Bulut ortamlarında güvenliği sağlamanın temel taşlarından biri, yetkilendirme ve erişim kontrol mekanizmalarının doğru şekilde yapılandırılmasıdır. Bu bağlamda, Center for Internet Security (CIS) tarafından sunulan benchmark’lar, en iyi güvenlik uygulamalarına rehberlik eder. CIS Benchmark’ları, sunucu işletim sistemlerinden bulut platformlarına kadar geniş bir yelpazede güvenlik konfigürasyonları için detaylı tavsiyeler sunar. Bu rehber, bulut güvenliği gruplarının (Security Groups) CIS Benchmark prensiplerine uygun olarak nasıl yapılandırılacağına odaklanacaktır.
Bulut Güvenlik Grupları ve Önemi
Bulut bilişim platformlarında (AWS, Azure, GCP vb.), güvenlik grupları, sanal sunuculara (instance/VM) gelen ve giden trafiği kontrol eden sanal bir güvenlik duvarı işlevi görür. Her güvenlik grubu, belirli bir sanal sunucu veya sunucu grubuna atanabilir ve belirli portlar ile protokoller üzerinden hangi trafiğe izin verileceğini veya reddedileceğini tanımlayan kurallar içerir. Bu mekanizma, en az ayrıcalık prensibini uygulamak ve ağ erişimini sıkı bir şekilde yönetmek için kritik öneme sahiptir.
CIS Benchmark Temelli Güvenlik Grubu Yapılandırması
CIS Benchmark’ları, genel güvenlik duruşunu iyileştirmek için çeşitli prensipler önerir. Güvenlik grupları için bu prensipler genellikle aşağıdaki gibidir:
1. Varsayılan Reddetme Politikası
Her güvenlik grubunun temel prensibi, varsayılan olarak tüm trafiği reddetmektir. Yalnızca açıkça izin verilen trafik akışlarına müsaade edilmelidir. Bu, beklenmeyen veya yetkisiz erişim denemelerini engellemenin en etkili yoludur.
- Tüm gelen bağlantıları varsayılan olarak engelleyin.
- Yalnızca belirli IP adreslerinden, belirli portlara gelen trafiğe izin verin.
- Giden trafik için de benzer bir kural izleyerek yalnızca gerekli olan bağlantılara izin verin.
2. En Az Ayrıcalık Prensibi
Güvenlik gruplarına eklenen her kural, minimum gerekli ayrıcalıkları sağlamalıdır. Bu, hem gelen hem de giden trafik için geçerlidir. Bir uygulamanın çalışması için hangi portlara ve hangi kaynaklara erişmesi gerektiği detaylıca analiz edilmeli ve yalnızca bu gereksinimleri karşılayan kurallar tanımlanmalıdır.
- Gelen Kurallar:
- SSH (Port 22) veya RDP (Port 3389) gibi yönetim erişimini yalnızca güvenilir IP adresleri veya VPN alt ağları ile sınırlandırın.
- Web sunucuları için HTTP (Port 80) ve HTTPS (Port 443) erişimini tümüyle (0.0.0.0/0) açabilirsiniz, ancak bu durumda uygulamanın kendisinin korunması önemlidir.
- Veritabanı erişimi gibi hassas servisler için erişimi yalnızca uygulama sunucularının IP adresleriyle sınırlayın.
- Giden Kurallar:
- Uygulamanın ihtiyaç duymadığı dış kaynaklara giden bağlantıları engelleyin. Örneğin, bir web sunucusunun dışarıya SSH bağlantısı yapmasına gerek yoktur.
- Güncelleme mekanizmaları için gerekli olan belirli dış IP adreslerine veya domainlere yönelik trafiğe izin verin.
3. Portların ve Protokollerin Daraltılması
Her kuralda kullanılan portlar ve protokoller mümkün olduğunca daraltılmalıdır. Örneğin, sadece belirli bir servisin çalıştığı portu açmak, genel bir port aralığını açmaktan daha güvenlidir.
- TCP, UDP veya ICMP gibi protokolleri doğru şekilde belirtin.
- Port aralıkları yerine tekil portları kullanın, örneğin 80, 443 yerine 80-443 gibi bir aralık kullanmaktan kaçının, eğer tüm aralığa gerçekten ihtiyaç yoksa.
4. Gerekli Olmayan Kuralların Kaldırılması
Zamanla, uygulamaların veya altyapının değişmesiyle birlikte güvenlik gruplarında gereksiz kurallar birikebilir. Düzenli olarak güvenlik grupları gözden geçirilmeli ve artık gerekli olmayan kurallar kaldırılmalıdır.
- Her 3-6 ayda bir güvenlik grubu kurallarını gözden geçirin.
- Mevcut olmayan IP adreslerine veya servislere yönelik kuralları tespit edip silin.
5. Güvenlik Gruplarının Etkin Bir Şekilde Kullanılması
Farklı işlevlere sahip sunucular için ayrı güvenlik grupları oluşturmak, yönetimi kolaylaştırır ve güvenlik prensiplerinin daha iyi uygulanmasını sağlar.
- Web sunucuları için bir grup, veritabanı sunucuları için ayrı bir grup, uygulama sunucuları için başka bir grup oluşturun.
- Bu grupların birbirleriyle olan iletişimini yalnızca izin verilen portlar ve kaynaklarla sınırlayın.
Bu adımlar, CIS Benchmark prensiplerini bulut güvenlik grubu yapılandırmasına entegre ederek, sanal sunucularınızın ağ güvenliğini önemli ölçüde artırmanıza yardımcı olacaktır. Güvenlik, sürekli bir süreçtir ve bu tür yapılandırmaların düzenli olarak gözden geçirilmesi ve güncellenmesi esastır.
Güvenlik gruplarınızda hangi kritik portları varsayılan olarak engelleme politikası kapsamında tuttuğunuzu ve bu politikayı nasıl yönettiğinizi bizimle paylaşır mısınız?