NAC Ağ Erişim Kontrolü ve 802.1X

Ağ erişim kontrolü (NAC – Network Access Control), kurum ağına bağlanmak isteyen her kullanıcıyı ve cihazı bağlantı anında tanıyan, kimliğini doğrulayan, güvenlik durumunu kontrol eden ve buna göre hangi ağ kaynaklarına erişebileceğine karar veren güvenlik katmanıdır. Kısacası NAC, “ağ prizine takılan ya da Wi-Fi’a bağlanan herkes içeride sayılır” anlayışını bitirir. Racurity olarak NAC kurgusunu kurumunuzun ağ yapısına, cihaz çeşitliliğine ve çalışma biçimine göre tasarlıyor; uzman çözüm ortaklarımızın altyapısını tek muhatapla kurup işletiyoruz.

NAC kimler için gerekli?

Ağ erişim kontrolüne en çok ihtiyaç duyan kurumlar, ağına kontrol dışı cihazların kolayca bağlanabildiği yapılardır. Birden fazla katlı ya da şubeli ofisler, ziyaretçi trafiği yoğun plazalar, üretim tesisleri, klinikler, okullar, oteller ve depolar bu grubun başında gelir. Çalışanların kendi telefon ve dizüstü bilgisayarlarını kullandığı (BYOD) şirketler, taşeron ve danışmanların sık sık ağa bağlandığı projeler ve yazıcı, IP kamera, kart okuyucu, akıllı ekran gibi IoT cihaz sayısı artan işletmeler için de NAC artık bir lüks değil, temel kontrol noktasıdır.

KVKK kapsamında kişisel veri işleyen, ISO/IEC 27001 sertifikasyonuna hazırlanan ya da müşterilerinden güvenlik denetimi talepleri alan kurumlar da ağa kimin bağlandığını kanıtlayabilmek ister. NAC’ın ürettiği erişim kayıtları, bu süreçlerde teknik ve idari tedbirlerin somut bir göstergesi olarak kullanılabilir.

Kontrolsüz ağ erişiminin riskleri

Yetkisiz cihaz: Toplantı odasındaki boş bir ağ prizine takılan bir dizüstü bilgisayar, kontrol yoksa doğrudan sunucuların bulunduğu ağa ulaşabilir.
Güncel olmayan cihaz: Yaması yapılmamış, uç nokta koruması kapalı bir bilgisayar, zararlı yazılımın ağ içinde yayılması için kapı aralar.
Yatay hareket: Düz (segmentsiz) bir ağda tek bir ele geçirilmiş cihaz, saldırganın diğer tüm sistemlere ulaşmasını kolaylaştırır.
Görünmez IoT: Varsayılan şifreyle çalışan kamera ve yazıcılar, çoğu zaman envanterde bile yer almaz.
Paylaşılan Wi-Fi şifresi: Tek bir şifrenin herkesle paylaşılması, işten ayrılan kişinin de ağa erişmeye devam etmesi demektir.

Hizmet kapsamı

Cihaz keşfi ve tanıma (profiling)

İlk adım, ağda ne olduğunu görmektir. NAC; MAC adresi, DHCP parmak izi, üretici bilgisi ve trafik davranışı gibi sinyallerle cihazları tanır ve sınıflandırır: kurumsal dizüstü, kişisel telefon, yazıcı, IP telefon, kamera, üretim makinesi. Bu envanter, politika yazmanın temelidir ve çoğu kurum ilk kez ağında kaç cihaz olduğunu bu aşamada görür.

802.1X ile kimlik doğrulama

IEEE 802.1X, kablolu ve kablosuz ağda port tabanlı kimlik doğrulama standardıdır. Cihaz (supplicant), switch ya da kablosuz erişim noktası (authenticator) üzerinden bir RADIUS sunucusuna (authentication server) kimlik bilgisini iletir; doğrulama başarılı olmadan port veri trafiğine açılmaz. Kurumsal cihazlarda sertifika tabanlı EAP-TLS en güçlü seçenektir; kullanıcı adı ve parolaya dayalı PEAP gibi yöntemler geçiş döneminde kullanılabilir. 802.1X desteklemeyen yazıcı ve IoT cihazları için MAC kimlik doğrulama (MAB) sınırlı yetkili ayrı bir ağ segmentiyle birlikte uygulanır.

Misafir ağı ve ziyaretçi erişimi

Misafirler kurum ağından tamamen ayrılmış, yalnızca internete çıkabilen bir segmente alınır. Kayıt portalı, süreli erişim kodu ya da sponsor onayı gibi yöntemlerle kimin ne zaman bağlandığı kayıt altına alınır. Böylece paylaşılan tek bir şifreye gerek kalmaz.

BYOD ve kişisel cihazlar

Çalışanların kişisel cihazları, kurumsal cihazlarla aynı yetkiye sahip olmamalıdır. NAC, kişisel cihazı tanıyıp örneğin yalnızca e-posta ve iş uygulamalarına erişebilen bir ağa yönlendirir. Gerekirse mobil cihaz yönetimi (MDM) ile entegre çalışarak kayıtlı ve şifrelenmiş cihazlara daha geniş erişim tanır.

Uyumluluk (posture) kontrolü

Uyumluluk kontrolü, cihazın güvenlik durumunu bağlantı anında değerlendirir: işletim sistemi güncel mi, uç nokta koruması (EDR) çalışıyor mu, disk şifreli mi? Uyumsuz cihaz karantina segmentine alınır, yalnızca güncelleme sunucularına erişerek kendini düzeltir ve ardından normal ağa döner. Bu yapı, uç nokta güvenliği (EDR) ile birlikte çalıştığında çok daha anlamlı hale gelir.

Segmentasyon ve dinamik VLAN

NAC, kimlik ve cihaz tipine göre dinamik VLAN ataması ya da erişim listeleri (ACL) uygular. Muhasebe kullanıcısı finans sunucularına, misafir yalnızca internete, kamera yalnızca kayıt sunucusuna erişir. Segmentasyon, bir ihlalin etki alanını küçülten en etkili tedbirlerden biridir.

Zero Trust ağ erişimi

Zero Trust yaklaşımı “ağın içinde olmak güvenilir olmak demek değildir” ilkesine dayanır. Ofis içinde NAC ile, ofis dışında ise ZTNA (Zero Trust Network Access) çözümleriyle her bağlantı kimlik, cihaz durumu ve bağlama göre yeniden değerlendirilir. NAC kurgusunu kimlik ve erişim yönetimi (IAM) ve MFA politikalarıyla aynı mantıkta tasarlıyoruz.

Kablosuz ağda NAC: WPA3-Enterprise ve tek şifreye veda

Kablosuz ağlar, NAC’ın en hızlı fark yarattığı alandır. Kurumsal Wi-Fi’da WPA2/WPA3-Enterprise modu, kimlik doğrulamayı 802.1X altyapısına bağlar; her kullanıcı kendi kimliğiyle ya da cihaz sertifikasıyla bağlanır. Böylece çalışan işten ayrıldığında hesabının kapatılması, ağ erişimini de anında sona erdirir. Aynı fiziksel erişim noktası üzerinden çalışan, misafir ve IoT ağları farklı SSID’ler ya da dinamik VLAN’larla ayrılır. Wi-Fi 6/7 altyapısı kurulurken NAC politikasını baştan hesaba katmak, ileride yeniden yapılandırma maliyetini ortadan kaldırır.

NAC size hangi görünürlüğü kazandırır?

Doğru kurgulanmış bir NAC; hangi cihazın ne zaman, hangi porttan ya da erişim noktasından, hangi kullanıcıyla bağlandığını kayıt altına alır. Uyumsuzluk nedenleri, karantinaya alınan cihazlar ve reddedilen bağlantı denemeleri düzenli raporlarda görünür hale gelir.

Süreç: NAC projesini nasıl yürütüyoruz?

Keşif ve değerlendirme: Switch, kablosuz altyapı, kimlik dizini ve cihaz envanteri incelenir; 802.1X uyumluluğu belirlenir.
Politika tasarımı: Kullanıcı grupları, cihaz sınıfları ve segmentler için kim neye erişir matrisi hazırlanır.
İzleme modu: NAC önce yalnızca gözlem yapar; hiçbir bağlantı engellenmeden politikaların etkisi görülür.
Kademeli uygulama: Önce misafir ve IoT ağı, sonra pilot birim, ardından tüm kurum zorunlu moda alınır.
İşletme ve raporlama: İstisnalar, yeni cihaz tipleri ve uyumsuzluk kayıtları düzenli olarak raporlanır, politikalar güncellenir.

Neden Pedante ve Racurity?

NAC tek başına bir ürün değil, ağ altyapısı, kimlik yönetimi ve uç nokta güvenliğiyle iç içe bir mimaridir. Pedante Bilişim çatısı altında kurumsal ağ altyapısı, switch/router ve Wi-Fi 6/7 kurulumu, IAM ve EDR aynı ekipte ele alınır. Racurity, uzman çözüm ortaklarımızın altyapısını Racurity güvencesiyle sunar: ürün seçimi, kurulum, politika yönetimi ve destek için tek muhatabınız biziz. NAC olaylarını SIEM ve SOC izleme tarafına aktararak şüpheli bağlantı denemelerinin 7/24 izlenmesini de sağlayabiliyoruz.

Sık yapılan hatalar

Envanter çıkarmadan doğrudan engelleme moduna geçmek ve üretim cihazlarını kesintiye uğratmak.
Yalnızca MAC adresine güvenmek; MAC adresi kolayca taklit edilebilir.
Misafir ağını VLAN ile ayırıp güvenlik duvarında iç ağa erişimi açık bırakmak.
Yazıcı ve kamera gibi IoT cihazlarını istisna listesine atıp unutmak.
Sertifika yaşam döngüsünü planlamamak; süresi dolan sertifikalar toplu bağlantı sorunlarına yol açar.
RADIUS altyapısını tek sunucuya bağlamak ve yedekliliği düşünmemek.

İlgili hizmetler

NAC, daha geniş bir güvenlik programının parçası olduğunda en iyi sonucu verir. Siber güvenlik hizmetleri sayfamızda tüm katmanları, sızma testi sayfamızda ise segmentasyonunuzun gerçekten işe yarayıp yaramadığını nasıl doğruladığımızı bulabilirsiniz. Ağ erişim politikalarınızın günlük işletimini yönetilen BT hizmetleri kapsamında da üstlenebiliyoruz. NAC kavramına daha ayrıntılı girmek isterseniz NAC ve 802.1X rehberimizi okuyabilir, tüm bilişim hizmetlerimize siber güvenlik sayfamızdan göz atabilirsiniz. Mevcut ağınızı birlikte değerlendirmek için ücretsiz bir ilk görüşme planlayabilirsiniz.

Tüm bilişim hizmetlerimizi görmek için kurumsal BT çözümleri sayfamıza göz atabilirsiniz.

Sık sorulan sorular

NAC ile güvenlik duvarı (firewall) arasındaki fark nedir?

Güvenlik duvarı ağlar arasındaki trafiği kurallara göre denetler; NAC ise ağa bağlanma anında cihazın ve kullanıcının kim olduğuna, güvenlik durumuna bakarak hangi segmente alınacağına karar verir. İkisi birbirinin alternatifi değil, tamamlayıcısıdır.

Mevcut switch’lerimiz 802.1X desteklemiyorsa NAC kurulabilir mi?

Keşif aşamasında switch ve erişim noktalarınızın yeteneklerini inceliyoruz. Desteklemeyen cihazlarda MAC tabanlı kimlik doğrulama, SNMP veya ağ geçidi tabanlı yöntemler gibi alternatifler ya da aşamalı donanım yenileme planı öneriyoruz.

NAC kurulumu çalışanların işini aksatır mı?

Aksatmaması için önce izleme modunda başlıyoruz. Bu modda hiçbir bağlantı engellenmez, yalnızca politikaların sonuçları gözlemlenir. Zorunlu moda pilot birimlerden başlayarak kademeli geçiyoruz.

Yazıcı, kamera ve IoT cihazları nasıl yönetilir?

Bu cihazlar profil bilgileriyle tanınır, MAC kimlik doğrulama ile ağa alınır ve yalnızca ihtiyaç duydukları sunuculara erişebilen ayrı bir segmente yerleştirilir. Böylece ele geçirilseler bile etki alanları sınırlı kalır.

NAC, KVKK ve ISO 27001 süreçlerine katkı sağlar mı?

NAC; erişim kontrolü, ağ ayrımı ve kayıt tutma gibi tedbirleri teknik olarak hayata geçirir ve bunları raporlarla belgelemenizi kolaylaştırır. Uyum sürecinizin bütününü KVKK ve ISO 27001 danışmanlığımızla birlikte destekliyoruz.

NAC ile Zero Trust aynı şey mi?

Hayır. Zero Trust bir güvenlik yaklaşımıdır; NAC ise bu yaklaşımın ofis ağındaki uygulama araçlarından biridir. Uzaktan çalışanlar için ZTNA, kimlik tarafında MFA ve IAM ile birlikte bütünsel bir Zero Trust mimarisi oluşur.

İletişim

Merkez ofisimiz: Atatürk Mah., Sait Cordan Sk. No:10, 34758 Ataşehir / İstanbul. İstanbul’daki firmalarla yüz yüze, Türkiye genelindeki markalarla online toplantı ve planlı ziyaretlerle çalışıyoruz. 0551 044 08 69 numaralı WhatsApp hattımızdan yazabilir, toplantı planlayabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.