Kurumsal Güvenlik Duvarı (Firewall) Seçimi ve Ağ Güvenliği

Güvenlik duvarı (firewall), kurumsal ağın internetle ve kendi bölümleri arasındaki trafiğini denetleyen temel kontrol noktasıdır. Ancak bugün bir firewall'dan beklenen yalnızca port açıp kapatmak değildir: uygulama tanıma, saldırı önleme, web filtreleme, şifreli trafiği inceleme, şube ve uzaktan erişim bağlantıları ile merkezi raporlama. Yanlış boyutlandırılmış ya da yanlış yapılandırılmış bir cihaz ise ya ağı yavaşlatır ya da güvenlik hissi verip gerçek koruma sağlamaz. Bu rehberde doğru firewall'u seçmek ve ağ güvenliğini katmanlı biçimde kurmak için karar kriterlerini ele alıyoruz.

Güvenlik Duvarı Türleri: UTM, NGFW ve Bulut Firewall

Durum denetimli (stateful) firewall: Kaynak, hedef, port ve bağlantı durumuna göre karar verir. Temel bir katmandır, ancak uygulamaları ve içerikleri tanımadığı için tek başına güncel tehditlere yetmez.

UTM (Unified Threat Management): Firewall, antivirüs, saldırı önleme (IPS), web filtreleme, VPN ve spam koruması gibi özellikleri tek bir cihazda toplar. Kurulumu ve yönetimi görece kolaydır ve KOBİ'ler için yaygın bir tercihtir.

NGFW (Next Generation Firewall): Uygulama farkındalığı, kullanıcı kimliğine dayalı kurallar, gelişmiş IPS, SSL/TLS inceleme ve tehdit istihbaratı entegrasyonu sunar. Bugün UTM ile NGFW arasındaki sınır büyük ölçüde bulanıklaşmıştır; Fortinet, Sophos, Palo Alto Networks ve Check Point gibi önde gelen üreticiler, iki kategorinin özelliklerini bir arada ve lisans paketleri halinde sunar. Belirleyici olan etiket değil, ihtiyaç duyduğunuz özelliklerin gerçek trafik yükü altında ne kadar iyi çalıştığıdır.

Bulut firewall ve FWaaS: Azure ve AWS gibi bulut ortamlarındaki iş yüklerini korumaya yönelik sanal firewall'lar ya da çoğunlukla SASE çözümlerinin parçası olarak hizmet şeklinde sunulan güvenlik denetimi. Kullanıcıların büyük kısmı ofis dışında çalışıyorsa veya iş yükleri buluttaysa, tüm trafiği merkezdeki bir cihaza taşımak yerine bulut tabanlı denetim daha verimli olabilir.

Web uygulama güvenlik duvarı (WAF): Ağ firewall'undan farklı olarak web uygulamalarına yönelik saldırıları filtreler. Ağ firewall'unun alternatifi değil, tamamlayıcısıdır.

İhtiyaç Analizi: Kullanıcı Sayısı, Bant Genişliği, Şube Yapısı

Model seçimine geçmeden önce şu soruların yanıtları netleşmelidir:

• Kullanıcı ve cihaz sayısı: Bugünkü sayı ve önümüzdeki birkaç yıl için büyüme beklentisi. Çok sayıda IoT ve misafir cihazının bulunduğu ortamlarda eşzamanlı oturum sayısı belirleyicidir.
• İnternet bant genişliği ve hat sayısı: Birden fazla internet hattı kullanılacaksa yük dengeleme ve hat yedekliliği ihtiyacı.
• Güvenlik servisleri açıkken gerçek performans: Üretici veri sayfalarındaki en yüksek değer genellikle yalnızca temel firewall işlevine aittir. IPS, antivirüs, uygulama kontrolü ve özellikle SSL inceleme açıldığında gerçek kapasite belirgin biçimde düşer. Boyutlandırma, tehdit koruması ve SSL inceleme açıkken ölçülen değerlere göre yapılmalıdır.
• Şube yapısı: Şubeler arası VPN, SD-WAN ihtiyacı, merkezi yönetim ve şubelerde yerel internet çıkışı. Çok şubeli yapılar için SD-WAN rehberimize göz atabilirsiniz.
• Uzaktan çalışan sayısı: Eşzamanlı VPN kullanıcısı sayısı ve MFA entegrasyonu gereksinimi.
• Dışarıya sunulan hizmetler: İnternete açık web, e-posta veya uygulama sunucuları varsa DMZ tasarımı ve yayınlama kuralları.
• Yüksek erişilebilirlik (HA): Firewall arızası tüm işi durduruyorsa, aktif-pasif çalışan ikinci bir cihaz değerlendirilmelidir.
• Uyum gereksinimleri: KVKK ve sektörel düzenlemeler kapsamında log saklama ve raporlama ihtiyacı.

Olmazsa Olmaz Özellikler: IPS, Web Filtreleme, VPN, SSL İnceleme

• IPS (Saldırı Önleme Sistemi): Bilinen açıkları hedefleyen saldırı trafiğini tespit edip engeller. Özellikle internete açık sunucular ve güncellemesi gecikebilen sistemler için bir tür sanal yama işlevi görür.
• Uygulama kontrolü: Trafiği port yerine uygulamaya göre tanır; izinsiz uzaktan erişim araçlarını, dosya paylaşım uygulamalarını veya belirli bulut hizmetlerini kısıtlamanızı sağlar.
• Web ve DNS filtreleme: Zararlı, kimlik avı amaçlı ve riskli kategorideki sitelere erişimi engeller; kimlik avına karşı önemli bir katmandır.
• Antivirüs ve sandbox: Ağdan geçen dosyaları tarar, şüpheli dosyaları izole bir ortamda çalıştırarak davranışını inceler.
• VPN: Şubeler arası IPsec tünelleri ve uzaktan çalışanlar için MFA destekli istemci VPN'i. Kurumsal kimlik sağlayıcısıyla entegrasyon, hesap yönetimini merkezileştirir.
• SSL/TLS inceleme: Trafiğin büyük bölümü şifreli olduğundan, inceleme yapılmadan IPS ve antivirüs şifreli trafiğin içini göremez. Bankacılık ve sağlık gibi hassas kategoriler istisna tutulmalı, çalışanlar bilgilendirilmeli ve uygulama KVKK açısından değerlendirilmelidir.
• Loglama ve raporlama: Kimin, ne zaman, nereye eriştiğini gösteren kayıtlar olay incelemesi ve uyum için gereklidir. Logların cihaz dışında, merkezi bir sistemde saklanması önerilir.
• Merkezi yönetim: Birden fazla cihaz varsa politikaların tek bir konsoldan yönetilmesi hataları ve iş yükünü azaltır.

Katmanlı Ağ Güvenliği: Segmentasyon, NAC ve Güvenli Uzaktan Erişim

Firewall ne kadar güçlü olursa olsun, arkasındaki ağ düz ve tek parça ise bir cihazın ele geçirilmesi tüm ağı riske atar. Ağ güvenliği birkaç katmanda kurulmalıdır:

• Segmentasyon: Kullanıcılar, sunucular, yönetim arayüzleri, misafir Wi-Fi, IP kameralar ve IoT cihazları ayrı VLAN'larda tutulmalı; segmentler arası trafik firewall kurallarıyla yalnızca gerektiği kadar açılmalıdır. Uygulama ayrıntıları için VLAN ve ağ segmentasyonu yazımıza bakabilirsiniz.
• Ağ erişim kontrolü (NAC) ve 802.1X: Ağa kimin ve hangi cihazın bağlanabileceğini denetler. Tanınmayan bir cihaz ağ prizine takıldığında otomatik olarak kısıtlı bir segmente alınabilir.
• Kablosuz ağ güvenliği: Kurumsal kullanıcılar için kimlik doğrulamalı WPA2 veya WPA3 Enterprise bağlantı, misafirler için internet dışında hiçbir kaynağa erişimi olmayan izole bir ağ.
• Güvenli uzaktan erişim: MFA zorunlu VPN ya da kullanıcıyı yalnızca yetkili olduğu uygulamaya bağlayan ZTNA yaklaşımı. Bu dönüşümü Zero Trust geçiş planı yazımızda ele aldık.
• Yönetim düzleminin korunması: Firewall, switch ve kablosuz denetleyicilerin yönetim arayüzleri internetten ve kullanıcı ağından erişilemez olmalı; yalnızca yönetim segmentinden ve MFA ile erişilmelidir.
• Uç nokta koruması ve izleme: Firewall ağ sınırını, EDR ise cihazları korur; ikisinin logları birlikte izlendiğinde görünürlük tamamlanır.
• Kullanıcı farkındalığı: Kimlik avı e-postasındaki tek bir bağlantı, en iyi yapılandırılmış firewall'u bile meşru bir kullanıcı oturumuyla aşabilir. Düzenli farkındalık eğitimleri ağ güvenliğinin insan katmanını oluşturur; ayrıntılar için kimlik avı rehberimize bakabilirsiniz.

Kurulum ve Kural Yönetiminde Sık Yapılan Hatalar

• Her şeye izin veren kurallar: Kaynağı, hedefi ve portu sınırlamayan kurallar çoğunlukla bir sorunu hızlıca çözmek için eklenir ve kalıcı hale gelir.
• Varsayılan ayarların bırakılması: Varsayılan yönetici parolası, internet tarafına açık yönetim arayüzü ve kapalı bırakılmış güvenlik servisleri.
• Yazılım güncellemelerinin ihmal edilmesi: Firewall ve VPN yazılımlarındaki açıklar saldırganların doğrudan hedefidir; güncellemeler planlı bakım pencereleriyle düzenli olarak yapılmalıdır.
• Lisans sürelerinin takip edilmemesi: Güvenlik servisi lisansları sona erdiğinde cihaz çoğunlukla trafiği geçirmeye devam eder, ancak IPS imzaları ve web filtreleme güncellenmez; koruma sessizce zayıflar.
• Belgelenmemiş kurallar: Kimin, ne zaman ve neden eklediği bilinmeyen kurallar zamanla dokunulamaz hale gelir. Her kurala açıklama ve talep sahibi eklenmeli, kurallar periyodik olarak gözden geçirilmelidir.
• SSL incelemenin hiç yapılmaması: Şifreli trafikteki tehditler görünmez kalır.
• Yapılandırma yedeğinin alınmaması: Bir donanım arızasında sıfırdan yapılandırma, saatler hatta günler süren kesinti anlamına gelir.
• Logların izlenmemesi: Engellenen saldırılar ve şüpheli bağlantılar kayıtlarda görünür, ancak kimse bakmazsa erken uyarı fırsatı kaçar.

Sağlıklı bir kural seti için temel ilke varsayılan olarak reddetmektir: Açıkça izin verilmeyen her trafik engellenir. Kurallar özelden genele doğru sıralanmalı, daha genel bir kuralın altında kalıp hiç çalışmayan (gölgelenmiş) kurallar temizlenmelidir. Çoğu cihazın sunduğu kural kullanım sayaçları, uzun süredir hiç eşleşme almamış kuralları bulmak için pratik bir başlangıç noktasıdır. Dışarıdan içeriye açılan her kural için hedef sunucu, port ve mümkünse kaynak adres sınırlanmalı, geçici olarak açılan kurallara bitiş tarihi konmalıdır.

Lisans, Donanım ve Destek: Maliyet Faktörleri

Firewall maliyeti yalnızca cihaz fiyatından ibaret değildir. Toplam sahip olma maliyeti şu kalemlerden oluşur:

• Donanım modeli: Gerçek trafik yükü ve güvenlik servisleri açıkken ihtiyaç duyulan kapasite.
• Güvenlik servisi lisansları: IPS, antivirüs, web filtreleme, sandbox ve uygulama kontrolü genellikle yıllık abonelik paketleri halinde sunulur ve süre bitiminde yenilenmesi gerekir.
• Yüksek erişilebilirlik: İkinci cihaz ve üreticiye göre değişen lisans gereksinimi.
• Donanım destek ve değişim hizmeti: Arıza durumunda cihazın ne kadar sürede değiştirileceği.
• Log ve raporlama çözümü: Cihaz üzerinde ya da ayrı bir platformda uzun süreli log saklama.
• Kurulum, taşıma ve yönetim hizmeti: Mevcut kuralların temizlenerek yeni cihaza taşınması, periyodik güncelleme, kural gözden geçirme ve izleme.

İhtiyacın altında seçilen bir cihaz, performans sorunları nedeniyle güvenlik servisleri kapatılarak kullanıldığında yatırımın amacı kaybolur. İhtiyacın çok üzerinde seçilen bir cihaz ise bütçeyi uç nokta koruması veya yedekleme gibi diğer kritik alanlardan alır. Doğru boyutlandırma, birkaç yıllık büyüme payı gözetilerek yapılmalıdır.

Firewall Kurulum ve Yönetim Hizmeti Seçimi

Bir firewall projesinin başarısı, cihazdan çok kurulumun ve sonrasındaki yönetimin kalitesine bağlıdır. Hizmet sağlayıcıda şu noktalara dikkat edin:

• Kurulumdan önce mevcut ağ ve trafik analizi yapılıyor mu, boyutlandırma gerekçesiyle birlikte sunuluyor mu?
• Birden fazla üreticiyle deneyim var mı, öneri ihtiyaca göre mi şekilleniyor?
• Kural seti, segmentasyon ve VPN yapısı dokümante edilip size teslim ediliyor mu?
• Yazılım güncellemeleri, lisans takibi ve yapılandırma yedekleri kimin sorumluluğunda?
• Loglar izleniyor ve düzenli olarak raporlanıyor mu?
• Arıza veya güvenlik olayında müdahale süresi nedir, yerinde destek verilebiliyor mu?

İyi planlanmış bir firewall değişim projesi genellikle şu adımlarla ilerler:

1. Mevcut durumun çıkarılması: Kurallar, NAT tanımları, VPN tünelleri, yayınlanan servisler ve bağlı hatlar listelenir.
2. Kural temizliği: Loglar ve kullanım sayaçları incelenerek kullanılmayan, gereğinden geniş veya tekrar eden kurallar ayıklanır.
3. Hedef tasarım: Segmentler, segmentler arası erişim matrisi, güvenlik profilleri ve uzaktan erişim modeli belirlenir.
4. Ön yapılandırma: Yeni cihaz, canlı ortama alınmadan önce tasarıma göre hazırlanır ve test edilir.
5. Planlı geçiş: Geçiş, iş saatleri dışındaki bir bakım penceresinde ve yazılı bir geri dönüş planıyla yapılır.
6. İnce ayar ve teslim: Geçiş sonrası loglar izlenerek engellenen meşru trafik düzeltilir, son yapılandırma ve dokümantasyon teslim edilir.

Siber güvenlik hizmetlerimiz kapsamında firewall boyutlandırma, kurulum, kural temizliği, segmentasyon ve sürekli yönetimi tek elden yürütüyoruz.

Sonuç

Doğru firewall; gerçek ihtiyaca göre boyutlandırılmış, güvenlik servisleri açık, kuralları belgelenmiş ve düzenli yönetilen firewall'dur. Segmentasyon, ağ erişim kontrolü ve güvenli uzaktan erişimle desteklendiğinde ağınızın hem dış saldırılara hem de içeride yayılmaya çalışan tehditlere karşı direnci belirgin biçimde artar. Mevcut ağınızı ve firewall yapılandırmanızı birlikte değerlendirmek için ücretsiz ön görüşme planlayalım.