Mikro-segmentasyon
Bir sunucu ele geçirilse bile saldırı oradan öteye geçemesin
Aynı ağdaki sunucularınızın birbiriyle yalnız gereken portlardan konuşmasına izin verin; gerisi kurala takılır. Kural her sanal makinenin ağ kartında uygulanır, sunuculara ajan kurulmaz ve trafiğin geçmek zorunda olduğu bir darboğaz yoktur.
Neden şimdi
- Bir sızma testinde web sunucusu ele geçirildi ve test uzmanı oradan doğrudan veritabanı portuna ulaştı. Raporun ilk bulgusu: 'iç ağ düz, sunucular arasında hiçbir kural yok'.
- Sektörünüzdeki bir şirketin bütün sunucuları tek bir hafta sonunda fidye yazılımıyla şifrelendi. Yönetim kuruluna 'bizde bir sunucu düşerse ne olur?' sorusunun cevabı gerekiyor.
- Test ortamındaki bir betik yanlışlıkla üretim veritabanına bağlanıp kayıt sildi. İki ortam aynı ağda durmak zorunda, ama birbirine ulaşmamaları gerekiyordu.
- Denetçi, ödeme verilerini tutan sunuculara hangi sunucuların erişebildiğini soruyor. Cevap şu an yalnız ağ şemasında ve ekibin hafızasında.
- Her yeni sunucu için iç güvenlik duvarına IP adresi eklemek unutuluyor; kural tablosu eskimiş adreslerle dolu ve kimse silmeye cesaret edemiyor.
Neler değişir
| Bugün | Nesnet ile |
|---|---|
| Ele geçirilen bir sunucudan ağdaki her sunucuya ulaşılabilir. | Sunucular yalnız izin verilen portlardan konuşur; izinsiz ilk bağlantı denemesi kurala takılır ve kayıtlarda görünür. |
| İç trafik tek bir güvenlik cihazından geçer ve o cihaz hem darboğaz hem tek arıza noktasıdır. | Kural her sanal makinenin ağ kartında uygulanır; trafiğin geçmek zorunda olduğu tek bir cihaz yoktur. |
| Yeni sunucu açıldığında IP adresi elle kurallara eklenir ve sık sık unutulur. | Sunucu etiketi, adı ya da işletim sistemiyle doğru gruba kendiliğinden girer ve o grubun kurallarını alır. |
| Test ve üretimi ayırmak için ağ düzenini yeniden kurmak gerekir. | Etiketle ayrılan iki ortam, ağ değişmeden birbirine kapalı hâle gelir. |
| Kimin kime erişebildiği ağ şemasından ve hafızadan anlatılır. | Erişim, grup adlarıyla yazılmış kurallarla ve dışa aktarılan kayıtlarla gösterilir. |
Bugünden canlıya: nasıl işler
- 1
Keşif görüşmesi
Hangi uygulamaların hangi katmanlardan oluştuğunu ve neyi birbirinden ayırmak istediğinizi Nesnet ekibiyle konuşursunuz. Görüşmenin sonunda kapsama girecek ortamlar ve fiyatı belirleyen kalemler bellidir.
- 2
Ortamların bir araya alınması
Kapsama girecek ortamlar bir veri merkezi grubunda toplanır ve grupta dağıtık güvenlik duvarı açılır. Bu adım mevcut ağ düzeninizi değiştirmez.
- 3
Gruplar ve etiketler
Uygulama katmanları etiket, ad ya da statik üyelikle gruplara dönüştürülür. Grupların hangi sanal makineleri içerdiğini portalda kontrol edersiniz.
- 4
Önce izle, sonra kapat
Kurallar önce kayıt açık izin kurallarıyla yazılır ve gerçekte hangi bağlantıların kullanıldığı görülür. Gerekenler bırakılır, gerisi kapatılır.
- 5
Canlıda izleme
Kural kayıtları portalda izlenir, beklenmeyen bağlantı denemeleri buradan görülür. Yeni sunucular doğru etiketle açıldıkça kurallarını kendiliğinden alır.
Neler alırsınız
Saldırının yayılma yolunu kesin
Sunucular arasındaki trafik yalnız izin verdiğiniz portlarla sınırlandığında, ele geçirilen bir sunucudan başlayan yanal (doğu-batı) hareket izin verilmeyen ilk bağlantıda kurala takılır. Fidye yazılımı tek sunucuda kalır, deneme kayıtlarda görünür.
Sunuculara ajan kurmadan koruma
Kural hipervizör çekirdeğinde, sanal makinenin ağ kartında uygulanır; misafir işletim sistemine hiçbir yazılım eklenmez. Eski bir Windows sunucusu ya da üreticisinin desteği bitmiş bir cihaz da aynı kurallarla korunur.
Darboğazsız iç güvenlik duvarı
Trafik tek bir güvenlik cihazına uğramak zorunda kalmaz, kural her makinenin bulunduğu hipervizörde karar verir. Sunucu sayısı büyüdükçe denetim de onunla birlikte büyür; tek bir cihazın arızası bütün iç trafiği durdurmaz.
Sunucu taşınsa da kural yerinde
Sanal makine bakım ya da denge için başka bir fiziksel sunucuya canlı taşındığında kuralını da beraberinde götürür. Taşınan makine yeni yerinde de aynı kurallarla çalışır, kimsenin kural tablosunu güncellemesi gerekmez.
Kuralları portaldan kendiniz yönetin
Kuralları portalda kendiniz yazar, açıp kapatır, sırasını yukarı ya da aşağı taşır, düzenler veya silersiniz. Her kurala ad, kaynak, hedef, uygulama port profili ve kayıt seçeneği verilir; Nesnet'e talep açıp beklemezsiniz.
Ağ geçidiyle aynı kural dili
Kurallar izin ver, düşür ya da reddet eylemiyle; gelen, giden ya da iki yönlü olarak ve IPv4, IPv6 ya da ikisi için yazılır. Sınırdaki güvenlik duvarını bilen bir ekip, sunucular arası kuralı ilk gün yazmaya başlar.
"Bu grup dışında kimse" kuralı
Kaynak ya da hedef grup için hariç tut seçildiğinde kural, o grubun dışında kalan her şeye uygulanır. 'Veritabanına uygulama sunucuları dışında kimse ulaşamaz' kuralı böylece tek satırda yazılır ve yeni sunucular için yeniden düzenlenmez.
Etiketle büyüyen gruplar
Sanal makinelere 'web', 'veritabanı' ya da 'üretim' gibi güvenlik etiketleri verirsiniz; etiketler kuruluşunuz genelinde ortaktır ve etikete göre arama yapılır. Yeni bir veritabanı sunucusuna doğru etiketi verdiğiniz anda o katmanın kuralları ona da uygulanır.
Ada ve işletim sistemine göre gruplar
Sanal makine adına ya da algılanan işletim sistemine göre de (eşit, içerir, ile başlar, ile biter) gruba girer. Bir kriter en fazla dört koşul, bir grup en fazla üç kriter taşır; tutarlı bir adlandırma düzeniniz varsa etiket vermeden de gruplar kendiliğinden dolar.
Statik gruplar, IP ve MAC kümeleri
Bir ağın tamamı statik grup olarak, sanal makine dışındaki adresler IP kümesi ya da MAC kümesi olarak tanımlanır. Ofisten gelen bir yönetim ağı ya da tünelin arkasındaki bir cihaz da kuralda adıyla yer alır.
Kuralın kime uygulandığını görün
Bir grubun hangi sanal makineleri içerdiği portalda listelenir. Kuralın gerçekte hangi sunuculara uygulandığını tahmin etmezsiniz; yanlış etiketlenmiş bir sunucu daha kural devreye girmeden fark edilir.
Uygulamaya göre eşleşen kurallar
Port profillerinin yanında bağlam profiliyle kural, trafiği üreten uygulamaya göre de eşleşebilir. Aynı portu kullanan iki farklı uygulamayı ayırmak ya da beklenmeyen bir uygulamanın standart portu kullanmasını engellemek bu yolla yapılır.
Birden fazla ortam, tek kural seti
Birden fazla ortam tek bir veri merkezi grubu altında, ortak ağlarla birlikte aynı dağıtık güvenlik duvarı sınırına alınır. Ortamlar arasındaki trafik de aynı kural setiyle yönetilir; dinamik gruplar ağ geçidi kurallarında da kullanılır.
Dönüş trafiği için kural yazmayın
Dağıtık güvenlik duvarı bağlantının durumunu izler; izin verilen bir bağlantının dönüş trafiği için ayrı kural gerekmez. Kural tablosu bu sayede kısa kalır ve ekibe yeni katılan biri tarafından da okunur.
Kural kayıtları portalda
Kaydı açık kuralların kayıtları portaldaki kayıt sekmesinde izlenir, yenilenir, kural kimliği ve zaman aralığıyla aranır ve CSV olarak dışa aktarılır. Bir sunucudan beklenmeyen bağlantı denemesi yapılıp yapılmadığını buradan görürsünüz.
Test ve üretimi birbirine kapatın
Sanal makineler 'test' ve 'üretim' etiketleriyle ayrı gruplara girer ve iki grup arasındaki trafik kapatılır. Ağ düzeni değişmeden iki ortam birbirine kapalı hâle gelir; test betiği üretim veritabanına yanlışlıkla bağlanamaz.
Denetime kuralla cevap verin
Hassas veri tutan sunuculara kimin erişebildiği, grup adlarıyla yazılmış kurallarla gösterilir; kural kayıtları dışa aktarılıp denetim dosyasına eklenir. Erişim sorusu ağ şemasıyla değil, çalışan kuralla ve kaydıyla cevaplanır.
Kim kiminle konuşuyor, görün
Kurallarınızdan çıkarılan ulaşılabilirlik haritası hangi sunucunun hangisine erişebildiğini gösterir ve henüz kural yoksa ağın düz olduğunu açıkça söyler. Kural yazmaya başlamadan önce nereden başlayacağınızı, yazdıktan sonra neyin kapandığını görürsünüz.
Neden Nesnet
Darboğaz olmayan kural
Kural her sanal makinenin ağ kartında, o makinenin çalıştığı hipervizörde uygulanır; trafiğin üzerinden geçtiği tek bir güvenlik cihazı yoktur. Tek bir cihazın arızası bütün iç trafiği etkilemez, kural yönlendirme ya da VLAN düzeninizden bağımsız çalışır.
Bakım ve taşıma kuralı geride bırakmaz
Nesnet platformunda sanal makineler yük dengesi ve bakım için fiziksel sunucular arasında çalışırken taşınır. Kural makinenin ağ kartına bağlı olduğu için taşıma kuralı geride bırakmaz; bakım takvimi güvenlik düzeninizi bozmaz.
Sınır, iç ağ ve web katmanı aynı ekipte
Ağ geçidindeki güvenlik duvarı sınırı, dağıtık güvenlik duvarı sunucular arasını, yük dengeleyicideki WAF web trafiğini korur. Üçü aynı platformda ve aynı işletim ekibinin elindedir; bir bağlantının neden kesildiğini ararken farklı üreticilerin kayıtlarını birleştirmezsiniz.
Aynı kural dili, sınırda da içeride de
Dağıtık güvenlik duvarının kural modeli ağ geçidindeki güvenlik duvarıyla aynıdır; eylemler, yönler ve gruplar iki tarafta aynı adla geçer. Ekibiniz iki ayrı ürün dili öğrenmez, dinamik gruplar iki tarafta da kullanılır.
Sunucularınız Türkiye'de
Kurallar ve korunan sunucular Equinix İstanbul (Dudullu) ve Türk Telekom Ankara veri merkezlerindeki Nesnet donanımında çalışır. Kural kayıtlarınız da Türkiye'de tutulur.
Örnek senaryolar
Üç katmanlı uygulamayı katman katman kapatan şirket
Durum
Bir şirketin web, uygulama ve veritabanı sunucuları aynı ağda. Sızma testinde ele geçirilen web sunucusundan doğrudan veritabanı portuna ulaşıldı.
Sonuç
Sunucular etiketlerine göre web, uygulama ve veritabanı gruplarına giriyor. Web grubundan uygulama grubuna yalnız uygulama portu, uygulama grubundan veritabanına yalnız veritabanı portu açılıyor; tekrarlanan testte web sunucusundan veritabanına giden deneme kurala takılıyor.
Fidye yazılımına karşı yayılma yolunu daraltan kurum
Durum
Bir kurum, ele geçirilen tek bir sunucudan bütün ortama yayılan fidye yazılımı senaryosunu önlemek istiyor. Sunucular arasındaki trafik bugün hiçbir kurala bağlı değil.
Sonuç
Önce kayıt açık izin kurallarıyla hangi bağlantıların gerçekten kullanıldığı görülüyor, ardından yalnız gerekenler bırakılıp gerisi kapatılıyor. Ele geçirilen bir sunucudan başlayan yanal hareket ilk izinsiz bağlantıda duruyor.
Aynı ağda test ve üretimi ayıran yazılım ekibi
Durum
Bir yazılım ekibi test ve üretim sunucularını ağ düzeni gereği aynı ağda tutuyor. Geçen ay bir test betiği üretim veritabanına bağlanıp kayıt sildi.
Sonuç
Sanal makineler 'test' ve 'üretim' etiketleriyle ayrı gruplara giriyor ve iki grup arasındaki trafik kapatılıyor. Ağ düzeni değişmeden iki ortam birbirine kapalı hâle geliyor.
Denetime kural ve kayıtla giren ödeme ekibi
Durum
Bir denetçi, ödeme verilerini tutan sunuculara hangi sunucuların erişebildiğini soruyor. Bugün bu sorunun cevabı ağ şemasında ve ekibin hafızasında.
Sonuç
Erişim, grup adlarıyla yazılmış dağıtık güvenlik duvarı kurallarıyla gösteriliyor. Kural kayıtları dışa aktarılıyor; denetçiye kural ve kayıt birlikte sunuluyor.
Her hafta sunucu açan ve kuralı unutmayan ekip
Durum
Bir ekip yoğun dönemlerde her hafta yeni uygulama sunucusu açıyor. Eski düzende her yeni IP adresinin iç kurallara eklenmesi unutuluyordu.
Sonuç
Sunucular şablondan doğru etiketle açılıyor ve uygulama grubunun kurallarını kendiliğinden alıyor. Kural tablosu IP adresleriyle değil grup adlarıyla yazılı kalıyor ve büyümüyor.
Kim neyi yapar
| Nesnet | Siz |
|---|---|
| Dağıtık güvenlik duvarını, hipervizörleri ve bulut portalını işletir; yamaları düzenli uygular. | Kuralları portaldan yazar, sıralar ve kayıtlarını izlersiniz. |
| Ortamlarınızı bir veri merkezi grubunda toplar ve dağıtık güvenlik duvarını açar. | Sanal makinelerinize güvenlik etiketlerini verir, şablonlarınızı doğru etiketle hazırlarsınız. |
| Kayıtların portalda görünmesi için kayıt altyapısını bağlar. | Ada göre grupların doğru çalışması için sunucu adlandırma düzeninizi tutarlı tutarsınız. |
| Ağ geçidindeki güvenlik duvarını, dağıtık güvenlik duvarını ve yük dengeleyiciyi aynı ekip olarak yönetir. | Kullanılmayan izinleri düzenli aralıklarla gözden geçirip kaldırırsınız. |
Kimler için
Çok katmanlı uygulama çalıştıran ekipler
Web, uygulama ve veritabanı katmanları olan uygulamaları çalıştıran ekipler. Katmanlar arasında yalnız gereken portlar açık kalır; web sunucusundaki bir açık veritabanına giden kapıyı açmaz.
Fidye yazılımı riskini küçültmek isteyen kurumlar
Tek bir ele geçirilmiş sunucunun bütün ortamı şifrelemesinden korkan kurumlar. Sunucular arasındaki trafik kurala bağlandığında saldırının yayılma yolu daralır ve deneme kayıtlarda görünür.
Test ve üretimi aynı ağda tutmak zorunda olanlar
Ağ düzeni gereği test ve üretim sunucularını aynı ağda çalıştıran ekipler. Etiketle ayrılan test ve üretim, ağ düzenine dokunmadan birbirine kapanır.
Sunucu sayısı sık değişen ekipler
Her hafta yeni sunucu açıp kapatan ekipler. Kurallar IP adresine değil etikete, sunucu adına ya da işletim sistemine bağlandığı için yeni sunucu doğru gruba kendiliğinden girer.
Denetime hazırlanan kurumlar
Hassas veri tutan sunuculara kimin erişebildiğini yazılı kuralla göstermesi gereken kurumlar. Erişim, grup adlarıyla yazılmış kurallarla ve kayıtlarla gösterilir.
Uygun olmayabilir
İnternetten gelen trafiği süzmek bu hizmetin işi değildir. Ağın sınırı için Güvenlik Duvarı sayfasındaki ağ geçidi kuralları kullanılır; mikro-segmentasyon onları tamamlar.
Tek bir sunucuyla ya da birbirinden tamamen ayrı iki üç sunucuyla çalışıyorsanız sunucular arası kural yazmak fazla iş çıkarır; sınırdaki güvenlik duvarı yeterlidir.
Altyapının içi
Mikro-segmentasyon, sanallaştırma katmanına gömülü dağıtık güvenlik duvarıyla verilir ve bulut portalından yönetilir. Dağıtık güvenlik duvarı edge'de değil, birden fazla sanal veri merkezini bir araya getiren veri merkezi grubu seviyesinde çalışır; grup başına açılıp kapanır ve bir güvenlik politikası ile kural seti olarak yönetilir. Kurallar portaldan yazılır, sıralanır ve kayıtları portalda izlenir. Kural, hipervizörde her sanal makinenin ağ kartında uygulanır ve durumsaldır (stateful); dönen trafik için ayrı kural yazılmaz. Nesnet bu platformu, sınırdaki edge güvenlik duvarını ve yük dengeleyiciyi tek ekip olarak işletir; kayıt altyapısını portala bağlar, hipervizör ve ağ yamalarını düzenli uygular.
Yapı taşları
- Dağıtık güvenlik duvarı
- kuralları her sanal makinenin ağ kartında uygular
- Bulut portalı ve veri merkezi grubu
- kural sınırı, gruplar, etiketler ve kayıt görünümü
- Sanallaştırma katmanı
- kuralın uygulandığı hipervizör; otomatik yük dengeleme ve canlı taşıma
Diğer seçeneklerle karşılaştırma
| Seçenek | Ne zaman doğru seçim |
|---|---|
| Yalnız edge güvenlik duvarı | Sunucu gruplarınız az ve asıl ihtiyacınız internetten gelen trafiği sınırlamaksa, Güvenlik Duvarı sayfasındaki edge kuralları yeterlidir. Sunucular arası trafiği kurala bağlama ihtiyacı doğduğunda mikro-segmentasyon sonradan eklenir. |
| Sanal güvenlik duvarı cihazı (yaygın güvenlik duvarı markalarının sanal sürümleri) | Kurumsal politikanız sınırda belirli bir üreticinin cihazını şart koşuyorsa bu sanal cihazlardan biri ortamınızın sınırında kullanılabilir. Bu cihazlar sınırı korur; sunucular arası kural yine dağıtık güvenlik duvarının işidir. |
Teknik özellikler
| Kural sınırı | Veri Merkezi Grubu (birden fazla sanal veri merkezi) |
|---|---|
| Etkinleştirme | Grup başına açılıp kapanır |
| Uygulama noktası | Her sanal makinenin ağ kartı, hipervizör çekirdeği; durumsal |
| Taşınma | Sanal makine başka sunucuya geçse de kural ağ kartında kalır |
| Çoklu ortam | Birden fazla ortam tek grup altında, ortak ağlarla |
| Tek nokta arızası | Tek bir güvenlik cihazı yok |
| Eylem / yön / IP | İzin ver, düşür, reddet; gelen, giden, iki yön; IPv4, IPv6 |
|---|---|
| Hariç tut | Kaynak ya da hedef grubun dışındaki her şey |
| Dinamik gruplar | Etiket ya da ad (içerir / ile başlar); VE / VEYA |
| Statik gruplar | Ağ, IP kümesi; üye sanal makine listesi |
| Güvenlik etiketleri | Kuruluş genelinde; etikete göre arama |
| Kural kayıtları | Kural kimliği ve zaman aralığıyla sorgu |
| Kural yönetimi | Portaldan kiracı; bağlam profili, kayıt, sıralama |
| Dinamik grup kriterleri | VM adı, işletim sistemi adı, etiket; 4 koşul × 3 kriter |
| IP ve MAC kümeleri | Var |
| Portal kayıt görünümü | CSV dışa aktarma |
| Canlı taşıma | Tam otomatik yük dengesi |
|---|---|
| Veri merkezleri | Equinix İstanbul (Dudullu) ve Türk Telekom Ankara |
Bir şey bozulursa
Bir hipervizör arızalanırsa
Kural her hipervizörde ayrı uygulandığı için tek bir sunucunun ya da cihazın arızası diğer sunuculardaki iç trafiği etkilemez. Arızalanan sunucudaki sanal makineler platformdaki diğer sunucularda kendiliğinden yeniden başlatılır.
Sanal makine başka sunucuya taşınırsa
Bakım ya da yük dengesi için yapılan canlı taşımada kural sanal makinenin ağ kartıyla birlikte gider. Taşınan makine, yeni sunucusunda da aynı kurallarla çalışır.
Sık sorulan sorular
Fiyatlandırma ve ilk adım
Fiyatlandırma
Mikro-segmentasyon kapsamındaki ortamlar aylık faturalanır; uygulama katmanı denetimi ya da imza tabanlı saldırı tespiti eklenirse ayrı bir kalem olarak görünür. Fiyatı kapsama alınan ortamlar ve seçtiğiniz kalemler belirler; teklifinizi Nesnet ekibi hazırlar.
Fiyatı belirleyenler
- Veri Merkezi Grubuna alınan ortamlardaki sanal makinelerin sayısı ve boyutu
- Bu sanal makinelerin kullandığı depolama miktarı (GB)
- İmza tabanlı saldırı tespiti ve uygulama katmanı denetimi eklenirse fiyat kitabındaki edge başına ayrı kalem
Nasıl başlarsınız
- 1.Uygulamalarınızı ve ayırmak istediğiniz katmanları formla ya da 0800 606 1071'i arayarak anlatın.
- 2.Kapsam ve fiyat bir görüşmede netleşir.
- 3.Ortamlarınız gruplanır, ilk kuralınızı kayıt açık olarak portaldan yazarsınız.
Bir sunucunun açığı bütün ağın açığı olmasın
Uygulamalarınızın hangi katmanlardan oluştuğunu ve neyi birbirinden ayırmak istediğinizi Nesnet ekibine anlatın; aynı iş günü içinde dönüş yapılır. Kural her sunucunun ağ kartında çalışır, sunuculara ajan kurulmaz.