Uygulamalı Firewall Tasarımı: Teoriden Uygulamaya

Firewall'lar genellikle bir kontrol listesi olarak kabul edilir: birini dağıt, bazı kurallar yaz, devam et. Ancak uygulamalı firewall tasarımı kendi başına bir disiplindir—ağ segmentasyonunun gerçekten bir saldırganı içerip içermediğini ya da sadece size sahte bir güvenlik hissi verip vermediğini belirleyen bir disiplindir. Bu parça, iyi mimarlandırılmış bir firewall dağıtımını ad hoc kurallar koleksiyonundan ayıran pratik kararları ele alır.

Kurallarla Değil, Bölgelerle Başlayın

Tek bir ACL yazmadan önce güven bölgelerinizi tanımlayın. Tipik bir kurumsal düzen, internete açık DMZ ana bilgisayarlarını, dahili kullanıcı ağlarını, sunucu/veri katmanlarını ve yönetim/OOB ağlarını ayırır. Her bölge farklı bir güven düzeyini temsil etmeli ve bölgeler arasındaki trafik varsayılan değil, haklı gösterilmesi gereken bir istisna olmalıdır.

Legitim olarak hangi kaynakların birbirleriyle iletişim kurması gerektiğini haritaya koyun. Bu trafik akışı envanteri sıkıcı olabilir ama her şey bunun üzerine inşa edilir. Bunu atlamak, segmentasyonun amacını tamamen ortadan kaldıran aşırı izin verici "alt ağlar arasında her şeye izin ver" kurallarına yol açar.

Default-Deny Müzakere Konusu Değildir

Her arayüz, her bölge çifti örtük veya açık bir deny ile sonlanmalıdır. Kurallar kapalı bir duruşa karşı katkı maddesi istisnalar olmalı, açık bir duruşa karşı çıkarıcı istisnalar değil. Bu bariz görünebilir ama denetimler düzenli olarak acele bir dağıtımdan kalan veya kaldırılmamış "geçici" sorun giderme değişikliğinden kalan izin verici catch-all kuralları olan firewall'ları bulur.

Default-deny bir şeyi bozduğunda, bu aslında değerli bir sinyal olur—açıkça modellenmesi gereken, sessizce izin verilmesi değil, dokümante edilmemiş bir bağımlılık bulduğunuz anlamına gelir.

Kural Sıralaması ve Özgüllük

Çoğu firewall motoru kuralları yukarıdan aşağıya değerlendirir ve ilk eşleşmede durur. Bu sıralamayı bir tasarım kararı yapar, bir son düşünce değil. Spesifik kurallar (tek ana bilgisayar, tek port) genel kurallardan (alt ağ aralıkları, port aralıkları) önce gelmelidir. Yaygın bir hata, listenin başlarında geniş bir allow kuralı yerleştirmek, bu da altındaki daha kısıtlayıcı kuralları sessizce gölgeler—bu kurallar yazılı olarak var ama gerçekte hiç ateşlenmez.

Periodik olarak gölgelenmiş ve gereksiz kurallar için denetim yapın. Kural isabet sayılarını gözleştiren araçlar burada çok değerlidir: anlamlı bir zaman penceresi içinde sıfır isabet alan bir kural ya ölü ağırlık ya da daha kötüsü, trafiğin beklediğiniz olmayan bir yol üzerinden aktığının kanıtıdır.

Durum Bilgisi İncelemesi ve Sınırları

Modern firewall'lar bağlantı durumunu izler, bu da kuralları sadece başlatma yönü için yazmanıza ve motorun dönüş trafiğine izin vermesine güvenmenize olanak tanır. Bu, durum bilgisiz paket filtrelemesine kıyasla büyük bir basitleştirmedir ama uygulama katmanı farkındalığının yerine geçmez. Durum bilgisi olan bir firewall giden TCP/443'e izin veriyor olması, bu trafiğin meşru HTTPS mi yoksa aynı port üzerinden tünel yapılan C2 kanalı mı olduğunu bilmez veya umursamaz. Mümkün olduğunda, firewall uygulamasını uygulama katmanı görünürlüğü—proxy'ler, politika izin verirse TLS incelemesi veya NGFW uygulama tanımlaması—ile eşleştirin, port numaralarına niyet için vekil olarak güvenmek yerine.

Çıkış Filtrelemesi Eşit Dikkat Hak Ediyor

Kurumlar gelen kurallarına takılır ve gideni ihmal eder. Bu olay müdahale perspektifinden geriye doğrudur: bir saldırgan bir ayak izi edindiğinde, çıkış kontrolleri veri sızdırıp sızdıramayacaklarını veya altyapıya ev telefonu yapıp yapamayacaklarını belirleyen şeydir. Bölge başına açık çıkış politikaları tanımlayın—sunucular nadiren sınırsız giden internet erişimi ihtiyaç duyarlar ve iş istasyonları nadiren rastgele dış IP'lere rastgele portlarda bağlantı başlatması ihtiyaç duyarlar. Kısıtlayıcı çıkış her şeyi durdurmayacak ama sömürü sonrası etkinliğin maliyetini artırır ve anormal trafiğin bayrak takılması şansını artırır.

Değişim Yönetimi ve Sapma

Firewall kural kümeleri zaman içinde kir biriktirir: yıllar önce biten bir proje için eklenen kurallar, kalıcı hale gelen geçici istisnalar ve hiç kimsenin amacını hatırlamadığı kurallar. Firewall yapılandırmasını kod gibi davranın—sürüm kontrollü, akran tarafından gözden geçirilmiş ve her kural için dokümante edilmiş bir iş haklı gösterilmesiyle bağlı. Eski girişleri kırpmak için periyodik incelemeler planlayın. Bin tane dokümante edilmemiş kuralı olan bir firewall, daha küçük, iyi anlaşılmış bir kural seti olan bir firewall'dan daha az gerçek güvenlik sağlar, çünkü hiç kimse gerçekten neye izin verdiğini akıl yürütemez.

Günlüğe Kaydedilmesi ve Korelasyon

Trafiği sessizce engelleyen bir firewall yarı yarıya yararlıdır. İlgilendiğiniz reddedilen ve izin verilen trafiğin günlüğe kaydedildiğinden ve SIEM'inize veya günlük boru hattınıza gönderildiğinden, daha sonra araştırmayı desteklemek için yeterli bağlam (bölge, kural kimliği, kaynak/hedef, protokol) ile emin olun. Bir olay sırasında, firewall günlükleri genellikle yanal hareket veya sızdırma girişimlerinin zaman çizelgesini belirlemek için en hızlı yoldur—ancak yalnızca saklama ve sadakat önceden yapılandırıldıysa.

Kapanış Düşünceleri

Uygulamalı firewall tasarımı doğru satıcıyı seçmek veya en yeni NGFW özellik setini seçmek değildir—disiplinli bölge modellemesi, default-deny uygulaması, dikkatli kural hijyeni ve çıkışa giriş ile aynı ciddiyeti göstermek hakkındadır. Temelleri doğru yapın ve gelişmiş özellikler mimarinin yerine geçmek yerine kuvvet çarpanları haline gelir.

Ağ segmentasyonu, günlük korelasyonu ve mavi takım temelleri hakkında daha fazla bilgi için Korra Studio'nun DEFENSE_GRID kitaplığında ilgili segmentleri keşfedin.