Yazılım tanımlı geniş alan ağı, şube bağlantılarının merkezî bir denetleyici üzerinden yönetildiği mimaridir. Klasik yapıda her şube ayrı yapılandırılırken bu modelde politikalar merkezden tanımlanır ve cihazlara dağıtılır. Bu merkezîleşme, yönetim yükünü belirgin biçimde azaltır ve tutarlılık sağlar. Ayrıca birden çok bağlantı yolunun akıllıca kullanılmasını mümkün kılar. Buna karşılık yeni bir güvenlik yüzeyi oluşturur. Yönetim düzlemi kritik bir hedef hâline gelir.

Mimarinin güvenliği iki düzlemde ele alınır. Yönetim düzlemi, politikaların tanımlandığı ve dağıtıldığı katmandır; ele geçirilmesi tüm ağın denetiminin kaybedilmesi anlamına gelir. Veri düzlemi ise trafiğin taşındığı katmandır; şifreleme ve segmentasyon bu katmanda uygulanır. İki düzlem ayrı ayrı korunmalıdır. Biri eksik olduğunda diğerinin değeri azalır. Bütünsel yaklaşım gerekir.

SD-WAN Güvenliği Nedir?

SD-WAN güvenliği, merkezî denetleyicinin ve şube cihazlarının korunması ile taşınan trafiğin şifrelenmesi ve segmentlere ayrılmasını kapsayan güvenlik yaklaşımıdır.

Mimaride şube cihazları, denetleyiciyle sürekli iletişim hâlindedir. Bu iletişim şifreli ve kimlik doğrulamalı olmalıdır. Cihazların denetleyiciye ilk kaydı da güvenli bir süreçle yapılmalıdır. Yetkisiz bir cihazın ağa katılması ciddi risk üretir. Kayıt süreci sertifika tabanlı olmalıdır. Doğrulama otomatik yapılır.

Yönetim Düzleminin Korunması

Denetleyici, tüm ağın politikalarını barındırdığı için en kritik bileşendir. Bu sisteme erişim çok faktörlü doğrulamayla korunmalı ve yalnızca yönetim ağından verilmelidir. Ayrıca yönetici işlemlerinin tamamı kaydedilmelidir. Bu kayıtlar merkezî platforma aktarılır. Ayrıcalıklı erişim yönetimi bu erişimi düzenler. Denetim izi oluşur.

Bulut tabanlı denetleyicilerde ise sağlayıcı güvenliği de değerlendirilmelidir. Denetleyicinin nerede barındırıldığı, kimlerin erişebildiği ve olay bildirim süreçleri sorgulanır. Bu bilgiler sözleşmede yer almalıdır. Üçüncü taraf risk yönetimi süreci bu değerlendirmeyi kapsar. Kriterler yazılır. Karar belgelenir.

Yapılandırma değişikliklerinin onay sürecinden geçmesi de önerilir. Merkezî bir değişiklik tüm şubeleri anında etkiler ve hatalı bir politika geniş kesintiye yol açabilir. Bu nedenle değişiklik yönetimi disiplini uygulanmalıdır. Geri alma mekanizması hazır tutulur. Test ortamı kullanılır. Kademeli dağıtım tercih edilir.

• Denetleyiciye erişimin kısıtlanması ve çok faktörlü doğrulama
• Cihaz kayıt sürecinin sertifika tabanlı olması
• Şubeler arası trafiğin şifrelenmesi
• Şube içi segmentasyonun korunması
• Yerel internet çıkışlarında güvenlik denetimi
• Yapılandırma değişikliklerinin onay ve geri alma süreci

Yerel İnternet Çıkışı Riski

Mimarinin sunduğu önemli bir yetenek, şubelerin internete doğrudan çıkabilmesidir. Bu tasarım performans kazandırır çünkü trafik merkeze geri çekilmez. Buna karşılık merkezdeki güvenlik kontrollerinden de geçmez. Bu boşluk, çoğu geçiş projesinde göz ardı edilir. Sonuçta denetimsiz bir çıkış oluşur. Planlama bu riski ele almalıdır.

Çözüm, güvenlik denetiminin de dağıtılmasıdır. Şube cihazlarında filtreleme yeteneği bulunabilir ya da bulut tabanlı bir güvenlik katmanı kullanılabilir. Güvenlik hizmet kenarı yaklaşımı bu ihtiyacı karşılar. İki mimari sıkça birlikte kullanılır. Entegrasyon planlanır. Politika tutarlı olmalıdır.

Denetim kapsamının ölçülmesi de gereklidir. Hangi trafiğin hangi kontrolden geçtiği belgelenmelidir. Bu belgeleme, kapsama boşluklarını görünür kılar. Çoğu ortamda beklenmedik boşluklar bulunur. Ölçüm yapılmalıdır. Sonuçlar raporlanır.

Şifreleme ve Segmentasyon

Şubeler arası trafiğin şifrelenmesi standart bir gerekliliktir. Çoğu çözüm bu şifrelemeyi otomatik sağlar ve anahtar yönetimini denetleyici üzerinden yürütür. Kullanılan algoritmaların güncel olması kontrol edilmelidir. Ayrıca anahtar yenileme sıklığı yapılandırılır. Varsayılan ayarlar genellikle makuldür. Doğrulama yapılır.

Segmentasyon da bu mimaride uygulanabilir. Farklı iş birimleri ya da uygulama grupları ayrı sanal ağlara yerleştirilir ve aralarındaki trafik denetlenir. Bu yetenek, klasik yapıda zahmetli olan segmentasyonu kolaylaştırır. Ağ segmentasyonu tasarımı merkezden yönetilir. Tutarlılık sağlanır. Uygulama hızlanır.

Segment tanımlarının şubeler arasında tutarlı olması gerekir. Farklı şubelerde farklı tanımlar, beklenmedik erişimlere yol açabilir. Merkezî politika bu tutarlılığı sağlar. Denetim raporları uyumu gösterir. Sapmalar düzeltilir. Süreç işletilir.

Cihaz Güvenliği

Şube cihazları fiziksel olarak korunmasız ortamlarda bulunabilir. Bu cihazlara fiziksel erişim, yapılandırma ve anahtar materyaline erişim anlamına gelebilir. Bu nedenle cihazlarda güvenli önyükleme ve şifreli depolama özellikleri aranmalıdır. Ayrıca fiziksel müdahale tespiti değerlidir. Cihaz seçiminde bu kriterler değerlendirilir. Sözleşmede yer alır.

Cihaz yazılımlarının güncel tutulması da gereklidir. Merkezî yönetim bu güncellemeyi kolaylaştırır ancak planlama yine gerekir. Güncelleme sırasında kesinti yaşanabilir. Bakım pencereleri tanımlanır. Kademeli dağıtım yapılır. Geri alma hazır tutulur.

Kullanılmayan cihazların ve eski kayıtların temizlenmesi de önemlidir. Kapatılan bir şubenin cihazı denetleyicide kayıtlı kalırsa, o cihazla ağa erişim mümkün olabilir. Envanter güncel tutulmalıdır. Kayıtlar kaldırılır. Denetim yapılır.

Klasik Mimariden Geçiş

Klasik geniş alan ağı yapısında şubeler merkeze kiralık hatlarla bağlanır ve tüm trafik merkezden geçer. Bu tasarım güvenlik kontrollerini merkezîleştirir ama maliyetli ve esnek değildir. Yeni mimari, internet bağlantılarını da kullanarak maliyeti düşürür ve esneklik sağlar. Buna karşılık güvenlik kontrollerinin yeniden konumlandırılması gerekir. Geçiş bu nedenle yalnızca ağ projesi değildir. Güvenlik ekibi sürece dahil olmalıdır.

Geçiş sırasında en sık yapılan hata, güvenlik tasarımının sonradan ele alınmasıdır. Şubeler yerel internet çıkışına geçtiğinde merkezdeki kontroller devre dışı kalır. Bu boşluk, proje tamamlandıktan sonra fark edilir. Doğru yaklaşım, iki tasarımın birlikte planlanmasıdır. Ortak proje ekibi kurulur. Kapsam baştan belirlenir.

Geçiş kademeli yapılmalıdır. Önce birkaç şube pilot olarak seçilir ve deneyim kazanılır. Performans ve güvenlik ölçümleri yapılır. Ardından kapsam genişletilir. Bu yaklaşım, sorunların sınırlı ölçekte çözülmesini sağlar. Risk yönetilir. Öğrenme birikir.

İzleme ve Görünürlük

Merkezî yönetim, ağ görünürlüğü açısından da avantaj sağlar. Tüm şubelerin bağlantı durumu, trafik dağılımı ve politika uyumu tek bir panelde izlenir. Bu görünürlük, sorun gidermeyi hızlandırır. Güvenlik açısından da anormallikler daha kolay fark edilir. Panel verileri kayıt platformuna aktarılmalıdır. Korelasyon sağlanır.

Şube cihazlarının kayıtlarının merkezî toplanması gerekir. Cihaz üzerinde tutulan kayıtlar sınırlı süre saklanır ve olay incelemesinde yetersiz kalır. Log yönetimi altyapısına aktarım planlanmalıdır. Bant genişliği etkisi değerlendirilir. Filtreleme uygulanabilir. Kritik olaylar önceliklendirilir.

Politika uyum raporlarının düzenli incelenmesi de önerilir. Bir şubede politikanın uygulanamaması, o şubenin korumasız kalması anlamına gelir. Bu durum raporlarda görünür. Düzeltme süreci tanımlanır. Sorumlu atanır. Takip yapılır.

Bulut Bağlantıları

Mimari, bulut ortamlarına bağlantıyı da kapsayabilir. Şubelerden bulut kaynaklarına doğrudan ve optimize edilmiş yollar kurulabilir. Bu tasarım, trafiğin merkeze uğramasını önler ve performans kazandırır. Buna karşılık güvenlik denetiminin de bu yolda uygulanması gerekir. Aksi hâlde denetimsiz bir kanal oluşur. Planlama bunu içermelidir.

Bulut sağlayıcılarıyla doğrudan bağlantı hizmetleri de kullanılabilir. Bu hizmetler, internet üzerinden geçmeyen özel yollar sunar. Performans ve güvenilirlik artar. Maliyet ise yükselir. Karar iş gereksinimlerine göre verilir. Karşılaştırma yapılır.

Bağlantı yapılandırmalarının merkezî yönetimi bu senaryoda da avantaj sağlar. Tüm şubelerin bulut erişimi tek bir politikayla tanımlanır. Tutarlılık sağlanır ve hata riski azalır. Hibrit bulut güvenliği tasarımı bu bütünü kapsar. Planlama birlikte yapılır. Denetim sürdürülür.

Uygulama Farkındalıklı Yönlendirme

Mimarinin öne çıkan yeteneklerinden biri, trafiği uygulamaya göre yönlendirmesidir. Kritik uygulamalar daha güvenilir yoldan, diğerleri ise daha ekonomik yoldan taşınabilir. Bu yetenek, uygulama tanıma yeteneğine dayanır. Aynı tanıma, güvenlik politikaları için de kullanılabilir. İki işlev aynı bilgiden beslenir. Verimlilik artar.

Uygulama tanıma doğruluğu değerlendirilmelidir. Yanlış tanınan bir uygulama, yanlış yoldan taşınır ve performans sorunu yaşar. Ayrıca güvenlik politikası da hatalı uygulanır. Doğruluk testleri yapılmalıdır. Ortama özel uygulamalar için elle tanım gerekebilir. Bakım sürdürülür.

Privia Security olarak geniş alan ağı mimarilerinin güvenlik yapılandırmasını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.