Ana Bilgisayar Tabanlı Güvenlik Duvarı ve Uygulama İzin Listeleri

Bir ağ güvenlik duvarı çevre sınırında bulunur ve ağ bölümleri arasındaki trafiği filtreler. Bir ana bilgisayar tabanlı güvenlik duvarı tek tek uç noktalarda çalışır ve belirli makineye gelen ve makineden giden trafiği filtreler. Ana bilgisayar tabanlı güvenlik duvarları, savunmayı derinlemesine katmanlandırır: bir saldırgan ağ güvenlik duvarını (VPN, güvenliği ihlal edilmiş bir iç kullanıcı veya başka bir virüslü ana bilgisayardan yatay hareket yoluyla) atlasa bile ana bilgisayar güvenlik duvarı yerel trafik kurallarını uygular. Kurumsal çevrenin dışına çıkan ve güvenilmeyen ağlara bağlanan dizüstü bilgisayarlar için özellikle önemlidirler.

Windows Defender Firewall (WDF), tüm modern Windows sürümlerinde yerleşik olarak bulunan ana bilgisayar güvenlik duvarıdır. Üç profili destekler: Domain (kurumsal etki alanına bağlı — genellikle daha izin verici), Private (güvenilen ev ağı) ve Public (güvenilmeyen ağlar — en kısıtlayıcı). WDF kuralları bağlantı noktası, protokol, uygulama yolu, uzak IP ve kullanıcı kimliğine göre filtreleme yapabilir. Windows Defender Firewall with Advanced Security (WFAS) MMC ek bileşeni ve Group Policy, etki alanına katılmış tüm makinelerde güvenlik duvarı kurallarının merkezi kurumsal yönetimini sağlar.

Linux ana bilgisayar güvenlik duvarları, iptables (eski, ancak hâlâ yaygın olarak kullanılan) veya modern nftables aracılığıyla yapılandırılabilen Netfilter çekirdek çerçevesini kullanır. Kurallar, tablolar (filter, nat, mangle) içindeki zincirlerde (INPUT, OUTPUT, FORWARD) düzenlenir. Varsayılan ilke, gereken trafik için açıkça belirtilen ACCEPT kurallarıyla birlikte DROP olmalıdır; bu, varsayılan olarak reddetme yaklaşımıdır. ufw (Ubuntu) ve firewalld (RHEL/CentOS) gibi daha üst düzey araçlar, arka planda yine Netfilter'ı kullanırken daha kullanıcı dostu arayüzler sağlar.

Ana bilgisayar tabanlı güvenlik duvarları, trafiği yalnızca bağlantı noktasına göre değil, trafiği oluşturan uygulamaya göre filtreleyerek uygulama katmanında kurallar uygulayabilir. Windows Defender Firewall, uygulama tabanlı kuralları destekler: C:\Program Files\MyApp\app.exe dosyasının dışarıya bağlantı kurmasına izin verirken aynı bağlantı noktasındaki diğer her şeyi engelleyebilir. Bu, kötü amaçlı yazılımların güvenilen bir uygulama gibi davranarak izin verilen bağlantı noktalarını ele geçirmesini önler. Uygulama katmanı kuralları, yalnızca bağlantı noktasını temel alan ve kötü amaçlı yazılımın 443 gibi yaygın bağlantı noktalarına bağlanmasıyla aşılabilen kurallardan çok daha etkilidir.

Uygulama izin listesi oluşturma (önceden beyaz listeleme olarak adlandırılır), bir uç noktada yalnızca açıkça onaylanmış uygulamaların çalıştırılmasına izin veren bir güvenlik denetimidir. İzin listesinde bulunmayan tüm yürütülebilir dosyalar, kötü amaçlı yazılım olsun veya yalnızca onaylanmamış yazılım olsun, engellenir. Bu, kötü amaçlı yazılımlara karşı güçlü bir savunmadır; çünkü yeni ve sıfırıncı gün kötü amaçlı yazılımlar bile onaylı listede değilse engellenir. Zorluk operasyoneldir: büyük ve dinamik ortamlarda izin listesini yönetmek olgun bir değişiklik yönetimi süreci gerektirir; liste iyi ayarlanmazsa çok sayıda destek talebi oluşturur.

AppLocker, Enterprise ve Education sürümlerinde bulunan Windows'un yerleşik uygulama denetimi özelliğidir. Çalıştırmayı şu ölçütlere göre filtreler: yol (%TEMP% veya kullanıcıların yazabildiği dizinlerdeki yürütülebilir dosyaları engelleme), dosya karması (yalnızca güvenilir olduğu bilinen karmalara izin verme) veya publisher (Microsoft ya da Adobe tarafından imzalanmış yazılımlara izin verme). AppLocker ilkeleri Group Policy aracılığıyla dağıtılır ve Windows Event Log'a kaydedilir (Event ID 8003 = engellendi). Önce Audit Mode ile çalıştırmak — engellemeleri uygulamadan kaydetmek — ekiplerin uygulama başlamadan önce izin listesini ayarlamasını sağlar.

WDAC, AppLocker'ın daha güçlü halefidir ve kullanıcı alanı yerine çekirdek düzeyinde uygulanır. AppLocker'ın aksine WDAC, yerel yönetici haklarına sahip saldırganlar tarafından aşılamaz; bu nedenle yüksek güvenlik gerektiren ortamlar için tercih edilen denetimdir. WDAC ilkeleri XML olarak yazılır ve MDM (Intune) veya Group Policy aracılığıyla dağıtılan ikili ilke dosyalarına dönüştürülür. WDAC ayrıca Intelligent Security Graph (ISG) tümleştirmesini etkinleştirir. Bu tümleştirme, güvenilir bir itibara sahip yazılımlara otomatik olarak izin vermek için Microsoft'un bulut itibar hizmetini kullanır ve izin listesinin elle düzenlenmesiyle oluşan operasyonel yükü azaltır.

İzin listesi oluşturma güçlü, ancak operasyonel açıdan zahmetlidir. Yaygın zorluklar şunlardır: LOLBins (Living-Off-the-Land Binaries) — saldırganlar, genellikle her izin listesinde bulunan PowerShell, wscript.exe ve mshta.exe gibi Windows sistem araçlarını kullanır; izin listesi bu araçların çalışıp çalışmadığını değil, nasıl çağrılabileceğini kısıtlamalıdır. (PowerShell, Python) genellikle izin listesine alınır, ancak kötü amaçlı kod çalıştırabilir. Yanlış pozitifler — izin listesi tarafından engellenen meşru yazılımlar — yardım masasına gelen talepleri artırır ve denetimlerin gevşetilmesi yönünde baskı oluşturur. Olgun izin listesi programları, ek kısıtlanmış dil modu ilkeleriyle LOLBins sorununu ele alır.

İzin listesi oluşturma, yalnızca açıkça onaylanan öğelere izin verir ve diğer her şeyi engeller; bu daha güçlü bir güvenlik yaklaşımıdır. Reddetme listesi (kara listeleme), açıkça kötü olduğu bilinen öğeleri engeller ve diğer her şeye izin verir; bu geleneksel antivirüs modelidir. Reddetme listesi bilinmeyen tehditlere karşı başarısız olur; izin listesi oluşturma ise LOLBins ve aşırı geniş izin girdileri karşısında başarısız olabilir. Olgun güvenlik programlarının çoğu, kritik sistemlerde birincil denetim olarak izin listesi oluşturmayı kullanırken izin verilen uygulamaların kötüye kullanımını yakalamak için davranışsal algılamadan (EDR) yararlanır. Daha az kritik sistemlerde, davranışsal izlemeyle iyi ayarlanmış bir reddetme listesi kabul edilebilir.

Ana bilgisayar tabanlı güvenlik duvarları ve uygulama izin listesi oluşturma, birbirini tamamlayan, katmanlı denetimlerdir. İzin listesi yetkisiz kodun çalışmasını önler; güvenlik duvarı ise yetkili ancak güvenliği ihlal edilmiş kodun yetkisiz ağ bağlantıları kurmasını engeller. Birlikte, uç noktadaki uygulama ve ağ katmanlarında en az ayrıcalık ilkelerini uygularlar. Üçüncü bir katman olarak EDR eklendiğinde, her denetimin diğerlerinin gözden kaçırabileceği durumları yakaladığı derinlemesine bir savunma yığını oluşur; bu da uç noktalara yönelik başarılı saldırıların maliyetini ve karmaşıklığını büyük ölçüde artırır.

Ana bilgisayar tabanlı güvenlik duvarları, yalnızca oluşturdukları günlükler kadar değerlidir. Saldırı girişimlerini ve ilke ihlallerini yakalamak için engellenen bağlantıların günlük kaydını etkinleştirin. Denetim izi tutmak için hassas kurallarda (yönetim araçlarına izin veren kurallar gibi) izin verilen bağlantıların günlük kaydını etkinleştirin. İlişkilendirme için güvenlik duvarı günlüklerini SIEM'e iletin — tek bir ana bilgisayardan gelen engellenmiş dışa giden bağlantı örüntüsü, kötü amaçlı yazılımın C2 geri aramaları yapmaya çalıştığını gösterebilir. Windows'ta güvenlik duvarı günlükleri varsayılan olarak %systemroot%\System32\LogFiles\Firewall\pfirewall.log konumuna yazılır ve Windows Event Forwarding (WEF) veya bir günlük aracısı üzerinden iletilmelidir.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını ne kadar anladığınızı sınayın.

Bu derste şunları öğrendiniz: ana bilgisayar tabanlı güvenlik duvarları (Windows Defender Firewall, iptables), varsayılan olarak reddetme yaklaşımı ve uygulama kapsamlı kurallarla trafiği uç nokta bazında filtreler; uygulama izin listesi oluşturma (AppLocker, WDAC), kötü amaçlı yazılımlar da dâhil olmak üzere yetkisiz yürütülebilir dosyaların çalışmasını engeller; güvenlik duvarı, izin listesi oluşturma ve EDR'nin katmanlandırılması, saldırı maliyetini büyük ölçüde artıran derinlemesine bir savunma oluşturur. Sırada e-posta kimlik doğrulamasını (SPF, DKIM ve DMARC) inceleyeceğiz.