Firewall Hizmetleri: Kurulum, Kural Yönetimi ve Sürekli Takip

Firewall hizmeti nedir, kimin işine yarar?

Firewall (güvenlik duvarı), kurumunuzun iç ağı ile internet ve diğer ağlar arasındaki trafiği kurallara göre denetleyen cihaz ya da yazılımdır. Eskiden yalnızca IP adresi ve port üzerinden izin/engel kararı veren bu cihazlar, bugün yeni nesil firewall (NGFW) olarak uygulama tanıma, saldırı önleme (IPS), web filtreleme, kötü amaçlı yazılım taraması ve şifreli trafik incelemesini tek kutuda birleştiriyor.

Ancak cihazı satın almak işin yalnızca başlangıcı. Sahada en sık karşılaştığımız tablo şu: doğru model alınmış ama kurallar yıllar içinde üst üste eklenmiş, "geçici" diye açılan portlar kapanmamış, lisanslı güvenlik servislerinin yarısı devreye alınmamış, loglar da kimsenin bakmadığı bir diskte dolup taşıyor. Firewall hizmeti, cihazın seçiminden kurulumuna, kural hijyeninden log yönetimine kadar bu boşluğu kapatan işin tamamıdır.

Bu hizmet özellikle şu kurumlar için anlamlıdır:

• Ayrı bir ağ güvenliği uzmanı bulunmayan, BT işlerini bir iki kişiyle yürüten KOBİ'ler,
• Misafir, öğrenci ya da personel için toplu internet erişimi sağlayan ve 5651 sayılı Kanun kapsamında log tutması gereken okul, yurt, otel, hastane ve işletmeler,
• Şube, depo veya fabrikalarını merkeze güvenli şekilde bağlamak isteyen çok lokasyonlu firmalar,
• Uzaktan çalışan personeline kontrollü erişim vermek zorunda olan kurumlar.

Konuya teknik açıdan daha derin bakmak isterseniz Yeni Nesil Firewall (NGFW) nedir? rehberimize göz atabilirsiniz.

Firewall kurulumu nasıl yapılır? Adım adım süreç

Her kurumun ağı farklı olduğu için "kutuyu getir, tak, çalıştır" yaklaşımı genellikle sorun üretir. Biz işi şu adımlarla yürütüyoruz:

1. Keşif ve mevcut durum analizi: Ağ topolojisi, internet hatları, kullanıcı ve cihaz sayısı, sunucular, şubeler, dışarıya açık servisler ve varsa mevcut firewall kuralları incelenir.
2. Boyutlandırma: Datasheet'teki ham hız yerine, IPS ve SSL incelemesi açıkken verilen gerçek güvenlik throughput'u, eş zamanlı oturum ve VPN kullanıcı sayısı esas alınır. Büyüme payı bırakılır.
3. Tasarım: Ağ bölümlendirmesi (VLAN/zone), misafir ağı, sunucu bölgesi (DMZ), yönetim ağı, VPN yapısı ve gerekiyorsa yüksek erişilebilirlik (HA) kurgusu kâğıda dökülür.
4. Kurulum ve kural yazımı: "Varsayılan engelle, gerekeni aç" prensibiyle, her kurala açıklama ve sorumlu bilgisi eklenerek yapılandırma yapılır.
5. Geçiş (cutover): Eski cihazdan yeni cihaza geçiş, iş saatleri dışında ve geri dönüş planıyla yapılır.
6. Test ve dokümantasyon: Kritik uygulamalar, VPN bağlantıları ve log akışı test edilir; yapılandırma yedeği ve ağ şeması teslim edilir.
7. Sürekli yönetim: Talebe göre firmware güncellemeleri, kural değişiklikleri, log ve alarm takibi, periyodik kural gözden geçirmesi sürdürülür.

Firewall hizmet kapsamı

Yeni nesil firewall (NGFW) kurulumu ve yapılandırma

Kurumun ölçeğine ve bütçesine uygun platform seçilir. Fortinet, Sophos, Palo Alto, Check Point gibi yaygın ticari çözümler ya da yerli üreticilerin ürünleri, ihtiyaca göre değerlendirdiğimiz seçenekler arasındadır; tek bir markaya bağlı kalmadan kuruma uygun olan önerilir. Mevcut bir cihazınız varsa önce onun doğru yapılandırılıp yapılandırılmadığına bakarız; çoğu zaman yeni donanım almadan ciddi iyileştirme mümkündür.

IPS, web filtreleme ve şifreli trafik incelemesi

Saldırı önleme (IPS) imzaları, uygulama kontrolü, kategori bazlı web filtreleme ve antivirüs/sandbox servisleri kurumun kullanım profiline göre ayarlanır. Trafiğin büyük kısmı artık HTTPS olduğu için SSL/TLS incelemesi olmadan bu servisler kör kalır. İnceleme kurgusunda bankacılık, sağlık gibi hassas kategoriler istisna tutulur; sertifika dağıtımı ve kullanıcı bilgilendirmesi planlanır.

5651 uyumlu log yönetimi

5651 sayılı Kanun ve ilgili yönetmelikler, toplu kullanım sağlayıcılarına iç IP dağıtım kayıtlarını ve erişim loglarını mevzuatta öngörülen süre boyunca, bütünlüğü doğrulanabilir şekilde saklama yükümlülüğü getirir. Biz DHCP, kullanıcı kimliği ve erişim loglarını bir araya getirip zaman damgası ve hash ile imzalanan, gerektiğinde hızlıca sorgulanabilen bir yapı kurarız. Kayıt saklama süresi ve kapsamı için kurumunuzun hukuk birimiyle teyit yapılmasını öneririz; teknik altyapıyı buna göre boyutlandırırız.

Yüksek erişilebilirlik (HA) ve VPN kurgusu

Firewall arızalandığında bütün kurumun internetsiz kalmaması için iki cihazlı aktif-pasif ya da aktif-aktif HA yapısı kurulabilir. Birden fazla internet hattı varsa yük dengeleme ve otomatik hat yedeklemesi yapılandırılır. Şubeler için site-to-site IPsec VPN, uzaktan çalışanlar için iki faktörlü kimlik doğrulamalı SSL VPN / uzaktan erişim VPN kurulur.

Kural hijyeni ve periyodik gözden geçirme

Kullanılmayan, gölgede kalan (shadowed) ya da "any-any" gibi fazla geniş kurallar tespit edilir ve temizlenir. Her kural için kim istedi, ne zaman, neden sorularının cevabı kayıt altına alınır. Bu çalışma hem güvenliği artırır hem de denetimlerde işinizi kolaylaştırır.

Ağ bölümlendirme ve kullanıcı bazlı erişim

Fidye yazılımı saldırılarında en büyük hasar, saldırganın ilk ele geçirdiği bilgisayardan ağın geri kalanına serbestçe yayılabilmesinden doğar. Bu nedenle firewall'u yalnızca internet kapısında değil, iç ağ bölümleri arasında da konumlandırıyoruz: muhasebe, üretim, misafir, kamera ve sunucu ağları birbirinden ayrılır; aralarında yalnızca gerçekten gereken trafiğe izin verilir. Active Directory ya da benzeri bir dizin hizmeti varsa kurallar IP adresi yerine kullanıcı ve grup bazında yazılır. Böylece "muhasebe ekibi ERP sunucusuna erişsin, diğerleri erişmesin" gibi kurallar okunur ve denetlenebilir hale gelir.

İzleme, güncelleme ve olay desteği

Firmware ve imza güncellemeleri planlı bakım pencerelerinde yapılır. Kritik alarmlar, lisans bitiş tarihleri ve kaynak kullanımı takip edilir. Bir güvenlik olayında logların incelenmesi ve gerekli engellemelerin yapılması için destek verilir.

Firewall tek başına yeterli mi?

Hayır, ve bunu açıkça söylemek gerekiyor. Firewall ağ güvenliğinin temel taşıdır ama tek katman değildir. Uç nokta koruması (antivirüs/EDR), güncel tutulan işletim sistemleri, güçlü parola ve iki faktörlü kimlik doğrulama, düzenli ve ağdan ayrı tutulan yedekler ve personel farkındalığı birlikte çalıştığında anlamlı bir koruma elde edilir. Saldırıların önemli bir kısmı bir kullanıcının tıkladığı bağlantıyla başlar; firewall bu bağlantının zararlı bir siteye gitmesini engelleyebilir ama her senaryoyu tek başına durduramaz. Bu yüzden firewall projelerinde yedekleme ve kurtarma planınızı da sorarız; gerekiyorsa birlikte ele alırız.

Kimler için? Sektörlere göre firewall senaryoları

• Eğitim kurumları ve yurtlar: Öğrenci ve misafir ağının ayrılması, içerik filtreleme, 5651 kayıtları. Üniversiteler için üniversite yönetim sistemleri projelerimizle birlikte altyapı tarafı da ele alınabilir.
• Sağlık kuruluşları: Tıbbi cihaz ağlarının izole edilmesi, hasta verisine erişimin sınırlandırılması, KVKK açısından erişim kayıtları.
• Üretim ve lojistik: Ofis ağı ile üretim (OT) ağının bölümlendirilmesi, depo ve fabrika bağlantıları için VPN.
• Otel, kafe ve AVM gibi misafir interneti sunan işletmeler: Misafir ağı, bant genişliği sınırlama ve yasal log tutma.
• Çok şubeli perakende ve hizmet firmaları: Merkezi politika yönetimi, şubeler arası VPN ve hat yedekliliği.

Firewall seçerken ve hizmet alırken nelere dikkat edilmeli?

Firewall kararı yalnızca marka ve fiyat karşılaştırması değildir. Değerlendirirken şu soruları sorun:

• Teklif edilen modelin IPS ve SSL incelemesi açıkken verdiği hız, sizin internet hattınızı ve büyüme planınızı karşılıyor mu?
• Güvenlik servisleri (IPS, web filtre, antivirüs) lisansa dahil mi, yıllık yenileme kalemleri net mi?
• 5651 loglaması cihazın üzerinde mi tutulacak, ayrı bir log sunucusunda mı? Saklama alanı yeterli mi?
• Kurulumdan sonra kural değişikliği, güncelleme ve arıza desteği kimde olacak?
• Yapılandırma ve ağ şeması size teslim edilecek mi, yoksa bilgi tek kişide mi kalacak?

Pratikte üç farklı model görüyoruz. Aşağıdaki tablo bunları karşılaştırıyor:

Kurum içi ekibiniz varsa bu modeller birbirini dışlamaz: biz kurulumu ve periyodik denetimi üstlenirken günlük işleri ekibiniz yürütebilir. Ekibinizin cihazı kendisinin yönetebilmesi için firewall ve yazılım eğitimlerimiz de var. Ürün seçimine dair ayrıntılı kriterler için doğru güvenlik duvarı nasıl seçilir? yazımızı okuyabilirsiniz.

Firewall kurulum fiyatı nasıl belirlenir?

Sabit bir paket fiyatı vermiyoruz, çünkü maliyeti belirleyen kalemler kurumdan kuruma çok değişir. Teklifte belirleyici olan başlıca unsurlar:

• Kullanıcı ve cihaz sayısı, internet hattı hızı ve sayısı,
• Seçilen platform, donanım modeli ve güvenlik servis lisanslarının süresi,
• Şube sayısı, VPN kullanıcı sayısı ve HA ihtiyacı,
• 5651 log saklama kapsamı ve depolama ihtiyacı,
• Mevcut kuralların taşınması ve temizlenmesi gibi geçiş işleri,
• Kurulum sonrası yönetimin kapsamı: yalnızca destek mi, düzenli izleme ve raporlama mı?

Mevcut cihazınızı değerlendirip "yenisini almak mı, var olanı düzeltmek mi" sorusuna dürüst bir cevap vermek, sürecin ilk adımıdır.

Neden ASRİ TECH?

• Markadan bağımsız öneri: Kurumunuza uygun platformu seçeriz; elinizdeki cihaz yeterliyse yenisini önermeyiz.
• Kurulumdan sonra da yanınızdayız: Firewall'u kurup çıkmıyor, kural değişikliklerinde ve güncellemelerde sürekli muhatap oluyoruz.
• Altyapının bütününe bakıyoruz: Firewall'u sunucu hizmetleri, felaket kurtarma ve yedekleme ve zayıf akım ve kablolama projeleriyle birlikte tasarlayabiliyoruz.
• Dokümantasyon sizde kalır: Yapılandırma yedekleri, ağ şeması ve kural açıklamaları kuruma teslim edilir.
• Tek muhatap: Ağ, sunucu, yazılım ve eğitim tarafında aynı ekiple çalışırsınız.

Ağınızı birlikte değerlendirmek için firewall hizmeti için teklif isteyin; mevcut yapınızı inceleyip size uygun yol haritasını çıkaralım.