Güvenlik duvarı yapılandırması

Kısaca: Bir güvenlik duvarı yapılandırması, hangi ağ trafiğine izin verildiğini veya hangisinin engellendiğini tanımlayan kurallardan oluşur. Yön, protokol, port, adres ve varsayılan kural (izin verilmeyen her şeyi yasakla) belirleyicidir.

Biraz daha ayrıntılı: Güvenlik duvarı her paketi kural listesine göre sırayla denetler. Eşleşen ilk kural karar verir (izin ver, bırak, reddet). İyi bir yapılandırma özlüdür, anlaşılırdır ve en az ayrıcalık ilkesine uyar.

Ayrıntılı

Temel ilkeler:

• Varsayılan reddet (default deny): Gelen her şeyi engelleyin, yalnızca açıkça gerekeni açın. Giden trafiği ortama göre kısıtlayın.
• Durum izlemeli (stateful): Kendi başlattığınız bağlantıların yanıtlarına otomatik izin verilir.
• Sıra önemlidir: Özel kurallar genel kurallardan önce gelir. Son kural: “hepsini reddet”.
• Asgari: Her kuralın bir nedeni vardır, belgelenmiştir ve düzenli olarak gözden geçirilir.

Bir kuralın bileşenleri: Kaynak (IP/ağ), hedef, protokol (TCP/UDP/ICMP), port, yön, eylem, günlük kaydı.

Örnekler:

Windows Defender Güvenlik Duvarı (PowerShell):

New-NetFirewallRule -DisplayName "Allow HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow
Get-NetFirewallRule | Where Enabled -eq True

Linux (ufw):

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp          # SSH
sudo ufw allow from 192.168.1.0/24 to any port 3306   # MySQL yalnızca LAN'dan
sudo ufw enable
sudo ufw status verbose

Linux (nftables, alıntı):

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    tcp dport { 22, 443 } accept
  }
}

Tipik yapılandırma görevleri:

• İç sunucular için yönlendiricide port yönlendirme (NAT/DNAT).
• DMZ: Herkese açık sunucular ayrı bir ağda.
• Segmentasyon: Misafir, ofis ve sunucu ağlarını ayırmak.
• Coğrafya/itibar filtreleri, kaba kuvvete karşı hız sınırlama, uygulama denetimi.
• Günlük kaydı ve uyarılar, günlüklerin değerlendirilmesi.

Tipik hatalar:

• Fazla açık kurallar (“any any allow”).
• Kimsenin bilmediği eski kurallar.
• Gerekmediği halde internetten erişilebilen hizmetler (RDP 3389, veritabanları).
• Test yok: Değişikliklerden sonra dışarıdan nmap veya telnet host port ile denetleyin.
• Aygıt yazılımı güncellemesi olmayan güvenlik duvarı.
• Yalnızca güvenlik duvarına güvenmek. Yamaların, parolaların ve şifrelemenin yerini tutmaz.

Yöntem: Gereksinimleri toplayın → kuralları tasarlayın → test ortamında deneyin → yedek planla devreye alın → belgeleyin → düzenli gözden geçirin.

Ayrıca bak: Güvenlik duvarı (firewall), NAT (ağ adresi çevirisi), Web uygulaması güvenlik duvarı (WAF)