Ağ segmentasyonu

Açılış

Bora, hastanenin ağını Modül 15'teki masa başı tatbikatından sonra üç bölgeye ayırmıştı: tıbbi cihazlar, idari bilgisayarlar ve misafirler. Yönetim kurulu bunu bir başarı olarak not etmişti. Bir yıl sonra bir denetim firması geldi ve denetçi Bora'ya tek bir soru sordu: "İdari bölgedeki bir bilgisayar ele geçirilirse, saldırgan buradan hangi sunuculara ulaşabilir?"

Bora cevabı bildiğini düşündü. Sonra kontrol etti.

İdari bölge, hastane bilgi sistemi sunucusuna, muhasebe sunucusuna, insan kaynakları dosya sunucusuna, yedekleme sunucusuna ve dizin sunucusuna ulaşabiliyordu. Hepsine, her porttan. Üç bölge vardı, ama idari bölgenin içinde dört yüz bilgisayar ve bütün kritik sunucular aynı odadaydı. Bir hemşire istasyonundaki bir bilgisayar ile yedekleme sunucusu arasında hiçbir kapı yoktu.

"Ağı böldünüz," dedi denetçi. "Ama en değerli şeyleri, en kalabalık bölümün içine koydunuz."

Tek fikir

Ağ segmentasyonu, ağı birbirine ancak kurallarla erişebilen bölümlere ayırır; böylece bir yerden içeri giren saldırgan her yere ulaşamaz. Ama bölmenin değeri, bölümler arasındaki kurallardan gelir: bölümler birbirine serbestçe konuşuyorsa, ağ bölünmüş görünür ama bölünmemiştir.

Nasıl çalışır

Modül 15'te ağ bölümlemeyi ve yanal hareketi tanımlamıştık: saldırganın ilk girdiği sistemden aynı ağdaki başka sistemlere geçmesi ve bunu zorlaştırmak için ağın, aralarındaki trafiğin denetlendiği bölümlere ayrılması. Bu ders, bölümlemenin nasıl yapıldığına ve neden çoğu zaman yarım kaldığına bakıyor.

Yanal hareketi önlemek üzerine en açık rehberlerden biri Birleşik Krallık'ın ulusal siber güvenlik merkezinden gelir.

Bölümlemenin araçları birkaç katmandadır.

Birincisi fiziksel ayrımdır: ayrı anahtarlar, ayrı kablolar. En güçlü ama en pahalı yoldur.

İkincisi mantıksal ayrımdır ve bugün en yaygın olanıdır.

VLAN'ın güvenlik değeri tam da bu son cümlededir: farklı VLAN'lar arasındaki trafik bir kapıdan geçmek zorundadır. Ama o kapı her şeye izin veriyorsa, VLAN yalnız bir düzen aracıdır, bir savunma değil. Modül 3'te gördüğümüz alt ağlar da aynı biçimde çalışır: adres aralıkları bölümleri ayırır, aralarındaki yönlendirici ya da güvenlik duvarı kuralları ise bölmeyi gerçek kılar.

Bu yüzden bölümleme iki soruya bölünür: hangi bölümler olacak, ve bölümler arasında hangi trafiğe izin verilecek? İlk soru tasarımın, ikincisi Ders 18.3'teki varsayılan reddetin konusudur. Bölümler arasındaki her kapı, kendi küçük izin listesine sahip olmalıdır.

Bölgeleri belirlerken kullanılan sezgi basittir: aynı bölgede duran sistemler, birbirine karşı korunmaz. Bu yüzden çok farklı değerdeki ya da çok farklı risk taşıyan sistemler aynı bölgeye konmaz. Bora'nın hatası buydu: dört yüz kullanıcı bilgisayarı, yani hastanenin en çok oltalamaya maruz kalan yüzü, en değerli sunucularla aynı bölgedeydi.

Bölümleme ne kadar ince yapılabilir? En uçta, her sistem kendi bölümündedir.

Modül 14'te sıfır güveni bir ilke olarak görmüştük; mikro bölümleme, o ilkenin ağ üzerindeki en somut uygulamalarından biridir. Ama her kurumun mikro bölümlemeye ihtiyacı yoktur ve hemen hiçbir kurum bir günde oraya ulaşamaz. İyi bir başlangıç, en değerli sistemleri en kalabalık bölümden çıkarmaktır.

Sahada

Savunma

İyi bir bölümleme birkaç ilkeye dayanır.

Önce en değerli olanı belirle. NCSC'nin önerdiği gibi kritik iş sistemlerini belirle, grupla ve yalıt. Hangi sistemin ele geçirilmesi en büyük zararı verir? O sistem, en kalabalık bölümde durmamalıdır.

Kullanıcıları sunuculardan ayır. Kullanıcı bilgisayarları oltalamaya, zararlı eklere ve web'e en çok maruz kalan sistemlerdir. Saldırganın ilk adımı çoğu zaman oradadır. Sunucuları kendi bölgelerine almak, o ilk adımdan sonrasını zorlaştırır.

Bölümler arasına izin listesi koy. VLAN'lar ya da alt ağlar tek başına bir savunma değildir; aralarındaki trafik bir güvenlik duvarından geçer ve o güvenlik duvarında varsayılan reddet uygulanır.

Yönetim trafiğini ayır. Sistemleri yöneten bilgisayarlar ve hesaplar kendi bölgelerinde durur; bir kullanıcı bilgisayarından bir sunucunun yönetim arayüzüne ulaşılamaz.

Test ve canlı ortamları ayır. Selin'in deneyimi, bir test hatasının ağ düzeyinde durdurulmasının neden gerektiğini gösteriyor.

Bilgisayarların kendi güvenlik duvarlarını kullan. Rehberin önerdiği gibi bilgisayarların kendi güvenlik duvarları, aynı bölümdeki sistemlerin bile birbirine gereksiz yere ulaşmasını engeller. Bu, mikro bölümlemeye doğru ilk adımdır.

Bölmeyi sına. Kaan'ın taramayı yeni bölgeden çalıştırması, bölmenin gerçekten işe yarayıp yaramadığını gösteren en basit testtir. Denetçinin sorusu da öyleydi: buradan neye ulaşılabiliyor?

Uygulama

Kendi ev ağını bölgeler açısından düşünecek ve bir bölümleme taslağı çizeceksin.

Bittiğinde, cihazların hangi bölgeye gittiğini ve modeminde bir misafir ağı seçeneği olup olmadığını not et.

Defter: Ev cihazları listesi, her birinin kaybı ve iletişim ihtiyacı, üç bölgeli taslak, modemdeki misafir ağı seçeneği, yapılan ya da ertelenen değişiklik.

Hata köşesi

Etik ve sınırlar

Ağ bölümleme kararları, kimin neye erişebileceğini belirler ve bu yüzden işin nasıl yürüdüğünü doğrudan etkiler. Bir bölümü yalıtmak, birilerinin işini durdurabilir; Bora'nın eczane raporlama aracı gibi gizli bağımlılıklar ancak kural değiştikten sonra ortaya çıkar. Bu yüzden bölümleme değişiklikleri iş birimleriyle konuşularak, önce izleme kipinde ve bir geri alma planıyla yapılır. Hastane gibi ortamlarda bir tıbbi cihazın bağlantısını kesmek hasta güvenliğini etkileyebilir; bu kararlar biyomedikal birimle birlikte verilir. Bir bölgeden diğerine hangi trafiğin geçtiğini kaydetmek de bir izleme yeteneğidir; kayıtlar güvenlik amacıyla ve erişimi sınırlı tutulur. Ve bir başkasının ağının bölümlerini dışarıdan keşfetmeye çalışmak, o ağın sahibinin açık izni olmadıkça yapılmaz.

Kapanış

1. Ağ segmentasyonu, ağı birbirine ancak kurallarla erişebilen bölümlere ayırarak, bir yerden içeri giren saldırganın her yere ulaşmasını zorlaştırır; NCSC'nin deyişiyle giriş noktasının hedefe ulaşmanın hiçbir yolu olmayabilir.
2. VLAN'lar ve alt ağlar bölümleri ayırır, ama bölmeyi gerçek kılan, bölümler arasındaki güvenlik duvarı kurallarıdır; o kurallarda da varsayılan reddet uygulanır.
3. Bölümlemenin ilk sorusu en değerli sistemlerin nerede olduğudur: kullanıcılar sunuculardan, test canlıdan, yönetim sıradan kullanımdan ayrılır; en uçta mikro bölümleme her sistemin önüne ayrı bir kapı koyar.

Üç soru

1. Denetçi, Bora'nın üç bölgeli ağı için neden "en değerli şeyleri en kalabalık bölümün içine koydunuz" dedi?
2. Kaan'ın depo bölgesinden çalıştırdığı iç tarama neyi gösterdi?
3. Selin'in test aracının canlı veritabanına bağlanma girişimi neden yalnız parola yüzünden başarısız olmuştu ve ekip ne değiştirdi?

Yanıtlar

1. İdari bölgede dört yüz kullanıcı bilgisayarı ile hastane bilgi sistemi, muhasebe, insan kaynakları, yedekleme ve dizin sunucuları aynı yerdeydi ve aralarında hiçbir kapı yoktu. Kullanıcı bilgisayarları oltalamaya en çok maruz kalan sistemlerdi; bunlardan biri ele geçirilse saldırgan bütün kritik sunuculara her porttan ulaşabilirdi. Ağ bölünmüştü ama en değerli sistemler en riskli sistemlerle aynı bölümdeydi.
2. Depo terminalleri ayrı bir VLAN'a alınıp yalnız depo yönetim sistemine çıkan bir kapıyla sınırlandıktan sonra, aynı bölgeden yapılan tarama yalnız depo yönetim sistemini ve terminallerin kendisini gösterdi; önceden yüzlerce sistem görünüyordu. Bu, bir terminal ele geçirilse saldırganın ulaşabileceği dünyanın ne kadar küçüldüğünü gösterdi.
3. Canlı ve test sistemleri aynı sanal ağdaydı; ağ düzeyinde test aracını canlı veritabanından ayıran hiçbir şey yoktu ve onu yalnız veritabanı parolası durdurmuştu. Ekip canlı ve test ortamlarını ayrı sanal ağlara aldı, aralarında doğrudan bağlantıya izin vermedi ve canlı veritabanını yalnız uygulama sunucularının ulaşabildiği ayrı bir alt ağa koydu.

Sonraki derse köprü

Bölümleme, içerideki sistemleri birbirinden ayırdı. Ama bazı sistemlerin internete açık olması gerekir: web sitesi, e-posta sunucusu. Bunlar içerideki ağla aynı yerde durursa, internetten gelen her saldırı içeriye bir adım daha yakın olur. Ders 18.5, DMZ, internete açık sunucuları iç ağdan ayıran bu ara bölgeyi ele alıyor.