Varsayılan reddet

Açılış

Kaan'ın şirketi Erdem Bey'in gümrük müşavirliği ofisini satın aldığında, ofisin güvenlik duvarı da devralınan şeylerin arasındaydı. Kaan kural tablosunu açtı ve ilk bakışta rahatladı: yalnız on bir kural vardı. Hepsi "engel" kuralıydı. Belirli bir dosya paylaşım sitesi engellenmiş, iki oyun sitesi engellenmiş, bilinen kötü adreslerden oluşan bir liste engellenmiş.

Sonra tablonun en altına baktı. Son satır şöyleydi: "Herhangi, herhangi, herhangi: izin."

Kaan bunu Gülay Hanım'a gösterdi. Gülay Hanım bir süre ekrana baktı. "On bir kapı kapatmışlar," dedi, "ama duvarı hiç örmemişler. Bu tablo, neyin yasak olduğunu biliyor. Neyin gerekli olduğunu bilmiyor."

O öğleden sonra Kaan, Erdem Bey'e bir soru sordu ve cevabı bir saat sürdü: "Ofisinizin internetle hangi işleri yapması gerekiyor?"

Tek fikir

Güvenlik duvarı ya yasakları sayar ya da izinleri. İzinleri sayan, yani varsayılan reddet, daha güvenlidir ama emek ister: her iznin gerekçesi, sahibi ve süresi olmalı, yoksa geniş kurallar birikip duvarı yeniden açar.

Nasıl çalışır

Modül 14'te varsayılan ret ilkesini genel bir tasarım ilkesi olarak tanımlamıştık: açıkça izin verilmemiş her erişimin reddedilmesi, ve bu düzende bir hatanın fark edilir, öbür düzende ise sessiz olması. Bu ders aynı ilkeyi güvenlik duvarının kural tablosunda, günlük bir iş olarak ele alıyor.

Ders 18.2'nin ertelediği en alt satır, tablonun felsefesini söyler. Erdem Bey'in ofisindeki tablo "herhangi: izin" ile bitiyordu; Ders 18.2'deki örnek tablo ise "herhangi: engel" ile. İki tablo aynı uzunlukta olabilir, ama tamamen farklı iki dünyayı tarif eder.

Güvenlik duvarı rehberi, iki yaklaşım arasındaki seçimi açıkça yapar.

Rehberin gerekçesi önemlidir: "değişken doğa." Bir engelleme listesi, bugün bilinen tehditlere göre yazılır; yarın ortaya çıkan bir hizmet ya da tehdit listede yoktur ve kendiliğinden serbesttir. Bir izin listesi ise bugünkü ihtiyaca göre yazılır; yarın ortaya çıkan her şey, biri onu bilerek eklemediği sürece kapalı kalır.

Ama izin listesinin de kendi zayıflığı vardır ve bu zayıflık zamanla ortaya çıkar. Her yeni iş ihtiyacı, yeni bir izin kuralı ister. Acele bir gün, birisi dar bir kural yazmak yerine geniş bir kural yazar: "bu sunucudan dışarıya, her porta." Bir test için açılan kural kapatılmaz. Bir tedarikçi için açılan erişim, tedarikçi değiştikten sonra kalır. Yıllar içinde tablo, varsayılan reddet ilkesiyle başlamış ama içinde yüzlerce delik açılmış bir duvara dönüşür. Ders 18.2'de Bora'nın 214 kuralı bunun bir örneğiydi.

Bu birikmeye karşı en etkili alışkanlıklardan biri, kuralları sonsuza kadar değil, bir süre için yazmaktır.

Kontrolün üçüncü maddesi, bu dersin asıl uyarısıdır: izin listesi bir kez kurulup bırakılırsa, birikme onu yavaş yavaş bir engelleme listesine dönüştürür.

Sahada

Savunma

Varsayılan reddet, bir kez kurulup bırakılan bir ayar değil, sürdürülen bir alışkanlıktır.

İhtiyaçla başla. Kaan'ın ilk sorusu "neyi engelleyelim" değil, "neye ihtiyacınız var" idi. İzin listesi, işin ihtiyaçlarının listesidir; o liste olmadan yazılamaz.

İki yöne de uygula. Gelen trafikte varsayılan reddet çoğu yerde zaten vardır. Giden trafikte ise çoğu zaman yoktur. Selin'in çıkış kuralları, ele geçirilmiş bir sunucunun dışarıyla konuşmasını da zorlaştırır.

Dar yaz. Bir izin kuralı, işin gerektirdiği kaynak, hedef ve servisle sınırlanır. "Herhangi" kelimesi, bir izin kuralında kaçınılması gereken kelimedir.

Her izin kimin, neden ve ne zamana kadar sorularına cevap versin. Bora'nın süreli kuralları, birikmeyi kendiliğinden temizleyen bir mekanizmadır.

Şikâyeti bilgi olarak oku. Varsayılan reddet ilk haftalarda bir şeyleri bozar; bu beklenen bir şeydir. Her "çalışmıyor" şikâyeti, ya gerçek bir ihtiyacı ya da kimsenin bilmediği bir bağımlılığı gösterir. İkisi de bilinmeye değerdir.

Önce izle, sonra uygula. Selin'in bir aylık kaydı, kuralları tahmine değil gözleme dayandırdı. Mümkünse yeni bir izin listesini önce yalnız kayıt tutan bir kipte çalıştır.

Düzenli olarak geri dön. İzin listesi, gözden geçirilmezse engelleme listesine dönüşür. Kontrolün üçüncü maddesi bunun için oradadır.

Uygulama

Kendi ev ağın için küçük bir izin listesi düşünce deneyi yapacak ve bilgisayarının güvenlik duvarında bir varsayılan reddet ayarını gözden geçireceksin.

Bittiğinde, izin listesi taslağının kaç satır olduğunu ve kaldırdığın izinleri not et.

Defter: Ev cihazlarının internet ihtiyaçları listesi, internete bağlanması gerekmeyen cihazlar ve alınan önlem, bilgisayarın gelen bağlantı varsayılanı, izinli programlar ve gerekçeleri, kaldırılan izinler.

Hata köşesi

Etik ve sınırlar

Varsayılan reddet, çalışanların ve kullanıcıların neye erişebileceğini sınırlayan bir karardır ve bu yüzden yalnız teknik değil, bir yönetim kararıdır. İzin listesini yazan kişi, işin ihtiyaçlarını iş sahibine sorarak öğrenir; Kaan'ın Erdem Bey'e sorduğu soru bunun içindir. Bir engellemenin bir çalışanın işini durdurması, onun suçu değil, tablonun eksikliğidir; şikâyet eden kişi bir sorun çıkaran değil, bir bilgi getiren olarak karşılanır. Çıkış trafiğini kaydetmek ve süzmek, çalışanların hangi hizmetleri kullandığını görmek anlamına gelebilir; bu kayıtlar yalnız güvenlik amacıyla, açık bir politika ve ölçülülükle tutulur ve erişimi sınırlıdır. Bir izin listesine bir hizmeti eklemek ya da çıkarmak için yetki, kural tablosunun sahibinde ve değişiklik sürecindedir; kendi bilgisayarında bir engeli aşmanın yolunu aramak, kurumun yetkisini aşmak demektir.

Kapanış

1. Bir güvenlik duvarı ya engelleme listesiyle yalnız yasakları sayar ya da izin listesiyle yalnız gerekli olanı; rehberin önerdiği ve daha güvenli olan ikincisidir, çünkü dünya değişkendir ve yeni olan her şey kendiliğinden kapalı kalır.
2. İzin listesi işin ihtiyaçlarından başlar, iki yöne de uygulanır ve dar yazılır; ilk haftalarda çıkan şikâyetler bir kusur değil, tablonun neyi bilmediğini gösteren bilgidir.
3. Varsayılan reddet sürdürülmezse aşınır: geniş ve unutulmuş kurallar birikip duvarı yeniden açar. Her iznin kime ait olduğunu, neden açıldığını ve ne zaman biteceğini yazmak, ve listeyi düzenli olarak gözden geçirmek bu birikmeyi önler.

Üç soru

1. Gülay Hanım, Erdem Bey'in ofisinin tablosu için neden "on bir kapı kapatmışlar ama duvarı hiç örmemişler" dedi?
2. Bora'nın süreli kural uygulaması ilk yılın sonunda ne sonuç verdi ve bu ne gösteriyordu?
3. Selin'in ekibi, çıkış kuralları yüzünden durdurulan dağıtımı neden bir kusur değil bir uyarı olarak okudu?

Yanıtlar

1. Tablonun bütün kuralları engelleme kuralıydı ve en alt satırı "herhangi, herhangi, herhangi: izin" diyordu. Yani tablo yalnız açıkça yasaklanan on bir şeyi engelliyor, listede olmayan her şeye izin veriyordu. Bir engelleme listesiydi: neyin yasak olduğunu biliyor ama neyin gerekli olduğunu bilmiyordu. Duvar, ancak ihtiyaçlardan yazılan bir izin listesi ve "geri kalan her şey: engel" satırıyla örülebilirdi.
2. 23 kural, sahipleri yeniden onaylamadığı için kendiliğinden kapandı. Bunların yalnız ikisi için şikâyet geldi ve yeniden açıldı; kalan 21'ine kimse ihtiyaç duymadı. Bu, kural tablolarında ne kadar çok gereksiz izin biriktiğini ve süre vermenin bu birikmeyi kendiliğinden temizleyebildiğini gösteriyordu.
3. Engellenen bağlantı, güncellemenin indirmeye çalıştığı yeni bir bağımlılığa aitti. Çıkış kuralları olmasaydı bu bağımlılık sessizce indirilecek ve kimse nereden geldiğini sormayacaktı. Engelleme, yeni bir tedarikçinin sisteme girmek üzere olduğunu görünür kıldı; bağımlılığın kaynağı artık bilinçli bir karar olmak zorundaydı.

Sonraki derse köprü

Bu derste tek bir güvenlik duvarının kurallarını konuştuk. Ama bir ağda yalnız bir kapı varsa, o kapıdan içeri giren biri her yere ulaşabilir. Ağ segmentasyonu dersi, ağı VLAN'lar ve alt ağlarla bölümlere ayırmayı ve her bölümün arasına kendi kurallarını koyarak içeri girmiş bir saldırganın yanal hareketini nasıl yavaşlatacağımızı ele alıyor.