Firewall Nedir? Nasıl Çalışır, Neden Önemlidir ve Kurulumunuz İçin Hangi Tür Uygun?

Firewallların Neden Önemli Olduğu

Eğer bir Windows veya macOS isteminde “Erişime İzin Ver” seçeneğine tıkladıysanız, bir VPS üzerinde SSH açtıysanız veya bir bulut veritabanının herkese açık olmadığından emin olduysa, zaten firewall kararları almışsınız demektir. Çoğu insan bunu parça parça yapar. Ayarın önemli olduğunu bilirler, ama gerçekten hangi sınırı koruduklarını bilmezler.

Firewallların hala önemli olmasının nedeni budur. Bunlar sadece bir veri merkezi rafında bulunan kurumsal donanım değildir. Dizüstü bilgisayarlarda, ev yönlendiricilerinde, VPS örneklerinde, bulut panolarında ve genel web sitelerinde görünürler. Bunları gizemli güvenlik ürünleri yerine sınır kontrolleri olarak gördüğünüzde, konu çalışması çok daha kolay hale gelir.

Bu rehber size daha basit bir zihinsel model sunmaktadır. Firewall’ın ne olduğunu, firewall’ların nasıl çalıştığını, firewall’ların ana türlerini ve bir cihaz, sunucu, bulut iş yükü veya web sitesi için doğru olanı seçmeyi ele alacağız. Bu, kurumsal cihazlara veya tam güvenlik mimarisine derin bir dalış değildir. Bu, doğru sınırda doğru kontrolü seçmek için pratik bir çerçevedir.

Başlamadan Önce Hızlı Anahtar Kelimeler

Bu makaleyi takip etmek için ağ sertifikasına ihtiyacınız yok. Sadece açıklamanın geri kalanının kısaltma çorbasına dönüşmesini önleyecek küçük bir terim setine ihtiyacınız var.

Bir Firewall Gerçekte Nedir — ve Nedir Değildir

Temel olarak, bir firewall, birbirini eşit düzeyde güvenmeyen sistemler, ağlar veya uygulama sınırları arasındaki ağ trafiğini kontrol eden bir cihaz veya yazılım programıdır. Kulağa resmi gelse de, pratik versiyonu basittir: bir firewall, hangi trafiğin geçebileceğine karar veren bir kontrol noktasıdır. Bir dizüstü bilgisayarda, bir Linux sunucusunda, bir yönlendiricide, bir bulut kontrol düzleminde veya bir web sitesinin önünde yaşayabilir. Sadece fiziksel bir kutu olmak zorunda değildir.

Buradaki en yararlı analoji bina güvenliğidir. Bir ağ firewall’ı, mülke ulaşan her şeyi kontrol eden ön kapıdır. Bir ana bilgisayar tabanlı firewall, belirli bir bina için lobi masasıdır ve o sunucuya veya dizüstü bilgisayara kimin gireceğine karar verir. Bir WAF, bina içindeki odaya özel bir kontrol noktasıdır ve yalnızca bir web’e açık alana girmeye çalışan ziyaretçileri inceler. Aynı genel fikir, farklı sınır.

Bir firewall’ın işi amaçlı olarak dar kapsamlıdır. Kurallar temelinde trafiğin geçmesine izin verilip verilmeyeceğine karar verir. Bu, maruziyeti azaltabilir, farklı risk seviyelerine sahip sistemleri ayırabilir ve bir şeyler ters gittiğinde hasarı sınırlamaya yardımcı olabilir. Otomatik olarak enfekte dosyaları temizlemez, zayıf şifreleri düzeltmez, savunmasız yazılımı yamalamaz veya güvensiz bir uygulamayı güvenli hale getirmez. Bütün yığının değil, savunma derinliği kurulumunda bir katmandır.

📝 Not: Bir firewall, antivirus, VPN veya tam bir güvenlik yığını değildir. Antivirus kötü amaçlı dosyaları veya davranışları arar, VPN uç noktalar arasında şifreli bir yol oluşturur ve firewall, bir sınır boyunca hangi trafiğe izin verildiğine karar verir.

Bu ayrım önemlidir çünkü firewall kafa karışıklığı genellikle insanlar bir etiketi birkaç farklı iş için kullandığında başlar. Antivirus yüklerseniz, yine de trafik kontrollerine ihtiyacınız vardır. Bir VPN kullanırsanız, yine de hangi hizmetlerin erişilebilir olduğu konusunda kurallara ihtiyacınız vardır. Güvenlik özellikleri içeren bir barındırma planı satın alırsanız, yine de her özelliğin hangi sınırı koruduğunu bilmeniz gerekir. Firewall, trafik kontrol noktasıdır. Bu netlik, kategorinin geri kalanını değerlendirmeyi çok daha kolay hale getirir.

Güvenlik Duvarları Yüksek Düzeyde Nasıl Çalışır

Güvenlik duvarları, trafiği kurallara karşı karşılaştırarak çalışır. Bu kurallar yaygın olarak beş pratik şeye bakar: kaynak, hedef, yön, protokol ve port. Başka bir deyişle, trafik nereden geliyor, nereye gidiyor, gelen mi yoksa giden mi, ne tür bir ağ konuşması olduğu ve hangi hizmete ulaşmaya çalıştığı.

Basit bir VPS örneğini ele alalım. SSH’ye yalnızca güvenilir bir yönetici IP’sinden izin verebilir, HTTP ve HTTPS’ye halkın interneti’nden izin verebilirsiniz çünkü site herkese açık olması amaçlanmıştır ve veritabanı portunu tamamen halka kapalı tutabilirsiniz. Bu kuralların hiçbiri soyut güvenlik tiyatrosu değildir. Her biri çok sıradan bir soruyu yanıtlar: bu hizmete kimler ulaşabilmeli ve kimler ulaşmamalı?

Birçok güvenlik duvarı durum bilgilidir, yani zaten izin verdikleri bir konuşmayı hatırlarlar. Sunucunuz bir istemciye meşru bir yanıt geri gönderirse, güvenlik duvarı birçok ortamda her yanıt için ayrı bir “ters trafik” kuralı yazmanızı gerektirmez. Bu, güvenlik duvarının her uygulamayı derinlemesine anladığı anlamına gelmez. Bu, bağlantı durumunu normal iki yönlü trafiği makul bir şekilde işleyecek kadar iyi takip ettiği anlamına gelir.

📝 Not: “Varsayılan olarak reddet”, gerekli olanı izin ver, her şeyi bozma anlamına gelir. Fikir, varsayılan olarak engellemek, ardından bir hizmetin gerçekten gerektirdiği belirli trafiği açmaktır.

Bu varsayılan reddet zihniyeti, güvenlik duvarlarının gerçekten yararlı hale geldiği yerdir. Her şeyi açığa çıkarmak ve hiçbir hassas şeyin dinlemediğini umarak, kapalı başlarsınız ve yalnızca gerçek bir amaca hizmet eden kapıları açarsınız. Bu, saldırı yüzeyini azaltır ve istenmeyen açığa çıkarmayı azaltır. Ayrıca birçok okuyucunun beklediğinden daha fazla giden trafiğe de uygulanır. Güvenlik duvarları yalnızca gelen internet trafiğini durdurmak için değildir. Ayrıca, tehlikeye atılmış bir cihazın, betiğin veya sunucunun çıkış yolunda ulaşmasına izin verilen şeyleri kısıtlayabilirler.

Gerçek Hayatta Neden Bir Firewall’a İhtiyacınız Var

Değerin en kolay görüldüğü yer, genel Wi-Fi’da kişisel bir cihazdır. Dizüstü bilgisayarınız aynı ağdaki yabancılardan rastgele gelen bağlantılara ihtiyaç duymaz. Ana bilgisayar tabanlı bir firewall, dosya paylaşımı, geliştirme araçları veya unutulmuş hizmetlerin yanlış bir yere bağlandığınız için tesadüfen erişilebilir olmasını önlemeye yardımcı olur.

Şimdi bir web sitesi çalıştıran tek bir VPS’ye geçin. Sunucu muhtemelen HTTP veya HTTPS için genel bir yola ihtiyaç duyar ve yönetim için SSH’ye ihtiyaç duyabilir. Makine çevrimiçi olduğu için diğer her hizmetin açığa çıkarılmasına ihtiyacı yoktur. Bir firewall, çok spesifik bir şekilde “bu sunucu web trafiği ve kontrollü yönetici erişimi için — başka hiçbir şey için değil” demenize yardımcı olur.

Veritabanı örneği daha da önemlidir çünkü çok yaygındır. Bir veritabanı genellikle genel internet’i değil, bir uygulamaya hizmet etmek için vardır. Uygulama sunucusu onunla konuşması gereken tek sistem ise, firewall bu gerçeği yansıtmalıdır. Veritabanı bağlantı noktalarını dünyaya kapatmak ileri sürü sertleştirme değildir. Bu temel sınır hijyenidir.

Aynı ilke işletme ağları ve bulut ortamlarına ölçeklendirilir. Aynı şirket veya VPC içinde oturduğu için her sistem diğer her sistemle serbestçe konuşabilmelidir. Trafiği segmentlere ayırmak, bir makine yanlış yapılandırılmış veya tehlikeye atılmışsa gereksiz yanal hareketi sınırlamaya yardımcı olur. Bu, tüm bu ortamlarda bir firewall’ın gerçek hayattaki faydası: daha küçük saldırı yüzeyi, daha az tesadüfi açıklama ve kurulumun bir parçası kötü bir gün geçirdiğinde daha iyi kapsama.

Güvenlik Duvarlarının Ana Türleri

Ana güvenlik duvarı kategorileri, bunları pazarlama etiketi ile sıralamayı bırakıp nerede konumlandıklarına göre sıralamaya başladığınızda daha kolay anlaşılır. Farklı güvenlik duvarı türleri çoğunlukla bir sorunun farklı cevaplarıdır: bu trafik hangi sınırda kontrol ediliyor?

Bir ana bilgisayar tabanlı güvenlik duvarı doğrudan koruduğunuz cihaz veya sunucu üzerinde çalışır. Windows’ta bu, Windows Defender Firewall olabilir. Linux’ta, netfilter/nftables üzerinde UFW olabilir. Bu, dizüstü bilgisayarlar, VPS örnekleri ve özel sunucular için genellikle ilk yararlı katmandır çünkü gerçek ana bilgisayara en yakın kontroldür.

Bir ağ veya çevre güvenlik duvarı ağlar arasında yer alır. Bu, bir ev veya ofis yönlendiricisi, özel bir cihaz veya ağ segmentleri arasında sanal bir ağ geçidi olabilir. İşi, ana bilgisayar tabanlı güvenlik duvarının işinden daha geniştir çünkü yalnızca bir makineye gelen trafiği değil, ağlara giren, çıkan veya ağlar arasında hareket eden trafiği kontrol eder.

Bir bulut güvenlik duvarı, bulut kaynakları etrafındaki sınır kontrolünün sanal versiyonudur. Sağlayıcılar farklı adlar kullanırlar — AWS güvenlik grupları, Google Cloud VPC güvenlik duvarı kuralları, Azure NSG’ler — ancak okuyucu tarafından görülen fikir aynıdır: bunlar iş yükleri, arabirimler, alt ağlar veya ağlar etrafındaki bulut katmanı kurallarıdır. Ana akım bulut platformlarında, bu kontroller yaygın olarak durum bilgisi taşıyan niteliktedir, bu nedenle statik bir kontrol listesinden ziyade modern bir sanal güvenlik duvarı gibi hissettirirler.

Bir WAF veya web uygulaması güvenlik duvarı daha da dardır. Web siteleri ve API’ler için HTTP ve HTTPS isteklerini filtreler. Bu, özellikle URL’ler, başlıklar, istek desenleri veya yaygın web saldırısı davranışına dayalı kurallar istediğinizde genel web uygulamaları için yararlıdır. Ancak sınır, birçok insanın varsaydığından çok daha küçüktür.

⚠️ Uyarı: Bir WAF yalnızca web trafiğini korur. SSH, veritabanları, posta hizmetleri veya diğer web dışı trafiği korumaz ve ana bilgisayar veya ağ güvenlik duvarı kurallarının yerini almaz.

Yönetilen güvenlik duvarı veya yeni nesil güvenlik duvarı gibi terimler de göreceksiniz. Bunlar gerçek ürünleri ve hizmetleri tanımlayabilir, ancak bir başlangıç kullanıcısının kararı için en iyi başlangıç noktası değildir. Önce hangi sınırı korumanız gerektiğine karar verin. Ardından bu kontrolü bir ana bilgisayarda yazılım, ağ cihazı, bulut-yerel kural seti veya yönetilen hizmet olarak sunmak isteyip istemediğinize karar verin. Aşağıdaki tablo daha temiz bir haritadır.

Doğru Güvenlik Duvarını Seçmek İçin Basit Bir Zihinsel Model

Bir güvenlik duvarı seçmenin en kolay yolu, “En iyi güvenlik duvarı nedir?” sorusunu sormayı bırakmak ve “Aslında hangi sınırı koruyorum?” sorusunu sormaya başlamaktır. Uygulamada, çoğu karar dört sınırdan biriyle başlar: bir cihaz, bir host/sunucu, bir subnet veya VPC veya bir genel web uygulaması.

Ardından o sınırın ne kadar açık olduğunu sorun. İnternet’e açık mı, yalnızca dahili mi, yoksa yalnızca yönetici erişimi için mi tasarlanmış? Ağlar arasında hareket eden bir dizüstü bilgisayarın, özel bir veritabanından farklı bir maruz kalma deseni vardır. Genel bir web sitesi her yerden erişilebilir olması amaçlanmıştır, ancak yönetici SSH portu değildir. Maruz kalma sorusunu ne kadar net yanıtlarsanız, güvenlik duvarı seçimi o kadar belirgin hale gelir.

Üçüncü soru operasyoneldir: bu ortamı kim yönetir?

• Sunucuyu doğrudan yönetiyorsanız, host tabanlı bir güvenlik duvarı genellikle en yakın ilgili sınırdır.
• Bulut ağında iş yükleri dağıtıyorsanız, bulut güvenlik duvarı katmanı bu kaynaklar etrafında en temiz ilk kontrol olabilir.
• Trafiğin bundan sonra başka bir anlamlı sınırı geçerse — genel internetten uygulama katmanına veya uygulama katmanından veritabanı katmanına — bu, katmanlamayı mantıklı kılar.

Başka bir güvenlik duvarı katmanı ekleyin çünkü mimari başka bir kontrol noktası ekler, “daha fazla ürün” otomatik olarak daha iyi güvenlik anlamına geldiği için değil.

Sadece bir kuralı hatırlarsanız, bunu yapın: en yakın ilgili sınırla başlayın, ardından trafiğin başka bir önemli sınırı geçtiğinde katmanları ekleyin. Aşağıdaki hızlı tablo bunu yeniden kullanılabilir bir kısayola dönüştürür.

Hangi Firewall Hangi Kullanım Durumuna Uyar

İlk tablo nereden başlanacağını cevaplar. Sonraki tablo daha pratik bir soruyu cevaplar: ikinci bir firewall katmanı gerçekten yerini kazandığında? Çoğu kurulum hala açık bir ilk katmanla başlar, sonra mimari kendi başına kontrol etmeye değer ayrı bir yol veya katman oluşturduğunda başka bir katman ekler.

İki desen o tablodaki etiketlerden daha önemlidir. İlk katman genellikle varlığa en yakın olan katmandır, ikinci katman ise trafiğin kendi kurallarını hak eden başka bir katman veya güven sınırına geçtiğinde görünür.

Bu nedenle yeni bir VPS veya özel sunucu, bir sağlayıcıda (AlexHost gibi) yaşasa bile genellikle host tabanlı bir firewall ile başlar. Ana bilgisayar yine de SSH, web trafiği ve özel herhangi bir şey için açık yerel kurallar gerekir. Sağlayıcı tarafı veya bulut tarzı kontroller, maruziyeti daha da daraltırken dış bir katman olarak yararlıdır.

WAF satırı altyapı boyutundan daha çok uygulama türüne bağlıdır. Koruduğunuz şey gerçekten bir web sitesi veya API olduğunda ve HTTP/HTTPS’ye özgü filtrelemeye ihtiyaç duyduğunuzda yararlı hale gelir. Her kurulum bu ekstra katmana ihtiyaç duymaz. Çoğu ortam kurallar spesifik olduğunda daha güvenli hale gelir, diyagram karmaşık olduğunda değil.

Yaygın Güvenlik Duvarı Hataları

“Şimdilik” çok fazla şey açmak ve asla geri dönmemek en yaygın güvenlik duvarı hatasıdır. Geçici bir izin-tümü kuralı, açık bir test portu veya tüm internete maruz kalan bir yönetici hizmeti, orijinal neden ortadan kalktıktan çok sonra da kalabilir. Geniş geçici erişim genellikle kalıcı bir tehlike haline gelir.

⚠️ Uyarı: Geçici açık kurallar sıklıkla kalıcı risk haline gelir. Bir istisna gerekiyorsa, bunu dar tutun, neden var olduğunu belgeyin ve görev bittiğinde kaldırın.

İkinci hata, yanlış katmana her işi yaptırmaya güvenmektir.

• Bir yönlendirici, ana bilgisayar kurallarının gerekliliğini ortadan kaldırmaz.
• Bir bulut güvenlik grubu, yerel sertleştirmeyi anlamsız hale getirmez.
• Ve bir WAF, SSH, veritabanları veya web trafiğinin dışındaki başka bir şeyi korumaz.

Çoğu gerçek güvenlik duvarı hatası ileri düzey hatalar değildir. Bunlar sıradan kategori hataları.

Üçüncü hata kural kaymasıdır. Projeler değişir, portlar değişir, insanlar değişir ve “sadece bu geçiş için” değişiklikler herkesin itiraf ettiğinden daha uzun sürer. İyi güvenlik duvarı hijyeni, kurulum değiştiğinde kuralları yeniden gözden geçirmek, artık gerekli olmayan şeyleri kapatmak ve yönetici erişimini kaynak IP, VPN veya başka bir kontrollü yol ile spesifik tutmak anlamına gelir.

Güvenlik Duvarları Sınırlar, Sihirli Kalkanlar Değildir

Aynı fikir üç açılış örneğini birbirine bağlar. Laptop istemi, VPS SSH kuralı ve herkese açık web sitesi her biri aynı kararı zorunlu kılar: burada gerçekten neye ulaşılabilir olması gerekir ve neye ulaşılmamalıdır? Bir güvenlik duvarını sihirli bir güvenlik etiketi yerine bir trafik kontrol noktası olarak gördüğünüzde, cevaplar daha pratik ve çok daha az korkutucu hale gelir.

Güvenlik duvarı tüm güvenlik hikayesi değildir. Değeri disiplinli kapsamlandırmadadır: herkese açık hizmetler herkese açık kalır, yönetici erişimi dar kalır ve iç sistemler iç kalır. En iyi güvenlik duvarı, gerçekten yönetmeniz gereken maruziyete uygun olandır.