Network Segmentasyonu Neden Önemli? VLAN’dan Firewall Politikasına Uygulamalı Rehber
Bir çalışanın bilgisayarı bordro portalına HTTPS ile erişmek zorunda. Peki aynı bilgisayar bordro veritabanına, sanallaştırma sunucusunun yönetim arayüzüne ve yedekleme konsoluna da ulaşabiliyor mu? Bu sorunun cevabı evetse, tek bir uç cihazdaki güvenlik olayı birden fazla kritik sistemi etkileyebilir.
Network segmentasyonu, ağdaki sistemleri işlevlerine ve güvenlik gereksinimlerine göre ayırır. Hangi cihazın hangi hizmete, hangi yönde ve hangi protokolle bağlanabileceğini belirler. İyi bir tasarımın sonucu sahada ölçülebilir. Çalışan bordro portalını açar. Portal veritabanına bağlanır. Çalışanın bilgisayarından veritabanına yapılan doğrudan bağlantı ise sınırdaki güvenlik politikası tarafından engellenir.
1. Segmentasyon hangi sorunları çözer?
| İhtiyaç | Sahadaki karşılığı |
|---|---|
| Yanal hareketi sınırlamak | Bir kullanıcı bilgisayarı ele geçirildiğinde o cihazdan başlatılabilecek iç ağ bağlantıları izin verilen akışlarla sınırlandırılır. |
| Yönetim erişimini korumak | Switch, firewall ve yedekleme yönetimi yalnızca yetkili yönetim ağından veya bir erişim sunucusu üzerinden açılır. |
| Olayı sınırlamak | Müdahale ekibi olayın görüldüğü segmentten başlayan bağlantıları belirli bir sınırda kısıtlayabilir ve etkilenecek hizmetleri akış matrisinden görebilir. |
| Erişimi görünür kılmak | Firewall kayıtları, trafiğin hangi sınırdan geçtiğini ve hangi kuralla işlendiğini gösterir. |
| Layer 2 etki alanını küçültmek | VLAN’lar yayın alanlarını ayırır. Paylaşılan uplink’ler bir döngü sırasında yine tıkanabileceği için STP ve port korumaları önemini korur. |
İzin verilen bir yol da kötüye kullanılabilir. Örneğin ele geçirilen bir uygulama sunucusu, uygulama katmanına tanımlanmış veritabanı erişimini kullanabilir. Bu yüzden segmentasyonu uygulama yetkilendirmesi, MFA, uç nokta izleme ve ayrı yönetim hesaplarıyla tamamlayın. CISA — Mikrosegmentasyon rehberi
2. VLAN oluşturduktan sonra paket hangi yoldan geçiyor?
VLAN bir Layer 2 yayın alanı oluşturur. IP alt ağı adreslemeyi düzenler. Güvenlik sınırını oluşturmak için segmentler arasındaki gerçek trafik yoluna bir erişim politikası uygulamak gerekir.
Örneğin kullanıcı VLAN’ının ve sunucu VLAN’ının varsayılan ağ geçidi aynı Layer 3 core switch üzerindeyse, switch iki ağı kendi üzerinde yönlendirebilir. İnternet çıkışında bulunan firewall bu iç trafiği görmeyebilir. Bu tasarımda denetimi routing yapan switch üzerinde uygun ACL ile uygulayabilir veya trafiğin firewall üzerinden geçeceği bir yönlendirme tasarımı kurabilirsiniz. Kararı trafik hacmi, denetim ihtiyacı ve yedekliliğe göre verin.
Aynı VLAN ve alt ağdaki iki uç nokta ise çoğu durumda varsayılan ağ geçidine uğramadan haberleşir. Kullanıcı bilgisayarlarının birbirine erişimini kısıtlamak gerekiyorsa host firewall, uygun port izolasyonu veya iş yükü düzeyinde politika gibi kontroller gerekir.
| Kontrol | Nerede kullanılır? | Neyi doğrulayın? |
|---|---|---|
| Switch ACL | IP ve port bazlı kuralların yönlendirme noktasında uygulanması | Kural yönü, dönüş trafiği, sayaçlar, IPv4 ve IPv6 |
| Stateful firewall | Kullanıcı, sunucu, misafir ve yönetim bölgeleri arasındaki erişim | Gidiş ve dönüş yolu, oturum takibi, eşleşen politika |
| VRF | Ayrı yönlendirme tabloları gereken ağlar | İzin verilen rota paylaşımlarının denetim noktasından geçmesi |
| NAC ve 802.1X | Ağa katılan kullanıcıya veya cihaza VLAN ya da erişim rolü atama | Atanan rol ve politikanın switch veya gateway üzerinde uygulanması |
| Host veya iş yükü politikası | Aynı alt ağdaki uçlar dahil olmak üzere sistemler arası erişim | Grup üyeliği, izin verilen akışlar ve engelleme kayıtları |
CISA — Ağ altyapısı güvenliğini güçlendirme rehberi
3. Örnek tasarım — Çalışan bordroya erişsin, veritabanı ayrı kalsın
Bu örnekte bölgeler arası trafiğin stateful firewall üzerinden geçtiğini varsayıyoruz. VLAN ve adresler temsilidir.
| Segment | Örnek alt ağ | İçerik |
|---|---|---|
| VLAN 10 | 10.10.10.0/24 | Çalışan bilgisayarları |
| VLAN 20 | 10.10.20.0/24 | Bordro uygulaması |
| VLAN 30 | 10.10.30.0/24 | Bordro veritabanı |
| VLAN 40 | 10.10.40.0/24 | Misafir Wi-Fi |
| VLAN 50 | 10.10.50.0/24 | Switch ve firewall yönetimi |
| Kaynak | Hedef | Servis ve karar |
|---|---|---|
| Çalışan ağı | Bordro portalı | Yalnızca TCP 443’e izin ver |
| Bordro uygulama sunucusu | Bordro veritabanı | Yalnızca yapılandırılmış veritabanı portuna izin ver |
| Yetkili yönetim sunucusu | Altyapı yönetim adresleri | Gerekli yönetim protokollerine izin ver ve kaydet |
| Çalışan ağı | Veritabanı ve yönetim ağları | Engelle ve izle |
| Misafir ağı | İnternet ve belirlenmiş misafir servisleri | Gereken servisleri aç, kurumsal ağlara erişimi engelle |
Kimlik doğrulama, DNS, DHCP veya DHCP relay, NTP, izleme ve yedekleme akışlarını ayrı kaydedin. Her kuralın bir iş gerekçesi ve sahibi olsun. Stateful firewall, izin verilen oturumun dönüş paketlerini aynı oturum kapsamında işler. Sunucunun ters yönde yeni bir bağlantı başlatması ayrı bir akıştır.
Uygulamalı videolar
Örnek VLAN planını cihaz üzerinde nasıl uygulayacağınızı Firewall Destek Merkezi’nin iki videosuyla takip edebilirsiniz.
- Aruba 6300F ve FortiGate üzerinde VLAN yapısının adım adım kurulumu. FortiGate ve Aruba Switch ile VLAN Kurulumu ve Segmentasyon
- FortiGate ile Aruba switch yapılandırmasını birlikte görmek isteyenler için kurumsal ağ örneği. Kurumsal Ağ Güvenliği Nasıl Kurulur?
4. Mevcut ağı adım adım segmentlere ayırın
- Mevcut yolu çıkarın. VLAN’ları, varsayılan ağ geçitlerini, routing noktalarını, VPN girişlerini ve yönetim adreslerini kaydedin. İki uç arasındaki paket yolunu doğrulayın.
- Bağımlılıkları ölçün. Trafik loglarını uygulama dokümanlarıyla karşılaştırın. Ay sonu işleri, yedekleme, güncelleme ve felaket kurtarma akışlarını da örnekleyin.
- Akış matrisini hizmet sahibiyle doğrulayın. Kaynak, hedef, servis, yön, gerekçe ve loglama kararını yazın. Geçici istisnaya bitiş tarihi belirleyin.
- Pilot uygulayın. Önce tek uygulama veya kullanıcı grubu seçin. Bakım penceresinde gerekli izinleri tanımlayın, diğer yeni bağlantıları varsayılan olarak engelleyin ve geri dönüş adımını hazır tutun.
- Hem izinleri hem engelleri test edin. Temsilî istemcilerden yeni bağlantı başlatın. Sonucu doğru cihazdaki policy kaydıyla eşleştirin. Yedek cihaz ya da rota devreye girdiğinde aynı kontrolleri tekrarlayın.
5. Devreye alma testleri
| Test | Beklenen sonuç | Kanıt |
|---|---|---|
| Çalışan bordro portalına oturum açar | Başarılı | İstemci sonucu, uygulama kaydı ve firewall policy eşleşmesi |
| Uygulama veritabanına yeni bağlantı açar | Başarılı | Uygulama ile veritabanı kaydı ve doğru policy |
| Çalışan bilgisayarı doğrudan veritabanı portuna bağlanır | Engellenir | İstemcide başarısız test ve sınırdaki deny kaydı |
| Misafir cihazı switch yönetimine bağlanır | Engellenir | Misafir ağı testi ve politika kaydı |
| Yetkili yönetici erişim sunucusu üzerinden switch’e bağlanır | Başarılı ve kayıtlı | Yönetim sunucusu ve cihaz erişim kayıtları |
Bir testin zaman aşımına uğraması, firewall’un onu engellediğini tek başına göstermez. Eksik rota, DNS hatası veya dinlemeyen bir servis de aynı belirtiyi üretebilir. Önce testin doğru IP ve porta gittiğini, ardından ilgili politika sayacının veya log kaydının arttığını doğrulayın. İzinli akışta TCP oturumu kuruluyorsa uygulama işlemini de tamamlayarak test edin.
6. IT ve OT ağlarında segmentasyon
Üretim ağında PLC, SCADA, operatör istasyonları ve kurumsal IT sistemleri farklı erişim ve süreklilik gereksinimlerine sahiptir. Kurumsal IT ile üretim arasında veri alışverişi gerekiyorsa endüstriyel DMZ üzerinden, örneğin onaylı bir historian replikası veya erişim sunucusu kullanılarak tasarlanabilir. Bağlantıyı kimin başlattığını, nerede sonlandığını ve hangi protokollere gereksinim duyduğunu üretim ekibiyle kaydedin. Uzaktan bakım erişimini yetkilendirin, süreyle sınırlayın ve kayda alın. Kesinti toleransı ve geri dönüş planı, üretim değişikliklerinden önce doğrulanmalıdır. NIST SP 800-82 Rev. 3
7. Segmentasyon ve Zero Trust
Segmentasyon erişilebilir ağ yollarını sınırlar. Zero Trust yaklaşımı, belirli bir kaynak için kullanıcıyı, cihazı ve erişim bağlamını da değerlendirir. Kurumsal VLAN’da bulunmak veya VPN’e bağlanmak tek başına erişim yetkisi vermez. Örneğin kullanıcı portalın TCP 443 portuna ulaşabilirken uygulama oturumu yine kimlik doğrulaması ve rol kontrolü gerektirir. NIST SP 800-207
İlk uygulama için sahibi ve bağımlılıkları belli bir iş hizmeti seçin. Uygulamaya, veritabanına ve yönetim arayüzüne kimlerin erişmesi gerektiğini yazın. Ardından bu kararların ağda uygulandığını hem başarılı hem engellenen bağlantılarla kanıtlayın.