Düz Ağ Yapısı: Görünmeyen Ama Pahalı Risk
Türkiye'deki orta ve büyük ölçekli şirketlerin ağ altyapılarını incelediğimizde ortak bir tablo görürüz: tek bir yayın alanı (broadcast domain) içinde çalışan muhasebe, insan kaynakları, üretim hatları, misafir Wi-Fi ve hatta IoT cihazları. Bu "düz ağ" (flat network) yapısı, ilk kurulumda pratik görünür ama güvenlik açısından zaman bombasıdır. Bir cihaz ele geçirildiğinde, saldırgan aynı ağdaki tüm diğer cihazlara ve sunuculara doğrudan erişim bulur. Sektör raporlarına göre fidye yazılımı vakalarının büyük bölümünde yanal hareket (lateral movement) saatler değil dakikalar içinde gerçekleşiyor; segmentasyon olmayan ağlarda bu süre daha da kısalıyor.
Biz AFN Teknoloji'ye gelen müşterilerin büyük kısmı ilk etapta "internet yavaş" veya "antivirüs tespit etti ama yayılmayı durduramadık" şikayetiyle başvuruyor. Detaylı ağ denetiminde ise altta yatan asıl sorun genellikle VLAN eksikliği veya hatalı VLAN tasarımı oluyor.
VLAN Teknik Olarak Ne Yapar
VLAN (Virtual LAN), fiziksel anahtarlama altyapısını değiştirmeden ağı mantıksal olarak bölümlere ayıran, IEEE 802.1Q standardıyla tanımlanan bir teknolojidir. Her VLAN'a 1-4094 arasında bir ID atanır; anahtar portları "access port" (tek VLAN'a bağlı uç cihaz portu) veya "trunk port" (birden fazla VLAN'ı taşıyan omurga bağlantısı) olarak yapılandırılır. VLAN'lar arası iletişim ancak Layer 3 cihaz (router veya firewall) üzerinden, tanımlı erişim kontrol listeleri (ACL) ile mümkün olur.
Pratikte bu, şu anlama gelir: Muhasebe departmanı VLAN 20'de, üretim SCADA sistemleri VLAN 30'da, misafir Wi-Fi VLAN 40'ta, sunucu çiftliği VLAN 10'da çalışır. VLAN 40'taki bir cihaz, güvenlik duvarında açıkça tanımlanmış bir kural olmadıkça VLAN 10'daki dosya sunucusuna asla erişemez. Bu basit ama kritik ayrım, saldırı yüzeyini tek bir ağ segmentinden tüm kuruma yayılmaktan kurtarır.
Sahada En Sık Rastladığımız 3 VLAN Hatası
AFN Teknoloji saha ekiplerimizin yaptığı ağ denetimlerinde (network audit) tekrar eden üç hata kalıbı var:
**1) VLAN var ama inter-VLAN routing serbest:** Şirket VLAN'ları ayırmış ama Layer 3 switch üzerinde "permit any" kuralı bırakılmış. VLAN görsel olarak ayrı, güvenlik açısından hâlâ tek ağ.
**2) Yönetim VLAN'ı (management VLAN) izole edilmemiş:** Switch, firewall, access point gibi cihazların yönetim arayüzleri kullanıcı VLAN'larıyla aynı segmentte. Bir kullanıcı cihazı ele geçirildiğinde saldırgan doğrudan ağ cihazlarının yönetim paneline ulaşabiliyor.
**3) Misafir ağı ile kurumsal ağ aynı omurgada:** Trunk portunda misafir VLAN'ı taşınıyor ama firewall seviyesinde gerçek bir izolasyon kuralı yok; sadece SSID farklı, trafik aynı fiziksel yolda karışık dolaşıyor.
Bu üç hatanın ortak sonucu aynı: segmentasyon kağıt üzerinde var, operasyonel olarak yok.
AFN Teknoloji'nin Segmentasyon Yaklaşımı: Fortinet ve Huawei ile
AFN Teknoloji olarak ağ segmentasyonu projelerinde iki ana marka ile çalışıyoruz: omurga ve erişim katmanında Huawei S serisi yönetilebilir anahtarlar, güvenlik katmanında ise Fortinet FortiGate serisi güvenlik duvarları. Bu kombinasyonu tercih etmemizin nedeni net: Huawei anahtarları 802.1Q VLAN trunking, port güvenliği (port security) ve DHCP snooping gibi özellikleri rekabetçi maliyetle sunuyor; FortiGate ise VLAN arası trafiği zone tabanlı politika yapısıyla, Security Fabric entegrasyonuyla ve IPS/IDS motoruyla denetleyerek sadece "izole etmeyi" değil "izlenebilir izole etmeyi" sağlıyor.
Tipik bir AFN projesi şu adımlardan geçer: önce mevcut ağ topolojisi çıkarılır, hangi cihazın hangi segmentte olması gerektiği belirlenir (sunucular, son kullanıcılar, misafirler, IoT/kamera sistemleri, OT/üretim hatları ayrı VLAN'lara ayrılır), ardından FortiGate üzerinde her VLAN için ayrı güvenlik zonu tanımlanır ve zone'lar arası trafik varsayılan olarak reddedilir, sadece ihtiyaç duyulan portlar ve protokoller açılır. Ortalama bir 150-200 kullanıcılı kurumsal ortamda bu yapı genellikle 6-10 VLAN ile hayata geçiyor: yönetim, sunucu, muhasebe/finans, genel personel, misafir, VoIP, güvenlik kameraları ve varsa OT/üretim.
Mikro-Segmentasyon ve Sıfır Güven Yaklaşımı
VLAN, segmentasyonun temelini oluşturur ama tek başına yeterli değildir. Özellikle kritik veri işleyen finans, sağlık ve üretim müşterilerimizde VLAN'ın üzerine mikro-segmentasyon katmanını ekliyoruz: aynı VLAN içindeki sunucular arasında da FortiGate'in East-West trafik kontrolü veya VMware NSX gibi sanallaştırma katmanı segmentasyon araçlarıyla iletişim kısıtlanıyor. Bu, Sıfır Güven (Zero Trust) modelinin ağ katmanındaki karşılığıdır: "ağda olmak" güven anlamına gelmez, her bağlantı ayrı doğrulanır.
AFN Teknoloji olarak bu çalışmayı sadece kurulumla sınırlı tutmuyoruz; ShamashAI izleme platformumuzla VLAN'lar arası anormal trafik hareketlerini (örneğin normalde hiç iletişim kurmayan iki segment arasında ani veri akışı) gerçek zamanlı tespit edip uyarı üretiyoruz. Böylece segmentasyon statik bir mimari değil, sürekli izlenen canlı bir savunma hattı haline geliyor.
Segmentasyon Projesine Nereden Başlamalı
Ağ segmentasyonu projesine başlamadan önce mevcut durumun net bir fotoğrafını çekmek gerekir: kaç VLAN var, hangi cihaz hangi segmentte, firewall kuralları ne kadar sıkı, yönetim arayüzleri izole mi. Bu envanter çıkarılmadan yapılan segmentasyon çalışmaları genellikle eksik veya yanlış kalıyor.
Ağınızın segmentasyon olgunluğunu net olarak görmek, yanal hareket risklerinizi somut rakamlarla ölçmek istiyorsanız AFN Teknoloji'nin sunduğu ücretsiz AFN RiskScan taramasından faydalanabilirsiniz. Bu tarama, ağınızdaki açık portları, segmentasyon zayıflıklarını ve kritik sistemlerinizin maruz kaldığı riskleri raporlayarak somut bir aksiyon planı sunar. Detaylı bilgi ve ücretsiz tarama talebi için https://afnteknoloji.com/iletisim adresinden bizimle iletişime geçebilirsiniz.