Ağ yönetim protokolü, ağ cihazlarının izlenmesi ve yapılandırılması için kullanılan temel protokoldür. Yönlendiriciler, anahtarlar, yazıcılar ve sunucular bu protokolle izlenir. Yaygın kullanımı ve genellikle varsayılan yapılandırmayla bırakılması, onu değerli bir hedef yapar. Protokolün eski sürümleri kimlik doğrulamayı zayıf bir metin dizesiyle yapar ve trafiği şifrelemez. Bu tasarım, günümüz güvenlik gereksinimlerini karşılamaz. Güvenli sürüme geçiş gereklidir.

Protokolün iki tür erişimi bulunur: okuma ve yazma. Okuma erişimi cihaz hakkında ayrıntılı bilgi verir; yazma erişimi ise yapılandırma değiştirmeyi sağlar. Yazma erişiminin ele geçirilmesi, ağ cihazının denetiminin kaybedilmesi anlamına gelir. Bu nedenle yazma erişimi gerekmedikçe kapatılmalıdır. Çoğu ortamda izleme için okuma yeterlidir. Karar gözden geçirilmelidir.

SNMP Güvenliği Nedir?

SNMP güvenliği, ağ yönetim protokolünün kimlik doğrulamalı ve şifreli sürümle çalıştırılması, erişimin kısıtlanması ve varsayılan yapılandırmaların değiştirilmesidir.

Eski sürümlerde kimlik doğrulama, topluluk dizesi denen bir metinle yapılır. Bu dize açık olarak taşınır ve ağı dinleyen biri tarafından okunabilir. Ayrıca varsayılan değerler yaygın olarak bilinir ve değiştirilmediğinde doğrudan erişim sağlar. Bu iki durum, protokolün en yaygın zafiyetidir. Değiştirilmeleri temel bir gerekliliktir. Denetimde aranır.

Sürüm Seçimi

Protokolün üçüncü sürümü, kimlik doğrulama ve şifreleme desteği sunar. Bu sürümde her kullanıcı için ayrı kimlik tanımlanabilir ve trafik şifrelenir. Güvenlik açısından tek kabul edilebilir sürüm budur. Eski sürümler devre dışı bırakılmalıdır. Geçiş cihaz desteğine bağlıdır. Envanter çıkarılır.

Bazı eski cihazlar güncel sürümü desteklemeyebilir. Bu durumda telafi edici kontroller uygulanır: erişim yalnızca yönetim ağından verilir ve topluluk dizeleri karmaşık seçilir. Ayrıca yazma erişimi tamamen kapatılır. Bu önlemler riski azaltır ama ortadan kaldırmaz. Kalan risk kaydedilir. Cihaz değişimi planlanır.

Geçiş sırasında izleme sistemlerinin de uyumlu yapılandırılması gerekir. İzleme platformu yeni sürümü desteklemiyorsa geçiş yapılamaz. Bu bağımlılık önceden değerlendirilmelidir. Platform güncellemesi gerekebilir. Planlama birlikte yapılır. Test edilir.

• Güncel ve şifreli protokol sürümüne geçiş
• Varsayılan topluluk dizelerinin değiştirilmesi
• Yazma erişiminin kapatılması ya da sıkı kısıtlanması
• Erişimin yönetim ağıyla sınırlanması
• İnternete açık cihazlarda protokolün kapatılması

Bilgi Sızıntısı Riski

Okuma erişimi bile önemli bilgi verir. Cihaz modeli, yazılım sürümü, ağ arayüzleri, yönlendirme tabloları ve bağlı sistemler bu bilgiler arasındadır. Bir saldırgan bu verilerle ağın haritasını çıkarabilir. Bu nedenle okuma erişimi de kısıtlanmalıdır. Yalnızca izleme sistemlerinden erişim verilmelidir. Kaynak kısıtlaması uygulanır.

Ayrıca bazı cihazlarda yapılandırma bilgileri de bu protokolle okunabilir. Kimlik bilgileri ve erişim listeleri açığa çıkabilir. Bu risk cihaz modeline göre değişir. Değerlendirme yapılmalıdır. Gereksiz veri erişimi kısıtlanır. Görünüm daraltılır.

Güçlendirme Saldırılarında Kullanımı

İnternete açık ve kimlik doğrulaması zayıf cihazlar, güçlendirme saldırılarında aracı olarak kullanılabilir. Küçük bir sorguya büyük bir yanıt üretilmesi bu kullanımı mümkün kılar. Yansıma ve güçlendirme saldırıları bu tür servislerden beslenir. Kurumun cihazlarının bu amaçla kullanılmaması gerekir. Dış tarama kontrolü sağlar. Kapatma önceliklidir.

Bu kullanım, kurumun adresinin engelleme listelerine girmesine de yol açabilir. İtibar riski doğar. Dış tarama sonuçları düzenli kontrol edilmelidir. Açık servisler kapatılır. Bildirimler değerlendirilir. Süreç tanımlanır.

Tuzak ve Bildirim Mekanizmaları

Protokol, cihazların olay bildirimi göndermesini de sağlar. Bu bildirimler izleme sistemlerine iletilir ve arıza ya da yapılandırma değişikliklerini haber verir. Güvenlik açısından da değerlidir; yetkisiz bir yapılandırma değişikliği bu yolla bildirilebilir. Bildirimlerin merkezî toplanması ve izlenmesi önerilir. Kayıt platformuna aktarılır. Kural yazılır.

Bildirim trafiğinin de korunması gerekir. Eski sürümlerde bu trafik şifresiz taşınır ve sahte bildirim gönderilebilir. Güncel sürüm bu riski ortadan kaldırır. Yapılandırma tutarlı olmalıdır. Hem sorgu hem bildirim aynı sürümle çalışmalıdır. Kontrol edilir.

Ayrıca izleme sisteminin kendisi de korunmalıdır. Tüm ağ cihazlarına erişimi olan bir izleme sunucusu, ele geçirildiğinde kritik bir konum sağlar. Bu sunucu ayrı bir segmentte tutulmalı ve sıkı korunmalıdır. Ağ segmentasyonu tasarımı bu ayrımı içerir. Erişim kısıtlanır. İzleme yapılır.

Yapılandırma Denetimi

Ağ cihazlarının yapılandırmalarının düzenli denetlenmesi gerekir. Varsayılan topluluk dizeleri, açık yazma erişimi ve eski sürüm kullanımı bu denetimde aranır. Otomatik araçlar bu kontrolleri yapabilir. Sonuçlar bir temel çizgiyle karşılaştırılır. Sapmalar raporlanır. Düzeltme takip edilir.

Yapılandırma yedeklerinin alınması da önerilir. Bir arıza ya da hatalı değişiklik durumunda hızlı geri dönüş sağlar. Ayrıca yedekler arasındaki fark, yetkisiz değişiklikleri ortaya çıkarır. Bu karşılaştırma otomatikleştirilebilir. Uyarı üretilir. İnceleme başlatılır.

Yedeklerin korunması da gereklidir. Yapılandırma dosyaları kimlik bilgileri ve ağ yapısı hakkında bilgi içerir. Şifreli saklanmalı ve erişim kısıtlanmalıdır. Bu dosyaların sızması ciddi risk üretir. Koruma ihmal edilmemelidir. Denetim yapılır.

Alternatif İzleme Yöntemleri

Bazı ortamlarda bu protokol yerine akış tabanlı izleme tercih edilir. Cihazlar trafik özetlerini bir toplayıcıya gönderir ve analiz burada yapılır. Bu yöntem, cihaz üzerinde sorgu yükü üretmez. Ayrıca trafik görünürlüğü de sağlar. İki yöntem farklı bilgiler sunar. Birlikte kullanılabilirler.

Telemetri tabanlı modern yaklaşımlar da yaygınlaşmaktadır. Cihazlar durum bilgisini sürekli akış hâlinde gönderir ve sorgu ihtiyacı ortadan kalkar. Bu model daha verimlidir ve daha ayrıntılı veri sunar. Telemetri ve görünürlük yaklaşımı bu modeli tanımlar. Cihaz desteği gereklidir. Geçiş planlanır.

Yöntem seçimi, cihaz desteğine ve izleme platformuna bağlıdır. Karma yapılandırmalar yaygındır. Önemli olan, hangi yöntem kullanılırsa kullanılsın güvenlik gereksinimlerinin karşılanmasıdır. Şifreleme ve kimlik doğrulama her yöntemde aranmalıdır. Değerlendirme yapılır. Karar belgelenir.

Kurumsal Kontrol Listesi

İlk madde, eski protokol sürümlerinin devre dışı bırakılmasıdır. İkinci madde, varsayılan kimlik bilgilerinin değiştirilmesidir. Üçüncü madde, yazma erişiminin kapatılmasıdır. Dördüncü madde, erişimin yönetim ağıyla sınırlanmasıdır. Beşinci madde, internete açık cihazlarda protokolün tamamen kapatılmasıdır. Altıncı madde, yapılandırmanın dönemsel denetlenmesidir.

Bu maddelerin bir şablona dönüştürülmesi önerilir. Şablon, yeni kurulan cihazlara otomatik uygulanır. Böylece tutarlılık sağlanır ve unutma riski azalır. Şablon sürüm kontrolünde tutulur. Değişiklikler incelenir. Varsayılan güvenli yapılandırma ilkesi burada uygulanır.

Privia Security olarak ağ cihazı yapılandırmalarını ve yönetim protokollerinin güvenliğini altyapı ve mimari gözden geçirme kapsamında denetliyoruz.