Güvenlik Duvarı Tam Olarak Ne Yapar, Ne Yapmaz?

Bir güvenlik duvarının yaptığı işi anlatan cümledeki en yüklü kelime “üzerinden geçen”dir. Cihaz, kendisine uğramayan bir paket hakkında hiçbir şey bilmez. Bilmediği şeyi de engelleyemez, loglayamaz, raporlayamaz. Kurumların çoğunda hayal kırıklığı buradan çıkar. Cihaz beklendiği gibi çalışmıştır, ama beklenti cihazın hiç görmediği bir trafiğe dairdir.

Nereye Kurulduğu, Ne Kadar İş Yaptığını Belirler

Tipik kurulumda güvenlik duvarı internet çıkışında durur. Orada durduğu sürece gördüğü şey, iç ağ ile dış dünya arasındaki trafiktir. Aynı anahtarın üzerindeki iki sunucu birbiriyle konuşurken paket o cihaza hiç gitmez. Aynı fiziksel host üzerindeki iki sanal makine arasındaki trafik kabloya bile çıkmaz. Kullanıcı ağındaki bir makineden yan masadaki makineye giden bir dosya paylaşımı oturumu da aynı şekilde görünmezdir.

Fidye yazılımı vakalarının anlatımında sürekli tekrar eden “cihaz neden durdurmadı” sorusunun cevabı genellikle buradadır. Yayılma iç ağda, aynı bölge içinde gerçekleşmiştir ve o trafiğin denetleneceği bir nokta ağ tasarımında hiç yoktur.

Paket Değil, Oturum Görür

Modern bir cihaz kararını tek pakete bakarak vermez. İlk paketi politikayla eşleştirir, eşleşme sonucunu bir oturum kaydına yazar, sonraki paketleri o kayda göre hızlıca geçirir. Bunun iki pratik sonucu var. Birincisi, dönüş trafiği için ayrı kural yazmazsınız. İkincisi, cihazın kapasitesi yalnızca saniyedeki bit sayısıyla değil, aynı anda tutabildiği oturum sayısıyla da sınırlıdır. Oturum tablosu dolduğunda yeni bağlantılar reddedilmeye başlar ve bunu genellikle önce kullanıcı fark eder, grafik değil.

Adres çevirme de aynı kaydın parçasıdır. Bu yüzden log satırındaki adres, kural yazarken kullandığınız adresle aynı olmayabilir; hangi aşamada hangi adresin yazıldığını bilmeden log okumak yanıltıcıdır.

İçeriğe Ne Kadar İner

Güvenlik duvarı sınıfına giren cihazların çoğu bugün paketin başlığından fazlasına bakar: uygulama tanıma, saldırı imzaları, URL kategorileri, dosya taraması. Ama bu yeteneklerin hepsi trafiğin okunabilir olmasına bağlıdır. Şifreli bir oturumda TLS açılmıyorsa cihazın elinde kalan şey hedef alan adı, sertifika bilgisi ve akış davranışıdır. İçerideki dosyayı taramaz, çünkü göremez.

Şifreli trafiği açmak mümkündür, ama bedeli vardır. Bu ayrı bir konudur ve ayrı bir kararı hak eder.

Yapmadığı Şeyler

Meşru kimlik bilgisiyle yapılan işlemi durdurmaz. Çalınmış bir parolayla VPN’e giren kullanıcı, politikanın izin verdiği her yere gider; cihaz açısından o kullanıcı gerçekten o kullanıcıdır.

Kullanıcının bilerek indirdiği ve çalıştırdığı bir programın makinede ne yaptığını görmez. Uç nokta tarafında olup biten, ağ katmanına yalnızca trafik ürettiği ölçüde yansır.

Hattınızı dolduran hacimsel bir saldırıda sizi kurtarmaz. Kutu ne kadar güçlü olursa olsun, dolan şey ona gelen hattır; trafiğin gelmesini engelleyecek yer operatör tarafındadır.

Yazılımınızdaki açığı kapatmaz. Saldırı imzası bilinen bir sömürü denemesini yakalayabilir, ama açık olduğu yerde durmaya devam eder ve yamanın yerini tutmaz.

Sınırı Test Etmenin En Hızlı Yolu

Sunucu ağınızdan bir makine seçin, kullanıcı ağınızdan bir makine seçin ve aralarında basit bir bağlantı açın. Sonra güvenlik duvarının oturum tablosunda o bağlantıyı arayın. Kayıt yoksa, o iki bölge arasındaki trafiğin hiçbiri denetlenmiyor demektir.