Hardening neyi sıkılaştırır?
Hardening, cihazın saldırı yüzeyini varsayılan durumdan gerekli asgariye indirir. Her ağ cihazı üç düzlemle çalışır: yönetim düzlemi cihazın kendisine erişimi, kontrol düzlemi yönlendirme ve komşuluk protokollerini, veri düzlemi kullanıcı trafiğini taşır. Sıkılaştırma bu üçüne ayrı ayrı bakar; en sık ihmal edilen ve en kritik olan yönetim düzlemidir.
Varsayılan kurulumda cihaz, kurulumu kolaylaştıran pek çok şeyi açık bırakır: yerel yönetici hesabı, şifresiz yönetim protokolleri, keşif protokolleri, her arayüzden yönetim erişimi, örnek topluluk adıyla çalışan izleme servisi. Bunların her biri kurulum sırasında işe yarar, üretimde ise birer giriş kapısıdır. Hardening bu kapıları tek tek ele alır ve gerekli olanları güvenli biçimde bırakır.
Kontrol listesi hangi başlıklardan oluşur?
Kontrol listesi beş başlıkta toplanır; sıra öncelik sırasıdır. Yönetim düzlemi ve kimlik ilk iki başlıktır, çünkü bu ikisindeki bir açık cihazın tamamını teslim eder. Servisler ve protokoller ölçüm ister: kullanımda olan bir servisi kapatmak işleyişi durdurur. Loglama ise diğer dördünü doğrulanabilir kılar.
| Başlık | Kontrol edilenler | Hedef durum |
|---|---|---|
| Yönetim düzlemi | Yönetim arayüzü, erişim listesi, konsol ve uzak erişim yolları | Erişim yalnızca yönetim segmentinden, şifreli protokolle, oturum zaman aşımıyla |
| Kimlik ve yetki | Yerel hesaplar, parola politikası, rol tanımları, merkezi kimlik entegrasyonu | Merkezi kimlik (RADIUS ya da TACACS+) birincil, yerel hesap yalnızca acil durum için ve kasada |
| Servisler | Web yönetim arayüzü, dosya aktarım servisleri, keşif protokolleri, izleme servisi | Kullanım dışı servisler kapalı, izleme servisi şifreli sürümde ve erişim listesiyle |
| Kontrol düzlemi | Yönlendirme komşulukları, omurga protokolü, VLAN ve trunk ayarları, yedek yol protokolleri | Komşuluklar kimlik doğrulamalı, kullanım dışı portlar kapalı ve ayrı VLAN'da, kök koruması açık |
| Loglama ve zaman | Log hedefi, olay seviyeleri, zaman senkronu, yapılandırma değişiklik kaydı | Loglar merkezde, saat tek kaynaktan, her yapılandırma değişikliği kimlikle kayıtlı |
Yönetim düzlemi neden ilk sırada?
Yönetim düzlemi cihazın kendisini yöneten yoldur; buradaki bir zafiyet, veri düzleminde ne kadar iyi kural yazılmış olsa da hepsini geçersiz kılar. Bu yüzden ilk adım yönetim erişimini kullanıcı trafiğinden ayırmaktır: yönetim arayüzü ayrı bir segmente alınır, yalnızca yönetim istasyonlarının adreslerine açılır ve şifresiz protokoller kapatılır.
İkinci adım kimliktir. Yerel yönetici hesabıyla çalışan bir cihaz filosunda parola paylaşımı kaçınılmazdır ve ayrılan bir personelin erişimi cihaz cihaz kapatılır. Merkezi kimlik entegrasyonu bu sorunu kökten çözer: erişim tek yerden verilir, tek yerden kesilir, her komut kim tarafından girildiyse onun adına kayda düşer. Yerel hesap yalnızca merkezi kimliğin kesildiği acil durumlar için kalır ve parolası kasada saklanır.
Servisler ve protokoller nasıl ele alınır?
Servis kapatma kararı ölçüme dayanır. Önce cihazda açık servisler ve gerçekte kullanılanlar çıkarılır: yönetim arayüzüne kim bağlanıyor, izleme servisi hangi sunucudan sorgulanıyor, keşif protokolünü hangi araç kullanıyor. Kullanılanlar güvenli sürümlerine taşınır, kullanım dışı olanlar bakım penceresinde kapatılır ve etkisi izlenir.
- Erişim ve dosya aktarımı: Şifresiz uzak erişim ve dosya protokolleri kapatılır; yapılandırma yedekleri şifreli kanaldan alınır.
- İzleme servisi: Eski sürüm ve varsayılan topluluk adları kaldırılır; kimlik doğrulamalı ve şifreli sürüm yalnızca izleme sunucularına açılır.
- Keşif protokolleri: Kullanıcıya bakan portlarda kapatılır; yalnızca cihazlar arası bağlantılarda ve IP telefon gibi ihtiyaç duyan uçlarda kalır.
- Kullanım dışı portlar: Kapatılır ve çıkışı kapalı ayrı bir VLAN'a alınır; sonradan açılan her port kayda düşer.
- Kontrol düzlemi: Yönlendirme komşulukları kimlik doğrulamalı çalışır; kullanıcı portlarında kök koruması ve DHCP gözetimi açılır.
Sahada en çok karşılaştığımız tablo, hardening'in kurulum sırasında yapılıp sonra unutulması. Cihaz standarda uygun kurulur, iki yıl içinde acil müdahalelerle açılan servisler ve eklenen yerel hesaplar standardı sessizce eritir. Bu yüzden standardı bir belge olarak yazıp bırakmıyoruz; her cihazın yapılandırmasını gün sonunda otomatik alıp standart şablonla karşılaştırıyoruz. Sapma raporu sabah ekipte oluyor ve düzeltme aynı gün planlanıyor.
Standarttan sapma nasıl kalıcı olarak yakalanır?
Hardening'in kalıcılığı üç mekanizmaya dayanır. İlki yapılandırma yedeği ve karşılaştırmadır: her cihazın yapılandırması düzenli alınır, önceki sürümle ve standart şablonla karşılaştırılır, fark raporlanır. İkincisi değişiklik kaydıdır: merkezi kimlikle girilen her komut kim, ne zaman, hangi cihaz bilgisiyle log sunucusuna düşer. Üçüncüsü düzenli healthcheck: yapılandırma sapması, açık servisler, sürüm durumu ve kural sağlığı belirli aralıklarla ölçülür ve rapora dönüşür.
Hardening tek başına bir kontroldür; erişimi NAC ile kontrol, ağı segmentlere ayırma ve kullanıcı cihazını koruma ile birlikte bütün olur. Bu bütünü Network Güvenliği çözümleri sayfasında ele alıyoruz.
