Bir çox müəssisədə OT tərəfində təhlükəsizlik “görünməz”dir. IT-də EDR, SIEM, SOC prosesləri mövcud olduğu halda, OT-də çox vaxt yalnız şəbəkənin işləməsi kifayət sayılır. Bu görünməzlik hücumçu üçün ideal mühit yaradır. Çünki OT hücumlarının əhəmiyyətli hissəsi səssiz baş verir: proses manipulyasiyası, icazəsiz giriş, yavaş şəbəkədaxili yanal hərəkət, anomaliya.

Qorxulu ssenari: Hücumçu OT şəbəkəsinə daxil olub, lakin etdiyi yeganə şey trafiki dinləməkdir. Trafiki izləyir, HMI-PLC rabitəsini öyrənir, əmr şablonlarını müəyyənləşdirir. Sonra “normal” görünən əmrlərlə prosesi dəyişdirir. Jurnal qeydləri aparmırsınızsa, şəbəkədə NDR yoxdursa, vaxt sinxronlaşdırılması yoxdursa, bunu aşkar etməyiniz həftələr çəkə bilər. Bu müddət ərzində keyfiyyət itkisi ilə üzləşir, səbəbini isə tapa bilmirsiniz.

OT-də monitorinq iki səviyyədən ibarətdir:

  1. Şəbəkə əsaslı monitorinq (NDR/IDS): OT protokollarını tanıyan, anomaliyaları aşkarlayan sensorlar.

  2. Jurnal qeydləri və hadisələrin korrelyasiyası: Keçid serveri, şəbəkələrarası ekran, AD, SCADA/tarixi məlumat arxivləşdirmə sisteminin jurnal qeydləri, giriş qeydləri.

Hətta təməl səviyyədə “insidentlərin idarə edilməsi” belə OT-də böyük fərq yaradır:

  • “Kim, nə vaxt, hansı sistemlərə qoşulub?”

  • “Seqmentlər arasında gözlənilməyən trafik varmı?”

  • “Yeni cihaz əlavə edilibmi?”

  • “PLC proqramı dəyişibmi?”

  • “HMI konfiqurasiyası dəyişibmi?”

OT insidentlərinin yaxşı idarə edilməsi insident baş verdikdə təşvişə düşmək əvəzinə əməliyyat təlimatının tətbiqini təmin edir:

İnandırıcı məqam: Monitorinq yoxdursa, təhlükəsizlik “hissiyyat” səviyyəsində qalır. Monitorinq varsa, ölçə, sübut edə və təkmilləşdirə bilərsiniz. OT-də məqsəd mükəmməl təhlükəsizlik deyil; erkən aşkarlama + nəzarətli müdaxilə ilə dayanma müddətini minimuma endirməkdir.