Kural tablosu okumak

Açılış

Bora, hastanenin ana güvenlik duvarının kural tablosunu ilk kez baştan sona okumaya karar verdiğinde ekranda 214 satır vardı. Bazı satırların açıklama alanında bir isim yazıyordu; o isimlerin sahiplerinden üçü artık hastanede çalışmıyordu. Bazılarında yalnız bir tarih vardı. Çoğunda hiçbir şey yoktu.

Bir kuralda durdu. Kural, radyoloji arşiv sunucusuna internetten gelen bağlantıları engelliyordu. Doğru bir kuraldı. Ama aynı tablonun on iki satır yukarısında başka bir kural vardı: "dış destek firmasının adres aralığından her yere, her porta: izin." Firma iki yıl önce değişmişti. Ve güvenlik duvarı, kuralları yukarıdan aşağıya okuyup ilk eşleşen kuralı uyguluyordu.

Bora, arşiv sunucusunu koruduğunu sandığı kuralın, o eski firmanın adresleri için hiç çalışmadığını fark etti. Trafik, alttaki kurala ulaşmadan üstteki kural tarafından geçiriliyordu.

"Kural doğruydu," diye not aldı. "Yeri yanlıştı."

Tek fikir

Kural tablosunun her satırı bir kaynak, bir hedef, bir servis ve bir eylemdir. Ama bir kuralın anlamı tablodaki yerinden de gelir: üstte duran geniş bir kural, altındaki doğru bir kuralı sessizce işlevsiz bırakabilir.

Nasıl çalışır

Önceki derste güvenlik duvarının ne gördüğünü konuştuk. Bu ders, onun neye göre karar verdiğini okumayı öğretiyor.

Kural tablolarının nasıl kurulması gerektiğini, önceki derste kullandığımız NIST rehberinin yapılandırma bölümü anlatır.

Bir kural tablosunu okumak için önce bir satırı okumayı bilmek gerekir. Aşağıdaki tablo, küçük bir ofisin güvenlik duvarından alınmış gibi düşünülmüş bir örnektir. İç adresler özel ağ aralığından, dış adresler ise belgelerde örnek olarak kullanılmak üzere ayrılmış aralıklardan seçilmiştir.

Bu tabloyu okumanın yolu, her satır için dört soru sormaktır: kim, nereye, neyle ve ne olacak? Birinci satır: iç ağdaki herkes, herhangi bir yere, yalnız web servisiyle, izinli. Yedinci satır: kalan her şey, engelli.

Ama tabloyu okumak, satırları tek tek okumaktan fazlasıdır. Çünkü çoğu güvenlik duvarı bir paket için tabloda yukarıdan aşağıya iner ve eşleşen ilk satırda durur.

Şimdi beşinci ve altıncı satıra yeniden bak. Altıncı satır arşivi dışarıdan gelen her şeye karşı korumak için yazılmıştır. Ama eski destek firmasının adres aralığından gelen bir paket, altıncı satıra hiç ulaşmaz; beşinci satırda "herhangi bir hedefe, herhangi bir servisle: izin" koşulunu karşılar ve geçer. Altıncı satır, o adresler için orada yokmuş gibidir.

Gölgede kalan kurallar, kural tablolarının en sinsi sorunudur, çünkü tabloyu okuyan biri onları görür ve korunduğunu sanır. Bora'nın arşiv kuralı tam olarak böyleydi.

Kural tablosunun okunması gereken başka işaretleri de vardır. "Herhangi" kelimesinin bir satırda kaç kez geçtiği, o kuralın ne kadar geniş olduğunu gösterir. Açıklaması boş bir kural, nedeni unutulmuş bir kuraldır. Hiç eşleşmeyen bir kural, artık gereksiz olabilir. Ve tablonun en altındaki satır, açıkça eşleşmeyen her şeye ne olacağını söyler; bu satırın anlamını bir sonraki derste ayrıntılı konuşacağız.

Bora'nın eski firma kuralı tam bu son cümlenin örneğiydi: adres aralığı aynı kalmıştı, ama arkasındaki firma artık başkasıydı.

Sahada

Savunma

Kural tablosu, bir güvenlik duvarının politikasının kendisidir. Onu okunabilir ve doğru tutmak, güvenlik duvarına sahip olmaktan daha önemlidir.

Tabloyu düzenli olarak baştan sona oku. Her satır için dört soru sor: kim, nereye, neyle, ne olacak? Okuyamadığın bir satır, kimsenin anlamadığı bir kuraldır.

Sırayı oku. İlk eşleşmeyle çalışan bir cihazda, her yeni kuralın tabloya nereye eklendiği, ne yazdığı kadar önemlidir. Belirli kurallar genellerden önce gelir; engelleme kuralları onları gölgeleyecek geniş izinlerin üstünde durur.

Gölgede kalan kuralları ara. Güvenlik duvarlarının çoğu her kuralın kaç kez eşleştiğini sayar. Hiç eşleşmeyen bir kural ya gereksizdir ya gölgededir; ikisini de bulmak gerekir.

Geniş kurallardan şüphelen. "Herhangi" kelimesinin üç kez geçtiği bir izin kuralı, bir kapı değil bir duvar boşluğudur.

Her kurala bir sahip, bir gerekçe ve bir tarih ver. Bora'nın üç yıllık isimleri, Defne Hanım'ın altı aylık gözden geçirmesi bunun neden gerektiğini gösteriyor.

Değişiklikleri bir süreçle yap. Rehberin önerdiği gibi kural değişiklikleri resmî bir değişiklik süreciyle, gerekçesi ve onayıyla yapılır.

Kuralın çalıştığını sına. Bir engelleme kuralı eklemek, trafiğin engellendiği anlamına gelmez. Kaan'ın deneyimi, kuralı ekledikten sonra test etmenin neden gerektiğini gösteriyor.

Uygulama

Kendi ev modeminin ya da bilgisayarının güvenlik duvarı kurallarını okuyacaksın.

Bittiğinde, kaç kural bulduğunu, kaçının nedenini bildiğini ve kaçını kaldırdığını not et.

Defter: Modem ve bilgisayar güvenlik duvarı kuralları tablosu, her kuralın dört sorusu, nedeni bilinen ve bilinmeyen kurallar, kaldırılan ve izlemeye alınan kurallar.

Hata köşesi

Etik ve sınırlar

Bir kurumun kural tablosu, o kurumun ağının haritasıdır: hangi sunucunun nerede durduğunu, hangi servislerin açık olduğunu ve hangi dış tarafların içeri girebildiğini gösterir. Bu yüzden kural tablosunu okuma ve değiştirme yetkisi sınırlı tutulur ve bir kopyası rastgele paylaşılmaz; bir tedarikçiye ya da danışmana gösterilecekse bu, işin gerektirdiği kadar ve bir gizlilik yükümlülüğüyle yapılır. Bora'nın eski destek firması kuralında olduğu gibi, bir kuralın başka bir tarafa erişim verdiği ortaya çıktığında bu yalnız teknik değil, bir olay müdahalesi konusudur; yetkili birimlere bildirilir ve o erişimle neye ulaşıldığı incelenir. Başka bir kurumun kapısının nasıl ayarlandığını merak edip denemek ise, o kurum yazıyla istemedikçe senin işin değildir.

Kapanış

1. Kural tablosu bir güvenlik duvarının politikasıdır; her satır bir kaynak, bir hedef, bir servis ve bir eylemdir ve her satır "kim, nereye, neyle, ne olacak" sorularıyla okunur.
2. Çoğu güvenlik duvarı ilk eşleşen kuralı uygular; bu yüzden kuralların sırası içerikleri kadar önemlidir ve üstteki geniş bir kural, alttaki doğru bir kuralı gölgede bırakabilir.
3. İyi bir kural tablosu okunabilir, gerekçeli ve sınanmıştır: her kuralın bir sahibi, bir nedeni ve bir gözden geçirme tarihi vardır, değişiklikler bir süreçle yapılır ve hiç eşleşmeyen ya da nedeni bilinmeyen kurallar düzenli olarak ayıklanır.

Üç soru

1. Bora'nın arşiv sunucusunu koruyan kural neden bazı trafik için hiç çalışmıyordu?
2. Bora'nın tablosundaki 61 kural neden altı ay boyunca hiç eşleşmemişti?
3. Gülay Hanım neden her yeni engelleme kuralının bir testle kapatılmasını istedi?

Yanıtlar

1. Güvenlik duvarı kuralları yukarıdan aşağıya okuyup ilk eşleşeni uyguluyordu. Arşiv kuralının on iki satır yukarısında, eski destek firmasının adres aralığından her yere, her porta izin veren geniş bir kural vardı. O adreslerden gelen trafik bu kuralla eşleşip geçiyor, arşiv kuralına hiç ulaşmıyordu; arşiv kuralı o trafik için gölgede kalmıştı.
2. Bir kısmı artık gereksizdi; korudukları sistemler ya da izin verdikleri işler ortadan kalkmıştı. Bir kısmı ise üstlerindeki geniş kurallar aynı trafiği önce yakaladığı için gölgede kalmıştı ve hiçbir zaman eşleşemiyordu. İki durum da tabloyu okunmaz hâle getiriyor, korunduğu sanılan yerleri gerçekte korunmasız bırakabiliyordu.
3. Mühendisin eklediği engelleme kuralı, onu gölgeleyen geniş bir izin kuralının altına konmuştu ve iki gün boyunca kimse fark etmemişti. Bir kuralın tabloya yazılması, trafiğin gerçekten engellendiği anlamına gelmiyordu. Test, kuralın sırası ve içeriğiyle birlikte gerçekten çalıştığını gösteren tek yoldu.

Sonraki derse köprü

Bu derste kural tablosunun en alt satırını, yani hiçbir kurala uymayan trafiğe ne olacağını söyleyen satırı bir kenara bıraktık. Varsayılan reddet dersi bu satıra dönüyor: izin listesi mantığını, neden "yasaklananlar dışında her şey serbest" yerine "izin verilenler dışında her şey yasak" diye düşünmek gerektiğini ve zamanla biriken geniş kuralların bu mantığı nasıl aşındırdığını anlatıyor.