Darboğaz Analizi, üretim akışındaki kısıtları sayısallaştırmak için veri bütünlüğüne ve zaman tutarlılığına dayanan bir mühendislik disiplinidir. Bu disiplinin dijital altyapı ayağında, veri toplama noktaları ile analiz katmanı arasındaki ağ geçişleri hem performansı hem de güvenlik duruşunu belirler. Güvenlik duvarı ve ağ segmentasyonu burada sadece erişim kontrolü olarak değil; veri akışının tanımlanabilir, denetlenebilir ve değişikliklere dayanıklı tutulması için bir tasarım aracı olarak ele alınır. Teknik literatürdeki zone/conduit yaklaşımı, ISA-95 seviyeleri ve IEC 62443 ilkeleri; OT ağlarında ayrıştırma, en az ayrıcalık ve izlenebilir politika yönetimi için çerçeve sunar. Bu yazı, Darboğaz Analizi ihtiyaçlarını ağ güvenliği perspektifinden yapılandırmak isteyen teknik ekipler için tasarım başlıklarını derinleştirir.
Darboğaz analizi verisinin ağ gereksinimleri
Darboğaz Analizi’nin doğruluğu, verinin sadece “toplanmasına” değil; doğru kimlik, doğru zaman damgası ve doğru bağlamla taşınmasına bağlıdır. Ağ tarafında bu, üç teknik gereksinimi öne çıkarır: gecikme bütçesi, kayıp toleransı ve deterministik davranış. Anlık olay akışları (durum değişimi, duruş başla/bitir, parça sayımı) ile periyodik örnekler (sıcaklık, titreşim gibi proses sinyalleri) farklı taşıma profilleri üretir; güvenlik duvarı kuralları ve segmentasyon, bu profilleri bozmadan akışı sınırlandırabilmelidir.
Üretim yönetimi prensipleri çerçevesinde Darboğaz Analizi; ekipman durumu, iş emri bağlamı, malzeme hareketi ve operatör etkileşimi gibi farklı veri sınıflarını aynı zaman ekseninde birleştirir. Bu nedenle ağ tasarımında şu konular ölçülebilir şekilde ele alınır:
- Veri sınıflandırması: Telemetri, olay, komut, konfigürasyon ve raporlama trafiğinin ayrımı
- Zaman senkronizasyonu: NTP/PTP trafiğinin segmentler arası erişimi ve filtreleme etkisi
- Oturum davranışı: Uzun süreli bağlantılar, yeniden bağlanma (reconnect) ve oturum zaman aşımı parametreleri
- Güvenilirlik: Paket kaybı ve yeniden iletimin, olay sıralaması ve sayım doğruluğuna etkisi
Bu gereksinimler, güvenlik duvarı üzerinde “port aç/kapat” yaklaşımından daha detaylı bir akış tanımını zorunlu kılar: hangi sistem, hangi protokol, hangi yönde, hangi kimlik doğrulama ile ve hangi hız sınırlarıyla konuşacak soruları tasarım girdisidir.
Ağ segmentasyonu: ISA-95 seviyeleri ve zone yaklaşımı
Ağ segmentasyonu, Darboğaz Analizi altyapısında iki hedefi birlikte taşır: (1) etki alanlarını küçültmek, (2) veri akışını öngörülebilir hale getirmek. ISA-95 seviyeleri, kurumsal ağ (L4) ile üretim operasyonları (L3) ve kontrol alanı (L2/L1) arasındaki sınırları kavramsal olarak ayırır. IEC 62443 ise bu ayrımı zone/conduit modeliyle operasyonel hale getirir: benzer risk ve işlev profiline sahip varlıklar zone’lara, zone’lar arası kontrollü geçişler conduit’lere yerleştirilir.
Darboğaz Analizi için tipik ayrıştırma eksenleri, sadece “OT ve IT” ayrımından ibaret değildir. Veri toplama altyapısının bileşenleri (PLC/RTU, HMI, edge gateway, historian/MES bağlayıcıları, raporlama katmanı) farklı güvenlik ve erişim gereksinimlerine sahiptir. Segmentasyonu tasarlarken teknik literatürde öne çıkan ilkeler şunlardır:
- Fonksiyonel ayrıştırma: Kontrol trafiği ile analitik/raporlama trafiğinin aynı yayın alanında (broadcast domain) taşınmaması
- Yönetim düzlemi ayrımı: Yönetim arayüzleri (SSH, RDP, web yönetim) için ayrı yönetim segmentleri
- Kimlik ve politika sınırı: Her segment geçişinin güvenlik duvarı veya eşdeğer politika uygulayıcı ile denetlenmesi
- Güven zonları: Edge katmanının “tam güvenilir” kabul edilmemesi, gerektiğinde ara DMZ benzeri tampon katman kullanımı
Aşağıdaki tablo, Darboğaz Analizi veri akışını planlarken zone’lar arası trafiğin nasıl tanımlanabileceğini özetler:
| Zone | Birincil işlev | Tipik trafik yönü | Güvenlik kontrolü odağı |
|---|---|---|---|
| Kontrol zone | PLC/RTU ve gerçek zamanlı kontrol | İçte kalmalı | Minimum erişim yüzeyi, değişiklik disipiplini |
| Operasyon zone | HMI, hat izleme, yerel toplama | Kontrol → Operasyon | Yetkili servisler, oturum sınırları |
| Edge/Toplama zone | Gateway, protokol dönüştürme, tamponlama | Operasyon → Edge | Protokol farkındalığı, sertifika/anahtar yönetimi |
| Entegrasyon zone | MES/historian bağlayıcıları | Edge → Entegrasyon | En az ayrıcalık, denetlenebilir kurallar |
| Kurumsal zone | Raporlama, BI, veri gölü | Entegrasyon → Kurumsal | Veri erişim kontrolü, izleme ve kayıt |
Güvenlik duvarı politikası: akış bazlı tasarım
Güvenlik duvarı, segmentasyonun uygulanabilir hale geldiği noktadır; Darboğaz Analizi için hedef, izinlerin “geniş” değil “tanımlı” olmasıdır. Teknik ekipler için pratik karşılığı, kural setinin IP/port ikilisinin ötesine taşınmasıdır: uygulama kimliği, sertifika temelli doğrulama, kullanıcı/servis hesabı eşlemesi ve yön (north-south ile east-west) ayrımı.
Politika tasarımında sıklıkla kullanılan yaklaşım, varsayılan reddetme (default deny) üzerine izinli akışların beyaz listeyle (allowlist) tanımlanmasıdır. Bu yaklaşımın Darboğaz Analizi açısından önemli tarafı, veri akışının sınırlarının belgelenebilir olmasıdır. Belgelenebilirlik, kök neden analizinde ağ katmanı kaynaklı veri boşluklarını ayırt etmeyi kolaylaştırır. Kural seti tasarlanırken şu teknik ayrıntılar netleştirilir:
- Akış envanteri: Kaynak/hedef, protokol, port, yön, oturum süresi, beklenen bant genişliği
- Durum takibi: Stateful kuralların zaman aşımı değerlerinin uzun oturumlara etkisi
- NAT etkisi: İzleme ve log korelasyonu için adres dönüşümünün görünür kılınması
- Servis dayanıklılığı: Bağlantı kopmalarında yeniden bağlanma paternlerinin engellenmemesi
- Yönetim erişimi: Yönetim trafiğinin üretim verisi trafiğinden ayrılması
Darboğaz Analizi akışlarının bir kısmı tek yönlü “veri yayınlama” gibi görünse de, çoğu protokolde el sıkışma, sertifika doğrulama, durum sorgulama ve hata geri bildirimi bulunur. Bu nedenle “sadece çıkışa izin” gibi tek boyutlu kararlar yerine, protokolün gerçek bağlantı ihtiyaçları göz önünde bulundurulur.
Protokol farkındalığı: OPC UA, MQTT ve zaman trafiği
Darboğaz Analizi için veri toplama katmanında kullanılan protokoller, güvenlik duvarı davranışını belirleyen teknik özellikler taşır. OPC UA, güvenli kanal ve sertifika modeliyle güçlü kimlik doğrulama imkanı verir; ancak sertifika yaşam döngüsü, güvenlik duvarı üzerindeki izinlerin sürdürülebilirliğiyle birlikte ele alınmalıdır. MQTT ise yayınla/abone ol (pub/sub) modelinde broker üzerinden akar; bu mimaride güvenlik duvarı kuralları, istemcilerin broker’a erişimini, kimlik doğrulamayı ve yetkilendirme sınırlarını destekleyecek şekilde kurgulanır.
Protokol farkındalığı iki nedenle öne çıkar: (1) DPI/L7 kontrollerinin yanlış yapılandırılması, veri gecikmesi veya bağlantı kararsızlığı üretebilir; (2) düz port açma yaklaşımı, gereğinden geniş erişim yüzeyi yaratabilir. Bu çerçevede teknik literatüre uygun kontrol başlıkları şunlardır:
- Şifreleme ve anahtar yönetimi: Sertifika otoriteleri, yenileme periyotları, iptal listeleri (CRL) erişimi
- Uygulama kimliği: OPC UA uygulama URI’ları veya MQTT istemci kimlikleri gibi bağlamsal tanımlar
- Konu/etiket yetkileri: MQTT topic seviyesinde veya OPC UA node/namespace seviyesinde yetkilendirme
- Zaman servisleri: NTP/PTP erişiminin zone’lar arası sınırlandırılması ve log korelasyonu
Zaman senkronizasyonu, Darboğaz Analizi’nin doğrudan girdisidir. Güvenlik duvarı, NTP/PTP trafiğini tamamen kapatmak yerine, yetkili zaman kaynaklarına erişimi tanımlı hale getirecek şekilde kısıtlamalıdır. Aksi halde farklı sistemlerde oluşan zaman kaymaları, olay sıralamasını ve duruş sürelerinin hesaplanmasını bozabilir.
Gözlemlenebilirlik: log, akış kayıtları ve veri bütünlüğü
Darboğaz Analizi, ağ güvenliği bağlamında “veri yolu sağlığı” izlenmeden sürdürülebilir değildir. Buradaki hedef, güvenlik duvarı ve segmentasyonun hem güvenlik olaylarını hem de veri kalitesi sorunlarını görünür kılmasıdır. Bu nedenle log stratejisi; erişim denemeleri, engellenen akışlar, oturum resetleri, TLS hataları, paket düşüşleri ve kural eşleşmeleri gibi sinyalleri kapsar.
İzleme tasarımında iki katman ayrılır: ağ akış gözlemi (flow) ve uygulama gözlemi. Ağ akış gözlemi, hangi zone’lar arasında hangi hacimde trafik olduğunu gösterir; uygulama gözlemi ise Darboğaz Analizi’ne giren olayların sürekliliğini ve sıra bütünlüğünü denetler. Teknik ekipler için uygulanabilir kontrol listesi şu başlıklarda toplanır:
- Log bütünlüğü: Logların zaman senkronu, saklama politikası ve değişmezlik (immutability) ihtiyaçları
- Korelasyon alanları: NAT sonrası kimlik, sertifika parmak izi, oturum kimliği, kural numarası
- Alarm eşikleri: Bağlantı flapping, sürekli engellenen oturumlar, beklenmeyen port denemeleri
- Veri kalite sinyalleri: Eksik olay, sıralama bozulması, tekrar eden paket/mesaj
Burada amaç, sadece “güvenlik uyarısı” üretmek değildir. Darboğaz Analizi tarafında görülen veri boşluklarının, ağ politikası değişiklikleriyle eş zamanlı olup olmadığını kanıtlanabilir şekilde takip etmek de aynı derecede önemlidir.
Değişiklik yönetimi: kural yaşam döngüsü ve test disipiplini
Güvenlik duvarı ve ağ segmentasyonu statik bir kurulum değil, yaşayan bir kontrol sistemidir. Darboğaz Analizi kapsamı genişledikçe yeni veri kaynakları eklenir, yeni etiketler tanımlanır, yeni entegrasyon uçları devreye girer. Bu değişim, kural setinin büyümesine ve zamanla karmaşıklaşmasına neden olur. Üretim yönetimi prensipleri çerçevesinde sürdürülebilir yaklaşım, kural yaşam döngüsünü (talep, tasarım, onay, devreye alma, izleme, geri alma) tanımlı hale getirmektir.
Teknik literatürde öne çıkan iyi uygulamalar, kural değişikliklerinin test edilebilir ve geri alınabilir olmasını vurgular. Bu kapsamda aşağıdaki pratikler, Darboğaz Analizi veri akışını korumaya yardımcı olur:
- Kurala gerekçe ekleme: Her izin için işlevsel ihtiyaç ve veri sahibi bilgisinin tutulması
- Kural sadeleştirme: Zamanla biriken geniş izinlerin düzenli gözden geçirilmesi
- Konfigürasyon versiyonlama: Politika dosyalarının değişiklik takibi ve denetim izi
- Devreye alma sonrası doğrulama: Beklenen akışların çalıştığının ve beklenmeyen akışların engellendiğinin kontrolü
- Bakım penceresi planlama: Ağ değişikliklerinin veri toplama sürekliliğini bozmayacak şekilde yönetilmesi
Darboğaz Analizi’nin güvenilirliği, veri yolunun kararlılığıyla birlikte değerlendirilir. Bu nedenle ağ politikası değişiklikleri, sadece siber güvenlik ekiplerinin değil; veri mühendisliği, MES entegrasyonu ve üretim sistemleri ekiplerinin ortak diliyle yönetilmelidir.
Darboğaz Analizi için güvenlik duvarı ve ağ segmentasyonu; veri akışının sınırlarını tanımlayan, protokol davranışını dikkate alan ve izlenebilirliği artıran bir mimari karardır. ISA-95 ve IEC 62443 gibi çerçeveler, OT/IT geçişlerinde zone/conduit mantığıyla tasarımı sistematik hale getirir; zaman senkronizasyonu, sertifika yaşam döngüsü, log korelasyonu ve kural yaşam döngüsü ise uygulama kalitesini belirler. MESPlus ile Darboğaz Analizi veri akışının ağ segmentasyonu ve güvenlik duvarı politikalarıyla uyumlu tasarlanması hakkında teknik değerlendirme için iletişime geçebilirsiniz.
