IPSec, ağ katmanında çalışan ve iletişimin şifrelenmesini, bütünlüğünün korunmasını ve tarafların kimliğinin doğrulanmasını sağlayan bir protokol ailesidir. Uygulama katmanındaki şifreleme çözümlerinden farkı, koruma sağlanan katmandır: burada tüm ağ trafiği korunur ve uygulamaların ayrıca şifreleme yapmasına gerek kalmaz. Bu özellik, eski uygulamaların da korunmasını sağlar. Kurumsal ortamlarda en yaygın kullanım alanı sanal özel ağlardır. Şubeler arası bağlantılar bu protokolle kurulur. Uzaktan erişim de aynı altyapıyı kullanabilir.

Protokol ailesi iki temel bileşenden oluşur. Birincisi, tarafların anahtar üzerinde anlaşmasını sağlayan anahtar değişim protokolüdür. İkincisi, verinin korunmasını sağlayan taşıma protokolleridir. Bu ayrım, anahtar yönetimiyle veri korumasının bağımsız gelişmesini mümkün kılar. Anahtar değişim protokolünün güncel sürümü tercih edilmelidir. Eski sürümler zafiyet içerir. Yapılandırma kontrol edilmelidir.

IPSec Nedir?

IPSec, ağ katmanında paketlerin şifrelenmesini, bütünlüğünün doğrulanmasını ve tarafların kimliğinin denetlenmesini sağlayan protokol ailesidir.

İki çalışma modu bulunur. Taşıma modunda yalnızca paketin veri bölümü korunur; başlık bilgileri açık kalır. Tünel modunda ise paketin tamamı yeni bir paket içine alınarak korunur. İkinci mod, ağlar arası bağlantılarda kullanılır ve iç adres bilgilerini de gizler. Kurumsal kullanımın büyük bölümü tünel modundadır. Seçim senaryoya göre yapılır.

Kullanım Alanları

Birinci alan, şubeler arası bağlantılardır. İki kurumsal ağ, internet üzerinden şifreli bir tünelle birleştirilir. Bu yapı, kiralık hat maliyetine göre çok daha ekonomiktir. Trafik şifreli taşındığı için internet üzerinden geçmesi risk oluşturmaz. Bant genişliği ve gecikme sınırları değerlendirilmelidir. Kritik uygulamalarda ölçüm yapılır.

İkinci alan, uzaktan erişimdir. Çalışanlar kurumsal ağa şifreli bir tünelle bağlanır. Bu model uzun yıllar standart olmuştur. Günümüzde uygulama düzeyinde erişim çözümleri bu modele alternatif oluşturmaktadır. Sıfır güven ağ erişimi geniş ağ erişimi vermeden çalışır. İki yaklaşım karşılaştırılmalıdır. Geçiş planlanabilir.

Üçüncü alan, sunucular arası korumalı iletişimdir. Belirli sunucular arasındaki trafiğin şifrelenmesi için taşıma modu kullanılabilir. Bu uygulama, iç ağda da şifreleme sağlar. Sıfır güven yaklaşımıyla uyumludur. Yapılandırma karmaşık olabilir. Alternatif çözümler değerlendirilir.

• Şubeler arası şifreli bağlantı kurulması
• Uzaktan erişim sanal özel ağı
• Sunucular arası korumalı iletişim
• Bulut ortamıyla şirket içi ağın birleştirilmesi
• Eski uygulamaların şifreleme olmadan korunması

Yapılandırma Riskleri

En yaygın risk, zayıf şifreleme ve karma algoritmalarının kullanılmasıdır. Eski yapılandırmalar, günümüzde güvenli sayılmayan algoritmalar içerebilir. Bu ayarların dönemsel gözden geçirilmesi gerekir. Güncel öneriler zamanla değişir. Tarama araçları bu denetimi yapabilir. Sonuçlar raporlanır.

İkinci risk, ön paylaşımlı anahtar kullanımıdır. Zayıf bir anahtar, çevrimdışı denemeyle bulunabilir ve tünel açılabilir. Sertifika tabanlı kimlik doğrulama çok daha güçlüdür. Geçiş, sertifika altyapısı gerektirir. Kritik bağlantılarda önerilir. Karar risk temelli verilir.

Üçüncü risk, tünelden geçen trafiğin denetlenmemesidir. Şifreli tünel, güvenlik kontrollerini de kör edebilir. Tünel sonlandıktan sonra trafiğin denetlenmesi gerekir. Bu tasarım, mimari aşamada planlanmalıdır. Aksi hâlde denetimsiz bir yol oluşur. Kontrol edilmelidir.

İşletme ve İzleme

Tünellerin durumu sürekli izlenmelidir. Kopan bir tünel, şube bağlantısının kesilmesi anlamına gelir. İzleme sistemleri bu durumu anında bildirmelidir. Yedekli tünel yapılandırması da önerilir. İki farklı yol üzerinden bağlantı kurulur. Kesinti riski azalır.

Anahtar yenileme süreleri de yapılandırılır. Kısa süreler güvenliği artırır ama işlem yükü üretir. Uzun süreler ise tersini yapar. Denge, bağlantının kritikliğine göre kurulur. Varsayılan değerler genellikle makuldür. Değişiklik gerekçeli yapılır.

Anahtar Değişim Süreci

Bağlantı kurulmadan önce taraflar bir anahtar değişim süreci yürütür. Bu süreçte kimlik doğrulanır ve iletişimde kullanılacak anahtarlar üretilir. Sürecin iki aşaması bulunur: ilk aşamada güvenli bir yönetim kanalı kurulur, ikinci aşamada veri koruması için parametreler belirlenir. İki aşamalı yapı, anahtar yenilemenin baştan başlamadan yapılabilmesini sağlar. Bu tasarım verimlilik üretir. Süreç standarttır.

Kimlik doğrulama iki yöntemle yapılabilir. Ön paylaşımlı anahtar yöntemi basittir ama anahtarın güvenli dağıtımını gerektirir. Sertifika tabanlı yöntem ise ölçeklenebilir ve daha güçlüdür. Çok sayıda bağlantı bulunan ortamlarda ikinci yöntem tercih edilir. Sertifika altyapısı gerektirir. Yatırım karşılığını verir.

Anahtar değişim protokolünün güncel sürümü kullanılmalıdır. Eski sürüm bilinen zafiyetler içerir ve bazı yapılandırmalarda çevrimdışı denemeye açıktır. Geçiş, iki tarafın da desteklemesini gerektirir. Envanter çıkarılır. Plan hazırlanır. Uyumluluk test edilir.

Bulut Ortamlarıyla Bağlantı

Şirket içi ağın bulut ortamıyla birleştirilmesinde bu protokol yaygın kullanılır. Bulut sağlayıcıları hazır ağ geçidi hizmetleri sunar ve yapılandırma büyük ölçüde otomatiktir. Bu bağlantı, bulut kaynaklarının iç ağın bir parçası gibi çalışmasını sağlar. Buna karşılık iki ortam arasında geniş bir güven alanı oluşur. Segmentasyon burada da uygulanmalıdır. Erişim daraltılır.

Bant genişliği ve gecikme sınırları da değerlendirilmelidir. İnternet üzerinden kurulan tüneller, kiralık hatlara göre daha değişken performans gösterir. Kritik uygulamalarda özel bağlantı hizmetleri tercih edilebilir. Karar iş gereksinimlerine göre verilir. Ölçüm yapılır. Alternatifler karşılaştırılır.

Yedeklilik de planlanmalıdır. Tek bir tünel, bulut kaynaklarına erişimin tek başarısızlık noktası olur. İki farklı yol üzerinden tünel kurulması bu riski azaltır. Hibrit bulut güvenliği tasarımı bu konuları kapsar. Planlama birlikte yapılır. Test edilir.

Uzaktan Erişim Modelinin Sınırları

Klasik sanal özel ağ modeli, kullanıcıya geniş bir ağ erişimi verir. Bağlanan bir cihaz, iç ağdaki birçok kaynağa ulaşabilir. Bu geniş erişim, ele geçirilen bir cihazın etkisini büyütür. Uygulama düzeyinde erişim modelleri bu sorunu çözer; kullanıcı yalnızca yetkili olduğu uygulamalara erişir. Geçiş, kimlik altyapısı olgunluğu gerektirir. Kademeli yapılabilir.

Ayrıca klasik modelde cihaz durumu genellikle değerlendirilmez. Güncel olmayan bir cihaz da ağa bağlanabilir. Modern çözümler cihaz uyumunu erişim kararına dahil eder. Bu kontrol, riskli cihazların erişimini sınırlar. Ağ erişim kontrolü benzer bir işlev görür. İki yaklaşım birleştirilebilir. Politika tutarlı olmalıdır.

Kapasite planlaması da bir sınırdır. Tüm çalışanların aynı anda bağlanması, ağ geçidi kapasitesini zorlayabilir. Uzaktan çalışma dönemlerinde bu sorun sık yaşanmıştır. Boyutlandırma gerçekçi yapılmalıdır. Yedeklilik planlanır. Test edilir.

Privia Security olarak şifreli bağlantı yapılandırmalarını ve algoritma seçimlerini altyapı ve mimari gözden geçirme kapsamında denetliyoruz.