Hızlı cevap: Ağ segmentasyonu, bir kurumsal ağı tek büyük düz alan yerine, birbirinden yalıtılmış bölgelere ayırmaktır. Amaç, bir saldırganın tek bir makineyi ele geçirdiğinde tüm ağa yayılmasını (yanal hareket) engellemektir. Düz bir ağda bir bilgisayara giren saldırgan sunuculara, ödeme sistemine ve yedeklere serbestçe ulaşabilir; segmentli bir ağda ise her bölge arasında bir kontrol noktası vardır ve saldırgan bulunduğu bölgede sıkışır. Mikrosegmentasyon bunun en ince halidir: yalnızca ağı değil, tek tek iş yüklerini (sunucu, uygulama) birbirinden yalıtır ve "varsayılan olarak her şey yasak, yalnızca gereken izinli" ilkesini uygular. Segmentasyon, sıfır güven mimarisinin temel taşıdır ve bir ihlalin etkisini dramatik biçimde küçültür.

Modern siber güvenlikte kabul edilen bir gerçek var: er ya da geç bir saldırgan içeri girecek. O yüzden asıl soru "nasıl engellerim" kadar "girdiğinde ne kadar ilerleyebilir" olmalıdır. Ağ segmentasyonu tam da bu ikinci soruyu yanıtlar: saldırganı içeride hapseder. Bu rehber, ağ segmentasyonunu ve mikrosegmentasyonu dünya standardında bir netlikle anlatır.

Düz ağ ile segmentli ağ

DÜZ AĞ Bir ihlal → her yere yayılır SEGMENTLİ AĞ İhlal → tek bölgede kalır Kullanıcı Sunucu Ödeme IoT/OT

Fark çarpıcıdır. Düz ağda tek bir ele geçirilmiş makine tüm ağı açar; segmentli ağda aynı ihlal tek bölgede kalır. Bu, bir fidye yazılımının tüm kurumu mu yoksa tek bir departmanı mı vuracağını belirleyen şeydir.

Segmentasyon türleri

Tür Nasıl ayırır Örnek
Fiziksel Ayrı donanım/ağ Kritik OT ağının tamamen ayrılması
Mantıksal (VLAN) Sanal ağlar Kullanıcı, sunucu, misafir ağları
Mikrosegmentasyon İş yükü seviyesi Sunucu-sunucu trafiğini tek tek kısıtlama
Sıfır güven Kimlik + politika Her erişim ayrı doğrulanır

Neden mikrosegmentasyon

Klasik segmentasyon ağı büyük bölgelere ayırır ama bir bölge içinde her şey birbirine konuşabilir. Saldırgan o bölgeye girerse içindeki her sunucuya ulaşır. Mikrosegmentasyon bunu kapatır: her iş yükü yalnızca gerçekten ihtiyaç duyduğu diğer iş yükleriyle konuşabilir, gerisi varsayılan olarak yasaktır. Bu, yanal hareketi neredeyse imkânsız kılar ve sıfır güven mimarisinin ağ tarafını hayata geçirir.

Segmentasyon kurulum adımları

  1. Varlıkları ve akışları haritalayın. Hangi sistem hangisine, neden konuşuyor? Bunu bilmeden segment çizemezsiniz.
  2. Güven bölgelerini tanımlayın. Kullanıcı, sunucu, ödeme, IoT/OT, yönetim gibi bölgeler ayırın; en kritik olanları en sıkı yalıtın.
  3. Bölgeler arası kuralları yazın. Varsayılan reddet; yalnızca gereken akışlara izin verin.
  4. Önce izle, sonra uygula. Kuralları önce gözlem modunda çalıştırıp meşru trafiği kırmadığınızdan emin olun.
  5. Mikrosegmentasyona derinleşin. Kritik iş yüklerini (ödeme, kimlik, veritabanı) tek tek yalıtın.
  6. Sürekli doğrulayın. Yeni sistemler eklendikçe segment kurallarını güncelleyin; sızma testiyle yanal hareketin gerçekten kısıtlandığını sınayın.

Sık sorulan sorular

Segmentasyon fidye yazılımını durdurur mu? Tek başına durdurmaz ama etkisini dramatik küçültür. İyi segmentli bir ağda fidye yazılımı tüm kurumu değil, girdiği bölgeyi etkiler; bu, felaket ile kontrollü olay arasındaki farktır.

VLAN yeterli mi? VLAN mantıksal ayrım sağlar ama bölge içi trafiği kısıtlamaz ve yanlış yapılandırmayla atlatılabilir. Kritik ortamlar için mikrosegmentasyon ve sıkı bölge kuralları gerekir.

Mikrosegmentasyon karmaşık değil mi? Doğru araçlarla yönetilebilir. Anahtar, önce varlık ve akış görünürlüğü kazanmaktır; ne konuştuğunu bilmeden yalıtamazsınız. Kademeli başlanır.

Küçük kurumun segmentasyona ihtiyacı var mı? Evet, hafif biçimde. En azından misafir ağını, ödeme/kritik sistemleri ve IoT cihazlarını kullanıcı ağından ayırmak küçük kurumda bile büyük fark yaratır.

Kaynaklar

Kurumunuzda ağ segmentasyonu, mikrosegmentasyon tasarımı ve yanal hareket testi için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan siber güvenlik ve sızma testi hizmeti veriyoruz.