Güvenlik duvarı, ağ trafiğini önceden tanımlanmış kurallara göre denetleyen ve her bağlantı için izin verme ya da engelleme kararı üreten kontroldür. Kararlar kaynak ve hedef adres, port ve protokol bilgisine dayanır; gelişmiş türlerde uygulama ve kullanıcı kimliği de dikkate alınır. Güvenlik duvarı, ağ güvenliğinin en eski ve en temel bileşenidir. Buna karşılık tek başına yeterli bir savunma sağlamaz. Modern mimarilerde birçok katmandan yalnızca biridir. Değeri, doğru yapılandırıldığında ortaya çıkar.

Cihaz, ağ segmentleri arasındaki geçiş noktasına yerleştirilir. En bilinen konum, kurum ağı ile internet arasıdır; ancak iç segmentler arasında da kullanılır. İç kullanım, yanal hareketi sınırlamak açısından en az dış kullanım kadar önemlidir. Birçok kurumda yalnızca dış sınırda güvenlik duvarı bulunur ve iç ağ düzdür. Bu yapı, bir sisteme sızıldığında tüm ortamı açar. Segmentasyon bu boşluğu kapatır.

Güvenlik Duvarı Nedir?

Güvenlik duvarı, ağ segmentleri arasındaki trafiği tanımlı kurallara göre denetleyerek yetkisiz erişimi engelleyen ve izin verilen iletişime yol veren güvenlik kontrolüdür.

Temel çalışma mantığı, her paketin ya da bağlantının kural setiyle karşılaştırılmasıdır. Kurallar yukarıdan aşağıya değerlendirilir ve ilk eşleşen kural uygulanır. Set sonunda genellikle bir varsayılan kural bulunur; bu kuralın engelleme yönünde olması güvenlik açısından esastır. Varsayılan izin verme davranışı, tanımlanmamış her trafiğin geçmesine yol açar. Bu tercih ciddi bir zafiyet oluşturur. Yapılandırma denetiminde ilk kontrol edilen maddedir.

Türleri

En eski tür, paket filtreleyicilerdir. Her paketi bağımsız olarak değerlendirir ve yalnızca başlık bilgilerine bakar. Hızlıdır ama bağlantı durumunu takip etmediği için sınırlıdır. Bu nedenle günümüzde tek başına kullanılmaz. Basit senaryolarda hâlâ karşılaşılır. Yönlendirici erişim listeleri bu kategoridedir.

İkinci tür, durum bilgisi tutan güvenlik duvarlarıdır. Bağlantıların durumunu bir tabloda izler ve yalnızca geçerli bağlantılara ait paketleri geçirir. Bu yaklaşım, hem güvenliği hem kural yönetimini iyileştirir. Kurumsal ortamların standart çözümüdür. Durum tablosu kapasitesi bir kısıt oluşturabilir. Boyutlandırma önemlidir.

Üçüncü tür, uygulama katmanı denetimi yapan cihazlardır. Trafiği yalnızca port bilgisine göre değil, gerçekte hangi uygulamanın kullanıldığına göre değerlendirir. Yeni nesil güvenlik duvarı bu kategorinin adıdır. Kimlik tabanlı kurallar da bu türde mümkündür. Yetenek artışı yönetim karmaşıklığını da artırır.

• Paket filtreleyici: yalnızca başlık bilgisine bakar
• Durum bilgili: bağlantı durumunu izler
• Uygulama katmanı: uygulama ve kullanıcı bazlı kural
• Ana bilgisayar tabanlı: uç noktada çalışan yerel duvar
• Bulut yerel: güvenlik grupları ve ağ erişim listeleri
• Web uygulama duvarı: uygulama isteklerini denetler

Kural Yönetimi

Kural setinin kalitesi, güvenlik duvarının gerçek değerini belirler. Zamanla biriken kurallar, kimsenin gerekçesini hatırlamadığı bir yığına dönüşür. Bu yığın hem güvenlik hem performans sorunu üretir. Bu nedenle her kuralın sahibi, gerekçesi ve geçerlilik süresi kayıt altında olmalıdır. Süresi dolan kurallar gözden geçirilir. Bu disiplin olmadan set bozulur.

Kuralların dar tanımlanması esastır. Geniş adres aralıkları ve çok sayıda porta izin veren kurallar, gereksiz erişim yolları açar. Doğru yaklaşım, yalnızca gereken kaynak, hedef ve porta izin vermektir. Bu daraltma çalışması zaman alır ama kalıcı kazanç sağlar. Trafik kayıtları bu çalışmaya girdi olur. Gerçek kullanım verisiyle daraltma yapılır.

Kullanılmayan kuralların tespiti de önemlidir. Hiç eşleşme üretmeyen kurallar, muhtemelen artık gerekli değildir. Bu kuralların kaldırılması set boyutunu küçültür ve yönetimi kolaylaştırır. Kaldırma öncesinde sahibiyle görüşülmelidir. Aceleci kaldırmalar kesinti üretebilir. Süreç tanımlı olmalıdır.

Çıkış Trafiği Denetimi

Çoğu kurumda güvenlik duvarı yalnızca gelen trafiği denetler; giden trafik serbest bırakılır. Bu tercih, komuta kontrol iletişiminin engelsiz çalışmasına yol açar. Oysa çıkış denetimi, birçok saldırı zincirini kesebilecek güçlü bir kontroldür. Sunucuların internete doğrudan erişmesine genellikle gerek yoktur. Erişim bir aracı üzerinden ve yalnızca gerekli hedeflere verilebilir. Bu daraltma önceliklidir.

Uygulama, envanter çalışmasıyla başlar. Hangi sistemin hangi dış hedeflere erişmesi gerektiği belirlenir. Ardından denetim modunda izleme yapılır ve gerçek kullanım kaydedilir. Son olarak kısıtlama uygulanır. Bu sıralama, kesinti riskini yönetilebilir kılar. Ani kısıtlamalar operasyonu aksatır.

Çıkış denetimi ayrıca kurumun saldırı kaynağı olmasını da engeller. Ele geçirilmiş bir sistemden çıkan saldırı trafiği, kurumun adresinin engellenmesine yol açabilir. Bu itibar riski çoğu zaman göz ardı edilir. Denetim, hem kurumu hem başkalarını korur. Kolektif fayda üretir. Uygulama maliyeti düşüktür.

Bulut Ortamlarında Karşılığı

Bulut ortamlarında güvenlik duvarı işlevi, güvenlik grupları ve ağ erişim listeleriyle sağlanır. Bu mekanizmalar kaynak düzeyinde tanımlanır ve otomasyonla yönetilir. Kod olarak tanımlanmaları, sürüm kontrolü ve inceleme imkânı sunar. Bu yapı, geleneksel kural yönetimine göre daha izlenebilirdir. Buna karşılık hızlı değişim nedeniyle sapma riski yüksektir. Sürekli izleme gerekir.

Bulut ortamlarında en sık görülen hata, geniş kaynak aralıklarına izin verilmesidir. Tüm internete açık bırakılan yönetim portları, otomatik taramalarla hızla bulunur. Bu yapılandırmaların hesap düzeyinde koruyucu politikayla engellenmesi önerilir. Bulut güvenlik duruşu yönetimi bu sapmaları tespit eder. Sürekli izleme zorunludur. Tek seferlik denetim yetersizdir.

Sık Yapılan Hatalar

İlk hata, varsayılan izin verme davranışıdır. Tanımlanmamış trafiğin geçmesine izin veren bir set, güvenlik duvarını büyük ölçüde işlevsiz kılar. Varsayılan engelleme ilkesi benimsenmelidir. Bu değişiklik kademeli uygulanabilir. Önce izleme yapılır. Sonra kısıtlama devreye alınır.

İkinci hata, kayıtların toplanmaması ya da incelenmemesidir. Güvenlik duvarı kayıtları, hem tespit hem sorun giderme için değerlidir. Engellenen bağlantılar kadar izin verilenler de bilgi taşır. Kayıtların merkezî toplanması gerekir. Yalnızca cihaz üzerinde tutulan kayıtlar sınırlıdır. Saklama süresi kısadır.

Üçüncü hata, yönetim arayüzünün korunmamasıdır. Güvenlik duvarının yönetim arayüzüne internetten erişilebilmesi ciddi bir zafiyettir. Yönetim yalnızca ayrılmış bir ağdan yapılmalıdır. Ayrıca güçlü kimlik doğrulama zorunlu tutulmalıdır. Cihaz yazılımı güncel tutulmalıdır. Bu cihazlar sık hedef alınır.

Segmentasyon Tasarımı

Güvenlik duvarının asıl değeri, iyi tasarlanmış bir segmentasyonla birlikte ortaya çıkar. Segmentler, sistemlerin işlevine ve veri hassasiyetine göre belirlenir. Sunucular, kullanıcı istemcileri, yönetim sistemleri ve konuk erişimi ayrı segmentlerde bulunmalıdır. Segmentler arası trafik güvenlik duvarından geçirilir ve yalnızca gerekli iletişime izin verilir. Bu tasarım, bir sisteme sızıldığında yayılmayı sınırlar. Ağ segmentasyonu bu nedenle temel bir kontroldür.

Segment sayısının aşırı artması ise yönetim yükü üretir. Her yeni segment, yeni kurallar ve yeni istisnalar demektir. Bu nedenle segment tasarımı dengeli yapılmalıdır. Başlangıç için işlev bazlı birkaç segment yeterlidir. Olgunlaştıkça daha ince ayrım yapılabilir. Kademeli yaklaşım önerilir.

Yönetim ağının ayrılması özellikle önemlidir. Ağ cihazlarının, sanallaştırma altyapısının ve yedekleme sistemlerinin yönetim arayüzleri ayrı bir segmentte bulunmalıdır. Bu segmente erişim yalnızca ayrılmış iş istasyonlarından verilir. Bu ayrım, ele geçirme durumunda etkiyi belirgin biçimde sınırlar. Uygulama önceliklidir. Çoğu ortamda eksiktir.

Yüksek Erişilebilirlik ve Bakım

Güvenlik duvarı, ağ trafiğinin geçtiği kritik bir noktadır ve arızası tüm iletişimi durdurur. Bu nedenle yedekli yapılandırma standart olmalıdır. İki cihazın aktif-pasif ya da aktif-aktif çalışması, tek cihaz arızasında kesinti yaşanmamasını sağlar. Yedekliliğin gerçekten çalıştığı düzenli olarak sınanmalıdır. Sınanmamış yedeklilik güven vermez. Test planlanmalıdır.

Yazılım güncellemeleri de düzenli uygulanmalıdır. Bu cihazlar internete açık olduğu için sık hedef alınır ve zafiyetleri hızla sömürülür. Güncelleme penceresi kısa tutulmalıdır. Yedekli mimari, kesintisiz güncellemeyi mümkün kılar. Bu iki konu birlikte planlanır. Bağımlılık vardır.

Yapılandırma yedeklerinin alınması da gereklidir. Bir arıza ya da hatalı değişiklik durumunda hızlı geri dönüş sağlar. Yedeklerin ayrı bir konumda ve şifreli saklanması önerilir. Yapılandırma dosyaları hassas bilgi içerir. Erişim kısıtlanmalıdır. Sürüm kontrolü kullanılabilir.

Privia Security olarak güvenlik duvarı kural setlerini ve segmentasyon tasarımını altyapı ve mimari gözden geçirme kapsamında inceliyor, daraltma önerilerini önceliklendirilmiş biçimde sunuyoruz.