OT təhlükəsizliyində ən vacib və ən çox laqeyd yanaşılan mövzu seqmentasiyadır. Bir çox müəssisədə OT şəbəkəsi “idarə edilməsi asan olsun” deyə illər ərzində seqmentsiz hala gəlir: eyni VLAN, eyni genişyayım domeni, bütün cihazlar bir-biri ilə əlaqə saxlayır. Bu struktur hücumçu üçün arzulanan şəraitdir. Çünki ilkin girişdən sonra hərəkət sahəsi genişdir; hücumçu bir cihazdan digərinə keçərkən maneələrlə qarşılaşmır.

Qorxulu ssenari: texniki xidmət noutbuku IT tərəfində fişinq nəticəsində yoluxur. Noutbuk texniki xidmət üçün istehsalat sahəsinə gətirilir və şəbəkə kommutatoruna qoşulur. Daxili şəbəkə seqmentləşdirilmədiyi üçün noutbuk HMI-lara, mühəndislik stansiyasına və tarixi məlumatlar serverinə asanlıqla çıxış əldə edir. “Şəbəkə qurdu” davranışı başlayır: zəif qorunan SMB paylaşımları olan bütün sistemlərə yayılır. Nəticə: HMI ekranları kilidlənib, SCADA xidmətləri işləmir, istehsal dayanıb. Bu hadisənin əsas səbəbi seqmentləşdirilməmiş şəbəkədir.

Seqmentasiyanın məqsədi sadədir: Bir hissə ələ keçirilərsə, bütün sistem ələ keçirilməsin. OT-də bunun praktik yolu IEC 62443-ün zona/əlaqə kanalı yanaşmasını əsas götürməkdir:

  • Zona: Kritiklik səviyyəsi və təhlükəsizlik tələbləri oxşar olan aktivlər qrupu

  • Əlaqə kanalı: Zonalar arasında nəzarət olunan rabitə xətti (şəbəkələrarası ekran/ACL/IPS)

Düzgün seqmentasiya nümunəsi:

  • Korporativ IT şəbəkəsi

  • DMZ (OT-IT arasında bufer zona)

  • OT idarəetmə şəbəkəsi (vasitəçi giriş serveri, yeniləmə repozitoriyası, NTP)

  • İdarəetmə şəbəkəsi (PLC/RTU)

  • Vizuallaşdırma (HMI/SCADA)

  • Təhlükəsizlik monitorinqi (NDR/SIEM məlumat toplayıcısı)

  • Təchizatçının giriş zonası (qeydə alınan, vaxtla məhdudlaşdırılan)

Bunu qurarkən vacib məqamlar:

  • “Standart olaraq qadağan et” yanaşması: Hər şeyə icazə verilməsin. Zəruri məlumat axınları müəyyənləşdirilsin.

  • Protokol xüsusiyyətlərinin nəzərə alınması: OT protokolları bəzən genişyayım/əlaqəni aktiv saxlama mexanizmlərindən istifadə edir. Qaydalar buna uyğun, ölçülüb-biçilərək hazırlanmalıdır.

  • Yanal hərəkətin məhdudlaşdırılması: Bir HMI-nın bütün PLC-lərə çıxışı olmalıdırmı? Yoxsa yalnız müvafiq xəttin PLC-lərinə?

  • İdarəetmə trafikinin ayrılması: Mühəndislik iş stansiyası ilə istehsalın idarəetmə trafiki eyni seqmentdə olmamalıdır.

  • Müşahidə edilə bilmə: Seqmentlərarası trafik jurnala yazılmalı; qayda dəyişiklikləri qeydə alınmalıdır.

İnandırıcı xərc arqumenti: Seqmentləşdirməyə qoyulan investisiya “əlavə şəbəkə təhlükəsizlik divarı” kimi görünür. Amma tək bir insident nəticəsində fabrikin tam dayanması seqmentləşdirmədən qat-qat baha başa gəlir. Seqmentləşdirmə hücumçunun sürətini azaldır. Hücumçu vaxt itirdikcə aşkarlanma ehtimalı artır. OT-də qazanmalı olduğunuz məhz budur: vaxt.