Kapalı ağ çoğu kurumda bir güvenlik tercihi gibi konuşuluyor. Oysa kamuda ve kritik altyapıda yazılı bir yükümlülük, ve kapsamı çoğu kurumun sandığından geniş.
Bu yazı üç soruyu cevaplıyor. Mevzuat tam olarak neyi istiyor, on-premise diye satılan bir ürünün kapalı ağda gerçekten çalışıp çalışmadığı nasıl anlaşılır, ve kapalı ağda kurulum ile güncelleme pratikte nasıl yürür.
Kapalı ağ bir tercih değil, birçok kurumda yükümlülük
2019/12 sayılı Cumhurbaşkanlığı Genelgesi (Resmi Gazete, 6 Temmuz 2019, sayı 30823) çerçeveyi üç maddede çiziyor.
| Madde | Ne diyor |
|---|---|
| 1 | Nüfus, sağlık ve iletişim kayıt bilgileri ile genetik ve biyometrik veriler gibi kritik bilgi ve veriler yurt içinde güvenli bir şekilde depolanacak |
| 2 | Kamu kurum ve kuruluşlarında yer alan kritik veriler, internete kapalı ve fiziksel güvenliği sağlanmış bir ortamda bulunan güvenli bir ağda tutulacak |
| 3 | Kamu kurum ve kuruluşlarına ait veriler, kurumların kendi özel sistemleri veya kurum kontrolündeki yerli hizmet sağlayıcılar hariç bulut depolama hizmetlerinde saklanmayacak |
Üçüncü madde tek başına çok şey söylüyor. Kamu kurumunda Drive, Dropbox ya da OneDrive üzerinden belge paylaşmak bir alışkanlık meselesi değil, doğrudan genelgeye aykırı. Genelge ayrıca gizlilik dereceli ya da kurumsal mahremiyet içeren belgelerin kurumsal olarak yetkilendirilmemiş ve kişisel cihazlarda bulundurulmamasını istiyor, yani belgenin çalışanın kendi telefonundaki bir uygulamaya düşmesi de kapsamda.
Genelgenin uygulama çerçevesi, Cumhurbaşkanlığı Dijital Dönüşüm Ofisi koordinasyonunda hazırlanan ve 24 Temmuz 2020'de yayımlanan Bilgi ve İletişim Güvenliği Rehberi. Rehber yalnızca kamu kurumlarını değil, elektronik haberleşme, enerji, su yönetimi, ulaştırma ile bankacılık ve finans gibi kritik altyapı sektörlerini de kapsıyor.
Finans tarafında ikinci bir katman var. Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik birincil sistemlerin ve yedeklerin tutulduğu ikincil sistemlerin yurt içinde konumlandırılmasını zorunlu tutuyor. Dışarıdan hizmet ya da bulut bilişim hizmeti alınıyorsa, sağlayıcının bu kapsamda kullandığı bilgi sistemleri ve yedekleri de yurt içinde olmak zorunda.
Yani kapalı ağ ya da en azından kurum kontrolündeki altyapı, bu kurumlar için tartışılacak bir konu değil. Tartışılacak konu, seçilen yazılımın orada gerçekten çalışıp çalışmadığı.
On-premise ile internete kapalı aynı şey değil
Burası en çok karıştırılan yer. On-premise, yazılımın sizin sunucunuzda çalıştığı anlamına gelir. Sizin sunucunuzun internete çıkmadığı anlamına gelmez.
Piyasadaki pek çok on-premise ürün, kendi sunucunuzda çalışırken dışarıya düzenli istek atar. Lisansını doğrular, güncelleme var mı diye bakar, arayüzünü oluşturmak için dışarıdan font ve ikon çeker. İnternete çıkabilen bir kurulumda bunların hiçbiri fark edilmez. Kapalı ağda ise ürün ya hiç açılmaz ya da daha kötüsü, neden yavaş olduğu anlaşılamayan bir şeye dönüşür.
İkincisi daha sinsi. Dışarıya giden bir istek kapalı ağda hata vermez, zaman aşımına uğrar. Kullanıcı sadece giriş ekranının otuz saniye geldiğini görür ve BT ekibi haftalarca sebebini arar.
Bir ürünün dışarıya bağlandığı yedi yer
Kapalı ağa alacağınız üründe bu yedi noktayı tek tek sorun.
| Bağlantı | Kapalı ağda ne olur |
|---|---|
| Lisans doğrulama | Ürün açılmaz ya da belirli bir süre sonra kendini kilitler |
| Güncelleme kontrolü | Her açılışta zaman aşımı, arayüz geç gelir |
| CDN (font, ikon, JavaScript) | Arayüz eksik yüklenir, ikonlar ve yazı tipleri gelmez |
| Telemetri ve kullanım ölçümü | Sessiz zaman aşımları, log dosyaları şişer |
| Hata raporlama | Hata anında ikinci bir gecikme, sorun büyür |
| Bildirim ve e-posta servisi | Paylaşım bildirimi hiç gitmez, kullanıcı sebebini bilmez |
| Konteyner imaj deposu | Kurulum hiç başlamaz |
Sonuncusu kurulum anında ortaya çıktığı için en erken fark edileni. Diğer altısı kuruluma engel olmaz, sonra ortaya çıkar.
Air-gap iddiasını kendiniz nasıl doğrularsınız
Satıcının cevabına güvenmek zorunda değilsiniz. Pilotta yapabileceğiniz dört kontrol var ve dördü de teknik bilgi gerektirmiyor.
- Kabloyu çekin. Ürün kurulduktan sonra sunucunun internet erişimini kapatın ve normal bir gün geçirin. Giriş yapın, dosya yükleyin, paylaşın, arayın. Bir şey bozuluyorsa ürün kapalı ağa uygun değil demektir.
- Yavaşlamaya bakın, hataya değil. Bozulma çoğu zaman hata mesajı olarak değil, gecikme olarak görünür. Bağlantıyı kestikten sonra ekranların açılma süresini öncesiyle karşılaştırın.
- Tarayıcının ağ sekmesini açın. Arayüzü kullanırken kurum dışına giden bir istek görünüyorsa, o istek üretimde de gidecek demektir. Yazı tipi ve ikon adresleri en sık çıkanlar.
- Giden trafiği bir gün boyunca izleyin. Sunucudan dışarıya çıkan bağlantıları kaydedin. Bu liste, satıcının verdiği listeyle birebir uyuşmalı.
Bu dördü pilot boyunca yapılabilecek işler. Teklif aşamasında sorulacak asıl soru ise şu: ürün çalışırken dışarıya hangi adreslere istek atıyor, tam listesini yazılı verebilir misiniz? Listeyi veremeyen bir satıcı, kendi ürününün kapalı ağda ne yapacağını da bilmiyor demektir.
Kapalı ağda kurulum nasıl yapılır
Kapalı ağ kurulumu, kurumun dışarıya açık bir makinesinde başlar ve kapalı tarafta biter. Dört adım:
- Paketleme. Ürünün tüm bileşenleri, bağımlılıkları ve konteyner imajları internete çıkabilen bir makinede tek bir arşive konur.
- Doğrulama. Arşivle birlikte bir sağlama listesi gelir. Kapalı tarafa taşımadan önce ve taşıdıktan sonra iki kez doğrulanır, böylece aktarımda bozulan bir dosya kurulum sırasında değil öncesinde yakalanır.
- Taşıma. Arşiv, kurumun onaylı yordamıyla kapalı tarafa geçirilir. Bu adım yazılımın değil kurumun süreci, ve kapalı ağ kurulumunda takvimi belirleyen genelde burasıdır.
- Kurulum. Kurulum betiği çalıştırılır, imajlar kapalı taraftaki ortama yüklenir ve ürün ayağa kalkar.
Kritik nokta üçüncü adımda gizli. Kurulum arşivinin ne kadar sürede içeri gireceği kurumun kendi yordamına bağlı, ve pilot takvimini planlarken bu süreyi baştan sormak gerekiyor.
Güncelleme kapalı ağda nasıl yürür
Kapalı ağda güncellemenin iki kuralı var.
Birincisi, yeni sürüm de aynı yoldan gelmeli. Kurulum tek arşivle yapılıyorsa güncelleme de tek arşivle gelmeli. Kurulum için bir yordam, güncelleme için başka bir yordam isteyen ürünler kapalı ağda güncellenmez, çünkü ikinci yordam hiçbir zaman kurulmaz ve kurum sürüm atlamaya başlar.
İkincisi, güncelleme zamanına siz karar vermelisiniz. Kendi kendine güncelleme arayan bir ürün kapalı ağda zaten çalışmaz, ama asıl mesele şu: regüle bir kurumda değişiklik yönetimi bir süreçtir. Yazılımın kendi takvimine göre değil, kurumun bakım penceresine göre güncellenmesi gerekir.
Bir de sürüm farkı sorusu var. Kapalı ağa özel bir sürüm çıkaran ürünler o sürümü daha az günceller ve zamanla açık ortamdaki sürümün gerisinde kalır. Sorulacak soru net: kapalı ağdaki kurulum ile normal kurulum aynı paketi mi kullanıyor?
Kapalı ağda baştan planlanacak üç şey
Kapalı ağ, kurulumdan sonra da üç konuda karar ister.
Kullanıcı dizini. Kullanıcıların ve grupların ürüne nereden geleceği. Kapalı ağda kurumun kendi Active Directory ya da LDAP sunucusu zaten içeride olduğundan bu genelde en kolay adım, ama bağlantının pilotun ilk gününde kurulması gerekir. Yoksa herkes elle açılmış hesaplarla test eder ve gerçek yetki yapısı hiç görülmez.
İstemci uygulamalarının dağıtımı. Kapalı ağda uygulama mağazası yok. Masaüstü ve mobil uygulamalar kurumun kendi sunucusundan dağıtılmalı, ve indirilen paketin doğruluğu sağlama değeriyle kontrol edilebilmeli.
Yardımcı servisler. Belge önizleme, içerik araması ve virüs taraması gibi işler ayrı servislerle yapılır. Bunların da kapalı tarafta çalışabiliyor olması gerekir, yoksa ürünün yarısı kapalı ağda kullanılamaz hale gelir.
Satın alırken sorulacak sekiz soru
Teklif aşamasında yazılı cevap isteyin. Demoda sözlü alınan cevap kuruluma kadar hatırlanmıyor.
| Soru | Neden önemli |
|---|---|
| Kurulum paketi tek arşiv olarak çevrimdışı taşınabiliyor mu? | Parçalı kurulum kapalı ağda her parça için ayrı onay demek |
| Kapalı ağdaki sürüm ile normal sürüm aynı mı? | Ayrı sürüm zamanla geride kalır |
| Lisans çevrimdışı doğrulanıyor mu? | Dışarıya bağlanan lisans, kapalı ağda ürünü kilitler |
| Ürün çalışırken dışarıya hangi istekleri atıyor? | Listeyi veremeyen satıcı ürününü bilmiyordur |
| Arayüz dışarıdan yazı tipi ya da kütüphane çekiyor mu? | Arayüz eksik yüklenir, sorun ürünün kendisinde aranır |
| Güncelleme kurulumla aynı yoldan mı geliyor? | İkinci bir yordam hiçbir zaman kurulmaz |
| Yedekleme mevcut düzenimizle yapılabiliyor mu? | Ürüne özel yedekleme aracı ayrı bir işletim yükü |
| Kurulumdan sonra işletimi biz devralabiliyor muyuz? | Her bakım için satıcı beklemek kapalı ağda uzun sürer |
Veyro'da durum
Veyro tek bir çalıştırılabilir dosya olarak geliyor ve arayüzünü kendi içinde taşıyor. Dışarıdan yazı tipi, ikon ya da kütüphane çekmiyor, çalışırken kurum dışına hiçbir istek atmıyor. Lisans kendi sunucunuzda doğrulanıyor, yani internet kesildiğinde ürün çalışmaya devam ediyor.
Kapalı ağ için tüm bileşenler tek bir arşive konuyor ve arşiv sağlama listesiyle birlikte geliyor. Kapalı ortamdaki kurulum dışarıdakiyle aynı, ayrı bir sürüm yok. Güncellemeler de aynı yoldan, tüm bileşenleri içeren tek paket olarak geliyor ve ne zaman güncelleyeceğinize siz karar veriyorsunuz.
Kurulum kurum içi sunucuda, özel bulutta, Docker'da ya da Kubernetes'te yapılabiliyor. Ayrıntısı kurulum ve air-gap sayfasında. Kullanıcılar ve gruplar kurumun kendi Active Directory ya da LDAP sunucusundan geliyor, masaüstü ve mobil uygulamalar da kurumun kendi sunucusundan, her paket sağlama değeriyle birlikte dağıtılıyor.
Genelgenin kapattığı bulut paylaşımının yerine kurallı bir kanal gerekiyorsa, kurum dışına paylaşım bağlantı üzerinden yapılıyor ve şifre, son kullanma tarihi, indirme limiti ile alıcı kısıtı konabiliyor. Her erişim denetim kaydına düşüyor.
Kapalı ağınızda kendi senaryonuzla denemek isterseniz demo talebinde bulunabilirsiniz.
