VLAN, tek bir fiziksel ağ altyapısı üzerinde birden çok mantıksal ağ oluşturulmasını sağlayan teknolojidir. Farklı VLAN’lardaki cihazlar, aynı anahtara bağlı olsalar bile doğrudan iletişim kuramaz; geçiş yönlendirme katmanından yapılır. Bu özellik, segmentasyonun en yaygın uygulama aracıdır. Buna karşılık VLAN ayrımı, yapılandırma hatalarına ve belirli saldırı tekniklerine açıktır. Bu nedenle ayrımın güvenli olduğunun varsayılması yerine doğrulanması gerekir. Güvenlik, yapılandırmanın kalitesine bağlıdır.

Teknoloji, güvenlik amacıyla değil yönetim kolaylığı amacıyla geliştirilmiştir. Bu tarihsel gerçek, bazı tasarım tercihlerini açıklar. Ayrımın sıkılaştırılması için ek ayarların yapılması gerekir. Varsayılan yapılandırmalar, güvenlikten çok uyumluluğu gözetir. Bu nedenle kurulum sonrası sıkılaştırma zorunludur. Kontrol listesi kullanılmalıdır.

VLAN Güvenliği Nedir?

VLAN güvenliği, sanal ağ ayrımının doğru yapılandırılması ve bu ayrımı aşmayı hedefleyen saldırı tekniklerine karşı anahtar seviyesinde önlem alınmasıdır.

Güvenliğin merkezinde anahtar yapılandırması bulunur. Portların hangi VLAN’a ait olduğu, hangi portların bağlantı taşıyıcı olarak çalıştığı ve kullanılmayan portların durumu bu yapılandırmanın parçalarıdır. Yanlış yapılandırılmış tek bir port, tüm ayrımı zayıflatabilir. Bu nedenle yapılandırma standartlaştırılmalı ve denetlenmelidir. Otomatik denetim mümkündür. Sapmalar raporlanır.

VLAN Atlama Saldırıları

Birinci teknik, anahtar taklidine dayanır. Saldırgan, kendi cihazını bir anahtar gibi tanıtarak bağlantı taşıyıcı port kurulmasını sağlar. Böylece tüm VLAN trafiğine erişebilir. Bu saldırı, otomatik bağlantı taşıyıcı görüşmesinin açık olduğu portlarda mümkündür. Önlem, bu görüşmenin kapatılmasıdır. Ayar basit ama sık atlanır.

İkinci teknik, çift etiketlemeye dayanır. Saldırgan pakete iki VLAN etiketi ekler; ilk anahtar dış etiketi kaldırır ve paket iç etiketle başka bir VLAN’a ulaşır. Bu teknik, yerel VLAN yapılandırmasının hatalı olduğu durumlarda çalışır. Önlem, yerel VLAN’ın kullanılmayan bir değere atanmasıdır. Ayrıca yerel VLAN trafiğinin etiketlenmesi de sağlanabilir. İki ayar birlikte uygulanır.

Üçüncü teknik, anahtar tablolarının taşırılmasıdır. Çok sayıda sahte adres göndererek tablonun dolması sağlanır ve anahtar yayın moduna geçer. Bu durumda trafik tüm portlara iletilir ve dinlenebilir. Önlem, port güvenliği özelliğiyle port başına adres sayısının sınırlanmasıdır. Bu özellik çoğu anahtarda bulunur. Etkinleştirilmesi gerekir.

• Anahtar taklidiyle bağlantı taşıyıcı port kurulması
• Çift etiketleme ile başka VLAN’a paket gönderme
• Adres tablosu taşırma ve yayın moduna düşürme
• Yönetim protokollerinin kötüye kullanılması
• Kullanılmayan portların açık bırakılması

Sıkılaştırma Önlemleri

İlk önlem, kullanıcı portlarında otomatik bağlantı taşıyıcı görüşmesinin kapatılmasıdır. Bu ayar, anahtar taklidi saldırısını doğrudan engeller. Portlar açıkça erişim portu olarak tanımlanmalıdır. Bu tanım, yapılandırma şablonunun parçası olmalıdır. Yeni kurulumlarda otomatik uygulanır. Denetimle doğrulanır.

İkinci önlem, yerel VLAN’ın kullanılmayan bir değere atanmasıdır. Varsayılan yerel VLAN, birçok ortamda kullanıcı VLAN’ıyla aynıdır ve bu durum çift etiketleme saldırısını mümkün kılar. Değişiklik basittir ama etkisi doğrudandır. Ayrıca yerel VLAN’a hiçbir port atanmamalıdır. İki ayar birlikte uygulanır. Kontrol listesinde yer alır.

Üçüncü önlem, kullanılmayan portların kapatılması ve kullanılmayan bir VLAN’a atanmasıdır. Açık bırakılan bir port, binaya giren bir kişinin ağa bağlanmasını sağlar. Bu risk özellikle toplantı odaları ve ortak alanlarda belirgindir. Fiziksel erişim kontrolüyle birlikte değerlendirilmelidir. İki katman birlikte çalışır. Uygulama kolaydır.

Dördüncü önlem, port güvenliği ve dinamik adres denetimi özelliklerinin etkinleştirilmesidir. Bu özellikler, hem tablo taşırma hem adres sahteciliği saldırılarını sınırlar. Yapılandırma, statik adresli cihazlar için istisna gerektirebilir. Bu istisnalar belgelenmelidir. Bakım gerektirir. Getirisi yüksektir.

Yönetim Protokolleri

Anahtarlar arasında VLAN bilgisi paylaşan yönetim protokolleri, kötüye kullanıldığında ciddi risk oluşturur. Bir saldırgan bu protokolle sahte VLAN tanımları yayabilir ya da mevcut tanımları silebilir. Bu protokollerin gereksizse tamamen kapatılması önerilir. Gerekliyse kimlik doğrulamalı çalıştırılmalıdır. Varsayılan yapılandırma genellikle korumasızdır. Kontrol edilmelidir.

Benzer biçimde, keşif protokolleri de bilgi sızdırır. Bu protokoller cihaz modeli, yazılım sürümü ve yapılandırma bilgisi yayar. Kullanıcı portlarında kapatılmaları önerilir. Yönetim portlarında ise faydalı olabilirler. Ayrım port bazında yapılır. Politika yazılı olmalıdır.

Yayılan ağaç protokolü de saldırıya açıktır. Sahte kök köprü ilanları, trafiğin saldırgan üzerinden geçmesini sağlayabilir. Kök koruma ve köprü koruma özellikleri bu riski azaltır. Bu özellikler kullanıcı portlarında etkinleştirilmelidir. Yapılandırma şablonuna eklenir. Denetimle doğrulanır.

VLAN Ayrımının Sınırları

VLAN ayrımı, iyi yapılandırıldığında etkili bir segmentasyon aracıdır. Ancak tek başına güvenlik sınırı olarak görülmemelidir. Ayrımın yönlendirme katmanında da güvenlik duvarı kurallarıyla desteklenmesi gerekir. Yalnızca VLAN ile ayrılan ve aralarında serbest yönlendirme bulunan segmentler gerçekte ayrılmamıştır. Ağ segmentasyonu tasarımı bu bütünü kapsar. İki katman birlikte çalışır.

Yüksek hassasiyetli ortamlarda fiziksel ayrım tercih edilebilir. Endüstriyel kontrol sistemleri ve sınıflandırılmış ortamlar bu kategoridedir. Fiziksel ayrım maliyetlidir ama yapılandırma hatalarına kapalıdır. Karar risk değerlendirmesine dayanır. İki yaklaşım bir arada kullanılabilir. Kritik bölümler ayrılır.

Ayrımın doğrulanması da gereklidir. Bir VLAN’dan diğerine erişimin gerçekten engellendiği test edilmelidir. Bu test, yapılandırma hatalarını ortaya çıkarır. Dönemsel tekrarlanmalıdır. Sızma testi kapsamına dahil edilebilir. Sonuçlar belgelenir.

Ses ve Veri VLAN Ayrımı

Kurumsal ortamlarda IP telefonlar için ayrı bir ses VLAN’ı tanımlanması yaygındır. Telefon ve bilgisayar aynı porta bağlandığında, port hem ses hem veri VLAN’ını taşır. Bu yapı pratik olmakla birlikte bir risk taşır: kullanıcı bilgisayarı, ses VLAN’ına erişmeye çalışabilir. Ses VLAN’ında genellikle daha zayıf kontroller bulunur. Bu nedenle ayrımın anahtar seviyesinde zorlanması gerekir. Yapılandırma denetlenmelidir.

Telefonların kendileri de birer ağ cihazıdır ve güvenlik değerlendirmesine dahil edilmelidir. Varsayılan parolalar, güncellenmemiş yazılım ve açık yönetim arayüzleri bu cihazlarda sık görülür. Ele geçirilen bir telefon, ağa erişim noktası hâline gelir. Envanter bu cihazları da kapsamalıdır. Sıkılaştırma uygulanmalıdır. Güncelleme planlanır.

Ses trafiğinin şifrelenmesi de değerlendirilmelidir. Şifrelenmemiş çağrılar, ağa erişebilen bir saldırgan tarafından dinlenebilir. Modern sistemler şifreleme desteği sunar. Etkinleştirilmesi ek yapılandırma gerektirir. Karar hassasiyete göre verilir. Yönetim kadrosu için öncelikli olabilir.

Kablosuz Ağlarda VLAN Kullanımı

Kablosuz ağlarda farklı ağ adları farklı VLAN’lara eşlenebilir. Kurumsal, konuk ve cihaz ağları bu şekilde ayrılır. Ayrımın yalnızca ağ adı düzeyinde kalmaması, yönlendirme düzeyinde de uygulanması gerekir. Aksi hâlde ayrım görünürde kalır. Doğrulama testi yapılmalıdır. Sık atlanan bir kontroldür.

Konuk ağının kurumsal kaynaklara erişememesi esastır. Bu ağ yalnızca internet erişimi sunmalıdır. Ayrıca istemci izolasyonu etkinleştirilerek aynı ağdaki cihazların birbirini görmesi engellenmelidir. Bu ayar, ortak alanlarda önemlidir. ARP zehirlenmesi gibi saldırıları sınırlar. Uygulaması kolaydır.

Kurumsal kablosuz ağda ise sertifika tabanlı kimlik doğrulama tercih edilmelidir. Ortak paylaşılan anahtar kullanan ağlarda, anahtarı bilen herkes ağa katılabilir. Anahtar değişimi de zordur. Sertifika tabanlı yöntem her cihazı ayrı doğrular. Geçiş altyapı gerektirir. Planlanmalıdır.

Privia Security olarak anahtar yapılandırmalarını ve VLAN ayrımının gerçek etkinliğini altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.