A. ŞABLONLARI UYGULAMAK
Güvenlik düzenlemeleri (masaüstü kısıtlamaları, yapılandırma kısıtlamaları, vb) uygulayacağınız bilgisayar Active Directory domaininin bir parçası ise güvenlik düzenlemelerinin Active Directory nesneleri üzerindeki Group Policy’lerle uygulanacağınız unutmayın. Eğer bilgisayar bir Active Directory domaininin bir parçası değilse o zaman yerel bilgisayar için güvenlik şablonu aşağıdaki adımlarla uygulanır:
1. Administrative Tools menüsünden Local Security seçeneğini seçin.
2. Konsol ağacını genişleterek istediniz bölüme tıklayın.
3. Security Configuration and Analysis içinde Security Configuration and Analysis seçeneğini sağ tıklayın.
4. Open Database’e tıklayın.
5. Bir şablon dosyasını seçmek için Import Template’i tıklayın ve ardından Open’ı tıklayın.
6. Security Configuration and Analysis’ı sağ tıklayın ve ardından Configure System Now seçeneğini tıklayın.
Computer Configuration ve User Configuration Düzenlemeleri:
Güvenlik düzenlemeleri Computer Configuration ve User Configuration düzenlemeleri altında Windows Settings, Software Settings ve Administrative Templates başlıkları altında toplanır:
Computer Configuration:
Bu bölümde bilgisayarla ilgili olan masaüstü tasarımı, bilgisayar üzerindeki güvenlik politikalarının düzenlenmesi, uygulamalar ve startup/shutdown scriptleri gibi düzenlemeler yapılır. Computer Configuration başlığı altındaki düzenlemeler işletim sisteminin başlatılmasıyla (açılış) birlikte yürürlüğe girer.
User Configuration:
User Configuration başlığı altındaki düzenlemeler ise kullanıcı ile ilgili düzenlemeleri üstlenir. Bu düzenlemeler masaüstü düzenlemeleri, uygulamalar, logon/logoff scriptler gibi düzenlemelerdir. Bu düzenlemeler kullanıcının logon etmesiyle yürürlüğe girerler.
Computer ve User Configuration grup policy düzenlemelerinde üç kategori vardır:
-Software settings (yazılım düzenlemeleri)
-Windows Settings (Windows düzenlemeleri)
-Administrative Templates (Yönetim şablonları)
NOT: Bu bölümde Security Policies aracılığıyla yapılan güvenlik düzenlemeleri tek bir Windows 2000 Server ya da Professional için düzenlenmiş politikalardır. Windows 2000 Active Directory domaini çin yapılan bu düzenlemeleri Group Policy adı altında ileriki bölümlerde ele alınacaktır.
III. GRUP POLİCY’LERİN UYGULANMASI
GPO’lar bir Active Directory konteynırları ile ilişkilendirilir ya da bağlanır. Örneğin bir OU içindeki kullanıcılar için bir masaüstü kısıtlaması Admistrative Template’ler aracılığıyla yapılır. Grup policy’lerin GPO’ya uygulanması bir Active Directory yönetim işlemidir. Bu süreç içinde GPO’ların inheritance (düzenlemelerin alt nesneleri etkilemesi) özellikleri önemli rol oynar.
Group policy düzenlemeleri, Active Directory araçları ile domain ya da OU gibi nesnelerin üzerinde Properties iletişim kutuları aracılığıyla düzenlenir.
Group policy düzenlemeleri öncelikle iki bölüme ayrılır:
-Computer Configuration (Bilgisayar Düzenlemeleri)
-User Configuration (Kullanıcı Düzenlemeleri)
Ardından bu bölümler içinde şu bileşenlerden oluşan düzenlemeler yapılır:
-Administrative Templates (Yönetimsel Düzenlemeler)
-Security (Güvenlik düzenlemeleri)
-Software Installation (Yazılım kurulması)
-Scripts (scriptlerin çalıştırılması).
-Folder Redirection (Kullanıcı klasörlerinin yönlendirilmesi)
Yönetim amaçlı template’ler registry-temelli grup policy düzenlemeleridir. Bu düzenlemeler uygulamalar, masaüstü ayarları ve sistem servislerini kapsar. Windows bileşenleri, ağ kısıtlamaları ve mönü kısıtlamaları bu bölümde yapılır.
Güvenlik (security) düzenlemeleri ise lokal bilgisayar, domain ve ağ için güvenlik düzenlemeleri sağlar. Kullanıcı ve grupların özel haklar temelindeki izinleri ya da kısıtlamaları buradan yapılır.
Yazılım kurma işlemi ise yazılımların merkezi olarak kurulmasını, güncellenmesini ve kaldırılmasını sağlar.
Scriptler ise bilgisayar açıldığında, kapatıldığında ya da kullanıcıların logon ve logoff işleminde bir script’in çalıştırılmasını sağlar. Klasör düzenlemeleri ise kullanıcı klasörlerini ağ üzerinde saklamayı sağlar.
IV. UYGULAMA
Security Templates aracı için bir MMC tanımlayın:
1. Bilgisayara Administrator olarak logon olun.
2. Start menüsünden Run komutunu seçin.
3. Open iletişim kutusuna mmc yazın ve OK düğmesini tıklayın.
4. Console menüsünden Add/Remove Snap-in seçeneğini tıklayın.
5. Add düğmesini tıklayın.
6. Add Standalone Snap-in iletişim kutusunda Available Standalone Snap-in altında Security Configuration and Analysis seçeneklerinden Add düğmesini tıklayın, ardından Security Templates seçeneğini tıklayın ve ardından Add düğmesini tıklayın.
7. Close tıklayın.
8. Console menüsünden Save As seçeneğini kullanarak MyConsole1 adıyla Desktop dizinine kaydedin.

-Yerel bilgisayar üzerinde güvenlik düzenlemelerini yapmak.
-Güvenlik şablonlarını öğrenmek.
-Güvenlik şablonlarını uygulamak.
I. GÜVENLİK YÖNETİMİ
Windows 2000 ortamındaki güvenlik, disk üzerindeki verilerin iyi bir şekilde organize edilmesine ve izinlerinin (permission) düzenlenmesine, kullanıcı ve grup tanımlamalarının iyi bir şekilde yapılmasına ve özellikle güvenlik için tasarlanmış Security Policy, Auditing gibi düzenlemelerin yapılmasına bağlıdır.
A. SECURİTY POLİCY DÜZENLEMELERİ
Security Policy düzenlemeleri bilgisayarlar (masaüstü) ve network üzerinde güvenlik düzenlemeleri yapmayı sağlar. Security Policy düzenlemesi yapmanın en etkin yolu security şablonlarının kullanılmasıdır. Bu şablonlar bilgisayarlara uygulanabilen düzenlemeleri içeren metin dosyalarıdır.
B. YEREL SECURİTY POLİCY UYGULAMAK
Yerel bilgisayar üzerinde güvenlik düzenlemeleri yapmak için Administrative Tools kullanılır.
1. Administrative Tools menüsünden Local Security seçeneğini seçin.
2. Konsol ağacını genişleterek istediniz bölüme tıklayın.
3. İstediğiniz düzenlemeyi yapın.
C. GÜVENLİK DÜZENLEMELERİ
Güvenlik amaçlı Grup Policy’lerinin kullanımı da şöyledir. Özellikle bilgisayarları yerel olarak ya da network üzerindeki çeşitli risklere karşı korumak için Grup Policy seçenekleri içinde yer alan güvenlik düzenlemeleri (Security Settings) kullanılır.
Security Settings özellikleri
-Account Policies
-Local Policies
-Event Log
-Restricted Group
-System Services
-Registry
-Public
-Ip Security
Account Policy düzenlemeleri hesap için parola kuralları, account lockout kuralları ve Kerberos Versiyon 5 protokolü kurallarını konfigüre etmeyi sağlar. Bu düzenleme Windows NT’deki User Manager’da yer alan Policy düzenlemelerine benzer.
Local Policy düzenlemeleri ise local bilgisayar için yapılan auditing (denetim) düzenlemelerini içerir. Bu düzenlemeler kullanıcı izinlerinin verilmesi ve local bilgisayar için yapılacak diğer güvenlik düzenlemelerini içerir.
Event Log düzenlemeleri ise Event Viewer’da yer alan application log, system log ve security log için yapılan kapasite, erişim ve bekleme gibi seçeneklerin düzenlenmesini sağlar.
Restricted Group seçeneği ise belli görevleri olan built-in grupların üyeliklerinin yönetilmesini sağlar. System Services düzenlemeleri ise bilgisayarda çalışan servislerin güvenlik başlatma seçeneklerinin düzenlenmesini sağlar. Registry düzenlemeleri ise resgistry keyleri üzerinde güvenlik düzenlemeleri sağlar.
File System düzenlemeleri ise belli bir dosya path için güvenlik sağlar. Public Key Policies düzenlemeleri ise encrypted data recovery agentleri gibi düzenlemeleri sağlar.
IP Security Policy on Active Directory düzenlemeleri ise network Internet Protocol (IP) güvenliğinin konfigürasyonunu sağlar.
NOT: Bu dokümanlar Faruk Çubukçu tarafından hazırlanmıştır. Burada adı geçen ticari ünvanlar ve markalar bilgi amaçlı kullanılmışlardır ve kendi imtiyazlarına sahiptirler. Bu dokümanlar ticari amaçlı olarak kullanılmaz. Daha fazla bilgi için www.farukcubukcu.com adresine bakınız.
II. HAZIR ŞABLONLAR
Windows 2000, tek bir bilgisayar üzerinde güvenlik düzenlemelerinin daha kolay yapılabilmesi için hazır güvenlik şablonlarına sahiptir. Bu şablonlara Predefined Security Templates adı verilir.
-Basic
-Compatible
-Secure
-High
-Basic
Basic şablonlar Windows 2000 için varsayım güvenlik düzeyini ifade ederler. Bu şablonları şu dosyalarda bulabilirsiniz:
İş istasyonları için: basicwk. inf
Sunucular için: basicsv. inf
Domin Controller için: basicdc.inf
Bu şablonları Winntsecuritytemplates klasöründe yer alır.

Compatible
Basic şablondan daha fazla güvenlik düzenlemesi sağlayan bu şablonun yeri: compatws.inf dosyasıdır.

Secure
Ek güvenlik düzenlemelerinin olduğu şablonlardır:
Sunucu ya da iş istasyonu için: securews.inf
Domain Controller bilgisayarlar için: securedc.inf

High
Windows 2000 için maksimum güvenlik sağlar. Uygulamalarla uyumluluğu olmayabilir.
Sunucu ya da iş istasyonu için: hisecws.inf
Domain Controller bilgisayarlar için: hisecdc.inf

Bilgisayar ve telekomünikasyon dünyasında, ‘port’ denildiği zaman akla ilk gelen genellikle fiziksel bağlantıda kullanılan ara birimlerdir. Bu tür ‘port’ lar üzerinden bağlanmış herhangi bir makinaya ‘data’ gönderilebilir ve bu makinanın işleyişi kontrol edilebilir. Örneğin, tipik bir bilgisayarda bir veya birden fazla ‘seri port’ bir tane de ‘paralel port’ bulunur. Adından da anlaşılacağı gibi ‘seri port’ dan bilgiler seri (her defasında bir bit) olarak gönderilir ve bu tür ‘port’ lara genellikle tarayıcı (scanner) gibi cihazlar takılır. Her defasında birden çok bit göndermek içinse ‘paralel port’ kullanılır. Bu tip ‘port’ lara da yazıcı (printer) veya ‘paralel port’ bağlantısı olan herhangi bir cihaz takılabilir.

Bizi ilgilendiren ve çoğunlukla İnternet dünyasında kullanılan ‘port’ kavramı ise yukardaki tanımdan biraz daha soyut bir kavramdir. Bu anlamda ‘port’ (ki dokümainin sonuna kadar ‘port’ bu anlamda kullanılacaktir) herhangi bir fiziksel bağlantı yeri değil, mantıksal bir bağlanma şeklidir. Şöyle ki:
Günümüz dünyasında birçok işletim sistemi birden fazla programın aynı anda çalışmasına izin vermektedir. Bu programlardan bazıları dışarıdan gelen istekleri (istemci-client/request) kabul etmekte ve uygun gördüklerine cevap (sunucu-server/response) vermektedir. Sunucu programları çalışan bilgisayarlara birer adres verilir (bknz. IP adresleri) ve bu adresler kullanılarak istenilen bilgisayarlara ulaşılır. Peki, ulaşılan bir bilgisayar üzerindeki hangi sunucu programdan hizmet alınmak istendiği nasıl belirtilir?

Bunun için bilgisayarlar üzerinde birtakım soyut bağlantı noktaları tanımlanır ve herbirine, adresleyebilmek için positif bir sayı verilir (port numarası). Bazı sunucu programları, daha önce herkes tarafından bilinen ‘port’ lardan hizmet verirken (örn: telnet->23. port) bazıları da sunucu programını çalıştıran kişinin türüne ve isteğine göre değişik ‘port’ lardan hizmet verir.
Dolayısıyla, ağ üzerindeki herhangi bir sunucu programa bağlanmak istenildiğinde, programın çalıştığı bilgisayarın adresinin yanında istekleri kabul ettiği ‘port’ numarasını da vermek gerekir. Örnek verecek olursak:
144.122.156.104 ‘IP’ adresine sahip makinada (orca) çalışan ‘telnet’ sunucu programına (23. ‘port’ dan hizmet veren) bağlanmak için aşağıdaki satır yazılır.
telnet 144.122.156.104 23

Daha önce de belirttiğimiz gibi bazı sunucu programların belirli ‘port’ lardan hizmet verdiği bilindiği için, bu sunuculara bağlanmak istediğimizde, ‘port’ numarasını vermeye gerek kalmaz. Bu durumda yukardaki satır
telnet 144.122.156.104
şeklinde de yazılabilir.

Bilgisayar ilk açıldığında üzerinde çalışan sunucu programlar otomatik olarak açılış dosyalarından çalıştırılabildiği gibi genel kullanım biraz daha farklıdır.

Değişik ‘port’ ları dinleyen birçok sunucu programın, hiçbir istemciye cevap vermediği durumda bile, birçok sistem kaynağını gereksiz yere kullandığı düşünülerek, ‘inetd’ adında istemcilerle diğer sunucu programlar arasında koordinasyonu sağlayan bir sunucu program düşünülmüştür.

Açılış dosyalarından da başlatılabilen bu sunucu tek başına bütün ‘port’ ları dinler ve herhangi birisine istek geldiği zaman aşağıdaki prosedürü takip eder:

1- /etc/services dosyasından ilgili ‘port’ a hizmet veren servis ismini bulur.
2- konfigürasyon dosyası olan ‘/etc/inetd.conf’ dan bu servis için gelen isteğe nasıl cevap vereceğini belirler ve gerekli programı çalıştırır.
3- bir istek geldiği zaman tekrar 1`e döner.

Bir örnekle anlatmadan önce tipik bir ‘/etc/services’ ve ‘/etc/inetd.conf’ dosyasının içeriğine bakalım.

<'/etc/services')>

tcpmux          1/tcp

echo            7/tcp

echo            7/udp

discard         9/tcp           sink null

discard         9/udp           sink null

systat          11/tcp          users

daytime         13/tcp

daytime         13/udp

netstat         15/tcp

chargen         19/tcp          ttytst source

chargen         19/udp          ttytst source

ftp-data        20/tcp

ftp             21/tcp

telnet          23/tcp

ktelnet         1023/tcp        #Added by AS 5/5/98

smtp            25/tcp          mail

time            37/tcp          timserver

time            37/udp          timserver

name            42/udp          nameserver

whois           43/tcp          nicname         # usually to sri-nic

.

.

<'/etc/inetd.conf'>

# Ftp and telnet are standard Internet services.

#

ftp     stream  tcp     nowait  root    /usr/sbin/in.ftpd       in.ftpd

telnet  stream  tcp     nowait  root    /usr/sbin/in.telnetd    in.telnetd

#

# Shell, login, exec, comsat and talk are BSD protocols.

#

shell   stream  tcp     nowait  root    /usr/sbin/tcpd  in.rshd

login   stream  tcp     nowait  root    /usr/sbin/tcpd  in.rlogind

exec    stream  tcp     nowait  root    /usr/sbin/tcpd  in.rexecd

comsat  dgram   udp     wait    root    /usr/sbin/in.comsat     in.comsat

talk    dgram   udp     wait    root    /usr/sbin/in.talkd      in.talkd

.

.

23. ‘port’ a bir istek geldiğinde, ‘inetd’ ‘/etc/services’ dosyasına bakarak bu ‘port’ numarasına denk gelen servis ismini (‘telnet’) bulur. Daha sonra ‘/etc/inetd.conf’ dosyasına bakarak bu servise denk gelen sunucu programı (‘/usr/sbin/in.telnetd’) çalıştırır.

Herhangi bir ‘port’ u dinleyen program bir iş yaparken, başka bir deyişle dinlediği ‘port’ a gelen bilgileri almaya hazır değilken, eğer bu ‘port’ ‘buffered’ ise gelen bilgiler kaybolmaz. İşletim sistemi içerisine yerleştirilen programlar sayesinde kapasitesi sınırlı kuyruklara yerleştirilerek ilgili sunucu programın alması için bekletilirler.

Internet üzerinde herhangi bir IP adresi üzerindeki ‘port’ dan hizmet veren sunucu programa bağlantı yapmak isteyen istemci program, sunucu programın cevaplarını (reply) yollamak için bağlantı kuracağı kendi üzerindeki ‘port’ numarasını da sunucu programa gönderir.

‘Port’ numarası genellikle 2 ‘byte’ olarak tutulur. Bu nedenle 65536 adet ‘port’ numaralamak mümkündür. Genellikle 1024`den küçük olan ‘port’ numaraları özel hakları olan kullanıcılar (root) tarafından kullanılırken, büyük olanlar
genel kullanıma açıktır.

Ağ teknolojilerindeki düzenli gelişmelere rağmen, kurumların hedefi daha hızlı ve daha verimli haberleşme olanaklarını kullanabilmektir. Personel ve yöneticiler dünyanın neresinde olurlarsa olsunlar, yerel ağlarına sanki ofislerindeymiş gibi erişebilmek isterler.

1980 ortalarında ve 1990 başlarında hedeflerine ulaşabilmeleri için uygulanan teknoloji telefon hatlarını kullanarak uzak erişim servisleriydi. Şirketler, yöneticilerinin taşınabilir bilgisayarlarına veri sıkıştırabilme yeteneğine sahip hızlı modemler yerleştirip, ofisteki sunuculara bağlanabilmelerini sağlayabilirler. Çalışanların ve yöneticilerin yapması gereken sadece bulundukları ortamda RJ-11 telefon konnektörünü modemlerine takmak ve uzak erişim sunucularına şifreleri yetkisinde bağlanabilmektir.

1990 sonlarında kurumlar, uzak erişimin şirketlerine sağladığı avantajları daha çok anlamaya başladılar ve bazı büyük şirketler, ülke içinde ücretsiz aranabilecek telefon numaraları ile çalışanlarına bu hizmeti sunabildiler. Uluslar arası ticaret yapan kurumlarda ise, milletlerarası telefon ödemeleri söz konusu olduğu için uzak erişim servisleri şirketlere ciddi bir maliyet getirmektedir.

Internet üzerinden paylaşılmış veri ağlarına erişebilmek, o bölgedeki yerel internet servis sağlayıcının aranması söz konusu olduğundan uzak bağlantılarda ödenen ücretler büyük ölçüde düşecektir. Hatta Asia Online, Amrica Online veya IBM gibi internet servis sağlayıcıları, tüm dünyaya yayıldıkları için, aynı kullanıcı adı ve şifre ile dünyanın çoğu yerinden yerel POP numaraları aranarak internete erişilebilir.

Sanal ve özel ağlar (VPN), yerel internet servis sağlayıcı ve kurumsal yerel ağlar arasında güvenli bir tünel üzerinden veri iletimi gerçekleştirerek çalışır. Shiva gibi bir çok ağ donanımı üretici internet gibi, paylaşılmış veri ağları üzerinden tünelleme ve şifreleme yapabilme yeteneğine sahip donanımları piyasaya sunmaktadır. Kurumsal ağlarını daha önceden bir takım güvenleri nedeni ile internete bağlamayan şirketleri yeni VPN teknolojileri ile güvenli bağlantılar sağlayabilecekler.

VPN Ekonomisi

Uzak erişimin maliyeti göz önüne alınırken, aramanın nereden kaynaklandığı çok önemlidir. Örneğin, kullanıcıların kendileri aile aynı şehirde bulunan uzak erişim sunucularını arayarak ağa erişmeleri için en ideal çözüm direk telefon hatlarını kullanmak olabilir. Söz konusu işlem şehirlerarası veya milletlerarası aramayı gerektiriyorsa, VPN’in sağlayacağı maliyet hesapları çok daha düşük olacaktır.

Sanal ve özel ağ kavramı, bazı frame relay servisi sağlayan telefon şirketleri tarafından pazarlama amaçlı yanlış olarak belirtilmektedir. Bu şebekelerde kullanıcıların verileri özel paket anahtarlama devreleri ile birbirinden ayrılır ve ortada sanal olarak oluşturulan bir kavram yoktur, fakat veri güven altına alınır. Ücretlendirme ise kiralık hatlar gibi kapalı sistemlerle rekabet edecek derecede yüksektir.

İlk uzak erişim teknolojileri, her bir paketi şifreleme esasına dayanıyordu. Bu teknoloji, VPN teknolojisinin özelliklerinden sadece biridir.

LAN ve WAN yönlendiricileri arasına özel şifreleme ve veri sıkıştırma donanımları yerleştirilerek, verinin paylaştırılmış ağa çıkması sağlanıyordu. Bu ürünlerin çoğu tescilli olmayan IP adresleri ile iletişimi engelliyerek çalışıyordu.

VPN ağlar, herkesin ulaşabileceği paylaştırılmış ağlarda, yetkilendirilmiş ve şifrelenmiş tünellerden oluşur. Tüneller ağ erişim noktaları (Shiva LanRover Access Switch® gibi) ile verinin iletileceği ağda kullanılacak tünel sonlandırıcı donanımlardan oluşur.

Ağ erişim noktasının görevi, kullanıcılardan gelen paketleri kapsüle ederek verinin güvenli bir şekilde iletilmesini sağlamaktır. Günümüzdeki uygulamalar, bu işlem için PPTP (Point-toPoint Tunneling Protocol) ve L2F (Layer Two Forwarding) protokollerini kullanır. PPTP, internet servis sağlayıcı tarafından akış kontrolü gibi görevlerle kullanılırken, L2F protokolünün kullanımı daha kolaydır ve yönetilebilir ağlara daha uygundur. Bu iki protokolün en iyi yönleri ele alınarak L2TP (Layer Two Tunneling Protocol) adı verilen bir protokol ortaya çıkmıştır. Bu protokolün çoğu üretici tarafından desteklenmesi bekleniyor. L2TF protokolü, özelleştirilmiş protokoller ile kullanıldığında internet üzerinden güvenli tüneller kurmamızı sağlayacaktır.

VPN Güvenliği Çözümleri

Günümüzdeki VPN çözümleri iki noktaya odaklanmaktadır; şifre doğrulama ve veri güvenliği. Kullanıcıların yetkilendirilmesi işlemi en iyi verinin kaynaklandığı yerel ağda gerçekleştirilebilir. Bu sayede kullanıcı veri tabanının servis sağlayıcıya taşınmasına gerek kalmaz. En temel şifre doğrulama protokolleri PAP (Password Athentication Protocol), CHAP (Challenge Handshake Athentication Protocol) ve SPAP (Shiva Password Authentication Protocol) protokolleridir. Daha güvenli şifre doğrulama çözümleri ise, zamanla senkronize edilmiş anahtarları ve dijital sertifika gibi gelişmiş teknolojileridir.

Veri güvenliği, arama yöntemi ile uzaktaki ağa bağlanan kullanıcıların verilerinin, bütünlük bozulmadan uzak ağa iletilebilmesini sağlamalıdır. IPSec protokolü, güçü bir şifreleme sağlarken, veri bütünlüğünü de garanti eder. IPSec protokolü ile farklı şifreleme metodları kullanılabilir; bunlardan en popüleri DES, (Digital Encryption Satandart) Dijital Şifreleme Standardıdır.

Farklı VPN Konfigürasyonları

En genel konfigürasyon, ağ erişim sunucusu ve yerel ağda bulunan tünel sonlandırıcı bir donanımdan oluşur. Kullanıcı gözü ile baktığımızda görünen, ISS yerel telefon numaralarının aranması, internet servis sağlayıcı tarafından şifremizin doğrulanması ve servis sağlayıcı tarafından güvenli bir tünel oluşturularak kurumsal yerel ağımıza erişebilmemizdir. IPX ve IP paketleri, PPTP veya L2TF protokolleri ile kapsüle edilir, verinin gideceği ağın adresi belirtilerek yeni bir IP paketi yaratılır. Kullanıcı, internet servis sağlayıcıyı aradığında, kendisine tescilli bir IP adresi verilerek yerel ağına bu adres ile ulaşması sağlanır. Kapsüle edilmiş paketler daha sonra uçtan uca IPSec veya eşdeğer bir protokol ile şifrelenebilir.

Veri, VPN tünelinde paketlenip, şifrelenip, diğer uçta paketten çıkartılıp ve şifresinin çözülmesi işlemlerinden VPN kullanıcısı haberdar olmaz. Görünen klasik bir internet’e bağlantı şeklidir.

Kullanıcın bu tip ağ teknolojilerini bilmeye gereksinimi olmaması ve konfigürasyon sorunu yaşamaması, bu tip uygulamaları kolaylaştırır.

Yukardaki örnekte, şifreleme ve paketlerinin internet servis sağlayıcı yerel POP istasyonu tarafından gerçekleştiğine değinilmişti. VPN teknolojisi, network erişim sunucu veya istemcilere entegre edilebilir. Bunun için istemcilere VPN arama yazılımı kurulabilir. Bu yöntemde ise internet servis sağlayıcı bağımsız bir uygulama görüyoruz. Kullanıcı dilediği internet servis sağlayıcı üzerinden güvenli bir tünel oluşturabilir. Farklı bir uygulama ise, bu yazılımın kullanıcıların PC’lerine yüklenmeden de yaratılabilir. Bu durumda VPN teknolojisinin, internet servis sağlayıcı ağ erişim sunucusu tarafından desteklenmesini gerektirir.

Kullanıcıların, internet servis sağlayıcı bağımlı veya bağımsız çözümlerde ISS’ten yeterli sayıda ve meşgul olmayan telefon numaraları sağlamasını istemeleri gerekir. İstemcilerde VPN yazılımı kullanılmayacaksa, ISS ağ erişim sunucunun VPN destekleyip desteklemediği sorulmalıdır.

İnternet servis sağlayıcı bağımsız modelde, yetkilendirme işlemi VPN destekleyen yazılım ile gerçekleştirilir. İnternet servis sağlayıcı sadece kullanıcı ile kendi uzak erişim sunucusu arasındaki asenkron hattı sağlar. Tünel ise kullanıcı ile erişeceği ağ üzerinden bulunan tünel sonlardırıcı donanım arasında kurulur.

Uzak erişim çözümleri yaratırken bilgi işlem müdürleri, performans, güvenlik, ağ yönetimi, erişim kontrolü, esneklik ve maliyet gibi faktörleri göz önüne almalıdır. Ayrıca internet servis sağlayıcı bağımlı çözümlerde, kullanıcıların VPN desteği verebilen internet servis sağlayıcılar ile sözleşme imzalaması gerekmektedir.

Internet servis sağlayıcı bağımsız modelde ise, internet servis sağlayıcı paketlerin iletimine sadece bir vesile olduğu için, tünelleme işlemi bilgi işlem bölümü tarafından daha esnek bir şekilde yapılabilir.

Bilgi işlem yöneticileri, hangi model üzerinde seçim yapmaları gerektiğini aşağıdaki faktörlere göre karar vermelidir.

Performans

Ağ performansını etkileyen en önemli etkenler paket kaybı ve ortaya çıkabilecek gecikmelerdir. Sadece text tabanlı ve grafiklerin iletildiği bir çözümde, paket kaybı, ve gecikme çok fazla sorun çıkarmayacaktır ve kullanıcının işlemi yerine getirmek için bekleme süresini arttıracaktır. Fakat çoklu-ortam ve video konferans gibi zaman kritik uygulamalarda, verinin gecikmeye uğramadan iletilmesi gerekir.

Günümüzde internet servis sağlayıcılar, 10 abone için sadece 1 adet modem donanımı yatırımı yapmaktadır. Kurumsal uzak erişim çözümlerine bu oranın 5-1, hatta her bir kullanıcı için bir modem atanması gerekebilir.

Internet servis sağlayıcı bağımsız modelde, tünel sonlandırıcı donanımların, şifreleme ve sıkıştırma işlemleri için ayrı işlemciler. Bu tür çözümlerde ana işlemci tünelleme ve yönlendirme işlemlerini yerine getirirken, veri sıkıştırma ve şifreleme işlemleri performansın düşmesine yol açmaz.

Güvenlik

VPN güvenliği iki noktada incelenmelidir; şifre doğrulama ve veri güvenliği. Bazı servis sağlayıcılar iki adet kullanıcı yetkilendirme işlemi gerçekleştirmektedir. Bunlardan bir tanesi, ISP yerel POP’unda, bir diğeri ise kurumun yerel ağında gerçekleşir. Kullancılar için için, çok sayıda kullanıcı adı ve şifre hatırlamak zor olabilir. Veri güvenliği aynı zamanda, uzak kullanıcı tarafından gönderilen verinin, kurumsal ağa değişikliğe uğramadan iletilmesini, yani verinin bütünlüğünü içerir.

Ağ Yönetimi ve Erişim Kontrolü

Ağ yönetim yazılımları, bilgi işlem yöneticilerine tek bir merkezden, ağları üzerinde bulunan farklı donanımlarını gözlemlemelerini ve gerektiğinde bunların konfigürasyonlarını, kullanıcıların isteğine uygun olarak değiştirebilmelerini sağlar. Internet servis sağlayıcı bağımlı modelde, bilgi işlem yöneticileri VPN donanımlarını yönetme şansına sahip değillerdir ve konfigürasyon değişikliği gerektiğinde hizmet aldıkları servis sağlayıcıya başvurmaları gerekir.

Servis sağlayıcı bağımsız modelde ise bilgi işlem yöneticisi, farklı ağ yönetim araçları ve uygulamaları kullanarak, konfigürasyonlarına anında müdahale etme şansı vardır.

Ücretlendirme

Her iki VPN yönteminde de, kurumun bir servis sağlayıcı ile internete bağlanması gerekmektedir. Ücretlendirme, servis sağlayıcı firmanın kullanmakta olduğu VPN donanımı, ve bunların bakım ücretlerine göre artabilir. Servis sağlayıcı bağımsız model ise daha ekonomik görünmektedir.

Maliyet

VPN çözümleri, şehirlerarası ve milletlerarası telefon bağlantılarına son verdireceğinden, VPN’e yapılacak olan yatırım kısa sürede kendini amorte edecektir. Toplam sahip olma maliyetiniz düşer.

Esneklik ve optimizasyon

Uçtan uca bağlantılar : Kullanıcıların taşınabilir veya ev PC’leri ile kurumsal yerel ağ arasında iletişimin sağlıklı bir şekilde kurulabilmesi için, VPN yazılım ve donanımlarının birlikte çalışabilmeleri için uyarlanmaları gerekir.

Mevcut ağ yapısı ile entegrasyon : Bazı servis sağlayıcılar ile bağlantıda, mevcut ağ yapısı üzerinde bir değişiklik gerektirmezken, bazıları ise router’larında yazılım güncellemeleri veya tamemen yeni WAN arabirimine geçiş yapılmasını gerektirir. Ağ yönetimi ve gözlemlemesi için özel yazılımlar kurulabilir.

Esneklik : Kurumların ağları, işlerinin değişmesi, yeni yatırımlar, farklı sektörlere atılmaları gibi nedenlerle, ihtiyaçları cevap verebilmek amacıyla zamanla değişir..

İş gereksinimleri değişikliğe uğradıkça mevcut uzak erişim çözümlerimiz buna ayak uydurabilmelidir. Servis sağlayıcıları çözümden çok ürün önerebilir ve bu ürünlerin gelişmemize ayak uydurabilmeleri ve esnek olmalarına dikkat etmeliyiz.

Ölçeklenebilirlik ve terfiler : Servis sağlayıcılar, kullanıcılarına sorunsuz ve ölçeklenebilir hizmet verebilmeliler. Örneğin bugünkü donanımı 1000 kişinin aynı anda bağlanabilmesini destekleyen bir servis sağlayıcı, mevcut donanımına eklentilerle daha fazla kullanıcıya destek verebilmelidir.

Internet Servis Sağlayıcı bağımsız modelin sağladığı avantajlar

VPN’i servis sağlayıcı bağımsız model ile kullanmanın dört önemli avantajı vardır.

Güvenlik : Internet servis sağlayıcı modelde, şifreleme ve sıkıştırma işlemleri ISS tarafından yapıldığı için tüm önemli verimizi, ISS’in yönetimine bırakmamız, verilerimizi tehdit edebilir.

Ağ Donanımı Optimizasyonu : Bilgi işlem yöneticileri, VPN donanımlarını kendi ağlarında kullanabilecekleri için, gerekli konfigürasyon değişikleri anında ve istenildiği gibi yapılabilir.

Daha az bağımlılık : Internet servis sağlayıcı bağımsız modelde, kullanıcılar, kolayca ISS’lerini değiştirebilirler veya farklı ISS’ler ile yedek bağlantılar gerçekleştirebilir.

Sonuç

Sanal ve özel ağlar teknolojisini kullanarak, dünyanın neresinde olursak olalım, internet üzerinden, yerel ağımıza oldukça ekonomik bir şekilde bağlantı kurabiliriz. Herkesin girebildiği internet gibi paylaşılmış bir ağda yaşayacağımız problemler güvenlik çözümleridir. Güvenlik sorunları internet üzerinden şifreleme teknikleri kullanılarak güvenli yollar oluşturularak çözülebilir. Bu konuda ki ağ donanım üreticileri VPN adı verilen çözümlerini piyasaya sunuyorlar. Intel tarafından geçtiğimiz aylarda satın alınan Shiva firması VPN konusunda öncü firmalardan biri ve bu birleşmeden sonra daha yüksek bir sermaye ile VPN ürünlerine yatırım yapılıyor.

Saldırı Tespit Sistemleri ( Intrusion Detection Systems )

Günümüzde artan bilgisayar korsanlığı ve internet üzerinden gelen saldırılar, savunma sistemlerinin de gelişmesinde büyük bir rol oynamaktadır. Savunma sistemlerini ise doğru ve bilinçli bir şekilde kullanmamız gerekmektedir. Uzman olmayan kişiler tarafından kullanılan savunma sistemleri, sistemize zararlı aktivitelerin yapılmasına sebep olmaktadır. Savunma stratejimizi belirlemek için, saldırgan profilleri ve saldırı çeşitlerini tespit etmemiz gerekmektedir. Burada Saldırı Tespit Sistemleri (STS) devreye girmektedir. Saldırı Tespit Sistemleri, kendisine ulaşan veri paketlerini inceleyip, belirlenmiş izler (signature) aracılığı ile saldırı ve bilgi toplama aktivitelerinin kayıtlarını tutmamızı sağlar. Bu yazımızda Saldırı Tespit Sistemlerini ayrıntılı bir şekilde inceleyip, kullanım şekilleri ve yararlarını tartışacağız.

Saldırı Tespit Sistemleri, bizim için çalışan özel yazılımlardır. Bu yazılım sensör ve yönetim arabirimi olarak iki parçadan oluşur. Genel olarak incelediğimizde, Saldırı Tespit Sistemleri ağdaki paketlerin hedefini önemsemeden hepsini incelemek için ağ bağlantı noktasından alan ve iz veritabanı dediğimiz listeye göre eleme yaparak, saldırı aktivitelerini kayıt eden yazılımlar olarak tanımlayabiliriz. Tanıma dikkat edersek, bir ağ bağlantı noktası ve oradan alınan veri paketlerinden bahsetmekteyiz.Saldırı Tespit Sistemleri, sadece erişimi olan veri paketlerini inceleyebilmektedir. Bu yüzden, Saldırı Tespit Sistemlerinin konumu ve ağımızdaki bağlantı noktası çok önemlidir. Eğer yapmak istediğimiz analizin, tüm ağı kapamasını istiyorsak, buna dikkat etmeliyiz.

Saldırı Tespit Sistemleri, küçük ve orta boy ağlarda ateş duvarının (firewall) önüne ve arkasına olmak üzere iki noktada konumlandırılmaktadır. Büyük ağlarda ise, sistemin yapısına göre, gerek görülen her noktaya, Saldırı Tespit Sistemi sensörleri konulmaktadır. Büyük ağların, küçük ağ yapılarından oluştuğunu bildiğimize göre, yazımızda küçük ağlarda Saldırı Tespit Sistemlerinin konumlarını incelememiz bir problem oluşturmaz.

Ateş duvarının önünde, yönlendiricimizin arkasında bir Saldırı Tespit Sistemini hat üzerine (inline) bağlamamız kesinlikle gerekmektedir. Bu noktada var olan yapıyı bozmamak, Saldırı Tespit Sisteminin varlığının fark edilmesini ve saldırıya maruz kalmasını engellemek için, Saldırı Tespit Sistemlerini iki portlu bir switch haline dönüştürmeliyiz. Yazımızın konusu olmadığı için, iki Ethernet kartlı bir bilgisayarın nasıl switch haline getirileceğini anlatmayacağız. Saldırı Tespit Sistemimizi konumlandırdığımıza göre, ondan elde edebileceğimiz faydaların neler olduğuna bir göz atalım. Ateşduvarımızın önünde konumlandırılması dolayısı ile, hiçbir filtrelemeye maruz kalmadan tüm paketleri inceleyebilen sistemimiz, internet ortamında şirketimizin ağına gelen tüm saldırıları ve saldırgan profillerini rahatça ortaya koyabilmektedir. Saldırı tiplerine ve saldırıların hedeflerine bakarak, önlemler almamız kolaylaşmaktadır. Örnek olarak, e-posta sunucumuzu hedef alan saldırılar gözlemlediğimizde, sunucumuz üzerinde başarıya ulaşmış bir saldırı izi olup olmadığını ve çalışan tüm servislerin yamalarının yapılıp yapılmadığını kontrol edebiliriz. Saldırganların kullandığı sistemlerin IP adreslerinin de kayıtları tutulduğu için, ya saldırganları yakalayabiliriz ya da daha önce saldırıya uğramış başka bir kurbanı uyarabiliriz. İkinci durumla karşılaşma olasılığımız daha yüksektir, çünkü saldırganlar genelde kendilerini gizlemek için daha önce ele geçirdikleri sistemleri kullanırlar.
Ateşduvarının arkasında, yerel ağımızın içinde bulunan Saldırı Tespit Sistemini konumlandırmak, ilki kadar kolay olmamaktadır. Yerel ağımızda çok fazla bağlantı olması ve günümüzde ağlarda switch kullanılması nedeniyle biraz ön çalışma yapmamıza sebep olmaktadır. Yaygın olarak kullanılan Cisco Systems’in ağ cihazları işimizi çok fazla kolaylaştırmaktadır. İzleme portu dediğimiz bir özellik sayesinde, Cisco switch’lerde seçtiğimiz bir porta, tüm ağ trafiğinin bir kopyasını gönderebilmekteyiz. Ancak ağımızdaki switch’in teknik özelliklerini inceleyip, monitör özelliğini aktif hale getirdiğimiz zaman, problem yaratıp yaratmayacağına karar vermeliyiz. Bu bilgilendirmeden sonra, Saldırı Tespit Sistemimizi kolayca konumlandırıp, işimize geri odaklanabiliriz. İçerdeki Saldırı Tespit Sistemi sayesinde, ağımızdaki kullanıcılar arasında saldırgan olup olmadığını, ağımızdaki sistemlerde trojan/worm benzeri uygulamaların olup olmadığını ve ateşduvarımızın kurallarının doğruluğunu öğrenebiliriz. Sonuçta, yine yönetim arabirimde inceleme yapılıp, gerekli düzenlemeleri yapmalıyız.

Şu ana kadar çok güzel özelliklerden ve hep Saldırı Tespit Sistemlerinin iyi yönlerinden bahsettik. Ancak Saldırı Tespit Sistemlerinin dünyası bu kadar toz pembe değildir. Günümüzde Saldırı Tespit Sistemlerinin problemleri, saldırı olmayan aktiviteleri bazen saldırı olarak algılaması (false-negative) ve saldırı olan aktiviteleri ise bazen saldırı olarak algılamaması (false-positive) olayıdır. Bu yüzden, Saldırı Tespit Sistemlerini uygulanmasında insan faktörü ve bilgi çok önemlidir. Saldırı Tespit Analisti dediğimiz bilgili kişiler tarafından kayıtların incelenmesi gerekmektedir. Kayıtların doğruluğu tespit edildikten sonra, harekete geçilip çok kolay önlem alınabilir. Bazı Saldırı Tespit Sistemleri otomatik olarak müdahele etmeye olanak sağlamaktadır. Yani, saldırı kaydı sistemde tespit edilir edilmez, insan faktörü olmadan tepki vermek veya gerekli cihazlarda konfigurasyon değişikleri yapmaya olanak sağlar. Saldırı Tespit Sistemlerinin doğruluk yüzdesinin %80′nin üzerine çıkmadığı durumlarda otomatik müdahelelerin çok doğru olmayacağı kanısındayım.

Bilgi çağında, internete her kurumun bağlı olduğunu düşündüğümüze, herkesin bir Saldırı Tespit Sistemi oluşturması ve bunu düzenli olarak takip etmesi gerekmektedir. Bunun bir ihtiyaç ve ateşduvarı kadar önemli bir uygulama olduğunu tüm firmaların bilmesi gerekmektedir. Güvenlikte sadece bir uygulama veya cihazın kullanılması değil, komple bir çözümün uygulamaya geçirilmesi, takip edilmesi ve sürekli güncellenmesi gerekir. Yazımızda, Saldırı Tespit Sistemlerinin neler olduğunu, sistemimizde nerelere konumlandırılacaklarına, faydaları kadar yanlışlıklara da sahip olduğuna değindik.

  

 Çapraz kablo

Kablo bağlantı standartları

 

Yeni nesil network dediğimizde çoğumuzun kafasında belki de bilim-kurgusal unsurlar canlanıyor. Aslına bakarsanız yeni nesil network dediğimiz olgu telekomünikasyonun yüz yıllık evriminin bizi getirdiği noktadan başka bir şey değil. Ayrıca, orta ya da yeniçağda yaşamış bir insan gözüyle bugüne baksak zaten hepimiz bir bilim-kurgu filminin aktörleriyiz.

Bugün, pazar düzeni daha çok tüketicinin yön kazandırdığı bir düzen. Günümüzde talep tamamen servislerin niteliğine, ne zaman, ne şekilde yayıldığına ve gereksinimlere göre şekilleniyor ki, her ne kadar bu bize doğal gözükse de, bunun aslında tüketicinin profesyonelleşmesi sonucu ortaya çıkan bir olgu olduğunu biraz düşününce anlamak hiç de zor değil. Hatta bunun bize doğal gözükmesinden çıkaracağımız sonuç, bizimle birlikte içinde yaşadığımız toplumun da bu profesyonelliğe ciddi bir adım attığı olmalı. Bu noktadan yola çıkarak da bugün herhangi bir üreticinin, satıcının ya da servis sağlayıcısının hangi kaygıları güttüğünü kestirmek de oldukça kolay. İster yıllardır pazarda faaliyet gösteren, yeri sağlam, köklü bir şirket olsun, ister yeni faaliyet göstermeye başlamış, bir pazar payı edinmeye çalışan �agresif� bir küçük şirket olsun, her kesimin kaygısı müşteriye yeni bir servisin ya da bir ürünün nasıl pazarlanacağı, eş zamanlı olarak da tüketicinin vazgeçemediği mevcut servis ya da ürünlerin pazarlanmaya devamında nasıl bir tutum izleneceği yönünde. Tabii bu yazdıklarım mahallenizin bakkalının, manavının, kasabının tutumuyla pek de örtüşmüyor olabilir

Yarının network teknolojileri ve bu teknolojileri sunan servisler tıpkı bugün de olduğu gibi kurumsal bazda üretimde ve hizmetlerde artışı sağlamayı amaçlayacak, ev kullanıcısının da çeşitli açılardan sosyal hayatını şekillendirmeye devam edecek. Bugün itibariyle temelleri çoktan atılmış Virtual Private Network (VPN), yerden ve zamandan bağımsız olarak e-mail alıp gönderme, dosya şekillendirmesi ya da transferi, video konferans (mobil bazda düşündüğümüzde bunu görüntülü telefon olarak ele almak yanlış olmaz) gibi olanaklara sahip olacağız, hatta bunlardan bazılarına önceleri Laptoplar sonraları ise daha mobilize bir kavram olan PDAler aracılığıyla sahip olmaya başladık bile. Tabii bilişim teknolojilerine kıyısından köşesinden bir şekilde bulaşmış olan insanlardan çoğu için bu söylediklerim artık pek de ütopik görünmüyor. GPRS bu duruma güzel bir örnek teşkil ediyor. Başta GSM telefonlarını (ABD de CDMA, Japonya da ise Docomo) sadece konuşma ve SMS için kullanırken, sonra cepten internete uzanan körü olan WAP 1.0�la (Wireless Application Protocol- Telsiz Uygulama Protokolü) tanıştık, şimdiyse renkli ve kaliteli görüntü aktarımı yapabilen WAP 2.0 dan ve multimedia uygulamalarında daha fazla hızı sağlayan GPRS den bahsediyoruz. Üstelik yakında GSM de tarihe karışacak ve 3. nesil iletişim standardı olan UMTS cebimize girecek.

Bunların hepsi iyi güzel, ancak dünyanın çoğu ülkesinde bütün bu uygulamaların gerektirdiği altyapı ya yok, ya da yeni yeni yapılandırılmakta. Internet�in yıllarca süren evriminden sonra dahi dial-up bağlantılar bir kenara, dünyada yaygın olarak kullanılan DSL teknolojilerinden mesela ADSL bile asimetrik up-/downstream yapısından dolayı örneğin bir video-konferansı verimli bir şekilde gerçekleştirmekten çok uzak. Tabii bu, yeni bağlantı türlerinin ortaya çıkmak zorunda olduğu (belki de çıkar, kim bilir), bunların da öncekiler gibi dallanıp budaklanacağı anlamına gelmiyor, ancak wired ya da Wireless LAN/WAN lerde bir bant genişliği artırımına sürekli olarak gidilmek ya da sürekli yeni nesil protokollerin/filtrelerin geliştirilmek zorunda kalınacağı da kesin. Günümüzde servis sağlayıcıları dünün teknolojileriyle hizmet vermekten dolayı kullanıcıların isteklerini, ihtiyaçlarını karşılamaktan çok uzaklar.

IT sektörü, böyle kısıtlı olanaklarla nitelik açısından pozisyonlarını iyileştirmeye çalışıp, bir yandan da mevcut gelirlerini korumaya ya da ek gelir elde edecek yeni yollar bulmaya çalışan servis sağlayıcılarıyla dolu. Bu bağlamda yeni nesil network tanımını şu şekilde yapabiliriz: Gelecekteki her türlü iletişim uygulaması ve servisler için altyapı sağlayabilen, aynı zamanda yarının IP trafiğinin gereksinimlerini karşılamak için gerekli olan ölçeklenebilirliği sunabilen, diğer yandan da pazarın gereksinimlerini, pazarın istediği şartlarda karşılayabilecek uysallığa, esnekliğe sahip olan bir yapı.

Hiç bir zaman olmadığı gibi, bu sefer de ortaya bütün bu gereksinimleri karşılayabilecek tek bir teknoloji ortaya çıkmıyor tabii ki. Örneğin bugüne bakarsak, WLAN (Wireless LAN-Telsiz yerel ağ) ve Bluetooth un yaygın olarak kabul gördüğüne tanık oluyoruz. WLAN altında ise iki teknoloji öne çıkıyor: HomeRF ve Wi-Fi (IEEE 802.11). Bu iki teknolojiden özellikle Wi-Fi nin yoğun bir destekçi kitlesi var: Apple, Dell, Elsa, AMD, Alcatel, Ericsson, IBM, Cisco Systems, Intel gibi dünya devleri Wi-Fi standardını destekliyorlar. Bu firmalar ve daha niceleri, WECA (Wireless Ethernet Compatibility Alliance) adı altında bir organizasyon oluşturdular. Tahmin edebileceğiniz gibi, HomeRF ve Wi-Fi�nin örnek teşkil ettiği çeşitli teknolojiler, farklı ağ iletişim kapasitelerine, farklı rekabet yeteneğine, farklı ekonomik parametrelere sahipler.

İlk bakışta yine bir eş güdümün yakalanamadığı hissi uyansa da başta da değindiğimiz gibi, bugünün tüketicinin yön kazandırdığı ekonomik düzeninde atılımın, rekabetin, hizmet kalitesinin farklı standartların karşı karşıya durmasından geçtiği malum.

Bir kaç yıl öncesinde başlayan süreçte Telekom servislerinin tanımı ve alanları bir hayli değişti, gelişti. Örneğin ülkemizde önceleri PTT varken, çeşitli gereksinimlerden dolayı (en azından buz dağının görünen kısmı böyle) PTT nin telefon departmanı Türk Telekom yapısı altında ayrıldı. Bu gereksinimlerden bazıları önce TURNET sonraysa TT-NET gibi dial-up omurgalarının oluşturulması, bunları takiben Kablo-Net, en son ise ADSL sistemlerinin oluşturulmasıydı, çünkü internet gibi bir yapı herhangi bir Telekom şirketinde başlı başına bir alt grup gerektiriyor. Oysaki eski düzende telekomünikasyon bir alt gruptu, böyle bir sistemle devam edilmesi pek mümkün değildi. Yukarıdaki örneğimizde olduğu gibi Internet başlı başına bir değişim, bir de bu farklılaşmaya iletişime bağlı olarak değişen iş çevresini de katarsak, bu devinimin devamlılığı ve sağlığı açısından iletişimin bugün itibariyle son noktası olan Network konseptinin gelişiminin de önemi yadsınamaz.

Elçilerle, posta güvercinleriyle başlayan telekomünikasyon, Thomas Edison dan bugüne değin muazzam bir evrim geçirdi. İşin daha da ilginç yanı, teknolojiyi sorunlarımızı çözmek amacıyla geliştirsek de, bant genişliği denen kavrama bu gün ihtiyaç duyduğumuz kadar başka hiç bir zaman ihtiyaç duymadık ki, bu da çözüm geliştirirken yeni düğümler attığımızın, ya da bundan sonra her türlü atılımda ideali yakalama sürecinin daha da uzayacağının en güzel kanıtı. Ancak bu gün itibariyle endüstrinin ihtiyaçları göz önüne alınırsa, yeni nesil network konseptleri ve bunlarla birlikte gelecek olan kaliteli servisler, daimi olmasa da bir çözüm olacak gibi görünüyor.

Ağ ile ilgili temel bilgiler
Ağ birbirine kablolarla bağlanmış sunucu, yazıcı, bilgisayar, modem gibi birçok haberleşme ekipmanının en ekonomik ve verimli yoldan kullanılmasıdır. Ağ insanların bireysel değil, ortak çalışmalarını sağlar.

Ağ, veri, yazılım ve ekipman paylaşımıdır. Küçük bir ağ iki bilgisayardan oluşabileceği gibi, büyük bir ağ binlerce bilgisayar, fax-modem, cd-rom sürücü, yazıcı ve bunun gibi ekipmanlardan oluşabilir.

Neden Ağa gereksinim duyulur?
Ağ zaman ve para kazancı sağlar. Basari için isletmenin sadece ofis içinde değil, tüm dünya ile haberleşmesi gerekir. Paylaşım söz konusu olduğundan donanım tüm personel tarafından kullanılabilir, her bir birey için ekstra yazıcı, modem, disk ünitesi gerekmez. Internet erişimi de bir ağ üzerinde paylaştırılabilir.

Ağ Nasıl Çalışır?
Ethernet en genel ağ sistemidir. Ethernet Standardlarıyla birlikte gelmiştir. Ethernet ağından gönderilen tüm mesajlar diğer bir ekipmanın alabileceği standart kodlardan oluşur. İlk olarak XEROX tarafından bulunmuş ve daha sonra DEC, Intel ve XEROX tarafından formüle edilip belirli metotları kullanıp saniyede 10 Mbit veri transfer edebilen bir sistem olarak ortaya çıkmıştır.

Ağ Topolojileri
Üç çeşit ağ yapısı vardır. Bunlar �star�, �bus� ve �ring� topolojileridir. Star ve Bus mimari en çok kullanılanlarıdır.

Star Yapı
Adından anlaşılabileceği gibi yıldız mimarisindedir. Yani yıldızın merkezinde bir hub veya switch, bunlara bağlı olan tüm noktaları birbirine bağlar (UTP kablo ile). Kablonun bir ucu ağ adaptör kartına bağlı iken, diğeri hub veya switch�e takılır.

Star Ağın Avantajları
* Ekonomik kablolama
* Hızlı kurulum
* Kolay genişletilebilirlik
* Switch veya bridge ile genişletilmesi ağ performansını arttırır.
* Bağlantıda meydana gelebilecek kopukluk , tüm ağı etkilemez .
* Huba yapılan bağlantılar hub üzerindeki bağlantıların durumunu gösteren ışıklar sayesinde durumları anlaşılır ve arıza tespiti kolaylaşır.

Dezavantajları
* Hub ile hub arasındaki bağlantıyı sağlayan kablonun uzunluğu 100m yi geçemez.

Bus Yapı
Bus yapı, omurga yapı olarak ta adlandırılır. Ağ üzerindeki tüm uç nokta�lar tek bir hat üzerindedir. Veri bu uç noktalardan geçerek istenilen uç noktaya ulaşır.
Ağ bağlantısı tek bir koaksiyel kablo ile yapılır. Bu kablonun uçlarına BNC denilen konnektörler bağlanır.

Bus Yapının Avantajları
* Güvenilir kablo kullanır (koaksiyel kablo).
* Basit ağ genişlemesi sağlar.
* Hub veya benzeri merkezi ağ ekipmanı gerektirmez.

Bus Yapı Dezavantajları
* Standardları 30 uç noktadan fazlasına izin vermiyor.
* Ağın toplam uzunluğu 185 mt�yi geçemez.
* Herhangi bir node�un baglantisinin kesilmesi tüm agi etkiler.
* Ariza tesbiti zor.

Sunucu (Server):
Sunucu, dosya depolamak ve bu dosyalara ag üzerinden erismek için kullanilan basit bir sistem olabilecegi gibi, birçok hard-disk içeren, yedekleme üniteleri ve cd-rom sürücüleri olan kompleks sistemler olabilir. Printer, fax makinalari, modemler, internet erisimi, vs. gibi kaynaklarin ag üzerinde paylasilmasina yardimci olur. Server�a baglanan bilgisayarlara istemci (client) denir. Sunucular genelde, veritabani dosyalarini, birçok yazilim istemcisinin erisimine sunar.

Hub:
Hub�in görevi kendisine ulasan sinyalleri alip yine kendisine bagli olan ag ekipmanlarina dagitmaktir. Hub bu islem sirasinda bir tekrarlayici görevi görür ve sinyali güçlendirir.

Mbps:
Saniyede 10 milyon bit (Millions of bits per second)

Switch:
Switch�ler daha kompleks ve daha verimli hublardir. Portlari arasinda direk kanal olusturma yetenegi vardir. Ağ performansini arttirir.

Node:
Bir ağ ekipmani (hub veya switch gibi) ile haberlesebilen, server, printer, fax makinasi, vb.

Workgroup:
Küçük haberlesebilen bir grup olusturabilmek için, tek bir switch veya hub�a bagli node�lara denir.

10BASE-T Kablo:
Her iki ucunda RJ-45 konnektörü bulunan, Kategori 3 kablolamayi destekleyen 10 Mbps ethernet standardinin kablosu.

Server Tabanli ve Peer-to-Peer Ağlar

Server Tabanli Ağler
Server tabanli aglarda �server� agin yöneticisidir. Tüm node�lar server�a baglidir. (Star yapida hub araciligiyla). Bu aglarda sunucu ortak kullanima açilan yazilim, printer, fax modem, internet erisimi gibi kaynaklari, istemcilerin erisimine sunar.

Sunucu bir hakem gibi davranir ve node�lar bilgi istediginde önce server�la konusur ve server istenilen bilginin yerini tesbit ederek, kullanicin erisim haklarina göre veriye ulasimini saglar.

Peer-to-Peer Ağler
Bu ag yapisinda server kullanilmaz, herbir istemci kendi hard diskine sahiptir. Her node birbiri ile konusabilir ve istedigi bilgi veya servisi alabilir. Istemciler diger istemcilerin kullanimina açmak istedikleri veri veya servisi paylastirirlar.

Ağ Ekipmanlari

Ağ Adaptör Kartlari
Ağ Adaptör Kartlari (Ağ Arabirim Kartlari) ag yapisinin temelini olusturur. Günümüzde bazi bilgisayarlar üzerinde ag adaptör kartiyla gelir. Eger bilgisayarinizda böyle bir kart yoksa anakart üzerindeki bos bir slota, modem veya ses karti takar gibi kisa sürede takilabilir. Ağ arabirim karti bilgisayarinizla ag arasindaki baglantiyi saglar. Veriyi Ethernet aginin okuyabilecegi ve kabul edecegi formata çevirir. Bu kartlar üzerinde hub veya switch�e baglayabilmeniz için konnektörler bulunur. Ağ Arabirim Kartlari driver (sürücü) dedigimiz üretici firma tarafindan yazilan software�lerle gelirler. 10 Mbps veya 10/100 Mbps çift hizli çalisabilen ethernet kartlari vardir.

Hub
Hub�lar star topoloji aglarda merkezi baglanti üniteleridir. Hub kendisine baglanilan tüm node�larin birbirleri ile iletisim kurmasini saglar. Hub�a baglanilan her ekipmanin kendi güç kaynagi oldugu gibi hub�inda kendi güç kaynagi vardir. Hub üzerinde bulunan durum isiklari ag durumunu izlememizi ve ariza tesbit islemlerini kolaylastirir. Ikiden fazla hub birbirine baglanabilir fakat Ethernet standartlarinda bazi sinirlar vardir. Hub-Hub baglantilari yerine switchlerden hub�lara gidilebilir, ve bu durum ag performansini arttirir. 10 Mbps veya 100 Mbps aglar için hub�lar bulunmaktadir.

Bridge
Bridge�ler bagimsiz workgrouplari birbirine baglamak için kullanilir. Veri yönlendirme islemi yapar. 10 Mbps ve 100 Mbps aglari birbirine baglayabilir.

Switch
Switchler daha öncede bahsedildigi gibi daha kompleks Hub�lardir. Büyük bir agi segmentlere (parçalara) bölerek ag performansini arttirir. Herhangi bir node�tan gelen verinin tüm aga dagitilmasi yerine istenilen node�a dagitilmasini saglar. Ag durmunu izler, veriyi gönderip, iletim isleminin yapilip yapilmadigini test eder. Bu özellige �store and forward� (depola ve ilet) denir.

Repeater
Repeater (tekrarlayici), ethernet ag standartlarinda merkezi baglanti noktasi ile node arasindaki mesafenin maximum sinirinin asmasi durumunda kullanilir. Sinyali alip, güçlendirip, gönderme özelligine sahiplerdir. Hub veya switchler de birer repeater görevi görür.

Router
Router�lar ag trafigini filtre eder ve dosyanin dogru yere gönderilmesini saglamak için degisik protokolleri birbirine baglar. Bu filtreleme isleminden dolayi router, switch veya bridge�den daha yavas çalisir. Hub veya switch�lerden farkli olarak router�lar ag yönetim hizmetleri sunarlar.

Filtreleme islemi:
Verinin içerigi incelenir ve iletilmesi gerekmiyorsa iletilmez. Switch veya bridge�te verinin içerigine bakilmadan iletim islemi yapilir.

protokol:
Ag üzerinde veri iletimi için kullanilan kurallar veya islemler.

PC Adaptör Kartlari
Laptop (dizüstü) bilgisayarlar ethernet agina kredi kartina benzer kartlarla baglanabilir. PC kartlari bütünlesik fax/data ve modem özelligine sahip olabilir .

Ağ Isletim Sistemi Nedir?
Ağ Isletim Sistemi (NOS) ag üzerinde bilgisayarlarin ve diger ekipmanlarin birbirleri arasinda veri alip göndermelerini saglarlar. Windows95, Windows NT, veya Macintosh gibi baska amaçlar için kullanilabilen isletim sistemleri ve sadece ag isletim sistemi olarak kullanilabilen Novell veya LANtastic gibi yazilimlar örnek verilebilir.

Ağ Için Yardimci Ögütler
Ethernet standartlari geçerli bir ağün olusturulma seklini belirler. Unutulmamasi gereken eger kurulumunuz standartlara uygunsa ağünüz çalisacaktir. Burada probleme neden olacak belli basli birkaç sey, yanlis kablolama, kablo uzunlugunun siniri geçmesi ve fazla kullanicinin bulunmasidir.

Bu bölümden sonra �Ağın Geçerli Yapilmasi� basligi altindaki diyagramlarda standartlara uyan geçerli bir ağ ve standartlarin disindaki geçersiz bir ağü göreceksiniz.
Ağünüzü planlarken bu standartlari takip ederek ağünüzü daha verimli bir sekilde çalismasini saglayabilirsiniz.

Üç Önemli Husus

Kablolama
Yanlis kalite veya tipteki kablolama heberlesmeyi güçlestirir.

Baglanti Sayisi
Switch ile parçalara ayrilmamis ağteki çok fazla sayidaki hub veya çalisma grubundaki çok fazla sayidaki baglanti sik sik çakismalara ve hatalara neden olacaktir.

Mesafe
ethernet standartlarinin göre daha uzun mesafelere çikan baglantilar ağün çökmesine neden olan zamanlama problemlerine neden olur.

1. Kurumsal ağ kaynaklarınızı iç ve dış tehditlere karşı korumak
Günümüzde kurumlar için yerel ağ kavramı artık, iç ağ/dış ağ ayrımı yapılmaksızın, kurumdaki herhangi bir kişiye, herhangi bir yerden erişebilmek anlamında genişlemiştir. Ama bu gelişime paralel olarak, güvenlik uzmanları da ağlarına karşı olan tehditlerle başa çıkabilmek için daha komplike güvenlik politikaları uygulamak zorunda kalmaktadır. Bu tehditleden en başta geleni, önemli ağ kaynaklarını Internet’ten veya yerel ağdan gelebilecek muhtemel saldırılara karşı korumaktır. .
Ağ üzerinden erişim kontrolü, mevcut ağ kaynaklarını korumak için temel yoldur. Ölçeklenebilir kapsamlı erişim denetimi kuralları sayesinde, ağ güvenliği yöneticileri ağ bağlantıları için kaynak sistem, hedef sistem, ağ trafik türü ve uygulama zamanını belirlemek suretiyle esnek ağ erişim hakları belirleyebilirler.

Ağ güvenliğini korumak tabi ki sadece spesifik kaynaklara erişim denetimi sağlamaktan ibaret değildir. Bundan başka, komple bir ağ güvenliği çözümü aşağıdakileri sağlamalıdır:

· Ağ kullanıcıların kimliklerinin belirlenmesi
· Aktarım esnasında veriyi şifreleme
· Kayıtlı IP’leri optimize şekilde kullanma
· Ağ trafiğinin tümünün içeriğine güvenlik politikasını uygulama
· Saldırıları gerçek zamanlı olarak belirleme ve önlem alma
· Denetim bilgilerinin tümünün kayıtlarını tutma

Ayrıca güvenlik politkası, kurum içerisinde kullanılan mevcut ve ileride kullanılması muhtemel bütün uygulamalara tatbik edilebilmeli ve bağlantı sorunlarına, ağ performans düşüklüklerine yol açmamalıdır.

2. Mobil ve uzak kullanıcılar için ağ bağlantısı sağlamak
Birçok şirket uzak kullanıcılarının bağlantıları için, büyük modem bağlantıları gerektiren geleneksel uzaktan erişim çözümleri ve pahallı dial-up telefon bağlantıları ile karşılaştırıldıklarında çok ekonomik çözümler sunan Internet üzerinde geliştirilen ağ uygulamalarının farkına vardılar. Uzak ve mobil kullanıcılarını kurumsal ağlarına Internet bazlı özel sanal ağlar (VPNler) aracılığı ile bağlamak isteyen firmaların sayısı arttıkça, bu kritik bağlantıların güvenliğinin sağlanması da büyük önem kazanmıştır.

Bilgilerinizin Internet gibi herkese açık ağlar üzerinden iletimi sırasında güvenliğinden emin olabilmek için iki temel unsurun yerinde uygulanması gerekir. Birincisi, hem uzak istemci, hem de kurumsal Internet ağgeçidi seviyesinde mümkün olan en güçlü tanılama sağlanmalıdır. İkincisi ise, bütün kullanıcı kimlikleri belirlendikten sonra, bütün veri trafiği gizlilik açısından şifreli olarak iletilmelidir.

Hem tanılama hem de şifreleme uygulamaları, ağ güvenlik çözümü çerçevisinde kesintisiz ve uyumlu olarak çalışmalıdır. Erişim denetimi gibi ağ güvenlik kriterleri sanal özel ağ iletişimlerinde de çok önemli role sahiptir. Uzak bir kullanıcının VPN ile kurumsal ofisine bağlantı kurması demek, buradaki tüm ağ kaynaklarına erişim hakkı kazanması anlamına gelmemelidir.
Bir firma için uzak ağ bağlantı ihtiyacı arttıkça, ağ güvenlik yöneticileri yönetilebilir ve kullanımı kolay VPN çözümlerine ihtiyaç duyarlar. Ve seçilecek çözüm, kurulumu kolay, ileride eklenebilecek yüksek sayıda uzak kullanıcı sayısını destekleyebilecek esneklikte, son kullanıcı için ise kesintisiz ve transparan olmalıdır.

3. Internet’i kullanarak kurumsal veri iletişim masraflarını düşürmek
Güvenli ağ erişimi sağlamak amacıyla istemciler ve ağlar arasında kurulan VPN bağlantıları pahalı çözümler oldukları için, firmalar uzak ofis bağlantılarını sağlamak için Internet aracılığı ile ağlar arası veya bölgeler arası VPN bağlantılarını tercih ederek tasaruufa giderler. Ayrıca herkese açık hatlar üzerinden güçlü tanılama ve veri şifreleme özellikleri kullanarak, bilgi güvenliğinden ödün vermeksizin ticari iletişimleri de sağlamak mümkün olur. Bu sayede, frame-relay ve kiralık hatlara yüksek miktar yatırımlar yapmaya gerek de kalmaz.

Gözden kaçırılmaması gereken bir konu ise, uzaktan erişim çözümü olarak güçlü tanılama ve şifreleme teknolojileri seçildiği vakit, bu seçimin beraberinde yeni güvenlik yönetimi zorlukları getirebilmesidir. Bu tip muhtemel zorlukları yaşamamak veya minumum seviyeye indirgemek için, tüm VPN bağlantı noktalarını merkezi bir konsol aracılığı ile yönetebilecek güvenlik çözümleri tercih edilmelidir.

Internet üzerindeki VPN uygulamalarının sağladığı maliyet düşüklüğünün yanı sıra, ağ iletişimlerini özel dedike hatlardan Internet üzerine taşınması, beklenmedik performans düşüklüklerine ve erişim sorunlarına yol açabilir. Bu yüzden, sanal özel bir ağ bünyesinde öncelikli bağlantılar için entegre bantgenişliği yönetimi ve yüksek erişilebilirlik desteklenmelidir.

4. Güvenli bir extranet üzerinden iş ortaklarına ağ erişimi sağlamak
Kendinize ait ağ kaynaklarınızı (uzak ve mobil kullanıcılar, branch ofisler) güvenli şekilde birbirine bağladıktan sonra, sıra kurumsal ağınızı extranet uygulamaları aracılığı ile değerli iş ortaklarınıza ve müşterilerinize kontrollü bir biçimde açmaya gelir. Endüstri standartlarında protokollere ve algoritmalara bağlı kalarak gerekli extranet bağlantıları güvenli şekilde sağlanabilir. Ama bu tür bağlantılar için kesinlikle tescilli teknolojiler tercih edilmelidir.

Internet bazlı VPN uygulamaları için kabul edilen standarda IPSec (Internet Protocol Security) adı verilir. IPSec, şifrelenmiş ve tanılanmış bir IP paketinin formatını ifade eder ve gelecek nesil IP iletişimi için gereklidir. Şifrelenmiş anahtarların yönetimini otomatikleştirmek için genellikle IPSec ile IKE (Internet Key Exchange) ile kullanılır.

Standart bazlı bağlantı kurulduğu zaman, dışardan erişecek kullanıcıların (iş ortakları, özel müşteriler) ihtiyaçlarına göre özel haklar sadece ilgili ağ kaynakları için tanınmalıdır. Kurumsal ağ kaynaklarının dışarıya açılma oranı arttıkça, bununla ilgili uygulanması gereken kapsamlı güvenlik politikası da periyodik olarak revize edilmelidir.

5. Kurumsal ağınızın yeterli performansa, güvenilirliğe ve yüksek erişilebilirliğe sahip olması
Kurumsal ağ bağlantılarında artan Internet kullanımının doğal sonuçlarından biri olan ağ tıkanıklıkları sonucu kritik uygulamalarda performans sorunları yaşanabilir. Ortaya çıkabilecek bağlantı hataları, ağgeçidi çökmeleri, ağ bağlantı gecikmeleri ve diğer performans düşüklükleri neticisinde firmalar büyük ekonomik kayıplar yaşayabilirler.
Internet ve Intranet hatlarının gereğinden fazla istemci ve sunucu tarafından kullanılması sonucu, trafik miktarına göre bağlantı kopuklukları, zayıf ‘response’ zamanları ve yavaş Internet kullanımı sorunları ile karşı karşıya gelmek normaldir.

Bu gibi durumlarda, sınırlı bantgenişliği üzerinde mevcut hattı aktif olarak paylaştırmaya yönelik bir yönetime gidilmelidir.

Eğer yerel ağınız bünyesinde yoğun trafik yaşanıyorsa, birçok kaynağınız (halka açık popüler bir Web sunucusu gibi ) negatif yönde etkilenebilir. Bir uygulama için bir sunucuya güvenmek, zayıf ‘response’ zamanlarına hatta bağlantı kopukluklarına yol açabilir. Sunucu yük dengelemesi bir uygulama sunucusunun işlevini birçok sunucu üzerine dağıtarak ölçeklenebilir bir çözüm sağlar. Bu yolla ayrıca, sunucular üzerindeki performanslar da arttırılmış olur.
Performansın yettiği durumlarda dahi, ağgeçidi seviyesinde meydana gelebilecek bir hatayı tolere edebilecek güvenli bir ağ altyapı sistemi oluşturulmalıdır. Günümüzde artık çoğu kurum, ağgecidinde yaşayacakları anlık erişim sorunları yüzünden dahi büyük mali kayıplar yaşaycaklarından emin olarak yüksek erişilebilirliği destekleyen ağ güvenlik ürünlerini tercih etmektedir.
Yüksek erişilebilirliği destekleyen ürünler hem yazılım, hem donanım bazında yedeklemeli sistemler ile yüzde yüze yakın seviyelerde erişilebilirliği garanti ederler. Bir sorun meydan geldiği zaman, yüksek erişilebilirliği sağlayan bileşenler ağınızın güvenli olmasını sağlamalı ve son kullanıcıya tamamen transparan şekilde devam ettirilmelidir. Gerçek etkili çözümler sunacak ağ yöneticileri, iç ve dış kullanıcılarına daimi güvenilir servisler sağlamalıdır.

6. Kullanıcı bazında güvenlik politikalarını ağ seviyesinde uygulamak
Kurumsal ağ konseptinin genişlemesi, birçok ağ için kullanıcı, uygulamalar ve IP adres kullanımı sayılarında aşırı artışlara yol açmıştır. Bu tür dinamik ağ ortamlarında emniyetli ağ politikalarının uygulanması, kullanıcı bazında güvenlik politikalarının oluşturulmasıyla sağlanır. Bu politikalar çerçevesinde, ağ kullanıcıları için kişisel erişim denetimleri, tanılama prosedürleri ve şifreleme parametreleri belirlenir. Yüksek miktarda kullanıcı bilgisi içeren bu uygulamalarla uğraşmak ağ ve güvenlik yöneticileri için bazen kolay olmayabilir.

Kullanıcı seviyesinde güvenlik bilgilerini ölçeklenebilir şekilde merkezi bir yerde depolamak için LDAP protokolü kullanmak en uygun çözümdür. LDAP sayesinde, bütün kullanıcı bilgileriniz tek bir veritabanında tutulup diğer ağ uygulamaları tarafından paylaşılır. Bununla birlikte ağ ve güvenlik yönetimleri paralel çalışarak güvenlik ile ilgili zaman harcatıcı rutin prosedürlerin aşılması sağlanır.

Güvenlik denetimlerini en üst düzeyde tutmak için kullanıcı seviyesinde uygulanan güvenlik politikaların kayıtlarının tutulması ve bunların denetlenmesi gerekir. Kişisel güvenlik politikalarının uygulandığı ortamlarda DHCP protokolünün kullanılması etkili bir yol değildir. Bunun sebebi IP adres atamalarının dinamik olarak yapılmasıdır.

7. Ağınıza karşı yapılan atakları ve şüpheli aktiviteleri anında algılamak ve bunlara cevap vermek
Kurumsal ağ güvenliğinizi ancak ağınızı ve kullanıcılarınızı korumak için uyguladığınız güvenlik politikaları belirler. Ağ korumanızı devamlı olarak ayakta tutmanın yolu yetkisiz aktiviteleri gerçek zamanlı olarak tespit etmektir.

Etkili bir saldırı tespit sistemi, atak ve şüpheli ağ aktivitelerini yetkin bir şekilde tespit ederek kurumsal ağ güvenliğinizin bir bacağını oluşturur. Ama bu istenmeyen trafiğin sadece saptanması yeterli değildir. Kullandığınız saldırı tespit uygulaması öte yandan belirlenecek bu tür istenmeyen bağlantılara anında yanıt verebilmeli ve ağ kaynaklarına yetkisiz erişimi engellemelidir.
İyi dizayn edilmiş bir saldırı tespit uygulaması, gerçek zamanlı karşılıklara ek olarak kapsamlı kayıt tutabilme, komple denetim ve gerektiğinde ilgili kişileri ikaz edebilecek gelişmiş uyarı mekanizmalarına sahip olmalıdır.

8. Ağınızın IP adres altyapısını güvenli ve etkili bir biçimde yönetmek
Ağlar üzerindeki kullaınıcı ve uygulama sayısı arttıkça, ağ cihazları ve kullanıcıları için gereken IP adres adres sayısı gittikçe daha çok artmaktadır. Buna paralel olarak da hızlı gelişen ağlarda IP adres ve isim alanı yönetimi zorlaşmaktadır.

Eskisi gibi her bilgisayar ve ağ cihazının IP adres konfigürasyonunu manuel olarak kontrol etmek artık uygulanmamaktadır. Bunun sebebi, bu tip bir yönetimin günümüz ağları üzerinde hataya açık, zahmetli ve entegrasyon eksikli bir yapı oluşturacak olmasıdır. Böyle bir yapı da doğal olarak çok pahalı olmasının yanında, merkezi kontrol, ölçeklenebilme ve güvenilirlikten uzak olacaktır.

Kurumsal bazlı IP ağ altyapınız için merkezi idare ve esnek yönetim sağlayan IP adres yönetim çözümleri ancak genel ağ altyapısı ile tamamen entegre olduklarında güvenlik politikaları için optimum kullanılmış olurlar. Daha spesifik olmak gerekirse, dinamik paylaşımlı dahi olsalar, mevcut IP adreslerini kullanıcılara birebir olarak eşlemek kullanıcı bazlı daha güçlü çözümler yaratmayı sağlayacaktır.

9. Entegrasyona yönelik açık platform güvenlik çözümleri kullanmak
Ağ güvenlik yöneticileri, korudukları ağ üzerinde kullanacakları yazılım uygulamaları ve ağ altyapısında kullancakları donanımları baş döndürücü bir devinim içinde gelişen bilişim teknolojileri pazarından seçmektedirler. Bu noktada dikkat edilmesi gereken husus, bütün ürünlerin birbirleri ile teknik olarak entegrasyon sorunu olamaksızın yüksek performans ile çalışması gerekliliğidir.

Alternatif olarak, seçeceğiniz çözümleri geniş yelpazede çalışan üretici tek bir firmadan temin edebilirsiniz. Bu sayede ürünlerin sistemleriniz üzerinde entegrasyon sorunu olmadan çalışacağından emin olabilirsiniz ama bu aşamada da tercih edebileceğiniz uygulama sayısında daralma yaşarsınız. Bütün güvenlik ihtiyaçlarınızı temin edebilecek spektrumda hizmet veren tek bir üretici firma bulmanız pek muhtemel değildir.

Ağ güvenliği için tercih edeceğiniz çözümler neler olurlarsa olsun, hepsinin seçiminde açık mimari platformu destekleyecek çözümler olmalarına dikkat edilmelidir. İyi tanımlanmış arayüzlere sahip açık bir mimari, genel güvenlik politikası çerçevesinde kullanılacak bütün ürünlerin birbirleri ile sorunsuz çalışmasını sağlayacaktır. Buna ek olarak size özel ağ güvenlik ihtiyaçları yaratmanız için uygulama programlama arayüzleri (API’ler) kullanılabilirsiniz.

10. Güvenli bir ağa sahip olmanın maliyet ve zahmetlerini azaltmak
Kurumsal ağınızın güvenliğini sağlamak için, seçtiğiniz çözümleri yönetecek ve denetleyecek kişilere önemli miktarda ücret ödemek durumundasınızdır. Bu yüzden bu kişilerin işlerini, entegre konsollar üzerinden merkezi olarak idare edebilecekleri çözümler tercih edilmelidir. Böylelikle büyük bir kurumsal ağ için dahi, tek bir kişi ağ güvenlik yöneticisi olarak ağ güvenliği denetimi yapabilir. Bundan başka güvenlik politikasında meydana gelecek çözümleri bütün uygulama noktalarına hemen aktarmak gerekir.

Büyük yapıdaki networkler segment adını verdiğimiz küçük parçalara bölünerek daha etkin bir hale getirilirler. Bu networkleri birbirine bağlamak için kullanılan aygıtlara Router denmektedir. Bu konuda pazar lideri ise Cisco Systems denebilir. Router’lar IP paketlerini bir networkten bir diğerine aktarırlar. Routing işlemi bir paketin bir networkteki bir aygıttan diğer bir networkteki bir aygıta gönderilmesidir. Router’lar uzak networklerin adreslerini oluşturdukları bir routing tablosunda tutarlar. Routing tablosu içindeki bilgiler manuel olarak ya da otomatik olarak tutulur. Networkteki makinaların adreslerin routing tablosunda otomatik olarak tutulması dynamic routing (dinamik yönlendirme) olarak adlandırılır. Bu işlem dynamic routing protokolü tarafından yapılmaktadır.
Örneğin aşağıdaki komut ile bilgisayarınızın route tablosuna bakabilirsiniz:
#route -n
IP Routing İşlemi Nasıl Yapılır ?
Bir bilgisayar farklı bir networkteki başka bir bilgisayara erişmek veya paket göndermek istediğinde ARP protokolü çalışarak hedefin IP adresini bulmaya çalışır. Ardından router aracılığıyla bir networkten diğer bir networke paket gönderilmesi sağlanmış olur.
Küçük networklerde router’lara her iki networkün (subnet) de adresleri konfigurasyon sırasinda bildirilmis ve route tablosuna eklenmiştir. Ancak bir iki ya da daha çok router ile çok sayıda network birbirine bağlandığı zaman routing işlemini düzenleyecek mekanizmalara gereksinim duyulur.
Static Routing :
Statik routing işleminde ise network mühendisi routing tablosundaki bilgileri manual olarak (el ile) girmekte ve route tablosunu kendisi oluşturmaktadır. Statik routing işleminin üstün yanları vardır. Herhangi bir ek router işlemcisine gerek kalmaz ve routerlar arasında bant genişliği kullanılmaz.
RIP Protokolu :
RIP’in açılımı Routing Information Protocol’dur. IP internetworklerinde routing bilgisini değiştirmek (aktarmak) için kullanılan bir protokoldür. Özellikle büyük networklerde routerlerin ne kadar paket route ettiğini saymak ve kontrol etmek için yapılandırılır. Ayrıca RIP protokolü; her 30 saniyede bir routing tablosunun bütün aktif arabirimlere gönderilmesini sağlamaktadır.

Traceroute Komutu :
Bu komut herhangi bir bilgisayarın route yolunu gösterir. Bir IP adresi ya da domain adı yazılarak, o adrese ulaşmada kat edilen yollar bulunmaktadır.