OPSWAT

Bir kurumsal ağda zararlı bir e-posta ekini açan kullanıcı olayı tetikler. Bir rafineride ya da üretim hattında ise farklı bir mantık geçerlidir: o ağa bağlanan tek bir bulaşık USB, durdurulamayan bir fiziksel süreci durdurabilir. Bu yüzden OPSWAT’ın ilkesi “tehdidi yakala” değil, “kanıtlanana kadar hiçbir şeye güvenme” üzerine kuruludur. Dışarıdan gelen her dosya, her taşınabilir medya ve her veri akışı, güvenilir bölgeye geçmeden önce temizlenmiş ve doğrulanmış olmak zorundadır.

Tek motora değil, katmanlara güvenmek

Tek bir antivirüs motoru, yapısı gereği tüm tehditleri göremez. MetaDefender’ın çekirdek fikri, birbirini tamamlayan inceleme katmanlarını aynı dosya üzerinde ardışık çalıştırmaktır:

• Multiscanning, dosyayı 30’dan fazla zararlı yazılım motoruyla aynı anda tarar. Tek motorun gözden kaçırdığını başka bir motorun yakalama olasılığı, kapsamı dramatik biçimde genişletir.
• Deep CDR (Content Disarm and Reconstruction), en kritik katmandır ve diğerlerinden farklı bir varsayımla çalışır: dosyayı “zararlı mı?” diye sorgulamak yerine, dosyayı bileşenlerine ayırıp makro, gömülü betik ve aktif içerik gibi zararlı olabilecek her şeyi baştan çıkarır, ardından dosyayı temiz ve kullanılabilir bir kopya olarak yeniden kurar. İmzaya bağlı olmadığı için daha önce hiç görülmemiş sıfır gün dosyalarına karşı da etkilidir.
• Proactive DLP, içeriği bu kez güvenlik değil gizlilik açısından tarar; kredi kartı, kimlik bilgisi ve gizli etiketli veriyi tespit edip ihlali engeller veya maskeler.
• Sandbox, hâlâ şüpheli kalan dosyayı izole ortamda çalıştırıp davranışını gözlemleyerek statik analizin kaçırdığını dinamik olarak açığa çıkarır.

Fiziksel sınır: medya ve tek yönlü akış

Kritik altyapıyı kurumsal güvenlikten ayıran şey, tehdidin sıklıkla ağ üzerinden değil, elle taşınarak gelmesidir. Bir bakım teknisyeninin getirdiği USB, dış ağ erişimi olmayan bir OT sistemine en olası bulaşma yoludur.

MetaDefender Kiosk, tesise giren her taşınabilir medyayı giriş noktasında zorunlu taramadan geçirir; medya ancak temizlendikten sonra ağa yaklaşabilir. Media Firewall ise aynı denetimi uç noktalardaki USB portlarına taşır.

Veri OT’den IT’ye çıkması gerektiğinde NetWall, yazılımla değil donanımla garanti edilen tek yönlü bir veri akışı (data diode) kurar. Veri yalnızca tek yönde, geri dönüşsüz biçimde akar; dışarıdan içeriye fiziksel bir yol olmadığı için OT ağı dış tehditlere kapalı kalırken raporlama ve izleme verisi güvenle dışarı taşınır. Aktarılan dosyalar Vault ve denetimli dosya transferiyle kayıt altında saklanır.

Dosyanın ötesinde: cihaz ve erişim doğrulama

Aynı “güven yok” ilkesi cihazlara da uygulanır. Bir uç nokta ağa bağlanmadan önce yama durumu, antivirüs ve disk şifrelemesi gibi güvenlik göstergeleri doğrulanır ve bu sonuç erişim kararına dahil edilir. REST API sayesinde bu kontroller web uygulamalarına, dosya yükleme akışlarına ve mevcut güvenlik araçlarına da gömülebilir.

Infosec ile

Infosec, OPSWAT MetaDefender’ı lisanslama, PoC ve devreye alma süreçleriyle konumlandırır; özellikle OT/IT sınırındaki veri geçiş mimarisinin (kiosk yerleşimi, data diode yönü, transfer politikaları) kurumun fiziksel süreçleriyle uyumlu tasarlanmasında yer alır. Kritik altyapı projelerinde doğru başlangıç genellikle en yüksek riskli giriş noktasını — çoğu zaman taşınabilir medyayı — kontrol altına almak, ardından dosya akışı ve segmentasyonu olgunlaştırmaktır.