldırıları olduğunu doğruladı; bu, Minnesota eyaletinin eyalet genelinde benzer güvenlik ihlallerini bildirmesinden birkaç gün sonraydı.
Federal yetkililer, İran’ı baş şüpheli olarak gösterdi; ancak bu atıf henüz ön nitelikte olup, FBI her iki eyaletteki olayları hâlâ soruşturmaktadır.
Etkilenen toplulukların genelinde, kamu işleri personeli manuel işletime geçerek, böylece otomatik kontrol sistemi devre dışı kaldığı halde su ve atık su hizmetlerinin kesintisiz devam etmesini sağladılar. Bu, operasyonel bir başarıdır ve Minnesota'daki operatörler bu başarıdan ötürü övgüyü hak ediyorlar. Manuel yedekleme bu sefer işe yaradı, ancak bir dahaki sefere işe yaramayabilir.
Kritik altyapılar, güvenli bir mimarinin eksikliğini telafi etmek için her zaman tesis operatörlerinin dikkatine güvenemez.
Yıllardır Tekrarlanan, Önlenebilir Bir Durum
Bu saldırıyı, İran ile mevcut gerginliklerle yakından bağlantılı, münferit bir İran olayı olarak değerlendirmek bir bakıma kolaylık sağlayabilir olsa da, ABD’nin kritik altyapısına yönelik saldırı bir eğilimdir.
Bir ortak EPA uygulama uyarısına, CISA, FBI, Ulusal Güvenlik Ajansı, EPA ve diğer federal kurumlar, devlet destekli siber aktörler tarafından su ve atık su sistemlerindeki bilgi ağlarına ve proses kontrol sistemlerine yönelik siber saldırılar hakkında çok sayıda uyarı yayınlamıştır. Bunlardan sadece birkaçını saymak gerekirse:
- İran Hükümeti’ne bağlı, IRGC ile ilişkili siber aktörler
- Rusya yanlısı hacktivistler
- Çin Halk Cumhuriyeti'nden Çin Halk Cumhuriyeti'nden Volt Typhoon, Vanguard Panda ve diğer isimlerle anılan devlet destekli siber aktörler.
Minnesota ve Michigan’daki olaylar, federal kurumların en azından 2023’ün sonlarından beri yazılı olarak tanımladıkları tehdit tablosundaki en son örneklerdir.
Temiz suya erişim temel bir insan hakkıdır; kendi kimyasal dozajını veya basınç kontrollerini doğrulayamayan bir tesis, gerçekleşmesi an meselesi olan ulusal bir halk sağlığı krizidir.
EPA Başkanı Lee Zeldin’in ifadesiyle, sorumluluk tesisleri işleten kişilere. Bu uyarılar yıllardır kamuoyuna duyurulmaktadır ve işletmeciler, sistemlerini düzeltmek için federal bir talimat beklememelidir.
Bu olayın merkezinde yer alan MicroLogix üniteleri de dahil olmak üzere birçok PLC, artık artık güvenlik güncellemeleri almayabilecek, internet için değil, fabrika ortamı için tasarlanmış eski donanımlardır. Bu kontrol sistemleri saldırıya uğrarsa, küçük çaplı bir sızma bile büyük ve küçük topluluklar için ciddi operasyonel aksaklıklara yol açacaktır.
Minesotta Saldırısında Bu Kalıbın Nasıl Ortaya Çıktığı
Tipik bir OT saldırısı genellikle bir BT kullanıcısını veya uç cihazını ele geçiren bir oltalama e-postasıyla başlar. Saldırgan daha sonra Active Directory aracılığıyla yetkilerini yükseltir, BT ağından OT ortamına geçiş yapar, bir mühendislik iş istasyonunu ele geçirir ve nihayetinde endüstriyel süreçleri manipüle etmek veya aksatmak amacıyla PLC’lere erişim sağlar.
Minnesota’daki saldırıda (en azından) saldırganlar neredeyse tüm adımları atladılar. Görünüşe göre saldırganların önce şirketin BT ağını ele geçirmelerine gerek kalmadı; sadece İnternet’e doğrudan açık olan PLC’leri bulup bunlardan yararlandılar.
Mevcut bilgilere göre, saldırganların varsayılan kimlik bilgileri, zayıf şifreler veya MFA (çok faktörlü kimlik doğrulama) politikalarının eksikliğinden yararlanarak PLC’lere yönetici erişimi elde etmiş olmaları mümkündür. Bu durum, geleneksel BT-OT saldırı yolunu atlamalarına olanak tanıyarak, kontrolörleri ele geçirmek için gereken adım sayısını önemli ölçüde azaltmıştır.
Bu saldırı zinciri, Seviye 0-1 cihazların neden hiçbir zaman İnternet’e erişilebilir olmaması gerektiğini ortaya koymaktadır.
Ağ Denetimleri, Operasyonel Teknoloji İçin Yeterli Değildir
Bu saldırı zinciri, Seviye 0-1 cihazların neden hiçbir zaman İnternet’e erişilebilir olmaması gerektiğini ortaya koymaktadır.
Endüstriyel Otomasyon (OT) siber güvenliği alanındaki en iyi uygulamalara gelince, FBI, EPA ve CISA haklı olarak internet maruziyetinin ortadan kaldırılmasını, güvenlik duvarlarının, VPN’lerin, ağ segmentasyonunun ve güçlü kimlik doğrulama politikalarının uygulanmasını tavsiye etmektedir. Bunlar temel denetimler olmaya devam etmekte ve uzaktan erişimin gerekli olduğu her yerde uygulanmalıdır. Bununla birlikte, sonuçları ağır olabilecek endüstriyel kontrol sistemleri söz konusu olduğunda, kuruluşlar uzaktan gelen erişimin gerçekten gerekli olup olmadığını sorgulamalıdır.
VPN’ler ve güvenlik duvarları yazılım parçalarıdır; bu da güvenlik açıklarına sahip oldukları anlamına gelir. İnsanlar tarafından yapılandırıldıkları için yanlış yapılandırılabilirler. Temmuz ayında internette açıkta kalan PLC’leri taramakla meşgul olan aynı aktörler, bir sonraki adımda bu tarayıcıları güvenlik açığı bulunan veya yanlış yapılandırılmış VPN uç noktalarına ve güvenlik duvarlarına yöneltebilirler. Bu, farklı bir arama sorgusuyla ortaya çıkan aynı sorundur.
Su, elektrik, ulaşım veya diğer temel hizmetlerden sorumlu hiçbir kontrol ünitesi, genel internet üzerinden doğrudan erişilebilir olmamalıdır. “Güvenli” ile “izole” arasında bir fark vardır, ancak bazı kamu hizmet kuruluşlarının siber güvenlik sistemleri işte bu noktada yetersiz kalmaktadır.
VPN’ler uzaktan erişimi doğrular ve şifrelerken, güvenlik duvarları hangi trafiğin izin verileceğini düzenler. Her ikisi de belirli bir düzeyde gelen bağlantı imkânının mevcut olmaya devam ettiğini varsayar. Tek yönlü bir ağ geçidi veya veri diyotu ise farklı bir güvenlik hedefine yönelir: uzaktan kontrol gerektirmeyen sistemler için gelen ağ bağlantısını tamamen ortadan kaldırmak.
Tek Yönlü Akışlar Bir Risk Sınıfını Nasıl Ortadan Kaldırır?
Genel olarak, endüstriyel iletişim iki kategoriye ayrılır:
1. İşlemlere komutlar gönderen trafiği kontrol eder.
2. Trafiğin izlenmesi; bu işlem, operasyonel verileri tarih kayıt sistemlerine, SOC’lere, kurumsal uygulamalara, bulut analitik sistemlerine veya yönetim portallarına aktarır.
Birçok kritik sistem, sonuçta yalnızca ikinci kategoriyi kullanır. Bu ortamlarda, gelen bağlantılara izin vermek, operasyonel bir değer sağlamadan sadece saldırı yüzeyini genişletir.
Operasyonel verilerin dışarı aktarılması gerekiyorsa, bu veriler herhangi bir şeyin geri girmesine izin veren bir yoldan iletilmemelidir. Bunun yerine, donanım tarafından uygulanan, fiziksel olarak tek yönlü bir sınırdan geçmelidir.
Tek yönlü zorunlu veri akışı sayesinde, operatörler üretim sahasında neler olup bittiğine dair tam bir görünürlük sağlar. Öte yandan, saldırganlar bu bağlantı üzerinden geri dönme imkânı bulamazlar.
OPSWAT’in MetaDefender™ NetWallürününün temelinde yatan ilkedir: tek yönlü güvenlik sağlayan yeni nesil Veri Diyotları. MetaDefender NetWall , donanım tarafından desteklenen tek yönlü iletişim uygulayarak, geçmiş verileri, alarmlar, günlükler veya telemetri gibi operasyonel verileri kritik OT sistemlerinden kurumsal sistemlere aktarırken, ağ oturumlarının, yönetim trafiğinin veya kontrol komutlarının korunan kontrolörlere geri dönmesini engeller.
Geri dönüş yolunu güvenli hale getirmeye gerek yoktur, çünkü böyle bir yol zaten mevcut değildir. Bu, bir güvenlik duvarının tam olarak kapatamadığı türden güvenlik açıklarını ortadan kaldırır: yanlış yapılandırılmış bir kural, açık bir bağlantı noktası veya bir politika istisnası. Diyotlar, güvenlik duvarlarında kullanılan karmaşık çift yönlü yapılandırma kurallarına ihtiyaç duymadığından, bir risk faktörü olan insan hatası da tamamen ortadan kaldırılır. MetaDefender NetWall , endüstriyel ortamlardaki katı güvenlik gereksinimlerinin yanı sıra su sektörünün dayanıklılığına yönelik EPA önerilerini karşılamak üzere tasarlanmıştır.
10.000 Sunucu Hâlâ Güvenlik Açığına Maruz Kalıyor; Bu Açığı Nasıl Kapatabiliriz?
Şu anda, internete açık 4.100’den fazla Rockwell Automation/Allen-Bradley sunucusu, 4.100’den fazla Siemens sunucusu ve 2.000’den fazla Schneider Electric sunucusu açık internet üzerinden erişilebilir durumdadır. CISA’ya göre, operatörler, satıcılar veya sistem entegratörleri tarafından eklenen hücresel modemler, genellikle belgelenmemiş oldukları ve bu nedenle rutin saldırı yüzeyi taramalarından hariç tutuldukları için sıkça gözden kaçan bir nokta oluşturmaktadır.
Başka bir deyişle, 10.000’den fazla cihaz, az önce Michigan ve Minnesota’daki su idarelerini vuran saldırı türüyle tam olarak aynı tür saldırıya maruz kalmaktadır. Bu cihazlarda kullanılan kontrolörler, ele geçirildikleri takdirde bir tesisi su basmasına neden olabilir veya suyun arıtılmamasına yol açabilir. CISA, ABD’nin Kritik Altyapısını korumak için temel öneriler olarak VPN’leri ve güvenlik duvarlarını kullanmaktadır. Bunların gerçek bir değeri olsa da, yine de internet tabanlı araçlardan söz ediyoruz. Bir basınç vanasını, kimyasal besleme sistemini ve bir ailenin musluk suyunu korumaya yönelik mevcut tavsiyeler, bir giriş sayfasını korumak için geliştirilmiş araçlarla aynı kategoride değerlendirilemez.
Minnesota ve Michigan örnekleri, internet düzeyinde güvenliğin hiçbir zaman fiziksel ve kamu güvenliği açısından kritik sistemler için son savunma hattı olarak tasarlanmadığını hatırlatmaktadır. Kamu güvenliği altyapısı, fiziksel bir çözüme ihtiyaç duyar; saldırganların yeniden yapılandıramayacağı, istismar edemeyeceği veya tarama yoluyla aşamayacağı bir sınır; çünkü tarayıcının bulabileceği bir geri dönüş yolu yoktur.
OPSWAT’ın, MythBusters programından Kari Byron’ın sunuculuğunu üstlendiği yeni belgesel dizisinin ilk bölümü, konuyu açıkça ortaya koyuyor: donanım düzeyinde uygulanan tek yönlü veri akışı da dahil olmak üzere çok katmanlı savunma, kritik altyapı için “olsa iyi olur” türünden bir unsur değildir. Aslında bu, bir olay raporuyla bir halk sağlığı acil durumu arasındaki farkı belirleyebilir.
" Firewall'i Aşmak" adlı dizi, izleyicileri güvenlik konferanslarının salonlarından, güvenlik duvarlarının tam olarak nasıl başarısızlığa uğradığını ve bunların yerine neyin geçmesi gerektiğini gösteren uygulamalı gösterimlere götürüyor. Birinci bölümü izleyin ve Amerika’nın kritik altyapısını güvence altına almak için nelerin gerekli olduğunu öğrenin.
