Ağ Segmentasyonu ve VLAN'lar

Ağ bölümlendirme, büyük ve düz bir ağı daha küçük, yalıtılmış bölgelere ayırır. Bölümlendirme olmadan ele geçirilen tek bir Host, ağdaki diğer tüm cihazlarla iletişim kurabilir; bu da saldırganlara içeri girdikten sonra serbestçe hareket etme olanağı verir. Bölümlendirme, en az ayrıcalık ilkesini ağ katmanında uygular: bir iş istasyonu doğrudan veritabanı sunucusuna ulaşamamalı, konuk Wi-Fi cihazı da dahili dosya paylaşımlarını hiçbir zaman görememelidir. Bölümlendirme, bir ihlalin etki alanını büyük ölçüde küçültür.

Bir VLAN (Virtual Local Area Network), fiziksel konumdan bağımsız olarak bağlantı noktalarını birlikte gruplayan ve anahtar üzerinde oluşturulan mantıksal bir ağdır. Aynı VLAN'daki cihazlar aynı fiziksel kesimdeymiş gibi iletişim kurar; farklı VLAN'lardaki cihazlar ise erişim denetimini uygulayan bir yönlendirici veya Layer 3 anahtarı üzerinden geçmeden iletişim kuramaz. VLAN'lar, bir VLAN ID (1-4094) taşıyan 802.1Q başlığı ile etiketlenir. Böylece tek bir fiziksel bağlantı (Trunk bağlantı noktası), birden çok VLAN'ın trafiğini aynı anda taşıyabilir.

VLAN'lar Katman 2'de segmentasyon sağlarken, alt ağlar Katman 3'te (IP) segmentasyon sağlar. Her VLAN genellikle kendine ait bir alt ağa karşılık gelir ve alt ağlar arasındaki yönlendirme, erişim denetim listelerini uygulayan bir güvenlik duvarı veya yönlendirici tarafından denetlenir. Böylece net bir ayrım oluşturulur: VLAN 10, kurumsal kullanıcılar için 10.10.10.0/24; VLAN 20 ise konuklar için 10.20.20.0/24 olabilir. Alt ağlar arasındaki güvenlik duvarı kuralları, IP düzeyinde hangi trafiğe izin verileceğini ve hangisinin engelleneceğini belirler.

DMZ (Demilitarized Zone) olarak da adlandırılan filtrelenmiş alt ağ, internet ile dahili ağ arasında bulunan bir ağ bölgesidir. Dışarıya açık sunucular — web sunucuları, posta sunucuları ve DNS sunucuları — DMZ'ye yerleştirilir. Böylece dış kullanıcılar, dahili sistemlere doğrudan erişmeden bu sunuculara ulaşabilir. Bir DMZ konağı ele geçirilirse dahili güvenlik duvarı, saldırganın hassas dahili kaynaklara ulaşmasını engeller. DMZ, Security+ sınavında kapsamlı biçimde test edilen kritik bir segmentasyon kavramıdır.

Mikro segmentasyon, ağ yalıtımını iş yükü düzeyine taşır ve yalnızca ağ bölgeleri arasında değil, tek tek sanal makineler, konteynerler veya uygulamalar arasında da güvenlik ilkeleri uygular. Yazılım tanımlı ağ (SDN) ve hipervizör tabanlı araçlar (VMware NSX, AWS Security Groups), donanım değişikliği gerektirmeden ilkeleri uygular. Mikro segmentasyon, sıfır güven mimarisinin temel bileşenlerinden biridir; çünkü aynı veri merkezinde veya bulut bölgesinde çalışan iş yükleri arasındaki örtük güveni ortadan kaldırır.

VLAN atlama, trafiğin yönlendiriciden geçmeden kendi VLAN'ından çıkıp başka bir VLAN'a ulaşmasını sağlayan bir saldırıdır. İki yöntem vardır: Birincisi, saldırganın NIC'sini 802.1Q trunking konuşacak şekilde yapılandırıp Switch ile trunk bağlantısı üzerinde anlaşarak tüm VLAN'lara erişim kazandığı Switch taklidi; ikincisi ise saldırganın bir çerçeveyi iki adet 802.1Q başlığıyla sararak farklı bir VLAN'a gönderilmiş gibi görünmesini sağladığı çift etiketleme yöntemidir. Savunmalar arasında dinamik trunking Protocol (DTP) özelliğini devre dışı bırakmak, erişim bağlantı noktalarını açıkça yapılandırmak ve kullanıcı trafiği için yerel VLAN'ı kullanmamak yer alır.

Ağ segmentasyonunun en uç biçimi, harici ağlarla fiziksel veya mantıksal bağlantısı olmayan bir ağ olan hava boşluğudur. Hava boşluklu sistemler, yüksek gizlilik dereceli devlet ağlarında, endüstriyel denetim sistemlerinde ve nükleer tesis denetimlerinde kullanılır. Veri aktarımı, fiziksel ortam gerektirir (USB sürücüleri, CD'ler); bu durum da başlı başına risk oluşturur (Stuxnet, hava boşluklu İran santrifüjlerine ulaşmak için USB üzerinden yayıldı). Hava boşluklu sistemlerde bile sıkı ortam yönetimi, donanımsal yazma engelleyiciler ve uç nokta koruması gibi denetimler gerekir.

NAC (Network Access Control), bir cihazın ağa alınmasına izin verilmeden önce güvenlik ilkelerini uygular. NAC sistemleri, tam ağ erişimi vermeden önce cihazın durumunu — yama düzeyini, antivirüs durumunu ve sertifikasını — kontrol eder. Denetimleri geçemeyen cihazlar, yalnızca güncelleme sunucularına erişebildikleri bir düzeltme VLAN'ında karantinaya alınır. NAC, kimlik doğrulama için 802.1X ile bütünleşir ve kullanıcı rolü ile cihaz türüne göre ilkeleri uygulamak üzere dizin hizmetleriyle iletişim kurar.

Geleneksel çevre güvenliği, dış kaynaklardan veri merkezine giren ve veri merkezinden çıkan kuzey-güney trafiğine odaklanıyordu. Modern saldırganlar, geçmişte denetimden yoksun olan ve veri merkezi veya bulut ortamındaki sunucular arasındaki yatay hareketi sağlayan doğu-batı trafiğinden yararlanır. Mikro segmentasyon ve dahili güvenlik duvarları, doğu-batı trafiğinden kaynaklanan riskleri ele alır. SIEM ilişkilendirme kuralları, bir iş istasyonunun aniden düzinelerce dahili ana bilgisayarla iletişim kurması gibi olağandışı doğu-batı bağlantı modellerini izlemelidir; bu durum bir solucana veya etkin bir saldırgana işaret edebilir.

Fiziksel altyapıyı (elektrik şebekeleri, su arıtma tesisleri ve üretim sistemleri) denetleyen ICS/SCADA ağlarının, kurumsal IT ağlarından kesin biçimde ayrılması gerekir. Purdue Modeli, field devices (Level 0) düzeyinden tesis denetimine (Level 2) ve kurumsal IT'ye (Level 4) kadar seviyeleri tanımlar; doğrudan bağlantıyı önlemek için Level 2 ile Level 3 arasında bir DMZ bulunur. NERC CIP standartları, enerji sektörü kuruluşları için bu ayrımı zorunlu kılar. Kurumsal ağdaki bir ihlal, fiziksel aktüatörleri veya sensörleri hiçbir zaman doğrudan değiştirememelidir.

Ağ segmentasyonunun nihai amacı, tek bir ele geçirmenin etki alanını — bir saldırganın tek bir segmente girdikten sonra verebileceği zararın kapsamını — en aza indirmektir. Diğer denetimlerle (uç nokta tespiti, sıkı IAM ve yama yönetimi) birlikte kullanıldığında segmentasyon, savunma derinliği oluşturur: saldırganın art arda aşması gereken birden çok bağımsız katman. Segmentasyon tek başına ilk ele geçirmeyi önlemez; ancak saldırganları yavaşlatır, tespit fırsatları oluşturur ve sınırsız yatay harekete dayanan fidye yazılımları ile solucanların etkisini sınırlar.

Bu derste ele alınan CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: VLAN'lar, yayın etki alanlarını ve yatay hareketi sınırlayan mantıksal Katman 2 segmentasyonu sağlar; bir DMZ (filtrelenmiş alt ağ), dış ve dahili güvenlik duvarları arasında dışarıya açık sunucuları yalıtır; VLAN atlama saldırıları ise dinamik trunking'i devre dışı bırakarak, yerel VLAN'ı değiştirerek ve kullanılmayan bağlantı noktalarını etkisiz bir VLAN'a atayarak önlenebilir. Sırada DoS, spoofing ve MITM gibi yaygın ağ saldırılarını inceleyeceğiz.