Ağ erişim kontrolü, ağa bağlanmak isteyen cihazların kimliğini ve güvenlik durumunu denetleyerek erişim kararı veren sistemdir. Bir cihaz ağa bağlandığında önce kimliği doğrulanır, ardından uyum durumu kontrol edilir. Uyumlu cihazlar ilgili ağ segmentine yerleştirilir; uyumsuz olanlar karantinaya alınır ya da sınırlı erişimle çalıştırılır. Bu yapı, yetkisiz cihazların ağa katılmasını engeller. Ayrıca güncel olmayan cihazların risk üretmesini de sınırlar. İki fayda birlikte elde edilir.

Sistem, hem kablolu hem kablosuz ağlarda uygulanabilir. Kablosuz ağlarda kimlik doğrulama zaten standart olduğu için uygulama kolaydır. Kablolu ağlarda ise port bazlı kimlik doğrulama standardı kullanılır. Bu standardın desteklenmesi için anahtar ve istemci tarafında yapılandırma gerekir. Eski cihazlar bu standardı desteklemeyebilir. Bu durumda alternatif yöntemler kullanılır.

Ağ Erişim Kontrolü Nedir?

Ağ erişim kontrolü, ağa bağlanan cihazların kimlik ve uyum durumunu denetleyerek hangi kaynaklara erişebileceğine karar veren ve uyumsuz cihazları izole eden sistemdir.

Karar üç girdiye dayanır: cihazın kimliği, kullanıcının kimliği ve cihazın güvenlik durumu. Kimlik doğrulama sertifika ya da kimlik bilgisiyle yapılır. Uyum denetimi ise işletim sistemi güncelliği, koruma yazılımının çalışır olması ve yapılandırma uyumu gibi kontrolleri içerir. Bu üç girdi birlikte değerlendirilir. Sonuç, cihazın yerleştirileceği segmenti belirler.

Uygulama Yöntemleri

En yaygın yöntem, port bazlı kimlik doğrulamadır. Cihaz ağa bağlandığında anahtar, kimlik doğrulama tamamlanana kadar trafiği geçirmez. Doğrulama başarılı olduğunda port ilgili VLAN’a atanır. EAP-TLS gibi sertifika tabanlı yöntemler en güçlü seçenektir. Sertifika altyapısı gerektirir. Kurulum planlanmalıdır.

Sertifika desteklemeyen cihazlar için adres tabanlı yöntemler kullanılır. Cihazın donanım adresine göre erişim verilir. Bu yöntem zayıftır çünkü adres taklit edilebilir. Yine de yazıcılar ve bazı gömülü cihazlar için tek seçenek olabilir. Bu cihazlar ayrı ve kısıtlı bir segmente yerleştirilir. Risk bu şekilde sınırlanır.

• Port bazlı kimlik doğrulama ile cihaz ve kullanıcı doğrulaması
• Sertifika tabanlı yöntemlerle güçlü kimlik
• Uyum denetimi: güncellik, koruma yazılımı, yapılandırma
• Uyumsuz cihazlar için karantina segmenti
• Konuk cihazlar için ayrı ve kısıtlı erişim

Uygulamada Karşılaşılan Zorluklar

En büyük zorluk, envanterdeki çeşitliliktir. Kurumsal ortamlarda çok sayıda farklı cihaz türü bulunur ve hepsi aynı yöntemi desteklemez. Yazıcılar, kameralar, telefonlar ve endüstriyel cihazlar farklı yaklaşımlar gerektirir. Bu çeşitlilik, projeyi karmaşıklaştırır. Envanter çalışması bu nedenle ilk adımdır. Kapsam buna göre belirlenir.

İkinci zorluk, kesinti riskidir. Yanlış yapılandırılmış bir kural, meşru cihazların ağa bağlanamamasına yol açar. Bu risk, izleme moduyla yönetilir. Bu modda erişim engellenmez ama kararlar kaydedilir. Kayıtlar incelendikten sonra zorlama moduna geçilir. Kademeli geçiş şarttır.

Üçüncü zorluk, uyum denetiminin sürekliliğidir. Bağlantı anında uyumlu olan bir cihaz, sonradan uyumsuz hâle gelebilir. Bu nedenle dönemsel yeniden değerlendirme yapılmalıdır. Sürekli izleme, bağlantı anındaki kontrolden daha değerlidir. Ürün bu yeteneği desteklemelidir. Yapılandırma buna göre yapılır.

Konuk ve Kişisel Cihaz Yönetimi

Sistemin en görünür faydalarından biri, konuk erişiminin düzenlenmesidir. Ziyaretçiler kendi kimlikleriyle kaydolur ve yalnızca internet erişimi alır. Kurumsal kaynaklara erişemezler ve süreleri dolduğunda erişimleri otomatik kapanır. Bu yapı, hem güvenlik hem kullanıcı deneyimi açısından iyileştirme sağlar. Elle yönetilen konuk parolalarının yerini alır. Kayıt da otomatik tutulur.

Kişisel cihazlar için de ayrı bir profil tanımlanabilir. Bu cihazlar sınırlı kaynaklara erişir ve kurumsal verilere ulaşamaz. Cihazın yönetilip yönetilmediği erişim kararına girdi olur. Mobil cihaz yönetimi entegrasyonu bu bilgiyi sağlar. İki sistem birlikte çalışır. Politika tutarlı olmalıdır.

Cihaz envanterinin otomatik oluşturulması da bir yan faydadır. Ağa bağlanan her cihaz kaydedilir ve türü belirlenir. Bu envanter, güvenlik çalışmalarının temelini oluşturur. Beklenmedik cihazlar hızla fark edilir ve ağ segmentasyonu tasarımına girdi olur. Envanter doğruluğu artar. Diğer projeler de bu veriyi kullanır.

Uyum Denetiminin Kapsamı

Uyum denetimi, cihazın güvenlik durumunu değerlendirir. İşletim sistemi güncelliği, uç nokta koruma yazılımının çalışır olması, disk şifrelemesinin etkin olması ve yapılandırma uyumu tipik kontrollerdir. Bu kontrollerin kapsamı kurumun politikasına göre belirlenir. Aşırı geniş kapsam, çok sayıda cihazın karantinaya alınmasına yol açar. Denge kurulmalıdır. Kademeli genişletme önerilir.

Karantinaya alınan cihazlar için düzeltme yolu sunulmalıdır. Yalnızca engelleme yapan bir sistem, kullanıcıyı çaresiz bırakır ve destek yükü üretir. Karantina segmentinden güncelleme sunucularına erişim verilmesi, kullanıcının sorunu kendi çözmesini sağlar. Bu tasarım, destek yükünü belirgin biçimde azaltır. Kullanıcı deneyimi iyileşir. Benimseme artar.

Denetim sonuçlarının raporlanması da değerlidir. Hangi cihazların hangi nedenle uyumsuz olduğu, kurumun genel hijyen durumunu gösterir. Bu rapor, güncelleme ve koruma kapsamı çalışmalarına girdi olur. Eğilim izlenmelidir. İyileşme ölçülebilir. Yönetim raporlamasında kullanılır.

Privia Security olarak ağ erişim kontrolü tasarımını ve kapsamını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.