Merhaba arkadaşlar,

Öncelikle son günlerde yayımlanan VMware ESXi, cPanel ve benzeri kritik güvenlik açıklarından etkilenen tüm firmalara geçmiş olsun dileklerimizi iletiyoruz.

Hiçbir yazılım kusursuz değildir. Bugün VMware, yarın cPanel, ertesi gün Veeam veya başka bir ürün kritik bir güvenlik açığıyla gündeme gelebilir. Asıl belirleyici olan, saldırganın ilk erişimi elde ettikten sonra ağınız içerisinde ne kadar ilerleyebildiğidir.

Son zamanlarda veri merkezi taşıma süreçleri nedeniyle birçok farklı firmanın altyapısını yakından inceleme fırsatımız oldu. Gördüğümüz en yaygın sorunlardan biri, sanallaştırma altyapılarında yönetim (Management) ve veri (Data) ağlarının yeterince ayrıştırılmamış olmasıydı.

Birçok kişi VMware veya Proxmox kurduktan sonra yönetim IP'sini 192.168.x.x ya da 10.x.x.x ağına taşımanın tek başına güvenlik sağladığını düşünüyor. Oysa IP adresinin private olması tek başına bir güvenlik katmanı değildir.

Asıl önemli konu, bu ağların fiziksel ve mantıksal olarak birbirinden ayrılmasıdır.

Örneğin;

Management Network mümkün olduğunca ayrı fiziksel NIC'ler üzerinden çalışmalıdır. Yedeklilik isteniyorsa iki farklı adaptör tercih edilebilir.
Bu bağlantıların ulaştığı switch üzerinde Management VLAN'ı ile WAN VLAN'ı kesinlikle birbirinden izole edilmelidir.
Mümkünse Management ve WAN tamamen farklı switch'lerde çalışmalıdır.
Aynı switch kullanılacaksa VLAN izolasyonu eksiksiz yapılmalı, trunk ve native VLAN yapılandırmaları dikkatle kontrol edilmelidir.
Management ağı ile internet arasında gereksiz hiçbir erişim bırakılmamalıdır.

Biz BÜYÜKWEB olarak uzun yıllardır LAN ve WAN altyapımızı tamamen birbirinden izole şekilde tasarlıyoruz. Management ağı internete doğrudan erişemez. İnternete çıkması gereken sistemler ise yalnızca ihtiyaç anında geçici NAT kuralları ile erişim sağlar ve işlem tamamlandıktan sonra bu erişim tekrar kaldırılır.

vCenter gibi yönetim yazılımları da yalnızca Management Network üzerinde çalıştırılmalı ve mümkün olduğunca dış ağlardan erişilemeyecek şekilde konumlandırılmalıdır.

Elbette hiçbir mimari %100 güvenlik garanti etmez.

Bunu en iyi bilenlerden biri de biziz.

2023 yılında tamamen kendi operasyonel hatamız nedeniyle ciddi bir güvenlik olayı yaşadık. Dosya transferi amacıyla kısa süreliğine internete açtığımız Veeam sunucusunu işlem sonrasında kapatmayı unuttuk. Aynı dönemde Veeam üzerinde ortaya çıkan kritik güvenlik açığı kullanılarak sistemimize erişim sağlandı ve saldırganlar VMware altyapımıza kadar ilerleyebildi.

Bu olay bize teknik dokümantasyonda yazan birçok kuralın neden önemli olduğunu yaşayarak öğretti.

O günden sonra altyapımızı tamamen yeniden tasarladık.

Bugün Veeam altyapımızı üç farklı segmente ayırıyoruz:

VDS müşterileri
Dedicated müşterileri
Dış dünyadan veri kabul eden Transfer Sunucuları

Bu üç yapı birbirinden tamamen izole çalışıyor ve LAN tarafındaki hiçbir sistem doğrudan WAN tarafıyla iletişim kurmuyor.

Son günlerde yaşanan olaylara baktığımızda birçok saldırının, yazılım açığından çok ağ mimarisindeki eksiklikler nedeniyle büyüdüğünü görüyoruz.

Bir güvenlik açığı her zaman çıkacaktır.

Önemli olan, saldırganın ilk erişimi elde ettikten sonra ağ içerisinde ne kadar ilerleyebileceğini en aza indirebilmektir. Güvenlik sadece firewall kurmak veya sistemi güncellemek değildir; doğru segmentasyon, VLAN izolasyonu, erişim kontrolleri ve minimum yetki prensibi de en az bunlar kadar önemlidir.

Son olarak şunu özellikle belirtmek isterim; bu yazının amacı herhangi bir firmayı eleştirmek, yargılamak veya kimseyi kırmak değildir. Tam aksine, aynı sektörde hizmet veren kişiler olarak birbirimizin tecrübelerinden faydalanmak ve daha güvenli altyapılar oluşturabilmektir.

Bilgi güvenliği, rekabetten veya ticari kaygılardan daha önemli bir konudur. Bugün bir firmada yaşanan güvenlik olayı, yarın hepimiz için ders niteliği taşıyabilir.

Elbette son kullanıcı sistemlerinde yaşanabilecek güvenlik ihlalleri her zaman mümkün olacaktır. Bu noktada düzenli yedekleme ve doğru felaket kurtarma planları büyük önem taşımaktadır. Ancak hizmet sağlayıcılar olarak bizim en temel sorumluluğumuz, yönettiğimiz altyapıyı mümkün olan en yüksek güvenlik standartlarında işletmek ve kritik sistemlerimizin ele geçirilmesini önleyecek katmanlı güvenlik mimarilerini oluşturmaktır.

Hiçbir sistem %100 güvenli değildir. Ancak doğru ağ topolojisi, segmentasyon, erişim politikaları ve düzenli güvenlik çalışmaları sayesinde bir saldırının etkisini ciddi ölçüde sınırlandırmak mümkündür.

Umarım bu yazı, altyapısını gözden geçirmek isteyen meslektaşlarımıza fayda sağlar.

Herkese iyi forumlar!