Firewall Güvenlik Sıkılaştırma: FortiGate Kural Temizliği

Bu projeyi Sistem Kuşu kurulmadan önce, kurumun BT ekibinde çalıştığım dönemde ben yürüttüm.

Kuralı kimin, ne zaman, neden yazdığı bilinmeyen onlarca satır firewall’da öylece duruyordu. Bu mirası önce kurumsal bir standarda taşıdık, ardından baştan aşağı güvenlik sıkılaştırması yaptık.

Sorun

Firewall yıllar içinde, farklı kişilerin farklı zamanlarda eklediği kurallarla büyümüştü: ne işe yaradığı belirsiz, açıklaması hiç girilmemiş, birbirini geçersiz kılan (shadow) onlarca kural birikmişti. Kural yazarken açıklama girmek, o an kimsenin zamanının olmadığı iştir; bedeli yıllar sonra, kimsenin dokunmaya cesaret edemediği bir kural listesi olarak ödenir.

Kuralları yazan kişiler zaman içinde değiştiği için “bunu silersek ne bozulur?” sorusunun cevabı da bilinmiyordu; sektör genelinde kurumsal firewall’ların önemli bir kısmında hiç kullanılmayan veya birbirini gölgeleyen kurallar birikir, tam da bu belirsizlik yüzünden kimse dokunmaya cesaret edemez. Terimin doğru anlamını ve aynı kelimenin BT’deki diğer kullanımlarını gölge BT yazımızda ayırıyoruz.

Üstüne cihaz canlı hizmet veriyordu ve yedeksizdi: herhangi bir kuralı düşünmeden silmek kurumun tüm internet ve uzak erişim trafiğini durdurabilirdi.

Neden bu yol?

En hızlı yol, kullanılmadığı düşünülen kuralları toplu halde silip ne bozulduğuna bakmaktı. Yedeksiz ve canlı bir cihazda bunun adı temizlik değil kumardır: bozulanı geri almanın yolu yoktur ve hangi kuralın neyi taşıdığı zaten bilinmiyordur.

Bunun yerine sırayı tersine kurduk: önce anlamak, sonra dokunmak. Her kuralın ne işe yaradığı tek tek çıkarıldı; silme kararı ancak o kuralın karşılığı bilindikten sonra verildi. Deneme yanılma gereken yerlerde de temkinli bir auto-revert yapılandırması kullanıldı, yani yanlış bir değişiklik kendiliğinden geri alınacak şekilde bırakıldı.

Güvenlik katmanlarını ikinci faza bırakmak da aynı kararın parçasıydı. Anlaşılmamış bir kural listesinin üzerine segmentasyon ve saldırı önleme eklemek, sorun çıktığında sebebin yeni katmanda mı eski kuralda mı olduğunu belirsiz kılardı.

Nasıl kurduk?

İlk faz temizlikti: her kuralı tek tek inceleyip ne işe yaradığını not aldık, anlamsız isimlendirilmiş, yorumsuz ve birbirini gölgeleyen kuralları ayıkladık. Kalan ve yeni yazılan tüm kurallara kurumsal bir isimlendirme standardı uyguladık; her policy’ye ve servis grubuna ne işe yaradığını açıklayan yorum satırları ekledik. Örneğin Windows Kerberos trafiğini taşıyan portlar Windows_AD_Portlari gibi anlamlı bir servis grubunda toplandı ve açıklamasına hangi cihazların hangi amaçla bu porta ihtiyaç duyduğu yazıldı. Bu faz 2 hafta sürdü.

Firewall’u tam olarak anladıktan ve her şeyin sorunsuz çalıştığından emin olduktan sonra ikinci faza geçtik: zone tabanlı segmentasyon, IPS/IDS, DNS ve web filtreleme katmanlarını kurduk. Bu faz da 2 hafta sürdü.

Devreye alındıktan sonra

Firewall’da artık gölge kural, açıklamasız policy veya nereye ait olduğu bilinmeyen bir port yok; her kural ne işe yaradığını kendi üzerinde anlatıyor. Yeni bir kural eklenirken de aynı standarda uyulduğu için liste, bir sonraki kişiye devredilebilir halde duruyor.

Burada belirlediğimiz policy isimlendirme standardını, kurumun tüm BT bilgisini topladığımız dokümantasyon sunucusu projesinde de kullandık. Aynı yaklaşımın adres nesnelerindeki karşılığını, önekli bir adlandırma şemasıyla FortiGate Firewall adres nesneleri yazımızda gösterdik.