- (0224) 322 22 90
- info@bursabilgisayar.tr
İşletmelerde bilgisayarlar, sunucular, yazıcılar, IP kameralar, access pointler, NAS sistemleri ve IoT cihazları aynı network altyapısını kullanabilir. Bu cihazların kontrolsüz şekilde aynı ağ içerisinde çalışması, bir güvenlik probleminin diğer sistemlere yayılma riskini artırabilir.
Bursa Bilgisayar olarak Bursa ağ güvenliği hizmetimiz kapsamında işletmelerin mevcut network altyapısını analiz ediyor; firewall, VLAN, network segmentasyonu, VPN, Wi-Fi güvenliği, erişim politikaları ve cihaz yönetimi gibi farklı güvenlik katmanlarını birlikte planlıyoruz.
Amacımız yalnızca internetten gelen tehditleri engellemek değil, şirket içindeki network trafiğini de daha kontrollü ve yönetilebilir hale getirmektir.
Ağ güvenliği, işletmenin network altyapısını yetkisiz erişimlerden, zararlı trafikten, yanlış yapılandırmalardan ve güvenli olmayan bağlantılardan korumaya yönelik teknik ve yönetimsel önlemlerin bütünüdür.
Kurumsal ağ güvenliği;
gibi farklı bileşenlerden oluşabilir.
Tek bir ürün kullanmak yerine katmanlı bir güvenlik yaklaşımı uygulanmalıdır.
İşletmenin mevcut IT altyapısına göre;
hizmetleri sunuyoruz.
Kurumsal ağlarda tüm cihazların aynı network içerisinde çalışması güvenlik ve yönetim açısından uygun olmayabilir.
Örneğin;
aynı IP bloğunda çalışıyorsa bir cihazda oluşan güvenlik problemi diğer sistemlere daha kolay ulaşabilir.
Network segmentasyonu sayesinde bu sistemler mantıksal olarak birbirinden ayrılabilir.
VLAN teknolojisi aynı fiziksel network altyapısı üzerinde farklı mantıksal ağlar oluşturmayı sağlar.
Örneğin;
VLAN 10 → Personel
VLAN 20 → Sunucular
VLAN 30 → Kameralar
VLAN 40 → Misafir Wi-Fi
VLAN 50 → IoT
gibi bir yapı oluşturulabilir.
VLAN’lar arasındaki iletişim firewall veya Layer 3 network cihazları üzerinden kontrol edilebilir.
Çalışanların kullandığı bilgisayarlar ve notebooklar ayrı kullanıcı VLAN’ında konumlandırılabilir.
Bu kullanıcıların hangi sunucu ve servislere erişebileceği firewall politikalarıyla sınırlandırılabilir.
Örneğin standart kullanıcıların network cihazlarının yönetim arayüzlerine erişmesine ihtiyaç yoktur.
Bu nedenle erişimler görev bazlı planlanabilir.
Active Directory, ERP, dosya sunucusu, SQL ve diğer kritik sistemler ayrı sunucu VLAN’ında çalıştırılabilir.
Kullanıcı networkünden sunucu VLAN’ına yalnızca gerekli servisler açılabilir.
Bu yaklaşım kullanıcı bilgisayarında oluşabilecek bir güvenlik probleminde sunucu sistemlerinin doğrudan erişilebilir olmasını azaltabilir.
IP kameralar ve NVR sistemleri ayrı network segmentinde çalıştırılabilir.
Örneğin;
Kamera VLAN → VLAN 30
Kamera sistemlerinin kullanıcı bilgisayarlarına veya kritik sunuculara erişmesi engellenebilir.
Yetkili güvenlik personelinin gerekli görüntüleme sistemlerine erişmesi için kontrollü firewall kuralları oluşturulabilir.
İşletmeye gelen ziyaretçilerin şirketin personel Wi-Fi ağına bağlanması güvenlik açısından uygun değildir.
Misafir kullanıcılar için ayrı SSID ve VLAN oluşturulabilir.
Örneğin;
Firma-Personel → Kurumsal VLAN
Firma-Misafir → Sadece İnternet
Misafir networkünün sunuculara, yazıcılara, NAS’a ve diğer kurumsal cihazlara erişimi sınırlandırılabilir.
Akıllı televizyon, otomasyon cihazları, yazıcılar ve diğer IoT sistemleri farklı güvenlik seviyelerine sahip olabilir.
Bu cihazların kritik sunucularla aynı network içerisinde tutulması risk oluşturabilir.
İhtiyaca göre IoT cihazları ayrı VLAN içerisinde çalıştırılabilir.
Fabrikalarda üretim sistemlerinin ofis networkünden ayrılması özellikle önemlidir.
Üretim alanında;
bulunabilir.
Bu sistemlere erişim yalnızca ihtiyaç duyulan kullanıcı ve servislerle sınırlandırılabilir.
Örneğin;
Ofis Network → Firewall → Üretim Network
şeklinde kontrollü bir mimari oluşturulabilir.
Firewall kurumsal network güvenliğinin önemli bileşenlerinden biridir.
Firewall üzerinden;
kontrol edilebilir.
Güvenlik politikaları işletmenin gerçek iş ihtiyaçlarına göre oluşturulmalıdır.
Her kullanıcının veya cihazın internete aynı erişim hakkına sahip olması gerekmeyebilir.
Firewall ve destekleyen güvenlik sistemleri üzerinden kullanıcı veya network bazlı internet politikaları oluşturulabilir.
Örneğin;
için farklı erişim kuralları uygulanabilir.
DNS, kullanıcıların web sitelerine ve servislerine erişebilmesi için temel network servislerinden biridir.
Güvenilir DNS altyapısı kullanılması ve kullanıcıların kontrolsüz DNS servislerine yönelmesinin önlenmesi değerlendirilebilir.
Desteklenen sistemlerde bilinen zararlı domainlerin engellenmesine yardımcı olan DNS güvenlik servisleri de kullanılabilir.
Network içerisinde kontrolsüz veya yetkisiz DHCP servislerinin bulunması kullanıcıların yanlış IP, gateway veya DNS bilgileri almasına neden olabilir.
Kurumsal networkte hangi cihazın DHCP servisi sağladığı net olarak belirlenmelidir.
Managed switchlerin desteklediği yapılarda DHCP Snooping gibi ek güvenlik özellikleri de değerlendirilebilir.
Managed switchler ağ güvenliği açısından önemli kontrol noktaları olabilir.
Uygun cihazlarda;
gibi ayarlar uygulanabilir.
Her switch modelinin desteklediği özellikler farklıdır.
Kurumsal networklerde fiziksel olarak kullanılmayan switch portlarının aktif bırakılması gerekli olmayabilir.
İhtiyaca göre boş portlar kapatılabilir veya belirli VLAN’lara alınabilir.
Bu sayede yetkisiz bir cihazın boş network prizine bağlanarak şirket ağına erişmesi zorlaştırılabilir.
Destekleyen managed switchlerde Port Security benzeri özellikler kullanılabilir.
Belirli switch portlarının yalnızca belirli sayıda veya belirli MAC adreslerine sahip cihazlarla çalışması sağlanabilir.
Bu yaklaşım fiziksel network erişimini daha kontrollü hale getirebilir.
Switch, firewall, access point ve diğer network cihazlarının yönetim arayüzleri kullanıcı networkünden ayrılabilir.
Örneğin;
VLAN 99 → Management
oluşturulabilir.
Bu VLAN’a yalnızca IT ekibinin veya belirli yönetim bilgisayarlarının erişmesine izin verilebilir.
Network cihazlarında;
güvenlik riski oluşturabilir.
Switch, router, firewall ve access point yönetim erişimleri kontrollü şekilde yapılandırılmalıdır.
Kablosuz ağlar fiziksel kablo gerektirmediği için işletme dışından da erişim denemelerine açık olabilir.
Kurumsal Wi-Fi sistemlerinde;
gibi güvenlik önlemleri uygulanabilir.
Kullanılan access point ve istemci cihazları destekliyorsa güncel kablosuz güvenlik standartları kullanılmalıdır.
Eski ve zayıf şifreleme yöntemlerinden kaçınılmalıdır.
Kurumsal yapılarda uygun altyapı bulunduğunda kullanıcı bazlı kimlik doğrulama yöntemleri de değerlendirilebilir.
Şirket dışındaki kullanıcıların doğrudan sunucu servislerine erişmesi yerine VPN kullanılması tercih edilebilir.
Örneğin:
Kullanıcı → VPN → Firewall → Kurumsal Network
Bu bağlantıda kullanıcının yalnızca ihtiyaç duyduğu sistemlere erişmesine izin verilebilir.
Şubeler arasında site-to-site VPN kurulabilir.
Bu sayede farklı lokasyonlar arasındaki trafik şifreli tünel üzerinden taşınır.
Ancak şubeler bağlandıktan sonra her networkün birbirine sınırsız erişmesi gerekmez.
Firewall politikalarıyla hangi şubenin hangi merkezi sistemlere erişeceği belirlenebilir.
ERP, otomasyon veya farklı sistemlere destek veren dış firmaların şirket networküne erişmesi gerekebilir.
Bu erişimler kalıcı ve kontrolsüz şekilde açık bırakılmamalıdır.
Mümkün olduğunda;
gibi kontroller uygulanabilir.
Windows Remote Desktop servisinin doğrudan internete açılması güvenlik riskini artırabilir.
Uzak masaüstü ihtiyacı varsa;
VPN → Firewall → RDP
şeklinde kontrollü erişim tercih edilebilir.
Uygun sistemlerde MFA gibi ek güvenlik önlemleri değerlendirilebilir.
Network içerisindeki kullanıcılar görevlerine göre farklı erişim haklarına sahip olabilir.
Örneğin;
Muhasebe → Muhasebe Sunucusu
Üretim → ERP + Üretim Sistemleri
Misafir → Sadece İnternet
IT → Yönetim Sistemleri
gibi erişim politikaları oluşturulabilir.
Bu yapı minimum yetki prensibini destekler.
Kullanıcı ve cihazların yalnızca ihtiyaç duyduğu kaynaklara erişmesi hedeflenmelidir.
Bir kullanıcının görevini yapmak için sunucu yönetim arayüzlerine veya diğer departman sistemlerine erişmesi gerekmiyorsa bu erişimler sınırlandırılabilir.
Bu yaklaşım güvenlik problemlerinin etkisini azaltmaya yardımcı olabilir.
Firewall ve VLAN network trafiğini kontrol ederken endpoint güvenliği bilgisayarların üzerinde çalışan tehditlere odaklanır.
Bu nedenle;
Firewall + Network Segmentasyonu + Endpoint Security
birlikte kullanılmalıdır.
Tek bir güvenlik katmanına güvenmek yeterli değildir.
Active Directory kullanılan işletmelerde kullanıcı hesapları ve bilgisayarlar merkezi olarak yönetilebilir.
Kullanıcı grupları firewall ve diğer güvenlik sistemleriyle entegre edilerek görev bazlı erişim politikaları oluşturulabilir.
Active Directory güvenliği de genel network güvenlik stratejisinin bir parçasıdır.
Sunucu sistemlerinin network üzerinde hangi cihazlar tarafından erişilebilir olduğu kontrol edilmelidir.
Örneğin SQL Server’ın tüm kullanıcı networküne açık olması gerekmeyebilir.
Uygulama sunucusunun veritabanına erişmesine izin verilirken standart kullanıcıların doğrudan erişimi engellenebilir.
NAS üzerindeki dosyalar şirketin kritik verilerini içerebilir.
NAS erişimleri yalnızca gerekli kullanıcı ve sunucularla sınırlandırılabilir.
NAS yönetim arayüzlerinin standart kullanıcı networkünden erişilememesi değerlendirilebilir.
Yedekleme sistemlerinin de network üzerinde korunması gerekir.
Ana kullanıcı hesaplarının backup sistemini silebilmesi risk oluşturabilir.
Mümkün olduğunda yedekleme sistemleri;
ile korunabilir.
Yoğun sunucu altyapılarında backup sistemleri için ayrı VLAN oluşturulabilir.
Örneğin;
Backup VLAN → Sunucu + NAS
şeklinde ayrı bir network kullanılabilir.
Bu yapı backup trafiğinin kullanıcı networkünden ayrılmasını ve erişimlerin daha kontrollü yönetilmesini sağlayabilir.
Network cihazlarının ve güvenlik sistemlerinin izlenmesi problemleri daha erken fark etmeye yardımcı olabilir.
Takip edilebilecek başlıca noktalar:
olabilir.
Firewall, switch, VPN ve diğer network sistemlerinden alınan loglar güvenlik olaylarının araştırılmasında faydalı olabilir.
Loglar sayesinde;
incelenebilir.
İşletmenin güvenlik ihtiyacına göre merkezi log sistemleri değerlendirilebilir.
Güvenli ve yönetilebilir bir network altyapısının dokümante edilmesi önemlidir.
Uygun projelerde;
kayıt altına alınabilir.
Bu sayede yapılan güvenlik değişiklikleri daha kontrollü yönetilebilir.
İşletmede yıllar içerisinde farklı cihazlar ve network sistemleri eklenmiş olabilir.
Mevcut altyapıda;
bulunabilir.
Mevcut yapı analiz edilerek öncelikli riskler ve iyileştirme alanları belirlenebilir.
Ağ güvenliğinde “firewall aldık, artık güvendeyiz” yaklaşımı doğru değildir.
Daha sağlıklı yapı;
Firewall
VLAN ve Segmentasyon
Endpoint Security
VPN
MFA
Yedekleme
Güncelleme
Kullanıcı Farkındalığı
şeklinde birden fazla katmandan oluşur.
Her işletmenin ihtiyaç duyduğu güvenlik seviyesi farklıdır.
Network güvenliği yalnızca büyük işletmelere yönelik değildir.
10–20 bilgisayarlı bir şirkette bile;
gibi kritik sistemler bulunabilir.
KOBİ’nin bütçesi ve gerçek riskleri değerlendirilerek gereksiz karmaşıklık oluşturmadan uygun bir güvenlik yapısı kurulabilir.
Fabrikalarda IT ve üretim networkünün birlikte değerlendirilmesi gerekir.
Yönetim bilgisayarları, sunucular, kameralar, Wi-Fi ve üretim sistemleri farklı güvenlik bölgelerine ayrılabilir.
Özellikle dış servis firmalarının üretim cihazlarına erişimi kontrollü VPN altyapısıyla sağlanabilir.
Birden fazla lokasyona sahip işletmelerde ortak network ve güvenlik standartları oluşturulabilir.
Şubeler;
açısından benzer şekilde yapılandırılabilir.
Bu sayede yeni şubelerin sisteme dahil edilmesi ve merkezi destek kolaylaşır.
Genel olarak şu adımlarla ilerleyebiliriz:
Ağ güvenliği çözümlerimiz özellikle;
için planlanabilir.
Bursa Bilgisayar olarak ağ güvenliğini yalnızca firewall kurulumu olarak değerlendirmiyoruz.
Firewall + Switch + VLAN + Wi-Fi + VPN + Sunucu + Active Directory + Endpoint Security + NAS + Backup + Monitoring altyapısını birlikte ele alıyoruz.
Bu sayede internetten gelen tehditlerin yanı sıra şirket içerisindeki cihaz ve kullanıcıların erişimlerini de kontrol altına alan, daha düzenli ve yönetilebilir bir kurumsal network güvenliği oluşturmayı hedefliyoruz.
İşletmenizde tüm kullanıcılar, sunucular, kameralar ve misafir cihazlar aynı network üzerinde çalışıyor, kimlerin hangi sistemlere eriştiğini kontrol edemiyor veya mevcut ağ güvenliğinizin yeterli olup olmadığını değerlendirmek istiyorsanız altyapınızı birlikte inceleyebiliriz.
Bursa Bilgisayar olarak Bursa ağ güvenliği, network güvenliği, kurumsal ağ güvenliği, VLAN segmentasyonu, firewall güvenliği, Wi-Fi güvenliği ve network erişim kontrolü ihtiyaçlarınız için işletmenize uygun güvenlik mimarisini planlıyor ve uyguluyoruz.
