Saldırı önleme sistemi, ağ trafiğini izleyerek saldırı girişimlerini tespit eden ve bunları gerçek zamanlı olarak engelleyen kontroldür. Tespit sisteminden temel farkı, trafiğin akış yolunda konumlanması ve karar verebilmesidir. Bir eşleşme bulunduğunda paket düşürülür ya da bağlantı sonlandırılır. Bu aktif konum, koruma sağlar ama aynı zamanda risk taşır. Yanlış bir engelleme, meşru trafiği keserek hizmet kesintisi üretebilir. Bu denge, yapılandırmanın merkezindedir.

Cihaz genellikle güvenlik duvarıyla aynı platformda bulunur. Yeni nesil güvenlik duvarlarında önleme modülü yerleşik olarak sunulur. Ayrı bir cihaz olarak da konumlandırılabilir. İki yaklaşımın da avantajları vardır: birleşik çözüm yönetimi kolaylaştırır, ayrı cihaz performans esnekliği sağlar. Seçim ortam büyüklüğüne göre yapılır. Boyutlandırma kritik önemdedir.

Saldırı Önleme Sistemi Nedir?

Saldırı önleme sistemi, trafiğin akış yolunda konumlanarak saldırı desenlerini tespit eden ve tespit edilen girişimleri gerçek zamanlı olarak engelleyen güvenlik kontrolüdür.

Sistem, tespit sisteminin yeteneklerine engelleme kararı ekler. Kural setleri büyük ölçüde ortaktır; fark, eşleşme sonrasında yapılan işlemdedir. Her kural için ayrı bir eylem tanımlanabilir: yalnızca uyarı, engelleme ya da bağlantı sonlandırma. Bu esneklik, riskli kuralların uyarı modunda tutulmasını sağlar. Yapılandırma bu ayrımı kullanmalıdır. Toptan engelleme risklidir.

Konumlandırma ve Arıza Davranışı

Cihaz trafiğin akış yolunda bulunduğu için arızası doğrudan kesinti üretir. Bu nedenle arıza davranışının önceden kararlaştırılması gerekir. Baypas modunda cihaz arızalandığında trafik geçmeye devam eder; koruma kaybolur ama hizmet sürer. Kapalı modda ise trafik durur; hizmet kesilir ama denetimsiz geçiş olmaz. Arıza davranışı kararı segmentin kritikliğine göre verilir. Yazılı olmalıdır.

Yedekli mimari, bu kararı kolaylaştırır. İki cihazın birlikte çalıştığı yapılarda, bir cihaz arızalansa bile diğeri devreye girer. Böylece katı davranış tercih edilebilir. Yedeklilik olmadan katı davranış sürdürülemez; ilk kesintide gevşetilir. Bu nedenle iki karar birlikte alınır. Mimari tasarımın parçasıdır.

Konum seçimi de önemlidir. Dış sınırda konumlandırılan bir cihaz, iç trafiği göremez ve yanal hareketi engelleyemez. Kritik segmentler arasına yerleştirme, iç koruma sağlar. Ancak iç trafik hacmi genellikle çok yüksektir. Boyutlandırma buna göre yapılmalıdır. Kapasite planlaması gerekir.

• Akış yolunda konumlanma ve gerçek zamanlı engelleme
• Kural bazında eylem tanımı: uyarı, engelleme, sonlandırma
• Arıza davranışının önceden kararlaştırılması
• Yedekli mimariyle kesinti riskinin yönetilmesi
• İç segmentler arasında konumlandırma seçeneği
• Şifreli trafikte açma gereksinimi

Yanlış Pozitif Yönetimi

En büyük işletme riski, meşru trafiğin engellenmesidir. Bu risk, cihazın değerini ortadan kaldıracak kadar ciddi olabilir; birkaç yanlış engellemeden sonra kurumlar cihazı uyarı moduna alır. Bu durumda önleme yeteneği fiilen kullanılmaz. Bu sonucu önlemek için kademeli devreye alma zorunludur. Süreç planlanmalıdır. Aceleci geçişler geri alınır.

Devreye alma, tüm kuralların uyarı modunda çalıştırılmasıyla başlar. Bu dönemde üretilen uyarılar incelenir ve meşru trafiğe ait olanlar için istisna tanımlanır. Ardından yüksek güvenilirlikli kurallar engelleme moduna alınır. Kalan kurallar kademeli olarak eklenir. Bu sıralama riski yönetir. Süreç haftalar sürebilir.

Kural seçiminde güvenilirlik ölçütü kullanılır. Bazı kurallar neredeyse hiç yanlış pozitif üretmez; bunlar doğrudan engelleme moduna alınabilir. Diğerleri ise ortama göre değişken davranır ve dikkatli değerlendirilmelidir. Üretici kural açıklamaları bu değerlendirmede yardımcı olur. Kendi ölçümünüz daha güvenilirdir. Veri toplanmalıdır.

Şifreli Trafik Sorunu

Trafiğin büyük bölümü şifreli olduğu için, içerik denetimi ancak açma işlemiyle mümkün olur. Açma yapılmadığında cihazın koruma kapsamı ciddi biçimde daralır. Bu gerçek, birçok kurumda göz ardı edilir ve cihazın koruduğu varsayılır. Oysa denetlenen trafik oranı ölçülmelidir. Ölçüm sonuçları çoğu zaman beklenenden düşüktür. Farkındalık önemlidir.

Açma işlemi performans, gizlilik ve uyumluluk etkileri taşır. Kapasite belirgin biçimde düşer ve boyutlandırma buna göre yapılmalıdır. Hukuki değerlendirme yapılmalı ve çalışanlar bilgilendirilmelidir. Bazı kategoriler denetim dışı bırakılır. Derin paket inceleme uygulaması bu çerçevede yürütülür. Karar kurum politikasına bağlıdır.

Bazı uygulamalar sertifika sabitleme kullandığı için açma işlemi çalışmaz. Bu uygulamalar için istisna tanımlanması gerekir. İstisna listesi bakım gerektirir ve zamanla büyür. Liste büyüdükçe kapsama daralır. Bu etkinin izlenmesi önerilir. Ölçüm yapılmalıdır.

Kural Setinin Bakımı

Kural setleri üretici tarafından düzenli güncellenir. Güncellemelerin otomatik uygulanması kapsama açısından iyidir ama yeni kuralların yanlış pozitif üretme riski vardır. Bu nedenle yeni kuralların önce uyarı modunda çalıştırılması önerilir. Bir süre gözlendikten sonra engelleme moduna alınır. Bu akış otomatikleştirilebilir. Ürün desteği değişir.

Kullanılmayan kuralların devre dışı bırakılması da performans kazandırır. Ortamda bulunmayan platformlara ait kurallar gereksiz yük üretir. Kural setinin ortam envanterine göre filtrelenmesi önerilir. Bu filtreleme, hem hız hem gürültü açısından fayda sağlar. Envanter bilgisi gereklidir. Güncel tutulmalıdır.

Kuralların ürettiği uyarı sayıları izlenmelidir. Aşırı uyarı üreten kurallar incelenir ve gerekirse sıkılaştırılır. Hiç uyarı üretmeyen kurallar ise kapsama boşluğuna işaret edebilir. İki durum da inceleme gerektirir. Ölçüm düzenli yapılır. Rapor üretilir.

Etkinliğin Doğrulanması

Cihazın gerçekten koruma sağladığı kontrollü testlerle doğrulanmalıdır. Bilinen saldırı desenlerinin gönderilmesi, hangi kuralların tetiklendiğini gösterir. Bu test, yapılandırma hatalarını ortaya çıkarır. Trafiğin cihazdan geçmediği durumlar sık görülür. Doğrulama bu boşluğu bulur. Dönemsel tekrarlanır.

Sonuçlar bir kapsama tablosuna işlenir. Hangi saldırı türlerinin engellendiği, hangilerinin yalnızca uyarı ürettiği ve hangilerinin hiç görülmediği bu tabloda yer alır. Tablo, yatırım kararlarına girdi olur. Mor takım çalışmaları bu doğrulamayı yürütür. Sonuçlar somuttur. Boşluklar görünür hâle gelir.

Sanal Yama Kavramı

Önleme sistemlerinin değerli bir kullanımı, sanal yamalamadır. Bir bileşende kritik zafiyet duyurulduğunda, üretici hızlıca ilgili sömürü desenini engelleyen bir kural yayımlar. Bu kural, gerçek yama uygulanana kadar koruma sağlar. Özellikle yamalanması zaman alan sistemlerde değerlidir. Endüstriyel ve eski sistemlerde bu koruma kritik olabilir. Geçici bir çözümdür.

Sanal yama kalıcı çözüm değildir. Zafiyet sistemde durmaya devam eder ve farklı bir sömürü yöntemi kuralı atlatabilir. Bu nedenle gerçek yama planı iptal edilmemelidir. Sanal yama yalnızca zaman kazandırır. Bu ayrım net tutulmalıdır. Yanlış güven riskli olur.

Kuralın gerçekten koruma sağladığı da doğrulanmalıdır. Kontrollü test, kuralın ilgili sömürüyü engellediğini gösterir. Doğrulama yapılmadan koruma varsayılmamalıdır. Test ortamı bu doğrulamayı sağlar. Sonuçlar kayıt altına alınır. Karar buna dayanır.

Performans ve Boyutlandırma

Önleme sistemleri trafiğin akış yolunda bulunduğu için kapasiteleri doğrudan hizmet kalitesini etkiler. Yetersiz boyutlandırma, gecikme ve paket kaybı üretir. Bu etki, kullanıcı şikâyetlerine ve sonunda cihazın devre dışı bırakılmasına yol açar. Bu nedenle boyutlandırma gerçek trafik verisine dayanmalıdır. Üretici değerleri en iyi koşullar içindir. Gerçek kapasite daha düşüktür.

Şifreli trafik açma işlemi kapasiteyi belirgin biçimde düşürür. Bu özellik etkinleştirilecekse boyutlandırma buna göre yapılmalıdır. Aksi hâlde cihaz darboğaza dönüşür. Ölçüm deneme kurulumuyla yapılabilir. Gerçek veriyle test önerilir. Tahmine dayalı seçim risklidir.

Büyüme payı da bırakılmalıdır. Trafik hacmi zamanla artar ve cihazın ömrü boyunca yeterli kalması beklenir. Genellikle birkaç yıllık büyüme öngörüsü kullanılır. Bu öngörü satın alma kararına girdi olur. Yetersiz kapasite erken yenileme gerektirir. Toplam maliyet artar.

Bulut ve Uzaktan Çalışma Bağlamı

Kullanıcıların ofis dışından çalıştığı ortamlarda, trafiğin merkezî bir cihazdan geçmesi her zaman mümkün değildir. Tüm trafiği kuruma geri çeken tasarımlar performans sorunu üretir ve kullanıcı deneyimini bozar. Bu nedenle bulut tabanlı denetim katmanları yaygınlaşmıştır. Kullanıcı nerede olursa olsun trafiği en yakın denetim noktasından geçer. Bu model, klasik cihaz yaklaşımının yerini almaktadır. Geçiş kademeli yapılır.

Bulut modelinde kural yönetimi merkezîdir ve tüm kullanıcılara tutarlı uygulanır. Cihaz bakımı ve kapasite planlaması sağlayıcıya geçer. Buna karşılık veri egemenliği ve gizlilik konuları değerlendirilmelidir. Trafiğin nerede işlendiği sözleşmede belirtilmelidir. Hukuki değerlendirme gerekir. Karar buna göre verilir.

Şirket içi ve bulut katmanların birlikte kullanıldığı karma modeller de yaygındır. Sunucu trafiği şirket içi cihazlardan, kullanıcı trafiği bulut katmanından geçirilir. Bu ayrım, her iki modelin avantajını kullanır. Yönetim tutarlılığı sağlanmalıdır. Farklı kural setleri karışıklık üretir. Merkezî politika tercih edilir.

Privia Security olarak ağ önleme kontrollerinin gerçek etkinliğini altyapı ve mimari gözden geçirme kapsamında ölçüyor, yapılandırma boşluklarını raporluyoruz.