Kullanılmayan, gölgelenmiş, yinelenen ve aşırı geniş kuralları kanıta dayalı olarak bulup güvenlik duvarı kural setini sadeleştirmenin ve değişiklikleri denetlenebilir tutmanın yolu.
Birkaç yıl içinde güvenlik duvarındaki kural sayısı yüzlerle ifade edilir hale gelir. Proje için açılan erişimler kapatılmaz, aynı ihtiyaç için ikinci bir kural yazılır, "geçici" denilen ANY izinleri kalıcılaşır. Sonuçta kimse hangi kuralın gerçekten trafik taşıdığını bilmez ve her değişiklik bir risk olarak görülür. Güvenlik duvarı kural temizliği bu birikimi tahmine değil, log ve yapılandırma verisine dayanarak çözer. Bu yazıda Firewall Analyzer nedir ve ne işe yarar sorusunun ötesine geçip ürünün tek bir yeteneğine, kural seti optimizasyonuna odaklanıyoruz.
Kısaca: Güvenlik duvarı kural temizliği, kural setinden hiç tetiklenmeyen, başka bir kuralın gölgesinde kalan, yinelenen ve gereğinden geniş izin veren kuralları tespit edip kaldırma veya daraltma işidir. Doğru yapıldığında log verisiyle kullanım kanıtlanır, kural sırası yeniden düzenlenir ve her değişiklik kim, ne zaman, ne değişti bilgisiyle kayıt altına alınır.
Güvenlik Duvarı Kural Temizliği Neden Ertelenir, Neden Ertelenmemeli?
Kural temizliğinin önündeki asıl engel teknik değil, belirsizliktir. Bir kuralı silmek, arkasındaki uygulamayı bozabilir; bu yüzden ekipler "dokunma, çalışıyor" yaklaşımını seçer. Kural seti büyüdükçe bu tercih pahalılaşır: değişiklik talepleri yavaşlar, sorun giderme uzar ve saldırı yüzeyi kimsenin fark etmeden genişler.
Dağınık bir kural setinin tipik belirtileri şunlardır:
- Bitmiş projeler ve kapatılmış sunucular için açılmış, hiç trafik görmeyen izinler
- Kaynak, hedef ve servisi "ANY" olan, geçici diye eklenip unutulmuş kurallar
- Aynı erişimi farklı zamanlarda farklı yöneticilerin tekrar tanımladığı yinelenen kurallar
- Üstteki geniş bir kural yüzünden hiç değerlendirilmeyen alt kurallar
- Hiçbir kuralda kullanılmayan nesne ve servis tanımları
Düzenleyici çerçeve de periyodik gözden geçirmeyi bekler. PCI DSS v4.0 gereksinim 1.2.7, ağ güvenlik kontrollerinin yapılandırmasının en az altı ayda bir gözden geçirilmesini ister; ISO 27001 ve NIST yaklaşımları da erişim kurallarının düzenli olarak doğrulanmasını öngörür. Elle yapılan bir gözden geçirme, yüzlerce kuralda bu ritmi sürdürmeyi zorlaştırır.
Kullanılmayan Firewall Kuralları: Log Verisiyle Kural Hit Analizi
Bir kuralın kullanılıp kullanılmadığını tahmin etmenin yolu yoktur; bunu ancak trafik verisi söyler. ManageEngine Firewall Analyzer, kural setini güvenlik duvarından çeker ve aynı cihazdan gelen syslog kayıtlarıyla karşılaştırır. Loglarda tetiklendiği görülen kurallar "kullanılan", hiç görünmeyenler "kullanılmayan" olarak raporlanır. Kural hit analizi böylece her kuralın gerçek trafik taşıyıp taşımadığını gösterir ve güvenlik duvarı kural temizliğinin ilk listesini oluşturur.
Kural temizliği raporları yalnız kurallarla sınırlı değildir. Üretici dokümantasyonuna göre kullanılmayan nesneler, kullanılmayan arayüzler ve hiçbir kurala atanmamış nesneler de ayrı raporlarda listelenir. Bu tanımlar tek başına risk taşımasa da kural setini okunmaz hale getirir ve yeni kural yazarken hata payını artırır.
Burada kritik bir ön koşul vardır: kullanım tespiti loglara dayandığı için güvenlik duvarının syslog'u Firewall Analyzer'a göndermesi ve kuralların tetiklendiğinde log üretmesi gerekir. Loglaması kapalı bir kural, trafik taşısa bile kullanılmayan görünür. Bu yüzden temizlikten önce politika genel bakış raporundaki "loglaması kapalı kurallar" listesini kontrol etmek, yanlışlıkla canlı bir kuralı silmenin önüne geçer. Analiz süresinin aylık veya çeyreklik işler gibi seyrek trafiği de kapsayacak kadar uzun tutulması aynı nedenle önemlidir.
Gölgelenmiş Kural ve Yinelenen Kural Tespiti: Kural Anomalileri
Kullanılmayan kurallar trafik verisinden, anomaliler ise kuralların birbiriyle ilişkisinden bulunur. Firewall Analyzer, kural setini analiz ederek üreticinin tanımladığı politika anomalilerini ayrı ayrı raporlar:
| Anomali | Ne anlama gelir? | Tipik aksiyon |
|---|---|---|
| Gölgelenmiş (shadow) kural | Üstteki bir kural bu kuralın eşleştiği tüm paketleri zaten yakalar; kural hiç değerlendirilmez. | Kaldır veya üste taşı |
| Yinelenen (redundant) kural | Aynı paketlere başka bir kuralla aynı aksiyonu uygular; silinmesi politikayı değiştirmez. | Kaldır |
| Genelleme (generalization) | Bir kural, diğerinin eşleştiği tüm paketleri ve fazlasını kapsar. | Sırayı ve kapsamı doğrula |
| Korelasyon (correlation) | Farklı aksiyonlu iki kural kısmen aynı trafiğe eşleşir. | İncele; uyarı niteliğinde |
| Gruplama (grouping) | Aksiyonu aynı, yalnız kaynak, hedef veya servisten biri farklı iki kural. | Tek kuralda birleştir |
Gölgelenmiş kural özellikle tehlikelidir, çünkü yönetici bir erişimi engellediğini düşünürken üstteki geniş izin trafiği geçirmeye devam eder. Yinelenen kurallar ise doğrudan risk yaratmasa da kural setini büyütür ve sonraki değişikliklerde hangi kopyanın düzenleneceği konusunda karışıklık doğurur. Korelasyon üretici tarafından öneri gerektirmeyen bir uyarı olarak ele alınır; karar kural sahibine kalır.
Any-Any Kurallar ve Firewall Kural Optimizasyonu
Temizliğin ikinci yarısı risk azaltmadır. Firewall Analyzer'ın politika genel bakış raporu; izin ve engelleme kurallarını, gelen ve giden yönü, pasif veya kullanılmayan kuralları ve loglaması kapalı kuralları ayrı ayrı gösterir. Aynı raporda "ANY to ANY" gibi riskli kurallar, servisi ANY olan izin kuralları ve çift yönlü kurallar da listelenir. Any-any kuralları bu listeden alıp gerçek kaynak, hedef ve servisle daraltmak, güvenlik duvarı kural temizliğinin en yüksek güvenlik getirisi olan adımıdır.
Firewall kural optimizasyonunun bir diğer boyutu sıralamadır. Güvenlik duvarı kuralları yukarıdan aşağıya değerlendirir; çok trafik alan bir kuralın listenin sonunda durması gereksiz işlem yükü, yanlış sıradaki bir kural ise anomali demektir. Ürün, kural etkileşimlerini ve anomalileri analiz ederek kural sırası önerileri sunar. Üretici, bu önerilerin kural isabet sayısı, kural karmaşıklığı ve anomalilerle ilişkilendirildiğini ve önerilen sıra uygulandığında anomalilerin giderileceğini belirtir.
Yeni kurallar için de aynı disiplin geçerlidir. Kural etki analizi, eklenmesi planlanan bir kuralı güvenlik duvarına gönderilmeden önce mevcut kural setiyle karşılaştırır; aşırı geniş arayüzleri, riskli port ve servisleri ve oluşacak anomalileri raporlar. Kural son kullanma bildirimi de bitiş tarihi tanımlanmış kuralların süresi dolduğunda yöneticiyi uyarır. Böylece temizlenen kural seti, bir sonraki çeyrekte yeniden dağılmaz.
Senaryo: Birleşme sonrası devralınan kural seti
Senaryo: Bir lojistik şirketi, satın aldığı firmanın veri merkezini kendi ağına bağlar ve iki farklı ekibin yıllardır yönettiği güvenlik duvarlarını devralır. Firewall Analyzer'a syslog akışı yönlendirilir ve kural setleri çekilir. İlk analizde birleşme öncesi projeler için açılmış birçok erişimin hiç tetiklenmediği, eski bir ANY izninin altındaki engelleme kurallarının gölgede kaldığı ve aynı uygulama erişiminin iki kez tanımlandığı görülür. Ekip önce loglaması kapalı kuralları açar ve analiz süresini tamamlar. Ardından kullanılmayan kuralları değişiklik talebiyle devre dışı bırakır, ANY iznini gerçek kaynak ve hedeflerle daraltır, yinelenen kuralları birleştirir. Her adım değişiklik raporunda kim, ne zaman, ne değişti bilgisiyle kalır.
Firewall Değişiklik Takibi ve Denetim Raporları
Güvenlik duvarı kural temizliği bir defalık proje değil, sürdürülen bir düzendir; bunun için değişikliklerin görünür olması gerekir. Firewall Analyzer, güvenlik duvarı yapılandırmasını CLI veya API üzerinden çeker ve değişiklikleri kim, ne zaman, neyi değiştirdi bilgisiyle raporlar. Çalışan ve başlangıç yapılandırması değişiklik raporları ile ikisi arasındaki uyumsuzluk raporu planlanıp e-postayla dağıtılabilir; değişiklik anında uyarı da üretilebilir.
Kural takibi özelliği iki yapılandırma sürümünü karşılaştırarak eklenen, silinen ve değiştirilen kuralları ayrı ayrı listeler. Bu, temizlik sonrası "neyi kaldırmıştık" sorusunun cevabını verir ve bir uygulama erişimi bozulduğunda geri dönüşü hızlandırır. Uyumluluk tarafında ürün; PCI DSS, ISO 27001, NIST, SANS ve NERC-CIP gibi standartlara göre güvenlik duvarı kural ve yapılandırma denetim raporları üretir. 5651 kapsamındaki log saklama ihtiyacını ele aldığımız KVKK ve 5651 uyumluluk yazısı bu raporlamayı tamamlayan bakış açısını anlatır.
Güvenlik duvarının yanında yönlendirici ve anahtarların yapılandırma yedekleri, sürüm karşılaştırması ve geri alma ihtiyacı da varsa Network Configuration Manager özellikleri bu alanı kapsar. Firewall Analyzer kural ve log analizine, Network Configuration Manager ise çok üreticili ağ cihazlarının yapılandırma yaşam döngüsüne odaklanır.
Güvenlik Duvarı Kural Temizliğine Başlangıç: Desteklenen Cihazlar
Firewall Analyzer çok üreticili ortamlar için tasarlanmıştır; ancak kural yönetimi raporlarının kapsamı cihaz ve bağlantı yöntemine göre değişir. Üreticinin güncel destek listesinde Cisco ASA, Fortinet FortiGate, Palo Alto Networks, Check Point, Juniper SRX ve Sophos gibi cihazlar yer alır. Kural optimizasyonu, temizlik, yeniden sıralama, etki analizi ve takip özelliklerinin hangisinin hangi cihazda ve hangi bağlantı modunda (CLI, API veya dosya) desteklendiği tabloda ayrı ayrı belirtilir. Proje başlamadan önce bu eşleşmeyi kendi cihaz ve sürümleriniz için doğrulamak gerekir.
Pratik bir başlangıç sırası şöyledir:
- Güvenlik duvarlarından syslog akışını yönlendirin ve yapılandırma çekme bağlantısını kurun.
- Loglaması kapalı kuralları tespit edip kullanım analizi için loglamayı açın.
- Seyrek trafiği de kapsayacak bir süre boyunca kural kullanım verisi biriktirin.
- Önce gölgelenmiş, yinelenen ve kullanılmayan kuralları, ardından any-any kuralları ele alın.
- Değişiklikleri onaylı taleplerle yapın, kural takibi ve denetim raporlarıyla kayıt altına alın.
Firewall Analyzer bağımsız kurulabildiği gibi OpManager eklentisi olarak da kullanılabilir. Ağ izleme altyapınız OpManager üzerindeyse OpManager ile ağ izleme yazısı izleme tarafının bağlamını verir.
Sıkça Sorulan Sorular
Gölgelenmiş (shadow) kural nedir?
Gölgelenmiş kural, kendisinden önce gelen bir kuralın eşleştiği tüm paketleri zaten yakaladığı için hiçbir zaman değerlendirilmeyen kuraldır. Yönetici bu kuralın çalıştığını düşünür, ancak trafik üstteki kurala göre işlenir. Özellikle üstteki kural geniş bir izin, alttaki ise engelleme kuralıysa beklenmeyen erişimlere yol açar. Çözüm, kuralı kaldırmak veya sırasını düzeltmektir.
Kullanılmayan firewall kuralları nasıl bulunur?
Güvenlik duvarından çekilen kural seti, aynı cihazın syslog kayıtlarıyla karşılaştırılır; belirli bir süre boyunca loglarda hiç tetiklenmeyen kurallar kullanılmayan olarak işaretlenir. Bunun güvenilir olması için kuralların loglaması açık olmalı ve analiz süresi aylık, çeyreklik işler gibi seyrek trafiği kapsamalıdır. Firewall Analyzer bu karşılaştırmayı otomatik yapar ve kullanılmayan kural, nesne ve arayüz raporları üretir.
Firewall kuralları ne sıklıkla gözden geçirilmeli?
PCI DSS v4.0, ağ güvenlik kontrollerinin yapılandırmasının en az altı ayda bir gözden geçirilmesini ister; bu, diğer kurumlar için de makul bir alt sınırdır. Değişiklik sıklığı yüksek ortamlarda gözden geçirme daha sık yapılabilir. Kural kullanım, anomali ve değişiklik raporlarının planlanıp düzenli dağıtılması, gözden geçirmeyi tek seferlik bir projeden süreklilik taşıyan bir işe dönüştürür.
Any-any kural neden risklidir?
Kaynak, hedef veya servisi ANY olan bir izin kuralı, ihtiyaç duyulandan çok daha fazla trafiğe izin verir ve saldırganın ağ içinde yatay hareketini kolaylaştırır. Bu kurallar çoğunlukla geçici çözüm olarak eklenir ve unutulur. Kural kullanım verisi, kuralın gerçekte hangi kaynak ve hedefler arasında trafik taşıdığını göstererek kuralın güvenle daraltılmasını sağlar.
Sonuç: Güvenlik Duvarı Kural Temizliği Ne Zaman Araçla Yapılmalı?
Tek bir güvenlik duvarı ve birkaç düzine kuralı olan ortamlarda dönemsel bir elle gözden geçirme yeterli olabilir. Kural sayısı yüzleri bulduğunda, birden fazla marka güvenlik duvarı çalıştığında veya denetimlerde kural seti ve değişiklik geçmişi kanıtlanması gerektiğinde güvenlik duvarı kural temizliği log verisine dayanan bir araç gerektirir. İlk adım, mevcut kural setinin bir kullanım ve anomali analizini çıkarmaktır. Sürümler ve kapsam için Firewall Analyzer özellikleri ve lisanslama sayfasına göz atabilirsiniz.
Technodus, ManageEngine çözümlerinde lisans, kurulum ve destek sorumluluğunu aynı ekipte tutar. Firewall Analyzer projelerinde syslog yönlendirmesini ve yapılandırma bağlantılarını birlikte kuruyor, ilk kural kullanım ve anomali analizini sizinle değerlendiriyoruz. Kendi kural setinizin ne kadar sadeleşebileceğini bir PoC ile görmek için bizimle iletişime geçebilirsiniz.