Ağ Güvenliğinde Katmanlı Yaklaşım

Segmentasyon ile riski sınırlamak

Misafir ağı, personel ağı ve kamera/IoT cihazları birbirinden ayrıldığında, bir alandaki sorun diğerlerine sıçramaz. Segmentasyon, saldırı yüzeyini daraltmanın en etkili yollarından biridir.

Uç nokta ve sürekli izleme

Bilgisayarlar ve sunuculardaki uç nokta koruması, çevre savunmasını aşan tehditlere karşı son hattır. Merkezi izleme ise olağandışı davranışı erken fark etmeyi sağlar.

Güvenlik tek seferlik bir kurulum değil, düzenli güncelleme ve gözden geçirme gerektiren bir süreçtir.

Yeni nesil güvenlik duvarı ne yapar, ne yapmaz?

Geleneksel güvenlik duvarı yalnızca adres ve porta göre karar verir. Yeni nesil güvenlik duvarı ise uygulamayı tanır, kullanıcıyı kimliklendirir ve şifreli trafiği denetleyebilir; saldırı önleme, içerik filtreleme ve zararlı yazılım analizi gibi işlevleri tek cihazda toplar. Bu, ağın çıkış noktasında güçlü bir denetim demektir.

Ancak güvenlik duvarı, içeriden başlayan bir tehdidi ya da ağa zaten girmiş bir cihazı tek başına durduramaz. Bir misafirin zararlı yazılımlı dizüstü bilgisayarı, aynı ağdaki başka bir cihaza güvenlik duvarına hiç uğramadan ulaşabilir. Bu nedenle çevre güvenliği gerekli ama yeterli değildir.

VLAN tasarımı: misafir, operasyon ve IoT ayrımı

Pratik bir segmentasyon, en azından şu grupları ayırır: misafir cihazları, personel ve ofis sistemleri, otel yönetimi ve ödeme sistemleri, kameralar ve bina otomasyonu gibi IoT cihazları, sunucu ve yönetim ağı. Her grup kendi sanal ağında çalışır ve gruplar arasındaki geçişe yalnızca açıkça tanımlanmış kurallarla izin verilir.

Kameralar ve akıllı cihazlar özel dikkat ister. Üreticisi güncelleme yayınlamayan bir kamera, ağdaki en zayıf halka olabilir. Bu cihazları yalnızca kayıt sunucusuyla konuşabilen, internete doğrudan erişimi olmayan bir ağda tutmak, çoğu saldırı senaryosunu baştan geçersiz kılar.

Kablosuz tarafta aynı erişim noktası birden fazla ağ adı yayınlayabilir ve her birini farklı bir sanal ağa eşleyebilir. Personelin kullandığı ağda sertifika tabanlı kimlik doğrulama, paylaşılan tek bir parolanın tüm ekiplerde dolaşmasının önüne geçer.

Erişim kontrolü ve kimlik

Ağa kimin, hangi cihazla ve hangi koşullarda bağlanabileceğini belirleyen bir erişim kontrol katmanı, segmentasyonu tamamlar. Personel cihazları kurumsal kimlikle, yüklenici cihazları süreli izinle, IoT cihazları ise adres ve profil eşleşmesiyle kabul edilir. Tanınmayan bir cihaz ağa takıldığında otomatik olarak izole bir ağa yönlendirilir.

Uzaktan erişimde çok faktörlü kimlik doğrulama artık tercih değil zorunluluktur. Yönetim arayüzlerinin yalnızca yönetim ağından erişilebilir olması ve varsayılan parolaların kurulumun ilk gününde değiştirilmesi, en basit ama en sık atlanan önlemlerdir.

Güncelleme, yedekleme ve olay müdahale planı

Güvenlik, kurulumla biten bir proje değil sürekli bir süreçtir. Anahtar, güvenlik duvarı ve erişim noktası yazılımlarının güncel tutulması, bilinen açıkların büyük bölümünü kapatır. Güncellemeler için planlı bir bakım penceresi ve önceden alınmış yapılandırma yedekleri olmalıdır.

Fidye yazılımı senaryosuna karşı en etkili savunma, ağdan yalıtılmış ve düzenli olarak geri yükleme testi yapılmış yedeklerdir. Bir olay anında kimin ne yapacağını, hangi sistemlerin önce ayrılacağını ve iletişimin nasıl yürüyeceğini tanımlayan kısa bir müdahale planı, panik anında kaybedilen saatleri dakikalara indirir.

Son olarak günlük kayıtlarının merkezi bir yerde toplanması ve anormal davranışların uyarıya dönüşmesi gerekir. Gece saatlerinde kamera ağından dışarıya giden olağandışı bir trafik, çoğu zaman bir sorunun ilk ve tek erken işaretidir.