Makale No: 3480 
Veri güvenliği denince çoğu şirket önce antivirüs, EDR veya güvenlik duvarı alır. Bunlar gerekli ama yetersiz. 2023’ten bu yana gördüğüm her büyük ihlalde ortak nokta aynıydı, saldırgan içeri girdikten sonra ağın içinde rahatça dolaşabildi. Ağ izolasyonu, bu yanal hareketi fiziksel veya mantıksal duvarlarla keser. Bu yazıda neden kritik olduğunu, tarihten gelen derslerle ve sahada uyguladığım adımlarla anlatıyorum. Daha fazla saha notumu ve vaka analizlerimi www.qihhub.com üzerinde düzenli paylaşıyorum danismanlik icin www.omerakin.nl ulasabilirsiniz
Ağ izolasyonu nedir
En basit tanımıyla, ağ izolasyonu bir ağı daha küçük, birbirinden kontrollü şekilde ayrılmış bölgelere bölmektir. Amaç, bir segmentte bir sorun olduğunda diğerlerinin etkilenmemesini sağlamaktır.
Üç temel prensibi var:
- En az ayrıcalık:Her cihaz sadece ihtiyacı olan servise erişir.
- Varsayılan reddetme:Açıkça izin verilmeyen her trafik engellenir.
- Görünürlük:Doğu batı trafiği, yani sunucudan sunucuya trafik, izlenir ve loglanır.
Bunu evdeki sigorta kutusuna benzetiyorum. Mutfakta kısa devre olunca tüm ev karanlığa gömülmez, sadece mutfak sigortası atar.
Tarih bize ne öğretti
Teori güzel ama tarih acımasızdır. İşte ağ izolasyonu olsaydı faturanın çok daha küçük kalacağı beş kırılma anı.
1988, Morris Worm. İnternetin ilk büyük solucanı, düz bir ağ topolojisinde 60.000 bilgisayarın yaklaşık yüzde 10’unu saatler içinde enfekte etti. Segmentasyon yoktu, tek bir güvenlik açığı herkese bulaştı.
2010, Stuxnet. İran nükleer tesisinde PLC’ler, ofis ağından fiziksel olarak ayrılmadığı için USB üzerinden gelen zararlı, üretim ağına sıçradı. Hava boşluğu, yani air gap, uygulanmış olsaydı santrifüjler durmazdı.
2013, Target. ABD’li perakende devi, HVAC taşeronunun VPN hesabı çalınınca 40 milyon kredi kartını kaybetti. HVAC ağı ile POS ağı aynı VLAN’daydı. Basit bir VLAN izolasyonu, 292 milyon dolarlık zararı önleyebilirdi.
2017, WannaCry ve NotPetya. SMB protokolü üzerinden yayılan bu fidye yazılımları, düz ağlarda binlerce hastaneyi ve Maersk gibi lojistik devini felç etti. Mikro segmentasyon uygulayan şirketler, enfeksiyonu tek bir sunucuda durdurdu.
2021, Colonial Pipeline. OT ve IT ağları arasındaki yetersiz izolasyon, bir VPN parolasının çalınmasıyla ABD’nin doğu yakasının yakıt hattını durdurdu. 4.4 milyon dolar fidye ödendi.
Bu olayların ortak dersi, saldırganın ilk girişini engellemek zor, ama yanal hareketini engellemek mümkündür.
Neden hala en etkili savunma
Ben sahada üç nedenle ağ izolasyonunu her projede ilk maddeye yazarım.
- Patlama yarıçapını küçültür.Bir uç nokta ele geçirildiğinde, saldırganın erişebileceği varlık sayısı 10.000’den 10’a düşer. Bu, fidye yazılımında şifrelenen veri miktarını doğrudan azaltır.
- Uyumluluğu kolaylaştırır.KVKK, GDPR Madde 32 ve yeni NIS2 direktifi, kritik verinin ayrı ağlarda tutulmasını açıkça ister. Denetçi geldiğinde “müşteri verisi ayrı VLAN’da ve sadece uygulama sunucusu erişiyor” demek, yüzlerce sayfa prosedürden daha etkilidir.
- Tespit süresini kısaltır.İzole edilmiş bir segmentte anormal bir SMB taraması hemen sırıtıyor. Düz ağda ise bu gürültüde kayboluyor. 2024’te yaptığımız bir üretim projesinde, izolasyon sonrası ortalama tespit süresi 18 günden 4 saate indi.
Ağ izolasyonunun 4 ana türü
- Fiziksel izolasyon.En eski ve en güvenli yöntem. Kritik SCADA sistemini internete hiç bağlamazsınız. Maliyeti yüksek, esnekliği düşük.
- VLAN tabanlı mantıksal izolasyon.Switch seviyesinde ağları bölersiniz. Finans, İK, misafir WiFi ayrı VLAN’larda olur. Ucuzdur ama VLAN hopping gibi saldırılara açıktır, doğru yapılandırma şarttır.
- Yazılım tanımlı mikro segmentasyon.VMware NSX, Cisco ACI veya Illumio gibi araçlarla her iş yükü etrafında güvenlik politikası oluşturursunuz. Bir web sunucusu sadece veritabanının 5432 portuna konuşur, başka hiçbir yere değil. Bu, Zero Trust’ın temelidir.
- Kimlik tabanlı erişim, ZTNA.Artık IP değil, kullanıcı ve cihaz kimliği karar verir. Bir mühendis ofisteyken üretim ağını görür, evden bağlanınca görmez. Ağ görünmez olur.
Benim önerim, kritik varlıklar için fiziksel + mikro segmentasyon kombinasyonudur
Zero Trust ile ilişkisi nedir
Çok soruluyor. Zero Trust bir felsefe, ağ izolasyonu ise bu felsefenin uygulama aracıdır. “Asla güvenme, her zaman doğrula” diyorsanız, bunu doğrulayacak bir kontrol noktasına ihtiyacınız var. İzolasyon o kontrol noktasıdır. Zero Trust olmadan yapılan izolasyon kördür, izolasyon olmadan yapılan Zero Trust ise kağıt üzerindedir.
7 adımda uygulama yol haritası
- Varlık envanteri.Ne koruyorsunuz bilmeden bölemezsiniz. CMDB veya basit bir Excel ile başlayın.
- Veri akış haritası.Hangi sunucu kiminle konuşuyor, 30 gün NetFlow toplayın. Şaşıracaksınız, unutulmuş yedekleme sunucuları her yere konuşuyor olacak.
- Kritiklik sınıflandırması.Veriyi 3 seviyeye ayırın, halka açık, dahili, gizli.
- Pilot segment.Önce misafir WiFi veya geliştirme ortamı gibi düşük riskli bir alanı izole edin.
- Politika yazımı.Beyaz liste mantığıyla, izin verilenleri tek yazın. Varsayılan deny.
- İzleme modu.2 hafta sadece loglayın, engellemeyin. İş süreçlerini kırmadığınızdan emin olun.
- Zorunlu moda geçiş.Sonra engellemeyi açın ve sürekli denetleyin.
En çok yapılan 5 hata
- Tek bir VLAN ile yetinmek. VLAN güvenlik değil, yönetim kolaylığıdır.
- Kuzey güney trafiğe odaklanıp doğu batıyı unutmak. Saldırıların yüzde 70’i içeride yayılır.
- Dokümantasyon eksikliği. 6 ay sonra kimse neden o portun açık olduğunu hatırlamaz.
- Test etmeden kesmek. Üretim hattı durunca güvenlik ekibi suçlanır.
- İzolasyonu bir proje sanmak. Bu sürekli bir süreçtir.
Regülasyon baskısı artıyor
Türkiye’de KVKK, Avrupa’da NIS2, 2024 sonrası kritik altyapılara ağ segmentasyonu zorunluluğu getirdi. Özellikle enerji, sağlık ve finans için 2025 Ekim’e kadar OT ve IT ağlarının ayrılması gerekiyor. Cezalar cironun yüzde 2’sine kadar çıkabiliyor. Uyum için en hızlı yol, önce kritik veriyi ayrı bir güvenlik bölgesine taşımaktır.
Gelecek, AI ve kuantum çağında
Yapay zeka ile saldırılar otomatikleşiyor. Bir kimlik avı e-postası saniyeler içinde binlerce varyasyon üretebiliyor. Bu durumda perimeter savunması çöker. İzolasyon, AI ajanlarının yayılmasını da yavaşlatır.
Kuantum bilgisayarlar ise şifrelemeyi tehdit edecek. Bu yüzden veriyi izole etmek, şifre kırılsa bile saldırganın veriye ulaşamaması anlamına gelir. Benim Quantum Intelligence Hub’daki çalışmalarımda, kuantum dayanıklı mimarinin ilk katmanı her zaman ağ izolasyonudur.
Sonuç
Veri güvenliği için ağ izolasyonu bir lüks değil, temel hijyendir. Tarih bize düz ağların bedelini defalarca gösterdi. Doğru yapıldığında operasyonları yavaşlatmaz, aksine hızlandırır çünkü olay müdahalesi kolaylaşır.
Eğer şirketinizde nereden başlayacağınızı bilmiyorsanız, önce en değerli verinizi bulun ve onu tek bir VLAN’a, tek bir firewall kuralıyla ayırın. Bu ilk adım bile riski yüzde 80 azaltır.
Bu konudaki uygulama rehberlerimi ve sektör bazlı şablonları www.qihhub.com üzerinde güncel tutuyorum.
SSS, Google için
Ağ izolasyonu ile segmentasyon farkı nedir? İzolasyon daha geniştir, fiziksel ayrımı da kapsar. Segmentasyon genellikle VLAN gibi mantıksal bölmedir.
Küçük şirketler için maliyeti nedir? Mevcut yönetilebilir switch ile VLAN ücretsiz başlar. Mikro segmentasyon için kullanıcı başı aylık 3-5 dolarlık çözümler var.
Bulut ortamında nasıl yapılır? AWS Security Groups, Azure NSG ve GCP Firewall Rules ile her iş yükü kendi mikro çevresinde izole edilir.
Yazar
Ömer Akın
Founder – Quantum Intelligence Hub (QIH)
International Trade Strategist & Digital Intelligence Expert
Website: www.qihhub.com
Webshop: www.qihnetwork.com
Academy: www.academy.qihhub.com ve www.edu.qihhub.com
