Ethernet ağ güvenliği için tek bir “Ethernet güvenlik protokolü” yoktur. Güvenlik; ağa kimin bağlanacağını belirleyen IEEE 802.1X, Layer 2 frame'lerini koruyan MACsec, IP paketlerini koruyan IPsec, uygulama oturumlarını koruyan TLS ve endüstriyel protokollerin kendi güvenlik mekanizmaları gibi farklı katmanların birlikte kullanılmasıyla kurulur.

Bu ayrım özellikle otomasyonda önemlidir. Bir switch üzerinde VLAN oluşturmak, bir PLC ile HMI arasındaki veriyi otomatik olarak şifrelemez. MAC adresini port-security listesine yazmak da güçlü cihaz kimlik doğrulaması değildir. Benzer şekilde TLS kullanmak, izinsiz bir cihazın fiziksel switch portuna bağlanmasını tek başına engellemez. Doğru tasarımda her önlem kendi görevini yapar.

Temel Ethernet kendi başına şifreli midir?

Hayır. Ethernet protokolünün temel MAC/frame işlevleri, verinin otomatik olarak gizli veya yetkili kaynaktan gelmiş olmasını garanti etmez. Bir Ethernet frame'i hedef ve kaynak MAC adresleriyle taşınabilir; FCS bozulmayı tespit eder, ancak kriptografik kimlik doğrulama sağlamaz. Bu yüzden güvenlik Ethernet'in üzerinde veya Ethernet'e komşu IEEE 802.1 katmanlarında eklenir.

Pratikte üç farklı soru sorulur: Bu cihaz ağa girebilir mi? → 802.1X; Bu Layer 2 frame'i okunmadan/değiştirilmeden gitsin mi? → MACsec; Bu uygulama veya IP bağlantısı uçtan uca korunsun mu? → TLS/IPsec veya protokole özgü güvenlik.

IEEE 802.1X: switch portuna kim bağlanabilir?

IEEE 802.1X, port tabanlı ağ erişim kontrolüdür. IEEE'nin güncel 802.1X-2020 sayfası; EAP'nin LAN üzerinde EAPOL ile kullanılmasını, kontrollü portlara erişimin doğrulanmasını ve MACsec için MKA mekanizmasını kapsar. ^[1]

Tipik yapıda üç rol vardır: supplicant ağa girmek isteyen istemci veya cihazdır; authenticator switch portu gibi erişimi kontrol eden noktadır; authentication server ise kimlik bilgilerini değerlendiren arka uçtur. Bu arka uçta çoğu kurulumda RADIUS kullanılır.

Burada 802.1X'i “kullanıcı adı şifre protokolü” diye daraltmamak gerekir. EAP altında sertifika tabanlı yöntemler dahil farklı kimlik doğrulama yöntemleri kullanılabilir. Ayrıca her eski PLC, sensör veya sürücü 802.1X supplicant desteğine sahip değildir; OT sahasında özellik cihaz modeli üzerinden kontrol edilmelidir.

RADIUS ne yapar, ne yapmaz?

RADIUS, ağ erişim cihazı ile merkezi authentication server arasında authentication, authorization ve configuration bilgisini taşımak için tanımlanmış bir AAA protokolüdür. RFC 2865 bu client/server modelini açıklar. ^[2]

802.1X ile RADIUS sık birlikte kullanıldığı için ikisi aynı protokol sanılır. Değildir. EAPOL istemci ile authenticator arasındaki LAN erişim sürecinin parçasıdır; RADIUS ise çoğu kurulumda authenticator ile arka uç sunucusu arasındadır. Ayrıca RADIUS, Ethernet veri trafiğini şifreleyen bir protokol değildir.

MACsec nedir?

MACsec — IEEE 802.1AE, Layer 2 seviyesinde Ethernet trafiği için gizlilik, bütünlük ve veri kaynağı doğruluğu sağlayabilen MAC Security standardıdır. IEEE'nin güncel 802.1AE sayfası, MACsec'in MAC istemcilerine şeffaf biçimde veri gizliliği, bütünlüğü ve origin authenticity sağladığını; anahtar anlaşması için 802.1X içindeki MKA protokolünün kullanıldığını belirtir. ^[3]

MACsec'in güçlü tarafı, üstte IP veya TCP kullanılıp kullanılmadığından bağımsız olarak Layer 2 Ethernet frame'lerini koruyabilmesidir. Bu nedenle switch-switch uplink, sunucu-switch veya uygun endüstriyel Ethernet bağlantılarında kullanılabilir. Ancak iki uç ve aradaki ağ mimarisi MACsec'i desteklemelidir.

MACsec ile “bütün internet uçtan uca şifrelendi” sonucu çıkarılmaz. MACsec genellikle kontrollü Ethernet bağlantıları üzerinde Layer 2 koruma sağlar; router sınırının ötesindeki uçtan uca koruma ihtiyacı için IPsec veya uygulama katmanı TLS gibi mekanizmalar değerlendirilebilir.

802.1X ile MACsec aynı şey mi?

İki teknoloji birbirini tamamlayabilir. Önce cihazın ağa girmesine izin verilir, ardından uygun tasarımda MACsec ile trafik korunur. IEEE 802.1X güncel standardı bu MACsec key-agreement bağını doğrudan kapsar. ^[1]

TLS: uygulama trafiğini korumak

TLS (Transport Layer Security), istemci-sunucu uygulamalarının dinleme, değiştirme ve mesaj sahteciliğine karşı korunmasına yönelik kriptografik protokoldür. Güncel temel sürüm TLS 1.3, RFC 8446'da tanımlıdır. ^[4] HTTPS bunun en bilinen kullanım örneğidir.

TLS, MACsec'ten farklı yerde çalışır. MACsec Layer 2 frame'i korur; TLS ise belirli uygulama oturumunu korur. Aynı Ethernet üzerinde bir HTTPS web arayüzü TLS kullanırken, başka bir eski PLC protokolü şifresiz kalabilir. Bu nedenle “switch TLS destekliyor, ağdaki her şey şifreli” gibi bir çıkarım yapılamaz.

“SSL/TLS” ifadesi eski dokümanlarda sık görülür; yeni içerikte güvenli uygulama bağlantıları için güncel TLS ailesini esas almak daha doğrudur. Kullanılan TLS sürümü ve cipher suite, cihaz üreticisinin dokümanından doğrulanmalıdır.

IPsec ve VPN ne zaman kullanılır?

IPsec, IP katmanında paket güvenliği için kullanılan bir mimaridir. RFC 4301 IPsec'i authentication, integrity, access control ve confidentiality hizmetleri sağlayabilen bir yapı olarak tanımlar. ^[5] Güncel pratikte ESP, şifreleme/bütünlük için; IKEv2 ise karşılıklı kimlik doğrulama ve Security Association oluşturma/yönetme için kullanılır. RFC 7296 IKEv2'yi IPsec bileşeni olarak tanımlar. ^[6]

Bir “VPN” tek bir protokol adı değildir. VPN ürünü IPsec/IKEv2, TLS tabanlı tünel veya başka teknolojiler kullanabilir. OT uzaktan erişiminde yalnız “VPN var” demek yeterli değildir; istemci güvenliği, MFA, erişim yetkisi, loglama, jump host ve hangi ağlara erişilebildiği de tasarlanmalıdır.

VLAN güvenlik protokolü müdür?

VLAN bir şifreleme veya kimlik doğrulama protokolü değildir. VLAN, Layer 2 ağı mantıksal broadcast domain'lere böler ve güvenlik mimarisinde segmentasyon için kullanılabilir. Ancak VLAN'lar arasında routing açıksa ve ACL/firewall kuralları izin veriyorsa trafik yine geçebilir.

Bu nedenle “PLC VLAN'ı ayrı, sistem güvenli” yaklaşımı eksiktir. CISA, güçlü segmentasyon için router ACL'leri, stateful firewall, DMZ ve VLAN/PVLAN'ları defense-in-depth içinde birlikte kullanmayı önerir. ^[7] Otomasyon tarafında bu konu endüstriyel siber güvenlik ile birlikte düşünülmelidir.

ACL, firewall, port security ve DHCP snooping ne sınıftadır?

Bunlar önemli güvenlik kontrolleridir; fakat hepsine “güvenlik protokolü” demek teknik olarak doğru değildir.

Özellikle MAC adresinin değiştirilebilir/local olabileceğini bildiğimiz için yalnız port-security veya MAC allow-list üzerine güvenlik kurmak zayıf kalır.

SSH, HTTPS ve SNMPv3 neden ayrı önem taşır?

Endüstriyel switch, firewall, gateway ve sunucuların yönetim düzlemi de korunmalıdır. Uzaktan CLI yönetiminde SSH, web yönetiminde HTTPS/TLS ve ağ izleme/yönetiminde uygun biçimde yapılandırılmış SNMPv3 kullanılabilir. SSH Transport Layer Protocol RFC 4253'te; SNMPv3 User-based Security Model ise RFC 3414'te tanımlıdır. ^[8]

Bu nedenle mevcut eski çizimlerde görülebilen “SSH/Telnet — secure management” ifadesi doğru bir eşleştirme değildir. Telnet şifreli güvenli yönetim protokolü değildir. Aynı şekilde SNMPv1/v2c community string kullanımını SNMPv3'ün authentication/privacy özellikleriyle eşdeğer saymamak gerekir.

EtherNet/IP için CIP Security ne sağlar?

EtherNet/IP kullanan otomasyon sistemlerinde CIP Security, ODVA'nın CIP cihazları için geliştirdiği uygulama/protokol güvenlik katmanıdır. ODVA; device authentication, message integrity/authentication, authorization ve isteğe bağlı confidentiality özelliklerini tanımlar. EtherNet/IP tarafında TCP tabanlı iletişim için TLS, UDP tabanlı gerçek zamanlı iletişim için DTLS kullanılabilir; X.509 sertifika veya pre-shared key gibi kimlik yöntemleri desteklenir. ^[9]

Buradaki kritik nokta, standart EtherNet/IP portu bulunmasının cihazda CIP Security bulunduğu anlamına gelmemesidir. Güvenlik profili ve ürün desteği model bazında kontrol edilir.

OPC UA güvenliği Ethernet güvenliği midir?

OPC UA doğrudan IEEE 802.3 güvenlik protokolü değildir; fakat Ethernet/IP ağlarında çok kullanılan üst katman güvenlik modeline iyi bir örnektir. OPC Foundation, OPC UA güvenlik modelinde client/server ve kullanıcı authentication, iletişim bütünlüğü ve confidentiality hedeflerini açıkça tanımlar. ^[10]

Bu model sertifikalar, signing ve encryption mekanizmaları kullanabilir. Ancak OPC Foundation da güvenlik mekanizmalarının sahadaki gereksinime göre yapılandırılması gerektiğini vurgular. Yani OPC UA kullanan her bağlantı otomatik olarak aynı güvenlik seviyesinde değildir.

PROFINET güvenliği hangi yönde ilerliyor?

PROFINET güvenliğinde yalnız VLAN/firewall yaklaşımı değil, protokol seviyesinde Security Class yapısı da bulunur. PI'nin güncel PROFINET roadmap'i Security Class 1/2/3 özelliklerini “Today” alanında gösteriyor; PROFINET Specification V2.5 ise kapsamlı security mechanisms, secure provisioning ve Security Profile eklerini tanımlıyor. ^[11]

Bu özellikler de cihazın model, firmware ve conformance seviyesine bağlıdır. Eski PROFINET cihazına yalnız switch değiştirilerek yeni security class özelliği eklenmiş sayılmaz.

EtherCAT tarafında güvenlik nasıl düşünülmeli?

EtherCAT için fonksiyonel emniyet ile siber güvenliği karıştırmamak gerekir. FSoE gibi safety mekanizmaları tehlikeli makine davranışlarına karşı fonksiyonel emniyet hedefler; ağdaki kötü niyetli erişime karşı authentication/encryption mekanizması değildir. EtherCAT kullanılan makine ağında erişim sınırlandırma, segmentasyon, güvenli mühendislik istasyonları ve üst sistem bağlantılarının kontrolü ayrıca tasarlanır.

Bir PLC ağı için hangi kombinasyon mantıklıdır?

Tek bir reçete yoktur. Örneğin sabit bir üretim hattında şu katmanlar birlikte düşünülebilir:

1. PLC, HMI ve sürücüler ayrı OT VLAN/zone içinde tutulur.
2. IT–OT geçişi firewall/DMZ üzerinden yalnız gerekli akışlara açılır.
3. Mühendislik istasyonu erişimi kullanıcı/cihaz kimliği ve gerektiğinde 802.1X ile sınırlandırılır.
4. Switch/uplink donanımı destekliyorsa kritik Layer 2 hatlarda MACsec değerlendirilir.
5. SCADA, web arayüzü ve API iletişiminde desteklenen güncel TLS kullanılır.
6. Uzak erişim IPsec/TLS VPN + MFA + yetkilendirilmiş jump host üzerinden yapılır.
7. EtherNet/IP/OPC UA/PROFINET gibi uygulama protokollerinin kendi security özellikleri cihaz desteğine göre etkinleştirilir.
8. Log, switch counter, authentication ve anomali verileri izlenir.

Bunun amacı her yerde aynı teknolojiyi zorlamak değil, saldırganın tek bir açık porttan bütün üretim ağına yayılmasını zorlaştıran defense-in-depth oluşturmaktır.

Sahada en sık yapılan hatalar

“VLAN yaptım, trafik şifrelendi.” Hayır; VLAN segmentasyondur.
“MAC allow-list varsa cihaz kimliği güvenlidir.” Hayır; MAC spoof edilebilir.
“802.1X varsa bütün veri şifrelenir.” Hayır; 802.1X esas olarak ağ erişim kontrolüdür.
“MACsec varsa TLS gereksizdir.” Hayır; farklı katmanları korurlar.
“VPN kuruldu, OT ağı güvenlidir.” Hayır; VPN yalnız belirli taşıma yolunu korur, endpoint ve yetkilendirme sorunlarını çözmez.
“EtherNet/IP / PROFINET kullanmak otomatik güvenli demektir.” Hayır; security profile/firmware/konfigürasyon ayrıca gerekir.
“FSoE siber güvenlik sağlar.” Hayır; functional safety ile cybersecurity farklı amaçlardır.

Kısa özet

Ethernet güvenliği tek bir protokolden oluşmaz. 802.1X porta erişimi, MACsec Layer 2 frame'lerini, IPsec IP paketlerini, TLS uygulama oturumlarını korur. RADIUS çoğu 802.1X kurulumunda merkezi AAA arka ucu olabilir. VLAN, ACL, firewall, DMZ ve port-security önemli kontrollerdir fakat şifreleme protokolü değildir. Endüstriyel ağlarda CIP Security, OPC UA Security ve PROFINET Security gibi uygulama seviyesindeki mekanizmalar cihaz desteğiyle birlikte değerlendirilmelidir. En sağlam yaklaşım, bunları endüstriyel siber güvenlik mimarisi içinde katmanlı kullanmaktır.

İlgili Ethernet rehberleri

Ethernet nedir?  •  Ethernet nasıl çalışır?  •  Ethernet protokolü  •  Ethernet frame yapısı  •  MAC adresi  •  Ethernet kartı / NIC  •  Switch ve hub farkı  •  Ethernet veri iletimi  •  Ethernet üzerinde çalışan protokoller  •  EtherNet/IP  •  PROFINET  •  EtherCAT  •  Endüstriyel siber güvenlik  •  IIoT

Teknik kaynaklar

1. IEEE 802.1X-2020: Port-Based Network Access Control, EAP/EAPOL ve MACsec Key Agreement (MKA). IEEE 802.1X ↩
2. RFC 2865: RADIUS ile network access server ve authentication server arasında authentication/authorization/configuration bilgisi taşınması. RFC 2865 ↩
3. IEEE 802.1AE MAC Security: MACsec gizlilik, bütünlük, data-origin authenticity ve MKA ilişkisi. IEEE 802.1AE ↩
4. RFC 8446: TLS 1.3; istemci/sunucu iletişimini dinleme, değiştirme ve message forgery risklerine karşı koruma hedefi. RFC 8446 ↩
5. RFC 4301: IPsec Security Architecture; IP katmanında authentication, integrity, access control ve confidentiality hizmetleri. RFC 4301 ↩
6. RFC 7296: IKEv2'nin IPsec için mutual authentication ve Security Association kurma/yönetme rolü. RFC 7296 ↩
7. CISA: router ACL, stateful firewall, DMZ, VLAN/PVLAN ile defense-in-depth network segmentation önerileri. CISA guidance ↩
8. IETF: SSH Transport Layer Protocol ve SNMPv3 User-based Security Model. RFC 4253 / RFC 3414 ↩
9. ODVA CIP Security: EtherNet/IP cihazlarında TLS/DTLS, X.509/PSK, integrity, authenticity, authorization ve confidentiality özellikleri. ODVA CIP Security ↩
10. OPC Foundation: OPC UA Security Model; client/server ve user authentication, integrity ve confidentiality hedefleri. OPC UA Security Model ↩
11. PI / PROFINET: Security Class 1/2/3 roadmap ve PROFINET V2.5 security profile / secure provisioning özellikleri. PROFINET Security / PROFINET Specification ↩