Illumio: Mikro Segmentasyon ile İhlal Kuşatma

Illumio, bir ihlalin kaçınılmaz olduğunu varsayarak tasarlanmış bir platformdur. Çözdüğü sorun şudur: kurumların güvenlik yatırımlarının büyük bölümü çevreye, yani dışarıdan içeriye geçişi engellemeye ayrılmıştır. Saldırgan bir kez içeri girdiğinde, tek bir kimlik avı veya yamalanmamış sunucu üzerinden, iç ağda çoğunlukla serbestçe dolaşabilir; çünkü veri merkezinde sunucular birbirine, uç noktalar sunuculara ve bulut iş yükleri birbirine geniş izinlerle bağlıdır. Fidye yazılımının bir makineden bütün ağa yayılması, bir saatlik olayın haftalarca süren bir krize dönüşmesi bu iç serbestliğin sonucudur.

Mikro segmentasyon bu serbestliği daraltır: her iş yükü yalnız işini yapmak için gerçekten ihtiyaç duyduğu sistemlerle konuşabilir, diğer bütün yollar kapalıdır. Bunu klasik yolla yapmak, yani ağı yeniden tasarlayıp yüzlerce güvenlik duvarı kuralı yazmak, çoğu kurumda yıllar süren ve tamamlanamayan bir projeye dönüşür. Illumio'nun yaklaşımı farklıdır: ağa dokunmaz, her sunucuda ve uç noktada zaten bulunan işletim sistemi güvenlik duvarını merkezî bir politika motorundan yönetir. Böylece segmentasyon, ağ topolojisinden bağımsız bir yazılım katmanında kurulur.

Sıra da önemlidir. Platform önce görünürlük sağlar: ortamdaki her bağlantı (hangi sunucu hangi porttan hangisine gidiyor) gerçek zamanlı olarak haritalanır ve ekip, uygulamaların gerçekte nasıl konuştuğunu çoğunlukla ilk kez görür. Politika bu haritadan üretilir ve önce yalnız izlenir; ihlal edecek trafik gösterilir ama engellenmez. Ekip politikadan emin olduğunda uygulama moduna geçilir. Politikalar IP adresine değil iş yükünün etiketine (üretim, veritabanı, ödeme uygulaması gibi) bağlandığı için ortam değiştiğinde yeniden yazılmaz. Illumio, Inc. 2013'te kurulmuş ve Kaliforniya'nın Sunnyvale kentinde yerleşiktir. Innoset, Illumio'nun Türkiye iş ortağı olarak lisanslama, kurulum, PoC ve teknik destek süreçlerini üstlenir.

Illumio tek bir politika motoru etrafında kurulur; aşağıdaki dört başlık platformun çalışma sırasını ve kapsamını anlatır. Görünürlük başlangıçtır, politika ikinci adımdır, kapsam katmanı bu ikisini sunucudan uç noktaya ve buluta taşır, Insights ise ortamda olan biteni tespit ve kuşatma tarafına bağlar. Kurum çoğunlukla yalnız görünürlükle başlar; bu aşama tek başına da değer üretir.

Mimari iki düzlemden oluşur. Kontrol düzlemi, politikanın yazıldığı, haritanın oluşturulduğu ve kararların verildiği yönetim katmanıdır. Veri düzlemi ise iş yüklerinin kendisidir: her sunucu ve uç noktadaki hafif ajan, gördüğü bağlantıları kontrol düzlemine raporlar ve aldığı politikayı işletim sisteminin kendi güvenlik duvarına yazar. Kritik nokta şudur: ajan trafiğin içinde durmaz, yalnız kural koyar; bu yüzden ajan bir sorun yaşasa bile veri akışı kesilmez ve bir satır içi cihazın getireceği gecikme oluşmaz. Bulut tarafında ajan kurulamayan yönetilen hizmetler için telemetri sağlayıcı arayüzlerinden okunur ve politika bulutun kendi denetim mekanizmalarına yazılır.

Devreye alma çoğunlukla üç aşamada yürür: önce görünürlük (ajanlar kurulur, harita oluşur, hiçbir şey engellenmez), sonra izleme modunda politika (hangi trafiğin engelleneceği raporlanır), en son uygulama. Bu sıra, segmentasyon projelerinin klasik riskini, yani yanlış bir kuralın üretimi durdurmasını azaltır. Entegrasyon tarafında etiketler kurumun yapılandırma yönetimi veritabanından veya bulut etiketlerinden alınabilir; bulgular ve olaylar güvenlik olay yönetimi platformlarına aktarılır; orkestrasyon araçlarıyla yalıtma adımı otomatikleştirilebilir. Segmentasyonun kapsamı envanterin eksiksizliğine bağlı olduğu için proje, runZero gibi bir varlık keşif katmanıyla birlikte kurgulandığında ajan kurulamayan cihazlar da görünür hâle gelir ve komşu iş yükleri üzerinden çevrelenir.

Türkiye'de karşılaşılabilen tablo şudur: kurumlar çevre güvenliğine, uç nokta korumasına ve güvenlik olay yönetimine yatırım yapmıştır; ancak veri merkezinin içinde sunucular birbirine büyük ölçüde açıktır. Ağ ekibi segmentasyonu yıllardır gündeminde tutar ama proje, yeniden adresleme ve yüzlerce kural yazma yükü nedeniyle ertelenir. Bir fidye yazılımı olayında bu durumun bedeli, tek bir makineden başlayan olayın bütün üretim ortamına yayılması olur. Bulut geçişiyle birlikte ikinci bir kopukluk eklenir: veri merkezinde ağ kuralları, bulutta ayrı güvenlik grupları vardır ve arada kimsenin bakmadığı bir boşluk kalır.

Illumio'nun bu tabloda iki ayırt edici tarafı vardır. Birincisi yöntemidir: ağ topolojisine dokunmadan, her iş yükünde zaten bulunan güvenlik duvarını merkezden yönetir; bu, segmentasyonu bir ağ projesi olmaktan çıkarır. İkincisi sırasıdır: önce harita, sonra izleme, en son uygulama; ekip neyin engelleneceğini görmeden hiçbir şey kapanmaz. ISO 27001 ağların ayrılması kontrolü ve 7545 sayılı Kanun kapsamındaki etki sınırlandırma yükümlülükleri için teknik kanıt sağlayabilir; uyum yükümlülüğü kurumda kalır. Innoset, Illumio'nun Türkiye iş ortağı olarak lisanslama, kurulum, PoC ve Türkçe teknik destek süreçlerini yürütür.