Network Security Groups (NSG) Nedir ve Neden Önemlidir?
Bulut altyapılarında ağ trafiğini kontrol etmenin en etkili yollarından biri Network Security Groups (NSG)’dur. NSG, sanal ağ seviyesinde gelen ve giden paketleri inceleyerek izin verilen ya da reddedilen trafik kurallarını uygular. Bu sayede, örneğin bir VDS sunucu paketi içinde çalışan uygulamanız yalnızca belirlediğiniz IP adreslerinden gelen istekleri kabul eder ve diğer tüm istekleri otomatik olarak engeller.
NSG’nin temel avantajı, güvenlik politikalarını merkezi bir noktadan yönetebilmenizdir. Birden fazla sanal makine (VM) ve alt ağ (subnet) aynı NSG’ye bağlanabilir; bu da yönetim yükünü %40’a kadar azaltır. Ayrıca, NSG kuralları stateful olduğundan, bir bağlantının yanıt paketleri otomatik olarak izinli kabul edilir, bu da yapılandırma hatalarını minimize eder.
En yaygın hata, “tüm trafiği izin ver” kuralını varsayılan olarak bırakmaktır. Bu, saldırganların doğrudan VM’lere erişmesini sağlar ve potansiyel veri sızıntılarına yol açar. Doğru yapılandırılmış bir NSG, yalnızca gerekli portları (örneğin 80/443 HTTP/HTTPS) ve IP aralıklarını açarak riskleri %70’e kadar azaltabilir.
NSG’nin Temel Bileşenleri ve Çalışma Prensibi
NSG iki ana bileşenden oluşur: kurallar (rules) ve öncelik (priority). Kurallar, kaynak ve hedef IP, protokol, port ve yön (inbound/outbound) gibi parametreleri tanımlar. Öncelik değeri 100 ile 4096 arasında değişir; düşük sayı daha yüksek öncelik anlamına gelir. Bu, çakışan kuralların hangi sırayla değerlendirileceğini belirler.
Kurallar üç kategoriye ayrılır: allow (izin ver), deny (reddet) ve default (varsayılan). Varsayılan olarak, inbound trafiği deny, outbound trafiği ise allow olarak ayarlanmıştır. Bu “güvenlik öncelikli” yaklaşım, yeni bir altyapı kurarken en az izinle çalışmayı sağlar.
Bir NSG’yi uygularken, önce giriş (inbound) kurallarını tanımlamalı, ardından çıkış (outbound) kurallarını incelemelisiniz. Örneğin, bir web sunucusu için inbound’da sadece 80 ve 443 portlarını açarken, outbound’da tüm internet erişimine izin vermek genellikle güvenli bir tercihtir. Ancak, veri tabanı sunucularında outbound trafiği sınırlamak, veri sızıntılarını önlemek açısından kritiktir.
NSG’yi Azure ve AWS Ortamlarında Nasıl Konfigure Edebilirsiniz?
Azure ve AWS, NSG’ye benzer Security Groups kavramını sunar, ancak yönetim arayüzleri ve terminolojileri farklıdır. Azure’da NSG, Network security group menüsü üzerinden oluşturulur ve bir VNet ya da subnet’e ilişkilendirilir. AWS’de ise Security Group bir EC2 instance’a doğrudan bağlanır.
Azure’da NSG oluşturmak için şu adımları izleyin:
- Azure Portal’da “Network security groups” sekmesine gidin.
- “Add” butonuna tıklayarak yeni bir NSG oluşturun; isim, bölge ve kaynak grubu seçin.
- İnbound ve outbound kurallarını ekleyin. Örneğin, “Allow HTTP” kuralı için öncelik 100, kaynak “Any”, hedef “Any”, port 80, protokol TCP.
- NSG’yi ilgili subnet veya NIC (Network Interface Card) ile ilişkilendirin.
AWS’de ise şu adımları takip edin:
- EC2 Dashboard → “Security Groups” → “Create security group”.
- İsim ve açıklama girin, VPC seçimini yapın.
- İnbound kuralları ekleyin; örneğin, “HTTP” için TCP, port 80, kaynak 0.0.0.0/0.
- Outbound kurallarını düzenleyin; genellikle “All traffic” izinli bırakılır.
Her iki platformda da web hosting paketleri ile aynı ağ içinde çalışan uygulamaların güvenliğini sağlamak için NSG/Security Group kurallarını senkronize etmek, tutarlılık ve yönetim kolaylığı sağlar.
NSG Kullanırken Karşılaşılan Yaygın Hatalar ve Çözüm Önerileri
NSG yapılandırırken en sık yapılan hatalardan biri, “kural önceliği”ni yanlış ayarlamaktır. Örneğin, bir allow kuralı 200 önceliğiyle eklenirken, daha geniş bir deny kuralı 300 önceliğiyle eklenirse, istenmeyen trafik hala engellenir. Bu durum, hizmet kesintilerine ve hata ayıklama sürecinde %30’a kadar zaman kaybına yol açabilir.
Bir diğer hata, “kaynak IP” alanını “Any” olarak bırakıp, sadece port ve protokolü sınırlamaktır. Bu, saldırganların farklı IP’lerden aynı açık portu kullanarak deneme yapmasına izin verir. Çözüm olarak, yalnızca güvenilen IP aralıklarını (örneğin, şirket ofis IP’si 203.0.113.0/24) tanımlamalısınız.
Son olarak, NSG’nin “log” özelliğini devre dışı bırakmak, saldırı tespitini zorlaştırır. Azure’da NSG Flow Logs’u etkinleştirerek, tüm trafiği bir Log Analytics workspace’e yönlendirebilir, şüpheli aktiviteleri anlık izleyebilirsiniz. AWS’de ise VPC Flow Logs aynı işlevi görür.
NSG ve Diğer Güvenlik Katmanları: WAF, IDS/IPS ve VPN Entegrasyonu
NSG, ağ katmanında temel bir güvenlik duvarı görevi görürken, WAF güvenlik duvarı (Web Application Firewall) uygulama katmanındaki saldırılara karşı koruma sağlar. WAF, SQL injection, XSS gibi web tabanlı tehditleri engellerken, NSG yalnızca IP, protokol ve port bazlı filtreleme yapar.
IDS/IPS (Intrusion Detection/Prevention System) ise anormal trafik davranışlarını tespit edip engeller. NSG ile birlikte bir IDS/IPS kullanmak, “defense in depth” (derin savunma) stratejisini güçlendirir. Örneğin, bir DDoS saldırısı sırasında NSG trafiği sınırlarken, IDS/IPS saldırının kaynağını ve tipini raporlayarak otomatik yanıt verebilir.
VPN entegrasyonu da NSG’nin güvenliğini artırır. Şirket içi ağınızdan Azure VNet’e ya da AWS VPC’ye VPN üzerinden bağlanırken, NSG kuralları sadece VPN tünelinden gelen trafiği kontrol eder. Bu, dış dünyadan gelen istekleri tamamen engelleyerek, yalnızca güvenli bir kanal üzerinden iletişimi mümkün kılar.
NSG’nin Performans Üzerindeki Etkisi ve Maliyet Analizi
NSG, paket işleme sürecinde minimum gecikme ekler; tipik bir Azure NSG, 1 ms altında yanıt süresi sunar. Bu, yüksek trafikli bir web uygulamasında %5’ten az performans kaybına yol açar. Ancak, gereksiz sayıda kural eklemek (örneğin 200+ kural) yönetim karmaşasını artırır ve kontrol paneli yanıt sürelerini uzatabilir.
Maliyet açısından, NSG’nin kendisi ücretsizdir; ancak Flow Logs ve Log Analytics gibi ek hizmetler kullanım başına ücretlendirilir. Ortalama bir orta ölçekli işletme, aylık NSG Flow Logs için 20‑30 USD arasında bir ek maliyetle karşılaşabilir. Bu maliyet, sağladığı güvenlik avantajı ve olası veri ihlali maliyetleriyle karşılaştırıldığında oldukça makul bir yatırım olarak değerlendirilebilir.
Bir AMD Ryzen VDS sunucu örneği üzerinden bakıldığında, NSG sayesinde sadece gerekli portlar açık olduğunda, sunucunun CPU ve RAM kullanım oranı %10’dan az bir artış gösterir. Bu da kaynakların daha verimli kullanılmasını sağlar.
NSG Uygulama Senaryoları: Gerçek Dünya Örnekleri
Örnek 1: E-ticaret sitesi – Bir e-ticaret hosting çözümünde, ödeme ağ geçidi (gateway) sadece 443 (HTTPS) portunu dinler. NSG sayesinde, sadece ödeme sağlayıcısının IP aralığına izin verilir, diğer tüm inbound trafik reddedilir. Bu yapı, PCI DSS uyumluluğunu kolaylaştırır.
Örnek 2: Kurumsal e-posta – Kurumsal e-posta sunucularının SMTP (25), IMAP (143) ve POP3 (110) portları belirli ofis IP’lerine kısıtlanır. NSG sayesinde, dışarıdan gelen spam ve brute-force saldırıları %85 azaltılır.
Örnek 3: Yük dengeleyici (Load Balancer) – Azure’da bir Application Gateway önüne NSG yerleştirildiğinde, sadece HTTP/HTTPS trafiği geçer, diğer protokoller (örneğin RDP 3389) otomatik olarak engellenir. Bu, yöneticilerin uzaktan masaüstü bağlantısı için ayrı bir yönetim subnet’i oluşturmasını gerektirir.
| Özellik | Azure NSG | AWS Security Group | Tipik Kullanım Senaryosu |
|---|---|---|---|
| Kurallar Sayısı Limiti | 500 | 60 | Geniş ölçekli VNet yönetimi |
| Varsayılan Durum | Inbound deny, Outbound allow | Inbound deny, Outbound allow | Güvenlik öncelikli yapılandırma |
| Log Özelliği | NSG Flow Logs (ücretli) | VPC Flow Logs (ücretli) | İzleme ve tehdit analizi |
| Stateful | Evet | Evet | Yanıt paketlerinin otomatik izinlenmesi |
| Öncelik (Priority) | 100‑4096 | 0‑65535 (numeric) | Çakışan kuralların yönetimi |
Sıkça Sorulan Sorular
NSG ile bir subnet’e birden fazla kural eklemek mümkün mü?
Evet, bir subnet’e birden fazla NSG kuralı ekleyebilirsiniz. Kurallar öncelik sırasına göre değerlendirilir; düşük öncelik numarası (yüksek öncelik) önce uygulanır. Çakışan kuralların etkisini azaltmak için öncelik değerlerini dikkatli planlamak gerekir.
NSG Flow Logs ne kadar veri üretir ve nerede saklanır?
NSG Flow Logs, her bir ağ akışı için bir kayıt oluşturur. Üretilen veri miktarı, ağ trafiğinin hacmine bağlıdır. Loglar, Azure Storage, Event Hub veya Log Analytics workspace’te saklanabilir. Maliyet, saklama süresi ve veri miktarına göre değişir.
AWS Security Group ile Azure NSG arasındaki en büyük fark nedir?
AWS Security Group, doğrudan EC2 instance’larına bağlanırken, Azure NSG bir VNet ya da subnet seviyesinde uygulanır. Ayrıca, AWS’de kural limiti daha düşüktür (60), Azure’da ise 500’e kadar çıkabilir, bu da daha karmaşık senaryolar için esneklik sağlar.
NSG’yi bir VPN tüneliyle birlikte kullanabilir miyim?
Evet, NSG kuralları VPN tünelinden gelen trafiği de kontrol eder. VPN bağlantısı üzerinden gelen paketler, NSG’nin inbound kurallarına tabi olur; bu sayede yalnızca belirli IP aralıklarından gelen trafik izinli olur ve dış dünyadan gelen istekler tamamen engellenir.
Sonuç: Network Security Groups ile Güvenli ve Ölçeklenebilir Altyapı Oluşturun
Network Security Groups, bulut ortamınızın temel savunma katmanını oluşturur. Doğru kural tasarımı, öncelik yönetimi ve log takibi sayesinde, güvenlik risklerini %70’e kadar azaltabilir ve altyapınızın performansını koruyabilirsiniz. İlk adım olarak, mevcut VNet ya da VPC’nizde bir NSG oluşturun, kritik portları dışa açın ve geri kalan tüm trafiği reddedin. Ardından, Flow Logs’u etkinleştirerek izleme ve analiz sürecini başlatın.
Eğer daha güçlü bir ağ güvenliği istiyorsanız, NSG’yi WAF, IDS/IPS ve VPN çözümleriyle entegre edin. Bu çok katmanlı yaklaşım, olası saldırı vektörlerini en aza indirir ve iş sürekliliğinizi güvence altına alır. Unutmayın, güvenlik bir kere yapılan bir işlem değil, sürekli gözden geçirilmesi gereken bir süreçtir. Bu rehberi uygulayarak, bulut altyapınızı hem güvenli hem de ölçeklenebilir bir hale getirebilirsiniz.
