Misafir ağı ve IoT bölütleme

Bir misafir kablosuz ağı düşünüldüğünde akla önce ayrı bir parola gelir. Bu yeterli değildir. Parola ayrı olsa da iki ağ aynı ağ bölümünde, yani aynı VLAN'da çalışıyorsa, misafirin cihazı iç sunuculara paket gönderebilir.

Altay Kargo yeni mağazasında kasa sistemini, misafir kablosuzunu ve akıllı termostatı aynı binaya koyacak. Bu derste bu cihazları nasıl ayrı bölümlere ayıracağını, bir cihaz ele geçse bile diğerlerine sıçramayı nasıl engelleyeceğini göreceksin. Önce ayrımın neden VLAN ile kurulduğunu, sonra izin listesini ve doğrulamayı adım adım göreceksin.

VLAN, tek bir fiziksel ağı mantıksal bölümlere ayırır. Her bölüm kendi yayın alanıdır ve bir bölümden diğerine geçmek güvenlik duvarından geçmeyi gerektirir. Aynı anahtara takılı iki cihaz, farklı VLAN'lardaysa birbirini doğrudan göremez. Ayrımın gücü kablodan değil, bu mantıksal etiketten gelir.

Misafir VLAN'ı yalnız internete çıkar; iç dosya sunucusuna, yazıcıya ya da yönetim paneline erişemez. Buna ek olarak istemci yalıtımı açılır. Bu ayar, aynı misafir ağındaki iki cihazın birbirini görmesini de keser, çünkü bir misafirin dizüstü bilgisayarı diğerinin cihazına da saldırabilir. Kurulumdan sonra kendi telefonunla misafir ağına bağlanıp iç ağdaki bir cihaza erişmeyi denemek, ayrımı elle doğrulamanın en kısa yoludur.

Misafir ağını açık bırakmak zorunda değilsin. Wi-Fi Enhanced Open, yani OWE, parola sormadan her istemciye ayrı bir şifreleme anahtarı verir. Böylece misafir, parola girmeden bağlanır ama havadaki trafiği yine de şifrelenir. Buna kullanım koşulu sayfası, bant genişliği sınırı ve DNS süzme eklenebilir.

DNS süzme, misafir cihazının bilinen zararlı adreslere ulaşmasını engeller. Bant sınırı ise bir misafirin tüm hattı doldurup iç işleri yavaşlatmasını önler.

Şema trafiğin sırayla geçtiği sınırları gösterir. Dış duvar yalnız gerekli portu içeri alır. DMZ, dışarıya açık ama iç ağdan yalıtılmış servisleri barındırır.

Misafir ve IoT VLAN'ları mantık olarak buraya yakın durur: internete çıkabilirler ama iç duvarı aşıp iç ağa geçemezler. İç duvar yalnız izin listesindeki trafiği bırakır, bu yüzden ele geçen bir cihaz iç sunucuya doğrudan paket gönderemez. Aynı sınır, misafir VLAN'ından gelen bir isteği de aynı katılıkla durdurur.

VLAN ayrımı anahtar portlarında yapılır. Bir cihazın takıldığı port erişim portu olarak tek bir VLAN'a atanır; o porttan gelen trafik yalnız o VLAN'a girer. Anahtarlar arası bağlantılar ise trunk portudur ve üstünde birden çok VLAN etiketli taşınır. Bu ayrımın iki bilinen atlatma yolu vardır.

Anahtar taklidinde saldırgan, trunk görüşmesi açık kalmış bir erişim portunu trunk'a çevirir ve bütün VLAN'ları görür. Çift etiketlemede pakete ikinci bir VLAN etiketi gizler; bu yalnız saldırganın portu trunk'ın yerel (native) VLAN'ındaysa işe yarar ve trafik tek yönlü kalır.

Savunma sadedir: erişim portlarında trunk görüşmesini kapat, yerel VLAN'ı kullanılmayan bir numaraya al. Yanlış yapılandırılmış bir port da bir cihazı istemeden iç VLAN'a koyabilir. Bu yüzden port ile VLAN eşlemesi de izin listesi kadar dikkatle tutulur.

IoT cihazı farklı bir risk taşır. Kamera, akıllı priz ya da yazıcı çoğu zaman varsayılan parolayla ya da eski, yamasız üretici yazılımıyla çalışır. Bir kamera üç yıl önce üretilmiş, üreticisi de güncelleme çıkarmayı bırakmış olabilir.

Bilinen bir açık o cihazda uzun süre açık kalır. Cihazı değiştirmek de her zaman mümkün değildir, çünkü üretim hattında ya da bina otomasyonunda kritik bir rol taşıyor olabilir. Bu yüzden savunma cihazın kendisine değil, çevresine kurulur.

IoT cihazları kendi VLAN'ına konur ve bu VLAN yalnız gerektiği kadar dışarı çıkar. Kameranın buluta görüntü göndermesi gerekiyorsa yalnız o bulut adresine izin verilir, dosya sunucusuna giden yol baştan kapanır. Bu yaklaşıma en az ayrıcalık ilkesi denir.

table inet iot_filter {
  chain forward {
    type filter hook forward priority 0; policy drop;
    # Kurulmuş bağlantıların dönüş trafiği
    ct state established,related accept
    # Kamera yalnız bulut adresine, yalnız 443
    ip saddr 172.16.30.20 ip daddr 203.0.113.50 tcp dport 443 counter accept
    # IoT ağından iç ağa giden her şeyi say, kaydet, düşür
    ip saddr 172.16.30.0/24 ip daddr 10.0.0.0/8 counter log prefix "iot-ic-ag " drop
  }
}

Kural kümesi en az ayrıcalığı somutlaştırır. Zincirin varsayılan kararı policy drop, yani açıkça izin verilmeyen her paket düşer. İlk kural, kurulmuş bağlantıların dönüş paketlerini geçirir; bu satır olmazsa buluttan gelen cevap da düşer ve kamera çalışmaz. İkinci kural kameraya (172.16.30.20) yalnız bulut adresine (203.0.113.50) ve yalnız 443 portuna çıkış verir.

Üçüncü kural, IoT ağından (172.16.30.0/24) iç ağa (10.0.0.0/8) giden her paketi sayar, kaydeder ve düşürür. counter sözcüğü kurala bir sayaç ekler, log ise çekirdek günlüğüne iot-ic-ag önekiyle bir satır yazar. Bir cihaz iç ağa ulaşmaya çalışırsa bunu günlükte görür, ele geçmiş olabileceğini erken anlarsın. Gerçek bir yönlendiricide aynı zincir öteki VLAN'ların kurallarını da taşır; burada yalnız IoT kısmı görünüyor.

Bölütlemede sık gözden kaçan bir risk keşif protokolleridir. Yazıcılar ve medya cihazları kendilerini mDNS ve SSDP gibi protokollerle duyurur.

Kullanıcı rahatlığı için bazı ağlar bu duyuruları VLAN'lar arasında taşıyan bir yansıtıcı çalıştırır. Bu yansıtıcı, dikkatle sınırlanmazsa VLAN sınırında bir delik açar; IoT VLAN'ındaki bir cihaz, iç ağdaki bir cihazı görebilir hale gelir. UPnP de benzer bir risktir ve çoğu kurumsal ağda kapatılır. Yansıtıcıyı yalnız gereken servislerle ve yalnız gereken yönde çalıştırmak bu deliği kapatır.

IoT cihazını ağa almadan önce iki şeyi mutlaka yaparsın. Birincisi varsayılan parolayı değiştirmektir.

2016'da Mirai adlı zararlı yazılım yalnız 62 fabrika kullanıcı adı ve parola çiftini denedi. Bu kısa listeyle yüz binlerce kamerayı ve kayıt cihazını ele geçirdi. Sonra onları büyük hizmet dışı bırakma saldırılarında kullandı.

İkincisi üretici yazılımını güncellemektir; mümkünse otomatik güncellemeyi açarsın. Cihazın kendisi güncellenemiyorsa, bunu bir risk olarak kaydeder ve çevre denetimini sıkılaştırırsın. Ayrıca cihazın ürettiği kayıtları toplamak, beklenmedik bir dışarı bağlantısını erken görmeni kolaylaştırır.

Bölütlemeyi kurmak yetmez; gerçekten ayırdığını sınaman gerekir. En doğrudan yöntem, yanlış taraftan erişim denemektir. Misafir ağına bağlı bir test cihazından iç dosya sunucusuna ulaşmayı denersin. nc -vz -w 3 10.0.10.5 445 komutu, üç saniye bekleyip 445 portuna bağlanmayı dener.

Ayrım doğruysa beklenen çıktı zaman aşımı olur, yani paket iç duvarda durur. Bağlantı açılırsa bir kural eksiktir. Bu denemeyi yalnız kendi ağında ve yetkiyle yaparsın.

$ nc -vz -w 3 10.0.10.5 445
nc: connect to 10.0.10.5 port 445 (tcp) timed out: Operation now in progress

Çıktıyı üç olasılıkla okursun. timed out, paketin yolda sessizce düştüğünü söyler; drop kuralı tam böyle davranır.

failed: Connection refused, paketin bir yere ulaştığını ve reddedildiğini gösterir. Bunu ya hedef sunucu ya da reject kuralı olan bir duvar üretir. succeeded ise bağlantının açıldığı, yani ayrımın delindiği anlamına gelir.

İlk sonuç beklenendir. İkinci sonuç da erişimi engeller, ama paketin iç duvarı geçip geçmediğini ayırmak için duvar günlüğüne bakman gerekir. Testi tek porta bırakmazsın; iç ağdaki kritik servisleri de denersin: dosya paylaşımı (445), uzak masaüstü (3389), SSH (22) ve yönetim panelleri. Aynı denemeyi IoT VLAN'ındaki bir test cihazından da tekrarlarsın.

$ sudo nft list chain inet iot_filter forward
table inet iot_filter {
	chain forward {
		type filter hook forward priority filter; policy drop;
		ct state established,related accept
		ip saddr 172.16.30.20 ip daddr 203.0.113.50 tcp dport 443 counter packets 1840 bytes 251312 accept
		ip saddr 172.16.30.0/24 ip daddr 10.0.0.0/8 counter packets 37 bytes 2220 log prefix "iot-ic-ag " drop
	}
}

Doğrulamayı bir kez yapıp bırakmak yetmez. Sayaçlar, hangi kuralın kaç kez tetiklendiğini gösterir. Bu çıktıda kameranın bulut kuralı 1840 paket geçirmiş; bu beklenen trafiktir.

İç ağa dönük düşürme kuralında ise 37 paket birikmiş. 2220 baytı 37 pakete bölünce paket başına 60 bayt çıkar; bu boyut bağlantı açmaya çalışan küçük TCP paketlerine işaret eder. Sayının artması tek başına bir alarmdır.

journalctl -k | grep iot-ic-ag komutuyla günlüğe bakar, SRC alanından hangi cihazın denediğini bulursun. Düzenli bir denetim bu sayaçları ve misafir ağındaki istemci yalıtımı ayarını birlikte gözden geçirir. Kurulumdan sonra sessizce kapanmış bir ayar ancak böyle bir denetimde ortaya çıkar.

Yeni bir cihaz eklemek bölütlemenin en kırılgan anıdır. Acele eden biri, cihazı en yakın prize takıp iç ağa bağlayabilir. Bu yüzden kurulum süreci, cihazın hangi VLAN'a gireceğini bir adım olarak içermelidir.

Varsayılan davranış, cihazı en kısıtlı VLAN'a koymak olmalıdır; sonradan gerekli izinler eklenir. Böylece unutulan bir cihaz bile iç ağda değil, dar bir bölümde başlar. Misafir ağında istemci yalıtımının açık kaldığını belli aralıklarla doğrulamak da aynı disiplinin parçasıdır.

Yeni açılan bir mağazada da aynı sıra izlenir. Önce hangi cihazın hangi VLAN'a gireceği kararlaştırılır, sonra izin listesi yazılır. Ödeme sistemi en sıkı bölümdedir; kart verisi taşıyan ağ, en dar izin listesini alır ve yalnız ödeme sunucusuna çıkar.

Kararı bir belgeye yazmak, altı ay sonra kimin neden o VLAN'a girdiğini hatırlamayı kolaylaştırır. Belge olmadan, zamanla biriken kurallar kimsenin anlamadığı bir yığına döner.

Ödeme sistemini ayrı tutmanın bir de uyum boyutu vardır. Kart verisi işleyen ortamlar için sektör standardı PCI DSS'tir. Standart bölütlemeyi zorunlu tutmaz, ama bölütlenmemiş bir ağın tamamı denetim kapsamına girer. Ayrı bir kasa VLAN'ı bu kapsamı ve denetim maliyetini küçültür.

Bölütlemeye dayanan kurum, ayrımın gerçekten çalıştığını en az yılda bir sızma testiyle kanıtlar. Kasa cihazı ele geçse bile, saldırgan oradan mağaza ağının geri kalanına geçemez. Hangi cihazın neden o bölümde olduğunu kayıt altında tutmak, hem güvenlik hem uyum için gerekir.

Bölütleme planı yaşayan bir belgedir. Her yeni cihaz, her yeni mağaza ve her kural değişikliği bu belgeye işlenmelidir. Yılda birkaç kez yapılan bir gözden geçirme, artık kullanılmayan izinleri temizler ve kuralları sade tutar.

Her kuralın yanına sahibini ve gerekçesini yazmak bu temizliği kolaylaştırır; nftables'ta bunun için kurala comment ekleyebilirsin. Sade kalan bir kural kümesi, hem denetlemesi hem güvenmesi kolay olandır. Karmaşık bir kural yığını ise zamanla kimsenin dokunmaya cesaret edemediği bir riske döner.