Mikro Bölümlendirme ve Yazılım Tanımlı Çevreler

Düz bir ağda saldırgan bir uç noktaya erişim sağladığında diğer sistemlerin neredeyse tamamıyla serbestçe iletişim kurabilir. Bu durum, saldırganların ele geçirilmiş bir iş istasyonundan hassas sunuculara, etki alanı denetleyicilerine ve veri depolarına geçmek için kullandığı teknik olan hızlı yanal hareketi mümkün kılar. Mikro segmentasyon, ağı küçük ve yalıtılmış bölgelere ayırarak bu sorunu doğrudan ele alır.

Mikro segmentasyon, iş yüklerinin yalnızca açıkça yetkilendirilmiş eşlerle iletişim kurduğu, ayrıntılı bölümlere ayrılmış ağlar oluşturur. Daha kaba düzeyde bölümlendirme yapan geleneksel VLAN'ların aksine mikro segmentasyon, Policy'leri iş yükü veya uygulama düzeyinde, hatta çoğu zaman tek tek kapsayıcılara veya sanal makinelere kadar uygular. Trafik varsayılan olarak reddedilir ve yalnızca izin verilen akışlara açıkça izin verilir.

Ağ trafiği iki yönde akar. Kuzey-güney trafiği, kullanıcılar/internet ile iç kaynaklar arasında akar (dikey). Doğu-batı trafiği, veri merkezinin içindeki iş yükleri arasında akar (yatay). Geleneksel güvenlik duvarları öncelikle kuzey-güney trafiğini inceler. Mikro segmentasyon, ilk ihlalden sonra saldırganların iç sistemler arasında ilerlemek için kullandığı yol olan doğu-batı trafiğine odaklanır.

Software-Defined Networking (SDN), denetim düzlemini (trafiğin nereye gideceğine ilişkin kararlar) veri düzleminden (paketlerin fiilen iletilmesi) ayırır. Merkezi bir SDN denetleyicisi, iletim kurallarıyla ağ cihazlarını programlar; böylece fiziksel anahtarları yeniden yapılandırmadan yazılım üzerinden mikro segmentasyon uygulanabilir. Bu sayede büyük ortamlarda Policy değişiklikleri hızlı, tutarlı ve denetlenebilir olur.

Software-Defined Perimeter (SDP), ağ kaynaklarını varsayılan olarak görünmez kılar; bu kaynaklar kimlik doğrulaması yapılmamış bağlantı denemelerine yanıt vermez. Kullanıcılar önce bir SDP denetleyicisinde kimlik doğrulaması yapar. Denetleyici kimliği ve cihaz durumunu kontrol ettikten sonra yalnızca kullanıcının erişim yetkisi bulunan belirli kaynaklara şifreli bir tünel oluşturur. Bu, ağ düzeyindeki keşfi ve yanal hareket yollarını ortadan kaldırır.

Zero Trust Network Access (ZTNA), SDP kavramlarını uygulayan ürün kategorisidir. Geniş ağ erişimi sağlayan VPN'in aksine ZTNA, yalnızca belirli uygulamalara erişim verir. Kullanıcı, kimliği ve cihazı doğrulayan bir ZTNA aracısına bağlanır; aracı daha sonra bağlantıları hedef uygulamaya vekil olarak iletir. Yaygın uygulamalar arasında Cloudflare Access, Zscaler Private Access ve Palo Alto Prisma Access bulunur.

Bulut platformları yerel mikro segmentasyon araçları sunar. AWS Security Groups, her EC2 örneği için hassas gelen ve giden kurallara izin verir. Azure NSGs (Network Security Groups), alt ağ veya NIC düzeyinde uygulanır. Google VPC Firewall Rules, etiketlerle sınırlandırılabilir. Bunların tümü örtük reddetme modeliyle çalışır; yalnızca açıkça izin verilen trafik akışlarına izin verilir. Bu nedenle bulut ortamlarında mikro segmentasyon için doğal yapı taşlarıdır.

Kapsayıcılaştırılmış ortamlarda Istio ve Linkerd gibi hizmet ağları, bölmeler arasındaki karşılıklı TLS (mTLS) aracılığıyla mikro segmentasyon uygular. Her hizmetler arası çağrının kimliği doğrulanır ve çağrı şifrelenir; yetkilendirme Policy'leri hangi hizmetlerin iletişim kurabileceğini açıkça tanımlar. Bu, Zero Trust'ın doğu-batı denetimlerini Kubernetes kümelerindeki tek tek mikro hizmetlere kadar genişletir.

Geleneksel ağ bölümlendirme, geniş güvenlik bölgeleri oluşturmak için VLAN'ları, DMZ'leri ve alt ağları kullanır. Mikro segmentasyon çok daha ayrıntılıdır; Policy'ler alt ağ düzeyinde değil, iş yükü veya işlem düzeyinde uygulanır. Bir VLAN, iletişim kurmasına güvenilen 50 sunucu içerebilir; mikro segmentasyon ise bu VLAN'daki yalnızca belirli sunucuların belirli eşlerdeki belirli bağlantı noktalarına ulaşabilmesini sağlayarak yanal hareket yollarını büyük ölçüde azaltır.

Etkili mikro segmentasyon, Policy'ler uygulanmadan önce mevcut ağ akışlarına ilişkin kapsamlı görünürlük gerektirir. Keşif araçları, iş yükleri arasındaki gerçek iletişim modellerini haritalar. Yaygın bir yaklaşım, önce izleme modunda dağıtım yapmaktır: tüm trafik gözlemlenir ve önerilen Policy'ler oluşturulur; ardından yetkisiz akışları reddetmek için uygulama moduna geçilir. Bu yöntem, dağıtım sırasında meşru trafiğin yanlışlıkla engellenmesini önler.

Mikro segmentasyonun birincil güvenlik faydası, etki alanını azaltmaktır. Saldırgan satış VLAN'ındaki bir iş istasyonunu ele geçirirse mikro segmentasyon Policy'leri bu iş istasyonunun finans veritabanı, HR sistemi veya etki alanı denetleyicileriyle iletişim kurmasını engeller. Saldırgan, erişim sağladığı bölümde yalıtılmış kalır; böylece olayın geniş çaplı hasar oluşmadan önce kontrol altına alınması ve düzeltilmesi kolaylaşır.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: mikro segmentasyon, ağları iş yükü düzeyinde böler ve yanal hareketi sınırlar; yazılım tanımlı çevreler, kimlik doğrulanana kadar kaynakları görünmez kılar; ZTNA, VPN'lerin yerini alır ve ağ düzeyinde erişim yerine uygulama düzeyinde erişim sağlar. Sırada, koşullu erişim politikaları aracılığıyla kimliğin yeni çevre hâline gelmesini inceleyeceğiz.