Tehdit ağın içinden geldiğinde ne olur?
Sahadaki network ve güvenlik projelerimizde en sık gördüğümüz tablo, güvenlik eforunun dış çevrede toplanmasıdır: yeni nesil firewall'lar devrede, saldırı önleme (IPS) aktif, kurallar sıkı. Aynı özen ağın içindeki cihazlara da gösterildiğinde güvenlik tamamlanır.
Toplantı odasında misafirlerin de kullandığı bir akıllı ekran, lobideki bir IP kamera ya da bir test için ağa takılıp unutulan küçük bir cihaz, içeriye açılan birer kapıdır. Yalnızca MAC adresine dayanan beyaz listeler, MAC adresi taklidiyle (MAC spoofing) kısa sürede aşılabilir. NAC çoğunlukla 802.1X ile (EAP-PEAP ya da EAP-TLS) doğru parola ya da sertifika sunanı içeri alan bir kapı görevlisi olarak bilinir. Saha deneyimimiz, NAC'ın asıl değerini kapıdan sonra, ağın içindeki her cihazı tanıyıp izlediğinde ürettiğini gösteriyor.
Profiling bağlanan cihazı nasıl tanır?
Kamera, yazıcı ve sensör gibi IoT cihazları çoğunlukla 802.1X yerine MAC adresiyle doğrulanır (MAC Authentication Bypass · MAB). Gelişmiş bir NAC bu cihazları yalnızca MAC adresine bakarak içeri almak yerine, cihazın ağa bıraktığı izleri dinleyerek gerçek türünü belirler:
| Kaynak | Cihaz hakkında söylediği |
|---|---|
| DHCP parmak izi | Adres isterken kullandığı seçenekler ve sıralama; işletim sistemi ailesini ele verir |
| HTTP User-Agent | Web trafiğinde kendini tanıttığı tarayıcı ve sistem bilgisi |
| SNMP | Cihazın kendi bildirdiği model, tür ve yazılım bilgisi |
| LLDP ve komşuluk protokolleri | Bağlı olduğu switch portu ve kendi bildirdiği cihaz yetenekleri |
Bu izler birlikte değerlendirildiğinde NAC, bağlanan cihazın gerçekten bir yazıcı mı, yoksa yazıcının MAC adresini kopyalamış ve saldırı araçlarıyla donatılmış bir dizüstü bilgisayar mı olduğunu ayırt eder. Profil ile MAC adresi çeliştiğinde cihaz kısıtlı bir bölgeye yönlendirilir ve güvenlik ekibine bildirim düşer.
Posture kontrolü cihazın sağlığını nasıl ölçer?
Kimliği doğrulanan cihaz için ikinci adım, cihazın güvenli durumda olduğunun doğrulanmasıdır. NAC bu sağlık durumunu (posture) cihaza kurulan bir ajanla ya da ağ üzerinden uzaktan sorgulayarak ölçer. Hangi yöntemin uygulanacağı, her yapıda cihaz çeşitliliğine ve yönetim modeline göre yapılan analizle belirlenir.
Örneğin ağa katılmak isteyen kurumsal bir dizüstü için dizin hizmetinde (Active Directory) doğrulama ilk adımdır. NAC bunun ardından cihazın kayıt defterini, çalışan servislerini, uç nokta koruma (AV/EDR) yazılımının çalışma durumunu ve imza veritabanının güncelliğini kontrol eder. Cihaz politikayla çeliştiğinde süreç saniyeler içinde işler:
- Yetki değişikliği: NAC, switch'e RADIUS Change of Authorization (CoA, RFC 5176) mesajı gönderir.
- Karantina: Port, izolasyon için ayrılmış karantina VLAN'ına alınır.
- Sınırlı erişim: Cihaza yalnızca yama ve güncelleme sunucularına erişim veren indirilebilir bir erişim listesi (dACL) uygulanır.
- Geri dönüş: Cihaz eksiklerini giderdiğinde posture yeniden ölçülür ve cihaz kendi segmentine döner.
Firewall ile NAC birlikte nasıl tepki verir?
Her şeyin olağan göründüğü bir anda, yalnızca kendi VLAN'ında baskı alması gereken bir IP yazıcı, dizin sunucularının SMB ve Kerberos portlarını taramaya başlarsa ne olur? Gelişmiş bir NAC kurgusunda müdahale otomatik ve anında başlar.
NAC, firewall ile API entegrasyonu üzerinden bilgi paylaşır. Firewall ağın içinde yanal hareket (lateral movement) algıladığında, örneğin cihaz dinamik bir adres grubuna düştüğünde, bu bilgiyi anında NAC'a iletir. NAC o cihazın bağlı olduğu switch portuna bir CoA mesajı göndererek cihazı port seviyesinde ağdan ayırır ya da trafiği izole bir kara delik VLAN'ına (blackhole VLAN) yönlendirir. Etiket tabanlı segmentasyonu destekleyen altyapılarda ise güvenlik grubu etiketleriyle IP adresinden bağımsız, uçtan uca mikrosegmentasyon kurulur. Segment tasarımının temelini segmentasyon notunda ele aldık.
Müşterilerimizi en çok şaşırtan an, firewall'un yanal hareket olarak işaretlediği bir cihazın switch portunda saniyeler içinde karantinaya alınmasını izledikleri andır. Kurgunun bu hıza ulaşması için keşif aşamasında cihaz envanterini çıkarıyor, posture yönteminin ajanla mı ağ üzerinden mi işleyeceğini cihaz çeşitliliğine göre belirliyor ve firewall ile NAC arasındaki entegrasyonu canlı geçişten önce senaryo bazında test ediyoruz.
Sıfır güven sahada nasıl çalışır?
Sıfır güven (Zero Trust) yaklaşımının sahada gerçekten çalışması, kapıdaki denetim kadar içerideki hareketin de denetlenmesine bağlıdır. Firewall dışarıya açılan çelik kapıysa, NAC içerideki her cihazın adımını izleyen, cihazı türüne (profiling) ve sağlık durumuna (posture) göre değerlendiren ve ağ katmanında anında aksiyon alan güvenlik şefidir.
NAC'ın temel işleyişini ve aşamalı kurulumunu NAC ile ağa erişim kontrolü, ilkelerin bütününü sıfır güven notunda ele aldık. NAC'ı daha geniş network güvenliği mimarisinin bir katmanı olarak kuruyoruz.
