Güvenlik Duvarı (Firewall) Nasıl Çalışır?

Firewall'un karar verdiği bilgiler: kaynak, hedef, port ve protokol

Ağ üzerinden gönderilen veriler paketler hâlinde taşınır. Güvenlik duvarı, uyguladığı kurala bağlı olarak bu paketlerin veya bağlantı isteklerinin bazı özelliklerini inceler. En temel özellikler şunlardır:

• Kaynak adresi: İsteğin hangi cihazdan ya da ağ adresinden geldiğini gösterir.
• Hedef adresi: İsteğin hangi cihaz veya hizmete yöneldiğini belirtir.
• Port numarası: Bir cihazdaki belirli ağ hizmetinin mantıksal giriş noktasıdır. Portu 'dijital kapı' olarak düşünebilirsiniz; ancak portun kendisi bir uygulama değildir, uygulamaların ağ iletişimini ayırt etmeye yarayan bir numaralandırma alanıdır.
• Protokol: İletişimin hangi kurallarla yapıldığını ifade eder. TCP ve UDP, firewall kurallarında sık karşılaşılan protokollerdir.
• Yön: Trafiğin dış ağdan cihaza mı, cihazdan dış ağa mı ilerlediği de kararın parçası olabilir.

Bir kural bu ölçütlerden birini veya birkaçını birlikte kullanabilir. Örneğin belirli bir kaynaktan gelen trafiği reddetmek, belirli bir port üzerinden gelen bağlantıyı sınırlandırmak ya da yalnızca belirli bir uygulamanın dışarıya bağlanmasına izin vermek mümkündür. Son karar genellikle izin verme, reddetme veya trafiği sessizce düşürme biçiminde ortaya çıkar. 'Engellendi' ifadesi her zaman aynı tekniği anlatmaz: reddetmede karşı tarafa yanıt verilebilir, düşürmede ise bağlantı isteği yanıtlanmadan bırakılabilir.

Buradaki önemli sınır şudur: Bir firewall'un neyi denetleyebileceği kullandığı teknolojiye, yapılandırmasına ve ağın konumuna bağlıdır. Yalnızca adres ve port bilgisine göre çalışan temel bir filtre, iletilen dosyanın gerçekten zararlı olup olmadığını tek başına anlayamayabilir.

Gelen trafik ile giden trafik neden ayrı değerlendirilir?

Güvenlik duvarı yalnızca dışarıdan gelen bağlantıları değil, cihazdan dışarıya başlatılan bağlantıları da kontrol edebilir. Bu ayrım güvenlik açısından önemlidir. Gelen trafik için amaç, dış ağdaki bir cihazın içerideki hizmete izinsiz erişmesini sınırlamaktır. Giden trafik içinse bir uygulamanın veya cihazın hangi dış hizmetlerle iletişim kurabileceği denetlenir.

Örneğin kişisel bilgisayarda bir yazıcının yerel ağ üzerinden erişilebilir olması gerekirken internetten erişilebilir olması istenmeyebilir. Bu durumda yerel ağdan gelen belirli bağlantılara izin verilip dış ağlardan gelen benzer isteklere izin verilmeyebilir. Aynı port numarasının farklı ağ konumlarında farklı risk anlamına gelebileceği için yalnızca 'port açık mı?' sorusu yeterli değildir; kaynağın neresi olduğu da değerlendirilmelidir.

Giden trafik kuralları da yararlıdır. Bir uygulamanın internete erişmesine gerek yoksa bu erişim sınırlandırılabilir. Böyle bir kural, cihazda çalışan şüpheli bir yazılımın dışarıyla iletişim kurmasını zorlaştırabilir; fakat bu, yazılımın cihazdan kaldırıldığı veya tüm faaliyetlerinin saptandığı anlamına gelmez.

Güvenlik duvarı kuralları uygulanırken kural sırası ve varsayılan davranış da önemlidir. Aynı bağlantı bir kuralda izinli, başka bir kuralda yasaklanmışsa sistemin hangi kuralı önce değerlendirdiği sonucu etkileyebilir. Bu nedenle kural eklemek kadar kuralların birbiriyle çakışıp çakışmadığını ve izin verilmemiş trafiğin varsayılan olarak nasıl ele alındığını kontrol etmek gerekir.

Cihazdaki firewall ile ağ geçidindeki firewall arasındaki fark

Yazılımsal güvenlik duvarı doğrudan bilgisayarda veya başka bir uç cihazda çalışır. Bu konum sayesinde cihazdaki uygulamaların ağ bağlantılarını ayrı ayrı denetleme imkânı sağlayabilir. Örneğin bir programın dışarıya bağlantı kurmasına izin verilirken başka bir programın bağlantısı engellenebilir. Ancak bu koruma, ilgili cihazın çalışmasına ve güvenlik duvarının etkin yapılandırılmasına bağlıdır.

Donanımsal veya ağ geçidinde çalışan firewall ise internet ile yerel ağ arasındaki geçiş noktasında bulunur. Ev yönlendiricilerinde ve kurum ağlarında bu yaklaşım, aynı ağdaki birden fazla cihazın trafiğine ortak kurallar uygulanmasını sağlayabilir. Böylece dış ağdan iç ağa yönelen bağlantılar, tek tek her bilgisayarda değil ağın giriş noktasında da denetlenebilir.

İki yaklaşım birbirinin tam alternatifi değildir. Ağ geçidi düzeyindeki kontrol, iç ağdaki cihazları ortak bir sınırda korumaya yardımcı olur; cihaz üzerindeki kontrol ise belirli uygulamanın veya bilgisayarın davranışını daha yakından inceleyebilir. Bununla birlikte ağ içindeki cihazlar arasındaki trafik, yalnızca internet geçişini denetleyen bir ağ geçidi tarafından görülmeyebilir. Bu nedenle 'ağda firewall var' demek, her cihazdaki her bağlantının denetlendiği anlamına gelmez.

Kurumsal çözümlerde daha karmaşık politika ve izleme özellikleri bulunabilir; fakat hangi özelliğin mevcut olduğu kullanılan ürüne ve yapılandırmaya göre değişir. Kaynakta belirtilmeyen bir ürün için belirli bir gelişmiş özelliği varmış gibi kabul etmemek gerekir.

Güvenlik duvarı hangi saldırıları tek başına çözemez?

Firewall önemli bir savunma katmanıdır, fakat kapsamı ağ iletişiminin kontrolüyle sınırlıdır. Kullanıcı sahte bir e-postadaki bağlantıya tıklayıp parolasını saldırgana verirse sorun, izin verilen bir web bağlantısı üzerinden gerçekleşebilir. Bu durumda güvenlik duvarı bağlantının ağ düzeyindeki akışını engellemeyebilir; çünkü bağlantı biçimsel olarak izin verilen bir hizmete yöneliyor olabilir. Bu tehdit türünü anlamak için Oltalama (Phishing) Nedir? içeriğine bakılabilir.

Benzer biçimde firewall, cihaza daha önce kurulmuş bir zararlı yazılımın tüm davranışlarını otomatik olarak ortadan kaldırmaz. Bir virüs veya başka bir Zararlı Yazılım (Malware) Nedir? örneği, izin verilen bir bağlantıyı kullanabilir. Fidye yazılımı gibi tehditlerde dosyaların şifrelenmesi cihaz içinde gerçekleşebileceğinden, yalnızca ağ trafiğini filtrelemek yeterli olmayabilir. Bu nedenle Fidye Yazılımı (Ransomware) Nedir? ve uç nokta güvenliği gibi konular ayrıca ele alınmalıdır.

Firewall ayrıca zayıf parola, güncel olmayan yazılım, yetkisiz kullanıcıya verilmiş hesap erişimi veya yanlış yapılandırılmış paylaşım izinlerini tek başına düzeltmez. Koruma; güvenlik duvarı, güncellemeler, kötü amaçlı yazılım önleme araçları, yedekleme, çok faktörlü kimlik doğrulama ve kullanıcı farkındalığının birlikte değerlendirilmesini gerektirir. Bu bütün, Siber Güvenlik Nedir? sorusunun daha geniş çerçevesini oluşturur.

Dolayısıyla 'firewall açık olduğu için güvendeyim' sonucu çıkarılamaz. Daha doğru yorum şudur: Firewall, belirli ağ bağlantılarını belirli kurallara göre azaltır; diğer güvenlik açıkları için ek önlemler gerekir.

Çözümlü örnek: port ve trafik yönüne göre karar verme

Verilenler:

• Bir dizüstü bilgisayar internete bağlıdır.
• Güvenlik duvarında, dış ağdan bilgisayara gelen belirli bir hizmet bağlantısına izin verilmemiştir.
• Aynı bilgisayarın web erişimi için dışarıya bağlantı kurmasına izin veren bir kural bulunmaktadır.
• Saldırgan, izin verilmeyen hizmet portu üzerinden bilgisayara bağlantı başlatmayı denemektedir.

Çözüm adımları:

1. Önce trafiğin yönünü belirleriz: İstek dış ağdan bilgisayara geldiği için bu gelen trafiktir.
2. Kaynak ve hedef değerlendirilir: Kaynak dış ağdaki cihaz, hedef ise dizüstü bilgisayardır.
3. Kullanılan hizmet ve port, izin verilmeyen bağlantı kuralıyla eşleştirilir.
4. Kural bu bağlantıya izin vermediği için firewall isteği reddeder veya yapılandırmasına göre sessizce düşürür.
5. Bilgisayarın dışarıya web bağlantısı için izinli olması bu sonucu değiştirmez; gelen ve giden yönler ayrı kurallara tabi olabilir.

Sonuç: Saldırganın söz konusu hizmet üzerinden başlattığı bağlantı, ilgili kural nedeniyle kurulamaz. Ancak bu örnek yalnızca ağ bağlantısının engellendiğini gösterir; bilgisayarda zaten bulunan zararlı yazılımın kaldırıldığını veya tüm saldırı yöntemlerinin engellendiğini göstermez.

Çözümlü örnek: giden bağlantıyı sınırlamanın anlamı

Verilenler:

• Bir bilgisayarda kullanılan bir uygulamanın internete bağlanması gerekmemektedir.
• Güvenlik duvarı, bu uygulamadan dış ağa giden bağlantıları engelleyecek şekilde yapılandırılmıştır.
• Kullanıcı aynı bilgisayardaki web tarayıcısıyla internete erişmeye devam etmektedir.

Çözüm adımları:

1. İstek bu kez bilgisayardan dış ağa yöneldiği için giden trafik olarak sınıflandırılır.
2. Firewall, bağlantıyı yalnızca port numarasına göre değil, destekliyorsa uygulama bilgisine göre de değerlendirebilir.
3. Kural uygulamayla eşleşiyorsa bu uygulamanın dışarıyla iletişimi engellenir.
4. Tarayıcı için ayrı bir izin bulunduğundan tarayıcının bağlantıları bu kuraldan etkilenmeyebilir.

Sonuç: Bir cihaz internete bağlı kalırken tek bir uygulamanın dış erişimi sınırlandırılabilir. Bu yaklaşım, gereksiz ağ erişimini azaltır; fakat uygulamanın güvenli olduğunu kanıtlamaz ve uygulama içindeki yerel işlemleri durdurmaz.

Sık yapılan hatalar ve karıştırılan kavramlar

1. Firewall'u antivirüs sanmak: Güvenlik duvarı temel olarak ağ trafiğini denetler. Antivirüs veya kötü amaçlı yazılım önleme aracıyla aynı görevde değildir. Bazı güvenlik ürünleri birden fazla özelliği birlikte sunsa da kavramsal görevleri ayırmak gerekir.

2. Portu virüs zannetmek: Port, bir ağ hizmetine erişimin ayırt edilmesinde kullanılan mantıksal giriş noktasıdır; tek başına zararlı değildir. Risk, port üzerinden hangi hizmetin, kim tarafından ve hangi koşulda erişilebilir olduğuyla değerlendirilir.

3. Her kapalı portun cihazı tamamen güvenli kıldığını düşünmek: Firewall bazı bağlantıları kısıtlayabilir; ancak oltalama, zayıf parola, kullanıcı hatası ve cihaz içindeki zararlı işlemler başka yollarla sorun oluşturabilir.

4. Yalnızca gelen trafiğe bakmak: Bir uygulamanın dışarıya kurduğu bağlantılar da veri sızdırma veya komuta bağlantısı gibi riskler açısından önem taşıyabilir. Giden kuralların gereksiz biçimde tamamen serbest bırakılması her ortam için uygun olmayabilir.

5. Firewall'u sorun çözmek için kapatmak: Bir uygulama çalışmadığında güvenlik duvarını tamamen devre dışı bırakmak yerine önce hangi bağlantının engellendiği, uygulamanın gerçekten o bağlantıya ihtiyaç duyup duymadığı ve daha dar bir izin kuralı oluşturulup oluşturulamayacağı incelenmelidir. Geçici test yapılacaksa süre ve kapsam açıkça sınırlandırılmalıdır.

6. Ağdaki tek firewall'un tüm cihazları koruduğunu düşünmek: Ağ geçidi dış internet trafiğini denetleyebilir; fakat cihazlar arası yerel iletişim ve cihaz içindeki uygulama davranışları ayrıca kontrol gerektirebilir.

7. İzin verilen bağlantıyı güvenli içerikle karıştırmak: Firewall bir bağlantının adres, port veya politika açısından uygun olduğuna karar verebilir. Bu karar, bağlantı üzerinden taşınan her dosyanın veya her mesajın güvenilir olduğu anlamına gelmez.