ICS Fidye Yazılımı ve APT Tehditleri

SaldırıYaşam Döngüsü, Yanal Hareket ve Yapay Zeka Destekli Savunma
Hydrowise Yapay Zeka Destekli Hidroelektrik Santral Yönetim Sistemi
Renewasoft | 2026

Seviye: İleri   Hedef Kitle: SCADA Mühendisi, HES İşletmecisi, CTO, Altyapı Yatırımcısı

Giriş: Fidyenin Ötesinde — Endüstriyel Kontrol Sistemlerinde Sessiz Savaş

2021 yılında Colonial Pipeline saldırısı, ABD’nin doğu yakasında 6 günlük yakıt krizine neden olduğunda dünya, kritik altyapıya yönelik fidye yazılımı tehditlerinin boyutunu somut olarak deneyimledi^[2]. Ancak bu olay, buzdağının yalnızca görünen kısmıydı. Perde arkasında ulus-devlet destekli İleri Kalıcı Tehditler (APT), enerji altyapılarının derinliklerinde aylarca — bazen yıllarca — gizlenerek kesif yapıyor, kontrol mantığını analiz ediyor ve stratejik an için bekliyordu^[11].

Hidroelektrik santraller (HES), bu tehdit manzarasında özellikle kritik bir konumdadır. Bir HES’in SCADA sistemi ele geçirildiğinde sonuçlar veri kaybının çok ötesine geçer: kontrolsüz kapı operasyonları, türbin aşırı hız olayları, baraj güvenliği ihlalleri ve kademeli şebeke arızaları gibi kinetik ve çevresel felaketler söz konusudur. Dragos’un 2023 raporuna göre, enerji sektörü ICS tehdit gruplarının en çok hedef aldığı sektör olmaya devam etmektedir^[3].

Bu yazı, endüstriyel kontrol sistemlerine yönelik fidye yazılımı ve APT tehditlerini saldırı yasam döngüsü (kill chain) perspektifinden analiz etmekte^[6], yanal hareket mekanizmalarını HES mimarisine özgü risklerle eşleştirmekte ve Renewasoft’un Hydrowise platformunun yapay zeka destekli anomali tespiti, adaptif segmentasyon ve uçtan uca dijital enerji yönetimi ile bu tehditlere nasıl yanıt verdiğini detaylandırmaktadır^[13].

Hydrowise yalnızca bir siber güvenlik çözümü değildir — SCADA ve IoT sensörlerinden gerçek zamanlı veri toplayarak üretim tahminleri, kestirimci bakim senaryoları, su debisi öngörüler ve EPİAŞ pazar entegrasyonu sunan uçtan uca dijital enerji yönetim platformudur^[13].

► https://renewasoft.com.tr/index.php/tr/hizmetimiz/

Kavramlar 101: Temel Terminoloji

Bu yazıdaki teknik terimleri anlamak için temel referans tablosu:

Tablo 1: ICS Siber Güvenlik Temel Terminolojisi

Özet (TL;DR) — Yönetici Özeti

1. ICS altyapilari cifte tehdit altindadir: ulus-devlet destekli APT kampanyalari uzun vadeli sabotaj hedeflerken, fidye yazilimi gruplari anlik finansal kazanc icin operasyonel kesinti yaratir^[3][11].
2. Saldiri yasam dongusu (kill chain) cok asamalidir: IT agi penetrasyonu → yanal hareket → OT kesfi → ICS silah dagitimy → kinetik etki. Ortalama bekletilme suresi APT icin 21 gun, fidye yazilimi icin 5 gundur^[6][11].
3. Yanal hareket HES’ler icin en kritik risk vektorudur: duz ag topolojileri ve DMZ eksikligi, saldirganların IT’den OT’ye gecisini kolaylastirir^[4].
4. Erken tespit is sureklilignin anahtaridir: yapay zeka tabanli davranissal analiz, geleneksel imza tabanli tespitte gorunmez kalan APT gizliligini kirabilir^[13].
5. Hydrowise uctan uca dijital enerji yonetim platformu olarak; DPI, ML anomali tespiti ve adaptif segmentasyonun yanı sira uretim tahmini, kestirimci bakim ve EPİAŞ entegrasyonu ile hem guvenliği hem operasyonel verimliligi maksimize eder^[13].

ICS ve OT Dunyasinda Paradigma Degisimi

ICS Nedir ve Neden Farklidir?

Endustriyel Kontrol Sistemleri (ICS), elektrik uretiminden su yonetimine, petrokimyadan ulasima kadar fiziksel surecleri izleyen ve kontrol eden sistemlerin tumunu kapsar. SCADA, PLC, RTU, HMI ve DCS gibi bilesenlerden olusan bu sistemler, IT dunyasindan temel olarak farklidir: oncelik siralaması kullanilabilirlik → butunluk → gizlilik seklindedir (IT’de tam tersi). Bir PLC’nin 10ms’lik kontrol dongusu gecikmeye tahammul edemez; bir HMI’in anlik gorunurluk kaybi operator icin kor ucus demektir^[8].

Purdue Modeli (ISA-95/IEC 62443), bu IT/OT ayrimini bes katmanli bir referans mimarisyle tanimlar: Level 0 (fiziksel surec), Level 1 (PLC/RTU), Level 2 (HMI/SCADA), Level 3 (site operasyonlari), Level 3.5 (DMZ) ve Level 4-5 (kurumsal IT/internet)^[8]. Bu katmanlar arasindaki gecisler, saldiri yasam dongusunun kritik dugum noktalaridir.

APT ve Fidye Yazilimi: Iki Farkli Tehdit Modeli

ICS altyapilarinа yonelik siber tehditleri anlamak icin iki temel saldiri paradigmasini ayirt etmek gerekir:

Infografik 1: APT ve Fidye Yazilimi Tehdit Karsılastirmasi — HES/ICS Perspektifi [3][5][11]

Tablo 2: APT ve Fidye Yazilimi Tehdit Karsılastirmasi [3][5][11]

Saldiri Yasam Dongusu: ICS Kill Chain

SANS Enstitusu’nun ICS Cyber Kill Chain modeli^[6], endustriyel kontrol sistemlerine yonelik saldiriları iki asamali bir cercevede tanimlar: (1) IT agi penetrasyonu ve yerlesme, (2) OT agina gecis ve ICS silah dagitimy. Bu model, MITRE ATT&CK for ICS^[4] teknik siniflandirmasiyla birlestirildiginde, hem saldirinin her asamasini hem de savunma firsatlarini somut olarak haritalamak mumkun hale gelir.

Infografik 2: ICS Siber Saldiri Kill Chain — SANS Modeli [6] + MITRE ATT&CK for ICS [4] + Hydrowise Tespit Noktalari

Tablo 3: ICS Kill Chain Asamalari — HES Baglami [4][6]

Yanal Hareket ve Operasyonel Durus Riski

Saldiri Yuzeyi Haritalama: HES’lerdeki Zayif Noktalar

Kill chain’in en kritik ve en savunulabilir asamasi yanal harekettir. Bir saldirgan IT aginda ilk erisimi elde ettikten sonra, OT agina ulasmak icin birden fazla ag sinirini gecmek zorundadir — eger bu sinirlar dogru uygulanmissa^[7]. Ancak bircok HES kurulumunda bu sinirlar fiilen mevcut degildir:

Is Surekliligi ve Felaket Senaryosu

Basarili bir yanal hareket sonrasi OT agina ulasan saldirganin yaratabilecegi felaket senaryolari:

                                                         Tablo 4: OT Agina Ulasan Saldirganin Felaket Senaryolari [1][2][5]

Savunma Katmanlari: Erken Tespit ve Zero Trust

Anomali Analizi ile APT Gizliligini Kirmak

APT saldiriları, imza tabanli guvenlik araclari atlatmak uzere tasarlanmistir — bilinen kotu yazilim imzalarini kullanmaz, mesru araclari (living-off-the-land) tercih eder ve normal trafik paternlerini taklit eder. Bu nedenle geleneksel antivirus ve firewall katmanlari yetersiz kalir^[4].

Etkili bir savunma stratejisi, davranissal anomali analizi uzerine kurulmalidir: her cihazin, her protokolun ve her surec degiskeninin ‘normal’ davranisini ogrenen bir ML modeli, sapmalari — ne kadar kucuk olursa olsun — tespit edebilir^[13]. NIST SP 800-207 Zero Trust mimarisi^[7] bu yaklasimin cercevesini olusturur: ‘Asla Guvenme, Her Zaman Dogrula.’

► NIST SP 800-207 Zero Trust Architecture → https://csrc.nist.gov/pubs/sp/800/207/final
► MITRE ATT&CK for ICS → https://attack.mitre.org/techniques/ics/

Tablo 5: Savunma Katmanlarinin APT ve Fidye Yazilimina Karsi Etkinligi [7][8][13]

Teknik Risk Skorlama Modeli

APT ve fidye yazilimi tehditlerinin HES’e ozgu riskini olcmek icin FAIR metodolojisi^[9] uyarlanmistir. IEC 62443-3-2^[8] ve NERC CIP^[10] uyumludur.

Senaryo Karsılastirmasi: APT vs Fidye Yazilimi

               Tablo 8: APT ve Fidye Yazilimi Risk Puanlama Karsılastirmasi [9]

Hydrowise: Uctan Uca Dijital Enerji Yonetim Platformu

Platform Genel Bakisi

Hydrowise, hidroelektrik santraller icin uctan uca dijital donusumu saglamak uzere tasarlanmis yapay zeka destekli bir enerji yonetim platformudur. SCADA ve IoT sensorlerinden gercek zamanli veri toplayarak santral performansini surekli izler ve tum kritik operasyonel parametreler uzerinde guvenilir gorunurluk saglar^[13].

Siber guvenlik, bu kapsamli platformun kritik bir bileşenidir. Kurumsal IT guvenlik araclari OT’ye uyarlamak yerine — bu araclar gecikme ekler, yanlis pozitifler uretir ve ICS protokol gorunurlugunden yoksundur — Hydrowise, hem APT gizliligini kiran hem de fidye yazilimi yayilimini durduran amaca yonelik bir guvenlik katmani saglar^[13].

3Adimda Nasil Calisir?

Tablo 6: Hydrowise — 3 Adimda Nasil Calisir [13]

Vaka Analizi: 200 MW HES Uzerinde APT + Fidye Yazilimi Hibrit Saldiri Simulasyonu

Asagidaki senaryo, dort adet 50 MW Francis turbin-jenerator unitesine sahip kurgusal bir 200 MW depolamali HES (“Santral Alfa”) uzerinde ulus-devlet APT kampanyasini takip eden firsatci fidye yazilimi saldirisini modellemektedir. Santral Siemens S7-1500 PLC’ler, Modbus TCP ve OPC UA gateway kullanmaktadir^[4].

Tablo 9: Hibrit APT + Fidye Yazilimi Saldiri Zaman Cizelgesi [4][13]

Bu senaryo, APT kesif asamasinin fidye yazilimi dagitimini kolaylastirdigi hibrit bir saldiri modelini gostermektedir. Hydrowise’in DPI motoru G3’te yanal hareket trafiğini, ML modeli G7’de baseline disi PLC iletisimini tespit ederdi. G14’te fidye dagitimy basladiginda adaptif segmentasyon etkilenen zone’u saniyeler icinde izole ederken, enerji yonetim katmani kalan unitelerin yuk dagılımini otomatik olarak yeniden hesaplar ve EPİAŞ bildirimlerini gunceller^[13].

Ayrica Hydrowise’in enerji yonetim katmani, saldiri sonrasi toparlanma surecinde de kritik deger sunar: kalan uc unitenin optimum yuk dagılımini otomatik olarak yeniden hesaplar (3 x 50 MW), EPİAŞ pazar bildirimleri icin uretim kapasitesini gunceller ve kestirimci bakim modulu plansiz duraklatma surelerini minimize eder^[13]. Boylece guvenlik olayinin finansal etkisi yalnizca tespit ile degil, entegre enerji yonetimi zekasi ile de azaltilir.

Teknik Derinlemesine İnceleme

S1: APT ile fidye yazilimi arasindaki temel fark HES guvenligi acisindan nedir?
APT ulus-devlet destekli, uzun vadeli ve gizli sabotaj kampanyalaridir (mediyan 21 gun bekletilme); fiziksel hasar hedefler. Fidye yazilimi finansal motivasyonlu, hizli ve gurultüludur; operasyonel kesinti yaratarak fidye talep eder. HES’ler her ikisine karsi farkli savunma katmanlarina ihtiyac duyar^[3][11].

S2: Hydrowise, APT’nin normal trafik taklitini nasil tespit eder?
30 gunluk baseline ile her cihaz, protokol ve surec degiskeni icin ‘normal’ davranisi ogrenen ML modeli. APT trafigi mesru gorunse de, mikro-duzeyde frekans, timing ve korelasyon sapmalari tespit edilir^[13].

S3: Kill chain’in hangi asamasinda Hydrowise en etkilidir?
Asama 3 (Yanal Hareket) ve Asama 5 (ICS Silah Dagitimy). DPI ile yanal hareket trafigi, ML ile OT kesif aktiviteleri, adaptif segmentasyon ile fidye yayilimi durdurulur^[4][13].

S4: Fidye yazilimi HMI/SCADA’yi sifrelerse santral nasil calismaya devam eder?
Hydrowise, etkilenen zone’u izole eder ve saglamunitelerin yuk dagılımini otomatik yeniden hesaplar. EPİAŞ pazar bildirimleri guncellenir. Kestirimci bakim modulu toparlanma surecini optimize eder^[13].

S5: Colonial Pipeline benzeri bir saldiri HES’te ne etkisi yaratir?
Colonial’de IT sifrelemesi OT operasyonlarinin onlem olarak durdurulmasina neden oldu. Bir HES’te ayni senaryo: SCADA gorunurluk kaybi → manuel operasyon → uretim kaybi (~$18K/saat) → EPİAŞ dengesizlik cezasi. Hydrowise’in IT/OT segmentasyonu bu domino etkisini onler^[2][13].

S6: Stuxnet benzeri PLC logic manipulasyonuna karsi savunma nedir?
Cift katmanli tespit: (1) Ag — PLC programlama oturumlari (S7comm yazma) DPI ile tespit ve degisiklik yonetimi kayitlariyla korelasyon^[4]. (2) Surec — davranissal model, PLC logic degisikliginin downstream etkisini (turbin hiz sapması, sicaklik trendi) tespit eder^[13].

S7: Bekletilme suresini (dwell time) nasil minimize edersiniz?
Hydrowise MTTD: ag anomalileri <4sn, surec anomalileri <15sn. Sektor mediyani: APT 21 gun, fidye 5 gun. ML tabanli surekli izleme, bekletilme suresini saniye mertebesine dusuror^[11][13].

S8: Hangi uyumluluk cercevaleri desteklenir?
IEC 62443^[8], NIST CSF 2.0^[12], NERC CIP^[10], AB NIS2 Direktifi, ISO/IEC 27001 Ek A. Otomatik uyumluluk raporlari — her kontrol Hydrowise telemetrisi ve olay kayitlarina baglanir^{[8][10][12][13]}.

S9: EPİAŞ pazar entegrasyonu siber guvenlik olaylarinda nasil calisir?
Saldiri sirasinda Hydrowise kalan uretim kapasitesini otomatik hesaplar, GOP/GIP bildirimlerini gunceller ve dengesizlik riski analizi yapar. Siber guvenlik katmani pazar verisi kanallarinin butunlugunu de korur^[13].

S10: Kurulum suresi ve surec nasildir?
Asamali: Hf 1-2 (Saha degerlendirmesi + TAP kurulumu) → Hf 3-6 (Pasif izleme + baseline) → Hf 7-8 (Model dogrulama + YP ayarlama) → Hf 9-10 (Aktif uygulama + egitim). Toplam: ~10 hafta, uretimde sifir kesinti^[13].

Sonuç ve Eylem Çağrısı

Endustriyel kontrol sistemlerine yonelik fidye yazilimi ve APT tehditleri, HES operatorleri icin artik teorik senaryolar degil — gerceklesmis ve tekrarlanan saldirilardir. Stuxnet fiziksel yikimin mumkun oldugunu, Colonial Pipeline IT/OT bagimliliginin kritik altyapiyi felc edebilecegini, TRITON ise saldirganların son guvenlik hattini bile hedef alacagini kanitlamistir.

Hydrowise bu tehditlere uctan uca dijital enerji yonetim platformu olarak yanit verir: DPI ile yanal hareket trafiğini durduran, ML davranissal analiz ile APT gizliligini kiran, adaptif segmentasyon ile fidye yayilimini sinirlandiran ve tum bunlari uretim tahmini, kestirimci bakim ve EPİAŞ pazar entegrasyonu ile birlestiren butunlesik bir yaklasim^[13]. Sonuc: HES’ler hem siber direnclilik hem operasyonel verimlilik kazanir.