Yeni nesil güvenlik duvarı nedir? KOBİ'ler gerçekte neye ihtiyaç duyar?

Yeni nesil güvenlik duvarı nedir?

Yeni nesil güvenlik duvarı (NGFW), yalnızca IP adreslerine ve portlara göre değil, uygulamaya, kullanıcıya ve içeriğe göre de karar verir. Örneğin bir bağlantının Microsoft Teams'e mi, özel bir bulut depolama hizmetine mi yoksa bilinen bir zararlı yazılıma mı ait olduğunu tanır ve uygun kuralları uygular. Tipik işlevleri uygulama kontrolü, saldırı önleme (IPS), URL ve DNS filtreleme, VPN ve kullanıcı hesaplarıyla entegrasyondur.

Küçük ve orta ölçekli işletmelerde güvenlik duvarı genellikle internet, ofis ağı, sunucular, misafir ağı ve evden çalışanlar arasındaki merkezi kontrol noktasıdır. Çoğu KOBİ için en uzun işlev listesinden çok sağlam bir temel önemlidir: segmentasyon, MFA'lı VPN, IPS, web ve DNS filtreleme ve düzenli güncellemeler.

Durum denetimli paket filtresi ile NGFW arasındaki fark

Klasik bir durum denetimli (stateful) güvenlik duvarı bağlantıları takip eder ve kaynak, hedef, port ve protokole bakarak trafiğe izin verilip verilmeyeceğine karar verir. Bu, bugün hâlâ her güvenlik duvarının temelidir. Sınırı şudur: Uygulamaların büyük kısmı bugün aynı web portlarını (80 ve 443) kullanır ve izin verilen bir port, içeriğin zararsız olup olmadığı hakkında hiçbir şey söylemez.

En önemli NGFW işlevlerine genel bakış

Uygulama kontrolü

Güvenlik duvarı uygulamaları porttan bağımsız olarak trafiklerinin özelliklerinden tanır. Böylece şu tür kurallar uygulanabilir: Şirketin iş birliği araçlarına izin verilir, özel dosya paylaşım hizmetleri veya onaylanmamış uzaktan bakım araçları engellenir.

Saldırı önleme (IPS)

IPS, trafiği web sunucularına, VPN ağ geçitlerine veya eski sistemlere yönelik istismar girişimleri gibi bilinen saldırı desenlerine karşı kontrol eder ve engeller. Özellikle internetten erişilebilen hizmetlerin önünde ve ağ segmentleri arasında faydalıdır. Yanlış alarmları önlemek için güncel imzalara ve zaman zaman ince ayara ihtiyaç duyar.

URL ve DNS filtreleme

Web ve DNS filtreleri, bilinen kimlik avı (phishing) ve zararlı yazılım sitelerini ve şirketin izin vermek istemediği kategorileri engeller. DNS filtreleme, tarayıcı kullanmayan cihaz ve uygulamalarda da işe yarar. İkisi de eğitimin yerini tutmaz, ancak birçok saldırıyı erken aşamada durdurabilir.

Kullanıcı kimliği ve VPN

Active Directory veya Microsoft Entra ID ile bağlandığında güvenlik duvarı kuralları IP adresleri yerine kullanıcılara ve gruplara uygular: Muhasebe finans sunucusuna erişir, diğerleri erişemez. Ayrıca lokasyonlar ve evden çalışanlar için VPN sağlar. Uzaktan erişim her zaman çok faktörlü kimlik doğrulamayla korunmalı ve VPN ağ geçidinin kendisi güncel tutulmalıdır, çünkü internete doğrudan açık sistemler sık hedef alınır.

Sandbox analizi

Şüpheli dosyalar kullanıcıya ulaşmadan önce yalıtılmış bir ortamda, çoğu zaman üreticinin bulutunda çalıştırılır. Bu, imzaların henüz tanımadığı yeni zararlı yazılımlara karşı yardımcı olur. Dosyaların nerede analiz edildiğini ve bunun veri koruma gereksinimlerinize uyup uymadığını kontrol edin.

TLS denetimi: Faydası, sınırları ve çalışan temsilciliği

Web trafiğinin büyük bölümü bugün şifrelidir. TLS denetimi (çoğu zaman hâlâ SSL inspection olarak anılır) olmadan güvenlik duvarı esas olarak hedef adres ve sunucu adı gibi meta verileri görür; IPS ve zararlı yazılım taraması içeriğe ulaşamaz. TLS denetiminde güvenlik duvarı trafiğin şifresini çözer, kontrol eder ve yeniden şifreler. Bunun için tüm şirket cihazlarında güvenlik duvarının kök sertifikasının güvenilir olarak tanımlanması gerekir.

Teknik açıdan bazı uygulamalar denetlenen bağlantıları reddeder ve istisna gerektirir; denetim ayrıca ciddi işlem gücü gerektirir. Organizasyonel boyut ise daha ağırdır, çünkü şifresi çözülen trafik çalışanların kişisel ve özel verilerini içerebilir. Bu nedenle internet bankacılığı ve sağlık hizmetleri gibi kategoriler genellikle hariç tutulur ve kayıtlara erişim kısıtlanır.

Boyutlandırma: Güvenlik işlevleri açıkken ulaşılan hız

Veri sayfaları genellikle önce, güvenlik işlevleri kapalıyken ideal koşullarda ölçülen yalın güvenlik duvarı hızını gösterir. IPS, uygulama kontrolü ve zararlı yazılım koruması açıkken değerler belirgin şekilde düşer, TLS denetimiyle çoğu zaman yalnızca küçük bir kısmı kalır. Boyutlandırmada bu gerçekçi değerler önemlidir; çoğu zaman threat protection veya TLS inspection hızı olarak belirtilirler.

• İnternet bağlantısı: Güvenlik duvarı, planlanan tüm işlevler açıkken tam bant genişliğini kaldırabilmelidir.
• Segmentler arası trafik: Güvenlik duvarı VLAN'lar arasında da yönlendirme yapıyorsa, örneğin sunuculara veya kameralara, bu trafik de yüke eklenir.
• VPN: Aynı anda bağlanan uzaktan çalışan ve lokasyon tüneli sayısı ile bunların ihtiyaç duyduğu şifreli hız.
• Oturumlar ve arayüzler: Eş zamanlı bağlantılar ve 2,5 veya 10 Gbit/s gibi yeterli hızda portlar.
• Yedek kapasite: Bir güvenlik duvarı genellikle birkaç yıl çalışır; daha fazla kullanıcıyı, daha hızlı hatları ve yeni işlevleri hesaba katın.

Yüksek erişilebilirlik ve lisanslar

Yüksek erişilebilirlik (HA), iki özdeş güvenlik duvarının bir küme olarak, genellikle aktif-pasif modda çalışması demektir. Biri arızalanırsa ikincisi devralır, ideal olarak mevcut bağlantılar kopmadan. Bu, bir kesintinin pahalıya mal olduğu durumlarda değerlidir; örneğin perakendede, lojistikte veya bulut yazılımı kullanan muayenehanelerde. Tam etkisini ancak ikinci bir internet hattıyla gösterir, çünkü bir küme arızalanan hattı telafi edemez. Küçük şirketler için kısa teslim süreli bir donanım değişim hizmeti ve yedeklenmiş bir yapılandırma daha uygun maliyetli bir alternatif olabilir.

NGFW işlevleri genellikle imzalar, filtreler ve sandbox için aboneliklere bağlıdır. Lisans sona ererse donanım genellikle çalışmaya devam eder, ancak imzalar ve filtreler artık güncellenmez. Lisans maliyetlerini tüm kullanım süresi boyunca planlayın ve üreticinin kümedeki ikinci cihazı nasıl lisansladığını kontrol edin.

Yönetim ve kayıt tutma

Bir güvenlik duvarı bakım ister. Yazılım güncellemeleri, özellikle VPN ve yönetim arayüzüne yönelik güvenlik güncellemeleri, gecikmeden yüklenmelidir. Yönetim arayüzü asla internetten erişilebilir olmamalı; yönetici erişimleri kişisel hesaplar ve MFA ile ayrı bir yönetim ağında olmalıdır. Kurallar belgelenmeli, düzenli olarak gözden geçirilmeli ve temizlenmelidir; hiç kaldırılmamış geçici kurallar da buna dahildir.

Kayıtlar engellenen saldırıları, olağan dışı bağlantıları ve yapılandırma değişikliklerini gösterir. Bunları örneğin bir syslog sunucusunda veya bir SIEM sisteminde merkezi olarak saklayın ve alarmlara birinin gerçekten bakmasını sağlayın. Saklama sürelerini ve erişim yetkilerini veri koruma tarafıyla birlikte belirleyin. Şirket içinde kapasite yoksa bir hizmet sağlayıcının sürekli desteği bir seçenektir.

KOBİ'ler gerçekte neye ihtiyaç duyar?

Her şirketin her işleve ihtiyacı yoktur. Çoğu KOBİ için aşağıdaki kontrol listesi mantıklı bir temel oluşturur:

• Vazgeçilmez: Net kurallara sahip durum denetimli güvenlik duvarı, ofis, sunucu, misafir ve IoT ağlarının VLAN'larla ayrılması, MFA'lı VPN, düzenli güncellemeler.
• Şiddetle önerilen: IPS, URL ve DNS filtreleme, riskli kategoriler için uygulama kontrolü, merkezi kayıt tutma.
• Duruma göre: Çalışan temsilciliğiyle mutabakat ve hukuki kontrolden sonra seçili kategoriler için TLS denetimi, sandbox analizi, yüksek erişilebilirlik.

Güvenlik duvarı önemli bir koruma katmanıdır, ancak savunmanın tamamı değildir. Bir zero trust yaklaşımında kimlikler, cihazlar ve erişim hakları ağdaki konumdan bağımsız olarak kontrol edilir. Mevcut güvenlik duvarınızı değerlendirmek veya yeni bir tane planlamak isterseniz Q-entra, ihtiyaç analizinden işletime kadar siber güvenlik ve ağ altyapısı konularında size destek olur.