Bulutta ağ segmentasyonu, tüm iş yüklerini tek ve düz bir ağa koymak yerine onları erişim sınırları belirlenmiş ayrı bölümlere yerleştirme tasarımıdır. Amaç, bir bölümdeki sunucu ele geçirildiğinde saldırganın oradan tüm ortama yayılmasını engellemek, yani ihlalin etki alanını daraltmaktır.

Ağ segmentasyonu, bir ihlali kaçınılmaz saymanın ve o an geriye kalan tek sorunun “ne kadar yayılacağı” olduğunu kabul etmenin mimarideki karşılığıdır.

Bulutta Segmentasyon Neyle Kurulur?

Temel yapı taşı sanal özel buluttur (VPC/VNet); ortam önce büyük mantıksal ağlara, sonra alt ağlara (subnet) bölünür. İnternete açık olması gereken bileşenler genel alt ağda, veritabanları ve iç servisler dışarıya kapalı özel alt ağlarda konumlanır. Trafiğin bu bölümler arasında nasıl akacağını ise güvenlik grupları ve ağ erişim kontrol listeleri belirler; her biri hangi kaynaktan hangi porta iletişime izin verildiğini kural kural tanımlar.

Bu yaklaşım, geleneksel ağ segmentasyonu ilkesinin bulut ilkelleriyle yeniden inşasıdır. Fark şudur: fiziksel bir güvenlik duvarı kablosu çekmek yerine, kurallar yazılımla tanımlanır ve altyapı kodu olarak sürüm kontrolüne alınabilir; böylece segmentasyon tasarımı hem denetlenebilir hem de tekrar edilebilir olur.

Doğu-Batı Trafiği ve Patlama Yarıçapı

Klasik savunma kuzey-güney trafiğine, yani ortama giren ve çıkan iletişime odaklanırdı. Oysa saldırganın ilk sunucuyu ele geçirdikten sonra yaptığı yatay hareket, ortamın içindeki doğu-batı trafiğidir. Segmentasyon her bölümü kendi içinde kapalı tuttuğunda, ele geçirilmiş bir web sunucusu veritabanı katmanına doğrudan ulaşamaz; saldırganın önüne her adımda yeni bir sınır çıkar.

Daha ince taneli koruma isteyen ortamlar tek tek iş yükü düzeyine iner. Mikro segmentasyon, iki uygulama sunucusu arasındaki iletişimi bile açıkça izin verilmedikçe reddederek patlama yarıçapını neredeyse tek makineye kadar daraltır.

Sıfır Güvenle İlişkisi

Segmentasyon, tek başına “içerideki her şey güvenilir” varsayımını kırmaz; sadece bölümler kurar. Bu bölümleri her isteği kimliğe göre yeniden doğrulayan bir modele bağladığınızda sıfır güven mimarisi ortaya çıkar. Kullanıcı ve cihaz erişimini ağ konumundan bağımsız, kimlik temelli kapılarla yöneten sıfır güven ağ erişimi ise bu yaklaşımın uzaktan erişim tarafındaki uygulamasıdır.

Kurumsal Karşılık

Kötü segmentlenmiş bir bulut ağı, dışarıdan sağlam görünse de ilk ihlalden sonra saldırgana açık bir düzlük sunar. Bölümleri iş yüküne ve veri hassasiyetine göre doğru çizmek, mimarinin en kalıcı savunma kararlarından biridir. Privia Security’nin altyapı ve mimari gözden geçirme hizmeti, mevcut segmentasyon tasarımınızı yayılım senaryolarına karşı sınamak ve boşlukları kapatmak için yürütülür.