Ağ bölütleme: VLAN, DMZ, mikro bölütleme

Altay Kargo'nun güvenlik ekibi bir pazartesi sabahı tuhaf bir kayıt gördü. Depodaki etiket yazıcısı gece boyunca muhasebe sunucusuna bağlanmayı denemişti. Yazıcının yazılımı yıllardır güncellenmemişti ve saldırgan onu ilk basamak yapmıştı.

Ağ düzdü: yazıcı, kasa bilgisayarları ve sunucular aynı yayın alanını paylaşıyordu. Aralarında hiçbir denetim noktası yoktu. Bu tür ağda tek bir zayıf cihaz bütün ağın kapısını açar.

Bölütleme bu kapıları birbirinden ayırır. Ağı küçük parçalara böler ve parçalar arasına kural koyar. Bu derste VLAN'ın nasıl sınır çizdiğini, DMZ'nin dışa açık servisleri nasıl ayırdığını ve mikro bölütlemenin tek sunucuya kadar nasıl indiğini göreceksin. Her adımda aynı ilkeyi izleyeceksin: yakınlık güven demek değildir.

Düz bir ağda her cihaz her cihazla doğrudan konuşur. Aynı anahtara bağlı olmak aynı güven seviyesinde olmak anlamına gelmemelidir. Saldırgan çoğu zaman en az izlenen makineyi seçer, çünkü içeri girmenin en ucuz yolu odur.

İçeri girdikten sonra ele geçirdiği makineden komşularına sıçrar. Bu işe yanal hareket (lateral movement) denir. İnternet ile iç ağ arasındaki trafiğe kuzey-güney, iç ağdaki makineler arasındaki trafiğe doğu-batı trafiği denir.

Sınırdaki duvar kuzey-güney trafiğini süzer, doğu-batı trafiğini çoğu zaman hiç görmez. MITRE ATT&CK, ağ bölütlemeyi M1030 kimliğiyle bir önlem olarak kaydeder. Tanım yalındır: ağı küçük, yalıtılmış parçalara böl ve aralarındaki akışı denetle.

VLAN (sanal yerel ağ), kabloyu değiştirmeden cihazları mantıksal gruplara ayırır. Anahtar her çerçeveyi bir VLAN'a bağlar ve farklı VLAN'lar arasında çerçeve taşımaz. Anahtarlar arasındaki hatta bu bilgiyi 802.1Q etiketi taşır. Etiket dört bayttır ve kaynak MAC adresinden sonra girer.

İlk iki bayt 0x8100 değerini, son 12 bit VLAN kimliğini taşır. 0 ve 4095 ayrılmıştır, bu yüzden 1 ile 4094 arası kimlik kullanılır. Anahtar portları iki türdür. Erişim portu (access port) tek bir VLAN'a aittir ve bilgisayara etiketsiz çerçeve verir.

Omurga portu (trunk port) birden çok VLAN taşır ve çerçeveleri etiketler. Omurgada etiketsiz giden tek VLAN'a yerel VLAN (native VLAN) denir. Birçok anahtarda yerel VLAN varsayılan olarak VLAN 1'dir.

Linux sunucusu da omurga portuna bağlanıp birden çok VLAN'da konuşabilir. Altay Kargo'nun yedekleme sunucusu depo VLAN'ına eth0.20 adlı bir alt arayüzle bağlanır. Bu alt arayüz çekirdekte ayrı bir ağ kartı gibi görünür.

Giden her çerçeveye etiketi çekirdek ekler, gelen çerçeveden etiketi yine o söker. Arayüzün hangi VLAN'ı taşıdığını ip komutunun ayrıntı bayrağıyla görürsün. Komut yalnız okuma yapar, yönetici yetkisi istemez.

$ ip -d link show eth0.20
5: eth0.20@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether 52:54:00:3a:7c:10 brd ff:ff:ff:ff:ff:ff promiscuity 0 minmtu 0 maxmtu 65535
    vlan protocol 802.1Q id 20 <REORDER_HDR> addrgenmode eui64 numtxqueues 1 numrxqueues 1

İlk satırda arayüzün adı eth0.20@eth0 biçimindedir. @ işaretinden sonraki eth0, etiketli çerçevelerin çıktığı fiziksel karttır. UP ve LOWER_UP, hem alt arayüzün hem kartın açık olduğunu söyler.

İkinci satırdaki MAC adresi fiziksel kartla aynıdır, alt arayüz onu paylaşır. Asıl bilgi üçüncü satırdadır: vlan protocol 802.1Q id 20. Bu arayüzden çıkan her çerçeve 20 numaralı etiketi alır.

REORDER_HDR bayrağı, çekirdeğin etiketi söküp üst katmana düz bir Ethernet çerçevesi verdiğini gösterir. Aynı trafiği Wireshark'ta vlan.id == 20 filtresiyle süzersin. Bir erişim portundan yakalama yaparsan hiç etiket görmezsin, çünkü anahtar etiketi o porta vermeden önce söker.

$ ip -d link show eth1.30
7: eth1.30@eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether 52:54:00:5b:21:0e brd ff:ff:ff:ff:ff:ff promiscuity 0 minmtu 0 maxmtu 65535
    vlan protocol 802.1Q id 30 <REORDER_HDR> addrgenmode eui64

VLAN yayın alanını böler ama iki VLAN'ı birbirinden kendiliğinden korumaz. İki VLAN arasında trafik taşımak için bir yönlendirici ya da katman 3 anahtarı gerekir. Bu geçiş noktasında erişim listesi (ACL) yoksa yönlendirici her VLAN'ı her VLAN'a bağlar.

Kâğıt üstünde ağ bölünmüş görünür, pratikte düz ağdan farkı kalmaz. Altay Kargo'da durum tam olarak buydu. Depo, ofis ve sunucular ayrı VLAN'lardaydı ama çekirdek anahtar aralarındaki trafiği hiçbir kural olmadan yönlendiriyordu.

Yazıcıdan muhasebe sunucusuna giden yol bu yüzden açık kaldı. Ayrımın güvenlik değeri VLAN'lar arasındaki kural setinden gelir. Hangi VLAN hangi VLAN'a, hangi portla gidebilir sorusunun yazılı bir cevabı olmalıdır.

VLAN'ın kendine özgü bir zaafı da vardır: VLAN atlama (VLAN hopping). İki biçimi bilinir. Birincisi anahtar taklididir (switch spoofing).

Bazı anahtarlar portta omurgayı kendiliğinden pazarlık eden bir protokol çalıştırır, en bilineni DTP'dir. Saldırgan bilgisayarını anahtar gibi tanıtırsa port omurgaya döner ve bütün VLAN'ların trafiği ona açılır. İkincisi çift etikettir (double tagging).

Saldırgan, yerel VLAN'daki bir porttan iki etiketli bir çerçeve yollar. İlk anahtar dış etiketi söker, iç etiket omurgada kalır ve ikinci anahtar çerçeveyi hedef VLAN'a teslim eder. Bu teknikleri gözlemek istersen yalnız kendi lab ortamında ya da yazılı iznin olan ağda dene.

Savunma birkaç yapılandırma alışkanlığına dayanır. Kullanıcı portlarını sabit erişim portu yapar, omurga pazarlığını kapatırsın; böylece hiçbir bilgisayar portu omurgaya çeviremez. Yerel VLAN'ı hiçbir cihazın kullanmadığı bir kimliğe taşırsın. Çift etiket için gereken başlangıç noktası böylece ortadan kalkar.

Omurgada yalnız gereken VLAN'ları taşırsın, bütün listeyi açık bırakmazsın. Kullanılmayan portları kapatır, boş bir VLAN'a alırsın. İki sık hatayı özellikle ara. Birincisi her şeyin varsayılan VLAN 1'de bırakılmasıdır; kullanıcılar, anahtarların kontrol trafiği ve yönetim aynı yerde buluşur.

İkincisi anahtar ve duvar yönetim sayfalarının kullanıcı VLAN'ından açılabilmesidir. Bir kullanıcı bilgisayarı ele geçerse saldırgan ilk bu sayfalara yönelir. Yönetim arayüzleri bu yüzden ayrı bir yönetim VLAN'ında durur.

DMZ, dışa açık servisleri iç ağdan ayıran ayrı bir bölgedir. Web sitesi, e-posta ağ geçidi ya da müşteri portalı gibi internete cevap veren sistemler burada durur. Bu sistemler en çok saldırıyı alır, çünkü herkes onlara ulaşabilir. Biri ele geçse bile saldırgan doğrudan iç ağa geçemez, çünkü DMZ ile iç ağ arasında ayrı bir duvar durur.

İnternetten DMZ'ye yalnız yayımlanan servisin portu açılır, çoğu zaman 443. DMZ'den iç ağa ise neredeyse hiçbir şey açılmaz. Açılan her yol tek bir sunucuya, tek bir porta ve tek bir yöne bağlanır.

DMZ'de sık görülen bir yapı ters vekildir (reverse proxy). Ters vekil internetten gelen isteği karşılar, TLS bağlantısını sonlandırır ve isteği iç ağdaki uygulama sunucusuna tek bir porttan iletir. Uygulama sunucusu internete hiç görünmez. İç duvarda tek bir kural yeter: ters vekilden uygulama sunucusunun 8443 portuna.

Ters vekil ele geçerse saldırgan yalnız bu dar yolu kullanabilir. Ters vekilin erişim kayıtları aynı zamanda ilk tespit kaynağıdır. Tuhaf yol denemeleri ve beklenmedik HTTP yöntemleri önce burada görünür.

Şemadaki dış duvar yalnız 443 gibi gerekli portları DMZ'ye kadar açık tutar. İç duvar çok daha sıkıdır, DMZ'den iç ağa yalnız izin listesindeki trafiği geçirir. Bu düzene iki duvarlı DMZ denir.

Daha ucuz bir seçenek üç bacaklı duvardır. Tek bir cihazın üç arayüzü olur: biri internete, biri DMZ'ye, biri iç ağa bakar. Üç bacaklı düzen kurulumu ve yönetimi kolaylaştırır.

Bedeli şudur: o tek cihaz ele geçer ya da yanlış yapılandırılırsa iki sınır aynı anda düşer. İki duvarlı düzende saldırgan iki ayrı cihazı aşmak zorundadır. Bazı kurumlar iki duvarı farklı üreticilerden seçer, böylece tek bir zafiyet iki duvarı birden açmaz.

VLAN ve DMZ ağı büyük parçalara böler. Aynı VLAN içindeki makineler ise hâlâ birbirine serbestçe ulaşır. Özel VLAN (private VLAN) bu boşluğu anahtar düzeyinde kapatır.

Birincil VLAN içinde ikincil VLAN'lar tanımlanır. Yalıtılmış (isolated) porttaki cihaz yalnız karma (promiscuous) porta, yani çoğu zaman ağ geçidine konuşur. Topluluk (community) portundaki cihazlar kendi aralarında ve ağ geçidiyle konuşur, başka toplulukla konuşmaz.

RFC 5517 bu düzeni anlatır. Kablosuz ağlardaki istemci yalıtımı aynı fikri uygular. Misafir Wi-Fi'sindeki iki telefon birbirini göremez, yalnız internete çıkar. Bu ayar, komşu misafirin cihazını tarayan birini baştan durdurur.

Mikro bölütleme bir adım daha ileri gider ve tek tek iş yükleri arasına kural koyar. Aynı VLAN'daki iki sunucu varsayılan olarak konuşamaz, yalnız tanımlı iş kuralı geçer. Üç yaygın uygulama yolu vardır. Uç nokta duvarı her sunucunun kendi üstünde çalışır; Linux'ta nftables, Windows'ta Defender Firewall bu işi görür.

Hipervizörün dağıtık duvarı kuralı sanal makinenin ağ kartına uygular, trafik fiziksel ağa çıkmadan süzülür. Konteyner kümelerinde Kubernetes NetworkPolicy aynı işi pod etiketleriyle yapar; bulut yolundaki Kubernetes modülünde bu politikayı ayrıntılı göreceksin. Ortak nokta şudur: kural IP bloğuna değil, iş yükünün kimliğine ya da etiketine bağlanır. Sunucu taşınsa da kural onunla gider.

Bir hastane ağı bölütlemenin neden gerekli olduğunu iyi gösterir. Tıbbi cihazlar çoğu zaman eski işletim sistemleri çalıştırır ve kolay yamalanmaz. Misafir Wi-Fi'si kimin cihazını taşıdığını bilmez.

Personel bilgisayarları e-posta ve web ile dış dünyaya açılır. Bu grupların aynı ağda durması, bir misafir telefonunun görüntüleme cihazına ulaşabilmesi demektir. Çözüm her grubu ayrı bir bölüt yapmak ve aralarındaki akışı bir izin tablosuna yazmaktır.

NIST SP 800-82r3 operasyonel teknoloji ağları için aynı yaklaşımı önerir. Cihazları seviyelere ya da bölgelere ayırırsın, duvar kurallarıyla yalnız komşu bölgeler arasında bağlantı açarsın.

Kaynak bölüt        Hedef                  İzin              Gerekçe
Tıbbi cihaz (40)    Görüntü arşivi (30)    TCP 104 (DICOM)   çekilen görüntüyü arşive yazar
Personel (20)       Uygulamalar (30)       TCP 443           hasta kaydı ve randevu
Misafir (50)        İnternet               TCP 80, 443       yalnız dış erişim
Misafir (50)        Bütün iç bölütler      yok               tam yalıtım
Yönetim (99)        Anahtar ve duvarlar    TCP 22, 443       yalnız atlama sunucusundan
Tıbbi cihaz (40)    İnternet               yok               üretici bakımı ayrı kanaldan

Tabloyu satır satır oku. Her satır bir kaynak, bir hedef, bir port ve bir gerekçe taşır. Gerekçesi olmayan akış tabloya girmez.

Misafir bölütü yalnız internete çıkar, iç bölütlere hiçbir yolu yoktur. Yönetim bölütü anahtarlara ulaşır ama yalnız atlama sunucusu (jump host) üzerinden. Tıbbi cihazların internete doğrudan çıkışı kapalıdır.

Tablo aynı zamanda tespit kuralının temelidir. Reddedilen bir akış ya unutulmuş bir iş ihtiyacını ya da bir yanal hareket denemesini gösterir. Duvar kayıtlarını SIEM'e gönderir ve bölütler arası reddedilen bağlantıları izlersin.

Saldırganın bölütlemeyi aşmak için bir yolu daha vardır: sınırı çizen cihazın kendisini ele geçirmek. MITRE ATT&CK bunu T1599 (Network Boundary Bridging) olarak kaydeder. Saldırgan bir yönlendiriciye ya da duvara girer ve kuralı değiştirerek iki bölüt arasında yol açar. Tespitin en güçlü işareti iki olayın art arda gelmesidir.

Önce sınır cihazında bir yapılandırma değişikliği görülür, hemen ardından daha önce hiç görülmemiş bölütler arası trafik başlar. Bu yüzden cihazların yapılandırma değişikliklerini de kayda alır, onaylı değişiklik listesiyle karşılaştırırsın. MITRE D3FEND bu savunma ailesine Network Isolation adını verir: bir makinenin işi için gerekmeyen ağ kaynaklarına ulaşmasını engellemek.