Ağ bölümleme (network segmentation)

Ağ bölümleme nedir?

Ağ bölümleme (network segmentation), bir ağı işlevine ve güven düzeyine göre ayrı bölgelere veya alt ağlara ayırıp bölgeler arası trafiği güvenlik duvarı kurallarıyla denetleme yaklaşımıdır. Böylece bir bölgeye giren saldırgan tüm ağa serbestçe ulaşamaz.

Düz (flat) bir ağda her cihaz her cihazla konuşabilir. Bir makine ele geçirildiğinde yanal hareket kolaydır. Bölümleme bu yolu kasıtlı olarak daraltır.

Neden önemlidir?

Saldırıların büyük kısmı tek bir zayıf noktadan başlar ve yanal hareketle büyür. Bölümleme, etkiyi sınırlar, saldırı tespitini kolaylaştırır (bölgeler arası beklenmeyen trafik şüphelidir) ve uyumluluk kapsamını daraltır; örneğin ödeme verisi taşıyan bölge ayrı tutulursa denetlenecek alan küçülür.

Teknik araçlar VLAN, ayrı alt ağlar, güvenlik duvarı bölgeleri ve sanal ağ yalıtımıdır. Mikro bölümleme ise kuralları iş yükü düzeyine indirir.

Sunucu ve hosting ortamında

Tipik bir yerleşim: internete açık web katmanı (DMZ), uygulama katmanı, veritabanı katmanı ve yönetim ağı ayrı bölgelerdedir. Veritabanı sunucusu internetten hiç erişilemez, yalnızca uygulama sunucusundan gelen bağlantıları kabul eder. Yönetim arayüzleri (IPMI, iDRAC, iLO) ayrı ve kısıtlı bir ağda tutulmalıdır.

VPS ve bulut ortamlarında aynı mantık özel ağlar, güvenlik grupları ve sunucu üzerindeki güvenlik duvarı kurallarıyla uygulanır. Yedekleme sunucusu da üretim ağından yalıtılmalıdır.

Nasıl uygulanır?

• Sistemleri işlev ve hassasiyete göre sınıflandırın: internete açık, iç, veri, yönetim, yedek.
• Bölgeler arası trafiği varsayılan olarak reddedin; yalnızca gereken port ve yönleri açın.
• Veritabanı ve yönetim servislerini genel IP'de dinlemeyin; özel ağda bağlayın.
• Yönetim erişimini bir atlama sunucusu veya VPN üzerinden verin.
• Kural setini düzenli gözden geçirip kullanılmayan kuralları temizleyin.
• Bölgeler arası reddedilen trafiği günlüğe alıp izleyin.

Sık yapılan hatalar

• Bölgeleri kurup aralarındaki kuralları “hepsine izin ver” bırakmak.
• Yönetim ağını üretim ağıyla aynı yerde tutmak.
• Belge ve şema tutmamak; kuralların nedeni zamanla unutulur.
• Bölümlemeyi yalnızca çevre güvenliği saymak ve iç trafiği izlememek.