Bir FortiGate teklifinde cihaz modelinin yanında genellikle “ATP”, “UTP” ya da “Enterprise” gibi bir paket adı görürsünüz. Bu satır, cihazın satın aldığınız gün neyi yapabileceğini değil, sonraki yıllarda sizi neye karşı koruyacağını belirler. Saldırı imzaları, zararlı yazılım tanımları ve web kategori veritabanları FortiGuard aboneliğiyle güncel kalır. Bu yazıda Fortinet’in resmi sayfalarında tanımlanan üç paketin içeriğini, aralarındaki farkı ve seçimi nasıl yapabileceğinizi anlatıyoruz. FortiGate’in genel yetenekleri için FortiGate güvenlik duvarı sayfamıza bakabilirsiniz.
FortiGuard nedir, neden ayrı lisanslanır?
FortiGuard, Fortinet’in tehdit istihbaratı ve güvenlik hizmetleri ailesidir. FortiGate donanımı trafiği işler; ama bir dosyanın zararlı olup olmadığını, bir web sitesinin hangi kategoriye girdiğini ya da yeni bir saldırının nasıl tanınacağını FortiGuard’dan gelen güncel veriyle bilir. Bu veriler sürekli değiştiği için hizmet cihazla birlikte bir kez satılmaz; belirli süreli bir abonelik olarak lisanslanır.
Abonelik sona erdiğinde cihaz temel güvenlik duvarı olarak çalışmaya devam eder. Ancak imzalar güncellenmez, buluta bağlı filtreleme hizmetleri çalışmaz hâle gelir. Yani paket seçimi, cihazın bir “yeni nesil güvenlik duvarı” olarak kalıp kalmayacağını belirleyen karardır.
Üç paket, üç katman
Fortinet, FortiGate için FortiGuard hizmetlerini birbirinin üzerine kurulan üç paket hâlinde sunar. Her üst paket, alttakinin tamamını içerir ve üzerine yeni hizmetler ekler. Üç paketin tamamında FortiCare Premium teknik destek de yer alır.
ATP (Advanced Threat Protection)
Temel savunma hattıdır. Fortinet’in tanımına göre saldırı önleme (IPS), antivirüs, FortiSandbox SaaS ile bulut tabanlı sandbox analizi, uygulama kontrolü ve satır içi (inline) CASB içerir. Bilinen saldırıları ve zararlı dosyaları kapıda durdurmak, uygulamaları tanımak için gereken çekirdek hizmetler buradadır.
UTP (Unified Threat Protection)
ATP’nin tamamına ek olarak web ve ağ tarafını güçlendirir: URL filtreleme, DNS filtreleme, video filtreleme ve botnet ile komuta-kontrol (C2) iletişimini engelleyen hizmetler. Çalışanların hangi sitelere eriştiğini kategori bazında yönetmek, kimlik avı sitelerini ve zararlı alan adlarını engellemek istiyorsanız UTP ile gelen hizmetlere ihtiyaç duyarsınız.
Enterprise Protection
UTP’nin tamamına ek olarak veri kaybı önleme (DLP), saldırı yüzeyi izleme ve risk puanlaması, yapay zekâ tabanlı satır içi zararlı yazılım önleme ve IoT cihaz tespiti ile zafiyet eşleştirmesi ekler. Fortinet bu paketi saldırı yüzeyinin tamamına yönelik en kapsamlı seçenek olarak konumlandırır.
Paketler yan yana
| Hizmet | ATP | UTP | Enterprise |
|---|---|---|---|
| Saldırı önleme (IPS) | Var | Var | Var |
| Antivirüs ve FortiSandbox SaaS | Var | Var | Var |
| Uygulama kontrolü ve inline CASB | Var | Var | Var |
| URL, DNS ve video filtreleme | Yok | Var | Var |
| Botnet ve C2 iletişimi engelleme | Yok | Var | Var |
| Veri kaybı önleme (DLP) | Yok | Yok | Var |
| Saldırı yüzeyi izleme ve risk puanı | Yok | Yok | Var |
| Yapay zekâ tabanlı inline zararlı yazılım önleme | Yok | Yok | Var |
| IoT tespiti ve zafiyet eşleştirmesi | Yok | Yok | Var |
| FortiCare Premium destek | Var | Var | Var |
Tablo, Fortinet’in FortiGate güvenlik paketleri sayfasındaki güncel tanımlara dayanır. Paket içerikleri zaman zaman güncellenir ve bazı hizmetler model ya da FortiOS sürümüne göre farklılık gösterebilir. Teklif aşamasında Fortinet’in güncel sipariş kılavuzuyla mutlaka karşılaştırırız.
Paket dışında kalanlar
Her ihtiyaç bir pakete sığmaz. Fortinet bazı hizmetleri ayrıca (à la carte) lisanslar. Örneğin yalnızca antivirüs ve saldırı önleme güncellemelerini içeren ayrı bir “AV + IPS” lisansı bulunur. Üretim tesisleri gibi operasyonel teknoloji (OT) ortamları için Fortinet, Enterprise paketine ek olarak ayrı bir OT güvenlik hizmeti önerir. FortiCare tarafında da Premium yerine daha hızlı yanıt süreleri sunan Elite seviyesi tercih edilebilir.
Bir de şunu unutmayın: paket hizmeti açar, ama hizmetin gerçekten çalışması doğru yapılandırmaya bağlıdır. Örneğin şifreli trafiğin içindeki zararlı yazılımı görmek için SSL/TLS denetiminin açık olması gerekir. Bu konuyu SSL/TLS denetimi yazımızda ayrıca anlattık.
Hangi paket kime uygun?
Doğru paket, işletmenizin risk profiline ve yönetmek istediği şeye göre değişir. Genel bir çerçeve:
- ATP: Web filtrelemenin başka bir yerde (örneğin DNS hizmeti ya da uç nokta yazılımı üzerinden) yapıldığı, güvenlik duvarından öncelikle saldırı önleme ve zararlı yazılım koruması beklenen yapılar.
- UTP: Çoğu işletme için dengeli başlangıç noktasıdır. Çalışanların ve misafirlerin internet erişimini kategori bazında yönetmek, kimlik avı sitelerini ve zararlı alan adlarını engellemek bu paketle mümkün olur.
- Enterprise Protection: Hassas veri işleyen, ağında çok sayıda IoT cihazı bulunan ya da saldırı yüzeyini sürekli izlemek isteyen kurumlar için. Örneğin kamera, yazıcı ve üretim ekipmanlarının aynı ağda olduğu bir fabrika ya da müşteri verisiyle çalışan bir finans ofisi.
Paket seçimi model seçiminden bağımsız değildir. Enterprise paketindeki hizmetler açıldığında cihazın yükü artar; boyutlandırmayı bu hizmetler açıkken ölçülen değerlere göre yapmak gerekir. Ayrıntılar için FortiGate model seçimi yazımıza bakabilirsiniz.
Sık yapılan hatalar
- Paketi alıp hizmetleri açmamak. Lisans aktif olduğu hâlde web filtreleme ya da saldırı önleme profilleri kurallara bağlanmamış olabilir.
- Yenileme tarihini kaçırmak. Birden fazla cihazda farklı bitiş tarihleri varsa, biri fark edilmeden korumasız kalabilir.
- Yalnızca fiyata göre seçmek. ATP ile UTP arasındaki fark, çalışanların eriştiği web sitelerini hiç denetleyememek anlamına gelebilir.
- DLP’yi tek başına yeterli sanmak. Güvenlik duvarındaki DLP ağdan geçen trafiğe bakar; USB, bulut klasörü ya da uç noktadaki veri hareketi için ayrı bir katman gerekir.
Lisans bir kez seçilmez, takip edilir
FortiGuard lisansları süreli olduğu için her cihazın bitiş tarihi, hangi hizmetlerin aktif olduğu ve imzaların güncel olup olmadığı düzenli izlenmelidir. Birden fazla FortiGate yönetiyorsanız Unna’nın kendi ürünü Unna Controller, cihazların sürüm ve kaynak durumunu tek ekranda gösterir, her gece yapılandırma yedeği alır ve otomatik güvenlik kontrolleri çalıştırır. Güvenlik duvarındaki DLP’yi uç noktada tamamlamak istiyorsanız Safetica DLP, önlenemeyen bir saldırıya karşı geri dönüş yolu için yedekleme çözümlerimize bakabilirsiniz.
Farklı markalardaki paket mantığını merak ediyorsanız WatchGuard’ın Basic ve Total Security Suite ayrımını WatchGuard Firebox sayfamızda, markalar arası seçimi ise ağ güvenliği sayfamızda anlattık.
Unna ile doğru FortiGuard paketi
Unna, Fortinet’in yetkili iş ortağıdır. Paket önermeden önce ağınızı ve riskinizi konuşuruz: kaç kullanıcınız var, misafir ağınız nasıl ayrılmış, hangi hassas verileri işliyorsunuz, IoT ve üretim cihazlarınız hangi ağda? Bu cevaplara göre paketi ve cihaz modelini birlikte belirleriz. Kurulumda lisansın getirdiği hizmetleri kurallara bağlar, test eder, raporlamayı açarız. Sonrasında yenileme tarihlerini ve imza güncellemelerini sizin yerinize takip ederiz. Mevcut lisansınızın gerçekten ne kadarını kullandığınızı görmek isterseniz bize yazın; önce dinleriz.
