DMZ, internete açık hizmetlerin iç ağdan ayrı bir bölgede tutulduğu ara güvenlik alanıdır. Web sunucuları, e-posta ağ geçitleri ve uzaktan erişim uç noktaları bu bölgede konumlandırılır. Amaç, dışarıdan erişilebilen bir sistem ele geçirildiğinde saldırganın doğrudan iç ağa ulaşamamasıdır. Bölge, iki güvenlik duvarı arasında ya da tek bir cihazın ayrı bir arayüzünde tanımlanır. Her iki tasarım da yaygındır. Seçim mimariye göre yapılır.

Bölgenin değeri, geçiş kurallarının sıkılığıyla doğru orantılıdır. Bu bölgeden iç ağa serbest erişim tanımlandığında, ayrım fiilen ortadan kalkar. Bu nedenle bölgeden iç ağa yönelen trafik en dar biçimde tanımlanmalıdır. İdeal olan, bağlantının iç ağdan başlatılmasıdır. Bu tercih, tasarımın temel ilkesidir. Uygulaması dikkat gerektirir.

DMZ Nedir?

DMZ, internetten erişilebilen hizmetlerin barındırıldığı ve iç ağdan güvenlik kontrolleriyle ayrılmış olan ara ağ bölgesidir.

Adı askerî terminolojiden gelir ve iki taraf arasındaki tampon bölgeyi ifade eder. Bilgi sistemlerinde de aynı işlevi görür: dış dünya ile iç ağ arasında bir tampon oluşturur. Bu bölgedeki sistemler dışarıdan erişilebilir olduğu için yüksek risk taşır. Bu nedenle sıkılaştırılmış ve yakından izlenen sistemler olmalıdırlar. İzleme kapsamı buna göre planlanır.

Hangi Sistemler Yerleştirilir?

Bölgeye, dışarıdan erişilmesi gereken tüm hizmetler yerleştirilir. Web sunucuları, ters proxy’ler, e-posta ağ geçitleri, ad çözümleme sunucuları ve uzaktan erişim uç noktaları tipik örneklerdir. Bu sistemlerin ortak özelliği, internetten gelen bağlantıları kabul etmeleridir. Bu özellik onları öncelikli hedef yapar. Sıkılaştırma zorunludur.

Veri tabanları ve iç uygulama sunucuları bu bölgeye yerleştirilmemelidir. Bu sistemler iç ağda kalmalı ve bölgedeki sistemler tarafından yalnızca gerekli bağlantılarla erişilmelidir. Veri tabanının bölgeye taşınması, ele geçirme durumunda doğrudan veri kaybı anlamına gelir. Bu ayrım tasarımın temelidir. Sık ihlal edilir.

Kimlik altyapısı da bölgeye yerleştirilmemelidir. Dizin hizmeti sunucularının dışarıdan erişilebilir olması ciddi bir risktir. Gerekli durumlarda ara bir bileşen kullanılır. Bu bileşen sınırlı bilgi taşır ve tam dizin erişimi sağlamaz. Active Directory güvenliği çalışmalarında bu ayrım denetlenir. Uygulama önceliklidir.

• Web sunucuları ve ters proxy’ler
• E-posta ağ geçitleri
• Dışa bakan ad çözümleme sunucuları
• Uzaktan erişim uç noktaları
• Dosya transfer hizmetleri
• Veri tabanları ve dizin hizmeti sunucuları bu bölgede bulunmaz

Geçiş Kuralları

İnternetten bölgeye yalnızca gerekli portlara izin verilir. Yönetim portları hiçbir koşulda internete açık olmamalıdır. Yönetim, ayrı bir ağdan ve kimlik doğrulamalı bir kanal üzerinden yapılır. Bu kural en sık ihlal edilen maddelerden biridir. Denetimlerde sıkça bulgu üretir. Kontrol edilmelidir.

Bölgeden iç ağa yönelen trafik en dar biçimde tanımlanır. Bir web sunucusunun veri tabanına erişmesi gerekiyorsa, yalnızca o veri tabanına ve yalnızca ilgili porta izin verilir. Geniş erişim tanımları, ele geçirme durumunda saldırganın iç ağa geçmesini sağlar. Bu kurallar dönemsel gözden geçirilir. Daraltma sürekli bir çalışmadır.

İç ağdan bölgeye yönelen trafik de denetlenmelidir. Bu yön genellikle serbest bırakılır ama denetlenmesi izleme değeri üretir. Ayrıca bölgedeki sistemlerin iç ağa bağlantı başlatmaması sağlanmalıdır. Bağlantının iç ağdan başlatılması tercih edilir. Bu tasarım daha güvenlidir. Uygulaması mümkündür.

Bulut Ortamlarında Karşılığı

Bulut ortamlarında bu ayrım, genel ve özel alt ağlarla sağlanır. Dışa açık bileşenler genel alt ağda, veri tabanları ve iç servisler özel alt ağda konumlandırılır. Özel alt ağdaki kaynaklara internetten doğrudan erişilemez. Bu tasarım, klasik yaklaşımın bulut karşılığıdır. İlke aynıdır. Uygulama araçları farklıdır.

Bulut ortamlarında en sık görülen hata, veri tabanlarının genel alt ağa yerleştirilmesidir. Bu yerleştirme, otomatik taramalarla hızla bulunur ve hedef alınır. Koruyucu politikalarla bu yapılandırma engellenebilir. Bulut güvenlik duruşu yönetimi bu sapmaları tespit eder. Sürekli izleme gerekir. Tek seferlik denetim yetersizdir.

İzleme ve Sıkılaştırma

Bölgedeki sistemler en yakından izlenmesi gereken sistemlerdir. Kayıt toplama kapsamı bu sistemleri öncelikli içermelidir. Beklenmedik süreç oluşturma, olağandışı giden bağlantı ve dosya değişiklikleri uyarı üretmelidir. Bu sistemler ilk erişim noktası olduğu için erken tespit kritik önemdedir. İzleme yatırımı buraya yönlendirilir. Getirisi yüksektir.

Sıkılaştırma da bu sistemlerde en katı biçimde uygulanır. Gereksiz servisler kapatılır, yerel hesaplar sınırlanır ve yama süresi kısa tutulur. Ayrıca bu sistemlerin iç ağdaki kimliklerle çalışmaması tercih edilir. Yerel kimliklerle çalıştırma, ele geçirme durumunda etkiyi sınırlar. Bu tasarım tercihi önemlidir. Uygulaması planlanmalıdır.

Çift Güvenlik Duvarı Tasarımı

Klasik tasarımda bölge, iki güvenlik duvarı arasında konumlandırılır. Dıştaki cihaz internetten gelen trafiği süzer, içteki cihaz ise bölgeden iç ağa geçişi denetler. İki cihazın farklı üreticilerden seçilmesi, tek bir zafiyetin her iki katmanı birden etkilemesini önler. Bu tasarım güçlü izolasyon sağlar ama maliyet ve yönetim yükü getirir. Büyük kurumlarda tercih edilir. Küçük ortamlarda tek cihaz yeterlidir.

Tek cihazlı tasarımda bölge, güvenlik duvarının ayrı bir arayüzünde tanımlanır. Bu tasarım daha ekonomiktir ve yönetimi kolaydır. Ancak cihazın ele geçirilmesi tüm ayrımı ortadan kaldırır. Bu risk, cihazın sıkılaştırılması ve yönetim erişiminin kısıtlanmasıyla azaltılır. Karar risk temelli verilir. İki tasarım da yaygındır.

Hangi tasarım seçilirse seçilsin, kural setinin dar olması esastır. Tasarımın gücü, cihaz sayısından çok kuralların sıkılığından gelir. Geniş kurallarla yapılandırılmış çift cihazlı bir tasarım, dar kurallı tek cihazdan daha zayıf olabilir. Bu nedenle kural denetimi önceliklidir. Mimari tek başına yeterli değildir. Yapılandırma belirleyicidir.

İzleme ve Olay Müdahalesi

Bu bölgedeki sistemler için ayrı bir izleme profili tanımlanmalıdır. Dışarıdan erişilebilir oldukları için sürekli tarama ve saldırı denemesine maruz kalırlar. Bu gürültü içinde gerçek tespitlerin ayrılması gerekir. Bu nedenle uyarı eşikleri ve kural setleri bu bölge için ayrıca ayarlanır. Genel kurallar burada çok fazla gürültü üretir. Özelleştirme gereklidir.

Olay müdahale planında da bu bölge ayrıca ele alınmalıdır. Bir sistemin ele geçirildiği tespit edildiğinde izole edilmesi ve iç ağa erişiminin kesilmesi ilk adımdır. Bu adımın hızlı atılabilmesi için önceden hazırlık gerekir. Kontrol altına alma prosedürü bu senaryoyu içermelidir. Hazırlık müdahale süresini kısaltır. Tatbikat yapılmalıdır.

Bölgedeki sistemlerin hızlı yeniden kurulabilir olması da değerlidir. Otomasyonla dakikalar içinde yeniden kurulabilen bir sistem, olay sonrası kurtarmayı basitleştirir. Bu yetenek, altyapının kod olarak tanımlanmasıyla sağlanır. Yatırım kurtarma süresini kısaltır. Ayrıca yapılandırma tutarlılığı da sağlar. İki fayda birlikte gelir.

Privia Security olarak dışa açık bölge tasarımını ve geçiş kurallarını altyapı ve mimari gözden geçirme kapsamında inceliyor, sömürülebilir yapılandırmaları raporluyoruz.