Uygulama Kontrolü Port Tabanlı Kuraldan Nasıl Farklıdır?

Klasik kural yazımı bir kısayola dayanır. Port numarası uygulamayı temsil eder: 80 web, 25 posta, 22 uzak kabuk.

Bu kısayol uzun süre işe yaradı çünkü uygulamalar kendilerine ayrılmış portları kullanıyordu.

Kısayol Neden Bozuldu

Güvenlik duvarları yaygınlaştıkça uygulamalar da uyum sağladı.

Kurumlarda güvenilir biçimde açık kalan tek port 443’tü. Yeni uygulamalar oradan çıkmayı öğrendi ve eskiler taşındı.

Bugün 443 numaralı porttan geçenler arasında web trafiği, bulut depolama, sesli ve görüntülü görüşme, uzak masaüstü, mesajlaşma, VPN istemcileri ve tünelleme araçları bulunuyor.

Port numarasına bakan bir kural bunların hepsine aynı kararı verir.

Uygulama Kontrolü Ne Yapar

Trafiğin kendisi incelenir ve hangi uygulamaya ait olduğu belirlenir. Karar, port numarasından değil bu tespitten çıkar.

Kullanılan sinyaller katmanlıdır:

• Protokol davranışı. El sıkışma biçimi, mesaj sıralaması ve paket boyutu örüntüsü.
• Sunucu adı. Şifreli bağlantılarda hedef, el sıkışmadan okunur.
• Hedef adres. Bilinen hizmet sağlayıcı blokları.
• İçerik imzaları. Derin paket incelemesi yapılabildiğinde protokole özgü desenler.

Şifreleme arttıkça ilk üç sinyalin ağırlığı artıyor.

Ne Kazandırır

Kategori bazlı karar. “Bulut depolama uygulamaları engellensin, kurumsal olan hariç” gibi bir kural, port seviyesinde yazılamaz.

İşlev bazlı ayrım. Bazı ürünler bir uygulamanın içindeki işlevleri ayırır; dosya indirmeye izin verip yüklemeyi engellemek gibi.

Görünürlük. Politika yazılmasa bile, hangi uygulamaların kullanıldığının listesi ortaya çıkar. Gölge BT envanterinin en verimli kaynağıdır.

Sınırları

Tanıma anında olmaz. Bir bağlantının hangi uygulama olduğu, ilk birkaç paketten sonra belirlenir. O ana kadar geçen trafik için karar verilmiş değildir.

Şifreleme sinyalleri daraltır. Sunucu adı şifrelendiğinde tanıma zorlaşır; ECH yaygınlaştıkça bu etki büyüyecek.

QUIC ayrı bir yetenek ister. Cihaz bu protokolü ayrıştıramıyorsa trafik hedefi belirsiz bir UDP akışıdır.

İmza veritabanı eskir. Yeni uygulamalar sürekli çıkar ve güncelleme almayan bir sistem giderek daha çok trafiği tanıyamaz hale gelir.

Performans maliyeti vardır. Katalog değerleri bu modül kapalıyken ölçülür; açıkken elde edilen değer düşer.

Tanınamayan Trafik

En önemli yapılandırma kararı budur ve genellikle varsayılana bırakılır.

Cihaz bir bağlantının hangi uygulama olduğunu belirleyemediğinde ne yapacak? Geçirecek mi, düşürecek mi?

Geçirmek bir boşluk üretir; tanınmamak, engellenmemenin yolu haline gelir. Düşürmek ise meşru ama tanınmayan uygulamaları kırar.

Karar bilinçli verilmeli ve tanınamayan trafiğin hacmi düzenli izlenmelidir. Bu oranın artması, imza veritabanının eskidiğinin ya da yeni bir protokolün yayıldığının işaretidir.

Portun Yerine Değil Üstüne

Uygulama kontrolü, port tabanlı kuralları gereksiz kılmaz.

Port kuralı hızlı ve kesindir; tanıma gerektirmez ve ilk paketten itibaren uygulanır. Uygulama kuralı ise daha ince bir ayrım yapar ve bir gecikmeyle devreye girer.

İkisi birlikte kullanılır. Geniş bir taban port seviyesinde çizilir, ayrıntı uygulama seviyesinde tanımlanır.