İçeriğe atla
Bilgi Merkezi/Makale
Makale

Ağ Güvenliği (Network Security) Nedir? Katmanlar ve Önlemler

Ağ güvenliği, ağı ve içinden geçen trafiği yetkisiz erişime ve kesintiye karşı korur. Firewall, IPS, segmentasyon, ZTNA, NAC ve DDoS korumasını anlattık.

Oğuzhan Gerçek··7 dk okuma
Ağ Güvenliği (Network Security) Nedir? Katmanlar ve Önlemler

Kısa cevap: Ağ güvenliği, bir kurumun ağını ve bu ağdan geçen trafiği yetkisiz erişime, kötüye kullanıma ve kesintiye karşı korumaktır. Siber güvenliğin bir alt alanıdır ve birbirini tamamlayan katmanlardan oluşur: trafiği kurala göre süzen firewall, ağı bölümlere ayıran segmentasyon, saldırıyı yakalayıp durduran IDS/IPS, uzaktan erişimi denetleyen VPN ve ZTNA, cihazı ağa almadan doğrulayan 802.1X ve NAC, DDoS koruması ve akış izleme. Zero trust yaklaşımında ağın içinde olmak tek başına güven sağlamaz; her erişim ayrıca doğrulanır.

Ağ güvenliği nedir?

Cisco'nun tanımıyla ağ güvenliği, sistemleri ve dijital varlıkları yetkisiz erişime, kötüye kullanıma ve kesintiye karşı koruyan politika ve teknolojilerin birleşimidir. Siber güvenliğin alt alanlarından biri: uç nokta, uygulama ve kimlik güvenliği cihazı, yazılımı ve kimliği korur; ağ güvenliği ise bunların arasında akan trafiğe bakar. CIS Controls v8.1'de ağ için iki ayrı kontrol var: 12. kontrol ağ altyapısı yönetimine, 13. kontrol ağ izleme ve savunmaya ayrılmış. Terimin kısa tanımı sözlüğümüzde var.

Firewall ve yeni nesil firewall (NGFW)

NIST SP 800-41 Rev. 1, firewall'u ağ trafiğinin akışını denetleyen cihaz ya da program olarak tanımlıyor. En basit türü olan paket filtresi IP adresine, porta ve protokole bakar; varsayılan engelleme ilkesini port yazımızda anlattık. Stateful inspection bunun üstüne bağlantıların durumunu izler. NIST'e göre bazı firewall'lar uygulama protokolünü de çözümler (derin paket incelemesi), bazıları IPS teknolojisi içerir. Aynı rehber, derinlemesine savunma için birden fazla firewall katmanı kullanmanın yaygın olduğunu belirtiyor.

Yeni nesil firewall (NGFW) bu gelişimin bugünkü adı. NIST SP 800-215'e göre NGFW'yi ayıran özellik uygulama verisinin farkında olması: trafiğe yalnızca OSI modelinin 3. ve 4. katmanında değil, 7. katmanda da bakar. Belge derin paket incelemesini, TLS şifresini çözüp içeriği incelemeyi ve IPS'i NGFW'nin yetenekleri arasında sayıyor; NGFW veri merkezinde cihaz, bulutta sanal makine ya da bulut hizmeti (FWaaS) olarak kurulabiliyor. TLS incelemesinin risklerini proxy yazımızda, web uygulamasına özel korumayı WAF yazımızda ele aldık.

Segmentasyon ve mikrosegmentasyon

Segmentasyon, ağı bölümlere ayırıp bölümler arasındaki trafiği kurala bağlamaktır. Kullanıcıları, sunucuları ve misafir ağını VLAN'larla ayırmanın yolunu LAN yazımızda anlattık.

Mikrosegmentasyon bu bölmeyi iş yükü ölçeğine indirir. SP 800-215'in tanımıyla iç ağ, örneğin bir veri merkezi ya da bulut bölgesi, her bölümün giriş ve çıkış trafiği izlenip denetlenebilecek biçimde yalıtılmış bölümlere ayrılır. NIST SP 800-207'ye göre her kaynak ya da birbiriyle ilişkili küçük bir kaynak grubu, akıllı bir switch, NGFW ya da özel bir gateway'in koruduğu ayrı bir bölüme konabilir. Böylece bir sunucuyu ele geçiren saldırgan, yanındaki sunuculara kural izin vermedikçe ulaşamaz.

IDS ve IPS

NIST SP 800-94 saldırı tespitini (intrusion detection), sistemde ya da ağda olan olayları izleyip olası olay belirtileri için analiz etme süreci olarak tanımlıyor. IPS (intrusion prevention system) bunun üstüne olayı durdurmaya da çalışır; örneğin saldırıda kullanılan bağlantıyı ya da oturumu sonlandırır. Belgeye göre engelleme tekniklerinin çoğu, sensörün trafiğin üzerinden geçtiği noktaya (inline) kurulmasını gerektirir; pasif sensör ise trafiğin bir kopyasını izler. NIST, engelleme yapılacaksa inline, yapılmayacaksa pasif kurulumu öneriyor.

NIST başlıca üç tespit yöntemi sayıyor: bilinen saldırı imzalarıyla karşılaştırma, normal davranıştan sapmayı yakalama (anomali) ve protokolün beklenen davranışına uyup uymadığını denetleme. NIST'e göre yanlış alarmların (false positive) ve gözden kaçan saldırıların (false negative) hepsini ortadan kaldırmak mümkün değil.

Uzaktan erişim: VPN ve ZTNA

VPN, SP 800-215'in ifadesiyle kurumun çevre (perimeter) güvenliğini herkese açık bir ağın üzerinden genişletir. Bu yüzden VPN sunucusu saldırganın da hedefinde. NSA ve CISA'nın ortak rehberine göre VPN sunucuları korunan ağın giriş noktalarıdır ve bu onları cazip hedef yapar. Rehber yamaların hızla uygulanmasını, MFA gibi güçlü kimlik doğrulamayı ve VPN dışı özellikler kapatılarak saldırı yüzeyinin küçültülmesini öneriyor. ENISA Threat Landscape 2026 da fidye yazılımı operatörlerinin VPN ve firewall cihazlarındaki açıkları istismar ettiğini kaydediyor.

ZTNA (Zero Trust Network Access) erişimi ağ yerine uygulama ölçeğinde verir. Cloudflare'in karşılaştırmasında VPN'e bağlanan kullanıcı bütün ağa ve oradaki kaynaklara erişebilir; ZTNA ise yalnızca istenen uygulamaya erişim verir ve geri kalan her şeyi varsayılan olarak reddeder. Ağ ve güvenlik işlevlerini bulut hizmeti olarak birleştiren SASE mimarisini SD-WAN yazımızda ele aldık.

Ağa erişim denetimi: 802.1X ve NAC

IEEE 802.1X standardı, LAN portlarının yalnızca kimliği doğrulanmış ve yetkilendirilmiş cihazlar arasında kullanılmasını sağlar. NAC (network access control) bunu bir politika katmanına taşır: Cisco'ya göre NAC ağa kimin ve neyin bağlandığını doğrular, cihazın güvenlik politikasına uyup uymadığını denetler, misafirleri kendi kendine kayıt portalıyla yönetir ve IoT cihazlarına türlerine göre ayrı erişim kuralları uygular. Bunu yaparken çoğunlukla 802.1X'e dayanır.

DDoS koruması

ENISA Threat Landscape 2026, 2025'te kayda geçen 8.257 olayın %51,3'ünü düşük etkili DDoS saldırıları olarak sınıflandırıyor. Cloudflare bu saldırıları üç gruba ayırıyor:

  • Hacimsel (volumetric): Hedef ile internet arasındaki bant genişliğini doldurarak tıkanıklık yaratır.
  • Protokol saldırıları: Protokol stack'inin 3. ve 4. katmanındaki zayıflıkları kullanır; sunucunun ya da firewall ve load balancer gibi ağ cihazlarının kaynaklarını tüketir.
  • Uygulama katmanı saldırıları: Web sayfalarının üretildiği katmanı istek yağmuruna tutar; tek bir HTTP isteğine cevap vermek sunucuya pahalıya gelebilir.

Cloudflare'e göre asıl güçlük saldırı trafiğini normal trafikten ayırmak; saydığı yöntemler arasında hız sınırlama (rate limiting), WAF ve trafiği anycast ağına dağıtmak var. Bağlantıyı dolduran bir saldırıyı kendi firewall'unuzda durduramazsınız, trafik size ulaşmadan karşılanmalı. Bu katmanı ağ koruması hizmetimizde ele alıyoruz.

İzleme: NetFlow, IPFIX ve SIEM

Ağda ne olup bittiğini görmenin temel yolu akış kaydıdır. IETF'in IPFIX standardı (RFC 7011, Eylül 2013) akışı, belirli bir zaman aralığında ağdaki bir gözlem noktasından geçen ve hedef IP adresi ya da hedef port gibi ortak özellikler taşıyan paketler kümesi olarak tanımlıyor. Akış kaydı, akışın kaynak IP adresi gibi tanımlayıcı ve toplam bayt sayısı gibi ölçülen özelliklerini tutar: kim kiminle, ne kadar konuştu. Cisco'nun NetFlow sürüm 9 biçimi de (RFC 3954, Ekim 2004) aynı işi görür.

Firewall, IPS, VPN ve NAC kayıtları akış verisiyle birlikte bir SIEM'e aktarıldığında, tek başına masum görünen olaylar birbirine bağlanabilir. Kayıt tarafını log yazımızda, korelasyonu ve SOC'u SIEM ve SOC yazımızda anlattık.

Zero trust: ağ konumu güven vermez

NIST SP 800-207 (Ağustos 2020), zero trust'ı savunmayı statik, ağ tabanlı çevrelerden kullanıcılara, varlıklara ve kaynaklara taşıyan siber güvenlik yaklaşımlarının genel adı olarak tanımlıyor. Belgenin ilkelerinden ikisi ağ güvenliğini doğrudan değiştiriyor: bütün iletişim ağ konumundan bağımsız olarak güvenceye alınır ve kaynaklara erişim oturum bazında verilir. Erişim kararını policy engine (politika motoru) verir, iletişim yolunu policy administrator açıp kapatır, bağlantıyı policy enforcement point (PEP) etkinleştirir, izler ve sonlandırır. Mikrosegmentasyonda bu PEP rolünü NGFW ya da gateway üstlenir.

NIST'in Haziran 2025 duyurusuna göre SP 1800-35, hazır ticari ürünlerle kurulmuş 19 örnek zero trust mimarisi sunuyor. Kavramın kısa tanımı sözlüğümüzde, ağ katmanını nasıl işlettiğimiz ağ güvenliği sayfamızda.

Sık sorulan sorular

Ağ güvenliği ne demek? Bir kurumun ağını ve ağdan geçen trafiği yetkisiz erişime, kötüye kullanıma ve kesintiye karşı korumak demek.

Ağ güvenliği ile siber güvenlik arasındaki fark nedir? Siber güvenlik cihazları, uygulamaları, kimlikleri ve veriyi de kapsayan geniş alandır. Ağ güvenliği onun bir parçasıdır ve ağdaki trafiğe odaklanır.

Firewall ile IPS arasındaki fark nedir? Firewall trafiğe adres, port ve protokol gibi kurallara göre izin verir ya da engeller. IPS ise trafiğin içinde saldırı belirtisi arar ve bulduğunda bağlantıyı kesebilir; yeni nesil firewall'lar ikisini tek cihazda birleştirir.

NGFW (yeni nesil firewall) nedir? Klasik firewall'un üstüne uygulamayı tanıma, derin paket incelemesi ve IPS gibi yetenekler ekleyen firewall'dur.

ZTNA, VPN'in yerini alır mı? İkisinin modeli farklı: VPN kullanıcıyı ağa bağlar, ZTNA ise yalnızca izin verilen uygulamaya erişim verir. Geçiş kararı, hangi kullanıcının hangi uygulamaya ihtiyaç duyduğunun bilinmesine bağlıdır.

Kaynaklar