Ağ bölütleme: VLAN, DMZ, mikro bölütleme

Düz bir ağda her cihaz her cihazla doğrudan konuşabilir. Saldırgan tek bir zayıf makineye sızarsa, oradan dosya sunucusuna, yazıcıya, hatta yönetici bilgisayarına da ulaşabilir. Fiziksel olarak aynı switch'e bağlı olmak, aynı güven seviyesinde olmak anlamına gelmemelidir. Bölütleme bu varsayımı kırar. Ağı daha küçük parçalara böler ve parçalar arasına kontrol noktası koyar. Bir parça ele geçse bile saldırgan diğer parçalara geçmek için yeni bir engeli aşmak zorunda kalır. Saldırgan çoğu zaman en zayıf, en az izlenen makineyi arar, çünkü oradan geçiş en ucuz yoldur. Bu derste üç bölütleme katmanını göreceksin: VLAN, DMZ ve mikro bölütleme. Her biri aynı fikri farklı ölçekte uygular: yakınlık güven demek değildir.

VLAN, sanal yerel ağ demektir. Fiziksel kabloyu değiştirmeden cihazları mantıksal gruplara ayırır. Muhasebe biriminin bilgisayarları bir VLAN'da, misafir Wi-Fi'si başka bir VLAN'da durabilir, ikisi aynı switch'e bağlı olsa bile birbirini göremez. İki VLAN arasında trafik geçmesi için bir yönlendirici ya da güvenlik duvarı gerekir; bu geçiş noktası aynı zamanda bir kontrol ve kayıt fırsatıdır. VLAN, düz ağı ucuza ve hızlıca bölmenin en yaygın yoludur.

DMZ, dışa açık servisleri iç ağdan ayıran ayrı bir bölgedir. Web sitesi ya da e-posta sunucusu gibi internete cevap veren sistemler DMZ'de durur. Bu sunuculardan biri ele geçse bile saldırgan doğrudan iç ağa geçemez, çünkü DMZ ile iç ağ arasında ayrı bir güvenlik duvarı vardır. İki duvarlı bu düzen, dış dünyaya bakan riski iç veriden fiziksel olarak uzak tutar.