Güvenlik Duvarı Değişikliğinde Dört Göz İlkesini Uygulamak

Dört göz ilkesi çoğu kurumda bir denetim maddesi olarak gündeme gelir ve bir yavaşlama olarak algılanır.

İkinci algı, uygulamanın nasıl kurulduğuna bağlı. İyi kurulduğunda eklediği süre dakikalarla ölçülür; kötü kurulduğunda değişiklikler günlerce bekler ve insanlar süreci atlatmanın yolunu bulur.

Neyi Yakalar

İnceleme, kuralın yanlış olduğunu değil, gereğinden geniş olduğunu yakalamakta değerlidir.

Sık görülen üç hata sınıfı vardır.

Kaynak ya da hedef fazla geniş yazılmıştır; tek bir sunucu yerine bütün bir alt ağ tanımlanmıştır. Port aralığı gereğinden büyüktür. Kural, sette yanlış sıraya konmuş ve daha dar bir kuralı gölgelemiştir.

Hazırlayan kişi bu hataları görmez, çünkü zihninde kuralın ne yapması gerektiği vardır ve yazdığı satırı o niyetle okur.

Adım 1. Talebi Yazın

Zincir bir talep kaydıyla başlar. İçinde bulunması gerekenler: hangi erişim isteniyor, kim için, hangi iş gerekçesiyle ve ne kadar süreyle.

Süre alanı geçici erişimler için zorunludur; ayrıntısı geçici kural yönetiminde ele alınmıştır.

Talep olmadan yapılan değişiklikler, sonradan gerekçesi bulunamayan kuralların kaynağıdır.

Adım 2. Değişikliği Hazırlayın

Kural yazılır ama uygulanmaz.

Bunu destekleyen ürünlerde hazırlanan yapılandırma ayrı bir katmanda bekletilir ve onay sonrası aktarılır. Desteklemeyenlerde değişiklik bir metin olarak hazırlanır ve incelemeden sonra girilir.

İkinci yol daha hataya açıktır; incelenen metin ile uygulanan komut arasında fark oluşabilir.

Adım 3. Farkı Gösterin

İnceleme, kuralın kendisine değil farka bakar.

Mevcut yapılandırma ile önerilen arasındaki fark satır bazında çıkarılır. İnceleyen kişi tüm kural setini okumak zorunda kalmaz; yalnız değişen kısmı görür.

Bu adım olmadan inceleme, pratikte yapılmayan bir adımdır. Yüzlerce satırlık bir yapılandırmayı baştan okuması istenen kişi, onay kutusunu işaretler ve geçer.

Adım 4. Bağımsız İnceleme Yapın

İnceleyen kişi hazırlayan olamaz. Bu, ilkenin özüdür ve en sık esnetilen kısmıdır.

Kontrol edilecekler:

• Kapsam. Kaynak ve hedef, talepte istenenden geniş mi?
• Port. Aralık gerekli olandan büyük mü?
• Sıra. Kural sette doğru yerde mi, daha dar bir kuralı gölgeliyor mu?
• Yan etki. Bu değişiklik başka bir kuralın davranışını değiştiriyor mu?
• Geri dönüş. Değişiklik başarısız olursa nasıl geri alınacak?

Son madde ayrı bir başlıktır ve geri alma planı yazısında ele alınmıştır.

Adım 5. Uygulayın ve Doğrulayın

Doğrulama iki yönlüdür ve ikincisi genellikle atlanır.

Birincisi, hedeflenen erişimin çalıştığının gösterilmesidir. İkincisi, çalışan bir şeyin bozulmadığının gösterilmesidir.

İkinci kontrol için önceden belirlenmiş birkaç sınama yeterlidir: kritik bir uygulamaya erişim, bir VPN tünelinin durumu ve varsa bir izleme kontrolü.

Uzaktan yapılan değişikliklerde bu adım ayrıca kritiktir; yönetim erişimini kesen bir kural, kendini geri alamaz.

Adım 6. Kaydı Kapatın

Kim hazırladı, kim onayladı, ne zaman uygulandı. Üçü de kayda geçer.

Bu kayıt iki işe yarar. Denetimde talep edilen kanıttır. Bir sorun çıktığında ise değişikliğin ne zaman ve neden yapıldığını bulmanın en hızlı yoludur.

Kaydın güvenlik duvarının kendi değişiklik günlüğüyle eşleşmesi de kontrol edilmelidir. İkisi ayrışıyorsa, süreç dışında yapılan değişiklikler var demektir ve bu, yapılandırma kaymasının başlangıcıdır.

Ne Zaman Esnetilir

Acil durum değişiklikleri için ayrı bir yol tanımlanmalıdır. Bir saldırı sırasında onay beklemek anlamsızdır.

Ancak bu yol, sonradan tamamlanan bir onayla kapanmalıdır. Acil değişiklik yapılır, aynı gün içinde gerekçesi yazılır ve incelenir.

Bu kapanış adımı tanımlanmadığında, acil yol zamanla normal yol haline gelir.