Yıl sonu, ağın gerçekte nasıl göründüğüne bakmak için iyi bir zaman: yıl boyunca “geçici” açılan kurallar, ayrılan personelin hesapları, kimsenin geri yüklemeyi denemediği yedekler. Bu yazı bir anlatım değil, bir denetim rehberi. Bölümler sırayla uygulanabilir; her kontrolün yanında, tamamlandığını gösterecek kanıt ve gerçek riske göre öncelik var.
Yazı yeni komut içermiyor. Üreticiye özgü yapılandırma ve doğrulama komutları, resmî kaynaklarla doğrulanmış hâlleriyle ilgili yazılarda; her bölümde o yazılara bağlantı var.
Nasıl kullanılır?
Öncelikler:
- Kritik: Doğrudan ele geçirmeye ya da geri dönülemez kayba yol açabilecek açıklar. İnternetten erişilebilen yönetim arayüzü, istismar edildiği bilinen açık, yedeğin hiç olmaması gibi. Bu hafta kapatın.
- Yüksek: İçeride yayılmayı kolaylaştıran ya da bir olayı fark etmeyi engelleyen eksikler. Bu ay kapatın.
- Planla: Mimari iyileştirmeler. Yeni yıl planına alın.
Kanıt: Bir kontrol, kanıtı kaydedildiğinde tamamlanmış sayılır: komut çıktısı, ekran görüntüsü, rapor ya da test kaydı. Kanıtları tarihli bir denetim klasöründe saklayın; bir sonraki denetim oradan başlar.
Bölümler CIS Controls v8.1 ile eşleştirildi; her bölümün başında ilgili kontroller yazıyor.
1. Envanter ve yönetim erişimi
Diğer bütün bölümler bu listeye dayanır: envanterde olmayan bir cihaz denetlenemez. Yönetim erişimi ilkeleri için CIA ve AAA, yönetim ACL’si için ACL yazısına bakın. CIS 1, 2, 4, 5, 12.
| Kontrol | Kanıt | Öncelik |
|---|---|---|
| Yönetim arayüzleri (SSH, HTTPS, SNMP) internetten erişilemiyor | Dış bir adresten yapılan port taraması ve firewall’da yönetim erişimini kısıtlayan kuralın çıktısı | Kritik |
| Varsayılan kullanıcı adı ve parola kalmadı | Cihaz bazında hesap denetimi ve varsayılan kimlik bilgilerinin değiştirildiğine dair doğrulama kaydı (kim, ne zaman, nasıl doğruladı); gerçek parolalar kanıt dosyasına yazılmaz | Kritik |
| İşten ayrılan personelin ve eski iş ortaklarının hesapları kapalı | Hesap listesinin İK listesiyle karşılaştırması | Kritik |
| Bütün ağ cihazları envanterde: model, seri no, yazılım sürümü, konum, sorumlu | Envanter ile ağda keşfedilen cihazların (NMS, LLDP, ARP) karşılaştırması; fark yok | Yüksek |
| Yönetim erişimi yalnızca yönetim ağından (10.0.99.0/24) | Yönetim ACL’si ve uygulandığı yer | Yüksek |
| Telnet, HTTP ve SNMPv1/v2c kapalı; SSHv2, HTTPS ve SNMPv3 kullanılıyor | Çalışan konfigürasyonda açık servis listesi | Yüksek |
| Yöneticiler kişisel hesapla, merkezi AAA üzerinden giriyor; yerel hesap yalnızca acil durum için | AAA yapılandırması ve yerel hesap listesi | Yüksek |
| Destekleyen platformlarda yönetici girişinde MFA | Yönetici hesabı ayarları ve test girişi | Planla |
2. Firewall
Kural tabanı yıllar içinde büyür, nadiren küçülür. Bu bölümün amacı, gerekçesini kimsenin bilmediği izinleri bulmak. Ayrıntılar: stateful firewall, segmentasyon ve DMZ, IDS ve IPS, DDoS. CIS 4, 12, 13.
| Kontrol | Kanıt | Öncelik |
|---|---|---|
Gerekçesiz veya gereğinden geniş any-any izin kuralları tespit edildi; riskli olanlar daraltıldı veya kaldırıldı; iç servisler internete gerekçesiz açılmamış |
Kural tabanının dışa aktarımı, filtrelenmiş liste ve her geniş kural için karar notu | Kritik |
| Uzun süredir hiç eşleşmeyen kurallar gözden geçirildi; silindi ya da gerekçesi yazıldı | Kural bazında eşleşme sayacı raporu ve karar notu | Yüksek |
| Üstteki geniş bir kural tarafından gölgelenen kural yok | Kural sırası incelemesi | Yüksek |
| DMZ’den iç ağa başlatılan bağlantılar yalnızca gerekçeli kurallarla | Zone’lar arası izin matrisi | Yüksek |
| İnternete açık servislerde IPS ve DoS koruması etkin; imzalar güncel | Profil atamaları ve son imza güncelleme tarihi | Yüksek |
| Her kuralın sahibi, gerekçesi ve gerekiyorsa bitiş tarihi var | Kural açıklama alanları | Planla |
3. Switch
Erişim katmanı, saldırganın içerideki ilk adımıdır. Ayrıntılar: L2 saldırıları ve switch güvenliği, ACL. CIS 4, 12.
| Kontrol | Kanıt | Öncelik |
|---|---|---|
| Kullanılmayan portlar kapalı ve kullanılmayan bir VLAN’da | Port durum listesi | Yüksek |
| Kullanıcı portları sabit access; trunk’lar müzakereyle değil konfigürasyonla; Cisco’da DTP kapalı | Trunk port listesi | Yüksek |
| Native VLAN hiçbir kullanıcı portunda kullanılmıyor; trunk’larda izinli VLAN listesi daraltılmış | Trunk ayrıntı çıktısı | Yüksek |
| Kullanıcı VLAN’larında DHCP snooping, DAI ve IP Source Guard açık; uplink güvenilir | Bağ tablosu ve DAI istatistikleri | Yüksek |
| Kullanıcı portlarında BPDU Guard; root bridge beklenen switch | STP root ve port durumu çıktısı | Yüksek |
| VLAN’lar arası ACL’ler uygulanmış ve sayaçları artıyor | ACL sayaçları | Yüksek |
| Kullanıcı portlarında MAC sınırı (port security) | Port security durumu | Planla |
4. WLAN
Kablosuz ağ binanın dışına taşar; zayıf bir ayar otoparktan istismar edilebilir. Güvenlik modlarının farkı ve SSID türüne göre seçim WPA2, WPA3 ve Enterprise Nedir? Hangi Wi-Fi Güvenliğini Seçmeliyiz? yazısında; bu bölümdeki temel ilkeler için NIST SP 800-153 (2012) ve Wi-Fi Alliance’ın WPA3 açıklamaları kaynak alındı. CIS 6, 12.
| Kontrol | Kanıt | Öncelik |
|---|---|---|
| Açık (şifresiz), WEP ya da TKIP kullanan kurumsal SSID yok | SSID güvenlik ayarları listesi | Kritik |
| Kurumsal SSID WPA3-Enterprise ya da WPA2-Enterprise (802.1X) ile | SSID ayarları | Yüksek |
| Misafir ağı iç ağa erişemiyor; misafir istemciler birbirini göremiyor | Misafir ağından iç adreslere erişim testi başarısız | Yüksek |
| İstemciler RADIUS sunucu sertifikasını doğruluyor | İstemci kablosuz profili: güvenilen CA ve sunucu adı | Yüksek |
| PSK kullanılan ağlarda (misafir, IoT) anahtar düzenli değişiyor | Son değişim tarihi | Yüksek |
| WPA3’te zorunlu olan PMF, WPA2 SSID’lerinde de mümkünse açık | SSID ayarları ve istemci uyumluluk testi | Planla |
| Sahte AP (rogue) tespiti açık ve alarmlar bir sorumluya ulaşıyor | Alarm ayarı ve son alarm kaydı | Planla |
5. VPN
İnternete açık VPN ağ geçidi, ağın en çok hedef alınan kapılarından biridir. Ayrıntılar: VPN: route-based ve policy-based IPsec. CIS 6, 12.
| Kontrol | Kanıt | Öncelik |
|---|---|---|
| Uzaktan erişim VPN’inde çok faktörlü kimlik doğrulama | Kimlik doğrulama ayarı ve test girişi | Kritik |
| Kullanılmayan tüneller ve uzaktan erişim hesapları kaldırıldı | Tünel ve hesap listesi, son kullanım tarihleri | Yüksek |
| Faz 1 ve faz 2 önerilerinde DES, 3DES, MD5, SHA-1 ve DH grup 1, 2, 5 yok | Öneri listeleri | Yüksek |
| Her tünelin PSK’sı benzersiz ve güçlü; eski iş ortaklarının tünelleri kapalı | Tünel listesi ve PSK değişim kaydı | Yüksek |
| FortiOS 7.6.3 veya sonrasına yükseltilecek FortiGate’lerde SSL VPN tünel modu IPsec’e taşındı | Geçiş planı ve test kaydı | Yüksek |
6. NAC
NAC’ın en sık görülen sorunu, “geçici olarak” monitor modda bırakılıp unutulmasıdır. Ayrıntılar: NAC: 802.1X, RADIUS ve MAB. CIS 1, 6.
| Kontrol | Kanıt | Öncelik |
|---|---|---|
| Monitor modda unutulmuş port ya da switch yok; kalanlar için tarihli geçiş planı var | Port bazında mod listesi | Yüksek |
| MAB izin listesi envanterle uyumlu; MAB ile giren cihazlarda dACL var | MAB listesi ile envanterin karşılaştırması | Yüksek |
| RADIUS yedekli; sunucuya ulaşılamazken davranış (critical VLAN) test edildi | Test tarihi ve sonucu | Yüksek |
| RADIUS sunucusu Message-Authenticator’ı zorunlu tutuyor (BlastRADIUS) | Sunucu ayarı ve paket yakalama | Yüksek |
| RADIUS ve EAP sertifikalarının bitiş tarihleri takipte | Sertifika listesi ve hatırlatma kaydı | Yüksek |
7. Loglama ve izleme
Log yoksa olay da yoktur; en azından fark edilmez. Kaynak olarak NIST SP 800-92 kullanıldı: yürürlükteki sürüm 2006 tarihli; Rev. 1 Ekim 2023’te taslak olarak yayımlandı ve hâlâ taslak. CIS 8, 13.
| Kontrol | Kanıt | Öncelik |
|---|---|---|
| Envanterdeki her cihaz merkezi log sunucusuna gönderiyor | Son 24 saatte log gelen cihaz listesi ile envanterin karşılaştırması | Yüksek |
| Bütün cihazlar aynı NTP kaynağına senkron | NTP durum çıktıları; cihazlar arası saat farkı yok | Yüksek |
| Yönetici girişleri ve konfigürasyon değişiklikleri kaydediliyor | Son değişikliğin log kaydı | Yüksek |
| Kritik olaylar (başarısız yönetici girişi, konfigürasyon değişikliği, VPN kaba kuvvet denemesi) bir sorumluya alarm olarak ulaşıyor | Gönderilen test alarmının kaydı | Yüksek |
| Saklama süresi kurumsal ve yasal gereksinime göre belirlenmiş (ör. 5651 kapsamındaki toplu kullanım sağlayıcılar) | Yazılı saklama politikası | Yüksek |
| Log sunucusunun erişimi kısıtlı ve disk kapasitesi izleniyor | Erişim listesi ve kapasite alarmı | Planla |
8. Yedekleme
Konfigürasyon yedeği, arızada ve fidye yazılımı olayında ağı geri getirmenin en hızlı yoludur, ama yalnızca geri yüklenebiliyorsa. CIS 11.
| Kontrol | Kanıt | Öncelik |
|---|---|---|
| Her ağ cihazının konfigürasyonu otomatik ve her değişiklikten sonra yedekleniyor | Cihaz bazında son yedek tarihi; yedeği olmayan cihaz yok | Kritik |
| En az bir kritik cihaz için geri yükleme test edildi | Test tarihi, cihaz ve geçen süre | Yüksek |
| Yedekler cihazdan ve üretim ağından ayrı, erişimi kısıtlı ve şifreli bir konumda | Depolama konumu ve erişim listesi | Yüksek |
| Lisanslar, sertifikalar ve paylaşılan anahtarlar (VPN PSK, RADIUS secret) güvenli bir kasada ve geri yüklenebilir | Kasa kaydı | Planla |
Yedek dosyaları parola özetlerini ve paylaşılan anahtarları içerebilir; yedeğin kendisi de korunması gereken bir varlıktır.
9. Güncelleme
Yama yönetiminde her açık aynı öncelikte değildir. CISA, istismar edildiği bilinen açıkları KEV (Known Exploited Vulnerabilities) kataloğunda listeler ve kamu kurumları dışındaki kuruluşlara da bu listedeki açıklara öncelik vermelerini önerir. CIS 2, 7.
| Kontrol | Kanıt | Öncelik |
|---|---|---|
| İnternetten erişilebilen cihazlarda (firewall, VPN ağ geçidi) KEV’de yer alan açık yok | Sürüm, üretici bülteni ve KEV karşılaştırması | Kritik |
| Bütün cihazlar üreticinin desteklediği bir sürümde; destek süresi bitmiş (EoL/EoS) cihazlar listelendi ve değişim planı var | Envanterdeki sürümler ile üreticinin yaşam döngüsü sayfası | Yüksek |
| Her üreticinin güvenlik bültenlerini (PSIRT) takip eden bir sorumlu var | Abonelik ve sorumlu kaydı | Yüksek |
| Yükseltmeden önce sürüm notları ve yükseltme yolu okunuyor; geri dönüş için yedek hazır | Değişiklik kaydı | Planla |
| Yüklenen yazılım imajlarının bütünlüğü (hash ya da imza) doğrulanıyor | Doğrulama kaydı | Planla |
İlk 10 iş
Zaman kısıtlıysa buradan başlayın. Sıra, gerçek riske göredir.
- Yönetim arayüzlerini internetten kapatın ve bunu dışarıdan yaptığınız bir taramayla doğrulayın.
- İnternete açık firewall ve VPN cihazlarını, üretici bültenine ve CISA KEV’e göre güncelleyin.
- Uzaktan erişim VPN’inde çok faktörlü kimlik doğrulamayı zorunlu yapın.
- Varsayılan parolaları, ayrılan personelin ve eski iş ortaklarının hesaplarını kapatın.
- Gerekçesiz veya gereğinden geniş
any-anyizin kurallarını tespit edin; riskli olanları daraltın ya da kaldırın, gerekçesiz internete açık servisleri kapatın. - Her cihaz için otomatik konfigürasyon yedeği alın ve en az birini geri yükleyerek test edin.
- Açık, WEP ya da TKIP kullanan kurumsal SSID bırakmayın; misafir ağını iç ağdan ayırın.
- Bütün cihazları merkezi log sunucusuna ve aynı NTP kaynağına bağlayın; bir test alarmı gönderin.
- Zayıf VPN önerilerini ve paylaşılan PSK’ları değiştirin.
- Kullanılmayan switch portlarını kapatın; kullanıcı portlarında BPDU Guard ve DHCP snooping’i açın.
Kaynaklar
- CIS Critical Security Controls v8.1
- NIST SP 800-41 Rev. 1: Guidelines on Firewalls and Firewall Policy (Eylül 2009)
- NIST SP 800-153: Guidelines for Securing Wireless Local Area Networks (Şubat 2012)
- NIST SP 800-77 Rev. 1: Guide to IPsec VPNs (Haziran 2020)
- NIST: Log management projesi; SP 800-92 (2006) ve SP 800-92 Rev. 1 taslağı (2023)
- CISA: Known Exploited Vulnerabilities Catalog
- Wi-Fi Alliance: Wi-Fi Security
- Cisco: Cisco IOS XE Hardening Guide
- Fortinet: FortiOS 7.6 Best Practices, Hardening
- Fortinet Community: Hardening best practices (Mayıs 2025)
- Huawei: S Series Switches Security Hardening Guide (V200)