Ağ segmentasyonu, bir ağın işlev, veri hassasiyeti ve risk düzeyine göre parçalara bölünmesi ve bu parçalar arasındaki trafiğin denetlenmesidir. Amaç, bir sisteme sızıldığında saldırganın tüm ortama erişememesidir. Düz bir ağda tek bir uç noktanın ele geçirilmesi, ortamın tamamını erişilebilir kılar. Segmentli bir ağda ise erişim yalnızca ilgili segmentle sınırlı kalır. Bu sınırlama, olayların etkisini belirgin biçimde küçültür. Bu nedenle en yüksek getirili kontrollerden biridir.

Segmentasyon yalnızca bir güvenlik kontrolü değil, aynı zamanda bir operasyon aracıdır. Segmentler arası trafiğin denetlenmesi, ortamdaki iletişim akışlarının görünür hâle gelmesini sağlar. Bu görünürlük, sorun giderme ve kapasite planlamasında da değerlidir. Ayrıca uyum gerekliliklerinin kapsamını daraltır. Kart verisi ya da kişisel veri barındıran segmentlerin ayrılması, denetim kapsamını küçültür. Bu fayda çoğu zaman göz ardı edilir.

Ağ Segmentasyonu Nedir?

Ağ segmentasyonu, ağın mantıksal ya da fiziksel olarak bölünmesi ve segmentler arası trafiğin yalnızca tanımlı kurallarla geçirilmesi yoluyla yayılmanın sınırlanmasıdır.

Bölme, fiziksel ya da mantıksal olabilir. Fiziksel ayrım, ayrı donanım ve ayrı kablolama gerektirir; en güçlü izolasyonu sağlar ama maliyetlidir. Mantıksal ayrım ise sanal ağlar ve yönlendirme kurallarıyla yapılır; esnek ve ekonomiktir. Çoğu kurumda mantıksal ayrım tercih edilir. Kritik ortamlarda fiziksel ayrım da kullanılır. Karar risk temelli verilir.

Segmentler Nasıl Belirlenir?

Segment tasarımı, sistemlerin işlevine ve veri hassasiyetine göre yapılır. Sunucular, kullanıcı istemcileri, yönetim sistemleri, konuk erişimi ve endüstriyel sistemler tipik ayrım noktalarıdır. Her segment, benzer risk profiline sahip sistemleri barındırmalıdır. Farklı risk düzeyindeki sistemlerin aynı segmentte bulunması, tasarımın amacını zayıflatır. Bu ilke tasarımın temelidir. Analiz gerektirir.

Veri akışlarının haritalanması tasarımın ön koşuludur. Hangi sistemin hangi sistemle iletişim kurduğu bilinmeden kural yazılamaz. Bu haritalama, trafik kayıtları üzerinden yapılır. Çalışma birkaç hafta sürebilir ve beklenmedik bağımlılıklar ortaya çıkarır. Bu bağımlılıklar tasarımı şekillendirir. Atlanması kesintiye yol açar.

Segment sayısı dengeli tutulmalıdır. Çok az segment koruma sağlamaz; çok fazla segment ise yönetilemez hâle gelir. Başlangıç için işlev bazlı birkaç segment yeterlidir. Olgunlaştıkça daha ince ayrım yapılabilir. Mikro segmentasyon bu olgunluğun ileri aşamasıdır. Kademeli ilerleme önerilir.

• Sunucu ve uygulama segmentleri
• Kullanıcı istemci segmentleri
• Yönetim ve altyapı segmenti
• Konuk ve kişisel cihaz segmenti
• Endüstriyel ve operasyonel teknoloji segmenti
• Dışa açık hizmetler için ayrılmış bölge

Yönetim Ağının Ayrılması

En kritik segment, yönetim ağıdır. Ağ cihazlarının, sanallaştırma altyapısının, yedekleme sistemlerinin ve güvenlik ürünlerinin yönetim arayüzleri bu segmentte bulunur. Bu arayüzlere erişim yalnızca ayrılmış yönetim iş istasyonlarından verilmelidir. Bu ayrım, ele geçirme durumunda etkiyi belirgin biçimde sınırlar. Çoğu ortamda bu ayrım eksiktir. Öncelikli ele alınmalıdır.

Yönetim iş istasyonlarında internet erişimi ve e-posta bulunmamalıdır. Bu kısıtlama, en yaygın bulaşma yollarını kapatır. Yöneticiler günlük işlerini ayrı bir cihazdan yapar. Bu model başlangıçta zahmetli görünür ama kısa sürede alışkanlık hâline gelir. Ayrıcalıklı erişim yönetimi bu modeli destekler. Uygulama kademeli yapılabilir.

Geçiş Kuralları

Segmentler arası trafiğe yalnızca gerekli iletişim için izin verilmelidir. Kurallar dar tanımlanır: belirli kaynak, belirli hedef ve belirli port. Geniş aralıklara izin veren kurallar, segmentasyonu fiilen ortadan kaldırır. Kural yazımında gerçek trafik verisi kullanılır. Tahmine dayalı kurallar ya çok geniş ya çok dar olur. Veri toplanmalıdır.

Varsayılan davranışın engelleme yönünde olması esastır. Tanımlanmamış trafiğin geçmesine izin veren bir yapı, segmentasyonun amacını ortadan kaldırır. Bu ilke tasarımın başında benimsenmelidir. Geçiş, izleme moduyla yapılır. Ardından kısıtlama devreye alınır. Sıralama önemlidir.

Kuralların gerekçesi ve sahibi kayıt altında olmalıdır. Zamanla biriken kurallar, kimsenin nedenini bilmediği bir yığına dönüşür. Dönemsel gözden geçirme bu yığını temizler. Kullanılmayan kurallar kaldırılır. Bu bakım olmadan set bozulur. Disiplin gereklidir.

Yaygın Hatalar

İlk hata, segmentasyonu yalnızca isimde yapmaktır. Farklı sanal ağlara yerleştirilen ama aralarında serbest yönlendirme bulunan sistemler gerçekte ayrılmamıştır. Ayrımın yönlendirme ve filtreleme düzeyinde de olması gerekir. Doğrulama testleriyle bu kontrol edilir. Test yapılmadan tasarım doğrulanmaz. Sık görülen bir yanılgıdır.

İkinci hata, konuk ağının yeterince ayrılmamasıdır. Ziyaretçi ve kişisel cihazların kurumsal kaynaklara erişebilmesi ciddi bir risktir. Bu ağın tamamen ayrı olması ve yalnızca internet erişimi sunması gerekir. İstemci izolasyonu da etkinleştirilmelidir. Bu ayarlar sık atlanır. Kontrol edilmelidir.

Üçüncü hata, segmentasyonun bir kereye mahsus proje olarak görülmesidir. Yeni sistemler eklendikçe ve mimari değiştikçe tasarım da güncellenmelidir. Değişiklik yönetimi bu güncellemeyi tetiklemelidir. Aksi hâlde tasarım zamanla gerçeklikten kopar. Süreç kurulmalıdır. Sürdürülebilirlik önemlidir.

Uyum Kapsamının Daraltılması

Segmentasyonun az bilinen bir faydası, uyum denetimlerinin kapsamını daraltmasıdır. Kart verisi ya da kişisel veri barındıran sistemler ayrı bir segmentte tutulduğunda, denetim kapsamı yalnızca o segmenti içerir. Aksi hâlde tüm ağ kapsama girer ve denetim maliyeti katlanır. Bu fayda, segmentasyon yatırımının gerekçelendirilmesinde kullanılabilir. Mali karşılığı somuttur. Yönetim desteği kolaylaşır.

Kapsam daraltmanın kabul edilmesi için segmentasyonun kanıtlanması gerekir. Denetçiler, ayrımın gerçekten uygulandığını görmek ister. Kural setleri, ağ diyagramları ve doğrulama testleri bu kanıtı oluşturur. Kanıt üretimi önceden planlanmalıdır. Sonradan hazırlamak zordur. Belgeleme sürekli tutulur.

Doğrulama testleri düzenli yapılmalıdır. Segmentler arası izinsiz erişimin gerçekten engellendiği sınanır. Bu test, hem denetim kanıtı hem güvenlik doğrulaması üretir. Sızma testi kapsamına dahil edilebilir. Sonuçlar raporlanır. Sapmalar düzeltilir.

Endüstriyel Ortamlarda Segmentasyon

Operasyonel teknoloji ortamlarında segmentasyon, en kritik güvenlik kontrolüdür. Bu ortamlardaki sistemler genellikle yamalanamaz ve güncellenemez. Bu nedenle koruma büyük ölçüde ağ ayrımına dayanır. Kurumsal ağ ile üretim ağı arasında sıkı bir ayrım bulunmalıdır. Geçiş noktaları sayılı ve denetimli olmalıdır. Bu ilke sektörel standartlarda da yer alır.

Katmanlı bir model yaygın olarak kullanılır. Kurumsal ağ, ara bölge ve üretim ağı ayrı katmanlarda konumlandırılır. Ara bölge, iki taraf arasındaki veri alışverişini denetler ve doğrudan bağlantıyı engeller. Endüstriyel protokol denetimi bu bölgede yapılır. Model, uzun süredir uygulanmaktadır. Etkinliği kanıtlanmıştır.

Uzaktan bakım erişimleri de bu tasarımın parçasıdır. Üretici ve bakım firmalarının erişimi geçici, izlenen ve kısıtlı olmalıdır. Sürekli açık bırakılan bakım tünelleri ciddi risk oluşturur. Erişim talep üzerine açılmalı ve iş bitince kapatılmalıdır. Süreç yazılı olmalıdır. Kayıt tutulmalıdır.

Geçiş Projesinin Yönetimi

Mevcut düz bir ağın segmentlere bölünmesi, dikkatli planlama gerektiren bir projedir. Ani uygulanan kısıtlamalar kesintiye yol açar ve proje geri alınır. Bu nedenle geçiş kademeli ve izleme modu üzerinden yürütülür. Önce trafik gözlenir, ardından kurallar yazılır ve son olarak kısıtlama devreye alınır. Her adımda geri dönüş planı hazır tutulur. Bu disiplin projeyi başarıya taşır.

Uygulama sahipleriyle iş birliği de kritik önemdedir. Bir uygulamanın hangi bağımlılıklara sahip olduğunu en iyi onu işleten ekip bilir. Bu bilgi olmadan yazılan kurallar eksik kalır. Bu nedenle proje, güvenlik ekibinin tek başına yürüteceği bir çalışma değildir. Ortak çalışma modeli kurulmalıdır. İletişim planlanır.

Projenin ölçülebilir hedefleri olmalıdır. Kaç segment oluşturuldu, segmentler arası kural sayısı ne, doğrulama testleri hangi sonuçları verdi gibi göstergeler izlenir. Bu göstergeler ilerlemeyi görünür kılar. Yönetim raporlaması bu verilerle yapılır. Somut ilerleme desteği sürdürür. Ölçüm önemlidir.

Privia Security olarak segmentasyon tasarımını ve geçiş kurallarının etkinliğini altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.