Firewall Nedir?

Firewall, Türkçede güvenlik duvarı olarak ifade edilen ve bilgisayar ağları ile sistemler arasındaki veri trafiğini belirli güvenlik kuralları doğrultusunda denetleyen temel ağ güvenliği bileşenlerinden biridir. Bir ağın dış dünyayla veya farklı güvenlik seviyelerine sahip ağ segmentleriyle iletişim kurduğu noktada konumlandırılan firewall; gelen ve giden bağlantıları analiz ederek güvenilir kabul edilen iletişime izin verir, tanımlanan politikalara aykırı veya şüpheli trafiği ise engelleyebilir. Bu çalışma yalnızca belirli IP adreslerini engellemekten ibaret değildir. Modern güvenlik duvarları; kaynak ve hedef IP adresi, port numarası, protokol, bağlantı durumu, uygulama türü ve kullanıcı politikaları gibi çok sayıda parametreyi değerlendirerek trafik üzerinde karar verebilir. Böylece kurumların yerel ağları, sunucuları, istemcileri, veri merkezleri ve internet üzerindeki servisleri arasında kontrollü bir iletişim ortamı oluşturulmasına yardımcı olur. Firewall teknolojileri donanımsal cihaz, yazılım tabanlı çözüm, sanal appliance veya bulut tabanlı güvenlik servisi şeklinde uygulanabilir ve kullanılan mimariye göre paket filtreleme, stateful inspection, NAT, VPN, uygulama kontrolü, saldırı önleme ve gelişmiş tehdit analizi gibi farklı güvenlik yeteneklerini bünyesinde barındırabilir.

Günümüzde firewall kavramı, geleneksel anlamda ağın dışından gelen bağlantıları engelleyen tek bir güvenlik cihazından çok daha kapsamlı bir yapıyı ifade etmektedir. Özellikle kurumsal ağların hibrit bulut, uzaktan çalışma, sanallaştırma, mikroservis ve çoklu veri merkezi mimarilerine dönüşmesiyle birlikte güvenlik duvarlarının trafik görünürlüğü ve erişim kontrolündeki rolü daha da önemli hale gelmiştir. Bir firewall’ın güvenlik açısından etkili olabilmesi için yalnızca kurulmuş olması yeterli değildir; ağ topolojisinin doğru analiz edilmesi, güvenlik politikalarının en az ayrıcalık prensibine göre oluşturulması, gerekli port ve servislerin sınırlandırılması, logların düzenli olarak incelenmesi, kural setlerinin güncel tutulması ve güvenlik olaylarının izlenmesi gerekir. Bunun yanında firewall, tek başına tüm siber saldırıları durdurabilen bir sistem olarak değerlendirilmemelidir. Kimlik avı, kötü amaçlı yazılım, içeriden kaynaklanan tehditler, uygulama açıkları veya yetkili hesapların kötüye kullanılması gibi risklere karşı kimlik doğrulama, uç nokta güvenliği, IDS/IPS, EDR, SIEM ve güvenli uygulama mimarileri gibi ek güvenlik katmanlarıyla birlikte çalışması gerekir.

Firewall Nasıl Çalışır ve Trafiği Nasıl Denetler?

Firewall’ın temel çalışma mantığı, bir ağ üzerinden gerçekleşen veri iletişimini önceden tanımlanmış güvenlik politikalarına göre değerlendirmek ve her bağlantı için izin verme, engelleme veya izleme kararı almaktır. Ağ üzerindeki cihazlar internete veya başka sistemlere erişirken çeşitli veri paketleri gönderip alır. Firewall, bu paketlerin hedeflerine ulaşmasından önce araya girerek trafiğin özelliklerini inceler. Kaynak IP adresi, hedef IP adresi, kaynak ve hedef port, kullanılan protokol, bağlantının durumu ve güvenlik politikaları gibi bilgiler değerlendirilerek bağlantının güvenli olup olmadığına ilişkin bir karar oluşturulur. Bu yapı, özellikle internet ile kurum içi ağ arasında bir güvenlik sınırı oluşturulmasını sağlar. Örneğin yalnızca web sunucusunun HTTP/HTTPS trafiğine açık olması gereken bir sistemde, gereksiz yönetim portlarının internetten erişilebilir durumda bırakılması firewall kurallarıyla engellenebilir. Böylece saldırı yüzeyi azaltılır ve sistemlere yalnızca gerçekten ihtiyaç duyulan iletişim kanallarından erişilmesine izin verilir.

Firewall’ın çalışma biçimi kullanılan teknolojiye ve güvenlik mimarisine göre değişebilir. Geleneksel paket filtreleme sistemleri daha çok IP adresleri, portlar ve protokoller üzerinden karar verirken, stateful firewall bağlantıların durumunu takip ederek daha gelişmiş bir trafik kontrolü gerçekleştirir. Yeni nesil güvenlik duvarları ise uygulama katmanına kadar ilerleyerek hangi uygulamanın, servisin veya kullanıcı davranışının trafik oluşturduğunu analiz edebilir. Bazı gelişmiş firewall çözümleri IDS/IPS, URL filtreleme, kötü amaçlı yazılım analizi, SSL/TLS trafiği inceleme, kullanıcı tabanlı politikalar ve gelişmiş tehdit önleme özellikleriyle birlikte çalışır. Bu nedenle firewall’ın çalışma mantığını anlamak için yalnızca “port açar ve kapatır” yaklaşımı yeterli değildir. Modern firewall, ağ üzerindeki iletişim akışlarını merkezi güvenlik politikaları çerçevesinde değerlendiren çok katmanlı bir kontrol mekanizmasıdır.

Paket Filtreleme Mantığı

Firewall’ın en temel işlevlerinden biri paket filtrelemedir. Ağ iletişimi sırasında veriler tek bir bütün halinde değil, ağ protokollerinin kurallarına uygun şekilde paketler halinde taşınır. Firewall, kendisine ulaşan veya üzerinden geçen bu paketlerin başlık bilgilerini inceleyerek tanımlanmış kurallarla karşılaştırır. Bir kural belirli bir kaynaktan belirli bir hedefe belirli bir port üzerinden gelen trafiğe izin veriyorsa ilgili paket geçebilir. Bunun aksine güvenlik politikasında engellenmiş bir kaynak, hedef veya servis söz konusuysa paket reddedilebilir ya da sessiz şekilde düşürülebilir.

Örneğin bir firewall üzerinde aşağıdaki gibi basitleştirilmiş bir politika düşünülebilir:

Kaynak: Herkes
Hedef: Web Sunucusu
Protokol: TCP
Hedef Port: 443
Aksiyon: ALLOW

Bu kural, internetten web sunucusuna HTTPS trafiğinin ulaşmasına izin verir. Bunun yanında yönetim amacıyla kullanılan bir portun yalnızca belirli bir yönetim ağına açık olması sağlanabilir:

Kaynak: 192.168.10.0/24
Hedef: Sunucu
Protokol: TCP
Hedef Port: 22
Aksiyon: ALLOW

Burada SSH erişimi yalnızca 192.168.10.0/24 ağıyla sınırlandırılmış olur. İnternet üzerindeki rastgele istemcilerin aynı sunucunun SSH servisine erişmesi engellenebilir.

Paket filtreleme, özellikle ağın gereksiz servislerden korunması açısından önemlidir. Bir sunucuda çalışan her servis potansiyel bir saldırı yüzeyi oluşturabileceğinden, ihtiyaç duyulmayan portların dış dünyaya kapatılması güvenlik açısından temel uygulamalardan biridir.

Stateful Firewall ve Bağlantı Durumu Takibi

Geleneksel stateless paket filtreleme yaklaşımında firewall, çoğunlukla her paketi bağımsız şekilde değerlendirir. Stateful firewall ise bağlantıların durumunu takip ederek daha kapsamlı kararlar verebilir. Bunun için firewall üzerinde bir state table, yani bağlantı durum tablosu tutulur. Bu tabloda aktif bağlantıların kaynak ve hedef bilgileri, portları, protokolleri ve bağlantının mevcut durumu gibi bilgiler bulunabilir.

Örneğin bir istemci web sunucusuna HTTPS bağlantısı başlattığında firewall bu bağlantının durumunu takip eder. Sunucunun istemciye geri gönderdiği yanıt trafiği, yalnızca “dışarıdan geliyor” şeklinde değerlendirilmez; mevcut ve izin verilmiş bir bağlantının parçası olduğu anlaşılır. Böylece geri dönüş trafiğinin kontrollü şekilde geçmesine izin verilebilir.

TCP bağlantılarında bu durum özellikle önemlidir. TCP’nin bağlantı kurulumu sırasında gerçekleşen SYN, SYN-ACK ve ACK paketleri gibi durumlar takip edilerek bağlantının gerçekten beklenen akış içerisinde olup olmadığı değerlendirilebilir. Bu mekanizma, basit paket filtrelemeye göre daha güçlü bir trafik kontrolü sağlar.

Stateful inspection sayesinde firewall şu tür sorulara yanıt verebilir:

• Bu paket hangi bağlantıya ait?
• Bağlantı daha önce başlatılmış mı?
• Bağlantı izin verilen bir oturumun parçası mı?
• Paket beklenen protokol durumuna uygun mu?
• Trafik mevcut güvenlik politikasıyla uyumlu mu?

Bu yaklaşım, modern ağ güvenlik duvarlarının temel çalışma mekanizmalarından biridir.

IP Adresi, Port ve Protokol Kontrolü

Firewall kurallarının oluşturulmasında IP adresleri, port numaraları ve protokoller önemli rol oynar. IP adresleri iletişimin kaynağını ve hedefini tanımlarken port numaraları belirli ağ servislerine ulaşılmasını sağlar. TCP ve UDP gibi taşıma katmanı protokolleri ise iletişimin nasıl gerçekleştirileceğini belirleyen temel protokol mekanizmalarıdır.

Örneğin:

• TCP/80 → HTTP
• TCP/443 → HTTPS
• TCP/22 → SSH
• TCP/25 → SMTP
• UDP/53 → DNS
• TCP/53 → DNS
• UDP/123 → NTP

şeklinde yaygın servislerle ilişkili portlar bulunur. Ancak port numarası tek başına uygulamanın gerçekten o servis olduğunu garanti etmez. Güvenlik açısından daha gelişmiş firewall’larda uygulama tanıma ve protokol analizi gibi mekanizmaların kullanılmasının nedeni de budur.

Firewall yöneticisi, ağın ihtiyaçlarına göre yalnızca gerekli servisleri erişilebilir hale getirebilir. Örneğin dışarıdan erişilmesi gereken bir web sunucusunda TCP/443 açık bırakılırken, veritabanı sunucusunun TCP/3306 veya TCP/5432 gibi veritabanı portlarının doğrudan internete açılması gereksiz ve riskli olabilir. Bunun yerine veritabanı erişimi yalnızca uygulama sunucusunun bulunduğu güvenilir ağ segmentinden kabul edilebilir.

Güvenlik Kurallarının Değerlendirilmesi

Firewall’ın karar verme sürecinde kural sıralaması kritik öneme sahiptir. Birçok firewall, gelen trafiği kural seti içerisinde belirli bir sıraya göre değerlendirir. Trafik bir kuralla eşleştiğinde firewall’ın davranışı kullanılan platformun kural işleme mantığına göre belirlenir. Bu nedenle kuralların yanlış sırada konumlandırılması beklenmeyen erişimlere neden olabilir.

Örneğin aşağıdaki iki kuralın bulunduğunu düşünelim:

1. Kaynak: Herkes
   Hedef: Sunucu
   Port: 443
   Aksiyon: ALLOW

2. Kaynak: 203.0.113.50
   Hedef: Sunucu
   Port: 443
   Aksiyon: DENY

Eğer firewall ilk eşleşen kuralı uyguluyorsa ve trafik 203.0.113.50 adresinden geliyorsa, ilk kural nedeniyle bağlantı kabul edilebilir ve ikinci kural hiç değerlendirilmeyebilir. Bu nedenle daha özel kuralların genel kurallarla ilişkisi dikkatli şekilde tasarlanmalıdır.

Uzman seviyesinde firewall yönetiminde yalnızca kuralların çalışması değil, kuralların mantıksal olarak sade, denetlenebilir ve sürdürülebilir olması da önemlidir. Kullanılmayan, birbirini gölgeleyen veya gereksiz derecede geniş erişim sağlayan kurallar zaman içerisinde güvenlik açıklarına dönüşebilir.

Default Deny ve Least Privilege Yaklaşımı

Güvenli firewall tasarımında önemli prensiplerden biri default deny, yani varsayılan olarak reddetme yaklaşımıdır. Bu modelde açıkça izin verilmeyen trafiğin engellenmesi esas alınır. Bunun karşıtı olan “her şeye izin ver, sorunlu olanları ayrıca engelle” yaklaşımı zaman içinde kontrol edilmesi zor ve geniş bir saldırı yüzeyi oluşturabilir.

Default deny yaklaşımında temel mantık şöyledir:

İzin verilen trafik → ALLOW
Tanımlanmamış trafik → DENY

Bu yaklaşım, least privilege yani en az ayrıcalık prensibiyle birlikte değerlendirildiğinde daha güçlü bir güvenlik modeli oluşturur. Bir sistemin yalnızca gerçekten ihtiyaç duyduğu kaynaklara, portlara ve servislerine erişebilmesi hedeflenir.

Örneğin bir uygulama sunucusunun veritabanına erişmesi gerekiyorsa, tüm ağların veritabanı portuna erişmesine izin vermek yerine yalnızca uygulama sunucusunun IP adresinden veya ilgili güvenlik grubundan gelen bağlantılara izin verilebilir. Böylece saldırgan başka bir sistem üzerinde kontrol elde etse bile veritabanına doğrudan ulaşması zorlaştırılır.

NAT ve Firewall İlişkisi

Firewall sistemlerinde NAT (Network Address Translation) da sık kullanılan mekanizmalardan biridir. NAT, özel IP adreslerinin internet üzerindeki genel IP adresleriyle ilişkilendirilmesini veya belirli trafiklerin farklı adreslere yönlendirilmesini sağlar. NAT doğrudan bir güvenlik mekanizması olarak değerlendirilmemelidir; ancak ağ mimarisinin dış dünyaya nasıl göründüğünü etkilediği için firewall yapılandırmalarında önemli bir yere sahiptir.

Örneğin kurum içerisindeki istemciler 192.168.x.x veya 10.x.x.x gibi özel adresler kullanabilir. İnternete çıkarken firewall üzerindeki NAT mekanizması sayesinde bu istemcilerin trafiği ortak bir genel IP adresi üzerinden dışarıya aktarılabilir.

Bunun yanında port forwarding veya destination NAT (DNAT) kullanılarak internetten gelen belirli bir porttaki trafik iç ağdaki belirli bir sunucuya yönlendirilebilir. Örneğin dışarıdan TCP/443 üzerinden gelen bağlantı, kurum içerisindeki web sunucusunun özel IP adresine aktarılabilir.

Burada kritik nokta, NAT’ın tek başına güvenlik sağlamadığıdır. Trafiğin iç ağa yönlendirilmesi sırasında firewall’ın erişim politikalarının da doğru şekilde uygulanması gerekir.

Uygulama Katmanı Trafik Denetimi

Geleneksel firewall’lar çoğunlukla ağ ve taşıma katmanındaki bilgiler üzerinden karar verirken, modern Next-Generation Firewall (NGFW) çözümleri uygulama katmanına kadar trafik analizi gerçekleştirebilir. Bu sayede yalnızca “TCP/443 açık mı?” sorusunun ötesine geçilerek HTTPS üzerinden çalışan uygulama trafiğinin türü ve güvenlik politikaları değerlendirilebilir.

Örneğin aynı TCP/443 portunu kullanan farklı uygulamalar bulunabilir. Port bilgisine bakıldığında hepsi HTTPS olarak görünse de uygulama düzeyinde farklı davranışlar sergileyebilir. NGFW teknolojileri uygulama tanımlama, kullanıcı kimliği, içerik analizi ve tehdit istihbaratı gibi mekanizmaları kullanarak daha ayrıntılı politikalar oluşturabilir.

Bu yapı özellikle kurumsal ağlarda önemlidir. Örneğin belirli bir uygulamaya izin verilirken başka bir uygulamanın aynı protokol veya port üzerinden gerçekleştirdiği trafik sınırlandırılabilir.

IDS/IPS ile Firewall’ın Birlikte Çalışması

Firewall ile IDS (Intrusion Detection System) ve IPS (Intrusion Prevention System) kavramları birbirine yakın görünse de aynı görevi yerine getirmez. Firewall temel olarak erişim kontrolü ve trafik politikalarının uygulanmasına odaklanırken IDS şüpheli davranışları tespit etmeye, IPS ise belirli saldırı trafiğini tespit ederek engellemeye yönelik çalışır.

Modern güvenlik duvarlarında IPS yeteneklerinin doğrudan bulunması mümkündür. Bu durumda firewall yalnızca “izin verilen port” mantığıyla çalışmaz; aynı zamanda geçen trafiğin saldırı imzaları, anomaliler veya diğer tehdit göstergeleri açısından incelenmesini sağlayabilir.

Örneğin bir web sunucusunun TCP/443 portu internete açık olabilir. Ancak bu, HTTPS üzerinden gelen her içeriğin güvenli olduğu anlamına gelmez. Saldırgan, izin verilen port üzerinden kötü amaçlı istekler göndermeye çalışabilir. IPS ve uygulama güvenliği mekanizmaları burada devreye girerek erişim izni verilmiş bir kanal üzerinden gerçekleştirilmeye çalışılan saldırıların tespit edilmesine yardımcı olabilir.

Firewall Logları ve Trafik İzleme

Firewall’ın nasıl çalıştığını anlamanın en önemli yollarından biri log kayıtlarını incelemektir. Firewall tarafından oluşturulan loglarda izin verilen veya engellenen bağlantılar, kaynak ve hedef adresler, portlar, protokoller, kural kimlikleri ve zaman bilgileri gibi çeşitli veriler bulunabilir.

Örneğin sürekli olarak aynı hedef sunucuya farklı kaynak IP adreslerinden yapılan bağlantı denemeleri, sistem yöneticisinin dikkatini çekebilecek bir davranış olabilir. Benzer şekilde normalde kullanılmayan bir yönetim portuna yönelik çok sayıda bağlantı girişimi, keşif veya saldırı faaliyetinin göstergesi olabilir.

Ancak log üretmek tek başına yeterli değildir. Büyük kurumsal ağlarda firewall tarafından üretilen milyonlarca olayın manuel olarak incelenmesi mümkün olmayabilir. Bu nedenle firewall logları genellikle SIEM (Security Information and Event Management) sistemlerine aktarılır. SIEM, farklı güvenlik bileşenlerinden gelen olayları merkezi olarak toplayarak korelasyon, alarm üretimi ve olay analizi yapılmasına yardımcı olur.

Firewall’ın Ağ Mimarisi İçindeki Konumu

Firewall’ın çalışma performansı kadar ağ içerisindeki konumu da önemlidir. Basit bir yapıda firewall internet ile yerel ağ arasında bulunabilir. Daha gelişmiş kurumsal mimarilerde ise internet, DMZ, kullanıcı ağı, sunucu ağı, yönetim ağı ve kritik sistemler arasında farklı güvenlik bölgeleri oluşturulabilir.

Örneğin tipik bir yapı şu şekilde modellenebilir:

                INTERNET
                    |
              [ FIREWALL ]
               /         \
             DMZ         LAN
              |            |
        Web / Mail      Kullanıcılar
          Sunucuları
              |
        [İç Güvenlik]
              |
       Veritabanı / Kritik Sistemler

Buradaki amaç, tek bir güvenlik duvarıyla yalnızca interneti engellemek değil, ağ içerisindeki hareketleri de kontrol etmektir. Çünkü modern saldırılarda tehdit aktörü yalnızca dışarıdan içeriye girmeye çalışmaz; bir sistem ele geçirildikten sonra ağ içerisinde yatay hareket ederek daha değerli sistemlere ulaşmaya çalışabilir. Bu nedenle ağ segmentasyonu ve east-west traffic olarak adlandırılan iç ağ trafiğinin kontrol edilmesi, gelişmiş güvenlik mimarilerinde giderek daha önemli hale gelmektedir.

Firewall’ın çalışma mekanizması; paketlerin incelenmesi, bağlantı durumlarının takip edilmesi, güvenlik kurallarının uygulanması, uygulama ve kullanıcı bazlı politikaların değerlendirilmesi, NAT işlemleri, loglama ve gerektiğinde tehdit önleme mekanizmalarının devreye alınması gibi birden fazla süreçten oluşur. Etkili bir firewall yapılandırması yalnızca birkaç portu kapatmak veya internet erişimini sınırlamak anlamına gelmez. Güvenli bir tasarım; en az ayrıcalık, segmentasyon, default deny, kontrollü erişim, düzenli kural gözden geçirme, merkezi loglama ve sürekli izleme prensiplerinin birlikte uygulanmasını gerektirir. Bu nedenle firewall, ağ güvenliğinin tek başına bütün sorunları çözen bir bileşeni değil; daha geniş bir siber güvenlik mimarisinin kritik kontrol katmanlarından biri olarak ele alınmalıdır.

Firewall Türleri ve Kullanım Alanları

Firewall teknolojileri, çalıştıkları ortam, trafiği analiz etme yöntemleri, uyguladıkları güvenlik politikaları ve sundukları ek güvenlik yeteneklerine göre farklı kategorilere ayrılır. İlk dönemlerde firewall çözümleri ağırlıklı olarak IP adresi, port ve protokol bilgilerine göre paketleri filtreleyen basit sistemlerden oluşurken, günümüzde ağların karmaşıklaşmasıyla birlikte daha gelişmiş trafik analizi ve tehdit önleme özellikleri ortaya çıkmıştır. Donanımsal firewall cihazlarından sunucu işletim sistemlerinde çalışan yazılımsal güvenlik duvarlarına, sanal firewall çözümlerinden bulut tabanlı güvenlik servislerine kadar farklı modeller bulunmaktadır. Doğru firewall türünün seçilmesi; ağın büyüklüğü, kullanıcı sayısı, uygulama mimarisi, internet trafiğinin hacmi, uzaktan erişim gereksinimleri, güvenlik politikaları ve kurumun operasyonel ihtiyaçları gibi birçok faktöre bağlıdır.

Firewall türlerini yalnızca “donanım” ve “yazılım” şeklinde sınıflandırmak teknik açıdan yeterli değildir. Güvenlik duvarlarının paket filtreleme, stateful inspection, proxy, uygulama katmanı analizi, yeni nesil güvenlik duvarı ve bulut tabanlı güvenlik gibi farklı çalışma modelleri de bulunmaktadır. Ayrıca günümüzde firewall işlevleri fiziksel veri merkezlerinden sanallaştırılmış ortamlara ve bulut altyapılarına kadar farklı katmanlarda uygulanabilmektedir. Bu nedenle bir kurumun tek bir firewall kullanması yerine, farklı ağ bölgelerinde ve farklı güvenlik seviyelerinde birbirini tamamlayan firewall katmanları oluşturması daha gelişmiş bir güvenlik yaklaşımı sağlayabilir.

Paket Filtreleme Firewall

Packet filtering firewall, en temel firewall türlerinden biridir. Bu sistemler ağ paketlerinin başlık bilgilerini inceleyerek belirli kurallara göre trafik üzerinde karar verir. Kaynak IP adresi, hedef IP adresi, kaynak port, hedef port ve protokol gibi bilgiler temel karar parametreleridir.

Örneğin:

Kaynak: 192.168.1.0/24
Hedef: Herhangi
Protokol: TCP
Port: 443
Aksiyon: ALLOW

şeklinde bir kural, belirli bir ağdaki istemcilerin HTTPS trafiğine izin verilmesini sağlayabilir.

Paket filtreleme firewall’lar düşük seviyeli trafik kontrolünde oldukça kullanışlıdır. Ancak uygulamanın içeriğini veya bağlantının bağlamını anlamakta sınırlı kalabilir. Örneğin TCP/443 portuna izin verilmiş olması, bu port üzerinden geçen tüm uygulama trafiğinin güvenli olduğu anlamına gelmez.

Bu nedenle paket filtreleme mekanizması günümüzde genellikle daha gelişmiş firewall özelliklerinin bir parçası olarak kullanılmaktadır.

Stateful Firewall

Stateful firewall, ağ bağlantılarının durumunu takip eden ve trafik kararlarını yalnızca tek tek paketlerin özelliklerine göre değil, bağlantının genel durumuna göre veren güvenlik duvarıdır.

Firewall üzerinde aktif bağlantılara ilişkin bir durum tablosu tutulur. Örneğin istemcinin bir web sunucusuna bağlantı başlatması durumunda firewall bu bağlantıyı takip eder ve sunucudan dönen trafiğin mevcut oturumun bir parçası olduğunu anlayabilir.

Stateful firewall’ın önemli avantajlarından biri, TCP gibi durum bilgisi taşıyan protokollerde bağlantı akışını daha doğru değerlendirebilmesidir. Böylece dışarıdan gelen rastgele bir paket ile daha önce içeriden başlatılmış ve izin verilmiş bir bağlantının geri dönüş trafiği birbirinden ayrılabilir.

Kurumsal ağların önemli bölümünde stateful inspection özelliği temel firewall yeteneklerinden biridir.

Proxy Firewall

Proxy firewall, istemci ile hedef sunucu arasında aracı görevi gören ve iletişimi doğrudan iki uç arasında gerçekleşmek yerine proxy üzerinden geçiren firewall modelidir.

Örneğin kullanıcı bir web sitesine erişmek istediğinde doğrudan hedef sunucuya bağlanmak yerine önce proxy firewall ile iletişim kurabilir. Proxy, istemcinin isteğini alır, güvenlik politikalarını uygular ve uygun görürse hedef sisteme yeni bir bağlantı oluşturur.

Bu mimarinin önemli avantajlarından biri, trafik üzerinde daha ayrıntılı kontrol sağlanabilmesidir. Uygulama katmanındaki bilgilerin analiz edilebilmesi sayesinde belirli içeriklerin, web sitelerinin veya uygulama davranışlarının sınırlandırılması mümkün olabilir.

Proxy tabanlı mimariler özellikle web erişim kontrolü, içerik filtreleme ve belirli kurumsal güvenlik politikalarının uygulanmasında kullanılabilir. Bununla birlikte proxy mimarisinin ek işlem yükü oluşturabileceği ve uygulama uyumluluğu açısından dikkatli tasarlanması gerektiği unutulmamalıdır.

Uygulama Katmanı Firewall

Application Layer Firewall, OSI modelinin üst katmanlarında çalışan ve ağ trafiğinin yalnızca IP ve port bilgilerini değil, uygulamaya ilişkin özelliklerini de analiz edebilen güvenlik duvarı yaklaşımıdır.

Örneğin klasik bir firewall:

TCP + 443 → ALLOW

şeklinde karar verirken uygulama katmanı güvenlik duvarı HTTP/HTTPS trafiğinin içerisindeki belirli özellikleri inceleyebilir.

Bu yaklaşım özellikle web uygulamalarında önemlidir. Çünkü saldırılar çoğu zaman yalnızca açık bir port üzerinden değil, izin verilen uygulama protokolünün kendisini kötüye kullanarak gerçekleştirilebilir.

Uygulama katmanı analizi sayesinde URL, HTTP metotları, başlık bilgileri, oturum bilgileri ve belirli uygulama davranışları gibi daha ayrıntılı parametreler güvenlik politikalarının parçası haline getirilebilir.

Next-Generation Firewall (NGFW)

Günümüzde kurumsal ağlarda en yaygın gelişmiş firewall yaklaşımlarından biri Next-Generation Firewall (NGFW) teknolojisidir. NGFW, klasik firewall’ın temel trafik filtreleme özelliklerini daha gelişmiş uygulama ve tehdit analiz yetenekleriyle birleştirir.

Bir NGFW çözümünde aşağıdaki özelliklerin bir veya daha fazlası bulunabilir:

• Stateful inspection
• Uygulama tanımlama
• Kullanıcı tabanlı erişim kontrolü
• IPS/IDS
• URL filtreleme
• Kötü amaçlı yazılım tespiti
• SSL/TLS trafik inceleme
• Tehdit istihbaratı entegrasyonu
• VPN
• İçerik filtreleme
• Gelişmiş loglama ve raporlama

NGFW’nin en önemli avantajlarından biri, yalnızca port bazlı kontrol yerine uygulama farkındalığı sağlamasıdır. Aynı port üzerinden çalışan farklı uygulamaların ayırt edilmesi, güvenlik politikalarının çok daha ayrıntılı oluşturulmasına yardımcı olabilir.

Örneğin TCP/443 üzerinden HTTPS trafiğine genel olarak izin verilirken, belirli uygulamaların veya riskli trafik türlerinin ayrıca sınırlandırılması mümkün olabilir.

Web Application Firewall (WAF)

Web Application Firewall (WAF), klasik ağ firewall’larından farklı olarak özellikle web uygulamalarını korumaya yönelik tasarlanmıştır. WAF, HTTP ve HTTPS trafiğini inceleyerek web uygulamalarına yönelik saldırı girişimlerinin tespit edilmesine ve engellenmesine yardımcı olur.

Web uygulamaları; SQL Injection, Cross-Site Scripting (XSS), kötü amaçlı istekler, HTTP protokolünün kötüye kullanılması ve çeşitli uygulama katmanı saldırıları gibi tehditlerle karşı karşıya kalabilir. WAF, bu tür saldırı davranışlarını tespit etmek amacıyla istekleri daha ayrıntılı şekilde analiz eder.

Basitleştirilmiş bir mimari şu şekilde düşünülebilir:

INTERNET
   |
   v
[ WAF ]
   |
   v
[ WEB SUNUCUSU ]
   |
   v
[ UYGULAMA ]
   |
   v
[ VERİTABANI ]

Burada WAF, internet ile web uygulaması arasında güvenlik katmanı oluşturur.

Ancak WAF’ın klasik firewall’ın yerine geçtiği düşünülmemelidir. Ağ seviyesinde çalışan firewall ile uygulama seviyesinde çalışan WAF farklı güvenlik problemlerine odaklanır. Özellikle internet üzerinden erişilen kritik web uygulamalarında bu iki teknoloji birlikte kullanılabilir.

Host-Based Firewall

Host-based firewall, ağın tamamını korumak yerine doğrudan belirli bir bilgisayar, sunucu veya istemci üzerinde çalışan yazılım tabanlı güvenlik duvarıdır.

Windows, Linux ve diğer işletim sistemlerinde yerleşik veya üçüncü taraf host firewall çözümleri kullanılabilir. Bu sistemler cihaz üzerinde çalışan uygulamaların ağ erişimini kontrol edebilir.

Örneğin bir sunucuda yalnızca belirli servislerin dışarıdan erişilebilir olması sağlanabilir:

TCP 443 → ALLOW
TCP 22  → Yalnızca yönetim ağı
Diğer portlar → DENY

Host-based firewall’ın en önemli avantajlarından biri, ağ içerisinde başka bir güvenlik katmanı oluşturmasıdır. Ağ seviyesindeki firewall herhangi bir nedenle trafiğe izin verse bile sunucu üzerindeki host firewall ek bir kontrol mekanizması sağlayabilir.

Bu nedenle özellikle kritik sunucularda katmanlı güvenlik yaklaşımı açısından host firewall önemli bir bileşendir.

Network-Based Firewall

Network-based firewall, ağ trafiğini merkezi bir noktada kontrol eden ve birden fazla cihazı veya ağ segmentini koruyabilen firewall türüdür. Fiziksel veya sanal cihaz olarak konumlandırılabilir.

Tipik bir kurum ağında firewall internet ile iç ağ arasında bulunabilir:

                 INTERNET
                     |
                     v
              [ FIREWALL ]
               /         \
              /           \
           DMZ             LAN
            |               |
        Web Server       Kullanıcılar
                            |
                         Sunucular

Bu yapı merkezi erişim kontrolü sağlar. Ağ yöneticileri, tüm kullanıcıların ve sunucuların belirli güvenlik politikaları kapsamında iletişim kurmasını sağlayabilir.

Büyük ağlarda firewall’ın farklı güvenlik bölgeleri arasında konumlandırılması da mümkündür. Böylece yalnızca internetten gelen trafik değil, kurum içindeki ağ segmentleri arasındaki iletişim de kontrol altına alınabilir.

Donanımsal Firewall

Hardware firewall, özel donanım üzerinde çalışan güvenlik duvarı sistemidir. Genellikle kurumların internet çıkış noktalarında veya veri merkezlerinde kullanılır.

Donanımsal firewall’lar yüksek miktarda ağ trafiğini işleyebilmek üzere tasarlanabilir. Ayrı bir donanım üzerinde çalışmaları, ağ güvenliği fonksiyonlarının merkezi olarak yönetilmesini kolaylaştırabilir.

Kurumsal yapılarda donanımsal firewall tercih edilmesinin başlıca nedenleri arasında:

• Yüksek trafik kapasitesi
• Merkezi yönetim
• VLAN ve ağ segmentasyonu
• VPN desteği
• Gelişmiş loglama
• Yüksek erişilebilirlik
• Yedekli çalışma
• IPS/IDS entegrasyonu

gibi özellikler bulunur.

Özellikle internet trafiğinin yoğun olduğu veri merkezlerinde firewall performansı kritik hale geldiğinden, cihazın throughput, eşzamanlı bağlantı sayısı, yeni bağlantı oluşturma kapasitesi ve güvenlik özellikleri aktifken oluşan performans kaybı gibi metrikler birlikte değerlendirilmelidir.

Software Firewall

Software firewall, işletim sistemi veya sunucu üzerinde çalışan yazılım tabanlı güvenlik duvarıdır. Host-based firewall yaklaşımı bunun en yaygın örneklerinden biridir.

Yazılım tabanlı firewall’lar özellikle bireysel bilgisayarlar, sunucular, sanal makineler ve belirli uygulama ortamlarında kullanışlıdır. Ağ trafiğini cihaz seviyesinde kontrol etmeleri sayesinde kullanıcı veya uygulama bazında daha ayrıntılı politikalar oluşturulabilir.

Sanal sunucuların yaygın olduğu modern veri merkezlerinde software firewall çözümleri, fiziksel ağ firewall’larını tamamlayan önemli bir güvenlik katmanı oluşturabilir.

Virtual Firewall

Sanallaştırma teknolojilerinin gelişmesiyle birlikte virtual firewall çözümleri de yaygınlaşmıştır. Virtual firewall, fiziksel bir cihaz yerine sanal makine, sanal appliance veya sanallaştırılmış ağ fonksiyonu olarak çalışabilir.

Özellikle veri merkezlerinde ve hibrit bulut mimarilerinde fiziksel donanımın yanı sıra sanal firewall kullanılabilir. Bu yaklaşım, güvenlik politikalarının sanal ağlar arasında uygulanmasını kolaylaştırabilir.

Örneğin bir sanal veri merkezinde:

Internet
   |
Virtual Firewall
   |
Virtual Network
   |
+---------+---------+
|         |         |
Web       App       DB

şeklinde katmanlı bir yapı oluşturulabilir.

Bu modelde web, uygulama ve veritabanı katmanları birbirinden ayrılarak yalnızca gerekli iletişime izin verilebilir.

Cloud Firewall

Bulut bilişim ortamlarında firewall işlevleri fiziksel veri merkezlerinden farklı şekilde uygulanabilir. Cloud firewall, bulut altyapısındaki sanal makineler, ağlar, servisler ve uygulamalar arasındaki trafiğin güvenlik politikaları doğrultusunda kontrol edilmesine yardımcı olur.

Bulut ortamlarında güvenlik yalnızca tek bir fiziksel firewall cihazına bağlı değildir. Sanal ağlar, güvenlik grupları, network ACL’leri, dağıtık firewall politikaları ve bulut tabanlı güvenlik servisleri farklı seviyelerde erişim kontrolü sağlayabilir.

Bu nedenle bulut güvenliğinde “firewall’ı nereye koymalıyız?” sorusunun yanıtı geleneksel veri merkezlerine kıyasla farklılaşabilir. Güvenlik politikalarının iş yüklerine, kimliklere, ağ segmentlerine ve uygulama servislerine göre dağıtılması gerekebilir.

Dağıtık Firewall ve Mikro Segmentasyon

Modern kurumsal mimarilerde firewall yalnızca internet çıkışında bulunan merkezi bir cihaz olmaktan çıkmaktadır. Dağıtık firewall ve mikro segmentasyon yaklaşımlarıyla ağ içerisindeki iş yükleri arasında da güvenlik politikaları uygulanabilir.

Örneğin aynı veri merkezinde bulunan iki sunucunun birbirleriyle iletişim kurması gerektiğinde, aralarındaki tüm trafiğe izin vermek yerine yalnızca gerekli servislerin açılması sağlanabilir.

Web Server
    |
    | TCP 443
    v
Application Server
    |
    | TCP 5432
    v
Database Server

Bu modelde web sunucusunun veritabanına doğrudan erişmesi engellenebilir ve yalnızca uygulama sunucusunun veritabanına bağlantı kurmasına izin verilebilir.

Mikro segmentasyon özellikle Zero Trust yaklaşımıyla birlikte değerlendirildiğinde önem kazanır. Güvenlik modeli artık yalnızca “iç ağ güvenlidir, dış ağ güvensizdir” anlayışına dayanmaz. Ağ içerisindeki her erişim isteğinin kimlik, bağlam, kaynak ve hedef bilgileri üzerinden değerlendirilmesi hedeflenir.

Firewall Türü Seçerken Dikkat Edilmesi Gerekenler

Bir firewall çözümü seçilirken yalnızca üreticinin sunduğu özellik listesine bakmak yeterli değildir. Gerçek kullanım senaryosu ve güvenlik mimarisi birlikte değerlendirilmelidir.

Özellikle şu kriterler dikkate alınmalıdır:

Trafik kapasitesi: Firewall’ın yalnızca teorik maksimum throughput değeri değil, güvenlik özellikleri aktifken sağlayabildiği gerçek trafik kapasitesi incelenmelidir.

Eşzamanlı bağlantı kapasitesi: Çok sayıda istemci veya servis bulunan ortamlarda aynı anda kaç bağlantının yönetilebildiği önemlidir.

Yeni bağlantı performansı: Saniyede oluşturulabilen yeni bağlantı sayısı, yoğun trafik alan web servislerinde kritik olabilir.

Güvenlik özellikleri: IPS, uygulama kontrolü, VPN, URL filtreleme, TLS inceleme ve tehdit istihbaratı gibi özelliklerin performansa etkisi değerlendirilmelidir.

Yüksek erişilebilirlik: Kritik yapılarda firewall’ın tek hata noktası olmaması gerekir. Active-passive veya active-active gibi yedeklilik mimarileri değerlendirilebilir.

Merkezi yönetim: Çok sayıda firewall bulunan kurumlarda merkezi politika yönetimi ve log analizi operasyonel açıdan büyük önem taşır.

Bulut ve sanallaştırma desteği: Hibrit veya çoklu bulut mimarilerinde firewall’ın sanal ağlarla ve bulut servisleriyle uyumlu olması gerekir.

Firewall türleri, tek bir güvenlik çözümünden ziyade farklı ihtiyaçlara yönelik bir güvenlik teknolojileri ailesi olarak değerlendirilmelidir. Paket filtreleme ve stateful firewall’lar temel ağ erişim kontrolünü sağlarken NGFW çözümleri uygulama farkındalığı ve gelişmiş tehdit önleme yetenekleri sunabilir. WAF web uygulamalarına yönelik tehditlere odaklanırken host-based firewall’lar sunucu ve istemci seviyesinde ek bir güvenlik katmanı oluşturur. Sanal ve bulut tabanlı firewall’lar ise modern altyapıların dinamik yapısına uyum sağlayarak güvenlik politikalarının fiziksel ağ sınırlarının ötesine taşınmasına olanak verir. Uzman bir güvenlik mimarisinde amaç yalnızca “en gelişmiş firewall’ı” kullanmak değil, işletmenin tehdit modeli ve ağ mimarisiyle uyumlu firewall katmanlarını doğru noktalara yerleştirmek ve bu katmanları sürdürülebilir güvenlik politikalarıyla yönetmektir.

Firewall Güvenlik Kuralları, Avantajları ve Uzman Yaklaşımı

Firewall’ın gerçek güvenlik değerini belirleyen en önemli unsurlardan biri, kullanılan cihazın veya yazılımın teknik özelliklerinden çok nasıl yapılandırıldığı ve nasıl yönetildiğidir. Güçlü bir firewall cihazı yanlış oluşturulmuş kurallar, gereğinden fazla açık portlar, geniş IP aralıkları, unutulmuş istisnalar veya düzenli olarak gözden geçirilmeyen erişim politikaları nedeniyle ciddi güvenlik riskleri oluşturabilir. Bu nedenle firewall yönetimi yalnızca başlangıçta birkaç kural tanımlayıp sistemi çalıştırmaktan ibaret değildir. Güvenlik duvarının ağ topolojisiyle uyumlu şekilde tasarlanması, erişim ihtiyaçlarının belirlenmesi, kuralların en az ayrıcalık prensibine göre oluşturulması, logların izlenmesi, gereksiz kuralların temizlenmesi ve değişikliklerin kontrollü şekilde yönetilmesi gerekir. Özellikle kurumsal yapılarda firewall politikaları, bilgi güvenliği politikalarının teknik olarak uygulanmasını sağlayan önemli kontrol mekanizmalarından biridir.

Firewall’ın avantajları arasında ağ erişimini sınırlandırmak, saldırı yüzeyini azaltmak, ağ segmentasyonu sağlamak, yetkisiz bağlantıları engellemek, internet erişimini kontrol etmek, VPN bağlantılarını yönetmek ve güvenlik olayları hakkında kayıt oluşturmak bulunur. Bununla birlikte firewall tek başına kapsamlı bir siber güvenlik çözümü değildir. Günümüz saldırıları çoğu zaman izin verilen protokoller, çalınmış kullanıcı hesapları, güvenlik açıkları veya meşru uygulamalar üzerinden gerçekleştirilebilir. Bu nedenle uzman yaklaşımda firewall; kimlik ve erişim yönetimi, uç nokta güvenliği, IDS/IPS, EDR, WAF, SIEM, ağ segmentasyonu, Zero Trust ve güvenlik izleme gibi mekanizmalarla birlikte değerlendirilir. Başarılı bir firewall mimarisinin temel amacı, yalnızca saldırıları engellemek değil; güvenilir iletişim yollarını kontrollü hale getirmek, gereksiz erişimleri ortadan kaldırmak ve ağ içerisindeki hareketleri mümkün olduğunca görünür ve denetlenebilir kılmaktır.

Firewall Güvenlik Kuralları Nasıl Oluşturulur?

Firewall üzerinde tanımlanan her kural, belirli bir trafik türüne ilişkin güvenlik kararını temsil eder. Bir kuralın içerisinde genellikle kaynak, hedef, protokol, port, zaman aralığı, kullanıcı veya uygulama gibi parametreler bulunabilir. Bu parametrelerin tamamı kullanılan firewall teknolojisine göre değişiklik gösterebilir.

Basit bir firewall kuralı şu şekilde düşünülebilir:

Kaynak: 192.168.10.0/24
Hedef: 192.168.20.10
Protokol: TCP
Port: 443
Aksiyon: ALLOW

Bu kural, 192.168.10.0/24 ağı içerisindeki sistemlerin 192.168.20.10 adresindeki sunucunun TCP/443 servisine erişmesine izin verir.

Ancak uzman bir yapılandırmada yalnızca “çalışıyor mu?” sorusuna bakılmaz. Aynı zamanda şu soruların da cevaplanması gerekir:

• Bu erişime gerçekten ihtiyaç var mı?
• Erişim hangi kullanıcılar veya sistemler tarafından gerçekleştirilecek?
• Erişim yalnızca belirli kaynaklarla sınırlandırılabilir mi?
• Kullanılan port gerçekten gerekli mi?
• Erişim ne kadar süreyle gerekli?
• Trafik kayıt altına alınmalı mı?
• Bu kural başka bir kural tarafından gereksiz hale geliyor mu?
• Kuralın güvenlik riski nedir?

Bu sorular, firewall yönetimini basit bir teknik yapılandırma işleminden çıkararak güvenlik politikası yönetimine dönüştürür.

Default Deny Politikası

Güvenli firewall mimarilerinin temel prensiplerinden biri default deny yaklaşımıdır. Bu yöntemde açıkça izin verilmeyen trafik varsayılan olarak reddedilir.

Örneğin:

ALLOW → Gerekli ve tanımlanmış trafik
DENY  → Tanımlanmamış diğer trafik

Bu yaklaşımın önemli avantajı, güvenlik yöneticisinin ağ üzerinde hangi iletişimlerin açık olduğunu daha kontrollü şekilde belirleyebilmesidir.

Bunun karşıtı olan geniş kapsamlı izin politikalarında ise başlangıçta çok fazla trafik kabul edilebilir ve daha sonra istenmeyen bağlantılar tek tek engellenmeye çalışılabilir. Ağ büyüdükçe bu yöntem karmaşık hale gelir ve unutulmuş erişimlerin ortaya çıkma ihtimali artar.

Default deny yaklaşımı özellikle internetten erişilebilen sistemlerde önemlidir. Bir web sunucusunun yalnızca HTTP/HTTPS hizmeti sunması gerekiyorsa, gereksiz servislerin dış dünyaya açık bırakılmasının teknik bir gerekçesi bulunmamalıdır.

Least Privilege ve Minimum Erişim

Firewall kurallarının tasarımında least privilege, yani en az ayrıcalık prensibi büyük önem taşır. Bu prensibe göre bir kullanıcı, sunucu veya uygulama yalnızca işini gerçekleştirmek için ihtiyaç duyduğu kaynaklara erişebilmelidir.

Örneğin:

Yanlış yaklaşım:
Tüm ağ → Veritabanı → Tüm portlar

Daha güvenli yaklaşım:
Uygulama Sunucusu → Veritabanı → TCP/5432

İkinci modelde veritabanına erişebilecek kaynakların sayısı ve kullanılabilecek servisler sınırlandırılmıştır.

Bu yaklaşım saldırganın ağ içerisinde hareket etmesini de zorlaştırabilir. Bir saldırgan bir web sunucusunu ele geçirse bile firewall politikaları nedeniyle veritabanı veya yönetim ağı gibi kritik sistemlere doğrudan ulaşamayabilir.

Ağ Segmentasyonu ve DMZ

Firewall’ın en önemli kullanım alanlarından biri ağ segmentasyonu sağlamaktır. Büyük ağlarda bütün cihazları aynı güvenlik bölgesinde tutmak yerine farklı güvenlik seviyelerine sahip segmentler oluşturmak daha güvenli bir mimari sağlar.

Örneğin:

                    INTERNET
                        |
                   [ FIREWALL ]
                  /      |      \
                 /       |       \
               DMZ     USER LAN   SERVER LAN
                |          |          |
           Web Server   PC'ler    Uygulama
                                  Veritabanı

DMZ, internetten erişilebilir olması gereken sistemlerin iç ağdan ayrıştırılmasına yardımcı olur. Web sunucusu gibi dışarıya hizmet veren bir sistem ele geçirilse bile, iç ağdaki kritik kaynaklara erişimin firewall politikalarıyla sınırlandırılması mümkün olur.

Daha gelişmiş mimarilerde sunucu, kullanıcı, yönetim, IoT ve kritik altyapı ağları da ayrı segmentlere ayrılabilir.

Firewall Kurallarında Gereksiz Genişlikten Kaçınmak

Firewall kurallarındaki en yaygın güvenlik problemlerinden biri gereğinden geniş erişim tanımlarıdır. Örneğin:

Kaynak: ANY
Hedef: ANY
Port: ANY
Aksiyon: ALLOW

gibi bir kural, güvenlik açısından son derece geniş bir erişim alanı oluşturur.

Benzer şekilde yalnızca belirli bir sunucunun erişmesi gereken bir hizmet için:

Kaynak: 0.0.0.0/0

gibi tüm interneti kapsayan bir kaynak tanımı kullanmak gereksiz risk yaratabilir.

Bunun yerine erişimin gerçekten gerekli olduğu kaynaklar belirlenmelidir:

Kaynak: 203.0.113.10
Hedef: Sunucu
Port: 443
Aksiyon: ALLOW

Buradaki amaç firewall kurallarını mümkün olduğunca spesifik, anlaşılır ve sınırlı hale getirmektir.

Firewall Kural Sıralaması

Birçok firewall çözümünde kurallar belirli bir sırayla değerlendirilir. Bu nedenle kural sıralaması güvenliğin önemli bir parçasıdır.

Örneğin:

1. ANY → Server → TCP/443 → ALLOW
2. 203.0.113.50 → Server → TCP/443 → DENY

şeklinde bir yapı varsa ve firewall ilk eşleşen kuralı uyguluyorsa, ikinci kural beklenen sonucu vermeyebilir.

Bu nedenle özel kuralların genel kurallarla ilişkisi dikkatli şekilde incelenmelidir. Kural setinin okunabilir olması için kuralların mantıksal bir düzen içerisinde tutulması, açıklamalarla belgelenmesi ve düzenli olarak gözden geçirilmesi önemlidir.

Firewall Logları ve Güvenlik İzleme

Firewall’ın yalnızca trafik engellemesi yeterli değildir. Hangi bağlantıların gerçekleştiğinin bilinmesi de güvenlik açısından son derece önemlidir.

Firewall loglarında örneğin:

Zaman
Kaynak IP
Hedef IP
Kaynak Port
Hedef Port
Protokol
Aksiyon
Kural ID

gibi bilgiler bulunabilir.

Bu kayıtlar sayesinde yöneticiler normal ve anormal trafik davranışlarını analiz edebilir. Örneğin tek bir IP adresinden kısa süre içerisinde yüzlerce farklı porta bağlantı denenmesi, ağ keşfi veya port taraması gibi şüpheli bir davranışın göstergesi olabilir.

Ancak logların miktarı büyük ağlarda çok yüksek seviyelere ulaşabilir. Bu nedenle kritik firewall kayıtlarının merkezi log yönetimi veya SIEM platformlarına aktarılması tercih edilebilir.

Firewall Yönetiminde Kural Temizliği

Zaman içerisinde firewall üzerinde yüzlerce hatta binlerce kural oluşabilir. Projeler değişir, sunucular kaldırılır, uygulamalar taşınır ve kullanıcı ihtiyaçları farklılaşır. Ancak eski firewall kuralları her zaman otomatik olarak ortadan kalkmaz.

Bu durum rule sprawl, yani kontrolsüz kural büyümesi problemine yol açabilir.

Düzenli firewall yönetiminde:

• Kullanılmayan kurallar kaldırılmalı,
• Gereksiz erişimler kapatılmalı,
• Birbirini tekrar eden kurallar incelenmeli,
• Geniş erişim sağlayan kurallar daraltılmalı,
• Kural sahipleri belirlenmeli,
• Kuralların amacı belgelenmeli,
• Geçici kurallara sona erme tarihi verilmelidir.

Özellikle “geçici olarak açılan” ancak aylarca kapatılmayan erişimler ciddi güvenlik risklerine dönüşebilir.

Firewall’ın Avantajları

Firewall kullanımının en önemli avantajı, ağ iletişimini merkezi veya dağıtık güvenlik politikalarıyla kontrol edebilmesidir. Başlıca avantajlar şu şekilde özetlenebilir:

Yetkisiz erişimi sınırlandırır: Belirli IP adreslerinden, ağlardan, portlardan veya uygulamalardan gelen bağlantılar kontrol edilebilir.

Saldırı yüzeyini azaltır: Gereksiz servislerin dışarıya kapatılması, sistemlerin erişilebilirliğini sınırlar.

Ağ segmentasyonu sağlar: Kullanıcı, sunucu, DMZ ve kritik sistem ağlarının birbirinden ayrılmasına yardımcı olur.

İnternet erişimini kontrol eder: Kullanıcıların veya sistemlerin dış ağlara erişimi belirli politikalara göre sınırlandırılabilir.

VPN erişimini yönetebilir: Uzak kullanıcıların veya farklı ofislerin güvenli bağlantıları firewall üzerinden kontrol edilebilir.

Trafik görünürlüğü sağlar: Bağlantıların loglanması sayesinde ağ davranışları incelenebilir.

Uygulama kontrolü sağlayabilir: NGFW gibi gelişmiş çözümler belirli uygulamalar üzerinde daha ayrıntılı politikalar uygulayabilir.

Tehdit önleme mekanizmalarıyla bütünleşebilir: IPS, URL filtreleme ve tehdit istihbaratı gibi teknolojilerle birlikte çalışabilir.

Firewall’ın Sınırlamaları

Firewall güçlü bir güvenlik kontrolü olmasına rağmen tek başına yeterli değildir. Bu nokta özellikle profesyonel güvenlik mimarisinde önemlidir.

Örneğin firewall TCP/443 trafiğine izin veriyorsa, bu kanal üzerinden çalışan meşru bir web uygulamasının güvenlik açığının otomatik olarak engelleneceği düşünülmemelidir. Saldırgan, güvenilir görünen bir protokolü veya çalınmış bir kullanıcı hesabını kullanarak sistemlere ulaşabilir.

Benzer şekilde firewall:

• Kimlik avını tamamen engelleyemez,
• Çalınmış kullanıcı hesabını tek başına tespit edemez,
• Uygulama kodundaki her güvenlik açığını çözemez,
• Yetkili kullanıcıların kötüye kullanımını tamamen önleyemez,
• Uç noktadaki kötü amaçlı yazılımların tümünü tespit edemez.

Bu nedenle firewall, savunma derinliği (defense in depth) yaklaşımının bir parçası olarak kullanılmalıdır.

Zero Trust Yaklaşımında Firewall

Modern güvenlik mimarisinde firewall, Zero Trust yaklaşımıyla birlikte değerlendirilebilir. Geleneksel ağ güvenliğinde iç ağ çoğu zaman güvenilir, dış ağ ise güvensiz kabul edilir. Zero Trust yaklaşımında ise bir kaynağın kurum ağı içerisinde bulunması otomatik olarak güvenilir olduğu anlamına gelmez.

Erişim kararları;

• Kullanıcı kimliği,
• Cihaz durumu,
• Kaynak,
• Hedef,
• Uygulama,
• Erişim zamanı,
• Güvenlik politikaları,
• İstenen kaynak

gibi çeşitli bağlamlar üzerinden değerlendirilebilir.

Bu yaklaşım firewall politikalarının daha ayrıntılı hale gelmesine ve özellikle mikro segmentasyonun önem kazanmasına neden olmuştur.

Yüksek Erişilebilirlik ve Firewall Yedekliliği

Kurumsal ağlarda firewall kritik bir ağ bileşenidir. Firewall’ın tamamen devre dışı kalması internet erişiminin kesilmesine, uygulamaların kullanılamamasına veya farklı ağ segmentleri arasındaki iletişimin durmasına neden olabilir.

Bu nedenle kritik yapılarda High Availability (HA) mimarileri kullanılabilir.

Örneğin:

             INTERNET
                 |
        +--------+--------+
        |                 |
   Firewall A        Firewall B
     ACTIVE             STANDBY
        |                 |
        +--------+--------+
                 |
              LAN / DMZ

Bu yapıda aktif firewall üzerinde problem meydana geldiğinde diğer cihazın trafiği devralması sağlanabilir. Daha gelişmiş yapılarda active-active mimariler de kullanılabilir.

Burada yalnızca cihaz yedekliliği değil; güç kaynakları, ağ bağlantıları, yönetim altyapısı ve konfigürasyon yedekleri gibi diğer bağımlılıkların da değerlendirilmesi gerekir.

Firewall Performansı ve Kapasite Planlaması

Firewall seçiminde yalnızca “kaç Gbps destekliyor?” sorusunu sormak yeterli değildir. Firewall’ın güvenlik özellikleri aktifken ortaya çıkan gerçek performans dikkate alınmalıdır.

Önemli performans göstergeleri arasında:

• Firewall throughput,
• Threat prevention throughput,
• VPN throughput,
• Yeni bağlantı/saniye,
• Eşzamanlı bağlantı sayısı,
• Paket işleme kapasitesi,
• SSL/TLS inspection kapasitesi

bulunabilir.

Örneğin yalnızca temel paket filtreleme aktifken yüksek throughput sağlayan bir cihaz, IPS ve TLS inceleme özellikleri etkinleştirildiğinde çok daha düşük performans gösterebilir. Bu nedenle kapasite planlaması gerçek kullanım senaryolarına göre yapılmalıdır.

Uzman Firewall Yönetimi İçin Temel Prensipler

Profesyonel firewall yönetiminde teknik yapılandırma kadar süreç yönetimi de önemlidir. Uzman yaklaşımda aşağıdaki prensipler dikkate alınmalıdır:

1. Default deny politikası uygulanmalıdır.
2. En az ayrıcalık prensibi kullanılmalıdır.
3. Gereksiz portlar ve servisler kapatılmalıdır.
4. Kaynak ve hedefler mümkün olduğunca spesifik tanımlanmalıdır.
5. Firewall kuralları düzenli olarak gözden geçirilmelidir.
6. Kullanılmayan ve geçici kurallar kaldırılmalıdır.
7. Firewall logları merkezi olarak izlenmelidir.
8. Yapılandırma değişiklikleri kayıt altına alınmalıdır.
9. Kritik firewall sistemleri yedekli tasarlanmalıdır.
10. Firmware ve güvenlik güncellemeleri düzenli uygulanmalıdır.
11. Ağ segmentasyonu kullanılmalıdır.
12. Firewall tek güvenlik katmanı olarak görülmemelidir.
13. IPS, WAF, EDR ve SIEM gibi tamamlayıcı çözümler gerektiğinde mimariye dahil edilmelidir.
14. Kuralların sahibi, amacı ve kapsamı belgelenmelidir.
15. Güvenlik politikaları düzenli olarak test edilmelidir.

Firewall ile Güvenli Bir Ağ Mimarisi Oluşturmak

Uzman seviyede firewall kullanımı, yalnızca internet ile kurum ağı arasına bir güvenlik cihazı yerleştirmekten çok daha kapsamlıdır. Güvenli bir mimaride internetten erişilebilir servisler ayrı bir güvenlik bölgesine alınabilir, kullanıcı ağları kritik sunuculardan ayrılabilir, yönetim trafiği farklı bir segmentte tutulabilir ve veritabanı gibi hassas sistemler yalnızca gerekli uygulama katmanlarından erişilebilir hale getirilebilir.

Örnek bir mimari:

                         INTERNET
                             |
                       [ EDGE FIREWALL ]
                             |
             +---------------+---------------+
             |               |               |
            DMZ          USER NETWORK    VPN NETWORK
             |               |               |
        Web Server        İstemciler       Uzak Kullanıcı
             |
        [ INTERNAL FW ]
             |
       APPLICATION ZONE
             |
        Application Server
             |
        [ INTERNAL FW ]
             |
        DATABASE ZONE
             |
        Database Server

Bu tür katmanlı mimarilerde bir saldırganın tek bir sistemi ele geçirmesi, ağın tamamına erişebileceği anlamına gelmez. Her segment arasındaki iletişim ayrı güvenlik politikalarıyla sınırlandırılabilir.

Firewall, modern ağ güvenliğinin temel yapı taşlarından biridir ancak gerçek etkinliği doğru tasarım, doğru kural seti ve sürekli güvenlik yönetimi ile ortaya çıkar. İyi yapılandırılmış bir firewall; gereksiz ağ trafiğini engeller, sistemlerin saldırı yüzeyini küçültür, ağ segmentleri arasında kontrollü iletişim sağlar ve güvenlik olaylarının analiz edilmesine yardımcı olacak değerli kayıtlar üretir. Buna karşılık yanlış yapılandırılmış, aşırı geniş izinler içeren veya yıllarca gözden geçirilmeyen bir firewall güvenlik sağlamaktan çok yalnızca sahte bir güvenlik algısı oluşturabilir. Bu nedenle uzman yaklaşımda firewall; default deny, least privilege, segmentasyon, sürekli izleme, kural yaşam döngüsü yönetimi, yüksek erişilebilirlik ve savunma derinliği prensipleriyle birlikte ele alınmalıdır. En güçlü firewall bileşeni dahi ancak doğru güvenlik mimarisi içerisinde, düzenli olarak denetlenerek ve kurumun gerçek riskleri doğrultusunda yönetildiğinde etkili bir koruma katmanına dönüşür.

Bu Sayfayı Paylaş