Güvenlik eğitimlerinin ilk slaytı genelde CIA üçgenidir; ikinci slayt AAA. Çoğu kişi ikisini ezberleyip geçer. Oysa sahada verilen hemen her güvenlik kararı, farkında olsak da olmasak da bu iki çerçeveden birine dayanır. Bu yazıda tanımlardan çok kararlara bakacağız.
CIA: neyi koruyoruz?
- Confidentiality (gizlilik): Veriyi yalnızca yetkili olanlar görebilir. Araçları şifreleme, erişim kontrolü ve segmentasyon.
- Integrity (bütünlük): Veri yolda ya da durduğu yerde fark edilmeden değiştirilemez. Araçları hash, imza ve değişiklik kaydı.
- Availability (erişilebilirlik): Hizmet, ihtiyaç duyulduğu anda çalışır. Araçları yedeklilik, kapasite ve DDoS koruması.
Tanımlar basit. Zor olan kısım, üçünün birbiriyle çatışması.
Çatışma 1: fail-open mı, fail-closed mı?
Hat üzerinde (inline) çalışan bir IPS çökerse trafik ne olmalı?
- Fail-closed: Trafik kesilir. Gizlilik ve bütünlük korunur, erişilebilirlik feda edilir.
- Fail-open: Trafik denetimsiz geçer. Erişilebilirlik korunur, denetim feda edilir.
Doğru cevap yok, iş kararı var. Bir hastanenin internet çıkışıyla bir bankanın ödeme altyapısı aynı cevabı vermez. Kıdemli mühendisin işi bu kararı teknik ekipte sessizce vermek değil, sahibine görünür kılmaktır.
Çatışma 2: kimlik doğrulama sunucusu düşerse
Switch’lere ve firewall’lara yönetici girişi RADIUS ya da TACACS+ ile yapılıyor. Sunucu erişilemez olursa ne olacak? Yerel bir yedek hesap yoksa, arıza anında cihaza kimse giremez. Bu, erişilebilirliği gizlilik adına sıfırlamak demektir. Yerel yedek hesap olmalı ama yalnızca sunucu erişilemediğinde çalışmalı ve kullanımı alarm üretmeli.
Burada kritik bir ayrım var: sunucuya ulaşılamaması ile sunucunun girişi reddetmesi aynı şey değildir. Sunucu cevap verip “parola yanlış” diyorsa, cihaz yerel hesaba geçmemeli; yoksa merkezi sistemin reddettiği biri yerel hesapla içeri girebilir. Yerel hesaba yalnızca sunucudan hiç cevap gelmediğinde düşülmeli. Bu davranışın platformunda nasıl çalıştığını varsayma, test et.
Çatışma 3: şifreleme ve görünürlük
Trafiği uçtan uca şifrelemek gizliliği artırır. Ama aynı şifreleme, IPS’in ve proxy’nin içeriği görmesini engeller. Yani gizlilik kazanırken tehdit görünürlüğü kaybedilir. TLS denetimi bu dengeyi kurmanın yollarından biri; kendi hukuki ve operasyonel yüküyle birlikte gelir.
AAA: kim, neyi, ne zaman yaptı?
- Authentication (kimlik doğrulama): Sen kimsin? Kullanıcı adı ve parola, sertifika, MFA.
- Authorization (yetkilendirme): Neyi yapmaya iznin var? Salt okuma mı, tam yetki mi, hangi komutlar?
- Accounting (kayıt): Ne yaptın? Hangi komutu, ne zaman, hangi cihazda?
Sahada en çok ihmal edilen A, üçüncüsüdür. Kimlik doğrulama kurulur, yetkilendirme biraz ayarlanır, accounting ise “sonra açarız” listesinde kalır. Bir yapılandırma hatası ağı düşürdüğünde ilk sorulan soru “kim, ne değiştirdi?” olur. Accounting yoksa cevap da yoktur.
Ağ cihazlarında AAA: RADIUS mı, TACACS+ mı?
İkisi de merkezi kimlik doğrulama sağlar. Fark, ayrıntıda:
| RADIUS | TACACS+ | |
|---|---|---|
| Klasik taşıma | UDP | TCP |
| Klasik koruma | Yalnızca parola gibi belirli hassas alanlar gizlenir | Gövde gizlenir, başlık açıktır; modern anlamda güçlü şifreleme değildir |
| Güvenli taşıma | RADIUS over TLS (RadSec) | TACACS+ over TLS 1.3 |
| AAA ayrımı | Kimlik doğrulama ve yetkilendirme birlikte | Üçü ayrı ayrı |
| Komut bazlı yetki | Sınırlı, uygulamaya bağlı | Güçlü |
| Tipik kullanım | Kullanıcı erişimi: 802.1X, VPN, Wi-Fi | Cihaz yönetimi |
Klasik haliyle iki protokolün de koruması zayıf. Bu yüzden AAA trafiği yönetim ağında taşınmalı ve platform destekliyorsa TLS’li sürümleri tercih edilmeli.
Bu yüzden yaygın desen şudur: kullanıcıların ağa girişi RADIUS, yöneticilerin cihazlara girişi TACACS+. Üreticiler arasında destek farklılık gösterir; seçim yaparken kullandığın cihazların ve AAA sunucusunun neyi desteklediğine bak.
Sahada sık görülen hatalar
- Ortak admin hesabı: Herkes
adminile giriyor. Accounting olsa bile kaydın anlamı yok, çünkü kimin yaptığı belli değil. - Yerel yedek hesap yok: AAA sunucusu düşünce cihazlar kilitleniyor.
- Yerel yedek hesap her zaman açık: Sunucu ayaktayken de yerel hesapla girilebiliyor. Merkezi denetimin anlamı kalmıyor.
- Yetkilendirme yok: Kimliği doğrulanan herkes tam yetkili. NOC ekibinin salt okuma yetkisi yeterliyken
configureyetkisi var. - Kayıtlar cihazda kalıyor: Accounting ve syslog cihazın kendi belleğinde. Cihaz yeniden başlayınca ya da saldırgan temizleyince iz kalmıyor. Kayıtlar merkezi bir sunucuya gitmeli.
Üretici yaklaşımları
- Huawei: Cihaz yönetimi için RADIUS’un yanında HWTACACS (Huawei’nin TACACS+ uyumlu uygulaması) desteklenir. Kimlik doğrulama şemasında merkezi sunucu ve yerel yöntem sırayla tanımlanır.
- Cisco: IOS ve IOS XE’de AAA yöntem listeleri sunucu grubunu ve yerel hesabı sırayla tanımlar. Cisco ISE hem RADIUS hem TACACS+ sunucusu olarak kullanılabilir.
- HPE Aruba Networking: ClearPass Policy Manager, RADIUS ile ağ erişimi ve TACACS+ ile cihaz yönetimi politikaları için merkezi sunucu olarak konumlanır.
- Fortinet: FortiGate yönetici hesapları RADIUS, TACACS+ ya da LDAP ile doğrulanabilir. FortiAuthenticator merkezi kimlik doğrulama sunucusu olarak kullanılır.
Dört platformda da asıl soru aynı: yerel hesaba hangi koşulda düşülüyor ve bu olay kaydediliyor mu?
Sonuç
CIA, neyi koruduğunu ve hangi durumda neyi feda edeceğini söyler. AAA ise kimin neye dokunduğunu kontrol eder ve kaydeder. İkisi de ezberlenecek kısaltmalar değil; bir tasarım toplantısında “bu karar neyi feda ediyor?” ve “bunu kim yaptı, nereden bileceğiz?” sorularını sorduran araçlardır.
Bir sonraki yazıda bu kararların en somut uygulandığı yere geçiyoruz: firewall politikaları.