Kurumsal Firewall Kurulumu, Yönetimi ve Danışmanlığı

Bir iş merkezinin lobisini düşünün: turnikeler, kartlı geçiş sistemi ve girişte duran bir güvenlik görevlisi. Bina ne kadar güvenli görünürse görünsün, bu üç unsurdan biri eksikse (turnike hiç kurulmamışsa, kartlar güncellenmiyorsa veya kimse nöbet tutmuyorsa) içeri giren herkes serbestçe dolaşır. Kurumsal ağınızdaki firewall tam olarak budur: ağınızın dış dünyayla buluştuğu tek giriş kapısı.

Fortinet, Palo Alto Networks ve pfSense/OPNsense platformlarında bu kapıyı kuruyor (kurulum), her gün kimin girip çıkabileceğini güncelliyor (yönetim) ve hangi sistemin kurumunuza uygun olduğuna birlikte karar veriyoruz (danışmanlık).

Bu makale Kurumsal Network Kurulumu hizmetimizin güvenlik katmanına odaklanır; switch ve router kurulumu için switch ve router kurulumu rehberimize, ağ cihazlarının genel sıkılaştırılması için siber güvenlik sıkılaştırma rehberimize de bakabilirsiniz. Bir firewall’un paketi nasıl değerlendirdiğini, kural listesinden bağlantı tablosuna kadar lab ölçümüyle firewall nedir yazımızda gösterdik.

Firewall Kurulumu: Giriş Kapısının İlk Kez Doğru Kurulması

Bir turnikeyi monte etmek, sadece cihazı yerine vidalamak değildir; önce hangi kapıdan kimin, hangi saatte geçeceğine karar vermek gerekir. Firewall kurulumunda da aynı mantık işler: kural yazmadan önce ağ topolojisini ve iş gereksinimlerini anlıyoruz. Hangi trafiğin geçmesi gerektiği, hangi servislerin dışarıya açık olacağı netleşmeden tek bir kural yazmıyoruz.

Kurulum aşamasında şunları uyguluyoruz:

• Donanım veya sanal firewall kurulumu, zone tabanlı security policy’ler
• NAT ve yönlendirme (routing) yapılandırması
• Şubeler arası site-to-site VPN ve uzaktan erişim VPN’i
• Web filtreleme ve uygulama kontrolü: belirli kategorilerdeki sitelere veya uygulamalara erişimi kısıtlama

Bu listedeki ilk iki madde sık karıştırılır: bir paketin geçmesi için hem adresinin çevrilmesi hem de kuralın ona izin vermesi gerekir, ve bunlar ayrı iki karardır. Çevirinin nasıl işlediğini, dışarıdan içeri erişimin neden elle kural istediğini ve çift NAT’lı hatlarda kuralın neden tek katmanda yetmediğini NAT ve port yönlendirme rehberimizde ölçümlerle anlatıyoruz.

Bu aşamanın sonunda ortaya çıkan şey, sadece çalışan bir cihaz değil, neden o şekilde yapılandırıldığı belli olan, savunulabilir bir kural setidir.

Kurulumu hangi sırayla yaptığımızı, konsoldan ilk girişten sıkılaştırmaya kadar 20 adım hâlinde yapılandırma kontrol listemizde açıkça yazdık. İhtiyaca göre eklenen güvenlik profilleri, VPN, SD-WAN ve HA ise ileri seviye rehberimizde ayrı bir 13 adımlık listede.

Zone Tabanlı Segmentasyon

Bir imalat şirketinde misafir Wi-Fi’ının, üretim hattındaki makinelerin ve muhasebe departmanının aynı düz ağda (flat network) olması, birinin diğerine sızmasını sadece bir yapılandırma hatasına bağlı hale getirir. Bir ziyaretçinin cihazına bulaşan bir kötü amaçlı yazılım, aynı ağda olduğu için doğrudan muhasebe sunucusuna da ulaşabilir.

Zone tabanlı policy, bu üç alanı baştan ayrı güvenlik bölgelerine ayırır; misafir ağı sadece internete çıkabilir, üretim hattı sadece kendi sunucusuyla konuşabilir, muhasebe departmanı ise yalnızca yetkili olduğu sistemlere erişebilir. Bu ayrımı sonradan eklemek, sıfırdan kurmaktan çok daha zahmetlidir; bu yüzden kurulum aşamasında baştan tasarlanır.

Firewall Kurulumu Neden Sadece Bir Günlük İş Değildir?

Bir turnikeyi kutusundan çıkarıp prize takmak birkaç saat sürer; ama binanın hangi katının hangi kart tipiyle açılacağına, hangi saatte hangi kapının kilitleneceğine karar vermek günler alır. Firewall kurulumunda da asıl zaman, cihazı devreye almak değil, önce ağ haritasını çıkarmak, hangi departmanın hangi sunucuya ihtiyaç duyduğunu belirlemek ve kuralları canlıya almadan önce test ortamında denemektir.

Bu yüzden kaliteli bir kurulum projesi, ölçeğe göre birkaç günden birkaç haftaya yayılabilir; aceleye getirilen bir kurulum ise ya iş akışını gereksiz yere kısıtlar ya da gerçek bir tehdide karşı boşluk bırakır.

Firewall Yönetimi: Turnikenin Her Gün Doğru Çalışması

Turnikeyi kurmak işin yarısıdır; kartı iptal edilmeyen eski bir çalışanın hâlâ içeri girebilmesi, ya da bir ziyaretçiye “sadece bugün” verilen yetkinin aylarca açık kalması, kurulumun kendisinden değil, günlük yönetimin eksikliğinden kaynaklanır. Firewall yönetimi tam olarak bu sürekliliği sağlar: kural setleri zamanla şişer ve gereksiz karmaşıklaşır, periyodik gözden geçirme olmadan hangi kuralın hâlâ gerekli olduğunu kimse bilemez hale gelir.

Yönetilmeyen Bir Firewall’da Neler Birikir

Yakın zamanda devraldığımız bir kurumda tam olarak bu tabloyla karşılaştık: yıllarca network ve sistem konusunda uzman bir personeli olmadan büyümüş bu ortamda, firewall’a ne işe yaradığı belirsiz, açıklaması hiç girilmemiş, birbirini geçersiz kılan onlarca kural eklenmişti. Kuralı yazan kişi kurumdan ayrıldığı için “bunu silersek ne bozulur” sorusunun cevabını da kimse bilmiyordu. Cihaz canlı hizmet veriyordu; herhangi bir kuralı düşünmeden silmek kurumun tüm internet ve uzak erişim trafiğini durdurabilirdi.

Riskli bir “temizle ve umut et” yaklaşımı yerine önce anlamaya çalıştık: her kuralı tek tek inceleyip ne işe yaradığını not aldık, temkinli bir geri alma (rollback) planıyla adım adım ilerledik.

Kalan ve yeni yazılan tüm kurallara kurumsal bir isimlendirme standardı uyguladık; örneğin belirli bir sunucu grubuna ait trafiği tek tek IP numaralarıyla değil, ne işe yaradığını açıklayan anlamlı bir servis grubu adıyla tanımladık, her policy’ye hangi cihazın hangi amaçla o kurala ihtiyaç duyduğunu açıklayan bir yorum satırı ekledik. Bu temizliği ve ardından gelen sıkılaştırmayı hangi adımlarla tamamladığımızı firewall güvenlik sıkılaştırma vaka çalışmasında ayrıntısıyla anlatıyoruz.

Sürekli yönetim hizmetimiz ayrıca şunları kapsar:

• IPS/IDS: bilinen saldırı imzalarına karşı aktif koruma, anormal trafik örüntülerinin tespiti
• Kural setlerinin periyodik gözden geçirilmesi ve gereksiz kuralların temizlenmesi
• Log ve olay izleme, şüpheli trafiğin erken tespiti

Aylık bir güvenlik raporu, hangi kuralın hangi tehdidi kaç kez engellediğini ve hangi kuralın artık hiç trafik almadığını gösterir; bu rapor hem kurumsal hafıza hem de bir sonraki denetimde referans noktası olarak işlev görür.

Bir kuralın artık trafik alıp almadığı FortiGate’te kuralın kendi ekranındaki Hit count ve Last used değerlerinden okunur. Bu ekranları, logların okunmasını ve yeni kuralın listede doğru yere taşınmasını FortiGate’in günlük kullanımını anlattığımız rehberde lab cihazımızda gösterdik.

Firewall arızası nadiren yalnız kalır: cihaz düştüğünde ya internet erişimi kesilir ya da koruma katmanı açılır, yani iki durum da mesai beklemez. Böyle bir çağrının hangi önem seviyesine girdiğini, mesai dışında hangi çağrılara müdahale ettiğimizi ve neyin kapsam dışında kaldığını destek sürecimizde yazdık.

Burada sık karşılaştığımız bir yanılgıya değinelim: firewall’un ürettiği log güvenlik izlemesi için değerlidir, ama yasal saklama için tek başına yeterli değildir. 5651 kapsamındaki kayıtların iki yıl boyunca değiştirilemez ve zaman damgalı biçimde saklanması gerekirken, çoğu cihazın yerel diski kapasite dolduğunda en eski kayıtların üzerine sessizce yazar. Cihazınızın “5651 uyumlu firewall” olarak satılması da bu farkı kapatmaz.

Ayrımın ayrıntısını ve markadan bağımsız bir log arşivinin nasıl kurulduğunu 5651 log yönetimi rehberimizde anlatıyoruz. Cihazınızın yerel diskinin kaç ay yettiğini görmek isterseniz log kapasitesi aracımız oturum sayısından hesaplıyor.

Firewall Danışmanlığı: Doğru Sistemi Seçmek

Bir binaya kaç turnike, hangi kapasitede bir güvenlik görevlisi ekibi gerektiği, binanın büyüklüğüne ve trafik yoğunluğuna göre değişir; aynı karar sunucu tarafında da verilmelidir. Firewall danışmanlığı, bir cihaz satın almadan önce hangi markanın ve modelin kurumunuza uygun olduğuna, kaç lokasyonun nasıl bağlanacağına, hangi düzeyde yüksek erişilebilirlik gerektiğine karar verme sürecidir.

Yanlış boyutlandırılmış bir cihaz, hem bütçeyi hem de gelecekteki performansı baştan riske atar; küçük bir işletmeye kurumsal ölçekli bir cihaz önermek kadar, büyüyen bir kuruma yetersiz kalacak bir cihaz önermek de aynı derecede maliyetli bir hatadır.

Bu karar tek bir soruya indirgenemez. Tek lokasyonlu, 20 kişilik bir ofis ile 15 şubeli bir zincirin firewall ihtiyacı aynı cihazdan karşılanmaz; ikincisinde merkezi yönetim konsolu, şubeler arası otomatik VPN kurulumu ve lisans yenileme takvimi kurulum kararını doğrudan etkiler.

Bulut tabanlı merkezi yönetim panelini tercih eden kurumlar için Fortinet’in FortiCloud’u veya Palo Alto’nun Panorama’sı gibi araçlar devreye girer; tek lokasyonlu ve bütçe odaklı kurumlar için ise pfSense/OPNsense genellikle yeterli ve daha ekonomik bir seçenektir. Danışmanlığın amacı, bu tabloyu satın alma kararından önce netleştirmektir.

Firewall Seçerken Hangi Değerlere Bakıyoruz?

Bir firewall’u kutunun üstündeki en büyük sayıya göre seçmiyoruz. Karşılaştırmayı şu değerler üzerinden yapıyoruz:

• Katmanlar açıkken hız: Kurumda açılacak saldırı önleme, uygulama kontrolü ve zararlı yazılım taraması birlikte çalışırken cihazın taşıdığı hız, internet hattının hızından yüksek olmalıdır.
• Eşzamanlı oturum sayısı: Firewall geçirdiği her bağlantıyı bir tabloda tutar ve bu tablonun bir tavanı vardır. Tablo dolduğunda yeni bağlantı açılamaz.
• Tek cihaz ya da iki cihaz: Firewall ağın tek çıkışıysa arızası bütün kurumu internetsiz ve VPN’siz bırakır. İkinci cihazın maliyetini bu kesintinin maliyetiyle birlikte tartıyoruz; iki cihazın nasıl kablolandığını VRRP yazımızda anlattık.

İlk maddedeki farkın büyüklüğünü üreticinin kendi veri sayfası gösteriyor. FortiGate 40F’in veri sayfasına göre cihaz yalnız firewall olarak çalışırken 5 Gbps taşıyor; firewall, IPS, uygulama kontrolü ve zararlı yazılım koruması birlikte açıkken 600 Mbps kalıyor. Aynı sayfada eşzamanlı oturum tavanı 700.000’dir.

Değerler üreticinin verdiği üst sınırlardır ve farklı trafik karışımlarıyla ölçülür. Bu yüzden teklifleri karşılaştırırken veri sayfasındaki Threat Protection Throughput satırına bakıyoruz. Oturum tablosunun ve bu katmanların nasıl çalıştığını bağlantı tablosunun lab ölçümünü anlattığımız yazıda gösterdik.

Hangi Markalarla Çalışıyoruz?

Fortinet FortiGate, Palo Alto Networks, Cisco Firepower ve açık kaynak pfSense/OPNsense platformlarında deneyimliyiz. Fortinet, fiyat/performans dengesi arayan orta ölçekli kurumlarda sık tercih ettiğimiz bir seçenektir. Palo Alto Networks, gelişmiş tehdit önleme ve büyük ölçekli kurumsal ihtiyaçlar için daha üst segmentte konumlanır.

Cisco Firepower, ağ altyapısı zaten Cisco ekosisteminde olan kurumlarda entegrasyon avantajı sağlar. pfSense/OPNsense ise bütçe kısıtlı veya yüksek özelleştirme isteyen kurumlar için güçlü, açık kaynaklı bir alternatiftir. Mevcut altyapınıza ve bütçenize en uygun çözümü danışmanlık aşamasında birlikte belirliyoruz; tek bir markaya bağlı kalmadan, ihtiyacınıza göre karar veriyoruz.

Kurulum, yönetim ve danışmanlık burada birbirinden kopuk üç hizmet değil, aynı güvenlik katmanının farklı zamanlarına denk gelen tek bir sorumluluktur: kapı önce doğru kurulur, sonra her gün doğru işletilir, ihtiyaç değiştiğinde de doğru sistemle güncellenir.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn