Switch Hardening: Her Zaman Gerekli Bir Adım mı?

Switch Hardening: Temel Bir Güvenlik Katmanı mı, Gereksiz Bir Yük mü?

Ağ güvenliği söz konusu olduğunda, genellikle güvenlik duvarları (firewall) ve sızma tespit sistemleri (IDS/IPS) gibi ön planda yer alan bileşenlere odaklanırız. Ancak, ağın omurgasını oluşturan anahtarlar (switch) da saldırganlar için cazip hedefler olabilir. Switch hardening, bu cihazların güvenliğini artırma pratiğidir. Peki, her zaman gerekli midir? Bu yazıda, switch hardening’in ne olduğunu, neden önemli olabileceğini ve hangi durumlarda gerçekten bir zorunluluk olduğunu kendi deneyimlerimden yola çıkarak inceleyeceğim.

Geçtiğimiz 10 yıl içinde, özellikle büyük kurumsal ağlarda, anahtarların güvenliği giderek daha fazla önem kazandı. Bir zamanlar sadece paketleri yönlendiren pasif cihazlar olarak görülen switch’ler, artık daha karmaşık özelliklere sahip ve potansiyel saldırı vektörleri sunuyor. Kendi projelerimde de karşılaştığım üzere, doğru yapılandırılmamış bir anahtar, tüm ağın güvenliğini tehlikeye atabilir. Bu nedenle, switch hardening’in inceliklerini anlamak kritik hale geliyor.

Neden Switch Hardening Yapmalıyız? Potansiyel Tehditler ve Saldırı Vektörleri

Switch hardening’e neden ihtiyaç duyduğumuzu anlamak için öncelikle karşı karşıya olduğumuz tehditlere göz atmalıyız. Saldırganlar, anahtarları ele geçirerek ağ trafiğini izleyebilir, yönlendirmeyi değiştirebilir, hatta ağın belirli bölümlerine erişim sağlayabilirler. Bu tür saldırılar genellikle hedef odaklıdır ve genellikle ağın daha zayıf noktalarını bulmayı amaçlar.

Özellikle DHCP spoofing, ARP poisoning, VLAN hopping gibi saldırılar, doğru yapılandırılmamış anahtarlar üzerinde kolayca gerçekleştirilebilir. Örneğin, bir saldırgan DHCP sunucusu gibi davranarak istemcilere zararlı IP adresleri veya gateway bilgileri dağıtabilir. Bu durum, tüm ağ iletişiminin kontrolünü ele geçirmelerine yol açabilir. Kendi deneyimimde, bir üretim ortamında DHCP spoofing kaynaklı bir kesinti, operatör ekranlarına erişimi keserek üretimde gözle görülür bir aksamaya yol açmıştı. Kök sebep aslında basit bir yapılandırma eksikliğiydi; bu da switch hardening’in ne kadar kritik olduğunu bir kez daha göstermişti.

Bir diğer yaygın saldırı vektörü ise VLAN hopping’dir. Saldırganlar, genellikle bir switch’in trunk portlarındaki zafiyetleri kullanarak, normalde erişemeyecekleri bir VLAN’a geçiş yapabilirler. Bu, özellikle hassas verilere sahip VLAN’lara erişim sağlamak için kullanılır. Bu tür denemelerde belirleyici olan, VLAN’lar arasındaki erişim kontrol listelerinin (ACL) doğru yapılandırılmış olmasıdır; düzgün kurgulanmış bir ACL katmanı, saldırının bir sonraki VLAN’a sıçramasını engelleyebilir.

Switch Hardening’in Temel Adımları: Neler Yapılmalı?

Switch hardening, bir dizi yapılandırma adımını içerir. Bu adımlar, anahtarın modeline ve üreticisine göre değişiklik gösterebilir, ancak genel prensipler benzerdir. Öncelikle, kullanılmayan portları devre dışı bırakmak en temel adımdır. Her bir port, potansiyel bir giriş noktasıdır ve kullanılmayan portların kapatılması, bu riski ortadan kaldırır.

Bunun yanı sıra, her porta özel MAC adres filtrelemesi uygulamak da güvenliği artırır. Bu, yalnızca yetkilendirilmiş cihazların belirli bir porta bağlanabilmesini sağlar. Sunucuların bulunduğu network segmentindeki switch’lerde bu politika uygulandığında, yetkisiz bir cihazın ağa bağlanma denemesi daha bağlantı aşamasında engellenebilir. Bu durum, “paranoyak olmak” gibi görünse de, özellikle kritik altyapılarda gereklidir.

# Cisco IOS örneği: Portları devre dışı bırakma
Switch(config)# interface range GigabitEthernet1/0/1-24
Switch(config-if-range)# shutdown

# MAC adres filtrelemesi (Access Control List ile)
Switch(config)# mac access-list extended ALLOWED_DEVICES
Switch(config-macl)# permit host 0011.2233.4455 any  # İzin verilen MAC adresi
Switch(config-macl)# deny any any log             # Diğer tüm MAC adreslerini engelle ve logla
Switch(config)# interface GigabitEthernet1/0/5
Switch(config-if)# mac access-group ALLOWED_DEVICES in

DHCP snooping, dinamik ARP denetimi (Dynamic ARP Inspection - DAI) ve IP Source Guard gibi özellikler de katman 2 güvenliğini ciddi şekilde güçlendirir. DHCP snooping, güvenilir olmayan portlardan gelen DHCP sunucu mesajlarını engellerken, DAI, ARP paketlerinin geçerliliğini kontrol ederek ARP poisoning saldırılarını önler. IP Source Guard ise, bir porttan gelen trafiğin, o porta atanmış IP ve MAC adresleriyle eşleşip eşleşmediğini kontrol eder. Bu özellikler, özellikle kullanıcı cihazlarının bağlandığı erişim anahtarlarında (access switches) hayati önem taşır.

Kullanılmayan Portları Yönetme ve Varsayılan Ayarların Değiştirilmesi

Anahtarların güvenliğinde göz ardı edilen en önemli konulardan biri, kullanılmayan portların yönetimidir. Bir ağde kaç tane portun aktif olarak kullanıldığını bilmek ve kullanılmayan portları kapatmak, saldırı yüzeyini önemli ölçüde azaltır. Birçok yönetici, “ileride lazım olur” düşüncesiyle portları açık bırakır. Ancak bu, potansiyel bir güvenlik açığı yaratır.

Yeni bir ağ altyapısı kurarken veya mevcut bir altyapıyı gözden geçirirken, her portun amacını belirleyip gereksiz olanları kapatmak iyi bir alışkanlıktır. Örneğin, bir veri merkezinde sadece sunucuların bağlandığı portlar aktif tutulur ve kullanıcıların erişebileceği portlar tamamen izole edilir. Aynı prensip, küçük ölçekli ortamlarda bile geçerlidir: yalnızca gerekli olan portları açık bırakmak, saldırı yüzeyini daima azaltır.

Varsayılan yönetim parolalarının değiştirilmesi de olmazsa olmazdır. Çoğu anahtar, fabrika çıkışı varsayılan parolalarla gelir ve bu parolalar internette kolayca bulunabilir. Bu parolaların hemen değiştirilmesi, yetkisiz erişimi engellemenin ilk adımıdır. Ayrıca, SNMP v1/v2c gibi eski ve güvensiz protokoller yerine SNMP v3 gibi daha güvenli sürümlerin kullanılması veya SNMP’nin hiç gerekmiyorsa tamamen devre dışı bırakılması önerilir.

Port Güvenliği: MAC Adres Filtrelemesi ve Port Tabanlı Güvenlik

Port güvenliği, anahtarların en temel güvenlik özelliklerinden biridir. Bu, bir porta kaç tane MAC adresinin bağlanabileceğini ve hangi MAC adreslerinin izin verileceğini kontrol etmeyi içerir. En yaygın kullanılan tekniklerden biri, bir porta izin verilen maksimum MAC adres sayısını sınırlamaktır. Örneğin, bir kullanıcı portuna sadece bir MAC adresinin bağlanmasına izin vererek, bir kullanıcının birden fazla cihazla ağa bağlanmasını engelleyebilirsiniz.

# Cisco IOS örneği: Port güvenliği - tek MAC adresi izni
Switch(config)# interface GigabitEthernet1/0/10
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 1
Switch(config-if)# switchport port-security violation shutdown  # İhlal durumunda portu kapat
Switch(config-if)# switchport port-security mac-address sticky # Öğrenilen MAC'i kaydet

“Sticky MAC” özelliği, bir porta bağlanan ilk MAC adresini öğrenir ve bu MAC adresini yapılandırmaya kaydeder. Daha sonra, bu porttan farklı bir MAC adresiyle trafik gelirse, anahtar bu durumu bir ihlal olarak algılar. Bu özellik, özellikle fiziksel erişimin kısıtlı olduğu ortamlarda etkilidir. Bir müşteri projesinde, bir ofis segmentindeki anahtarlarda bu özelliği aktif ettiğimizde, bir çalışanın kişisel dizüstü bilgisayarını ağa bağlama denemesinin engellendiğini gördük. Bu durum, şirket politikalarına uyumu sağlamak açısından önemliydi.

DAI ve IP Source Guard gibi özellikler de port güvenliğini bir üst seviyeye taşır. DAI, ARP sahtekarlığını önlemek için ARP paketlerini doğrular. IP Source Guard ise, bir porttan gelen IP paketlerinin, o porta atanmış IP ve MAC adresleriyle tutarlı olup olmadığını kontrol eder. Bu ikili koruma, özellikle ARP poisoning gibi yaygın saldırılara karşı oldukça etkilidir. Bu özelliklerin devreye alınması, ağın genel güvenliğini sağlamak için güçlü bir adımdır.

VLAN’ların Güvenli Kullanımı ve VLAN Hopping’e Karşı Önlemler

VLAN’lar, ağı mantıksal olarak bölerek segmentasyon sağlamak ve güvenliği artırmak için kullanılır. Ancak, VLAN’lar doğru yapılandırılmazsa, VLAN hopping saldırılarına karşı savunmasız kalabilirler. VLAN hopping, saldırganların, normalde erişemeyecekleri bir VLAN’a geçiş yapmasını sağlar. Bu genellikle anahtarın trunk portlarındaki zafiyetler veya yanlış yapılandırmalar üzerinden gerçekleşir.

Bu tür saldırıları önlemek için, anahtarın trunk portlarında yalnızca gerekli olan VLAN’lara izin verilmelidir. Gereksiz VLAN’ların trunk’lardan geçişi engellenmelidir. Ayrıca, anahtarın yönetim arayüzünün, sadece belirli ve güvenli VLAN’lardan erişilebilir olması sağlanmalıdır. İyi bir uygulama, farklı işlevlere sahip sunucuları ayrı VLAN’lara ayırmak ve bu VLAN’lara yalnızca yetkili yönetim cihazlarının erişmesini sağlamaktır. Bu sayede, olası bir ihlal durumunda saldırganın tüm sunuculara birden erişmesi engellenmiş olur.

Bir diğer önemli önlem de, native VLAN’ın güvenli bir şekilde yönetilmesidir. Native VLAN, trunk portlarında etiketlenmemiş olarak iletilen trafiği temsil eder. Eğer native VLAN, varsayılan olarak kullanılan VLAN 1 ise ve bu VLAN’da hassas cihazlar bulunuyorsa, bu durum bir güvenlik riski oluşturabilir. Bu nedenle, native VLAN’ın varsayılan değerden farklı bir değere ayarlanması ve bu VLAN’ın da güvenli bir şekilde yönetilmesi önemlidir.

Sonuç: Switch Hardening Her Zaman Gerekli mi?

Switch hardening, ağ güvenliğinin önemli bir parçasıdır ve birçok senaryoda kesinlikle gereklidir. Özellikle hassas verilerin işlendiği, yüksek güvenlik gereksinimlerinin olduğu veya saldırı yüzeyini minimize etmek istediğimiz durumlarda, bu adımları atmak büyük önem taşır. DHCP spoofing, ARP poisoning ve VLAN hopping gibi saldırılar, doğru yapılandırılmamış anahtarlar üzerinde kolayca gerçekleştirilebilir ve ciddi sonuçlara yol açabilir.

Ancak, her ağ için aynı derecede karmaşık hardening adımları gerekemeyebilir. Küçük ofis ağları veya daha az kritik altyapılar için, temel güvenlik önlemleri (varsayılan parolaların değiştirilmesi, kullanılmayan portların kapatılması) yeterli olabilir. Tüm özelliklerin aktif edilmesi, bazen sistem karmaşıklığını artırabilir ve yönetimi zorlaştırabilir. Trade-off’ları anlamak önemlidir: daha fazla güvenlik genellikle daha fazla yönetim karmaşıklığı anlamına gelir.

Kendi deneyimlerime dayanarak söyleyebilirim ki, her zaman bir risk değerlendirmesi yapmak ve ağın gereksinimlerine en uygun güvenlik seviyesini belirlemek en doğrusudur. Switch hardening, bir “yapılacaklar listesi” olmaktan çok, sürekli gözden geçirilmesi gereken bir güvenlik kültürüdür. Ağınızın büyüklüğüne, barındırdığı verilere ve karşılaşabileceği tehditlere göre bu adımları adapte etmek, en etkili yaklaşım olacaktır.