Ağ Bölümlendirme ve Bölgeler

Ağ bölümlendirmesi, tek bir büyük ağı daha küçük ve yalıtılmış parçalara ayırır. Her cihazın diğer tüm cihazlara serbestçe erişmesi yerine, bölümler arasındaki trafik denetlenir ve filtrelenir.

Başlıca yararları güvenlik (bir bölümdeki saldırı kolayca yayılamaz), performans (bölüm başına daha az yayın trafiği) ve daha kolay yönetimdir. Bölümlendirme, sorunların ağ genelinde yayılmasına izin vermek yerine onları sınırlar.

Her şeyin birbirine bağlandığı düz ağ kullanışlı ama tehlikelidir: herhangi bir noktaya ulaşan kötü amaçlı yazılım veya saldırgan her şeye erişebilir. Bölümlendirme, bir olayın etkileyebileceği alan olan etki alanını sınırlar.

Ofis bölümündeki bir iş istasyonuna bulaşma olursa bölümlendirme, bu istasyonun sunuculara, kameralara veya bina denetimlerine doğrudan erişmesini engeller ve tespit ile müdahale için zaman kazandırır.

VLAN'ler (Sanal Yerel Ağlar), en yaygın bölümlendirme aracıdır. Tek bir anahtar, her biri kendi yayın etki alanına sahip birden çok VLAN barındırabilir; böylece aynı donanımı paylaşsalar bile personel, konuklar ve sunucular birbirinden ayrılır.

Farklı VLAN'lerdeki cihazlar doğrudan iletişim kuramaz; trafiklerinin bir yönlendiriciden veya güvenlik duvarından geçmesi gerekir. Bölümler arasındaki güvenlik kurallarını tam olarak burada uygularsınız.

Her bölüme genellikle kendi IP alt ağı atanır. Alt ağlar arasında ilerlemek için trafiğin bir yönlendiriciden veya 3. katman anahtarından geçmesi gerekir; politika uygulamak için doğal dar boğaz noktası burasıdır.

VLAN'leri alt ağlarla eşleştirip aralarındaki yönlendirmeyi denetleyerek hangi bölümlerin hangileriyle, hangi bağlantı noktaları üzerinden iletişim kurabileceğine tam olarak karar verir ve uygulanabilir sınırlar oluşturursunuz.

Ağlar genellikle farklı güven düzeylerine sahip bölgelere ayrılır:

• Güvenilir/iç: korunan kurumsal LAN.
• Güvenilmeyen/dış: internet.
• DMZ (Askerden Arındırılmış Bölge): herkese açık sunucular için kısmen güvenilir bir tampon bölge.

Güvenlik duvarları bölgelerin arasında bulunur ve trafiğin yalnızca onaylanan yönlerde ve onaylanan bağlantı noktalarında akmasını sağlar.

Bir DMZ, web ve e-posta sunucuları gibi internetten erişilmesi gereken sunucuları iç ağdan ayrı bir bölgede barındırır. Herkese açık bir sunucu ele geçirilirse saldırgan, güvenilir LAN'ın içine değil DMZ'nin içinde kalır.

Güvenlik duvarı kuralları internetin belirli bağlantı noktalarından DMZ'ye ulaşmasına izin verir, ancak DMZ'nin iç ağa bağlantı başlatmasını sıkı biçimde kısıtlar.

Mikro bölümlendirme, bu yaklaşımı uç noktaya taşır: birkaç büyük bölge yerine tek tek iş yüklerini, hatta tekil cihazları yalıtır ve her biri arasındaki trafiği denetler.

Veri merkezlerinde ve sıfır güven tasarımlarında yaygın olan bu yaklaşım, aynı alandaki iki sunucunun bile iletişim kurabilmesi için açıkça izin verilmesini gerektirir. Varsayılan olarak hiçbir şey komşularına güvenmediğinden, yanal hareketi büyük ölçüde sınırlar.

Bölümlendirmenin iki pratik yararı şunlardır: konuk Wi-Fi'sini ayrı bir bölüme yerleştirerek ziyaretçilerin internete erişmesini, ancak iç sistemlerinize hiç ulaşamamasını sağlamak ve çoğu zaman güvensiz olan kameralar ile akıllı sensörler gibi Nesnelerin İnterneti cihazlarını yalıtmak.

Bu güvenilmeyen cihazları ana ağdan uzak tutmak, saldırıya uğramış bir kameranın hassas sistemlerinize açılan bir kapıya dönüşmesini engeller.

Düzenlemeler genellikle bölümlendirmeyi zorunlu kılar. Örneğin PCI DSS (Ödeme Kartı Sektörü Veri Güvenliği Standardı), kart verilerini işleyen sistemlerin ağın geri kalanından yalıtılmasını şart koşar.

Kapsam dahilindeki sistemleri bölümlendirmek hem güvenliği artırır hem de denetçilerin incelemesi gereken alanı küçültür. Böylece uyumluluk daha basit ve daha ucuz olurken en hassas veriler korunur.

Uygulama olmadan bölümlerin tek başına hiçbir etkisi yoktur. Sınırlardaki güvenlik duvarları ve ACL'ler (Erişim Denetim Listeleri), hangi trafiğin geçebileceğine karar verir. Varsayılan davranış reddetme olmalıdır: her şeyi engelleyin, ardından yalnızca açıkça gerekenlere Permit verin.

Her bölüm sınırında uygulanan bu varsayılan reddetme yaklaşımı, ağ bölümlerini bir diyagramdaki çizgiler olmaktan çıkarıp gerçek güvenlik engellerine dönüştürür.

Bölümlendirme, sorunların sınırlı kalması için ağı VLAN'lere, alt ağlara ve güven bölgelerine ayırır. Bir DMZ herkese açık sunucuları korur, mikro bölümlendirme tek tek iş yüklerini yalıtır, konuk ve IoT ağları ise güvenilmeyen cihazları ayrı tutar. Varsayılan reddetme politikasına sahip güvenlik duvarları ve ACL'ler bu sınırları uygular ve herhangi bir saldırının ne kadar yayılabileceğini sınırlar.

Bölümlendirme bilginizi sınayın.

Bölümlendirme, saldırıları sınırlamak ve etki alanını daraltmak için bir ağı yalıtılmış parçalara ( VLAN'ler ve alt ağlar aracılığıyla) ayırır. Güvenilir, güvenilmeyen ve DMZ gibi güvenlik bölgeleri güven düzeylerini ayırırken, mikro bölümlendirme tek tek iş yüklerini yalıtır. Varsayılan reddetme kullanan güvenlik duvarları ve ACL'ler sınırları uygular ve uyumluluğa yardımcı olur.