BGP Hijacking ile Sahte Sanallaştırma Güncellemesi Saldırısı: RPKI/ROA Doğrulaması ve FortiGate/Cisco BGP Sıkılaştırma Kılavuzu
iOS/iPadOS compliance policy: Corp_iOS_18_Enterprise_Compliance
| Ayar Adı (Policy Setting) | Durum / Kural | Hedef Güvenlik Seviyesi |
|---|---|---|
| Jailbroken devices (Kök Erişimi) | Block | Cihaz uyumsuz işaretlenir ve şirket ağına erişimi engellenir. |
| Minimum OS Version | 18.0 (veya üzeri) | Eski güvenlik açıklarına sahip sürümler otomatik reddedilir. |
| Passcode Required Type | Alphanumeric (Min 8) | Biyometrik kilit veya 8 haneli karmaşık parola zorunluluğu. |
| Declarative Device Mgmt (DDM) | Enabled (Otonom) | İlke değişikliklerine cihaz yerel düzeyde milisaniyeler içinde yanıt verir. |
| Wi-Fi 7 SCEP EAP-TLS Profile | Enforced (Sertifikalı) | Parolasız 802.1X kurumsal ağ bağlantısı otomatik dağıtılır. |
NewsAgent Yönetici & Teknik Özeti
Kurumsal IT, Sistem & Güvenlik Mühendisliği Açısından Kritik Çıkarımlar
RPKI / ROA ile Rota Zehirlenmesini Engelleme
Siber tehdit aktörleri kurumsal sanallaştırma altyapılarında çalışan yönetim platformlarını hedef alarak BGP (Border Gateway Protocol) prefix hijacking saldırısı gerçekleştirmiştir. Saldırganlar yazılım üreticisinin IP bloğunu taklit eden yetkisiz bir AS (Autonomous System) anons etmiş ve kurumsal sunucuların çektiği resmi güncelleme paketlerini kendi kontrolündeki zararlı sunuculara yönlendirmiştir.
BGP ve Yönlendirme Güvenliği Standartları Matrisi
| Güvenlik Katmanı | Zafiyet Noktası | Zorunlu Kurumsal Önlem |
| :--- | :--- | :--- |
| Rota Doğrulama | Sahte /24 anonslarının kabulü | RPKI Origin Validation (Invalid Anonsları Drop Etme) |
| Komşuluk Bütünlüğü | TCP oturumuna araya girme (MitM) | BGP TCP MD5 Kimlik Doğrulaması (password) |
| Uzaklık Güvenliği | Sahte BGP paketleri gönderme | GTSM / BGP TTL Security (Yalnızca 1-2 hop mesafeye izin) |
| Prefix Taşması | Bellek tüketme / DoS saldırısı | maximum-prefix Sınırlandırması (Örn: Max 10.000 Rota) |
Cisco IOS-XE CLI ile BGP RPKI Doğrulama ve Komşuluk Sıkılaştırma
Aşağıdaki komutlar kurumsal sınır yönlendiricinizde (Border Router) RPKI doğrulamasını devreye alır ve geçersiz anonsları otomatik olarak filtreler:
| 1 | ! 1. RPKI Cache Sunucusuna Bağlantı Tanımlayın (RTR Protokolü) |
| 2 | router bgp 65001 |
| 3 | bgp rpki server tcp 10.200.1.50 port 323 |
| 4 | |
| 5 | ! BGP Komşuluk Güvenliği (MD5 ve TTL Sıkılaştırma) |
| 6 | neighbor 198.51.100.1 remote-as 64496 |
| 7 | neighbor 198.51.100.1 password KurumsalBGPKey2026! |
| 8 | neighbor 198.51.100.1 ttl-security hops 2 |
| 9 | |
| 10 | address-family ipv4 |
| 11 | neighbor 198.51.100.1 route-map RPKI_VALIDATION_IN in |
| 12 | neighbor 198.51.100.1 maximum-prefix 5000 80 restart 15 |
| 13 | exit-address-family |
| 14 | |
| 15 | ! 2. RPKI Route-Map ile Invalid Rotaları Engelleyin |
| 16 | route-map RPKI_VALIDATION_IN deny 10 |
| 17 | match rpki invalid |
| 18 | |
| 19 | route-map RPKI_VALIDATION_IN permit 20 |
| 20 | match rpki valid |
| 21 | set local-preference 200 |
| 22 | |
| 23 | route-map RPKI_VALIDATION_IN permit 30 |
| 24 | match rpki not-found |
| 25 | set local-preference 100 |
FortiOS CLI ile BGP Sıkılaştırma
| 1 | config router bgp |
| 2 | set as 65001 |
| 3 | config neighbor |
| 4 | edit "198.51.100.1" |
| 5 | set password "KurumsalBGPKey2026!" |
| 6 | set ttl-security enable |
| 7 | set soft-reconfiguration enable |
| 8 | set route-map-in "RM_DROP_BGP_INVALID" |
| 9 | next |
| 10 | end |
| 11 | end |
İlgili Diğer Güncel IT & Teknoloji Haberleri
Tümünü Gör
Altyapı YönetimiApple iOS 18 & macOS Sequoia Kurumsal Dağıtım Kılavuzu: Intune Declarative Device Management (DDM), 802.1X EAP-TLS ve SCEP Sertifika Yapılandırması
Siber GüvenlikFortinet FortiOS 7.6.2 & 7.4.6 Güvenlik Güncellemesi: SSL-VPN yerine FIDO2 Passkey ile ZTNA ve FortiOS CLI Karantina Rehberi
Altyapı Yönetimi