Network Access Control (NAC) ile Kurumsal Ağınızı Uçtan Uca Güvence Altına Alın

NAC (Network Access Control), kurumsal ağa bağlanmak isteyen her kullanıcı, cihaz ve oturum için kimlik doğrulama, durum kontrolü ve politika uygulama yapan güvenlik kategorisidir. Modern ağlar artık tek lokasyonda değil — ofis, ev, mobil, IoT, OT, üçüncü taraf — hepsi karışmış durumda. Geleneksel firewall ve VLAN yaklaşımları bu karmaşıklığı yönetemiyor. NAC, “kim ne ile nereye nasıl bağlanabilir” sorusunu dinamik ve bağlamsal olarak yanıtlar. KVKK Madde 12, 7545 Sayılı Kanun ve BDDK Tebliği gibi mevzuatlar artık ağ erişim kontrolünü zorunlu kılıyor.

Üç temel sebep:  

1. Yerli ürün avantajı: 7545 Sayılı Siber Güvenlik Kanunu kapsamında kamu ve kritik altyapı için yerli ürün önceliği — ihale puanlama avantajı.

 

1. Embedded Remote Support: Sektörde tek olan bu özellik, karantinaya alınan cihazlara IT ekibinin platform içinden uzaktan müdahale etmesini sağlar. Diğer NAC ürünlerinde bu yetenek yok — karantina cihaza müdahale için ya manuel sahaya gitmek ya da güvensiz alternatif yollar gerekir.

 

1. Vendor-agnostic + tam özellik seti: Cisco ISE veya Aruba ClearPass’in tüm temel yeteneklerini sunar (802.1X, posture, dinamik VLAN, CoA), ek olarak yerli destek, KVKK/7545/BDDK mapping ve makul TCO.

Her ikisi de. ConnGuard NAC, kablolu (switch) ve kablosuz (access point) her iki ortamda da 802.1X ve RADIUS üzerinden çalışır. Ek olarak VPN concentrator‘lar ile entegre edilerek uzaktan erişim de NAC kontrolüne tabi olur. Yani kullanıcı ofiste switch’ten, evde VPN’den, kafede misafir WiFi’sinden bağlansa da aynı politika seti uygulanır.

IoT cihazları (yazıcı, IP kamera, klima sensörü) nasıl yönetilir? Onlara agent kuramayız.

NAC çözümleri hibrit mimari kullanır. Şirket laptop ve sunucularına agent kurulurken, agent kurulamayan cihazlar (IoT, yazıcı, IP kamera, tıbbi cihaz, OT terminali) için agentless device profiling kullanılır:  

• DHCP fingerprinting: Cihazın DHCP request’inde gönderdiği parametreler üreticiyi ve tipi belli eder
• MAC OUI lookup: MAC adresinin ilk 6 karakteri üreticiyi gösterir (örn. “00:1B:21” Intel)
• Behavioral analysis: Cihazın trafik paterni (hangi port, hangi protokol, hangi sıklık) tipini belirler
• TCP fingerprinting: TCP/IP stack davranışı OS ve cihaz tipini açığa çıkarır

  ConnGuard bu yöntemlerle cihazı tanır, otomatik kategorize eder ve uygun IoT VLAN’ına yerleştirir. IoT cihazlar diğer ağlardan ve kritik kaynaklardan izole tutulur.

Hayır. ConnGuard NAC vendor-agnostic — yani belirli bir ağ ekipmanı üreticisine bağlı değil. IETF/IEEE standartlarına (802.1X, RADIUS) uyumlu tüm üreticilerin switch ve access point’leriyle çalışır. Cisco, Aruba/HPE, Huawei, Juniper, Extreme, MikroTik, Allied Telesis, ZyXEL ve diğerleri desteklenir. Mevcut altyapınızı korursunuz, sadece RADIUS server tarafına ConnGuard eklersiniz.

Klasik NAC senaryosunu düşünün: Bir cihaz patch eksik olduğu için karantinaya alındı. Karantina VLAN’ında olduğu için sadece patch sunucusuna erişebiliyor, başka hiçbir yere erişimi yok. IT ekibi cihaza nasıl müdahale edecek?   Geleneksel NAC’larda iki kötü seçenek var:  

• IT teknisyenleri fiziksel olarak cihazın yanına gider (zaman, maliyet kaybı)
• Karantina VLAN’ına ek delik açılır (güvenlik riski)

  ConnGuard’ın embedded remote support‘u sektörde tek olarak bu sorunu çözer: IT ekibi ConnGuard platformu içinden doğrudan cihaza güvenli RDP/SSH bağlantısı kurar. Karantina VLAN’ında ek delik yok — bağlantı ConnGuard’ın güvenli tüneli üzerinden gerçekleşir. IT sorunu uzaktan giderir, posture’u onarır, cihazı tekrar yetkili duruma alır.

Zero Trust mimarisi 5 temel pillar içerir: Identity, Device, Network, Application, Data. NAC bu pillar’ların Device + Network kesişiminde çalışır:  

• Device pillar: Cihaz kimliği, durumu, güveni
• Network pillar: Ağ segmentasyonu, mikrosegmentasyon, dinamik erişim

  NAC tek başına Zero Trust değildir — ama Zero Trust mimarisinin temel taşıdır. PAM (Identity), DLP (Data), SSE (Application Access) gibi diğer pillar’larla birlikte tam Zero Trust elde edilir.   Zero Trust Mimarisi için →

Sıklıkla karıştırılır ama farklı katmanlarda çalışırlar:  

• Firewall: Trafiği port, protokol ve IP’ye göre filtreleyen katman 3-4 cihazıdır. Genellikle ağ kenarında veya VLAN’lar arasında durur. “Hangi trafik geçebilir?” sorusunu yanıtlar.

 

• NAC: Cihaz ağa bağlanma anında kim olduğunu, durumunu ve yetkisini belirleyen sistemdir. Katman 2 (switch port) seviyesinde çalışır. “Hangi cihaz hangi VLAN’a girebilir?” sorusunu yanıtlar.

  İkisi tamamlayıcıdır. NAC cihazı doğru VLAN’a yerleştirir; firewall o VLAN’ın trafiğini filtreler. Modern güvenlik mimarisinde her ikisi de gereklidir.

NSS Teknoloji ile 30 günlük ücretsiz PoC:  

• Hafta 1: Mevcut ağ analizi — switch, AP envanteri, mevcut RADIUS yapısı, kimlik kaynakları, cihaz tipleri
• Hafta 2: ConnGuard kurulumu (sanal makine veya appliance), AD/LDAP entegrasyonu, ilk politika setleri
• Hafta 3: Pilot grup deployment — belirli bir ofis veya VLAN’da test, posture politika ayarlama, IoT cihaz keşfi
• Hafta 4: Sonuç analizi — keşfedilen cihazlar, posture compliance oranı, politika ihlalleri, karantina senaryoları test

  PoC sonunda detaylı rapor + tam dağıtım planı + mevzuat mapping dokümanı sunulur.