Ağ güvenliği: portlar, güvenlik duvarı, VPN ve Wi-Fi

Murad okul kulübü için evde küçük bir web sunucusu kurdu. Ertesi sabah kayıtlarda tanımadığı adreslerden 22 ve 3389 numaralı portlara binlerce bağlantı denemesi gördü. Kimse onu özellikle hedef seçmemişti: tarayıcılar bütün interneti durmadan yoklar. Bu derste bir ağı nasıl savunacağımızı öğreneceğiz.

Portlar ve saldırı yüzeyi

IP adresi bir binaya, port ise bir kapı numarasına benzer (0–65535). Her açık portun arkasında bir hizmet çalışır ve her hizmet olası bir giriş yoludur. Dışarıdan erişilebilen tüm giriş noktalarının toplamına saldırı yüzeyi denir. Altın kural: ihtiyacın olmayan her şeyi kapat.

Güvenlik duvarı (firewall)

Güvenlik duvarı (firewall), trafiği kurallarla süzer: yön, protokol, port, kaynak ve hedef adres. Kurallar yukarıdan aşağıya kontrol edilir, ilk eşleşen kural kazanır ve son kural “geri kalan her şeyi engelle”dir. Durum izleyen (stateful) bir güvenlik duvarı kurulmuş bağlantıları hatırlar; bu yüzden senin gönderdiğin isteklere gelen yanıtlar ayrı bir kural olmadan geçer.

import ipaddress

RULES = [
    ('allow', 'tcp', 443, '0.0.0.0/0'),     # HTTPS from anywhere
    ('allow', 'tcp', 22, '10.0.0.0/24'),    # SSH only from the office LAN
    ('deny', 'any', None, '0.0.0.0/0'),     # everything else
]

def decide(proto, port, src):
    for action, r_proto, r_port, r_net in RULES:
        if r_proto not in ('any', proto):
            continue
        if r_port is not None and r_port != port:
            continue
        if ipaddress.ip_address(src) in ipaddress.ip_network(r_net):
            return action
    return 'deny'

for packet in [('tcp', 443, '203.0.113.7'), ('tcp', 22, '10.0.0.15'),
               ('tcp', 22, '203.0.113.7'), ('tcp', 3306, '10.0.0.15')]:
    print(packet, '->', decide(*packet))

('tcp', 443, '203.0.113.7') -> allow
('tcp', 22, '10.0.0.15') -> allow
('tcp', 22, '203.0.113.7') -> deny
('tcp', 3306, '10.0.0.15') -> deny

VPN ve Wi-Fi

VPN, cihazınla bir VPN sunucusu (ya da şirket ağı) arasında şifreli bir tünel kurar: güvenilmeyen bir ağda trafiği korur ve iç kaynaklara uzaktan erişim sağlar. Ancak VPN seni anonim yapmaz, oltalamaya ve kötü amaçlı yazılıma karşı korumaz; güvenini internet sağlayıcısından VPN hizmetine taşır. Modern protokoller: WireGuard, IPsec, OpenVPN.

Büyük ağlarda bir başka önemli yöntem segmentasyondur: ağ ayrı bölgelere ayrılır (ofis bilgisayarları, sunucular, kameralar, misafirler) ve bölgeler arasında yalnızca gerçekten gereken trafiğe izin verilir. Bir kamera ele geçirilse bile saldırgan oradan muhasebe sunucusuna geçemez. Bölge sınırlarında IDS/IPS sistemleri şüpheli trafiği tespit eder ya da engeller.

Yaygın saldırılar ve savunma

import ipaddress

RULES = [
    ('allow', 'tcp', 443, '0.0.0.0/0'),
    ('allow', 'tcp', 22, '10.0.0.0/24'),
    ('deny', 'any', None, '0.0.0.0/0'),
]
# add a rule for DNS: udp, port 53, office LAN only

def decide(proto, port, src):
    for action, r_proto, r_port, r_net in RULES:
        if r_proto not in ('any', proto):
            continue
        if r_port is not None and r_port != port:
            continue
        if ipaddress.ip_address(src) in ipaddress.ip_network(r_net):
            return action
    return 'deny'

print(decide('udp', 53, '10.0.0.15'))
print(decide('udp', 53, '198.51.100.4'))
print(decide('tcp', 23, '10.0.0.15'))

allow
deny
deny