Güvenlik Duvarı Yönetim Arayüzü İnternete Açılabilir mi?

Soru genellikle bir ihtiyaçtan doğar. Mesai dışında müdahale gerekiyor, şubede teknik personel yok ya da hizmet sağlayıcının uzaktan erişmesi gerekiyor.

İhtiyaç gerçektir. Karşılanma biçimi tartışmalıdır.

Neden Farklı Bir Kategoride

Bir sunucuyu internete açmak ile yönetim arayüzünü açmak aynı risk sınıfında değildir.

Sunucu ele geçirildiğinde saldırgan o sunucudaki veriye ulaşır. Yönetim düzlemi ele geçirildiğinde politikanın kendisi değişir; kural yazılabilir, log silinebilir, trafik yönlendirilebilir.

İkincisi, bir güvenlik kontrolünü aşmak değil, kontrolün sahibi olmaktır.

Açık Bırakmanın Somut Sonucu

İnternete açık bir yönetim arayüzü sürekli taranır. Bu, hedefli bir saldırı gerektirmez; otomatik tarayıcılar adres uzayını sürekli gezer ve açık yönetim portlarını listeler.

Bir yönetim arayüzünün varlığı, ürün ve sürüm bilgisini de sızdırır. Giriş ekranının kendisi, hangi üreticinin hangi sürümünün orada durduğunu söyler.

O sürüm için yayımlanmış bir açık varsa, açığın sömürülmesi ile yamanın uygulanması arasındaki yarış başlar ve bu yarışta tarayıcılar hızlıdır.

Parolanın güçlü olması bu yüzeyi kaldırmaz. Kimlik doğrulama öncesi çalışan bir açık, parolayı hiç sormaz.

İki Düzlem Ayrımı

Doğru yapı, yönetim düzlemini veri düzleminden ayırmakla başlar.

Yönetim arayüzü ayrı bir fiziksel arayüze bağlanır ve o arayüz ayrı bir ağ bölümünde durur. Veri trafiğinin geçtiği arayüzler üzerinden yönetime erişim kapatılır.

Bu, yönetim ağı ayrımının cihaz üzerindeki karşılığıdır.

Uzaktan Erişim Nasıl Karşılanır

İhtiyaç ortadan kalkmaz; yolu değişir.

VPN üzerinden. Yönetici önce VPN’e bağlanır, ardından yönetim ağına ulaşır. En yaygın ve en pratik çözümdür. VPN’in kendisi çok adımlı doğrulamayla korunur.

Atlama sunucusu üzerinden. Yönetim erişimi tek bir sunucudan yapılır. Bütün oturumlar orada başlar, kaydedilir ve denetlenir. Erişim yüzeyini tek noktaya indirir; o nokta ayrıca sıkılaştırılmalıdır.

Ayrı bant dışı bağlantı. Kritik ortamlarda yönetim erişimi için bağımsız bir hat kullanılır. Üretim ağı çöktüğünde bile erişim sürer.

Çoğu kurumda ilk ikisi birlikte uygulanır.

Açmak Zorunda Kalınırsa

Bazı durumlarda geçici olarak açmak gerekebilir. O halde uygulanması gerekenler:

• Kaynak adres kısıtı. Yalnız bilinen adreslerden erişime izin verilir. Dinamik adresli bağlantılarda bu zordur ve kısıtın değeri düşer.
• Varsayılan olmayan port. Otomatik taramaların bir kısmını eler. Hedefli bir saldırıyı engellemez; bir yavaşlatma tedbiridir.
• Çok adımlı doğrulama. Parola tek başına yeterli sayılmaz.
• İstemci sertifikası. Karşılıklı TLS ile sertifikası olmayan bağlantı hiç kurulmaz. En etkili katmandır.
• Oturum ve deneme sınırı. Başarısız girişimlerde kaynak adres geçici olarak engellenir.
• Süre. Açılış geçicidir ve bir kapanış tarihi taşır.

Son madde en sık ihmal edilendir. Geçici diye açılan bir erişim, son kullanma tarihi yazılmadığında kalıcı hale gelir.

Nasıl Doğrulanır

Bu kontrolün yapılıp yapılmadığı içeriden bakarak anlaşılmaz.

Dışarıdan bir bağlantıdan kurumun genel adreslerine tarama yapılır ve yönetim portlarının cevap verip vermediği görülür. Bu test, güvenlik duvarının kendisi kadar diğer ağ cihazlarını, hipervizörleri ve sunucuların donanım yönetim arabirimlerini de kapsamalıdır.

Son sınıf en sık unutulandır ve en tehlikelisidir; işletim sisteminden bağımsız çalışır ve kapalı bir sunucuyu bile açabilir.