KOBİ'ler için VLAN ve ağ segmentasyonu: Pratik rehber

Düz (flat) bir ağ neden risklidir?

Birçok küçük ve orta ölçekli işletmede tüm cihazlar tek bir ağı paylaşır: Bilgisayarlar, sunucular, yazıcılar, telefonlar, kameralar ve bazen misafir ağı bile. Bu yapı hızlı kurulur, ancak her cihazın diğer tüm cihazlara erişebilmesi anlamına gelir. Bir dizüstü bilgisayara virüs bulaşırsa veya bir kamera ele geçirilirse saldırgan oradan tüm ağı tarayabilir ve bir sonraki hedefini seçebilir.

Ağ segmentasyonu bu ağı, geçişleri kontrol altında olan ayrı bölgelere böler. Çoğu KOBİ için bu; istemciler, sunucular, misafirler, kameralar ve yönetim için ayrı VLAN'lar ile aralarında yalnızca gerekli trafiğe izin veren güvenlik duvarı kuralları anlamına gelir. Bu yapı her saldırıyı engellemez, ancak bir saldırganın veya zararlı yazılımın ne kadar yayılabileceğini sınırlar. Ayrıca ağ daha anlaşılır hale gelir ve arızalar daha hızlı analiz edilir.

VLAN nedir?

VLAN (Virtual Local Area Network, sanal yerel ağ), tek bir fiziksel ağı birden fazla mantıksal ağa böler. Temelinde IEEE 802.1Q standardı vardır: Switch'ler Ethernet çerçevelerine VLAN kimliğini içeren bir etiket (tag) ekler; böylece tek bir kablo birbirinden ayrı birden fazla ağı taşıyabilir. Uygulamada her VLAN'a kendi IP alt ağı verilir.

• Erişim portu (access port): Bilgisayar veya kamera gibi bir uç cihazı bağlar ve yalnızca bir VLAN'a aittir. Cihazın kendisi VLAN'dan haberdar değildir.
• Trunk port: Birden fazla VLAN'ı etiketli olarak taşır; genellikle switch'ler arasında, güvenlik duvarına veya kablosuz erişim noktalarına giden bağlantılarda kullanılır.
• Ayrım: Farklı VLAN'lardaki cihazlar doğrudan iletişim kuramaz. Aralarındaki trafik bir router'dan veya daha iyisi bir güvenlik duvarından geçmelidir.

Kablosuz ağda ayrı ağ adları (SSID) VLAN'lara eşlenir. Böylece misafir kablosuz ağı misafir VLAN'ına, şirket kablosuz ağı ise istemci VLAN'ına bağlanır.

KOBİ'ler için tipik ağ segmentleri

Kaç segmentin anlamlı olduğu işletmenin büyüklüğüne ve cihazlarına bağlıdır. Aşağıdaki yapı birçok ofis, muayenehane ve mağaza için iyi bir başlangıç noktasıdır; ihtiyaca göre küçültülebilir veya genişletilebilir.

Yedekleme sistemine özellikle dikkat edilmelidir. İdeal olarak ayrı bir segmentte bulunmalı veya en azından ele geçirilmiş bir istemcinin yedeklere ulaşamayacağı ve onları silemeyeceği şekilde korunmalıdır.

VLAN'lar arası yönlendirme: Kararı güvenlik duvarı verir

VLAN'lar arasındaki trafiği bir katman 3 switch veya güvenlik duvarı yönlendirebilir. Katman 3 switch hızlıdır, ancak erişim listeleri (ACL) genellikle durumsuz (stateless) çalışır ve nadiren ayrıntılı olarak kayıt altına alınır. Bu nedenle koruma ihtiyacı farklı olan bölgeler arasındaki geçişlerde yönlendirmeyi güvenlik duvarı üzerinden yapmak genellikle daha iyi bir seçimdir: Güvenlik duvarı bağlantıları durum bilgisiyle denetler, kayıt altına alır ve ek koruma işlevleri uygulayabilir. Ayrıntılar için yeni nesil güvenlik duvarı yazımıza göz atabilirsiniz.

Kurallar için temel ilke şudur: Açıkça izin verilmeyen her şey engellenir. Her kural kaynağı, hedefi ve servisi belirtir. Örneğin istemciler dosya sunucusuna SMB ile erişebilir, ancak kameralara erişemez. Kameralar görüntü akışlarını yalnızca kayıt cihazına gönderebilir ve internete çıkamaz. Ayrıntılı bir rehberi IP kameraların güvenliği yazımızda bulabilirsiniz.

802.1X ve NAC: Ağa kim bağlanabilir?

VLAN'lar ağı ayırır, ancak kimin bağlanmasına izin verildiği sorusunu yanıtlamaz. Boş bir ağ prizine dizüstü bilgisayar takan biri, o port için ayarlanmış VLAN'a düşer. 802.1X tam burada devreye girer: Switch veya erişim noktası erişim izni vermeden önce cihazın kimliğini doğrulaması gerekir.

• Çalışma şekli: Cihaz (supplicant), switch'e veya erişim noktasına (authenticator) kimliğini bildirir. Authenticator bu talebi, çoğu zaman kullanıcı dizinine bağlı olan bir RADIUS sunucusuna iletir.
• Yöntemler: Sertifika tabanlı kimlik doğrulama (EAP-TLS) özellikle sağlam kabul edilir. Kullanıcı adı ve şifreyle çalışan yöntemler (örneğin PEAP) daha kolay uygulanır, ancak cihazların RADIUS sunucusunun sertifikasını doğrulaması gerekir.
• Dinamik VLAN'lar: RADIUS sunucusu uygun VLAN'ı atayabilir. Böylece şirket dizüstü bilgisayarı istemci VLAN'ına, tanınmayan bir cihaz ise kısıtlı bir ağa düşer.
• 802.1X desteklemeyen cihazlar: Yazıcılar ve kameralar bu yöntemi çoğu zaman desteklemez ve genellikle MAC adresleriyle kabul edilir (MAB). MAC adresleri taklit edilebildiği için bu cihazlar sıkı şekilde kısıtlanmış segmentlerde yer almalıdır.

Ağ erişim kontrolü (NAC) bir adım daha ileri gider ve cihazın durumunu da kontrol edebilir; örneğin güvenlik güncellemelerinin yüklü olup olmadığını. Birçok KOBİ için kablosuz ağda ve toplantı odaları gibi açık alanlarda 802.1X kullanmak mantıklı bir ilk adımdır. Segmentasyon ve 802.1X aynı zamanda bir sıfır güven (zero trust) yaklaşımının temel yapı taşlarıdır.

Segmentasyonu adım adım uygulayın

1. Envanter çıkarın: Tüm cihazları amacı, konumu ve iletişim kurması gereken sistemlerle birlikte listeleyin.
2. Bölgeleri ve IP planını belirleyin: Segmentleri, VLAN kimliklerini ve alt ağları belirleyip anlaşılır bir tabloya kaydedin.
3. Donanımı kontrol edin: Switch'ler VLAN desteklemelidir (yönetilebilir switch). Güvenlik duvarı VLAN arayüzlerini desteklemeli ve ileride üzerinden geçecek iç trafik için yeterli kapasiteye sahip olmalıdır.
4. Basit segmentlerle başlayın: Önce misafirleri, kameraları ve IoT cihazlarını taşıyın, çünkü iletişim ihtiyaçları net ve sınırlıdır.
5. Kısıtlamadan önce kayıt alın: İstemciler ve sunucular için önce gerçekte hangi bağlantıların oluştuğunu kaydedin, ardından geniş kuralları hedefli kurallarla değiştirin.
6. Yönetimi güvenceye alın: Yönetim arayüzlerini yönetim VLAN'ına taşıyın ve erişime yalnızca belirlenmiş yönetici cihazlarından izin verin.
7. Belgeleyin ve kontrol edin: Ağ planını ve kural setini güncel tutun ve ikisini en az yılda bir kez gözden geçirin.

Böyle bir geçiş bir geri dönüş planıyla hazırlanmalı ve mesai saatleri dışında yapılmalıdır, çünkü VLAN veya DHCP yapılandırmasındaki hatalar işleri durdurabilir.

Sık yapılan hatalar ve bunlardan nasıl kaçınılır

• Her şey VLAN 1'de kalıyor: Fabrika ayarlarında genellikle tüm portlar varsayılan VLAN'a aittir. Normal iş trafiği için ayrı VLAN'lar kullanın, kullanılmayan portları boş bir VLAN'a atayın veya kapatın.
• VLAN'lar arasında any-any kuralları: Segmentler arasındaki tüm trafiğe izin veren bir kural, ayrımı ortadan kaldırır. Her kuralın net bir amacı olmalıdır.
• Her yerden erişilebilen yönetim arayüzleri: Switch, güvenlik duvarı ve erişim noktalarının giriş sayfalarına istemci veya misafir ağından erişilememelidir.
• Cihaz keşfinin unutulması: Yazıcılar ve medya cihazları çoğu zaman mDNS gibi VLAN sınırlarını aşmayan keşif protokolleri kullanır. Sabit IP adreslerini veya kontrollü bir mDNS ağ geçidini önceden planlayın.
• Dokümantasyon eksikliği: Güncel bir ağ planı olmadan bir sonraki değişiklik, kimsenin takip edemediği istisnalara yol açar.

Sonuç: Önce ayırın, sonra bilinçli olarak izin verin

Ağ segmentasyonu, saldırıların yayılmasına karşı etkili bir önlemdir ve yönetilebilir switch'ler ile uygun bir güvenlik duvarına sahip KOBİ'ler için rahatlıkla uygulanabilir. Belirleyici olan net bir bölge planı, kısıtlayıcı güvenlik duvarı kuralları ve adım adım bir geçiştir. Planlama veya uygulama konusunda destek isterseniz Q-entra, IP planından belgelenmiş kural setine kadar ağ altyapısı ve siber güvenlik alanlarında yanınızdadır.