Yönetim Düzlemini Ayrı Bir Güvenlik Alanı Olarak Tasarlama

Yönlendirici, anahtar, güvenlik duvarı ve kablosuz ağ denetleyicilerinin yönetim arayüzleri, kullanıcı trafiğinden ayrı bir güvenlik alanı olarak ele alınmalıdır. Bu arayüzlere erişim sağlanması; yapılandırmanın değiştirilmesine, trafik akışının etkilenmesine ve izleme mekanizmalarının devre dışı bırakılmasına yol açabilir. Bu nedenle yönetici erişimini kullanıcı ağıyla aynı segmentte ve aynı güven seviyesinde tutmamak temel bir savunma yaklaşımıdır.

İlk değerlendirmede şu sorular yanıtlanmalıdır: Hangi cihazlar yönetilebilir, hangi kaynaklardan erişim gerekir, yöneticiler hangi işlemleri yapabilir ve acil durumda erişim nasıl geri kazanılır? Envanterde en az cihaz adı, rolü, yönetim adresi, yazılım sürümü, sorumlu ekip ve bakım penceresi bulunmalıdır. Yönetim ağı, sıçrama sunucusu veya güvenilir VPN gibi erişim yolları belgelenmeli; doğrudan internet erişimi iş gereksinimi yoksa kapatılmalıdır.

Erişim Kısıtlaması ve Kimlik Doğrulama

Yönetim servislerini yalnızca ayrılmış bir yönetim ağı, kontrollü bir sıçrama sunucusu veya çok faktörlü kimlik doğrulama kullanan kurumsal VPN üzerinden erişilebilir kılın. Kaynak IP, hedef cihaz ve servis bazında en az ayrıcalık ilkesi uygulanmalı; yalnızca gerekli ekiplerin ve bakım araçlarının erişimine izin verilmelidir.

• Gereksiz HTTP, Telnet, FTP ve benzeri eski servisleri kapatın; üretici tarafından desteklenen güvenli yönetim protokollerini ve güncel kriptografik seçenekleri kullanın.
• Varsayılan hesapları kaldırın veya devre dışı bırakın. Ortak yönetici hesabı yerine kişisel hesaplar ve rol tabanlı yetkilendirme kullanın.
• Çok faktörlü kimlik doğrulamayı mümkünse merkezi kimlik sağlayıcıyla birleştirin. Ayrıcalıklı işlemleri yalnızca görev gerektirdiğinde verin.
• Yapılandırma değiştirme, hesap oluşturma ve ayrıcalık yükseltme işlemlerinde değişiklik kaydı ve gerektiğinde ikinci kişi onayı uygulayın.
• Oturum zaman aşımı, başarısız giriş kilitlemesi ve güvenli parola politikalarını kurum standardına göre yapılandırın.

Acil durum hesabı gerekiyorsa kullanım amacı, yetkisi, saklama yöntemi ve onay süreci yazılı olmalıdır. Bu hesabın kullanımı merkezi olarak kaydedilmeli ve erişimi düzenli aralıklarla test edilmelidir. Parolalar yapılandırma dosyalarında veya düz metin notlarda tutulmamalı; kurumsal sır yönetimi çözümünde, erişim kayıtlarıyla birlikte korunmalıdır.

Cihaz Sertleştirme ve Yapılandırma Bütünlüğü

Sertleştirme tek seferlik bir ayar değişikliği değil, sürekli denetlenen bir süreçtir. Üretici destek durumu ve bakım politikası dikkate alınarak yazılım güncellemeleri planlanmalı, önce test ortamında doğrulanmalı ve geri dönüş planıyla uygulanmalıdır.

Kontrol listesinde yönetim servisleri, yönetim ağı ACL kuralları, SNMP sürümü ve kimlik doğrulama yöntemi, kullanılmayan portlar, oturum süreleri, başarısız giriş davranışı, güvenli şifre takımları ve yapılandırma yedeklerinin korunması bulunabilir. SNMP kullanılıyorsa güvenli sürüm ve erişim kısıtları tercih edilmeli; eski topluluk bilgileri gereksiz yere bırakılmamalıdır.

Yapılandırma yedekleri cihaz üzerinde tutulmamalı; erişimi sınırlı, bütünlüğü doğrulanabilen ve geri yükleme testi yapılmış bir alanda saklanmalıdır. Değişiklik öncesi ve sonrası yapılandırma karşılaştırılmalı, beklenmeyen her fark yetkili bir değişiklik kaydıyla eşleştirilmelidir. Otomatik denetim araçları başlangıçta yalnızca okunabilir yetkiyle çalıştırılmalı ve üretim değişikliği yapmadıkları doğrulanmalıdır.

Loglama, İzleme ve Olay Triage

Cihaz logları merkezi bir toplama sistemine aktarılmalı ve mümkünse ayrı bir güvenlik alanında korunmalıdır. Saat senkronizasyonu doğrulanmalı; cihazların güvenilir ve izlenen bir zaman kaynağıyla çalıştığı kontrol edilmelidir. Logların saklama süresi, erişim yetkileri ve bütünlük kontrolleri kurumun olay müdahale gereksinimleriyle uyumlu olmalıdır.

Aşağıdaki olaylar için uyarı eşikleri belirlenebilir:

• Başarılı ve başarısız yönetici girişleri
• Yeni hesap, rol veya kimlik doğrulama yöntemi eklenmesi
• Yönetim ACL kurallarının değiştirilmesi
• Yapılandırma kaydetme, geri yükleme veya fabrika ayarlarına dönüş işlemleri
• Beklenmeyen kaynak ağlardan gelen yönetim denemeleri

Bir uyarı geldiğinde önce etkilenen cihazı, hesabı, kaynak adresi, zaman bilgisini ve yapılan işlemi doğrulayın. Ardından olayın yetkili bir değişiklik talebiyle eşleşip eşleşmediğini inceleyin. Yetkisiz işlem şüphesinde erişimi kontrollü biçimde kısıtlayın, ilgili logları ve yapılandırma farklarını koruyun ve olay müdahale prosedürünü devreye alın. Kanıt toplarken cihazı gereksiz yere yeniden başlatmaktan, logları silmekten veya yapılandırmayı kanıt korunmadan değiştirmekten kaçının.

Yetkili Denetim ve Uygulama Planı

Kontrollerin sürdürülebilir olması için her güvenlik önlemi bir sorumlu, uygulama sıklığı ve başarı ölçütüyle ilişkilendirilmelidir. Aylık erişim gözden geçirmelerinde işten ayrılan veya rolü değişen kullanıcılar, kullanılmayan hesaplar ve geniş yetkili roller incelenmelidir. Periyodik ve yetkili güvenlik testleriyle açık servisler, yönetim yolları ve ACL kuralları doğrulanabilir; test kapsamı ve bakım penceresi önceden onaylanmalıdır.

Başlangıç için şu sırayı izleyin: envanteri güncelleyin, yönetim erişimini sınırlandırın, eski servisleri kapatın, merkezi loglamayı doğrulayın, yapılandırma yedeklerini test edin ve alarm-müdahale zincirini kontrollü bir senaryoyla deneyin. Her adımın sonucu değişiklik kaydı, sorumlu kişi ve geri dönüş planıyla ilişkilendirildiğinde ağ cihazlarının güvenliği ölçülebilir ve sürdürülebilir hale gelir.