EKS için Purdue mimarisi uyumlu topoloji çıkarımı ve varlık iletişimine dayalı güvenlik kural önerisi yapan yeni bir model yaklaşımı
A new model approach for security rule recommendation based on Purdue architecture-aware topology inference and asset communication for ICS
Yazar: Toker, Firdevs Sevde; Özçelik, İbrahim
Dergi: Gazi Üniversitesi Mühendislik Mimarlık Fakültesi Dergisi, Vol. 41 No. 1, 2025
Anahtar kelimeler: System and Network Security ; Sistem ve Ağ Güvenliği ; Cybersecurity and Privacy (Other) ; Siber Güvenlik ve Gizlilik (Diğer) ; Topology inference,ICS architecture,secure architecture,ICS modelling ; Topoloji çıkarımı,EKS mimarisi,güvenli mimari,EKS modelleme

Endüstriyel kontrol sistemleri (EKS), çalışma yapısı gereği farklı ağ mimarilerinde olan karmaşık iletişim yapısına sahip sistemlerdir. Güvenli ağ mimarisi kısıtları, global standartlar ile tanımlansa da farklı yorumlamalardan dolayı birbirinden farklı endüstriyel ağ mimarileri ortaya çıkmaktadır. Siber güvenlik kapsamında EKS ağ segmentasyonu ve varlıklar arası iletişim kurallarının çıkarımı uluslararası standartlar ile desteklenen önemli bir güvenlik konusudur. Bu çalışmada tercih edilen ağ mimarilerinden bağımsız bir şekilde varlıkların bulundukları ağ konumlarının ve birbirlerine sundukları hizmetlerin matrisler ile tanımlandığı ve oluşturulan matrislerden elde edilen sonuçlar ile de Firewall (Güvenlik Duvarı) üzerinde proses temelli erişim kurallarının çıkarımının yapıldığı bir yöntem önerilmiştir. Proses bağımlılığı olmayan, esnek bir modelleme sunan bu yöntem için test senaryosu olarak CENTER [1] altyapısındaki ağ mimarisi ve varlıkları kullanılmıştır. Geliştirilen çıkarım yöntemi sonucunda test ortamında kullanılan mimari ile proses temelli Firewall kurallarının birebir örtüştüğü tespit edilmiştir. Ayrıca yaygın kullanılan Derinlemesine Savunma (Defence in Depth-DiD) stratejisi, NIST 800-82 ve IEC 62443 standartlarının önerdiği güvenlik uyumu da test edilmiştir.

Industrial control systems (ICS) have complex communication structures with different network architectures due to their operating structure. Although secure network architecture constraints are defined by global standards, different industrial network architectures emerge due to different interpretations. Within the scope of cyber security, ICS network segmentation and extraction of communication rules between assets are important security issues supported by international standards. In this study, a method is proposed in which the network locations of the entities and the services they offer to each other are defined by matrices, independently of the preferred network architectures, and the process-based access rules on the Firewall are derived from the results obtained from the created matrices. The network architecture and assets in the CENTER [1] infrastructure were used as test scenarios for this method, which offers flexible modeling without process dependency. As a result of the developed inference method, it was determined that the architecture used in the test environment and the process-based Firewall rules matched one-to-one. In addition, the widely used Defense in Depth (DiD) strategy, the security compliance recommended by NIST 800-82, and IEC 62443 standards were also tested.