Güvenlik duvarı

Açılış

Kaan'ın şirketi yeni bir güvenlik duvarı almıştı ve eski cihazın kuralları yenisine taşınıyordu. Gülay Hanım, Kaan'ı taşıma işinin gözlemcisi yapmıştı. "Ne yaptıklarını izle," demişti. "Ama asıl, eski cihazın ne yapamadığını öğren."

İlk gün Kaan bir şey fark etti. Eski cihazın kuralları basitti: şu adresten şu adrese, şu porttan, izin ya da engel. Bir kural, internetten gelen ve "ben zaten açık bir bağlantının parçasıyım" diyen her pakete izin veriyordu. Taşımayı yapan mühendis bu kuralı gösterip başını salladı: "Bu kural yıllardır bir kapıyı aralık tutuyormuş. Eski cihaz bir paketin gerçekten açık bir bağlantıya ait olup olmadığını kontrol edemiyordu. Paketin üstünde ne yazıyorsa ona inanıyordu."

İkinci gün daha ilginç bir şey oldu. Yeni cihaz, ilk çalıştığı saatte bir raporu Kaan'ın önüne koydu: şirketin ağından dışarıya, web trafiğinin kullandığı porttan giden bağlantıların bir kısmı, aslında bir dosya paylaşım hizmetine gidiyordu. Eski cihaz bunu hiç görmemişti; onun için o trafik yalnız "443 numaralı porta giden trafik"ti.

"Aynı iş, üç farklı göz," dedi Gülay Hanım. "Birincisi yalnız zarfa bakar. İkincisi zarfın hangi konuşmaya ait olduğunu hatırlar. Üçüncüsü mektubu da okur."

Tek fikir

Güvenlik duvarı, ağlar arasında hangi trafiğin geçeceğine kurallara göre karar veren kapıdır. Basit olanı her paketi tek başına değerlendirir; durum bilgili olanı bağlantıları hatırlar; uygulama farkındalığı olanı trafiğin içeriğini ve sahibini görür. Her katman daha fazlasını görür ama hiçbiri kurallardan daha iyi değildir.

Nasıl çalışır

Seviye 3 bu dersle başlıyor ve odak bireyden ağa kayıyor. Modül 3'te bir ağın nasıl çalıştığını, paketin ne olduğunu, portların ne işe yaradığını görmüştük; Bora'nın ağına giren ve çıkan kapıları saydığını hatırla. Bu modül o kapıları tek tek ele alıyor.

Güvenlik duvarları üzerine en çok başvurulan rehberlerden biri, NIST'in güvenlik duvarı politikası yayınıdır.

Üç kuşağı sırayla görelim.

Paket süzme bugün hâlâ her yerdedir: yönlendiricilerdeki erişim kontrol listeleri, işletim sistemlerinin içindeki basit süzgeçler. Bu modülün yedinci dersi bunlara dönecek.

Durum bilgili denetim, bugün hemen her güvenlik duvarının temel davranışıdır; evdeki modemin içindeki güvenlik duvarı bile çoğu zaman böyle çalışır. Kaan'ın eski cihazındaki kural, bu yeteneğin olmadığı bir dönemden kalmaydı.

Üçüncü kuşak, pazarda yaygın olarak "yeni nesil" adıyla anılır.

Kaan'ın gördüğü dosya paylaşım trafiği bunun örneğiydi. Web trafiğinin portundan gidiyordu; bir paket süzücü ya da yalnız durum bilgili bir cihaz için web trafiğinden farksızdı. Uygulamayı tanıyan cihaz için ise ayrı bir uygulamaydı ve şirketin politikasına göre ayrı bir kuralla ele alınabilirdi.

Bu yeteneklerin bir bedeli vardır: işlem gücü, karmaşıklık ve gizlilik. Şifreli trafiğin içine bakmak için güvenlik duvarının o şifrelemeyi açması gerekir ve bu ayrı bir karar, ayrı bir sorumluluktur.

Bu, Modül 16'da Bora'nın tıbbi cihaz bölümünden dışarıya yazdığı kuralın neden önemli olduğunu da açıklar: güvenlik duvarı yalnız içeri gireni değil, dışarı çıkanı da denetleyebilir.

Sahada

Savunma

Güvenlik duvarı en eski savunma katmanlarından biridir ve hâlâ en temel olanıdır. Ama doğru kullanılması birkaç ilkeye bağlıdır.

Neyin neyi gördüğünü bil. Paket süzücü yalnız başlığı görür; durum bilgili cihaz bağlantıları hatırlar; uygulamayı tanıyan cihaz trafiğin ne olduğuna bakmaya çalışır. Elindeki cihazın neyi göremediğini bilmek, ona neyi emanet edebileceğini söyler.

İki yöne de bak. İçeri gelen trafik kadar dışarı giden trafik de süzülür. Ele geçirilmiş bir cihazın dışarıyla konuşması, ancak çıkış kurallarıyla sınırlanabilir.

Varsayılan olarak reddet. Açıkça izin verilmeyen her şey engellenir. Bu modülün üçüncü dersi bu ilkeyi ayrıntılı ele alacak.

Kuralları düzenli gözden geçir. Kaan'ın gördüğü aralık kapı, yıllar önce bir nedenle yazılmış ve kimse ona bir daha bakmamış bir kuraldı. Bir sonraki ders, bir kural tablosunu nasıl okuyacağını anlatacak.

Katmanları birbirinin yerine koyma. Selin'in iki katmanı ancak ikisi de iş görürse derinlemesine savunmaydı. Bir katman ötekine güvenip boş bırakılırsa, tek katmanlı bir savunmaya döner.

Kayıt tut. Güvenlik duvarının engellediği ve izin verdiği trafiğin kaydı, bir olayda ilk bakılacak yerlerden biridir.

Ve güvenlik duvarının yapamadıklarını unutma. İzin verilen bir kanaldan gelen saldırıyı, örneğin bir oltalama e-postasını ya da çalınmış bir parolayla yapılan bir girişi, bir güvenlik duvarı tek başına durduramaz. O kapı açıktır, çünkü işin açık olması gerekir.

Uygulama

Kendi bilgisayarının ve ev modeminin güvenlik duvarlarını inceleyeceksin.

Bittiğinde, kaldırdığın izinlerin sayısını ve iki katmanın tablosunu not et.

Defter: Bilgisayarın güvenlik duvarı durumu ve izinli programlar, kaldırılan izinler, modemin güvenlik duvarı seviyesi ve çıkış kuralı seçeneği, iki katmanın karşılaştırma tablosu.

Hata köşesi

Etik ve sınırlar

Güvenlik duvarı kurallarını yazmak ve değiştirmek, bir kurumun bütün ağ trafiğine karar vermek demektir; bu yetki yazılı olarak verilir ve her değişiklik kaydedilir. Uygulamayı tanıyan ve özellikle şifreli trafiğin içine bakan güvenlik duvarları, çalışanların hangi siteleri ziyaret ettiğini ve hangi hizmetleri kullandığını görebilir; bu, bir izleme yeteneğidir ve ancak açık bir politika, çalışanların bilgilendirilmesi ve ölçülülükle kullanılır. Kişisel verilerin korunmasına ilişkin yükümlülükler burada da geçerlidir; bankacılık ya da sağlık sitelerine giden trafiğin içine bakmamak gibi istisnalar bu yüzden yaygındır. Bir başkasının güvenlik duvarının kurallarını dışarıdan "denemek" ya da onu aşmanın yollarını aramak, ağı yöneten kurumun açık onayı yoksa saldırıdan ayırt edilemez; savunmacının işi kendi kapısının nasıl çalıştığını bilmektir.

Kapanış

1. Güvenlik duvarı, ağlar arasında hangi trafiğin geçeceğine kurallara göre karar veren kapıdır ve kuralları iki yönde de işleyebilir: içeri geleni ve dışarı gideni.
2. Paket süzme her paketi tek başına değerlendirir; durum bilgili denetim bağlantıları bir tabloda izler ve davetsiz cevapları ayıklar; yeni nesil güvenlik duvarları trafiğin hangi uygulamaya ve kullanıcıya ait olduğunu da görmeye çalışır.
3. Her kuşak daha fazlasını görür ama hiçbiri kurallardan daha iyi değildir; kurallar varsayılan olarak reddet ilkesiyle yazılır, düzenli gözden geçirilir ve güvenlik duvarı savunmanın bir katmanı olarak, diğer katmanlarla birlikte kullanılır.

Üç soru

1. Kaan'ın eski cihazındaki "kurulmuş bağlantı gibi görünen her pakete izin ver" kuralı neden bir aralık kapıydı ve yeni cihazda neden gereksizdi?
2. Yeni cihaz, eski cihazın göremediği dosya paylaşım trafiğini nasıl gördü?
3. Selin'in iki güvenlik duvarı katmanı neden bugün sorun çıkarmıyordu ama yine de düzeltilmesi gerekiyordu?

Yanıtlar

1. Eski cihaz durumsuz bir paket süzücüydü; bir paketin gerçekten açık bir bağlantıya ait olup olmadığını denetleyemiyor, paketin başlığında ne yazıyorsa ona inanıyordu. Kural bu yüzden dışarıdan gelen ve kendini cevap gibi gösteren her pakete kapıyı açıyordu. Yeni cihaz durum bilgili denetim yapıyor ve cevap trafiğini durum tablosundan kendisi tanıyordu; böyle bir kurala ihtiyaç kalmadı.
2. Eski cihaz yalnız port numarasına bakıyordu ve bu trafik web trafiğinin portunu kullandığı için ona sıradan web trafiği gibi görünüyordu. Yeni cihaz trafiğin hangi uygulamaya ait olduğunu tanıyabildiği için onun bir dosya paylaşım hizmetine gittiğini ayırt edebildi.
3. Bulut sağlayıcısının güvenlik grubu, yani dış katman, portu yalnız şirket adreslerine açıyordu; bu yüzden sunucunun kendi güvenlik duvarının portu herkese açık bırakması bugün bir zarar vermiyordu. Ama dış katman bir gün değişirse iç katman hiçbir koruma sağlamayacaktı. Derinlemesine savunma, iki katmanın da gerçekten iş görmesini gerektirir.

Sonraki derse köprü

Bu derste güvenlik duvarının nasıl gördüğünü konuştuk. Ama bir güvenlik duvarını anlamanın asıl yolu, onun kural tablosunu okuyabilmektir. Kural tablosu okumak dersi, kaynak, hedef, port ve eylem sütunlarını ve kuralların sırasının neden bir kuralın içeriği kadar önemli olduğunu ele alıyor.