Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · Kurumsal Web
Ofis, sunucu, misafir, kamera, IoT ve üretim ağlarını trafik ihtiyaçlarına göre ayırıyor, segmentler arası geçişleri firewall politikalarıyla denetleyerek bir saldırının yayılma alanını küçültüyoruz.
Tüm cihazların aynı yayın alanında olması, tek bir zararlının ağın tamamına yayılmasını kolaylaştırır.
VLAN’lar çekirdek switch üzerinde birbirine serbestçe yönlendiriliyorsa ayrım yalnızca kağıt üzerindedir.
Boş bir ağ portuna takılan herhangi bir cihazın kurum ağına erişebilmesi fiziksel saldırıları kolaylaştırır.
Hangi sistemin hangi sistemle, hangi port üzerinden konuştuğunu akış ve firewall loglarıyla çıkarırız.
Kullanıcı, sunucu, yönetim, misafir, ses, kamera/IoT ve üretim segmentleri; adresleme ve isimlendirme standardı.
İç firewall veya L3 ACL ile izin verilen akışların tanımlanması, varsayılan olarak engelleme.
802.1X/NAC, port güvenliği, MAC kimlik doğrulama ve misafir ağı için portal veya ayrı SSID.
Segmentasyon projelerinde en büyük risk, gözden kaçan bir uygulama bağımlılığının kesintiye yol açmasıdır. Bu yüzden önce gözlem yapılır, sonra politika uygulanır. Segmentler arası trafik firewall politikalarıyla denetlenir; üretim ortamları için IT/OT segmentasyonu ayrıca ele alınır. VLAN ve yönlendirme altyapısının kurulumu tarafında Eretek Network VLAN ve routing hizmeti ile birlikte çalışılır.
Her segment için izin verilen kaynak, hedef ve servisler tanımlanır; tanımsız trafik engellenir ve loglanır. Böylece hem güvenlik hem de sorun giderme kolaylaşır.
Gerçek model, kurumun uygulama envanterine ve risk profiline göre uyarlanır.
Masaüstü ve dizüstü bilgisayarlar
Sunuculara yalnızca uygulama portları; kullanıcılar arası trafik sınırlı
Uygulama, dosya ve veritabanı sunucuları
Katmanlar arası tanımlı akışlar; internete doğrudan çıkış yok
Switch, firewall, hypervisor, iDRAC/iLO arayüzleri
Yalnızca yönetim istasyonları ve PAM üzerinden erişim
Ziyaretçi cihazları
Yalnızca internet; kurum ağına erişim yok
IP kamera, NVR, yazıcı, bina sistemleri
Yalnızca kayıt/yönetim sunucusuna; internete çıkış kapalı
PLC, HMI, SCADA
IT ile arada DMZ; tedarikçi erişimi süreli ve kayıtlı
İlk görüşmede hedef sistemleri, erişim yetkilerini, veri hassasiyetini ve iş sürekliliği beklentilerini belirliyoruz. Mevcut durumu kontrol ederek kapsam ve öncelik matrisi çıkarıyor; değişiklikleri kontrol noktaları, test ve geri dönüş planıyla uyguluyor, bulguları kayıt altına alıyoruz. Teslim edilen çıktılar sözleşme kapsamına göre netleştirilir.
Çoğu yönetilebilir switch VLAN ve temel ACL desteği sunar. Segmentler arası stateful denetim için genellikle firewall kullanılır; cihaz envanteri değerlendirmenin ilk adımıdır.
Gözlem aşaması ve izleme modu bu riski azaltmak için vardır. Engelleme modu, beklenmeyen trafik loglarda temizlendikten sonra devreye alınır.
Zorunlu değildir; ancak fiziksel erişimin kontrol edilemediği ofis ve üretim alanlarında güçlü bir kontroldür. Kademeli olarak kritik alanlardan başlanabilir.
Sunucu veya iş yükü düzeyinde ayrımdır. Sanallaştırılmış veri merkezlerinde değerlidir; çoğu kurum için önce makro segmentasyonun tamamlanması önerilir.
Ofis, sunucu, misafir, kamera ve üretim ağlarını trafik ihtiyaçlarına göre ayırarak yatay hareket riskini azaltıyoruz.
Akış verisi ve loglarla mevcut iletişim haritası çıkarılır.
Segment modeli, adresleme ve izin matrisi hazırlanır.
Segmentler önce izleme modunda, sonra engelleme modunda devreye alınır.
Erişim testleri yapılır, dokümantasyon ve değişiklik prosedürü teslim edilir.
Mevcut ortamınızı ve hedeflerinizi konuşalım; öncelikli adımları belirleyelim.