Aynı bağlantı, aynı erişim anlamına gelmesin
Bir ofiste çalışan bilgisayarları, misafir telefonları, yazıcılar ve kameralar farklı amaçlarla kullanılır. Bunların her birinin bütün diğer cihazlara ulaşması genellikle bir iş gereksinimi değildir. Ağ segmentasyonu, bu grupları ayırıp aralarındaki iletişimi kontrollü tanımlamaya yardımcı olur. CISA’nın altyapı rehberi segmentasyonu güvenlik duvarı ve erişim kurallarıyla birlikte ele alır; yalnızca farklı ağ isimleri oluşturmak yeterli değildir.
Teknik kaynak: CISA — Enhanced Visibility and Hardening Guidance for Communications Infrastructure
Cihaz listesinin yanına iletişim ihtiyacını yazın
Başlangıç tablonuzda cihaz grubu, sorumlu kişi ve erişmesi gereken hizmetler bulunsun. Örneğin misafir kullanıcının internete ihtiyacı varken muhasebe dosyalarına erişmesi gerekmez. Bir kamera kayıt sistemine veri gönderebilir; ancak bütün çalışan bilgisayarlarına erişmesi gerekmeyebilir. Bunlar örnek senaryolardır. Gerçek kurallar cihazların teknik gereksinimleri ve kullanılan uygulamalarla doğrulanmalıdır.
Görünmeyen bağımlılıkları unutmayın
Yazdırma, cihaz keşfi, zaman eşitleme ve yönetim erişimi gibi işlevler ayrıştırma sırasında beklenmeyen sorunlar yaratabilir. Bu nedenle “hepsini ayırdık, bitti” yaklaşımı yerine kademeli uygulama planlayın. Önce bir grup üzerinde deneme yapın; gerekli iletişimi kayıt altına alın. Sorunu çözmek için sınırsız erişim açmak yerine eksik olan belirli akışı tespit etmeye çalışın.
Yönetim erişimini ayrı değerlendirin
Cihazı kullanma yetkisi ile yönetme yetkisi aynı değildir. Bir çalışan yazıcıdan çıktı alabilir; yazıcının yönetim arayüzüne erişmesi gerekmeyebilir. Benzer biçimde kamera görüntüsünü izleyen kişinin ağ ayarlarını değiştirmesi beklenmez. Kuralları hazırlarken hizmet kullanıcıları, yöneticiler ve dış destek ekipleri için ihtiyaçları ayrı konuşun. Geçici destek erişimlerinin kapanacağı zaman da planın parçası olsun.
Teslimde yalnızca bağlantıyı değil sınırları test edin
Başarılı proje, gerekli işlerin çalıştığı ve gereksiz erişimlerin engellendiği projedir. Kabul testinde misafir erişimi, yazdırma, kamera kaydı ve yönetim bağlantılarını ayrı ayrı deneyin. Ağ diyagramını, adres planını ve kural sahiplerini güncel tutun. Yeni cihaz eklenirken hangi gruba alınacağı belli olduğunda, segmentasyon bir defalık kurulum olmaktan çıkıp yönetilebilir bir düzene dönüşür.
Projenizi birlikte değerlendirelim
İlgili hizmetimizi inceleyin veya ihtiyacınızı bize anlatın.