Ağa izinsiz bağlanan cihazları bulmak, bağlı oldukları switch portunu göstermek ve gerektiğinde portu kapatmak için OpUtils Rogue Detection ile uygulanabilir bir yöntem.
Toplantı odasındaki boş bir duvar prizine takılan kişisel bir dizüstü, masaya bırakılan küçük bir kablosuz erişim noktası ya da ev yönlendiricisi gibi davranıp IP dağıtmaya başlayan bir cihaz, çoğu ağda günlerce fark edilmez. Yetkisiz cihaz tespiti yapılmayan ağda envanter kâğıt üzerinde doğru görünür, ama sahada kimin bağlı olduğu bilinmez. Bu yazıda OpUtils nedir ve hangi araçları içerir sorusunun ötesine geçip ürünün tek bir yeteneğine odaklanıyoruz: ManageEngine OpUtils ile ağa izinsiz bağlanan (rogue) cihazların tespiti, switch port eşleme, MAC/IP beyaz liste ve portu kapatarak engelleme.
Kısaca: Yetkisiz cihaz tespiti, ağı düzenli tarayıp bulunan her cihazı onaylı envanterle karşılaştırmaktır. OpUtils cihazları güvenilir, misafir ve yetkisiz olarak sınıflandırır, yeni bir yetkisiz cihazda e-posta uyarısı gönderir, cihazın bağlı olduğu switch portunu gösterir ve SNMP üzerinden portu kapatarak cihazı ağdan ayırır.
Ağa İzinsiz Bağlanan Cihaz Neden Risk Oluşturur?
Yetkisiz cihaz tespiti kapsamındaki rogue cihaz, BT ekibinin bilgisi ve onayı dışında kurum ağına bağlanan her donanımdır. Kötü niyet şart değildir; çoğu zaman bir çalışanın kendi cihazı, bir tedarikçinin test bilgisayarı ya da bir birimin kendi kurduğu kablosuz erişim noktasıdır. Sorun, bu cihazların yama, uç nokta koruması ve erişim politikası kapsamı dışında kalmasıdır.
Sahada en sık karşılaşılan yetkisiz cihaz türleri şunlardır:
- Kurum envanterinde olmayan kişisel dizüstü ve masaüstü bilgisayarlar
- Kablolu porta takılan izinsiz kablosuz erişim noktaları
- Kurumun DHCP sunucusuyla yarışan, yanlış ağ geçidi dağıtan rogue DHCP sunucuları
- Kamera, yazıcı, akıllı TV gibi tak-çalıştır IoT cihazları
- Saldırganın ağ içinde bıraktığı küçük boyutlu dinleme ya da sızma cihazları
CIS Controls v8'in ilk kontrolü bu nedenle varlık envanteridir: Safeguard 1.1 ayrıntılı bir varlık envanteri tutmayı, Safeguard 1.2 yetkisiz varlıkların ele alınmasını ister. Bilinmeyen cihaz korunamaz; yetkisiz cihaz tespiti bu kontrolün sahadaki karşılığıdır.
Yetkisiz Cihaz Tespiti: OpUtils Ağı Nasıl Tarar?
OpUtils'in Rogue Detection aracı, yönlendiricileri, alt ağları, switch'leri ve ağ geçidi sunucularını periyodik olarak tarar. Üretici dokümantasyonuna göre yönlendirici, switch ve ağ geçitleri ayarlardaki keşif bölümünden eklenir ve tarama zamanlanır. Tarama, yapılandırılan alt ağlar ve IP aralıklarının yanı sıra Active Directory ve ARP tablolarından da beslenir.
Bulunan her cihaz önce "Keşfedilen" (Discovered) listesine düşer ve yöneticinin incelemesini bekler. Yönetici cihazı üç kategoriden birine taşır:
| Kategori | Anlamı | Tipik eylem |
|---|---|---|
| Güvenilir (Trusted) | Onaylı kurum cihazı | Beyaz listede kalır, uyarı üretmez |
| Misafir (Guest) | Belirli bir tarihe kadar geçici erişim | Süre dolunca uyarı gelir |
| Yetkisiz (Rogue) | Bilinmeyen veya izinsiz cihaz | Port tespiti, gerekirse engelleme |
Kablosuz istemciler de kapsam dışında kalmaz. Üreticiye göre kablosuz cihazlar, IP katmanında ağla etkileşime geçtikleri anda ARP tabanlı keşif ve DHCP izleme ile görünür olur. OpUtils ayrıca ağdaki DHCP sunucularını keşfedip yetkili altyapıyla karşılaştırarak rogue DHCP sunucularını da işaretler.
Switch Port Eşleme: Hangi Cihaz Hangi Porta Bağlı?
Yetkisiz bir cihazın IP ve MAC adresini bilmek yetmez; ekibin cihazın fiziksel olarak nerede olduğunu da bilmesi gerekir. OpUtils'in Switch Port Mapper aracı, belirtilen switch'in her portuna bağlı cihazları keşfeder ve port başına IP adresi, MAC adresi ve VLAN bilgisini gösterir. Her portun çalışma durumu ve hızı da aynı ekranda izlenir.
Switch port eşleme, sahadaki birkaç tipik soruyu tek ekranda yanıtlar:
- Bir porta birden fazla MAC bağlı mı? (Ör. IP telefonun arkasındaki bilgisayar ya da araya takılmış küçük bir switch)
- Önceki taramada bu portta hangi cihaz vardı? Geçmiş tarama sonuçları karşılaştırılabilir.
- Hangi portlar boş, hangileri kullanımda? Raporlar boş, kullanılan ve yığın (stacked) portları ayırır.
- Porta bağlı cihaz değişti mi? Port durumu değiştiğinde ya da bağlı cihaz değiştiğinde uyarı üretilebilir.
Taramalar switch grupları için ayrı ayrı zamanlanabilir. Böylece kampüs ve şube switch'leri farklı aralıklarla taranır. Rogue Detection, bulduğu yetkisiz cihazı bu eşleme sayesinde bağlı olduğu switch ve porta bağlar; kat dolabına gidecek teknisyen hangi kabloyu arayacağını bilir.
MAC/IP Beyaz Liste ve Misafir Cihaz Yönetimi
Yetkisiz cihaz tespitinin başarısı, beyaz listenin kalitesine bağlıdır. Her cihaz tek tek onaylanırsa ilk hafta uyarı yağmuruna dönüşür. OpUtils bu yükü iki yolla azaltır. Birincisi, güvenilir cihazların MAC ve IP adreslerini içeren bir CSV dosyası içe aktarılabilir; varlık yönetimi aracından alınan liste başlangıç beyaz listesi olur.
İkincisi, ayarlara Active Directory alan bilgisi eklendiğinde, bilgisayar adı alan adıyla eşleşen cihazlar otomatik olarak Güvenilir kategorisine taşınır. Böylece etki alanına üye kurum bilgisayarları elle onay beklemez; inceleme yükü gerçekten bilinmeyen cihazlara kalır.
Misafir cihazlar için geçerlilik tarihi tanımlanır. Şubeden gelen bir ekip ya da dönemlik çalışan bir danışman, belirlenen tarihe kadar Misafir listesinde kalır; süre gerekirse uzatılabilir. Uyarı ayarlarında iki bildirim tetikleyicisi bulunur: yetkisiz cihaz tespit edildiğinde ve misafir geçerliliği dolduğunda. Bildirimler virgülle ayrılmış alıcı listesine e-postayla gider.
Yetkisiz Cihaz Engelleme: Switch Portunu Kapatma ve DHCP MAC Filtreleme
Tespit edilen yetkisiz cihaz için OpUtils, bağlı olduğu switch portunu engelleme imkânı verir. Engelleme, portun yönetimsel durumunu (admin status) "Down" yapar; engel kaldırıldığında port yeniden "Up" olur. Bunun için ilgili switch'lerde SNMP yazma topluluğunun (SNMP Write Community) OpUtils'e tanımlanmış olması gerekir.
Port kapatmanın bilinen bir açığı vardır: cihaz sahibi kabloyu başka bir prize takabilir. Üreticiye göre OpUtils, DHCP tabanlı MAC adresi filtrelemesiyle aynı cihazın başka bir switch portundan yeniden bağlanmasını zorlaştırır. Yine de statik IP ile bağlanan bir cihaz DHCP'ye ihtiyaç duymadığı için tarama ve port uyarılarının açık kalması önemlidir.
Senaryo: Bir üretim tesisinde gece taraması, idari binadaki bir switch portunda Keşfedilen listesine yeni bir MAC düşürür. Cihaz etki alanında değildir, beyaz listede de yoktur; ağ ekibi cihazı Yetkisiz olarak işaretler ve e-posta uyarısı nöbetçi mühendise gider. Switch port eşleme, cihazın ikinci kattaki kat dolabında belirli bir porta bağlı olduğunu ve aynı portta daha önce bir yazıcı bulunduğunu gösterir. Mühendis portu konsoldan kapatır, sabah yerinde inceleme yapılır: yazıcının kablosu çıkarılıp yerine bir tedarikçinin test dizüstüsü takılmıştır. Cihaz misafir olarak bir haftalık geçerlilikle tanımlanır ve port yeniden açılır.
IP Adres Çakışması Tespiti ve OpManager ile Birlikte Kullanım
Yetkisiz cihazların yarattığı sorunlardan biri de IP adres çakışmasıdır. Statik IP ile bağlanan bir cihaz, sunucuya ya da yazıcıya ait bir adresi kullandığında hizmet aralıklı olarak kesilir ve kaynağı bulmak zaman alır. OpUtils'in IP adres yönetimi (IPAM) modülü, DHCP kira kayıtlarındaki IP-MAC eşleşmesini yönlendiricinin ARP tablosundaki eşleşmeyle karşılaştırır ve çakışan adresleri işaretler.
"IP adres çakışması tespit edildi" seçeneği için e-posta veya syslog bildirimi açılabilir. IP geçmişi kaydı, bir adresin hangi tarihte hangi cihaza ait olduğunu denetim amacıyla gösterir; bu, olay sonrası incelemede "o saatte bu IP kimdeydi" sorusunu yanıtlar.
OpUtils adres ve port katmanını yönetirken, cihaz performansı ve erişilebilirlik izleme OpManager tarafında kalır. Ağ izlemenin genel çerçevesi için ağ izleme nedir ve OpManager nasıl çalışır yazısına bakabilirsiniz. İkisi birlikte, "ağda ne var" ve "ağda ne olup bitiyor" sorularını ayrı ama tamamlayıcı açılardan yanıtlar.
Sıkça Sorulan Sorular
Ağa izinsiz bağlanan cihaz nasıl tespit edilir?
Ağdaki yönlendirici, switch ve alt ağlar düzenli taranır; bulunan her cihazın IP ve MAC adresi onaylı envanterle karşılaştırılır. Envanterde olmayan cihaz yetkisiz kabul edilir ve uyarı üretilir. OpUtils bu taramayı zamanlar, cihazları güvenilir, misafir ve yetkisiz olarak sınıflandırır ve bağlı oldukları switch portunu gösterir.
Rogue cihaz ile rogue DHCP sunucusu arasındaki fark nedir?
Rogue cihaz, onay dışında ağa bağlanan herhangi bir donanımdır. Rogue DHCP sunucusu ise bunun özel ve daha tehlikeli bir türüdür: ağdaki istemcilere IP adresi dağıtır, yanlış ağ geçidi veya DNS vererek trafiği yönlendirebilir ya da kesintiye yol açabilir. OpUtils, keşfettiği DHCP sunucularını yetkili altyapıyla karşılaştırarak bu sunucuları ayrıca işaretler.
Switch portunu uzaktan kapatmak için ne gerekir?
Port kapatma SNMP üzerinden yapılır; bu nedenle ilgili switch'lerde SNMP yazma topluluğu tanımlı olmalı ve OpUtils'e girilmelidir. Komut, portun yönetimsel durumunu "Down" yapar ve aynı ekrandan geri açılabilir. Çekirdek ve uplink portların yanlışlıkla kapatılmaması için engelleme yetkisinin sınırlı bir ekipte tutulması önerilir.
OpUtils bir NAC çözümünün yerine geçer mi?
OpUtils, 802.1X ile bağlantı anında kimlik doğrulayan bir ağ erişim denetimi (NAC) ürünü değildir. Ağı tarayarak tespit eder, uyarır ve gerekirse portu kapatarak müdahale eder. NAC altyapısı olmayan ya da NAC kapsamı dışında kalan bölümleri görmek isteyen kurumlar için tespit ve müdahale katmanı sağlar.
Sonuç: Ne Zaman OpUtils Yeterli, Ne Zaman Fazlası Gerekir?
Hedefiniz ağdaki her cihazı görmek, bilinmeyen cihazdan haberdar olmak ve onu dakikalar içinde porta kadar izleyip ayırmaksa, OpUtils ile yetkisiz cihaz tespiti doğrudan bu ihtiyaca karşılık gelir. Beyaz listeyi CSV ve Active Directory ile besleyip misafir cihazlara süre tanımlamak, uyarı gürültüsünü yönetilebilir düzeyde tutar.
Bağlantı anında kimlik doğrulama, cihaz duruş kontrolü ve dinamik VLAN ataması gibi gereksinimler varsa, tespit katmanı NAC ile birlikte düşünülmelidir. Her iki durumda da başlangıç noktası aynıdır: doğru bir envanter ve switch port eşleme.
Technodus, ManageEngine ağ ürünlerinde keşif tasarımı, SNMP yapılandırması, beyaz liste hazırlığı ve uyarı akışının kurulumunu sahada birlikte yürütür. OpUtils özellikleri ve lisans kalemleri sayfasından ürünü inceleyebilir, kendi ağınızda bir PoC planlamak için bizimle iletişime geçebilirsiniz.