Güvenlik Duvarları: Paket Filtreleme ve Yeni Nesil Güvenlik Duvarları

Güvenlik duvarı, önceden tanımlanmış kurallara göre gelen ve giden trafiği izleyen ve denetleyen bir ağ güvenliği cihazıdır (donanım veya yazılım). Güvenlik duvarları, güvenilir dahili ağlarla güvenilmeyen harici ağların arasında bulunarak kapı bekçisi görevi görür. Temel bir çevre denetimi sağlarlar; ancak şifrelenmiş kanalları kullanan modern saldırılar veya güvenilir bölgeler içindeki yanal hareket, güvenlik duvarlarının tek başına yeterli olmadığını ve diğer savunma katmanlarıyla birleştirilmesi gerektiğini gösterir.

Paket filtreleyen güvenlik duvarları (durumsuz güvenlik duvarları olarak da adlandırılır), her paketi birbirinden bağımsız olarak başlık alanlarına göre inceler: kaynak IP, hedef IP, kaynak bağlantı noktası, hedef bağlantı noktası ve protokol. ACL'ler (Access Control Lists) olarak adlandırılan basit izin verme/engelleme kurallarını uygularlar. Her paketi bağımsız olarak inceledikleri için bir paketin kurulmuş bir oturumun parçası olup olmadığını izleyemezler. Bu nedenle beklenen başlık değerlerini taklit eden veya birden çok paket kullanan güvenlik açıklarından yararlanan saldırılara karşı savunmasızdırlar.

Durum denetimli inceleme güvenlik duvarları, etkin bağlantıları izleyen bir durum tablosu tutar. Bir paket geldiğinde güvenlik duvarı, paketin önceden kurulmuş bir oturuma ait olup olmadığını denetler. Bu sayede dönüş trafiği, açık bir kural gerektirmeden otomatik olarak geçebilir. Durum denetimli güvenlik duvarları, paket filtrelerinden çok daha güvenlidir; çünkü gizli taramalarda kullanılan istenmeyen ACK paketleri gibi geçerli bir oturuma ait olmayan paketleri tespit edebilir ve bağlantı düzeyinde politikalar uygulayabilir.

Yeni nesil güvenlik duvarları (NGFW), durum takibinin ötesinde derin paket inceleme ve uygulama farkındalığı sağlar. Bir NGFW, yalnızca bağlantı noktasına bakmak yerine protokol ayrıştırma ve makine öğrenimi kullanarak trafiği oluşturan uygulamayı belirleyebilir. Temel NGFW özellikleri arasında uygulama denetimi (bağlantı noktasına bakmaksızın Dropbox'ı engelleme), User kimliği entegrasyonu (AD gruplarına bağlı kurallar), entegre IPS ve SSL/TLS incelemesi bulunur. Sağlayıcılar arasında Palo Alto Networks, Fortinet, Check Point ve Cisco Firepower yer alır.

Güvenlik duvarı kuralları yukarıdan aşağıya doğru değerlendirilir; eşleşen ilk kural kazanır. Bu nedenle daha özel kurallar, daha genel kurallardan önce yer almalıdır. En altta bulunan örtük tümünü reddet kuralı, açıkça izin verilmeyen tüm trafiği engeller. Yaygın hatalar arasında geniş kapsamlı bir izin verme kuralını özel bir reddetme kuralından önce yerleştirmek, gölgeleme (önceki bir kural her zaman önce eşleştiği için hiç eşleşmeyen bir kural) ve uygulamaların ihtiyaç duyduğu dönüş trafiğine veya ICMP hata iletilerine izin vermeyi unutmak bulunur.

Bir WAF (Web Application Firewall), Layer 7'de çalışır ve web uygulamalarını SQL ekleme, XSS ve CSRF gibi saldırılara karşı korumak için özel olarak tasarlanmıştır. Ağ trafiğini genel olarak koruyan NGFW'lerin aksine WAF, HTTP ve HTTPS anlamını anlayarak URL'leri, başlıkları, çerezleri ve istek gövdelerini inceler. WAF'lar tespit kipinde (kaydeder ancak engellemez) veya önleme kipinde (kötü amaçlı istekleri engeller) çalışabilir. AWS WAF, Cloudflare ve Imperva yaygın ticari çözümlerdir.

Günümüzde trafiğin büyük bölümü HTTPS ile şifrelendiği için tehditler TLS oturumlarının içinde gizlenebilir. SSL/TLS incelemesi (SSL araya girme veya decryption olarak da adlandırılır), NGFW'lerin ortadaki adam proxy'si gibi çalışmasını sağlar: güvenlik duvarı istemcinin TLS bağlantısını sonlandırır, açık metni inceler ve hedefe doğru yeniden şifreler. Bu işlem, şifrelenmiş tüneller içinde kötü amaçlı yazılım taraması ve DLP yapılmasını sağlar. Güvenlik duvarının sertifikasına istemciler tarafından güvenilmelidir; bu sertifika genellikle Grup İlkesi aracılığıyla kurumsal cihazlara dağıtılır.

Güvenlik duvarları güven sınırlarına yerleştirildiğinde en etkili olur. Yaygın bir tasarımda internet ile DMZ arasına bir çevre güvenlik duvarı, DMZ ile dahili ağ arasına da dahili bir güvenlik duvarı yerleştirilir. Böylece halka açık sunucuların (web, posta) yalıtıldığı bir korumalı alt ağ oluşturulur; sunucular ele geçirilse bile saldırgan dahili sistemlere doğrudan ulaşamaz. Modern tasarımlarda yanal hareketi sınırlamak için dahili kesimler arasına da güvenlik duvarları yerleştirilir.

Bir IDS (Intrusion Detection System), trafiği izler ve şüpheli örüntüler belirlediğinde uyarılar oluşturur; ancak trafiği engellemez. Bir IPS (Intrusion Prevention System), trafiğin arasına yerleştirilir ve kötü amaçlı paketleri etkin biçimde DROP edebilir veya bağlantıları gerçek zamanlı olarak sıfırlayabilir. Modern NGFW'lerin çoğunda entegre IPS bulunur. Tespit yöntemleri arasında imza tabanlı (bilinen saldırı örüntüleriyle eşleştirme) ve anomali tabanlı (öğrenilmiş bir temel çizgiden sapmaları tespit etme) yöntemler bulunur.

Bir UTM (Unified Threat Management) cihazı, güvenlik duvarı, IPS, antivirüs, VPN, web filtreleme ve bazen e-posta güvenliği gibi birden çok güvenlik işlevini tek bir cihazda birleştirir. UTM'ler, yönetimi kolaylaştırıp maliyeti azalttıkları için küçük ve orta ölçekli işletmelerde yaygındır. Bunun karşılığında tek bir cihaz, tek hata noktası oluşturur ve amaca özel çözümlerin sunduğu performansı veya derinliği sağlamayabilir. UTM teriminin yerini kurumsal ortamlarda büyük ölçüde NGFW almıştır.

Security+ sınavı, belirli bir senaryo için doğru güvenlik duvarı türünü seçme becerinizi sınar. Paket filtreleme hızlıdır ancak durumsuzdur ve kolayca atlatılabilir. Durum denetimli inceleme oturumları izler ve modern ağlar için temel yaklaşımdır. NGFW, uygulama farkındalığı, User kimliği ve entegre IPS ekler; kurumsal çevreler için doğru seçimdir. WAF, Layer 7 HTTP'de web uygulamalarını özel olarak korur. Denetimi her zaman tehditle eşleştirin: WAF bir bağlantı noktası taramasını durdurmaz, paket filtresi de SQL eklemeyi durdurmaz.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını ne kadar anladığınızı sınayın.

Bu derste şunları öğrendiniz: paket filtreleyen güvenlik duvarları durumsuzdur ve her paketi yalnızca başlık alanlarına göre değerlendirir; durum denetimli güvenlik duvarları dönüş trafiğine izin vermek ve anormal paketleri tespit etmek için bağlantı durumlarını izler; yeni nesil güvenlik duvarları ise daha derin inceleme için uygulama farkındalığı, User kimliği ve entegre IPS ekler. Sırada ağ bölümlendirmeyi ve VLAN'ları inceleyeceğiz.