13 Temel ağ ve internet güvenliği

Ağ güvenliği yalnızca firewall satın almak veya Wi‑Fi parolası belirlemek değildir. Güvenlik, hangi varlığı neden koruduğumuzu, ne tür tehditlerle karşılaşabileceğimizi ve hangi kontrollerin riski azaltacağını düşünme sürecidir. Güçlü bir firewall bulunan ağda varsayılan yönetici parolası kullanılıyorsa, cihazlar güncellenmiyorsa veya kullanıcı sahte giriş sayfasına parolasını yazıyorsa güvenlik yine zayıf olabilir.

Bu bölüm saldırı yapmayı değil, küçük ağlarda güvenli kullanım ve temel savunma düşüncesini öğretir. Varlık–tehdit–zafiyet–risk–kontrol ilişkisini, CIA üçlüsünü, firewall ve Wi‑Fi güvenliğini, MFA/passkey yaklaşımını, güncelleme, segmentasyon, fiziksel güvenlik, yedekleme, loglama ve sosyal mühendislik farkındalığını inceleyeceğiz.

Temel ağ güvenliği riskleri, saldırı örnekleri, koruma yöntemleri ve güvenli ev/ofis ağı.

13.1 Bu bölümün sonunda

varlık, tehdit, zafiyet, risk ve kontrol kavramlarını bir ağ örneğinde ayırt edebilecek,
gizlilik, bütünlük ve erişilebilirlik hedeflerini ağ senaryolarıyla açıklayabilecek,
iç ve dış tehditleri temel düzeyde sınıflandırabilecek,
firewall ile NAT’ın farklı görevlerini açıklayabilecek,
WPA2/WPA3 ve güvenli yönetim ayarlarını değerlendirebilecek,
güçlü parola, parola yöneticisi, MFA ve passkey yaklaşımlarını karşılaştırabilecek,
phishing/sosyal mühendislik belirtilerini tanıyabilecek,
güncelleme, yedek, log, segmentasyon ve fiziksel güvenliği katmanlı savunmanın parçası olarak değerlendirebilecek,
küçük bir ağ için temel güvenlik kontrol listesi hazırlayabileceksiniz.

13.2 Güvenlikte önce neyi koruyoruz?

Bir okul laboratuvarını düşünelim. Korunması gereken varlıklar arasında şunlar bulunabilir:

kullanıcı hesapları,
öğrenci/öğretim elemanı verileri,
ağ cihazlarının yapılandırmaları,
internet bağlantısı,
dosya sunucusu/NAS,
yazıcılar,
IP kameralar,
fiziksel rack ve kablolama,
hizmet sürekliliği.

Bir güvenlik önleminin anlamlı olabilmesi için hangi varlığı hangi riske karşı koruduğu anlaşılmalıdır.

13.3 Varlık, tehdit, zafiyet, risk ve kontrol

Bu beş kavramı ayıralım.

13.3.1 Varlık

Korunması değerli olan şeydir. Örneğin router yapılandırması.

13.3.2 Tehdit

Varlığa zarar verebilecek olay veya aktördür. Örneğin yetkisiz kişinin router yönetimine erişmeye çalışması.

13.3.3 Zafiyet

Tehdidin yararlanabileceği zayıflıktır. Örneğin varsayılan yönetici parolası.

13.3.4 Risk

Tehdidin zafiyetten yararlanması durumunda oluşabilecek zarar ile bunun olasılığının birlikte değerlendirilmesidir.

13.3.5 Kontrol

Riski azaltmak için uygulanan önlemdir. Örneğin varsayılan parolayı benzersiz güçlü parola ile değiştirmek ve yönetim erişimini yalnız güvenilir ağdan sağlamak.

13.3.6 Tek örnekte görelim

Kavram	Örnek
Varlık	Access point yönetim arayüzü
Tehdit	Yetkisiz yönetim erişimi
Zafiyet	Varsayılan parola
Risk	SSID/parola/ayarların değiştirilmesi, hizmet kesintisi
Kontrol	Güçlü benzersiz parola + sınırlı yönetim erişimi

Bu tablo güvenlikte “hangi ürün daha güvenli?” sorusundan önce hangi riski azaltıyoruz? sorusunu sormayı öğretir.

13.4 CIA üçlüsü

Bilgi güvenliğinin üç temel hedefi Confidentiality, Integrity, Availability kavramlarıdır. Türkçede gizlilik, bütünlük ve erişilebilirlik olarak kullanılır.

13.4.1 Gizlilik (Confidentiality)

Bilginin yalnız yetkili kişilerce okunabilmesini amaçlar.

Ağ örnekleri:

Wi‑Fi iletişiminin güçlü şifreleme kullanması,
yönetim paneline yalnız yetkili personelin erişmesi,
hassas dosyanın herkese açık paylaşıma açılmaması.

13.4.2 Bütünlük (Integrity)

Bilginin yetkisiz veya istenmeyen biçimde değiştirilmemesini; değişiklik olursa fark edilebilmesini amaçlar.

Örnekler:

router DNS ayarının yetkisiz değiştirilmemesi,
ağ cihazı yapılandırmasının kayıt altında olması,
indirilen güncellemenin güvenilir kaynaktan gelmesi.

13.4.3 Erişilebilirlik (Availability)

Yetkili kullanıcıların ihtiyaç duyduklarında hizmete ulaşabilmesini amaçlar.

Örnekler:

kritik switch’in UPS ile beslenmesi,
yapılandırma yedeğinin bulunması,
tek kablo arızasının bütün kurumu etkilememesi,
hizmet aksatma risklerine karşı kapasite/koruma planı.

Olay	En görünür hedef
Wi‑Fi parolasının dışarı sızması	Gizlilik
DNS ayarının yetkisiz değiştirilmesi	Bütünlük
Ana switch’in elektriksiz kalması	Erişilebilirlik

Gerçek olaylar aynı anda birden fazla hedefi etkileyebilir.

13.5 Tehdit kaynağı içeriden de gelebilir

Güvenlik yalnız “dışarıdaki saldırgan” konusu değildir.

13.5.1 İç tehdit

Kurum içindeki kullanıcı, personel veya yetkili hesabın bilerek ya da yanlışlıkla zarar oluşturmasıdır.

Örnekler:

yanlış switch portunu sökmek,
hassas dosyayı yanlış kişiye göndermek,
yönetici hesabını başka biriyle paylaşmak,
yetkisini kötüye kullanarak kayıt değiştirmek.

13.5.2 Dış tehdit

Kurum dışından gelen kötü niyetli veya rastgele tehditlerdir.

Örnekler:

kimlik avı e-postası,
internete açık yönetim paneline parola denemeleri,
kötü amaçlı yazılım,
hizmet aksatma girişimi.

Bu ayrım, içerideki herkesin otomatik olarak güvenilir kabul edilmemesi gerektiğini gösterir.

13.6 Zararlı yazılımları tanıma düzeyinde ayıralım

Bu ders zararlı yazılım analizi dersi değildir; ancak temel terimleri tanımak yararlıdır.

Virüs: Başka dosya/uygulamalara eklenerek yayılabilen zararlı yazılım türü.
Worm (solucan): Ağlar ve sistemler arasında kendi kendine yayılabilen zararlı yazılım türü.
Trojan: Yararlı/meşru görünerek kullanıcıyı çalıştırmaya ikna eden zararlı yazılım yaklaşımı.
Ransomware: Dosya veya sistem erişimini engelleyerek fidye talep eden kötü amaçlı yazılım.
Spyware: Kullanıcı/sistem hakkında izinsiz bilgi toplamayı amaçlayan yazılım.

Bu türlerin sınırları gerçek kötü amaçlı yazılımlarda iç içe geçebilir. Savunma açısından ortak ilkeler güncelleme, güvenli indirme, en az ayrıcalık, yedek, uç nokta koruması ve kullanıcı farkındalığıdır.

13.7 Sosyal mühendislik

Sosyal mühendislik, teknik açığı doğrudan kullanmak yerine insanı kandırarak bilgi veya işlem elde etmeye çalışır.

Örnek mesaj:

“Bilgi İşlem’den yazıyorum. Hesabınız 15 dakika içinde kapanacak. Aşağıdaki bağlantıya girip parolanızı ve telefonunuza gelen doğrulama kodunu yazın.”

Bu mesajda birçok uyarı işareti vardır:

aşırı aciliyet,
korku oluşturma,
kimlik bilgisini doğrulamadan parola isteme,
MFA kodu talep etme,
bilinmeyen bağlantıya yönlendirme.

13.7.1 Güvenli tepki

Gelen bağlantıya tıklamak yerine:

Kurumun bilinen resmi adresini kendiniz açın.
Göndereni bağımsız kanaldan doğrulayın.
Parola veya tek kullanımlık doğrulama kodunu paylaşmayın.
Şüpheli mesajı kurum prosedürüne göre bildirin.

MFA kodu parola kadar hassastır

Bir kişi sizi arayıp “telefonunuza gelen altı haneli kodu söyleyin” diyorsa bu kodu paylaşmak MFA korumasını fiilen aşmasına yardım edebilir. Destek personeli olduğunu iddia etmesi bunu güvenli yapmaz.

13.8 Phishing belirtileri

Kimlik avı mesajlarında şunlar görülebilir:

görünen ad ile gerçek e-posta adresinin uyuşmaması,
alan adında küçük yazım farkı,
beklenmeyen ek veya bağlantı,
olağan dışı ödeme talebi,
“hemen şimdi” baskısı,
parola/MFA kodu isteme,
normal süreç dışında dosya paylaşımı.

Tek bir belirti mesajın kesin zararlı olduğunu kanıtlamaz; fakat doğrulama ihtiyacını artırır.

13.9 Güçlü parola ve parola yöneticisi

İyi parola yaklaşımında:

her önemli hesap için benzersiz parola,
yeterli uzunluk,
tahmin edilmesi zor yapı,
mümkünse parola yöneticisi

kullanılır.

Aynı güçlü parolayı 20 farklı cihazda kullanmak iyi değildir. Bir cihazdan sızan parola bütün cihazları etkileyebilir.

Parola yöneticisi uzun ve benzersiz parolaları saklamayı kolaylaştırır; kullanıcı tek bir güçlü ana parola ve uygun ek güvenlik yöntemleriyle kasayı korur.

13.10 MFA

Multi-Factor Authentication (MFA), farklı faktör kategorilerinden birden fazlasını kullanır.

Bildiğiniz: parola, PIN.
Sahip olduğunuz: güvenlik anahtarı, kayıtlı cihaz.
Olduğunuz: biyometrik özellik.

Parola + ikinci parola iki ayrı faktör değildir; ikisi de “bildiğiniz bir şey” kategorisindedir.

13.10.1 SMS kodu ve güvenlik anahtarı aynı güçte mi?

MFA yöntemlerinin güvenlik özellikleri aynı değildir. SMS kodları yalnız parolaya göre ek koruma sağlar ancak numara taşıma/sosyal mühendislik gibi risklere açıktır. FIDO2/WebAuthn tabanlı güvenlik anahtarları veya uygun passkey kullanımı kimlik avına karşı daha güçlü özellikler sunabilir.

Bu bölümde kriptografik ayrıntıya girmiyoruz; önemli olan “MFA var/yok” dışında hangi MFA yönteminin kullanıldığına da bakmaktır.

13.11 Passkey

Passkey, modern kimlik doğrulamada public-key kriptografisi kullanan ve kullanıcı deneyimini parola bağımlılığından azaltabilen yaklaşımdır. Kullanıcı cihazında biyometri/PIN ile passkey’i açabilir; uzak hizmete parola gönderilmez.

Passkey her sistemde mevcut olmayabilir. Desteklendiği durumlarda phishing’e dayanıklılık açısından önemli avantaj sağlayabilir.

13.12 Firewall ne yapar?

Firewall, ağ trafiğini tanımlanmış güvenlik politikasına göre izin/engelleme kararlarıyla denetler.

Basit politika örneği:

Personel ağı → web erişimi: izin
İnternet → router yönetim paneli: engelle
Misafir ağı → personel dosya sunucusu: engelle

Gerçek firewall’lar kaynak/hedef IP, protokol, port, bağlantı durumu ve uygulama bilgisi gibi çok sayıda ölçüt kullanabilir.

13.12.1 Stateful firewall

Birçok modern firewall, bağlantının durumunu takip eder. İçeriden başlatılan meşru bağlantının dönüş trafiğine izin verirken dışarıdan beklenmedik yeni bağlantıları ayrı değerlendirebilir.

13.13 NAT ile firewall farkı

bölümde NAT’ın adres/port dönüşümü yaptığını gördük. Firewall ise güvenlik politikası uygular.

NAT      → adres/port dönüşümü
Firewall → izin/engelleme güvenlik kararı

Aynı router iki işlevi birlikte yaptığı için karıştırılmaları yaygındır.

“NAT var, firewall’a gerek yok” doğru değildir

NAT’ın bağlantı görünürlüğüne bazı yan etkileri olabilir; ancak güvenlik politikası ile adres dönüşümü aynı mekanizma değildir.

13.14 Güvenli Wi‑Fi

Küçük kablosuz ağda temel kontroller:

WPA3 veya uygun biçimde WPA2 kullanmak,
uzun ve tahmin edilmesi zor Wi‑Fi parolası,
router/AP yönetici parolasını varsayılan bırakmamak,
gereksiz uzaktan yönetimi kapatmak,
güncel firmware,
misafir ağıyla iç kaynakları gerektiğinde ayırmak,
eski/zayıf güvenlik yöntemlerini kapatmak.

13.14.1 SSID gizlemek neden yeterli değil?

SSID yayınının kapatılması güçlü şifreleme sağlamaz. Ağ iletişimi başka çerçevelerden yine fark edilebilir. Bu nedenle SSID gizleme, WPA2/WPA3 yerine geçmez.

13.14.2 MAC filtreleme neden güçlü kimlik doğrulama değildir?

MAC adresleri gözlemlenebilir ve değiştirilebilir/spoof edilebilir. Bu nedenle yalnız MAC allowlist kullanmak güçlü kimlik doğrulama olarak kabul edilmemelidir.

13.15 Güncelleme ve yaşam döngüsü

Router, switch, AP, kamera ve istemci sistemler zaman içinde güvenlik açıkları için güncelleme alır. Destek süresi bitmiş cihaz yeni açıklar için yama alamayabilir.

Envanterde şu bilgilerin tutulması yararlıdır:

marka/model,
firmware sürümü,
destek/EOL durumu,
son güncelleme tarihi,
yönetim sorumlusu.

Güncelleme “çıktığı anda rastgele yükle” anlamına gelmez. Kritik ağlarda değişiklik planı, yedek ve geri dönüş yolu da düşünülmelidir.

13.16 Segmentasyon

Her cihazın her başka cihazla konuşmasına ihtiyaç olmayabilir.

Örnek güvenlik bölgeleri:

Personel bilgisayarları
Misafir cihazları
IP kameralar / IoT
Sunucular
Yönetim ağı

Misafir telefonun kurum yazıcısına veya kamera yönetim arayüzüne erişmesine gerek yoksa bu iletişim politika ile sınırlandırılabilir.

Segmentasyon VLAN, subnet ve firewall politikalarıyla uygulanabilir. Bu kitapta cihaz komutlarıyla VLAN kurmayacağız; neden ayrım gerektiğini anlamak yeterlidir.

13.16.1 Mini örnek

Küçük ofiste:

Personel: 192.168.10.0/24
Misafir:  192.168.20.0/24
Kamera:   192.168.30.0/24

olsun. Firewall politikası misafir ağının internete çıkmasına izin verirken personel dosya sunucusuna erişimini engelleyebilir. Kamera ağı yalnız kayıt sunucusu ve gerekli yönetim sistemleriyle konuşacak biçimde sınırlandırılabilir.

Bu adresler yalnız öğretici örnektir; gerçek kurum planı farklı olabilir.

13.17 En az ayrıcalık

Least privilege (en az ayrıcalık) ilkesi, kullanıcı veya sistemin işi için gerekli en düşük yetkiye sahip olmasını amaçlar.

Örnekler:

günlük web kullanımı için sürekli yönetici hesabı kullanmamak,
AP yönetimini bütün öğrenci ağına açmamak,
kamera hesabına router yönetim yetkisi vermemek,
teknik personelin yalnız sorumlu olduğu sistemlere erişebilmesi.

Bir hesabın ele geçirilmesi durumunda fazla yetki saldırının etkisini büyütür.

13.18 Fiziksel güvenlik

Ağ cihazına fiziksel erişim de güvenlik konusudur.

Risk örnekleri:

koridorda açık rack,
herkesin erişebildiği reset düğmesi,
etiketlenmemiş kabloların kolayca sökülebilmesi,
kilitsiz sunucu odası,
açık konsol portu,
masa üstünde bırakılmış ağ cihazı yedek parolası.

Fiziksel güvenlik, siber güvenlikten ayrı düşünülmemelidir.

13.19 Yedekleme

Router veya yönetilebilir switch yapılandırması yanlış değişiklikte kaybolabilir. Yapılandırma yedeği:

cihaz arızasında,
hatalı değişiklikte,
fabrika ayarına dönüş sonrasında,
cihaz değişiminde

iş sürekliliğini kolaylaştırır.

Yedeğin kendisi de hassas olabilir; içinde parola hash’leri, IP planı veya başka yapılandırma bilgileri bulunabilir. Uygun erişim kontrolüyle saklanmalıdır.

13.20 Log ve değişiklik kaydı

Bir sorun yaşandığında “kim ne zaman ne değiştirdi?” sorusuna cevap verebilmek önemlidir.

Temel kayıtlar:

yönetim girişleri,
yapılandırma değişiklikleri,
cihaz yeniden başlatmaları,
bağlantı/authentication olayları,
firewall olayları,
DHCP/DNS gibi hizmet logları

olabilir.

Loglama tek başına saldırıyı engellemez; olayın görülmesini ve araştırılmasını kolaylaştırır. Gereksiz tüm veriyi sonsuza kadar toplamak da doğru değildir; gizlilik, kapasite ve kurum politikası değerlendirilir.

13.21 Katmanlı savunma

Tek bir güvenlik kontrolünün bozulabileceğini varsayarak birden fazla kontrol birlikte kullanılır. Buna defense in depth (katmanlı savunma) denir.

Küçük ofis örneği:

Kullanıcı farkındalığı
        +
MFA / güçlü kimlik
        +
Güncel uç cihaz
        +
WPA2/WPA3
        +
Segmentasyon
        +
Firewall
        +
Log / yedek / fiziksel güvenlik

Bir kontrol tek başına bütün riskleri çözmez; birlikte etkileri artar.

13.22 Güvenlik olayını nasıl düşünürüz?

13.22.1 Vaka: AP ayarları değiştirilmiş

Bulgular:

AP yönetici parolası varsayılanmış.
Yönetim paneli bütün öğrenci WLAN’ından erişilebiliyormuş.
Log tutulmuyormuş.

Düzeltme yalnız “parolayı değiştir” değildir:

benzersiz güçlü yönetim parolası,
yönetim erişimini güvenilir yönetim ağıyla sınırlama,
mümkünse MFA/merkezi kimlik,
yönetim loglarını etkinleştirme,
firmware güncelliğini kontrol etme,
yapılandırma yedeği alma.

Bu yaklaşım birden fazla zafiyeti ve görünürlük eksikliğini birlikte azaltır.

13.23 Küçük ağ güvenlik kontrol listesi

Router/AP/switch yönetici parolaları varsayılan mı?
Aynı yönetici parolası birden fazla cihazda tekrar kullanılıyor mu?
WPA2/WPA3 etkin mi?
Eski kablosuz güvenlik seçenekleri gereksiz yere açık mı?
Firmware güncel ve destek süresi devam ediyor mu?
İnternetten uzaktan yönetim gerçekten gerekli mi?
Misafir ve IoT cihazlarının iç kaynak erişimi sınırlandırılmış mı?
Kritik kullanıcı hesaplarında uygun MFA/passkey kullanılıyor mu?
Ağ cihazı yapılandırmalarının yedeği var mı?
Kritik değişiklikler kaydediliyor mu?
Rack ve ağ cihazlarına fiziksel erişim kontrollü mü?
Kullanıcılar phishing ve MFA kodu paylaşma riskini biliyor mu?

Bu liste profesyonel güvenlik denetiminin yerine geçmez; temel hijyen için başlangıç sağlar.

Güvenlik testi açık yetki gerektirir

Paket yakalama, port tarama, parola testi veya başka güvenlik değerlendirmeleri yalnızca açıkça yetki verilen sistem ve kapsamda yapılmalıdır. “Aynı Wi‑Fi’dayım” veya “teknik olarak yapabiliyorum” yetki anlamına gelmez.

13.24 Kendinizi kontrol edin

Varlık, tehdit, zafiyet, risk ve kontrol kavramlarını bir router örneğinde açıklayın.
CIA üçlüsünün her hedefi için bir ağ olayı örneği verin.
İç tehdit neden yalnız kötü niyetli çalışan demek değildir?
Virüs, worm ve trojan arasındaki temel farkı tanıma düzeyinde açıklayın.
Bir phishing mesajında arayacağınız beş uyarı işaretini yazın.
Parola + PIN neden iki farklı MFA faktörü sayılmayabilir?
Passkey/güvenlik anahtarı gibi yöntemler phishing’e karşı neden avantaj sağlayabilir?
NAT ile firewall arasındaki farkı açıklayın.
SSID gizleme ve MAC filtreleme neden güçlü Wi‑Fi güvenliği yerine geçmez?
Destek süresi bitmiş bir router neden güvenlik riskidir?
Misafir, personel ve kamera ağlarını ayırmanın temel güvenlik yararı nedir?
En az ayrıcalık ilkesini AP yönetim erişimi üzerinden açıklayın.
Yapılandırma yedeği ve loglama hangi iki farklı soruna yardımcı olur?
Katmanlı savunma neden tek bir güvenlik ürününden daha güçlüdür?

13.25 Bölüm özeti

Ağ güvenliği varlıkları tehdit ve zafiyetlere karşı uygun kontrollerle korumayı amaçlar. Gizlilik, bütünlük ve erişilebilirlik temel güvenlik hedefleridir. Tehditler dışarıdan gelebileceği gibi kurum içindeki yanlışlık veya yetki suistimalinden de kaynaklanabilir. Sosyal mühendislik ve phishing teknik kontrolleri aşmak için insan davranışını hedefler; bağımsız doğrulama ve MFA kodlarını paylaşmama önemlidir. Firewall güvenlik politikasına göre trafik kararı verirken NAT adres/port dönüşümü yapar; aynı kavram değildir. Wi‑Fi güvenliğinde WPA2/WPA3, benzersiz yönetici kimlik bilgileri ve güncel firmware temel kontrollerdir. Segmentasyon gereksiz iletişim yollarını azaltır; en az ayrıcalık ele geçirilen hesabın etkisini sınırlar. Fiziksel güvenlik, yapılandırma yedekleri, loglama ve değişiklik kayıtları da ağ savunmasının parçasıdır. Tek bir kontrol bütün riskleri çözmediği için katmanlı savunma yaklaşımı kullanılır. Güvenlik testleri yalnız açık yetki ve tanımlı kapsam içinde yapılmalıdır.

13.26 Kısa sözlük

Terim	Kısa anlam
Varlık	Korunması değerli bilgi, sistem veya hizmet
Tehdit	Varlığa zarar verebilecek olay veya aktör
Zafiyet	Tehdidin yararlanabileceği zayıflık
Risk	Tehdit, zafiyet, olasılık ve etkinin birlikte değerlendirilmesi
Kontrol	Riski azaltmak için kullanılan önlem
Gizlilik	Bilginin yalnız yetkili kişilerce okunabilmesi
Bütünlük	Bilginin yetkisiz değişikliğe karşı korunması
Erişilebilirlik	Yetkili kullanıcıların hizmete gerektiğinde ulaşabilmesi
MFA	Farklı kimlik doğrulama faktörlerini birleştiren yöntem
Passkey	Public-key tabanlı modern kullanıcı kimlik doğrulama yaklaşımı
Segmentasyon	Ağı farklı iletişim/güvenlik bölgelerine ayırma
En az ayrıcalık	Yalnız iş için gerekli minimum yetkiyi verme ilkesi
Katmanlı savunma	Birden fazla güvenlik kontrolünü birlikte kullanma yaklaşımı