Saldırganlar nadiren hedefe doğrudan girer. Önce zayıf bir noktadan içeri girerler: oltalanmış bir kullanıcı bilgisayarı, güncellenmemiş bir kamera, unutulmuş bir test sunucusu. Asıl hasar, oradan yatay hareketle kritik sistemlere ulaşıldığında başlar. Segmentasyonun amacı bu hareketi zorlaştırmak ve görünür kılmaktır.
VLAN güvenlik değildir (tek başına)
En yaygın yanlış anlama şu: “Kullanıcıları ve sunucuları ayrı VLAN’lara koyduk, segmentasyon tamam.”
VLAN’lar yayın alanlarını ayırır. Ama VLAN’lar arası yönlendirme bir L3 switch üzerinde yapılıyorsa ve arada filtre yoksa, L3 switch tüm VLAN’lar arasında trafiği serbestçe yönlendirir. Kullanıcı VLAN’ındaki ele geçirilmiş bir bilgisayar, sunucu VLAN’ındaki her porta ulaşabilir. Ortada ayrılmış gibi görünen ama birbirine tamamen açık ağlar vardır.
Segmentasyon, segmentler arası trafiğin tanımlı bir politika noktasında denetlenmesiyle başlar. Bu nokta bir firewall, L3 switch üzerindeki ACL’ler, dağıtık bir grup politikası ya da host tabanlı firewall olabilir.
Kritik koşul şu: trafik o noktadan gerçekten geçmeli. VLAN’lar arası yönlendirme core switch’te yapılıyor ve SVI’larda ACL yoksa, edge firewall’da yazdığın zone politikaları bu trafiği hiç görmez. Aynı VLAN içindeki iki cihaz da L2’de doğrudan konuşur ve hiçbir L3 politika noktasından geçmez. Politikayı yazmadan önce trafiğin izlediği yolu çiz.
VRF’ler de sık anılır ama dikkat: VRF yönlendirme alanlarını ayırır, tek başına bir güvenlik politikası değildir. VRF’ler arasında route leaking yapıldığı anda aradaki iletişimin nerede ve nasıl denetlendiği ayrıca tanımlanmalıdır. Yaygın desen, VRF’ler arası trafiği bir firewall üzerinden geçirmektir.
Segmentasyon katmanları
- Makro segmentasyon: Büyük güven alanlarını ayırmak: kullanıcılar, sunucular, DMZ, yönetim, IoT, misafir. Araçları VLAN, VRF ve firewall zone’ları.
- Mikro segmentasyon: Aynı segmentin içindeki iş yüklerini de birbirinden ayırmak. Örneğin aynı sunucu ağındaki web ve veritabanı sunucularının yalnızca gerekli portlardan konuşması. Araçları host tabanlı firewall’lar, sanallaştırma platformu politikaları ve kimlik tabanlı erişim.
Çoğu kurum için gerçekçi yol: önce makro segmentasyonu doğru kurmak, sonra kritik varlıklarda mikro segmentasyona inmek.
DMZ: internete açık olanın yeri
DMZ, internetten erişilen servislerin (web, e-posta ağ geçidi, VPN, ters proxy) iç ağdan ayrı bir segmentte durmasıdır. Mantık basit: internete açık bir sunucu er ya da geç saldırıya uğrar. Ele geçirildiğinde saldırganın iç ağa doğrudan erişimi olmamalı.
DMZ’nin kuralları:
- İnternet → DMZ: Yalnızca yayınlanan servisin portu. Web sunucusu için 443, başka hiçbir şey.
- DMZ → iç ağ: Varsayılan olarak kapalı. Gerekiyorsa (ör. web uygulamasının veritabanına erişimi) yalnızca belirli kaynaktan belirli hedefe, belirli porttan.
- İç ağ → DMZ: Yönetim için gerekli olan, yönetim segmentinden.
- DMZ → internet: Çoğu zaman sanıldığından daha az gerekir. Güncellemeler için gereken hedeflerle sınırla. Ele geçirilmiş bir sunucunun dışarıya serbestçe bağlanabilmesi, saldırganın komut-kontrol kanalı demektir.
DMZ’deki sunucuları doğrudan iç etki alanına (domain) üye yapmak, gerekli kimlik doğrulama ve yönetim akışları nedeniyle DMZ ile iç ağ arasında geniş bir trafik açar ve saldırı yüzeyini büyütür. Mümkünse bu bağımlılıktan kaçınılmalı; zorunluysa gerekli erişimler en az yetki ilkesiyle sınırlandırılmalı.
Yönetim ağını unutma
Switch, firewall ve sunucu yönetim arayüzleri kullanıcı ağından erişilebiliyorsa, segmentasyonun geri kalanı zayıflar. Yönetim arayüzleri ayrı bir yönetim segmentinde olmalı ve bu segmente yalnızca yetkili yönetici makinelerinden ya da bir atlama sunucusundan (jump host) erişilmeli.
Adım adım segment tasarımı
- Envanter çıkar. Hangi sistemler var, kim kullanıyor, ne kadar kritik?
- Akışları belirle. Hangi sistem hangi sistemle, hangi portta konuşuyor? Varsayımla değil, gözlemle: firewall logları, NetFlow, uygulama sahipleriyle görüşme.
- Akış matrisini yaz. Satırlar kaynak segment, sütunlar hedef segment, hücrelerde izin verilen servisler. Boş hücre = reddet.
- Segmentleri ve zone’ları tanımla. Benzer güven seviyesi ve benzer akışlara sahip sistemleri grupla.
- Kademeli uygula. Önce izin ver ve logla, sonra matrise uymayan trafiği incele, en son reddetmeye geç.
- İzle ve güncel tut. Yeni bir uygulama devreye girdiğinde matris de güncellenir. Güncellenmeyen matris bir yıl içinde gerçeği yansıtmaz.
Örnek bir akış matrisi:
| Kaynak \ Hedef | Sunucular | DMZ | Yönetim | İnternet |
|---|---|---|---|---|
| İnternet | Yok | Yayınlanan servis (443) | Yok | — |
| Kullanıcılar | Uygulama portları | 443 | Yok | Web proxy |
| Sunucular | Uygulama → veritabanı TCP 5432 gibi tanımlı akışlar | Yok | Yok | Güncelleme hedefleri |
| DMZ | Yalnızca uygulama backend portu (veritabanına doğrudan değil) | Yok | Yok | Sınırlı |
| Yönetim | SSH, HTTPS | SSH, HTTPS | — | Yok |
Bu matris örnek bir hedeftir, her ortama uyan hazır bir kural seti değildir. Hücrede yazmayan her akış reddedilir.
Sahada sık görülen hatalar
- “Güvenilir” zone’lar arası any-any: Kullanıcılar ile sunucular arası her şey açık, çünkü “ikisi de içeride”.
- IoT’yi kullanıcı ağına koymak: Kameralar, kartlı geçiş sistemleri ve yazıcılar en az güncellenen cihazlardır. Kendi segmentlerinde olmalı ve yalnızca kendi yönetim sunucularıyla konuşmalı.
- Misafir ağının iç ağa rotası: Misafir Wi-Fi yalnızca internete çıkmalı.
- Geçici kurallar: “Bir haftalığına açalım” denilen kuralın üç yıl sonra hâlâ orada olması.
Örnek saha senaryosu: DMZ’deki sunucu ele geçirildi
Web sunucusundaki güncellenmemiş bir eklenti üzerinden saldırgan DMZ’deki sunucuda komut çalıştırıyor. Segmentasyonun değeri bu andan sonra ortaya çıkar:
- İç ağa erişim: DMZ’den iç ağa yalnızca uygulama segmentindeki tek bir porta izin var. Saldırgan dosya paylaşımlarına, domain controller’a ya da kullanıcı bilgisayarlarına ulaşamıyor.
- Yönetim ağı: DMZ’den yönetim segmentine hiçbir akış yok. Switch ve firewall arayüzleri görünmüyor.
- Dışarıya çıkış: DMZ’den internete yalnızca güncelleme hedeflerine izin var. Saldırganın kendi sunucusuna kurmaya çalıştığı komut-kontrol bağlantısı reddediliyor ve log’a düşüyor.
- Tespit: Reddedilen akışlar, saldırganın içeride ne aradığını gösteren ilk iz olur. Matris dışı her deneme bir alarm adayıdır.
Segmentasyon saldırıyı engellemedi; ama saldırganın hareket alanını ciddi biçimde daralttı ve saldırıyı görünür kıldı. Yine de izin verilen akışlar açık bir yol olarak kalır: uygulama backend portundaki bir açık, saldırganı bir sonraki katmana taşıyabilir. Bu yüzden izin verilen trafik de IPS ve uygulama tarafındaki kontrollerle denetlenmelidir.
Üretici yaklaşımları
Makro segmentasyonun araçları (VLAN, VRF, firewall zone) her üreticide benzer. Farklılaşma, kimlik ve grup tabanlı segmentasyonda başlar.
- Huawei: VLAN ve VPN instance (VRF) ile makro segmentasyon. Kampüste iMaster NCE-Campus ile güvenlik grubu tabanlı politika (Free Mobility): politika IP’ye değil, kullanıcının grubuna bağlanır.
- Cisco: VRF-lite ile makro segmentasyon. TrustSec ile trafiğe grup etiketi (SGT) eklenir ve politika bu etiketler arasında yazılır; ISE ile birlikte çalışır.
- HPE Aruba Networking: İki yaklaşım var. Dynamic Segmentation’da kullanıcı ve cihazlar RADIUS’tan (genellikle ClearPass) gelen role göre segmentlenir; trafik GRE ile merkezi gateway kümesine tünellenip orada rol politikasıyla denetlenir. Central NetConductor ise VXLAN-GBP tabanlı dağıtık bir overlay kullanır: her pakete grup politikası etiketi eklenir ve politika ağın herhangi bir noktasında uygulanabilir.
- Fortinet: FortiGate zone’ları ve iç segmentasyon firewall’u (ISFW) yaklaşımı; FortiSwitch ve FortiNAC ile erişim katmanına kadar uzatılabilir.
Sonuç
Segmentasyon bir VLAN projesi değil, bir akış kontrolü projesidir. Başarısının ölçüsü, bir segmentin ele geçirilmesinin diğerlerine ne kadar az şey kazandırdığıdır. DMZ bu fikrin en eski ve en net uygulamasıdır: internete açık olan, iç ağdan ayrı yaşar.
Bu mantığın bir adım ötesi “hiçbir segmente varsayılan olarak güvenme” fikri, yani Zero Trust. Onu ayrı bir yazıda ele alacağız.
Segmentler arasında izin verilen trafiğin içinde de tehdit olabilir. Bu trafiği incelemek IPS’in işi; bunu IDS ve IPS yazısında anlattık.
Kaynaklar
- NIST SP 800-41 Rev. 1: Guidelines on Firewalls and Firewall Policy
- Huawei: Example for Deploying the Free Mobility Function for Users’ Physical Location Change
- Cisco TrustSec Software-Defined Segmentation
- HPE Aruba Networking: Segmentation Design (Validated Solution Guide)
- Fortinet: FortiGate Administration Guide, Zone