Kablosuz Ağ Güvenlik Denetimi: Saha Protokolü ve Hava Süresi

Kablosuz güvenlik denetimlerinin çoğu aynı iki hatayla başlıyor: denetimi bir "sinyal haritası" sanmak ve raporu bir zafiyet listesi olarak teslim etmek. Oysa kablosuz ağda asıl ölçülmesi gereken şey kapsama değil, hava süresi (airtime) ve kimlik doğrulamanın gerçekten ne kanıtladığı. Bu yazı bir denetim raporu şablonu değil; sahada tekrar edilebilir bir protokol ve o protokolün arkasındaki aritmetik.

Protokolün amacı tek bir cümleyle özetlenebilir: ağın bugün ayakta olmasını sağlayan varsayımları tek tek yazılı hâle getirmek ve her birini ölçmek. Bu varsayımların çoğu yıllar önce kurulum sırasında verilmiş kararlardan geliyor - tek bir ön anahtar (PSK), kapatılmış sertifika doğrulaması, genişletilmiş kanal, misafir ağıyla aynı VLAN - ve hiçbiri o günden beri sınanmadı.

Protokolün ikinci amacı karşılaştırılabilirlik. Bugün yapılan bir ölçüm, altı ay sonra aynı yöntemle tekrarlanmazsa "iyileşti mi" sorusunun cevabı yok. Bu yüzden metin boyunca aynı üç şey tekrar ediyor: ölçüm noktaları sabit, eşikler yazılı, kanıt biçimi tanımlı. Bu üçü sabitlendiğinde denetim bir uzmanın kişisel yorumu olmaktan çıkıp kurumun kendi ekibinin de sürdürebileceği bir iş hâline geliyor.

Bu protokolün ölçtüğü beş eşik

Denetim, "bulgular" başlığı altında sıralanmış bir liste yerine beş ölçülebilir eşik etrafında kurulmalı. Her eşiğin bir hedefi, bir ölçüm yöntemi ve bir başarısızlık tanımı var:

Eşik	Hedef	Nasıl ölçülür	Başarısızlık neye benzer
Hava süresi doluluğu	En yoğun saatte yüzde 60'ın altında	AP sayaçları, kanal başına kullanım oranı	Fiziksel hız yüksek görünürken istemciler yavaşlar
Sinyal-gürültü oranı	Kenar noktalarda en az 25 dB	Saha ölçümü, -67 dBm hedef RSSI ile	Yüksek modülasyonlar hiç kullanılmaz, hız düşer
Kimlik doğrulama kanıtı	Her istemci için sertifika veya 802.1X	RADIUS kaydı + istemci yapılandırması	Tek PSK, ayrılan çalışan hâlâ bağlanabiliyor
Segmentasyon	Misafir, kurumsal, IoT ayrı yayın alanları	Yedi testlik erişim matrisi	VLAN var, ama yönlendirme açık
İzleme kapsaması	Her kanal için günde 24 saat dinleme	WIDS kaydı, kanal tarama döngüsü	Rogue AP yalnızca denetim günü bulunuyor

Bu tabloyu doldurmayan bir rapor, teknik olarak doğru olsa bile tekrar edilemez: aynı ağ altı ay sonra aynı şekilde ölçülemez ve iyileşme gösterilemez.

Kapsama değil hava süresi: neden -67 dBm tek başına yetmiyor

"Her yerde en az -67 dBm" hedefi yaygın ve makul bir başlangıç. Ama tek başına yanıltıcı, çünkü iyi sinyal kötü bir kanalda hiçbir şey ifade etmiyor. Kablosuz ortam paylaşılan bir ortam: bir kanalda aynı anda tek bir verici konuşabiliyor. Dolayısıyla bir istemcinin yaşadığı gecikmeyi belirleyen şey kendi sinyali değil, kanalı kimin ne kadar süre meşgul ettiği.

Bu yüzden denetimin ilk ölçümü sinyal değil, kanal doluluğu olmalı. Ölçüm iki kaynaktan gelir: AP'nin kendi sayaçları (kanal meşguliyet yüzdesi, yeniden deneme oranı) ve saha ölçümü (spektrum analizi). İkisi uyuşmuyorsa sorun ya AP'nin gördüğü kanalda değil, istemcinin gördüğü kanaldadır - ki bu, komşu kanal girişimi demektir.

Hava süresi bütçesi: 12 milisaniyelik bir karenin bedeli

Hava süresi kavramını somutlaştıran hesap, tek bir 1500 baytlık karenin hangi hızda ne kadar süre tuttuğudur. 1500 bayt, 12.000 bit eder. Bu kareyi 1 Mbps'te göndermek 12 ms sürer; 24 Mbps'te yarım milisaniyeye iner; 433 Mbps'lik bir VHT80 bağlantıda 0,028 ms. Yani aynı veri, hıza göre 430 kata kadar farklı hava süresi tüketiyor.

Bağlantı hızı	1500 baytlık kare süresi	Gönderim (kare/saniye)	Saniyedeki hava süresi
1 Mbps (eski 802.11b istemci)	12 ms	10	120 ms = yüzde 12
6 Mbps (en düşük OFDM)	2 ms	10	20 ms = yüzde 2
24 Mbps	0,5 ms	10	5 ms = yüzde 0,5
433 Mbps (VHT80, 1 akış)	0,028 ms	10	0,28 ms = yüzde 0,03

İlk satır işin özü. Saniyede yalnızca on kare gönderen tek bir eski istemci, kanalın yüzde 12'sini tek başına alıyor. Aynı profilde dokuz istemci olduğunda kanal yüzde 108 dolar: yani AP'nin arayüzü "bağlı, hız yüksek" görünürken hiçbir istemci veri gönderemiyor. Bu, sahadaki "ağ var ama çalışmıyor" şikâyetinin en sık açıklaması ve kapsama haritasında görünmüyor.

Denetimde bu yüzden iki soru ayrı ayrı cevaplanmalı: en düşük hızda bağlanan istemci var mı, ve o istemci hangi yayın alanında? Eski bir yazıcı ya da IoT sensörü 1 Mbps'te bağlanıyorsa, onu ayrı bir yayın alanına (ve ideali ayrı radyoya) taşımak, kanalı genişletmekten daha çok fark yaratıyor.

Beacon vergisi: sekiz SSID'nin görünmeyen maliyeti

Her yayın alanı (SSID), kendi varlığını duyurmak için beacon karesi yayınlar; varsayılan aralık 100 ms, yani saniyede 10 beacon. Bu kareler istemci olmasa da gider ve en düşük hızda gönderilir. Aritmetiği yapalım: saniyede 10 beacon x 8 SSID x 3 AP = 240 kare/saniye; kare başına yaklaşık 250 bayt ile 480 kbps. Bu trafik 6 Mbps'lik taban hızda kanalın yaklaşık yüzde 8'ini dolduruyor - daha tek bir istemci bağlanmadan.

Sonuç: SSID sayısı bir tasarım kararı, bir kolaylık değil. Kurumsal, misafir, IoT, yönetim, konuk-personel ayrımı ve "eski cihazlar" alanı toplandığında sekiz SSID'ye çıkmak kolay; her biri kanaldan vergi alıyor. Denetimde sorulacak soru şu: bu yayın alanlarının kaçı gerçekten farklı bir güvenlik politikası taşıyor, kaçı yalnızca alışkanlık?

Geniş kanalın gizli maliyeti: 80 MHz neden her yerde iyi değil

Daha geniş kanal, tek bir istemciye daha yüksek hız verir; ama aynı spektrumda daha az bağımsız kanal bırakır. 5 GHz bandında 20 MHz'lik yaklaşık 25 kanal varken, 80 MHz'lik kanal sayısı altıya iner. Bir ofiste onlarca AP varsa, altı kanalı paylaşmak zorunda kalan AP'ler birbirinin hava süresini yiyor.

Pratik kural: yoğun istemci sayısı olan alanlarda (toplantı odaları, açık ofis) 40 MHz, seyrek alanlarda ve noktadan noktaya bağlantılarda 80 MHz. Karar verirken tek bir ölçüt kullanmak gerekiyor: kanal başına düşen AP sayısı. Üçten fazlaysa genişletmek hız kazandırmıyor, gecikme kaybettiriyor.

Ön anahtar aritmetiği: parola uzunluğu neden tek başına yetmiyor

WPA2-PSK'da anahtar, SSID ve paroladan PBKDF2-HMAC-SHA1 ile 4096 iterasyonda üretiliyor. Bu iterasyon sayısı, çevrimdışı deneme hızını sınırlıyor - ama sanıldığı kadar değil. Bir grafik işlemcisinde saniyede yaklaşık 500 bin aday denenebildiğini varsayarsak, arama uzayının büyüklüğü şu tabloyu veriyor:

Parola biçimi	Arama uzayı	500 bin deneme/saniye ile
8 karakter, küçük harf + rakam	36^8 ≈ 2,82 x 10^12	yaklaşık 65 gün
10 karakter, küçük harf + rakam	36^10 ≈ 3,66 x 10^15	yaklaşık 232 yıl
12 karakter, küçük harf + rakam	36^12 ≈ 4,74 x 10^18	milyarlarca yıl

Tablonun mesajı "uzun parola seçin" değil; mesajı şu: sekiz karakterlik bir parola, kurumsal bir ağ için bugün savunulabilir değil, çünkü deneme çevrimdışı yapılıyor ve saldırganın ağda bulunması gerekmiyor. Üstelik aynı PSK'yı kullanan herkes, o anahtarı biliyor demek: ayrılan bir çalışanın cihazındaki kayıtlı anahtar, ağın anahtarı olmaya devam ediyor.

PMKID: istemci beklemeden alınan kanıt

Klasik anlatımda WPA2 kırılması için bir istemcinin bağlanması, dört yollu el sıkışmanın yakalanması ve bir de bağlantı kesme gerekiyordu. PMKID yöntemi bu zinciri kısaltıyor: RSN bilgi öğesinden, istemci beklemeden, tek bir karede anahtar malzemesi alınabiliyor. Sonuç, denetim açısından önemli: "ağda istemci yokken güvendeyiz" varsayımı geçersiz.

Bu nedenle PSK'lı bir ağda denetimin çıktısı bir "kırıldı/kırılmadı" ikilisi değil, bir süre olmalı: parolanın çevrimdışı denemeye ne kadar dayandığı. Ölçüm şu şekilde yapılır: yakalanan malzemeyle kendi sözlük/kural listenizle deneme yapılır, süre ölçülür ve rapora "bu parola, bu donanımla X saatte çözüldü" diye yazılır. Bu, yöneticinin anlayacağı tek biçim.

802.1X: sertifika doğrulaması kapatılmışsa ne olur

Kurumsal ağlarda en sık görülen yanılgı, 802.1X'in tek başına evil twin saldırısını bitirdiğini sanmak. Bitirmiyor, çünkü koruma tek taraflı: kullanıcı adı ve parola sunucuya gidiyor, ama istemci sunucunun kim olduğunu doğrulamıyor. İstemci tarafında "sertifikayı doğrula" ayarı kapalıysa, saldırganın kurduğu sahte erişim noktası da kimlik bilgilerini toplayabiliyor - üstelik kullanıcı hiçbir şey fark etmeden.

• Sunucu sertifikası: RADIUS sunucusunun sertifikası kurumsal bir kök otoriteden gelmeli, istemciler bu kökü doğrulamalı. Ayarlar profil düzeyinde kilitlenmeli; kullanıcı değiştirebilmemeli.
• Alan adı sabitleme: sertifika doğrulamasının yanında sunucu adı da sabitlenmeli, aksi hâlde aynı kökten başka bir sertifika işe yarayabilir.
• EAP-TLS tercihi: parola tabanlı yöntemler (PEAP-MSCHAPv2) parolayı yakalanabilir hâle getirir; sertifika tabanlı EAP-TLS'te çalınacak parola yok.
• Kayıt defteri/AD eşlemesi: cihaz sertifikası ile kullanıcı kimliği eşleşmeli; aksi hâlde bir çalışanın cihazı başka birinin kimliğiyle bağlanabilir.

Bu dört satır, 802.1X'in gerçekten ne kanıtladığını belirliyor. Sadece ilk satır yapılıp diğerleri atlanırsa, ağ "kullanıcı adı isteyen bir PSK" hâline geliyor.

Geçiş modu: WPA2/WPA3 karışık yayının bedeli

WPA3'e geçerken en sık seçilen yol, aynı SSID'de WPA2 ve WPA3'ü birlikte sunmak (transition mode). Bu, eski cihazların bağlanmaya devam etmesini sağlıyor, ama iki maliyeti var. Birincisi yönetim karmaşıklığı: hangi istemcinin hangi korumayı aldığını ancak istemci bazında görebiliyorsunuz. İkincisi, koruma yönetim çerçevesi (PMF) zorunlu olmadığı için bazı saldırı sınıfları açık kalıyor.

Denetimde bu yüzden istemci envanteri istenir: kaç istemci yalnızca WPA2 konuşuyor, kaçı WPA3 destekli? Envanter yoksa geçiş planı da yok. Pratik eşik: WPA3 desteklemeyen istemci oranı yüzde 5'in altına indiğinde karışık moddan çıkılabilir; o oranın altındaki cihazlar ayrı bir yayın alanına alınır.

Rogue AP, gölge BT ve evil twin: üç ayrı iş

Üçü aynı başlıkta anılıyor ama üç farklı risk ve üç farklı karşılık gerektiriyor. Denetim raporunda ayrılmaları, müdahale sırasında hangi ekibin devreye gireceğini belirliyor:

Durum	Ne oluyor	Risk	Karşılık
Rogue AP	Kurum içinde izinsiz bir erişim noktası, kendi kablosuyla ağa bağlı	Ağın içinde denetimsiz bir giriş noktası	Anahtar yönetimi + yönetici portu denetimi + fiziksel tur
Gölge BT	Departmanın satın aldığı, BT'nin bilmediği cihaz	Politika dışı yapılandırma, yama yok	Varlık envanteri ve keşif taraması
Evil twin	Aynı SSID'yi taklit eden sahte erişim noktası	Kimlik bilgisi toplama, yönlendirme	802.1X sertifika doğrulaması + istemci uyarıları
Yanlış yapılandırılmış AP	Kuruma ait ama açık kimlik doğrulamayla çalışan cihaz	Doğrudan ağ erişimi	Yapılandırma denetimi, otomatik uyum kontrolü

Dördüncü satır en sık görülen ve en kolay düzeltilen: kurumun kendi cihazı, kurulum sırasında açık kalan bir test profili yüzünden kimlik doğrulamasız çalışıyor. Bu tür bir bulgu, üç aylık yapılandırma denetimiyle sürekli olarak kapatılabilir.

Segmentasyon bir testtir, VLAN değil

"Misafir ağı ayrı VLAN'da" cümlesi bir tasarım beyanı; kontrolün var olduğunu göstermiyor. Kontrol, erişim matrisinin test edilmesiyle gösterilir. Denetimde yedi test yeterli:

1. Misafir istemciden kurumsal bir sunucuya ICMP ve TCP erişimi denemesi.
2. Misafir istemciden yönetim arayüzüne (AP, anahtar, denetleyici) erişim denemesi.
3. Misafir istemciden diğer misafir istemciye erişim (istemci izolasyonu).
4. IoT alanından kurumsal alana yayın (broadcast/mDNS) sızması.
5. Kurumsal istemciden yönetim VLAN'ına erişim (olması gereken: yalnızca atlama sunucusu).
6. Yazıcı ve kamera gibi sabit cihazların internete doğrudan çıkışı.
7. Misafir ağından kurumsal DNS'e sorgu (DNS üzerinden veri sızdırma yolu).

Yedinci test en çok atlanan: misafir ağı kendi DNS'ini kullanıyorsa, iç alan adlarını çözebiliyor olabilir. Bu tek başına bir ihlal değil, ama iç ağ haritasını dışarıya veren bir kanal.

IoT ve OT: sabit anahtar, sabit sorun

Kablosuz IoT cihazlarının çoğu tek bir PSK'yı yıllarca kullanıyor, ürün yazılımı güncellenmiyor ve çoğu mDNS ile kendini duyuruyor. Bu cihazların kurumsal ağda olması, segmentasyonun ilk kırılma noktası. Üç önlem yeterli fark yaratıyor: ayrı yayın alanı, istemci izolasyonu ve çıkış (egress) kuralı - cihazın yalnızca konuşması gereken sunucuya erişimi.

Bir de envanter sorunu var. Kaç IoT cihazı bağlı olduğunu bilmeyen bir kurum, onları segmentleyemez. Denetimde DHCP kayıtları ve MAC üretici (OUI) dağılımı üzerinden bir sayım yapılabilir; tipik bir ofiste bu sayım, BT'nin bildiği cihaz sayısının iki-üç katını çıkarıyor. Ölçüm basit: son 30 günde görülen benzersiz istemci sayısı ile varlık envanterindeki cihaz sayısı arasındaki fark.

Sinyal bütçesi: 5 GHz'in mesafesi neden yarıya iniyor

Serbest alan yol kaybı, mesafenin ve frekansın logaritmasıyla artar. 10 metrede 2,4 GHz için yaklaşık 120,0 dB, 5 GHz için yaklaşık 126,7 dB. Aradaki 6,7 dB, aynı alıcı duyarlılığında mesafenin yaklaşık yarıya inmesi demek (10^(-6,7/20) ≈ 0,46).

Bant	10 m'de yol kaybı	Aynı RSSI için göreli mesafe	Sahada anlamı
2,4 GHz	120,0 dB	1,00	Daha geniş kapsama, daha kalabalık spektrum
5 GHz	126,7 dB	0,46	Aynı AP ile yaklaşık yarı mesafe, daha temiz kanal

Bu tablo, "5 GHz'e geçtik, kapsama düştü" şikâyetinin arkasındaki fiziği açıklıyor ve denetimde bir karar noktası yaratıyor: kapsama haritası hangi bantta çizildi? İki bandı aynı haritada tek renkle göstermek, sahadaki en yaygın rapor hatası.

Saha protokolü: kaç nokta, kaç saniye, kaç tekrar

Ölçüm planı, "ofisi gezip bakmak" değil; sayılabilir bir ızgara. 1.000 metrekarelik bir ofiste 5 metrelik ızgara, 40 ölçüm noktası veriyor. Nokta başına 45 saniye bekleme (spektrum taraması ve ortalama için), tek geçişte 30 dakika ediyor. Üç tekrar (sabah, öğle, yoğun saat) 90 dakika; bir günde iki bina rahatça ölçülebilir.

Parametre	Örnek değer	Neden bu değer
Alan	1.000 m²	Ölçüm kapsamının sınırı
Izgara aralığı	5 m	Kapsama değişimini yakalayacak çözünürlük
Nokta sayısı	40	1.000 / 25
Nokta başına bekleme	45 saniye	Spektrum taraması + ortalama
Tek geçiş süresi	30 dakika	40 x 45 saniye
Tekrar	3 (sabah / öğle / yoğun)	Zamana bağlı değişimi göstermek
Toplam	90 dakika	3 x 30 dakika

Izgaranın tek başına yetmediği yer, duvar arkası ve merdiven boşluğu gibi tek noktalar. Protokol bu noktaları "kritik nokta" olarak ayrıca listeler: toplantı odası kapalı kapı arkası, depo, asansör holü, güvenlik odası. Kapsama haritası bu noktalarda tutmuyorsa, haritanın geri kalanı iyi olsa da rapor eksik.

İzleme kapsaması: tarama döngüsünün aritmetiği

Kablosuz izleme (WIDS) sistemleri ortamı dinlerken aynı anda tüm kanalları dinleyemez; kanal kanal dolaşır. Bu yüzden "izleme var" cümlesi, "hangi kanalda kaç saniyede bir bakıyor" sorusuna indirgenmeli. Örnek bir hesapla: 40 kanal, kanal başına 250 ms bekleme ile bir tur 10 saniye sürer. Yani bir rogue AP on saniyeden kısa süre açık kalırsa hiç görülmeyebilir.

• Kanal listesi: izlenen kanal sayısı gerçekten ortamdaki tüm kanalları kapsıyor mu? 5 GHz atlanmışsa izleme yarı kör.
• Bekleme süresi: 250 ms altına inmek tur süresini kısaltır ama her kanalda yakalama olasılığını düşürür.
• Alarm eşiği: aynı SSID'yi yayan yabancı bir cihaz mı, yoksa meşru bir AP'nin komşu kanal sızması mı? Ayrım kuralı yoksa alarm yorgunluğu başlıyor.
• Kayıt süresi: tespit kayıtları ne kadar saklanıyor? 7 günlük saklama, aylık eğilim analizini imkânsız kılıyor.

Bu dört satır, izlemenin bir ürün değil bir program olduğunu gösteriyor. Denetimde ölçülecek tek sayı var: son 30 günde kaç rogue AP tespit edildi, kaçı kapatıldı, kaçı yanlış pozitifti. Bu üç sayı yoksa izleme raporu bir ekran görüntüsünden ibaret.

Alarm yorgunluğu ölçülebilir bir metrik: son 30 günde üretilen alarm sayısı, bunların kaçının kapatıldığı ve ortalama kapanma süresi. Günde yüz alarm üreten bir sistem, kırkıncı alarmdan sonra okunmuyor; bu durumda izleme var ama tespit yok. Sağlıklı bir oran, alarmların yüzde 80'inin ilk 24 saatte kapatılması ve aynı SSID için tekrar eden alarmların birleştirilmesi.

Rapor: bulgu değil, puanlanmış kanıt

Denetim raporunun işe yaraması için her bulgunun üç parçası olmalı: ölçüm (sayı), kanıt (kayıt ya da ekran çıktısı) ve puan. Puanlama basit bir çarpımla yapılabilir: olasılık (1-3) x etki (1-3).

Puan	Olasılık	Etki	Karşılık süresi
9	Yüksek: bugün kullanılabilir	Yüksek: ağa tam erişim	24 saat
6	Orta: koşul gerekiyor	Yüksek	7 gün
4	Yüksek	Düşük: bilgi sızması	30 gün
2	Düşük	Düşük	90 gün

Puanın yanına "nasıl doğrulanır" satırı eklenmeli: bir sonraki denetimde aynı bulgunun kapandığını gösterecek tek komut ya da tek ölçüm. Bu satır olmadan yeniden test, aynı listeden farklı bir liste üretiyor.

Sözleşme: denetimi tekrarlanabilir kılan altı madde

Kablosuz denetimi satın alırken kapsam belirsizse, çıktı da belirsiz oluyor. Altı madde yazılı olmalı:

Madde	Yazılması gereken	Yazılmazsa ne olur
Kapsam	Bina, kat, alan ve SSID listesi	Ölçüm "görülen yerlerde" kalır
Test penceresi	Gün ve saat aralığı, yoğun saat dahil	Yalnızca boş ofis ölçülür
Yöntem	Pasif dinleme mi, aktif test mi, hangi araçlar	Bulgular karşılaştırılamaz
Veri	Toplanan kayıtlar, saklama süresi, teslim biçimi	Kanıt denetimden sonra kaybolur
Yeniden test	Kaç gün içinde, kaç bulgu için	Kapanış gösterilemez
Sınır	Hangi testlerin yapılmayacağı (üretim kesintisi riski)	Beklenti ile teslim arasında boşluk

Son satır en çok tartışılan: bazı testler (örneğin kimlik bilgisi deneme saldırısı) üretimde kesintiye yol açabilir. Bunları yazılı olarak kapsam dışında bırakmak, denetimin eksik olduğu anlamına gelmiyor; hangi riskin kabul edildiğinin kaydı anlamına geliyor.

Bu altı madde yalnızca dış denetim için değil, tedarikçi ilişkisinin tamamı için geçerli: kablosuz denetimini bir alt yükleniciye verdiğinizde kapsam, veri saklama ve yeniden test taahhüdü sözleşmede yazılı değilse aynı belirsizlik geri dönüyor. Tedarikçi değerlendirmesinin denetimde okunabilir tarafı tedarik zinciri ve tedarikçi risk rehberinde yedi madde olarak duruyor.

Beş günlük denetim: gün gün çıktılar

Protokolün tamamı beş iş gününe sığıyor; sığması için her günün sonunda teslim edilebilir bir çıktı olması gerekiyor. Çıktı yoksa gün tekrar edilecek demek.

Gün	İş	Çıktı	Süre
1	Yapılandırma ve envanter okuma: denetleyici, RADIUS, SSID profilleri, DHCP kayıtları	Varlık ve yapılandırma tablosu	6 saat
2	Saha ölçümü (sabah + yoğun saat), spektrum analizi	Kapsama ve kanal doluluğu haritası	7 saat
3	Erişim matrisi testleri, istemci izolasyonu, misafir/IoT sınırları	Yedi testin sonuç tablosu	6 saat
4	Kimlik doğrulama incelemesi: sertifika doğrulaması, geçiş modu, PSK envanteri	Kimlik doğrulama bulguları + süre ölçümü	6 saat
5	Rapor yazımı, puanlama, kapanış toplantısı	Puanlanmış rapor ve 30/90 gün planı	6 saat

Toplam 31 saat. Bu, tek bir binada orta ölçekli bir kurum için gerçekçi bir bütçe; iki bina ve misafir ağı varsa bir gün daha eklenmeli. Beş günden kısa sürede teslim edilen "kapsamlı" denetimler genellikle yalnızca birinci ve ikinci günü yapıyor, üçüncü ve dördüncü günü atlıyor - yani en çok bulgu çıkan iki günü.

Üç aylık rutin: denetimin kalıcı olması

Yıllık denetim, aradan geçen on bir ayda ne olduğunu bilmiyor. Bu yüzden protokolün üç aylık bir çekirdeği olmalı; dört iş yeterli:

• Yapılandırma karşılaştırması: SSID profilleri, kimlik doğrulama ayarları ve segmentasyon kuralları önceki çeyrekle karşılaştırılır. Değişiklik onaylı mı, kayıtlı mı?
• Envanter farkı: son 30 günde görülen istemciler ile varlık listesi arasındaki fark. Yeni IoT cihazı, yeni misafir cihazı, kayıtsız cihaz.
• İzleme kayıtları: tespit edilen rogue AP ve yanlış pozitif sayısı; kapatılanların kaydı.
• Nokta ölçümü: geçen denetimde başarısız olan on noktanın yeniden ölçümü. Tam saha turu gerekmiyor; on nokta 8 dakika.

Bu dört iş, yıllık denetimi bir "proje" olmaktan çıkarıp bir süreç hâline getiriyor. Etkisi ölçülebilir: üç aylık rutin uygulanan ortamlarda tekrar eden bulgu sayısı düşüyor, çünkü kapanan bulgu kapanmış olarak kalıyor.

Altı ay sonra değişen şey: 6 GHz ve Wi-Fi 7

6 GHz bandı, kablosuz denetiminin iki varsayımını değiştiriyor. Birincisi kapsama: daha yüksek frekans, aynı güçte daha kısa mesafe; 5 GHz'den 6 GHz'e geçişte yol kaybı birkaç dB daha artıyor, yani AP sayısı artıyor. İkincisi izleme: 6 GHz'de kanal sayısı çok daha fazla olduğu için tarama döngüsü uzuyor ve aynı bekleme süresiyle tur süresi iki-üç katına çıkıyor.

Wi-Fi 7'nin çoklu bağlantı (MLO) özelliği ise raporlamayı zorlaştırıyor: bir istemci aynı anda iki bantta görünebiliyor, dolayısıyla "kaç istemci var" sayısı çift sayılabilir. Denetim aracının istemcileri MAC ve oturum bazında birleştirdiğini doğrulamak, bu yüzden yeni bir kontrol maddesi hâline geldi.

Pasif dinleme ve aktif test: hangisi neyi görür

Kablosuz denetiminde iki yöntem var ve biri diğerinin yerine geçmiyor. Pasif dinleme ortamı bozmadan gözlemler: hangi SSID'ler yayın yapıyor, hangi cihazlar hangi kanalda, kim kiminle konuşuyor. Aktif test ise kendi istemcinizle ağa bağlanıp erişim sınırlarını dener: misafir ağından iç sunucuya ulaşabiliyor muyum, kimlik doğrulama sertifikayı doğruluyor mu.

Soru	Pasif dinleme	Aktif test
Kaç SSID yayında?	Evet, tam liste	Yalnızca bağlanılanlar
Rogue AP var mı?	Evet, sürekli izlemede	Hayır, rastlantısal
Segmentasyon çalışıyor mu?	Hayır	Evet, doğrudan test
Kimlik doğrulama sertifikayı doğruluyor mu?	Hayır	Evet, sahte sunucuyla
Kanallar ne kadar dolu?	Evet	Dolaylı

İkinci ve üçüncü satır birlikte okunmalı: rogue AP tespiti pasif dinlemenin işi, ama "o AP ağa giriyor mu" sorusunun cevabı ancak aktif testle verilebiliyor. İkisi de yapılmıyorsa denetim, ortamın fotoğrafını çekmiş ama kapıyı açıp açmadığını denememiş oluyor.

Yasal sınır: kimin ağında test yapıyorsunuz

Kablosuz ölçüm, kaçınılmaz olarak komşu ağların yayınlarını da görüyor. Bunları listelemek ile onlara bağlanmaya çalışmak arasında hukuki bir fark var: ikincisi, yetkiniz olmayan bir sisteme erişim denemesi. Bu yüzden her denetimin başında yazılı bir kapsam ve yetki belgesi gerekir - hangi bina, hangi SSID'ler, hangi testler, hangi saat aralığı.

• Kapsam belgesi: bina ve SSID listesi, test türleri, sorumlu kişi imzası.
• Komşu ağlar: yalnızca pasif gözlem; bağlantı denemesi yok.
• Veri minimizasyonu: toplanan istemci bilgisi yalnızca denetim amacıyla, süreli saklanır.
• Kişisel veri: MAC adresi tek başına bir kişiyi tanımlamıyor, ama bir kullanıcı hesabıyla eşleştirildiğinde tanımlayıcı hâline geliyor; bu nedenle istemci listesi kişisel veri olarak değerlendirilmeli ve saklama süresi yazılmalı.

Bu dört satır, denetimin hem hukuki hem teknik olarak savunulabilir olmasını sağlıyor. Özellikle son satır pratikte en çok atlanan: denetim raporuna istemci MAC listesi ekleniyorsa, o liste bir kişisel veri işleme faaliyeti ve saklama süresi tanımlanmalı.

Sekiz yaygın hata

Denetimlerde tekrar eden sekiz hata var; her birinin karşısında, protokolde karşılık gelen düzeltme duruyor.

1. Kapsama haritasını güvenlik denetimi sanmak. Karşılığı: hava süresi ve kimlik doğrulama kanıtı aynı raporda ölçülmeli.
2. İki bandı tek haritada göstermek. Karşılığı: 2,4 ve 5 GHz ayrı harita; 6 GHz ayrıca.
3. Yalnızca boş ofiste ölçmek. Karşılığı: yoğun saat ölçümü zorunlu, üç tekrar.
4. VLAN'ı segmentasyon sanmak. Karşılığı: yedi erişim testi, sonuç tablosu.
5. 802.1X'i tek başına yeterli sanmak. Karşılığı: istemci sertifika doğrulamasının profil düzeyinde kilitlendiğini göstermek.
6. PSK'yı "güçlü parola" ile çözmek. Karşılığı: parola uzunluğunu süre ölçümüyle raporlamak, ayrılan çalışanın anahtarını döndürmek.
7. İzlemeyi kurup kanal listesini sınırlamak. Karşılığı: tarama turunun kaç saniye sürdüğünü yazmak.
8. Raporu bulgu listesi olarak teslim etmek. Karşılığı: her bulguya ölçüm, kanıt, puan ve doğrulama komutu.

Bu protokolün söylediği üç sayı

Metnin tamamını üç sayıya indirmek gerekirse: 12 milisaniye, 1500 baytlık bir karenin en düşük hızda kanalı ne kadar tuttuğu; yüzde 8, sekiz SSID'nin yalnızca varlığını duyurmak için kanaldan aldığı pay; 65 gün, sekiz karakterlik bir ön anahtarın çevrimdışı denemeye dayandığı süre. Üçü de kapsama haritasında görünmüyor ve üçü de ağın gerçek davranışını belirliyor.

Bu sayıları kendi ortamınız için yeniden ölçmek yarım günlük iş. Ölçüm yapılmadan alınan hiçbir güvenlik kararı - yeni AP, yeni lisans, yeni sertifika - bir sonraki denetimde aynı soruyla karşılaşacak: hangi sorunu çözdüğümüzü nasıl gösteriyoruz?

Kablosuz ağın kurumsal kimlik doğrulamasıyla ilişkisini API güvenlik testi rehberiyle birlikte okumak faydalı: uygulama katmanındaki oturum yönetimi, ağ katmanındaki kimlik doğrulamanın zayıf kaldığı yerde tek başına yetmiyor. Ağ erişimi sonrası yatay hareketi sınırlamak için olay müdahale planı, ölçüm ve kanıt tarafını kurumsal bir çerçeveye oturtmak için KVKK teknik tedbirler rehberi, erişilebilirliğe yönelik hacim saldırılarını ayrı bir başlık olarak ele almak için DDoS korunma ve bildirim rehberi ile birlikte kullanılabilir.

Ölçüm sonuçlarını yorumlamak: dört senaryo

Aynı ölçüm seti farklı ortamlarda farklı şeyler söylüyor. Aşağıdaki dört senaryo, rapor yazarken en sık karşılaşılan birleşimler ve her birinin doğru okunuşu:

Ölçüm	Ne görünüyor	Doğru okuma	İlk müdahale
RSSI iyi, hava süresi yüksek	-62 dBm, kanal yüzde 85 dolu	Kapsama sorunu değil, kapasite ve girişim sorunu	Kanal planı, eski istemciyi ayırma
RSSI iyi, hava süresi düşük, gecikme yüksek	-60 dBm, kanal yüzde 20, p95 400 ms	Sorun kablosuzda değil, kablolu tarafta ya da DNS'te	Kablolu yolu ve DNS'i ölçme
RSSI kötü, yeniden deneme yüksek	-78 dBm, yüzde 30 yeniden deneme	Kenar kapsama; istemci hız düşürerek bağlı kalıyor	AP yerleşimi veya ek AP
RSSI iyi, kimlik doğrulama zayıf	-58 dBm, tek PSK, 6 yıllık parola	Teknik olarak çalışıyor, güvenlik olarak çalışmıyor	802.1X geçiş planı, anahtar rotasyonu

İkinci satır en çok yanlış yorumlanan: kablosuz ölçümleri temiz, ama kullanıcı yavaşlık bildiriyor. Bu durumda sorun genellikle kablosuzun arkasındaki bir bağımlılık - yavaş bir DNS sunucusu, doygun bir WAN hattı ya da yanlış yapılandırılmış bir proxy. Denetimin kablosuz bölümü bunu "kablosuzda bulgu yok" diye kapatmamalı, "kablosuz dışı" olarak işaretlemeli.

İyileştirme sırası: en çok riski en az işle düşüren dört adım

Rapor teslim edildikten sonraki soru her zaman aynı: nereden başlanacak? Sıra, risk puanına göre değil, "birim iş başına düşen risk azalması"na göre kurulmalı:

1. Yanlış yapılandırılmış kendi cihazlarınızı düzeltin. Açık kimlik doğrulamayla çalışan AP, paylaşılan yönetim parolası, kapatılmamış eski profil. Maliyet saatlerle ölçülüyor, etkisi doğrudan.
2. İstemci sertifika doğrulamasını kilitleyin. Profil düzeyinde bir ayar değişikliği; evil twin sınıfının büyük kısmını kapatıyor.
3. Eski hızdaki istemcileri ayırın. 1 Mbps'te bağlanan cihazları ayrı yayın alanına almak, kanal kapasitesini tek hamlede geri veriyor.
4. Segmentasyon testlerini çalıştırın ve kapatın. Yedi testin üçünü geçemeyen bir yapı, VLAN tasarımı ne olursa olsun segmentlenmemiş sayılmalı.

Bu dört adım genellikle ilk iki haftada tamamlanıyor ve raporun "yüksek" puanlı bulgularının çoğunu kapatıyor. Kalan işler - 802.1X'e tam geçiş, 6 GHz planı, WPA3'e geçiş - takvim işi; ama ilk dört adım yapılmadan onlara başlamak, eski sorunları yeni altyapıya taşımak oluyor.

Bu denetimin göstermedikleri

Kapsamı yazmak, kapsam dışını da yazmayı gerektiriyor. Aşağıdaki beş soru, kablosuz denetimiyle cevaplanmıyor; rapor bunu açıkça söylemezse, okuyucu olmayan bir güvence satın alıyor:

• Kablolu ağın segmentasyonu. Kablosuz alan doğru ayrılmış olsa da kablolu tarafta düz bir ağ varsa, atlama hâlâ tek adım.
• Sunucu ve uygulama güvenliği. Kablosuz denetimi bir erişim katmanı testi; uygulama katmanındaki yetki hatalarını görmez. Bunun için sızma testi kapsamı gerekiyor.
• Fiziksel güvenlik. Kabin kilidi, AP montaj yüksekliği, yönetim portuna fiziksel erişim. Denetim bunları not eder, test etmez.
• Kimlik bilgisi sızması. Ağ dışında (oltalama, sızdırılmış veri kümeleri) ele geçirilmiş hesaplar kablosuzda görünmez; saldırı yüzeyi sertleştirme çalışmasının parçası.
• Süreklilik. AP arızası, denetleyici kaybı, RADIUS çöküşü gibi senaryolar ayrı bir iş sürekliliği testi.

Bu beş maddeyi raporun kapsam bölümüne yazmak, denetimin değerini düşürmüyor; tersine, hangi kararı hangi kanıtla vereceğinizi netleştiriyor. Bir sonraki adım genellikle bu beş maddeden birinin ayrı bir çalışma olarak planlanması oluyor.

Araç seçimi: lisans ve veri sahipliği

Denetim aracı seçimi genellikle özellik listesiyle yapılıyor, oysa iki soru daha belirleyici. Birincisi lisans: ölçüm yapan ekip, ölçüm sonuçlarını müşteriye aktarma ve arşivleme hakkına sahip mi? Bazı araçlar bulguları yalnızca kendi bulutunda tutuyor, müşteriye ham veri vermiyor - bu durumda denetim "kanıt" üretmiyor, ekran görüntüsü üretiyor.

İkincisi veri sahipliği: toplanan istemci listesi, spektrum kayıtları ve yakalanan çerçeveler denetimden sonra nerede kalıyor? Saklama süresi kime ait? Bu sorular sözleşmede cevaplanmazsa, kişisel veri içeren bir istemci listesi denetçinin dizüstü bilgisayarında süresiz kalabiliyor.

Kriter	Yeterli	Yetersiz
Ham veri dışa aktarımı	Ölçüm dosyası müşteriye teslim	Yalnızca özet ekran
Saklama	Sözleşmede tanımlı süre	Belirsiz
Kanal kapsaması	2,4 / 5 / 6 GHz ayrı ayrı	Yalnızca 2,4 GHz
Spektrum analizi	Ayrı spektrum kaydı	Yalnızca RSSI

Bu tablo, aynı işi yapan iki teklif arasındaki gerçek farkı gösteriyor: biri ölçüm, diğeri fotoğraf.

Kapanış: protokol, rapor değil

Kablosuz güvenlik denetiminin kalıcı değeri, teslim edilen dosyada değil; tekrar edilebilir ölçümlerde. Aynı ızgara, aynı bekleme süresi, aynı eşikler kullanıldığında iki denetim karşılaştırılabilir hâle geliyor ve iyileşme gösterilebiliyor. Aksi hâlde her denetim yeni bir bulgu listesi, her bulgu da yeni bir tartışma üretiyor.

Protokolün üç bileşeni bu yüzden sabitlenmeli: ölçüm noktaları (ızgara ve kritik noktalar), eşikler (hava süresi, SNR, kimlik doğrulama kanıtı) ve kanıt biçimi (hangi kayıt, kaç gün). Üçü de yazılıysa denetim bir proje olmaktan çıkıp bir süreç oluyor; süreç olduğunda da ilk denetimde bulunan sorunların geri dönmediği ölçülebiliyor.