Ağ güvenliği yazılımla değil, fiziksel katmanla — kabloyla — başlar. Gerçek güvenlik, fiziksel korumadan segmentasyona, erişim kontrolünden izlemeye uzanan katmanlı bir bütündür. Bu rehberde ağ güvenliğinin temellerini, katmanlı savunmayı ve en sık açıkları anlatıyoruz.
Ağ güvenliği denince çoğu kişinin aklına yazılım, firewall ve şifreler gelir. Ama gerçek ağ güvenliği çok daha geniştir ve beklenmedik bir yerden başlar: fiziksel katmandan, yani kablodan. Bir ağı korumak, onu yetkisiz erişime, saldırılara, veri sızıntısına ve kötüye kullanıma karşı savunmaktır — ve bu savunma, fiziksel kablolamadan başlayıp yazılım yapılandırmasına kadar uzanan katmanlı bir bütündür. Bu rehberde ağ güvenliğinin temellerini, neden fiziksel katmandan başladığını ve katmanlı savunma yaklaşımını anlatıyoruz. Ağ segmentasyonunun temeli için LAN, WAN, VLAN yazımıza bakabilirsiniz.
En gelişmiş yazılım güvenliği bile, fiziksel güvenlik zayıfsa anlamını yitirir. Düşünün: bir saldırgan, boş bir toplantı odasındaki açık bir ethernet prizine cihazını takabiliyorsa, ağınıza doğrudan girmiş demektir. Ya da kilitsiz bir kabinete erişip bir switch’e müdahale edebiliyorsa, tüm yazılım önlemleri devre dışı kalır. Bu yüzden ağ güvenliği fiziksel katmandan başlar:
Fiziksel güvenlik için Sunucu Odası Tasarımı yazımıza bakın.
Ağ güvenliğini anlamak için, neyi koruduğumuzu netleştirmek faydalı. Bilgi güvenliğinin üç temel hedefi vardır ve bunlar ağ güvenliğinin de pusulasıdır. Birincisi gizlilik: verilere yalnızca yetkili kişilerin erişebilmesi. Bir saldırganın hassas verileri okuyamaması, bir misafirin kurumsal sistemlere ulaşamaması bu hedefe girer. İkincisi bütünlük: verilerin yetkisiz biçimde değiştirilmemesi. Bir saldırganın verileri bozmaması, kayıtların güvenilir kalması anlamına gelir. Üçüncüsü erişilebilirlik: sistemlerin yetkili kullanıcılar için çalışır durumda olması. Bir saldırının veya arızanın hizmeti durdurmaması bu hedeftir. Bu üç hedef — gizlilik, bütünlük, erişilebilirlik — her güvenlik kararının arkasındaki mantığı oluşturur. Örneğin segmentasyon gizliliği ve erişilebilirliği korur (bir bölümün sorunu diğerini etkilemez); yedeklilik erişilebilirliği güvence altına alır; şifreleme gizliliği sağlar. Bir güvenlik önlemi düşünürken, “bu hangi hedefi koruyor?” sorusu yön gösterir. Sağlam bir güvenlik stratejisi, bu üç hedefi de dengeli biçimde gözetir; birini aşırı korurken diğerini ihmal etmek, dengesiz ve sonuçta zayıf bir güvenlik yaratır.
Ağ güvenliğinin altın kuralı, tek bir savunmaya güvenmemektir. “Defense in depth” (derinlemesine savunma) yaklaşımı, birden çok güvenlik katmanı kurar — öyle ki bir katman aşılsa bile diğerleri korumaya devam eder. Tıpkı bir kalenin hendek, sur, kapı ve iç kale gibi çok katmanlı savunması gibi. Ağda bu katmanlar şunlardır: fiziksel güvenlik, ağ segmentasyonu (VLAN), erişim kontrolü (port güvenliği), firewall, izleme ve veri şifreleme. Her katman bağımsız bir engeldir; bir saldırgan birini aşsa bile diğeriyle karşılaşır. Bu yaklaşım, tek bir açığın tüm sistemi çökertmesini önler.
Katmanlı savunmanın en güçlü araçlarından biri segmentasyondur — ağı mantıksal bölümlere ayırmak. Neden bu kadar önemli? Çünkü düz (segmentlenmemiş) bir ağda, bir cihaz ele geçirildiğinde saldırgan tüm ağa erişebilir. Segmentli bir ağda ise hasar, o segmentle sınırlı kalır. Örneğin misafir WiFi’si, kameralar ve çalışan ağı ayrı segmentlerdeyse, birindeki bir sorun diğerlerine yayılamaz. Bir IP kameranın ele geçirilmesi, tüm kurumsal verilere erişim anlamına gelmez. Bu “bölmenin” gücü, segmentasyonu modern ağ güvenliğinin temel taşı yapar — ki bunu VLAN’larla nasıl yapacağımızı bir sonraki yazımızda ele alacağız.
İlginç biçimde, çoğu ağ güvenliği ihlali gelişmiş saldırılardan değil, basit ve önlenebilir açıklardan kaynaklanır:
| Açık | Çözüm |
|---|---|
| Varsayılan şifreler | Tüm cihazlarda güçlü, özel şifre |
| Güncellenmemiş cihaz | Düzenli yazılım/firmware güncelleme |
| Düz (segmentsiz) ağ | VLAN ile segmentasyon |
| Açık portlar | Port güvenliği, kullanılmayanı kapat |
| İzlenmeyen ağ | Monitoring ve uyarı sistemi |
Bu açıkların hepsi temel önlemlerle kapatılabilir. Yani ağ güvenliğinin büyük kısmı, egzotik tehditlere karşı değil, bu temel disiplinleri uygulamaya dayanır.
Ağ güvenliğindeki en büyük yanılgı, onu “bir kez kurulup bitirilen” bir şey sanmaktır. Gerçekte güvenlik, süregelen bir süreçtir. Tehditler sürekli değişir, yeni açıklar keşfedilir, cihazlar güncelleme ister, yapılandırmalar zamanla “kayar”. Bu yüzden güvenlik düzenli bakım gerektirir: cihaz yazılımlarının güncel tutulması, yapılandırmaların periyodik gözden geçirilmesi, erişim haklarının denetlenmesi, ve ağın sürekli izlenmesi. Bir kez kurulan ama sonra unutulan bir güvenlik, zamanla erir ve sahte bir güven duygusu yaratır. Gerçek güvenlik, sürekli ilgi ve güncelleme ile canlı tutulur.
Ağ güvenliğinin en sık göz ardı edilen ama en kritik boyutu insan faktörüdür. En gelişmiş teknik önlemler bile, insan hatası veya ihmaliyle aşılabilir. Bir çalışanın zayıf veya paylaşılan şifresi, bir oltalama (phishing) e-postasına tıklaması, yetkisiz bir cihazı ağa bağlaması veya güvenlik prosedürlerini atlaması — bunların hepsi en sağlam teknik altyapıyı bile riske atar. Bu yüzden güvenlik sadece teknik değil, aynı zamanda kültürel bir meseledir. Çalışanların temel güvenlik farkındalığına sahip olması, güçlü şifre alışkanlıkları, şüpheli durumları bildirme refleksi ve prosedürlere uyum, teknik önlemler kadar önemlidir. Teknik tarafta ise insan hatasını sınırlayan önlemler alınır: en az yetki prensibi (herkese sadece ihtiyacı olan erişim), kritik işlemlerde çift doğrulama ve otomatik kontroller. İnsan faktörünü göz ardı eden bir güvenlik stratejisi, en zayıf halkasından kopar. Bu yüzden bütüncül güvenlik, teknik altyapı ile insan farkındalığını birlikte ele alır. Fiziksel altyapı tarafında, profesyonel bir kurulum bu güvenliğin teknik temelini doğru atar; üzerine kurulacak politika ve farkındalık ise kurumun sorumluluğundadır.
Ağ güvenliği, tek bir ürün veya ayar değil, katmanlı ve süregelen bir disiplindir. Fiziksel katmandan (kablo, kabinet, priz) başlar; segmentasyon, erişim kontrolü, firewall ve izleme ile katman katman yükselir. En güçlü yanı, hiçbir tek katmana bağımlı olmamasıdır — biri aşılsa diğeri korur. Ve en önemlisi, çoğu güvenlik temel disiplinlere dayanır: güçlü şifreler, güncel cihazlar, segmentli ağ, kapalı portlar ve sürekli izleme. Bu temeller, en pahalı güvenlik ürününden bile daha değerlidir. Sağlam bir ağ güvenliği, doğru kurulmuş fiziksel altyapı üzerine inşa edilen, katmanlı ve sürekli yönetilen bir bütündür — ve her ölçekteki kurum için gereklidir.
Fiziksel ve mantıksal güvenlik katmanlarıyla korumalı ağ için bize ulaşın.
Teklif Al