Bilkomsis rehberleri
Ağ bölümlendirme (VLAN): misafir, kamera ve sunucu ağlarını ayırmak
Birçok şirkette çalışan bilgisayarları, sunucular, güvenlik kameraları, yazıcılar ve misafirlerin telefonları aynı ağda bulunur. Bu düz yapıda bir cihazın ele geçirilmesi, saldırganın ağdaki her şeye ulaşabilmesi anlamına gelir. Ağ bölümlendirme, cihazları görevlerine göre ayrı ağlara ayırıp aralarındaki trafiği güvenlik duvarıyla denetleyerek bu riski sınırlar.
VLAN nedir?
VLAN (sanal yerel ağ), aynı fiziksel switch’ler üzerinde birbirinden ayrılmış mantıksal ağlar oluşturmayı sağlar. Her VLAN kendi IP aralığına sahiptir ve VLAN’lar arasındaki trafik güvenlik duvarından geçer. Böylece hangi ağın hangi ağa, hangi port üzerinden erişebileceğine siz karar verirsiniz.
Tipik bir bölümlendirme
| Ağ bölümü | İçerik | Erişim kuralı |
|---|---|---|
| Kullanıcı ağı | Çalışan bilgisayarları | İnternete ve gerekli sunucu servislerine erişir |
| Sunucu ağı | Dosya, uygulama ve veritabanı sunucuları | Yalnızca gerekli portlardan erişilir |
| Yönetim ağı | Switch, güvenlik duvarı ve sunucu yönetim arayüzleri | Yalnızca BT yöneticilerinin cihazlarından erişilir |
| Kamera ve IoT ağı | Kameralar, kayıt cihazları, akıllı cihazlar | Diğer ağlara erişemez |
| Misafir ağı | Ziyaretçi telefon ve bilgisayarları | Yalnızca internete çıkar |
Uygulama adımları
- Ağdaki tüm cihazları listeleyin ve görevlerine göre gruplayın.
- Switch’lerinizin VLAN desteklediğini, güvenlik duvarınızın VLAN’lar arası trafiği denetleyebildiğini kontrol edin.
- Her bölüm için IP planı ve erişim kurallarını yazın; varsayılan kural “izin verilmeyen her şey engellenir” olsun.
- Önce misafir ve kamera ağlarını ayırın; bunlar en kolay ve en hızlı fayda sağlayan adımlardır.
- Sunucu ve yönetim ağlarını mesai dışında, geri dönüş planıyla taşıyın.
- Kuralları uyguladıktan sonra kullanıcılardan gelen erişim sorunlarını takip edip gereksiz izin açmadan çözün.
Sık yapılan hatalar
VLAN’ları oluşturup aralarına “her şeye izin ver” kuralı koymak, bölümlendirmenin faydasını ortadan kaldırır. Switch ve güvenlik duvarı yönetim arayüzlerinin kullanıcı ağından erişilebilir bırakılması da sık görülen bir açıktır; aynı şekilde sunuculara internetten açık RDP erişimi bırakmak bölümlendirmeyi boşa çıkarır. Güvenli ağ mimarisi için NIST SP 800-215 kapsamlı bir başvuru kaynağıdır.
Kablosuz ağlar ve şubeler
Kablosuz ağda da aynı mantık uygulanır: çalışanlar ve misafirler farklı ağ adlarına (SSID) bağlanır ve her ağ adı kendi VLAN’ına yönlendirilir. Birden fazla ofisi olan şirketlerde bölümlendirme planını tüm lokasyonlarda aynı tutmak, kuralların yönetimini ve sorun gidermeyi büyük ölçüde kolaylaştırır. Yeni bir cihaz ağa eklendiğinde hangi bölüme bağlanacağı da bu plana göre belirlenmelidir.
Örneğin varsayımsal bir şirkette güvenlik kayıt cihazının yazılımı yıllardır güncellenmemiştir ve cihaz kullanıcılarla aynı ağdadır. Kamera ağı ayrı bir VLAN’a alınıp diğer ağlara erişimi kapatıldığında, bu cihazın ele geçirilmesi şirket verilerine giden bir yol olmaktan çıkar. Bu tür güncellenmemiş cihazlar zafiyet taramalarında da genellikle ilk bulgular arasında yer alır.
Fortinet ve Sophos güvenlik duvarı hizmetimiz kapsamında ağınızın bölümlendirmesini birlikte planlayıp uygulayabiliriz.