Bir güvenlik duvarının kural tablosu genellikle temiz başlar. Sonra bir tedarikçi için geçici erişim açılır, bir proje için bir port yönlendirilir, bir arıza sırasında “şimdilik her şeye izin verelim” denir. Beş yıl sonra kimsenin tam olarak ne işe yaradığını bilmediği yüzlerce kural birikir. Bu kuralların bir kısmı hiç kullanılmaz, bir kısmı başka kuralların gölgesinde kalır, bir kısmı ise gerekenden çok daha geniş bir kapı açar. Bu yazıda riskli kuralları nasıl bulacağınızı ve temizliği işi durdurmadan nasıl yapacağınızı anlatıyoruz. Güvenlik duvarı çözümlerimiz için ağ güvenliği sayfamıza bakabilirsiniz.
Kural tablosu neden şişer?
Kurallar eklenir ama nadiren silinir. Bunun birkaç tanıdık nedeni vardır:
- Geçici kurallar kalıcı olur. Bir tedarikçinin bakım için açılan uzak erişimi, iş bittikten sonra kapatılmaz.
- Sahiplik bilinmez. Kuralı ekleyen kişi işten ayrılmıştır; kimse neden eklendiğini bilmediği için silmeye cesaret edemez.
- Sorun çözmek için geniş izin verilir. Bir uygulama çalışmadığında “kaynak her yer, hedef her yer, servis hepsi” kuralı hızlı bir çözüm gibi görünür.
- Taşımalar birikimi taşır. Cihaz değişiminde eski kurallar gözden geçirilmeden yeni cihaza aktarılır.
- Sunucular değişir, kurallar kalır. Kapatılan bir sunucunun IP adresine açılan kural, aynı adresi alan yeni bir cihaza istemeden erişim açabilir.
Şişmiş bir kural tablosu yalnızca düzensizlik değildir. Denetçinin “bu kural neden var?” sorusuna cevap verilemez, bir arızada hangi kuralın trafiği etkilediğini bulmak saatler alır ve saldırganın kullanabileceği unutulmuş kapılar açık kalır.
Hangi kurallar risklidir?
| Kural türü | Nasıl anlaşılır? | Neden sorun? |
|---|---|---|
| Kullanılmayan | Uzun süredir hiç eşleşme (hit) almamış | İşe yaramaz ama kapı açık bırakır; tabloyu karmaşıklaştırır. |
| Gölgelenen (shadow) | Üstteki daha genel bir kural aynı trafiği önce yakalar | Hiç çalışmaz; yöneticiye yanlış bir güven duygusu verir. |
| Yinelenen (redundant) | Başka bir kuralla aynı işi yapar | Değişiklikte biri güncellenip diğeri unutulur. |
| Fazla geniş | Kaynak, hedef ya da serviste “tümü” (any) kullanılmış | Gerekenden fazla erişim açar; saldırının yayılmasını kolaylaştırır. |
| Güvenlik profili olmayan | İzin veren kurala saldırı önleme, antivirüs ya da web filtresi bağlanmamış | Trafik geçer ama denetlenmez. |
| Kayıt tutmayan | Kuralda günlük kaydı kapalı | Bir olayda geriye dönük inceleme yapılamaz. |
| Dışarıya açık yönetim ve uzak erişim | İnternetten uzak masaüstü, yönetim arayüzü ya da veritabanı portuna izin | Fidye yazılımı saldırılarının sık kullandığı giriş noktalarıdır. |
Kanıt toplamak: kural kullanım verisi
Temizliğin temeli tahmin değil, veridir. Güvenlik duvarları her kural için bir kullanım sayacı tutar. FortiGate’te kural başına eşleşme sayısı (hit count), ilk ve son kullanım zamanı arayüzden ve komut satırından görülebilir. Birden fazla cihazı yöneten yapılarda FortiManager, kullanılmayan kuralları listeleyen bir kontrol sunar.
Burada dikkat edilmesi gereken nokta sürenin yeterliliğidir. Bir kural son otuz günde kullanılmamış olabilir ama yıl sonu kapanışında, yıllık bir denetimde ya da yılda bir çalışan bir yedekleme işinde gerekebilir. Karar vermeden önce mümkün olduğunca uzun bir dönemin verisine bakın. Sayaçların cihaz yeniden başlatıldığında ya da yazılım güncellemesinde sıfırlanıp sıfırlanmadığını kendi cihazınızda kontrol edin.
Çok cihaz ve çok marka varsa
Merkezde bir marka, şubelerde başka bir marka varsa her cihazı ayrı ayrı incelemek zordur. ManageEngine Firewall Analyzer, farklı markalardaki güvenlik duvarlarının kurallarını tek yerde analiz eder. Kullanılmayan kuralları, nesneleri ve arayüzleri listeler; gölgelenen, yinelenen, genelleme, ilişki ve gruplama anomalilerini ortaya çıkarır. Kullanım sıklığını kural karmaşıklığıyla birlikte değerlendirerek sıralama önerisi sunar ve yeni bir kuralın mevcut tabloya etkisini eklemeden önce görmenizi sağlar.
Adım adım güvenli temizlik
- Yedek alın. Temizlikten önce yapılandırmanın tam yedeğini alın ve geri yüklemenin nasıl yapılacağını bilin.
- Envanter çıkarın. Her kural için sahibi, amacı ve bağlı olduğu iş sürecini not edin. Cevabı bulunamayan kurallar ayrı bir listeye gider.
- Kullanım verisini toplayın. Yeterince uzun bir dönemin eşleşme sayılarını ve son kullanım tarihlerini alın.
- Önce devre dışı bırakın, sonra silin. Kullanılmadığı düşünülen kuralı hemen silmeyin; devre dışı bırakın ve bir süre gözlemleyin. Şikâyet gelmezse silin.
- Geniş kuralları daraltın. “Tümü” içeren kuralların gerçekte hangi trafiği taşıdığını kayıtlardan çıkarın ve kuralı yalnızca o kaynak, hedef ve servise indirin.
- Sıralamayı düzeltin. Gölgelenen kuralları ya kaldırın ya da doğru konuma taşıyın. Sık kullanılan, dar kuralları üste alın.
- Güvenlik profillerini ve kaydı açın. İzin veren her kurala uygun güvenlik profili ve günlük kaydı bağlayın.
- Belgeleyin. Her kurala açıklama, sahip ve gerekiyorsa bitiş tarihi yazın. Geçici kurallar için takvime hatırlatma koyun.
Değişiklikleri iş saatleri dışına planlayın ve her adımın sonunda kritik uygulamaları (ERP, e-posta, uzak erişim, üretim hattı bağlantıları) test edin.
Sık yapılan hatalar
- Kısa bir dönemin verisiyle silmek. Yılda bir kullanılan bir kural, silindiği gün değil aylar sonra, en kötü anda aranır.
- Nesneleri unutmak. Kural silinir ama ona bağlı adres ve servis nesneleri kalır; tablo yine karmaşık görünür.
- Açıklamasız değişiklik. Temizlik sırasında yapılan değişiklikler belgelenmezse bir sonraki gözden geçirmede aynı soru yeniden sorulur.
- Yalnızca izin kurallarına bakmak. Engelleme kurallarının da güncel olup olmadığını, beklenen trafiği gerçekten engelleyip engellemediğini kontrol edin.
Temizliği kalıcı hâle getirmek
Bir kez yapılan temizlik birkaç yıl içinde yeniden gerekir. Kalıcı çözüm, süreçtir:
- Her yeni kural için yazılı talep, gerekçe ve onay
- Geçici erişimler için baştan tanımlı bitiş tarihi
- Periyodik kural gözden geçirmesi; örneğin her çeyrekte kullanılmayan kural raporu
- Yapılandırma değişikliklerinin kim tarafından, ne zaman yapıldığının takibi
- Her gece otomatik yapılandırma yedeği
FortiGate filolarında Unna’nın kendi ürünü Unna Controller her gece yapılandırma yedeği alır ve 23 otomatik güvenlik ve uyum kontrolüyle cihazları düzenli olarak denetler. Tedarikçilere açılan uzak erişimleri kural tablosunda kalıcı kapılar yerine kontrollü oturumlarla yönetmek için kimlik ve erişim yönetimi çözümlerimize bakabilirsiniz. Periyodik gözden geçirme, ISO 27001 denetimlerinde de kanıt olarak kullanılır; ayrıntılar ISO 27001 ve KVKK sayfamızda. Dışarıya açık uzak masaüstü gibi kuralların neden tehlikeli olduğunu fidye yazılımından korunma yazımızda anlattık.
Unna ile kural temizliği
Kural temizliğine silerek değil, dinleyerek başlarız. Önce kuralların arkasındaki iş ihtiyaçlarını sizinle birlikte çıkarır, kullanım verisini yeterince uzun bir dönem boyunca toplarız. Kullanılmayan kuralları önce devre dışı bırakır, gözlemler, sonra kaldırırız. Geniş kuralları kayıtlara dayanarak daraltır, güvenlik profillerini ve kaydı eksiksiz açarız. Temizlikten sonra da periyodik raporlarla tablonun yeniden şişmesini önleriz. Kendi kural tablonuzun bir gözden geçirmesini isterseniz bize yazın.
