Kurumsal WiFi Güvenliği: 802.1X, VLAN ve Erişim Kontrolü

Günümüzde kurumsal ortamlarda kablosuz ağ kullanımı artık bir tercih değil, zorunluluktur. Dizustu bilgisayarlar, tabletler, akıllı telefonlar ve IoT cihazları gibi onlarca farklı donanım aynı anda kablosuz ağa baglanmaktadir. Ancak bu yayginlik, beraberinde ciddi güvenlik risklerini de getirmektedir. Yetkisiz erişimlerin önlenmesi, ağ trafiğinin segmentasyonu ve kullanıcı bazlı kimlik doğrulama, kurumsal WiFi güvenliğinin temel taşlarını oluşturur.

Kurumsal WiFi Güvenliğinin Önemi

Kablosuz ağlar, kablolu ağların aksine fiziksel bir sinir tanimaz. Bina disindaki bir kişi bile yeterli sinyal gucuyle kurumsal ağa erismeye çalışabilir. Bu durum, kurumsal WiFi güvenliğini kablolu ağ güvenliğinden çok daha kritik bir konuma taşır.

Güvenli yapilandirilmamis bir kablosuz ağ, kurumsal verilerin sizmasina, yetkisiz kullanıcıların ağ kaynaklarina erisimesine ve yasal yükümlülüklerin ihlal edilmesine neden olabilir. Özellikle 5651 sayılı kanun kapsamında internet erişim loglarının tutulması zorunluluğu düşünüldüğünde, kimlik doğrulaması yapilmayan bir kablosuz ağ ciddi hukuki sorunlar yaratabilir.

WPA2/WPA3 Personal ve Enterprise Farki

Kablosuz ağ şifreleme standartlarinda iki temel mod bulunur: Personal ve Enterprise. Her ikisi de veriyi sifrelese de, kimlik doğrulama yaklaşımı temelden farklıdır.

Kurumsal ortamlarda Personal mod kullanmak ciddi güvenlik aciklarina yol açar. Ortak şifre paylasildikca kontrolden çıkar ve eski çalışanlar dahil herkes ağa erismeye devam edebilir. Enterprise mod ise her kullanıcının kendi kimlik bilgileriyle doğrulanmasını sağlayarak bu sorunu kokunden çözer.

802.1X ile Kimlik Doğrulama

802.1X, kablosuz ağa bağlanan her cihazın bir RADIUS sunucusu aracılığıyla kimlik dogrulamasindan gecmesini sağlayan standarttir. Kullanıcı, kablosuz ağa bağlanmak istediğinde kullanıcı adı ve şifresini girer; Access Point bu bilgileri RADIUS sunucusuna iletir. Doğrulama başarılı olursa kullanıcı ağa kabul edilir.

Bu süreçte EAP-PEAP veya EAP-TTLS gibi kimlik doğrulama protokolleri kullanılır. Sunucu tarafında bir sertifika bulunur ve tüm kimlik bilgileri şifrelenmiş bir tünel içerisinde iletilir. Bu sayede kullanıcı bilgileri ağ üzerinde açık şekilde iletilmez.

VLAN Segmentasyonu: Departman Bazlı Ağ Ayırma

Kurumsal WiFi güvenliğinin en etkili yontemlerinden biri VLAN segmentasyonudur. VLAN (Virtual Local Area Network), fiziksel olarak aynı ağ altyapısını kullanan cihazları mantiksal olarak birbirinden ayirir. Bu sayede farklı departmanlar veya kullanıcı grupları kendi ağ segmentlerinde izole edilir.

802.1X kimlik doğrulama ile birlikte kullanıldığında VLAN ataması dinamik hale gelir. RADIUS sunucusu, kullanıcının kimliğine veya grup uyeligine göre uygun VLAN'i otomatik olarak atar:

• Yönetim departmanı: VLAN 10 - tam ağ erişimi
• Muhasebe departmanı: VLAN 20 - finansal sistemlere erişim
• Teknik ekip: VLAN 30 - sunucu ve ağ cihazlarına erişim
• Misafir kullanıcılar: VLAN 50 - yalnızca internet erişimi

Bu yapılandırma sayesinde bir departmandaki güvenlik ihlali diğer departmanlari etkilemez. Ağ trafiği birbirinden izole edilir ve yatay yayilim (lateral movement) onlenir.

Misafir Ağı ve Personel Ağı Ayırımı

Kurumsal ortamlarda ziyaretcilere internet erişimi sağlanması sıklıkla gerekli olur. Ancak misafir kullanıcıların kurumsal ağ kaynaklarina erişimi kesinlikle engellenmeli, personel agindan tamamen ayrı bir yapılandırma kullanılmalıdır.

Bu ayirim için en etkili yöntem, misafir kullanıcıları ayrı bir SSID ve VLAN üzerinden yönlendirmektir. Misafir ağında Captive Portal ile kayıt işlemi yapilarak 5651 sayılı kanun kapsamindaki loglama yükümlülüğü de karsilanir. Personel ağı ise 802.1X Enterprise kimlik dogrulamasiyla korunur.

Active Directory Entegrasyonu

Çoğu kurumsal ortamda kullanıcı hesapları Active Directory (AD) üzerinde yönetilir. Kablosuz ağ kimlik dogrulamasini AD ile entegre etmek, çalışanların mevcut kurumsal hesaplariyla WiFi ağına bağlanmasını sağlar. Ayri bir kablosuz ağ hesabı olusturmaya gerek kalmaz.

Active Directory entegrasyonunun sağladığı avantajlar şunlardır:

• Merkezi hesap yönetimi: Kullanıcı istendan ayrildiginda AD hesabı devre dışı birakilir ve WiFi erişimi anında kapanir.
• Grup bazlı politikalar: AD grup uyeligine göre otomatik VLAN ataması yapılır.
• Şifre politikaları: Kurumsal şifre karmasikligi ve süresi politikaları kablosuz ağ için de geçerli olur.
• Tek oturum acma (SSO): Windows domainine katilmis cihazlar otomatik olarak WiFi dogrulamasini tamamlayabilir.

Kablosuz Ağ İzleme ve Loglama

Kurumsal WiFi güvenliğinde yapılandırma kadar sürekli izleme de büyük önem taşır. Hangi kullanıcının ne zaman, hangi Access Point üzerinden ağa baglandiginin kayıt altında tutulması hem güvenlik hem de yasal uyumluluk açısından zorunludur.

Etkili bir kablosuz ağ izleme sistemi şu bilgileri kayıt altına almalidir:

• Kullanıcı adı, MAC adresi ve IP adresi
• Bağlantı baslangic ve bitis zamanı
• Bağlantı yapılan Access Point ve SSID bilgisi
• Başarısız kimlik doğrulama girişimleri
• Kullanılan bant genişliği ve oturum süresi

Bu loglar syslog sunucusuna aktarilarak merkezi olarak saklanabilir. Anormallik tespiti için belirli eşik degerleri tanımlanabilir; örneğin aynı kullanıcı hesabiyla farklı lokasyonlardan es zamanlı bağlantı girisimi bir alarm oluşturabilir.

Siber Saldırı Riskleri ve Önlemler

Kablosuz ağlar, yapıları gereği çeşitli siber saldırı türleri için hedef olabilir. En yaygın tehditler ve alınması gereken önlemler şunlardır:

Evil Twin (Sahte Erişim Noktası) Saldırısı

Saldirgan, kurumsal ağa benzer bir SSID yayinlayarak kullanıcıları kendi cihazına baglanmaya yönlendirir. Onlem: 802.1X ile sunucu sertifikasi doğrulaması kullanılması ve Wireless Intrusion Detection System (WIDS) kurulması.

Deauthentication Saldırısı

Saldirgan, sahte deauthentication paketleri göndererek kullanıcıların bağlantısını koparir. Onlem: WPA3 desteği ile Protected Management Frames (PMF) etkinlestirilmesi.

Credential Harvesting (Kimlik Bilgisi Toplama)

Zayıf yapılandırılmış aglardan kullanıcı bilgileri ele gecirilmeye calisilir. Onlem: EAP-PEAP veya EAP-TTLS ile şifrelenmiş tünel üzerinden kimlik doğrulama yapılması.

Subgate Network ile Kurumsal WiFi Güvenliği

Subgate Network, kurumsal kablosuz ağ güvenliğini tek bir platformdan yönetmenizi sağlar. 802.1X Enterprise kimlik doğrulaması, dinamik VLAN ataması ve kapsamlı loglama yetenekleriyle kablosuz ağınızı uçtan uca koruma altına alır.

Platformun kurumsal WiFi güvenliği için sunduğu temel özellikler:

• 802.1X RADIUS desteği: EAP-PEAP ve EAP-TTLS ile güvenli kimlik doğrulama
• Active Directory entegrasyonu: Mevcut kullanıcı veritabaniyla sorunsuz çalışma
• Dinamik VLAN ataması: Kullanıcı ve grup bazlı otomatik ağ segmentasyonu
• Captive Portal: Misafir ağı için kayıt ve yetkilendirme sayfası
• Detaylı loglama: Tüm kablosuz ağ baglantilarinin merkezi kaydı
• Syslog entegrasyonu: Logların merkezi syslog sunucusuna aktarımı
• Raporlama: Kullanıcı bazlı bağlantı geçmişi ve ağ kullanım raporları

Tüm bu yapılandırmalar Subgate Network'un görsel yönetim paneli üzerinden kolayca gerçekleştirilebilir. Karmaşık komut satırı işlemleri gerektirmeden, kurumsal WiFi güvenliğinizi en üst duzeye tasiyabilirsiniz.