Katmanlı model

Açılış

Beyanname döneminin son haftasında, öğleden sonra saat ikide büronun kıdemli çalışanı Defne Hanım'ın odasına koştu: "İnternet çöktü!" Vergi idaresinin beyanname sitesi açılmıyordu ve son güne üç gün vardı. Defne Hanım teknisyeni aradı. Teknisyen telefonda paniğe kapılmadı ve çalışana birkaç basit şey sordu, hep aynı sırayla.

Bilgisayarın ağ kablosu takılı mı ya da kablosuz bağlantı simgesi bağlı görünüyor mu? Evet. Bilgisayar bir adres almış mı? Evet. Modeme ulaşılabiliyor mu? Evet. Başka bir site, örneğin bir haber sitesi açılıyor mu? Evet, açılıyordu. Teknisyen çalışana bir şey daha söyletti: beyanname sitesinin adresi tarayıcıda yazılınca ekranda tam olarak ne yazıyor? Ekranda sitenin yoğunluk nedeniyle geçici olarak hizmet veremediğini söyleyen bir mesaj vardı.

İnternet çökmemişti. Büronun ağı sağlamdı. Sorun en üstteydi, sitenin kendisindeydi ve onu düzeltmek büronun elinde değildi. Teknisyenin sorduğu sorular rastgele değildi; alttan üste doğru bir merdiveni tırmanıyordu. Bu ders o merdiveni, ağın katmanlı modelini anlatıyor.

Tek fikir

Ağ iletişimi üst üste binen katmanlardan oluşur; her katman bir işi yapar ve yalnız komşu katmanlarla konuşur. Bir sorunu ya da bir saldırıyı doğru katmanda bulmak, hem arızayı hızla gidermenin hem de doğru savunmayı seçmenin yoludur.

Nasıl çalışır

Bu modülde bir paketin farklı yönlerini ayrı ayrı konuştuk: fiziksel yol, IP adresi, port ve taşıma protokolü. Gerçekte bir paket bunların hepsini aynı anda taşır ve her biri bir katmanın işidir.

Uluslararası Standardizasyon Örgütü'nün yedi katmanlı OSI modeli aynı düzeni daha ince böler: en altta kabloların ve radyo dalgalarının fiziksel katmanı, üstünde doğrudan bağlı cihazların konuştuğu veri bağlantısı katmanı, ağ katmanı, taşıma katmanı ve en üstte oturum, sunum ve uygulama katmanları. Güvenlik çalışanları gündelik konuşmada bu iki modeli karıştırarak kullanır; "katman üç" dediklerinde IP'nin yaşadığı ağ katmanını, "katman yedi" dediklerinde uygulamayı kastederler.

Katmanların nasıl birlikte çalıştığını bir kavram açıklar.

En dıştaki zarfın üzerinde, aynı yerel ağdaki cihazların birbirini bulmasını sağlayan bir adres daha vardır.

Katmanlı düşünmenin güvenlik açısından iki büyük kazancı var. Birincisi teşhistir: bir sorun alttan üste doğru sorgulandığında, hangi katmanda olduğu hızla bulunur. Defne Hanım'ın teknisyeni kabloyla başlayıp siteye kadar çıktı ve sorunun büronun hiçbir katmanında olmadığını beş dakikada gösterdi.

İkinci kazanç savunmadır: her katmanın kendine özgü riskleri ve kendine özgü önlemleri vardır. Fiziksel katmanda bir kablonun takılması, veri bağlantısı katmanında kablosuz ağın şifrelenmesi, ağ katmanında IP adreslerine göre süzme, taşıma katmanında portlara göre süzme, uygulama katmanında ise bir web uygulamasına gelen isteğin içeriğinin incelenmesi. Bir önlem yalnız kendi katmanını korur. Kablosuz ağın şifresi, havadaki paketleri korur ama kablosuz erişim noktasından sonra paket o şifrelemeden çıkar; bir web sitesinin şifreli bağlantısı ise uygulama katmanında, iki ucun arasında baştan sona korur.

Sahada

Savunma

Katmanlı model, derinlemesine savunmanın haritasıdır; her katmana ayrı bir koruma koymak, birinin aşılması durumunda diğerinin devreye girmesini sağlar. Bu fikrin kendisi güvenlik düşüncesi seviyesindeki mimari ilkeler modülünün konusu; şimdilik her katmanın evdeki ve küçük işyerindeki karşılığını sayalım.

Fiziksel katmanda koruma, ağa kimin fiziksel olarak bağlanabileceğini denetlemektir: modem ve erişim noktası herkesin erişebileceği bir yerde durmamalı, kullanılmayan ağ prizleri kapatılmalı, Bora'nın bekleme salonundaki gibi bir priz kimseyi iç ağa almamalıdır.

Bağlantı katmanında koruma, kablosuz ağın güçlü bir şifrelemeyle kurulması ve misafirlerin ayrı bir kablosuz ağa alınmasıdır. Bu katmanı Seviye 3'te kablosuz ağ güvenliğinde ayrıntılı göreceğiz.

İnternet ve taşıma katmanlarında koruma, hangi adreslerin hangi portlara ulaşabileceğini belirleyen güvenlik duvarı kurallarıdır. Modemin dışarıdan gelen bağlantıları varsayılan olarak engellemesi ve gereksiz port yönlendirmelerinin olmaması bu katmanın işidir.

Uygulama katmanında koruma, şifreli bağlantılar, güncel uygulamalar ve güçlü kimlik doğrulamadır. Nilüfer Hanım'ın kafede öğrendiği gibi, alt katmanların hepsi güvenilmez olsa bile, uygulama katmanındaki şifreli bir bağlantı içeriği koruyabilir. Ama tersi geçerli değildir: uygulama katmanında zayıf bir parola, alt katmanların ne kadar sağlam olduğuna bakmadan hesabı tehlikeye atar.

Son olarak teşhiste de katmanları kullan. Bir şey çalışmadığında rastgele ayarları değiştirmek yerine alttan üste sor: bağlantı var mı, adres alınmış mı, ağ geçidine ulaşılıyor mu, isim çözülüyor mu, uygulama ne diyor? Bu sıra hem zamanı korur hem de bir güvenlik ayarını gereksiz yere kapatmanı önler.

Uygulama

Bu uygulamada kendi bilgisayarında katman katman bir bağlantı kontrolü yapacak ve her adımın hangi katmanı sınadığını yazacaksın. Komutlar yalnız bağlantıyı sınar.

Bu merdiven, ileride bir şey çalışmadığında ilk bakacağın yer olacak. Defterinin acil durum sayfasına bir kopyasını koymak, sorunu kendin çözmeni ya da destek aldığın kişiye sorunun nerede olduğunu doğru anlatmanı sağlar.

Defter: Acil durum sayfasına beş basamaklı bağlantı kontrol merdiveni; her basamakta kullanılacak kontrol ve sınadığı katman. Envanterde modem ve erişim noktasının fiziksel olarak nerede durduğu ve kimlerin ona erişebildiği.

Hata köşesi

Etik ve sınırlar

Katmanları bilmek, bir ağa nereden dokunulabileceğini bilmek demektir: bir prizden, bir kablosuz bağlantıdan, bir porttan ya da bir uygulamadan. Bora'nın bekleme salonundaki canlı priz gibi bir açık fark edersen, onu denemek yerine ağın sahibine bildirirsin; priz açık diye bir kabloyla başkasının iç ağına girmek, ağın sahibi buna yetki vermediği sürece bilişim sistemine izinsiz giriş sayılabilir. Aynı ilke kablosuz ağlar için de geçerlidir: parolası bilinen ya da parolasız bir ağa bağlanmak ancak sahibinin sunduğu kullanım çerçevesinde meşrudur. Bu derste yaptığın kontroller yalnız kendi bağlantını sınar ve kendi ağında ya da herkese açık hizmetlerin olağan kullanımı içinde kalır.

Kapanış

1. Ağ iletişimi üst üste binen katmanlardan oluşur; internet mimarisi uygulama, taşıma, internet ve bağlantı katmanlarıyla, OSI modeli ise yedi katmanla anlatılır ve her katman veriyi kendi bilgisiyle kapsüller.
2. Sorunlar alttan üste katman katman sorgulandığında yerleri hızla bulunur; bu, hem arızayı gidermeyi hızlandırır hem de gereksiz ayar değişikliklerini önler.
3. Her katmanın kendine özgü riskleri ve önlemleri vardır ve bir katmandaki koruma yalnız o katmanı korur; kablosuz şifreleme havayı, şifreli uygulama bağlantısı ise baştan sona içeriği korur.

Üç soru

1. Defne Hanım'ın teknisyeni sorunun büronun ağında olmadığını nasıl anladı?
2. Kafedeki kablosuz ağın parolası ile bankanın uygulamasının şifreli bağlantısı farklı katmanlarda neyi korur?
3. Bekleme salonundaki canlı bir ağ prizi hangi katmanda bir açıktır ve neden üst katmanların korumaları onu tek başına kapatmaz?

Yanıtlar

1. Alttan üste doğru katman katman sordu: bağlantı kurulu mu, adres alınmış mı, modeme ulaşılıyor mu, başka siteler açılıyor mu? Bütün bu basamaklar çalıştığı için sorunun büronun bağlantı, internet ve taşıma katmanlarında olmadığı, yalnız ulaşılmak istenen sitenin kendisinde, yani en üst katmanda ve uzak tarafta olduğu ortaya çıktı.
2. Kablosuz ağın parolası bağlantı katmanında çalışır ve yalnız telefonla kafenin erişim noktası arasındaki havayı şifreler; parolayı bilen herkes aynı ağdadır. Bankanın uygulamasının şifreli bağlantısı uygulama katmanında, telefonla bankanın sunucusu arasında baştan sona çalışır ve yoldaki hiçbir cihazın içeriği okumasına izin vermez.
3. Fiziksel katmanda bir açıktır: kabloyla bağlanan biri doğrudan iç ağa dahil olur. Üst katmanların korumaları, güvenlik duvarı ya da uygulamaların kimlik doğrulaması, ancak o kişi ağa girdikten sonra devreye girer ve iç ağdaki bazı cihazlar dışarıdan gelenlere göre daha az korunmuş olabilir. Bu yüzden kullanılmayan prizlerin kapatılması kendi katmanında ayrı bir önlemdir.

Sonraki derse köprü

Bu derste katmanların bir haritasını çizdik ve en alttaki katmanların, kabloların ve kablosuz bağlantıların, ev ve büro ağlarında birkaç küçük kutuda yaşadığını gördük. Peki o kutular tam olarak ne iş yapıyor? Sıradaki ders ev ağının parçalarını ele alıyor: modem, yönlendirici, anahtar, erişim noktası ve cihazlara otomatik adres dağıtan hizmet.