Ağ güvenliği, günümüzün dijital altyapısının ayrılmaz bir parçasıdır. Sürekli gelişen tehdit ortamında, ağ altyapısının bütünlüğünü ve gizliliğini korumak için proaktif savunma mekanizmaları kritik önem taşır. Bu eğitimde, ağ güvenliğinin temel analiz ve izleme tekniklerini, siber güvenlik profesyonellerinin gündelik iş akışlarında nasıl uyguladığını adım adım ele alacağız. Amaç, ağ trafiğini derinlemesine anlamak, olası ihlalleri erkenden tespit etmek ve güvenlik duruşunu güçlendirmektir.
Ağ Güvenliğinde Temel Kavramlar
Ağ güvenliği, yetkisiz erişim, kötüye kullanım, değiştirme veya reddetme saldırılarına karşı bir bilgisayar ağını koruma pratiğidir. Bu alanda temel kavramlar şunlardır:
- Paket Analizi (Packet Analysis): Ağ üzerinden iletilen verilerin her bir parçasını, yani paketleri inceleme sürecidir. Bu, anormal davranışları, zararlı yazılım iletişimini veya hassas veri sızıntılarını tespit etmek için temel bir yöntemdir.
- Ağ İzleme (Network Monitoring): Ağ trafiğini, performansını ve güvenliğini sürekli olarak gözlemleme ve kaydetme işlemidir. Bu, ağın genel sağlığını anlamak ve sorunları gidermek için gereklidir.
- Log Yönetimi (Log Management): Ağ cihazları ve güvenlik araçları tarafından üretilen günlük kayıtlarının toplanması, saklanması, analiz edilmesi ve korunmasıdır. Loglar, olayların geçmişini anlamak için hayati bilgiler içerir.
- İhlal Tespiti (Intrusion Detection): Ağda veya sistemlerde zararlı veya şüpheli etkinlikleri belirlemeye yönelik süreçlerdir.
Adım Adım Ağ Trafiği Analizi
Ağ trafiğini analiz etmek, hem güvenlik açıklarını belirlemek hem de potansiyel tehditleri ortaya çıkarmak için temel bir siber güvenlik eğitimi unsurudur. Bu süreç genellikle aşağıdaki adımları içerir:
Adım 1: Ağ Trafiğini Yakalama (Packet Capture)
Ağ trafiğini analiz etmenin ilk adımı, trafiği yakalamaktır. Bunun için çeşitli araçlar kullanılır:
- Wireshark: Gerçek zamanlı ağ trafiğini izlemek ve yakalanan paketleri detaylı olarak incelemek için endüstri standardı bir araçtır.
- tcpdump: Komut satırı tabanlı bir paket yakalama aracıdır, özellikle sunucular üzerinde veya uzaktan erişimle çalışırken kullanışlıdır.
Uygulama: Bir sunucunun ağ arayüzünden HTTP trafiğini yakalamak için `tcpdump -i eth0 port 80 -w http_capture.pcap` komutu kullanılabilir. Yakalanan `http_capture.pcap` dosyası daha sonra Wireshark ile incelenebilir.
Adım 2: Yakalanan Paketleri Analiz Etme
Yakalanan paketler, çeşitli katmanlarda incelenir:
- Katman 2 (Veri Bağlantı Katmanı): MAC adresleri, ARP istekleri ve sürücülerle ilgili bilgiler.
- Katman 3 (Ağ Katmanı): IP adresleri, yönlendirme bilgileri, ICMP paketleri.
- Katman 4 (Taşıma Katmanı): TCP ve UDP portları, bağlantı durumları (SYN, ACK, FIN), segment detayları.
- Katman 7 (Uygulama Katmanı): HTTP istekleri/yanıtları, DNS sorguları, FTP komutları gibi protokollerin içeriği.
Örnek Analiz Senaryosu: Bir web sunucusuna yapılan şüpheli bağlantıları tespit etmek için Wireshark’ta filtreler kullanılır. Örneğin, belirli bir IP adresinden gelen veya belirli bir portu hedefleyen tüm TCP SYN paketlerini filtrelemek, olası bir tarama veya saldırı girişimini işaret edebilir. `tcp.flags.syn == 1 and ip.src == 192.168.1.100` gibi filtreler Wireshark’ta kullanılabilir.
Adım 3: Anormal Davranışları Belirleme
Ağ güvenliği eğitiminde, normal ağ trafiğinin anlaşılması anormal davranışların tespitinde esastır. Anormallikler şunları içerebilir:
- Beklenmedik portlara yapılan bağlantılar.
- Anormal büyüklükteki veri transferleri.
- Şüpheli protokollerin kullanılması.
- Yüksek hata oranları veya yeniden iletimler.
- Cihazlardan gelen beklenmedik trafik desenleri.
Uygulama: Bir FTP sunucusuna normalde sadece kurum içi IP adreslerinden erişim bekleniyorsa, dışarıdan gelen FTP bağlantı girişimleri şüpheli olarak işaretlenmelidir. Bu tür bir analiz, log kayıtları ve paket incelemesi ile doğrulanır.
Ağ İzleme ve Log Yönetimi
Ağ güvenliğinin proaktif savunmasında ağ izleme ve log yönetimi kritik rol oynar. Bu, sürekli bir iyileştirme döngüsü oluşturur.
Ağ İzleme Araçları
Ağ trafiğini ve durumunu izlemek için yaygın olarak kullanılan araçlar şunlardır:
- SNMP (Simple Network Management Protocol): Ağ cihazlarının durumunu, performansını ve hatalarını uzaktan yönetmek ve izlemek için kullanılır.
- NetFlow/sFlow: Ağ cihazlarından trafik akış bilgilerini toplayarak trafiğin kim tarafından nereye ne kadar yapıldığına dair özet bilgiler sunar.
- SIEM (Security Information and Event Management) Sistemleri: Çeşitli kaynaklardan (sunucular, güvenlik cihazları, uygulamalar) logları toplar, korele eder ve analiz ederek güvenlik olaylarını ortaya çıkarır.
Log Analizi İçin En İyi Pratikler
Etkili log analizi, bir siber güvenlik operasyon merkezinin (SOC) temel taşıdır:
- Merkezi Log Toplama: Tüm cihazlardan logların tek bir merkezi yerde toplanması.
- Normalizasyon: Farklı formatlardaki logların standart bir formata getirilmesi.
- Korelasyon: Farklı kaynaklardan gelen logları birleştirerek anlamlı olay örüntüleri oluşturma.
- Alarm Oluşturma: Önceden tanımlanmış kurallara göre şüpheli etkinlikler için otomatik alarmlar üretme.
- Arşivleme: Yasal uyumluluk ve adli analiz için logları güvenli bir şekilde saklama.
Uygulama: Bir sunucuda başarısız giriş denemelerinin artış göstermesi, SIEM sisteminde bir kural tetikleyerek bir güvenlik ekibine uyarı gönderebilir. Bu uyarı, ilgili sunucunun logları ve ağ trafiği analizleri ile detaylandırılır.
Sonuç
Ağ güvenliği, sadece savunma duvarları kurmakla sınırlı değildir; sürekli analiz, izleme ve anlayış gerektiren dinamik bir alandır. Paket analizi ve log yönetimi, tehditleri erken tespit etmek, saldırı vektörlerini anlamak ve ağ altyapısının direncini artırmak için vazgeçilmez tekniklerdir. Bu temel siber güvenlik eğitimi, profesyonellerin ağ ortamlarını daha etkin bir şekilde korumalarına olanak tanır.
Bu eğitimde ele aldığımız analiz ve izleme tekniklerinden hangisinin, ağ güvenliği stratejinizde en önemli faydayı sağladığını düşünüyorsunuz?