Güvenlik duvarınızda antivirüs, saldırı önleme ve web filtreleme açık olabilir. Ama bir zararlı dosya HTTPS üzerinden indiriliyorsa güvenlik duvarı çoğu zaman yalnızca şifreli bir veri akışı görür; içindeki dosyayı göremez. Bugün web trafiğinin büyük bölümü şifreli olduğu için bu, güvenlik hizmetlerinin önemli bir kısmının kör kalması demektir. SSL/TLS denetimi bu körlüğü giderir. Ancak yanlış yapılandırıldığında kullanıcıları sertifika uyarılarıyla boğar, bazı uygulamaları bozar ve çalışanların hassas verilerine gereksiz yere dokunur. Bu yazıda denetimin nasıl çalıştığını ve nasıl doğru kurulacağını anlatıyoruz. Güvenlik duvarı seçenekleri için ağ güvenliği sayfamıza bakabilirsiniz.
İki farklı denetim düzeyi
Güvenlik duvarları şifreli trafiğe genellikle iki düzeyde bakar:
| Düzey | Ne görür? | Neyi göremez? |
|---|---|---|
| Sertifika denetimi | Bağlanılan alan adını ve sunucu sertifikasını. Web filtreleme alan adı düzeyinde çalışabilir. | Sayfanın içeriğini, indirilen dosyayı, şifreli kanaldaki saldırıyı. |
| Tam (derin) denetim | Trafiğin içeriğini: dosyalar, adres yolları, uygulama komutları. | İstisna tanımlanan trafiği; bilinçli olarak dokunulmayan kategorileri. |
Sertifika denetimi hafiftir ve sorun çıkarmaz ama koruması sınırlıdır. Tam denetim antivirüs, sandbox ve saldırı önlemenin şifreli trafikte de çalışmasını sağlar; karşılığında hazırlık ister.
Derin denetim nasıl çalışır?
Tam denetimde güvenlik duvarı kullanıcı ile web sitesi arasına girer. Kullanıcının tarayıcısı güvenlik duvarıyla, güvenlik duvarı da web sitesiyle ayrı ayrı şifreli bağlantı kurar. Aradaki trafik açılır, denetlenir ve yeniden şifrelenerek kullanıcıya iletilir.
Bunun çalışması için güvenlik duvarının, kullanıcıya sunduğu sertifikayı kendi sertifika otoritesiyle (CA) imzalaması gerekir. Tarayıcı bu CA’ya güvenmiyorsa her sitede “bağlantınız gizli değil” uyarısı çıkar. İşte bu yüzden derin denetimin ilk adımı güvenlik duvarı değil, kullanıcı cihazlarıdır.
Sertifika dağıtımı: işin yarısı
Fortinet de WatchGuard da derin denetim kullanılacaksa CA sertifikasının önceden kullanıcı cihazlarına dağıtılmasını önerir. Pratik seçenekler:
- Kendi CA’nızı kullanmak: Kurumunuzda Active Directory Sertifika Hizmetleri gibi bir iç sertifika altyapısı varsa, güvenlik duvarına bu altyapıdan imzalanmış bir alt CA yüklenir. Cihazlar kök CA’ya zaten güvendiği için ayrıca dağıtım gerekmez. Fortinet, bu durumda kökten imzalayan CA’ya kadar zincirin tamamının güvenlik duvarına yüklenmesini önerir; eksik zincirde özellikle bazı mobil cihazlar hata verir.
- Güvenlik duvarının CA’sını dağıtmak: Cihazın varsayılan CA sertifikası dışa aktarılır ve etki alanındaki bilgisayarlara grup ilkesiyle (GPO) ya da uç nokta yönetim aracıyla yüklenir. WatchGuard, sertifikayı kullanıcılara dağıtmak için bir sertifika portalı da sunar.
- Yönetilmeyen cihazları ayırmak: Misafir telefonlarına ve kişisel cihazlara sertifika yükleyemezsiniz. Misafir ağında derin denetim yerine sertifika denetimiyle yetinmek çoğu zaman doğru karardır.
Firefox gibi kendi sertifika deposunu kullanan tarayıcıları, Java gibi ayrı depoları olan uygulamaları ve Linux sunucuları ayrıca planlayın.
İstisnalar: neyi denetlememelisiniz?
Hassas kategoriler
Fortinet’in güncel FortiOS belgelerine göre tam denetim profillerinde “Finance and Banking”, “Health and Wellness” ve “Personal Privacy” kategorileri varsayılan olarak denetim dışında tutulur. Bu varsayılanı korumanızı öneririz. Çalışanınızın internet bankacılığı oturumunu ya da bir sağlık portalındaki muayene sonucunu açıp incelemenin güvenlik açısından getirisi azdır, gizlilik açısından riski yüksektir.
Sertifika sabitleyen uygulamalar
Bazı uygulamalar yalnızca kendi sunucusunun belirli sertifikasını kabul eder (certificate pinning). Güncelleme servisleri, bazı bankacılık ve e-imza uygulamaları, bulut yedekleme ajanları bu sınıfa girebilir. Derin denetim bu bağlantıları bozar. Belirtisi genellikle “uygulama internete çıkamıyor” şikâyetidir. Bu tür adresler istisna listesine eklenir.
Kendi sunucularınız ve kritik servisler
Kamu kurumlarının e-hizmetleri, e-fatura ve e-imza altyapıları, üreticinin güncelleme sunucuları gibi güvenilir ve iş için kritik adresleri canlıya almadan önce test edin. İstisna listesini gerekçesiyle birlikte belgeleyin; “sorun çıktı, ekledik” mantığıyla büyüyen bir liste zamanla denetimin anlamını ortadan kaldırır.
KVKK açısından dikkat edilmesi gerekenler
Derin denetim, çalışanların şifreli trafiğini görünür kılar. Bu trafikte kişisel veri, hatta özel nitelikli kişisel veri bulunabilir. Bu yüzden teknik bir karar olduğu kadar bir veri koruma kararıdır:
- Amaç ve orantılılık: Denetimin amacını (zararlı yazılım ve veri sızıntısını önlemek) yazılı hâle getirin; amaca gerekenden fazlasını denetlemeyin.
- Aydınlatma: Çalışanları şirket ağında şifreli trafiğin güvenlik amacıyla denetlendiği konusunda bilgilendirin. Metni hukuk danışmanınızla birlikte hazırlayın.
- İstisnalar: Bankacılık, sağlık ve kişisel gizlilik kategorilerini denetim dışında tutun.
- Kayıtlara erişim: Denetimin ürettiği kayıtlara kimin erişebileceğini sınırlayın, erişimi kayıt altına alın, saklama süresini belirleyin.
- Politika uyumu: Kararı bilgi güvenliği politikanıza ve kişisel veri işleme envanterinize işleyin.
Hangi hukuki dayanağın uygulanacağı ve aydınlatmanın biçimi işletmeye göre değişir; güncel mevzuata göre hukuk danışmanınızla değerlendirmenizi öneririz. Teknik tarafın geneli için KVKK teknik tedbirler kontrol listesi yazımıza, süreç tarafı için ISO 27001 ve KVKK sayfamıza bakabilirsiniz.
Performans ve adım adım devreye alma
Derin denetim, güvenlik duvarının en yoğun işlerinden biridir. Cihaz seçilirken veri sayfasındaki SSL denetimi değerine bakılmadıysa denetim açıldığında yavaşlama başlayabilir. Bu konuyu FortiGate model seçimi yazımızda anlattık. Güvenli bir devreye alma sırası:
- Sertifikayı tüm yönetilen cihazlara dağıtın ve birkaç cihazda doğrulayın.
- Denetimi önce BT ekibinin bulunduğu küçük bir kullanıcı grubunda açın.
- Bozulan uygulamaları ve adresleri toplayın, gerekçeli istisna listesi oluşturun.
- Cihazın işlemci kullanımını ve kullanıcı deneyimini izleyin.
- Bölüm bölüm genişletin; misafir ağını sertifika denetiminde bırakın.
- İstisna listesini periyodik olarak gözden geçirin.
Denetim, açılan güvenlik hizmetleri kadar değerlidir. FortiGate’te şifreli trafikte hangi hizmetlerin çalışacağını lisans paketi belirler; bkz. FortiGuard paketleri. Güvenlik duvarının göremediği uç nokta tarafını ise uç nokta güvenliği tamamlar; ofis dışına çıkan bir dizüstü bilgisayar güvenlik duvarının arkasında değildir.
Sık yapılan hatalar
- Sertifikayı dağıtmadan denetimi açmak. Kullanıcılar her sitede uyarı görür, uyarıyı geçmeye alışır; bu alışkanlık gerçek bir sahte site karşısında da tehlikelidir.
- Geçersiz sertifikalara izin vermek. Denetim sırasında süresi dolmuş ya da güvenilmeyen sertifika sunan sitelere sessizce izin vermek, güvenlik duvarını kullanıcıyı uyarmaktan alıkoyar. Bu tür bağlantıları engelleyin ya da en azından kayda alın.
- İstisnayı fazla geniş tutmak. Tek bir uygulamayı çalıştırmak için koca bir kategoriyi ya da tüm bulut hizmetlerini denetim dışına almak, açığı geri getirir.
- Sunucuya gelen trafiği unutmak. Dışarıya açık web sunucunuza gelen şifreli trafiği denetlemek ayrı bir yapılandırma ister; kendi sunucu sertifikanızın güvenlik duvarına yüklenmesi gerekir.
Unna ile SSL/TLS denetimi
Derin denetimi bir anahtarı açıp kapatmak gibi ele almayız. Önce hangi ağlarda, hangi kullanıcılar için ve hangi amaçla denetim istediğinizi dinleriz. Sertifika altyapınıza göre dağıtım yöntemini seçer, istisna listesini ve çalışan bilgilendirmesini birlikte planlarız. Kurulumu pilot grupla başlatır, bozulan uygulamaları sizin yerinize ayıklarız. Sonrasında cihaz yükünü ve istisnaları düzenli olarak gözden geçiririz. Başlamak için bize yazın.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş değildir. Çalışan trafiğinin denetlenmesine ilişkin yükümlülükleri güncel mevzuata göre hukuk danışmanınızla değerlendirmenizi öneririz.
