Düz ağdan bölütlenmiş ağa geçiş planı

Önceki derslerde bölütlemenin ne olduğunu ve sıfır güvenin hangi ilkelere dayandığını gördün. Şimdi soru şu: elindeki düz ağı oraya nasıl taşırsın. Altay Kargo'nun merkezinde ofis bilgisayarları, sunucular ve depodaki otomasyon sistemi aynı düz ağda duruyor. Yönetim, etiket yazıcısı olayından sonra bölütleme istiyor ama depo bir saat bile durmamalı.

Bütün kuralları bir günde değiştirmek bilinmeyen bir bağımlılığı koparır ve sevkiyatı durdurur. CISA'nın 2025 tarihli mikro bölütleme rehberi geçişi dört aşamaya ayırır: aday kaynakları belirle, bağımlılıklarını çıkar, uygun politikayı seç, politikayı test edip yay. Bu derste aynı yolu dört somut adımla yürüyeceksin: envanter, risk sırası, izleme modunda test ve kademeli uygulama.

İlk adım envanterdir. Hangi cihazın var olduğunu, hangi servisin hangi portu dinlediğini ve hangi sistemin hangi sistemle konuştuğunu bilmeden kural yazamazsın. Envanter genelde beklenenden kalabalık çıkar; unutulmuş bir test sunucusu ya da eski bir yazıcı listeye yeni girer.

Her varlığa üç etiket verirsin: sahibi, işlevi ve kritiklik düzeyi. Sahipsiz varlık en tehlikelisidir, çünkü onun kuralını onaylayacak kimse yoktur. Envanterin ikinci yarısı iletişim matrisidir.

Matris her akışı dört soruyla yazar: kim, kiminle, hangi portla, hangi protokolle. Bu matris daha sonra doğrudan izin listesine dönüşür. CISA rehberi bağımlılıkları çıkarırken paydaşları da sürece katmanı ister. Bazı akışları yalnız sistem sahipleri bilir.

Matrisi tahminle değil gözlemle çıkarırsın. Altay Kargo, ağ omurgasına bir Zeek sensörü koydu ve bordro gününü de kapsayan dört hafta boyunca bağlantı kaydı topladı. Zeek her bağlantıyı conn.log dosyasına bir satır olarak yazar.

zeek-cut aracı bu dosyadan yalnız istediğin alanları çeker. Aşağıdaki komut kaynak adresi, hedef adresi, hedef portu ve protokolü alır. Aynı dörtlüleri sayar ve en sık olandan başlayarak sıralar.

İlk sort, uniq'in tekrarları yan yana görmesi için gereklidir. Son sort -rn sayıları büyükten küçüğe dizer. En sık akışlar iş akışının omurgasıdır, en seyrek olanlar ise çoğu zaman en ilginç olanlardır.

$ zeek-cut id.orig_h id.resp_h id.resp_p proto < conn.log | sort | uniq -c | sort -rn | head
 184203 10.20.0.31   10.30.0.5    445   tcp
 171877 10.20.0.44   10.30.0.5    445   tcp
  96410 10.20.0.31   10.30.0.2    53    udp
  52118 10.30.0.8    10.40.0.12   502   tcp
  12044 10.30.0.6    10.30.0.5    445   tcp
   8120 10.20.0.52   10.30.0.9    1433  tcp
    416 10.20.0.61   10.40.0.12   502   tcp
     31 10.20.0.73   10.30.0.9    3389  tcp

Her satır bir akışı ve kaç kez görüldüğünü verir. İlk iki satır ofis bilgisayarlarının dosya sunucusuna SMB (445) bağlantısıdır, matrise girer. Üçüncü satır DNS sorgusudur.

Dördüncü satırda 10.30.0.8'deki SCADA sunucusu depodaki PLC'ye Modbus/TCP (502) ile bağlanır; depo otomasyonunun kalbi budur. Beşinci satır yedekleme sunucusunun dosya sunucusunu kopyalamasıdır. Altıncı satırda bir ofis bilgisayarı veritabanına doğrudan SQL Server portundan (1433) bağlanıyor, sahibine sorman gerekir.

Yedinci satır alarm vericidir: bir ofis bilgisayarı PLC'ye Modbus komutu yolluyor. Son satırda bir kullanıcı sunucuya uzak masaüstü (3389) açıyor. Yönetim bağlantıları atlama sunucusundan gelmelidir.

İkinci adım, hangi varlığın önce ayrılacağına karar vermektir. Her sistem aynı önemde değildir. En değerli veriyi taşıyan ya da en çok saldırıya açık olan sistemler önce ele alınır.

Riski olasılık ile etkinin birleşimi olarak düşünürsün; yüksek değerli ve savunması zayıf bir sistem listenin başına gelir. CISA rehberi ilk geçiş için bir inceliğe dikkat çeker. Deneyim kazanmak için ilk aday, geçişi kolay olan bir sistem de olabilir.

Ekip süreci küçük bir örnekte öğrenir, sonra en kritik varlıklara geçer. Altay Kargo iki ölçütü birleştirdi. Depo otomasyonu hem kritikti hem de az sayıda akışla çalıştığı için ayrılması görece kolaydı, ilk aday o oldu.

Şema aslında geçiş planının kendisidir. Önce hangi varlığın var olduğunu belirlersin, sonra tehdidi ve zafiyeti çıkarırsın. Olasılık ve etkinin çarpımı sana bir öncelik sırası verir. En sona kalan adım risk işlemedir: bölütleme kuralını yazmak, yani riski azaltmak.

Depo otomasyonunda tehdit ofisten gelen yanal harekettir, zafiyet ise kolay yamalanamayan PLC yazılımıdır. Olasılık ofis ağının büyüklüğüyle artar, etki ise sevkiyatın durmasıdır. Bu tablo depo bölütünü listenin başına taşır.

Üçüncü adım, yeni kuralı hemen engelleme modunda değil izleme modunda devreye almaktır. IDS ve IPS dersindeki mantık burada da geçerlidir. Yeni kural ilk günlerde yalnız kaydeder ve sayar, hiçbir bağlantıyı kesmez. CISA rehberi de politikayı önce ihlalleri işaretleyen serbest bir modda denemeyi önerir, böylece gözden kaçan bağımlılıklar ortaya çıkar.

Altay Kargo'nun iç duvarı Linux üzerinde nftables çalıştırıyor. Ekip, ofis ağından (10.20.0.0/24) depo ağına (10.40.0.0/24) giden trafik için şu zinciri yazdı.

table inet bolut {
    chain ileri {
        type filter hook forward priority filter; policy accept;
        ct state established,related accept
        ip saddr 10.30.0.8 ip daddr 10.40.0.0/24 tcp dport 502 accept
        ip saddr 10.20.0.0/24 ip daddr 10.40.0.0/24 counter log prefix "BOLUT-IZLE: " accept
    }
}

Zincir üç kural taşır. İlki kurulmuş bağlantıların dönüş paketlerini geçirir. İkincisi matristen gelen onaylı akıştır: yalnız SCADA sunucusu PLC'lere 502 portundan ulaşır.

Üçüncüsü izleme kuralıdır. Ofisten depoya açılan her yeni bağlantının ilk paketini sayar, BOLUT-IZLE önekiyle çekirdek kaydına yazar ama geçirir. Aynı bağlantının sonraki paketleri ilk kurala takılır. Bir iş döngüsü sonra, örneğin dört hafta sonra sayaca bakarsın.

nft list chain inet bolut ileri çıktısında kural counter packets 37 bytes 2220 gibi bir değer gösterir. Kayıtları journalctl -k ile süzer, her satırın kaynağını ve hedef portunu matrisle karşılaştırırsın. Meşru çıkan her akış için izleme kuralının üstüne ayrı bir izin kuralı eklersin. Açıklanamayan akış kalmayınca son kuraldaki accept, drop olur.

Dördüncü adım kademeli uygulamadır. Bütün ağı tek seferde bölütlemek yerine önce en riskli tek bir bölüt ayrılır. Sonuç izlenir, sorun çıkmazsa sıradakine geçilir. Her değişiklik bir değişiklik kaydıyla yürür.

Kayıtta üç şey bulunur: bakım penceresi, sistem sahibinin onayı ve geri dönüş ölçütü. Geri dönüş ölçütü önceden yazılır ve somuttur. Örneğin depo el terminalleri beş dakika içinde stok sunucusuna ulaşamazsa kural geri alınır. Ölçüt önceden yazılmazsa ekip gece yarısı sorun giderirken geri almak ile beklemek arasında kararsız kalır.

Geri dönüşün teknik yarısı yedektir. Değişiklikten önce çalışan kural setini bir dosyaya alırsın. Dosyanın ilk satırı flush ruleset olursa geri yükleme eski düzeni tek adımda kurar. nftables bir dosyadaki komutları tek bir işlem (transaction) olarak uygular.

Silme ile yükleme arasında kuralsız bir an kalmaz. Dosyada bir yazım hatası varsa işlemin tamamı reddedilir ve çalışan kurallar olduğu gibi kalır. Yedeği aldıktan sonra dosyanın ilk satırlarına bakıp flush satırının yerinde durduğunu doğrularsın.

# echo "flush ruleset" > yedek.nft
# nft list ruleset >> yedek.nft
# nft -f bolut-drop.nft
# nft -f yedek.nft

İlk komut dosyayı flush ruleset satırıyla başlatır. İkinci komut çalışan kuralları dosyanın sonuna ekler; burada tek > yazarsan ilk satırı silersin.

Üçüncü komut, son kuralı drop'a çevrilmiş yeni zinciri yükler. Geri dönüş ölçütü tetiklenirse dördüncü komut eskiyi geri getirir. Dosyada flush satırı yoksa yükleme kuralları ikiler ve yeni drop kuralı yerinde kalır. Bu durumda geri dönüş hiçbir şeyi geri almaz.

Geçişin ilerlediğini ölçmezsen yönetime de kendine de gösteremezsin. Üç ölçüt işe yarar. Birincisi bölütler arası izinli akış sayısıdır; her birinin bir sahibi ve gerekçesi olmalıdır. İkincisi kaynağı ya da hedefi any olan kural sayısıdır, hedef sıfırdır.

Üçüncüsü saldırganın bir kullanıcı bilgisayarından kritik bir sunucuya ulaşmak için geçmesi gereken denetim noktası sayısıdır. Düz ağda bu sayı sıfırdır, iyi bölütlenmiş ağda en az ikidir. CIS Kontrolleri v8.1 de aynı işi ister. 12.2 güvenli ağ mimarisinin bölütlemeyi kapsamasını, 13.4 bölütler arasında trafik süzmeyi, 13.6 ağ akış kayıtlarının toplanmasını ister.

Kural yazıldıktan sonra da test sürer. Bölütleme testinde bir bölütten ötekine izinsiz bağlantı denersin ve duvarın gerçekten kestiğini görürsün. Testi yalnız yazılı izinle ve değişiklik takvimine uygun yaparsın. Ofis ile fabrika ağının ayrılması bu testin en önemli olduğu yerdir.

NIST SP 800-82r3, operasyonel teknoloji ağında cihazları seviyelere ya da bölgelere ayırmayı önerir. Duvar kuralları yalnız komşu seviyeler arasında bağlantı açar. Purdue modelini kullanan bir kurumda kurumsal ağ, kontrol cihazlarıyla doğrudan konuşmaz. Rehber, kontrol ağından dışarı giden kuralların da içeri gelenler kadar sıkı tutulmasını önerir.

$ nc -zv -w 3 10.40.0.15 502
nc: connect to 10.40.0.15 port 502 (tcp) timed out: Operation now in progress
$ nc -zv -w 3 10.30.0.5 445
Connection to 10.30.0.5 445 port [tcp/microsoft-ds] succeeded!

Test makinesi ofis bölütündedir. İlk komut PLC'nin Modbus portuna üç saniye içinde bağlanmayı dener. Zaman aşımı, drop kuralının paketi sessizce attığını gösterir. Duvar reject kullansaydı Connection refused cevabı gelirdi.

İkinci komut, ofisin dosya sunucusuna giden onaylı yolu dener ve bağlantı kurulur. İyi bir test iki yönü de sınar: kapalı olması gerekenin kapalı, açık olması gerekenin açık olduğunu. Test sonucunu tarihiyle değişiklik kaydına eklersin. Aynı testi her kural değişikliğinden sonra yeniden koşarsın.