Mikro segmentasyon, ağ erişiminin segment düzeyinde değil iş yükü düzeyinde sınırlanmasıdır. Klasik segmentasyonda kurallar ağ blokları arasında tanımlanırken, burada her sunucu ya da uygulama için ayrı politika yazılabilir. Bu ince ayrım, aynı segmentteki sistemlerin bile birbirine erişimini sınırlar. Sonuçta yanal hareket alanı en aza iner. Yaklaşım, sıfır güven mimarisinin ağ tarafındaki karşılığıdır. Uygulaması otomasyon gerektirir.

Politikalar genellikle etiketler üzerinden tanımlanır. Bir iş yüküne uygulama adı, ortam ve rol gibi etiketler atanır ve kurallar bu etiketlere göre yazılır. Böylece adres değişikliklerinden bağımsız politikalar elde edilir. Yeni bir örnek başlatıldığında politika otomatik uygulanır. Bu esneklik, dinamik ortamlarda zorunludur. Elle yönetim mümkün değildir.

Mikro Segmentasyon Nedir?

Mikro segmentasyon, ağ erişim politikalarının iş yükü düzeyinde ve etiket tabanlı olarak tanımlanmasıyla, aynı segment içindeki sistemler arasında bile erişimin sınırlanmasıdır.

Uygulama, ağ katmanında ya da uç nokta üzerinde yapılabilir. Ağ katmanı çözümleri, sanallaştırma altyapısıyla entegre çalışır. Uç nokta çözümleri ise her sistemde bir ajanla politikayı uygular. İki yaklaşımın da avantajları vardır. Seçim, ortamın yapısına göre yapılır. Karma model de mümkündür.

Uygulama Adımları

İlk adım, mevcut iletişim akışlarının haritalanmasıdır. Hangi iş yükünün hangisiyle konuştuğu bilinmeden politika yazılamaz. Bu haritalama, çözümlerin izleme modunda çalıştırılmasıyla yapılır. Birkaç haftalık gözlem, gerçek akışları ortaya koyar. Beklenmedik bağımlılıklar bu aşamada bulunur. Atlanması kesintiye yol açar.

İkinci adım, politikaların izleme modunda tanımlanmasıdır. Bu modda ihlaller kaydedilir ama engellenmez. Kayıtlar incelenerek eksik kurallar tamamlanır. Ardından engelleme moduna geçilir. Kademeli geçiş, kesinti riskini yönetir. Süreç uygulama sahipleriyle yürütülür.

• İletişim akışlarının izleme moduyla haritalanması
• Etiket şemasının tanımlanması
• Politikaların izleme modunda yazılması
• İhlal kayıtlarının incelenip kuralların tamamlanması
• Kademeli olarak engelleme moduna geçiş

Zorluklar

En büyük zorluk, politika sayısının hızla artmasıdır. İş yükü düzeyinde tanımlanan kurallar, klasik segmentasyona göre çok daha fazladır. Bu nedenle etiket tabanlı ve otomatik yönetim zorunludur. Elle yazılan kurallar kısa sürede yönetilemez hâle gelir. Otomasyon altyapısı önceden kurulmalıdır. Hazırlık gereklidir.

İkinci zorluk, eski sistemlerdir. Ajan kurulamayan ya da etiketlenemeyen sistemler kapsam dışında kalır. Bu sistemler için klasik segmentasyon kullanılır. Karma model bu nedenle yaygındır. Kapsam boşlukları belgelenmelidir. İzleme sürdürülür.

Klasik Segmentasyondan Farkı

Klasik segmentasyonda kurallar ağ blokları arasında tanımlanır ve aynı blok içindeki sistemler serbestçe iletişim kurar. Ağ segmentasyonu bu nedenle segment içi yayılmayı engellemez. Mikro segmentasyonda ise her iş yükü kendi politikasına sahiptir. Aynı segmentteki iki sunucu bile birbirine erişemeyebilir. Bu ince ayrım, yanal hareket alanını en aza indirir. Koruma düzeyi belirgin biçimde artar.

Buna karşılık yönetim karmaşıklığı da artar. Politika sayısı kat kat büyür ve elle yönetim imkânsız hâle gelir. Bu nedenle otomasyon ve etiket tabanlı yaklaşım zorunludur. Altyapının bu yeteneği desteklemesi gerekir. Eski ortamlarda uygulama zordur. Karma model tercih edilir.

Geçiş genellikle kademeli yapılır. Önce en kritik uygulamalar kapsama alınır ve deneyim kazanılır. Ardından kapsam genişletilir. Baştan tüm ortamı hedefleyen projeler çoğunlukla yarım kalır. Kademeli yaklaşım daha başarılıdır. Deneyim biriktirilir.

Sıfır Güven Mimarisiyle İlişkisi

Mikro segmentasyon, sıfır güven yaklaşımının ağ tarafındaki uygulamasıdır. Her erişimin açıkça izin verilmesi gerektiği ilkesi, ağ katmanında bu şekilde karşılık bulur. Sıfır güven mimarisi kimlik tarafında da benzer bir yaklaşım uygular. İki katman birlikte bütünsel bir tasarım oluşturur. Tek katman eksik kalır. Planlama birlikte yapılır.

Konuma dayalı güvenin ortadan kalkması, bu iki yaklaşımın ortak noktasıdır. İç ağda olmak artık bir ayrıcalık sağlamaz. Bu değişim, klasik çevre güvenliği anlayışından köklü bir kopuştur. Uygulaması zaman alır. Kültürel değişim de gerektirir. Yönetim desteği şarttır.

Bulut ve Konteyner Ortamlarında

Bulut ortamlarında bu yaklaşım, güvenlik grupları ve ağ politikalarıyla doğal olarak desteklenir. Her kaynağa kendi politikası atanabilir ve politikalar etiketlere göre yazılabilir. Bu yapı, mikro segmentasyonun doğal karşılığıdır. Uygulaması klasik ortamlardan daha kolaydır. Otomasyon zaten mevcuttur. Kültürel geçiş daha zorlayıcıdır.

Konteyner ortamlarında ise ağ politikaları aynı işlevi görür. Hangi iş yükünün hangisiyle konuşabileceği tanımlanır ve varsayılan olarak tüm trafik engellenir. Kubernetes güvenliği çalışmalarında bu politikalar öncelikli denetlenir. Varsayılan yapılandırmada tüm trafiğe izin verilir. Bu ayarın değiştirilmesi gerekir.

Servis ağı katmanı da benzer bir denetim sunar. Servisler arası iletişim kimlik doğrulamalı ve şifreli hâle getirilebilir. Servis ağında karşılıklı doğrulama bu katmanı güçlendirir. Ağ politikalarıyla birlikte kullanıldığında güçlü bir izolasyon elde edilir. İki katman tamamlayıcıdır. Planlama birlikte yapılır.

Privia Security olarak segmentasyon olgunluğunu ve geçiş planını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.