Mikrosegmentasyon Politikası: Doğu-Batı Trafiğini Sınırlamak

Saldırgan bir sunucuyu ele geçirdikten sonra kenar firewall’una bir daha uğramaz. Aynı veri merkezindeki, çoğu zaman aynı alt ağdaki diğer sunuculara SMB, RDP, WinRM ve veritabanı portları üzerinden yayılır; bu doğu-batı trafiği kuzey-güney trafiğini denetleyen cihazın hiç görmediği yoldur. Mikrosegmentasyon bu iç trafiği iş yükü düzeyinde, uygulamanın gerçekten ihtiyaç duyduğu akışlarla sınırlar. Aşağıda politika modelinin kurulmasını, uygulama yönteminin seçimini ve uygulamayı kırmadan zorlamaya geçişi adım adım ele alıyoruz.

Mikrosegmentasyon ile VLAN segmentasyonu arasındaki fark

VLAN tabanlı segmentasyon sunucuları bölgelere ayırır, bölgeler arası trafiği bir firewall veya L3 ACL üzerinden geçirir. Aynı VLAN içindeki iki sunucu arasındaki trafik ise hiçbir denetim noktasından geçmez. VLAN ve gerçek ağ güvenliği farkı yazısında anlattığımız sınır tam olarak budur. Aynı VLAN, aynı kader.

Ölçüt	VLAN/alt ağ segmentasyonu	Mikrosegmentasyon
Denetim birimi	Alt ağ veya bölge	Tek iş yükü veya rol
Politika anahtarı	IP aralığı	Etiket, rol, uygulama
Bölge içi trafik	Denetlenmez	Denetlenir
Değişiklik etkisi	Yeniden adresleme gerekebilir	Kural güncellemesi yeterli
Ön koşul	Ağ tasarımı	Uygulama bağımlılık bilgisi

Kurumsal siber güvenlik projelerinde mikrosegmentasyonun asıl zorluğu teknik değildir; bilgi eksikliğidir. Hangi sunucunun kime, hangi portla, neden bağlandığı çoğu kurumda yazılı değildir. Uygulama sahibi “bizim uygulama sadece veritabanına gider” der, sonra gece çalışan bir rapor işinin dosya sunucusuna yazdığı ortaya çıkar. Bu yüzden iş kural yazmakla değil, keşifle başlar.

Uygulama bağımlılık haritası ve akış keşfi

Keşfin çıktısı, her uygulama için “kaynak rol – hedef rol – protokol/port – gerekçe” satırlarından oluşan bir akış envanteridir. Veri kaynakları birbirini tamamlar:

• Host üzerinde bağlantı gözlemi: Windows’ta güvenlik duvarı logu veya Windows Filtering Platform denetimi (izin verilen bağlantı için olay 5156, engellenen için 5157), Linux’ta ss -tunap ve conntrack kayıtları.
• Ağ akış verisi: NetFlow/IPFIX veya hipervizörün akış görünürlüğü. Host’a dokunmadan geniş resmi verir.
• Uygulama dokümantasyonu ve sahipleri: yıllık veya aylık çalışan işler (kapanış raporu, yıl sonu yedeği) gözlem penceresine düşmeyebilir. Bunları ancak sahibine sorarak bulursunuz.

# Windows: WFP bağlantı denetimini açma (yüksek hacimli olay üretir, süreli kullanın)
auditpol /set /subcategory:"Filtering Platform Connection" /success:enable /failure:enable

# Alternatif: profil bazlı güvenlik duvarı logu
Set-NetFirewallProfile -Profile Domain -LogAllowed True -LogBlocked True `
  -LogMaxSizeKilobytes 32767 `
  -LogFileName "%SystemRoot%\System32\LogFiles\Firewall\pfirewall.log"

WFP denetimi açıkken Security log hızla dolar; denetimi süreli açın ve log boyutunu önceden büyütün. Linux iş yüklerinde aynı gözlem ss -tunap çıktısını periyodik toplayarak veya nftables kurallarına log ifadesi ekleyerek yapılır. Kaynak ne olursa olsun ham veriyi doğrudan kurala çevirmeyin. Önce rol ve uygulama düzeyinde gruplayın; envanter ancak böyle okunur ve onaylanır.

Gözlem süresi en az bir iş döngüsünü, genellikle bir ay kapanışını kapsamalı. Ham bağlantılardan geçici istemci portlarını ayıklayın, hedef taraftaki dinleyen port ve servisi esas alın. Kaynak portuna kural yazılmaz.

Etiket tabanlı politika modeli

IP adresine yazılan kurallar sanal makine taşındığında, ölçeklendiğinde veya yeniden kurulduğunda bozulur. Etiket tabanlı modelde her iş yüküne birkaç boyutta etiket verilir ve kurallar bu etiketler arasında yazılır:

• Uygulama: ERP, CRM, dosya hizmetleri.
• Rol: web, uygulama, veritabanı, yönetim.
• Ortam: üretim, test, geliştirme.
• Konum (gerekirse): merkez veri merkezi, şube, bulut.

Örnek kural: “Uygulama=ERP ve Rol=Uygulama olan iş yükleri, Uygulama=ERP ve Rol=Veritabanı olan iş yüklerine TCP 1433 ile bağlanabilir.” Aynı mantık “Ortam=Test, Ortam=Üretim’e bağlanamaz” gibi kaba ama değerli kuralları da tek satırda ifade eder. Ortak altyapı servisleri (DNS, AD, NTP, yedekleme, izleme, yama) ayrı bir “paylaşılan servisler” kural kümesinde tanımlanır; böylece her uygulama için tekrar yazılmaz. Bu yaklaşım NIST SP 800-207’deki kaynak odaklı erişim fikrinin iç ağdaki karşılığıdır.

Etiket şemasını küçük tutun. Dört boyut yeter. Etiketi kimin atadığı ve yeni sunucunun hangi adımda etiketlendiği belli değilse model birkaç ay içinde IP listesine geri döner.

Uygulama yöntemleri: host, hipervizör ve ağ karşılaştırması

Yöntem	Örnekler	Güçlü yanı	Sınırlaması
Host tabanlı	Windows Defender Firewall, nftables, ajanlı ticari ürünler	Fiziksel, sanal ve bulut iş yükünde aynı model	Yönetici hakkı ele geçirilirse kural kapatılabilir
Hipervizör tabanlı	VMware NSX dağıtık firewall, Proxmox VE firewall	Konuk işletim sisteminden bağımsız, etiketler sanal makineyi izler	Fiziksel sunucuları ve farklı platformları kapsamaz
Ağ tabanlı	Bölge firewall’u, L3 ACL, VRF	Merkezi, host’tan bağımsız	Aynı alt ağ içi trafiği göremez, kural sayısı hızla büyür

Sahada en çok çalışan model karmadır: kaba bölge sınırları ağ firewall’unda, iş yükü düzeyindeki izin listesi host veya hipervizörde uygulanır. Host tabanlı yöntemde kural setini GPO veya yapılandırma yönetimiyle merkezi dağıtın ve yerel kural birleştirmeyi kapatın; aksi halde yerel yönetici kendi izin kuralını ekler ve politikanız delinir.

Örnek: Windows Defender Firewall ile sunucu rolü kuralları

Senaryo: ERP uygulama sunucuları (10.20.10.0/27) ERP veritabanı sunucusundaki SQL Server’a bağlanır; veritabanı sunucusuna yönetim erişimi yalnızca yönetim atlama sunucularından (10.20.99.0/28) yapılır. Kurallar veritabanı sunucusuna uygulanan GPO içinde tanımlanır; aşağıdaki PowerShell eşdeğerini test için kullanabilirsiniz.

# SQL Server: yalnız ERP uygulama katmanından
New-NetFirewallRule -DisplayName "ERP-DB SQL from ERP-APP" -Direction Inbound `
  -Protocol TCP -LocalPort 1433 -RemoteAddress 10.20.10.0/27 `
  -Action Allow -Profile Domain -Group "MS-ERP-DB"

# RDP ve WinRM: yalnız yönetim atlama sunucularından
New-NetFirewallRule -DisplayName "ERP-DB Mgmt from JumpHosts" -Direction Inbound `
  -Protocol TCP -LocalPort 3389,5985,5986 -RemoteAddress 10.20.99.0/28 `
  -Action Allow -Profile Domain -Group "MS-ERP-DB"

# Kural grubunu ve eşleşmeleri gözden geçirme
Get-NetFirewallRule -Group "MS-ERP-DB" | Get-NetFirewallAddressFilter

Konsolda ilk kontrol edilecek noktalar:

• Windows’taki yerleşik izin kuralları (dosya ve yazıcı paylaşımı, uzak yönetim) etkinse yazdığınız dar kurallar anlamını yitirir. Uygulanan GPO’da bu grupların durumunu açıkça belirleyin.
• Dinamik RPC kullanan servislerde -LocalPort RPCEPMap (135) ve -LocalPort RPC anahtar sözcükleri, 49152–65535 aralığını açmaktan çok daha dardır.
• Domain controller’lar istemcilerden DNS (53), Kerberos (88), RPC (135 ve dinamik), LDAP (389/636), SMB (445), Kerberos parola değişikliği (464), Global Catalog (3268/3269) ve saat senkronizasyonu (UDP 123) bağlantısı alır. Bu rolü en sona bırakın.
• Giden yönü unutmayın: veritabanı sunucusunun internete ve iş istasyonlarına giden bağlantısı genellikle gereksizdir. Giden varsayılan engeli ise ancak giden akışları da keşfettikten sonra açın.

Cmdlet parametrelerinin ayrıntısı Microsoft’un New-NetFirewallRule dokümantasyonunda yer alır.

Aşamalı zorlama ve geri dönüş planı

1. Görünürlük: izin ve engelleme loglamasını açın, akış envanterini çıkarın, uygulama sahibine onaylatın.
2. İzin kurallarını ekleme: varsayılan davranışı değiştirmeden izin listesini yayınlayın. Bu aşamada hiçbir şey kırılmaz; amaç kuralların doğru eşleştiğini görmektir.
3. Gölge analiz: belirli bir süre boyunca hiçbir izin kuralına uymayan bağlantıları raporlayın. Bunlar ya eksik kuraldır ya da gerçekten gereksiz trafik.
4. Zorlama: önce test ortamı, sonra düşük kritikteki üretim uygulamaları, en son çekirdek servisler için varsayılan gelen davranışını “engelle”ye çekin. Windows Defender Firewall’da domain profilinin varsayılan gelen davranışı zaten engellemedir; burada zorlama, geniş kapsamlı yerleşik izin kurallarını ve yerel kural birleştirmeyi GPO ile kapatmak anlamına gelir.
5. İşletim: yeni engellenen akışlar için SIEM uyarısı üretin; değişiklik yönetimine “yeni sunucu ve yeni bağımlılık için kural talebi” adımını ekleyin.

Geri dönüş planını her dalgadan önce yazın. GPO ile dağıtılan kurallarda en hızlı yol, ilgili GPO bağlantısını devre dışı bırakıp gpupdate /force çalıştırmaktır; hipervizör tabanlı çözümlerde kural kümesini izleme moduna almak. Geri dönüşü kimin, hangi onayla ve kaç dakikada yapacağı önceden belli olmalı. Gece yarısı karar aranmaz.

Engelleme loglarını tespit amacıyla nasıl kullanacağınızı firewall log analizi rehberinde anlattık. Uygulama envanterini ve etiket modelini kurum genelinde kurgulamak için ağ güvenliği ve segmentasyon ile Zero Trust güvenlik mimarisi çalışmaları birlikte planlanabilir.

Sık sorulan sorular

Mikrosegmentasyon için ayrı bir ürün almak zorunlu mu?

Hayır. Windows Defender Firewall, Linux’ta nftables veya firewalld ve Proxmox VE gibi platformların yerleşik firewall’larıyla host tabanlı bir izin listesi kurulabilir. Ticari ürünler akış görselleştirme, etiket yönetimi ve merkezi raporlamayla işletim yükünü azaltır; ölçek büyüdükçe bu fark belirginleşir.

Mikrosegmentasyon VLAN’ların yerini alır mı?

Almaz, tamamlar. VLAN ve alt ağlar yayın alanını ve kaba bölgeleri belirler; mikrosegmentasyon aynı bölge içindeki iş yükleri arasında hangi akışın serbest olduğunu tanımlar. İkisi birlikte kullanıldığında ele geçirilen bir sunucu komşu sunuculara serbestçe geçemez.

Domain controller’lara mikrosegmentasyon uygulanabilir mi?

Uygulanabilir, ama en son ve en dikkatli ele alınacak roldür. DC’ler istemcilerden çok sayıda porta ve dinamik RPC aralığına bağlantı alır; yanlış bir kural oturum açmayı ve grup ilkesi işlemeyi bozar. Önce izleme modunda uzun süre log toplayın, yönetim erişimini ayrıca kısıtlayın.

Zorlamaya geçtikten sonra bozulan bir uygulamayı nasıl hızlı fark ederiz?

Engellenen bağlantıları mutlaka loglayın. Windows’ta güvenlik duvarı log dosyasını veya 5157 olayını, dağıtık firewall’larda engelleme loglarını SIEM’e aktarın ve yeni engellenen kaynak-hedef-port üçlüleri için uyarı üretin. İlk haftalarda bu uyarıları uygulama sahipleriyle birlikte gözden geçirin.