Bir SCADA/PLC Ağında Ne Loglanır, Olay Sonrası Ne Kalır
Bir OT olayı yaşandığında sorulan ilk soru şudur: elde ne var? Klasik bilgisayarların aksine, endüstriyel sistemler geride şaşırtıcı derecede az iz bırakır. Delilin nerede olduğunu bilmek, incelemenin yarısıdır.
İçindekiler
Klasik bir adli bilişim incelemesinde loglar bolca akar: olay günlükleri, kayıt defteri, uygulama izleri. OT dünyasına geçtiğinde ise bu bolluk yerini bir kıtlığa bırakır. Bir PLC’ye “geçen hafta ne oldu?” diye sorduğunda çoğu zaman cevap alamazsın — çünkü o PLC kalıcı bir günlük tutmuyordur.
Bu yazı, bir SCADA/PLC ağının hangi katmanında ne loglandığını, bir olay sonrasında geriye ne kaldığını ve adli açıdan delili nerede aramak gerektiğini katman katman inceliyor.
Seviye 1 — PLC/RTU: en zayıf halka
Kontrol katmanındaki PLC ve RTU’lar, adli açıdan en fakir kaynaklardır. Nedenleri:
- Kalıcı log genelde yok. Kaynak kısıtlı bu cihazlar, sürekli bir günlük yazmak için ne belleğe ne de yazma döngüsü bütçesine sahiptir.
- Durum uçucudur. Register değerleri, çalışan mantık ve bağlantı durumu bellekte durur; güç kesilince kaybolur.
- Sınırlı olay tamponu. Bazı modeller küçük bir olay tamponu tutar ama bu hızla döner (yeni olay eskisini siler).
Sonuç: bir PLC size ne olduğunu doğrudan söyleyemez. Delil kaçıcıdır ve çoğu zaman canlı toplama gerektirir (bkz. serinin “log yok” yazısı).
Seviye 2 — SCADA/HMI: operatörün penceresi
Denetim katmanı daha zengindir. SCADA ve HMI sistemleri, yapılandırmaya bağlı olarak şunları loglayabilir:
- Operatör eylemleri — kim, ne zaman, hangi komutu verdi.
- Alarmlar — hangi eşik ne zaman aşıldı.
- Set-point değişiklikleri — bir sürecin hedef değeri ne zaman, kime göre değişti.
Bu loglar bir olayı anlamak için çok değerlidir, çünkü insan-süreç etkileşimini gösterir. Ama kritik uyarı: bu loglama varsayılan olarak yeterli yapılandırılmamış olabilir. Denetim penceresinin ne kadar geriye gittiği ve neyi kaydettiği, kurulum zamanı verilen kararlara bağlıdır.
Seviye 3 — Historian: altın kaynak
OT dünyasının en değerli adli kaynağı çoğu zaman historian’dır. Historian, proses verisini zaman serisi olarak uzun süreli saklayan bir veritabanıdır — sıcaklıklar, basınçlar, akışlar, durumlar, saniye saniye kaydedilir.
Adli açıdan historian bir hazinedir: bir olayın öncesindeki ve sırasındaki proses davranışını yeniden kurabilirsin. Bir anomali — beklenmedik bir basınç düşüşü, olağan dışı bir komut deseni — historian’ın zaman serisinde görünür hâle gelir. Bu yüzden bir OT incelemesinde ilk bakılan yerlerden biridir.
Ağ ve DMZ: kimliksiz protokoller için tek delil
En kritik katmanlardan biri ağ tarafıdır. Neden? Çünkü OT protokollerinin çoğu (Modbus, DNP3, CAN) kimlik doğrulaması yapmaz ve cihaz tarafında iz bırakmaz (bkz. serinin Modbus yazısı). Bu durumda “kim, ne zaman, hangi komutu gönderdi” sorusunun tek cevabı ağ trafiğidir.
Bu yüzden OT ağlarında:
- DMZ güvenlik duvarı logları — seviyeler arası geçişleri gösterir.
- Pasif pcap kaydı — süreci hiç bozmadan tüm trafiği kaydeder; kimliksiz protokoller için en güvenilir delildir.
Pasif ağ kaydı, OT adli bilişiminin en önemli yatırımıdır — cihazlar susarken ağ konuşur.
Savunma tarafı: olaydan önce loglamayı hazırla
Adli açıdan en büyük hata, olaydan sonra “keşke loglasaydık” demektir. Öncelikler:
- SCADA/HMI loglamasını doğru yapılandır — operatör eylemleri ve alarmlar kaydedilmeli.
- Historian’ı koru — kritik proses verisinin bütünlüğünü ve saklama süresini güvence altına al.
- Pasif ağ kaydı kur — kritik segmentlerde sürekli pcap.
- Merkezî toplama — logları güvenli, değiştirilemez bir yerde topla (OT-uyumlu bir izleme/SIEM).
- Zaman senkronizasyonu — tüm katmanlarda ortak, güvenilir zaman kaynağı; timeline bununla anlam kazanır.
Adli bilişim açısı
OT loglamasının katmanlı doğası, adli stratejiyi belirler: aşağı katmanlar (PLC) delil bakımından fakir, yukarı katmanlar (historian, ağ) zengindir. Bu yüzden bir OT incelemesinde delil aramayı yukarı katmanlara ve ağa kurmak gerekir. Ayrıca kimliksiz protokoller nedeniyle pasif ağ kaydı, OT/IoT forensics’in temel taşıdır — serinin CAN timeline ve Modbus yazılarında bunun somut örneklerini işledim. Bu katmanlı düşünme biçimi, klasik disk adli bilişiminden gelen birinin OT’de yeniden öğrenmesi gereken bir haritadır.
Kapanış
Bir SCADA/PLC ağında delil eşit dağılmaz: PLC susar, SCADA yapılandırmaya göre konuşur, historian ve ağ ise çok şey saklar. Bir OT olayında elde ne kaldığını belirleyen şey, olaydan önce loglamayı ne kadar iyi hazırladığındır. “Aşağıya inip PLC’ye sormak” yerine “yukarıya çıkıp historian ve ağa bakmak” — OT adli bilişiminin altın kuralı.
Bu içerik eğitim amaçlıdır.