Ağ altyapılarında çoğunlukla kullandığımız switchler genellikle kutusundan çıkartıp hızlıca kurduğumuz için buradaki 5 maddelik sıkılaştırma adımlarını çoğu zaman yapmıyoruz veya es geçiyoruz, iç ve dış tehditlere karşı büyük güvenlik açıklarına sebep olduğumuz bu 5 adımı inceleyeceğiz ve pratik bir şekilde nasıl gidereceğimiz konusunda yapacağımız düzenlemeler şu şekilde olmalıdır;
1. VTY Hattını SSH Olarak Kullanmak / Zorlamak
Switch yönetimine uzaktan (SSH/Telnet) veya fiziksel konsoldan erişirken şifre korumasının olmaması ya da düz metin (plaintext) şeklinde tutulması ilk savunma hattının düşmesi demektir. Özellikle Telnet protokolü, paketleri şifresiz ilettiği için ağ içi dinlemelere karşı tamamen savunmasızdır.
Çözüm:
- Telnet yerine her zaman SSH tercih edilmelidir.
- Tüm şifrelerin
service password-encryptionkomutu ile şifrelendiğinden emin olunmalıdır.
Switch(config)# hostname SW-CORE-01
SW-CORE-01(config)# username yonetici privilege 15 secret GucluParola123!
SW-CORE-01(config)# ip domain-name sirketici.local
SW-CORE-01(config)# crypto key generate rsa general-keys modulus 2048
SW-CORE-01(config)# line vty 0 4
SW-CORE-01(config-line)# transport input ssh
SW-CORE-01(config-line)# login local
SW-CORE-01(config-line)# exit
SW-CORE-01(config)# service password-encryption
SW-CORE-01(config)# ip ssh version 22. Kullanılmayan Portları Aktif Bırakmamak ve Dead VLAN Atamak
- Ofis içerisinde boşta duran network prizlerine bağlı switch portlarının kapatılması, kötü niyetli kişilerin doğrudan kurumsal ağa fiziksel olarak sızmasına olanak tanır. Ayrıca bu portların varsayılan olarak native
VLAN 1üzerinde bırakılması büyük bir segmentasyon hatasıdır.
Çözüm:
- Boş portlar kapatılmalı, kullanılmayan portlar ayrılmış kara delik (Dead VLAN / Black Hole VLAN) bir VLAN’a taşınmalıdır.
SW-CORE-01(config)# interface range gigabitEthernet 0/15 - 24
SW-CORE-01(config-if-range)# switchport mode access
SW-CORE-01(config-if-range)# switchport access vlan 999
SW-CORE-01(config-if-range)# shutdown3. Port Security Özelliğini Yapılandırmamak
- Bir switch portundan aynı anda kaç farklı MAC adresinin haberleşebileceğinin sınırlandırılmaması, MAC flooding veya yetkisiz cihazların (örneğin yabancı bir laptop veya unauthorized switch) ağa dahil edilmesini kolaylaştırır.
Çözüm:
-
Port Security aktif edilerek porta bağlanabilecek maksimum MAC adresi sayısı belirlenmeli ve ihlal durumunda portun alacağı aksiyon (
restrictveyashutdown) seçilmelidir. -
Violation MODLARI:
- Shutdown: Portu tamamen kapatır (error-disable). Log tutar ve ihlal sayacını artırır.
- Restrict: Port açık kalır, sadece ihlal eden paketi engeller. Log tutar ve ihlal sayacını artırır.
- Protect: Port açık kalır, sadece ihlal eden paketi engeller. Log TUTMAZ ve ihlal sayacını
-
MAC Adres Girişleri:
- Static (Manuel): MAC adresini biz elle gireriz. (running-config’e yazılır, kalıcıdır).
- Dynamic: Switch bağlı cihazı otomatik öğrenir, RAM’de tutar. Kapanıp açılınca veya belirli bir süre (aging time) trafik gelmeyince silinir.
- Sticky: Switch bağlı cihazı otomatik öğrenir ve config dosyasına yazar. (copy run start ile kaydedilirse kalıcı olur).
SW-CORE-01(config)# interface gigabitEthernet 0/1
SW-CORE-01(config-if)# switchport mode access
SW-CORE-01(config-if)# switchport port-security
SW-CORE-01(config-if)# switchport port-security maximum 2
SW-CORE-01(config-if)# switchport port-security violation restrict
SW-CORE-01(config-if)# switchport port-security mac-address sticky4. BPDU Guard ve Root Guard Önlemlerini Almamak
Eğer ağınızda Spanning Tree Protocol (STP) yapılandırılmış ancak uç portlarda güvenlik önlemleri alınmamışsa, dışarıdan ağa bağlanan bir kullanıcının kendi switch’ini bağlayarak kök köprü (Root Bridge) olmaya çalışması mümkündür. Bu durum tüm trafiğin saldırganın cihazı üzerinden geçmesine (Man-in-the-Middle) yol açar.
Çözüm:
Son kullanıcıların bağlı olduğu access portlarda BPDU Guard aktif edilerek, o porttan BPDU paketi gelmesi durumunda portun koruma amaçlı kapanması sağlanmalıdır.
SW-CORE-01(config)# interface gigabitEthernet 0/1
SW-CORE-01(config-if)# spanning-tree bpduguard enable
! Veya tüm portlar için global bazda:
SW-CORE-01(config)# spanning-tree portfast default
SW-CORE-01(config)# spanning-tree portfast bpduguard default5. DTP (Dynamic Trunking Protocol) Özelliğini Kapatmamak
Cisco switch’ler varsayılan olarak DTP protokolünü kullanarak komşu cihazlarla otomatik olarak trunk bağlantısı kurmaya çalışır. Saldırganlar bu açığı kullanarak switch’i trunk moda geçmeye zorlayabilir ve tüm VLAN’lardaki trafiği dinleyebilir (VLAN Hopping).
Çözüm:
Uç cihazların bağlı olduğu portlarda DTP tamamen kapatılmalı ve portlar manuel olarak access moda zorlanmalıdır.
SW-CORE-01(config)# interface range gigabitEthernet 0/1 - 14
SW-CORE-01(config-if-range)# switchport mode access
SW-CORE-01(config-if-range)# switchport nonegotiateSonuç
Aslında alınması gereken daha çok güvenlik protokolümüz var ama bu yazımızda sadece bu 5 tanesine örnek vermek istedim sonraki yazımızda veya bu yazımızı “VLAN Hoping / DHCP Snooping / Dynamic ARP Inspection / Disable CDP “ gibi konuları da ele alırız veya “Switch” tarafında tüm güvenlik önlemlerini nasıl alacağımız ile ilgili bir yazı dizisi yazabiliriz.