Firewall'da HTTPS (SSL) denetimi gerekir mi? Faydaları, sorunları ve gizlilik

Bugün web trafiğinin büyük çoğunluğu HTTPS ile şifrelidir. Bu, kullanıcıların gizliliği için iyidir; ancak firewall'un zararlı bir dosyayı veya oltalama sayfasının içeriğini görmesini de zorlaştırır. Bazı firewall'lar bu sorunu HTTPS (SSL) denetimi ile çözer. Peki her işyerinde açılmalı mı?

Nasıl çalışır?

HTTPS denetiminde firewall, kullanıcı ile web sitesi arasına girer. Kullanıcının bilgisayarı firewall ile şifreli konuşur, firewall da siteyle ayrı bir şifreli bağlantı kurar. Arada trafiği açıp inceleyebilir. Bunun çalışması için firewall'un sertifikasının şirket bilgisayarlarına güvenilir olarak yüklenmesi gerekir.

Faydaları

• Şifreli bağlantılarla indirilen zararlı dosyaların taranması.
• Meşru bir sitede barındırılan oltalama sayfalarının tespiti.
• Daha ayrıntılı web filtreleme ve uygulama kontrolü.
• Veri sızıntısı önleme kurallarının uygulanabilmesi.

Sorunları

• Sertifika dağıtımı: Tüm şirket cihazlarına firewall sertifikası yüklenmelidir. Domain ortamında grup ilkesiyle yapılabilir; misafir ve kişisel cihazlarda uygulanmamalıdır.
• Uyumsuz uygulamalar: Bazı uygulamalar, güncelleme servisleri ve mobil uygulamalar araya girilmesini kabul etmez; istisna tanımlamak gerekir.
• Performans: Şifre çözme ve yeniden şifreleme ciddi işlem gücü ister. Firewall'un bu özellik açıkken sunduğu hız, nominal hızından düşüktür.

Gizlilik ve istisnalar

HTTPS denetimi, çalışanların web trafiğinin içeriğine erişim anlamına gelebilir. Bu yüzden internet bankacılığı, sağlık hizmetleri ve devlet portalları gibi hassas kategoriler genellikle denetimden muaf tutulur. Denetimin amacı, kapsamı ve hangi kategorilerin hariç tutulduğu yazılı bir politikada belirtilmeli ve çalışanlar bilgilendirilmelidir. Kişisel verilerin korunması açısından da bu bilgilendirme ve orantılılık önemlidir; uygulamadan önce hukuki görüş almak doğru olur.

Kimler için uygun?

Hassas veri işleyen, düzenleyici gereksinimleri olan veya yüksek risk altındaki işletmeler için HTTPS denetimi önemli bir katmandır. Küçük ofislerde ise DNS filtreleme, güncel uç nokta koruması ve e-posta güvenliği çoğu zaman daha basit ve dengeli bir başlangıçtır. Web filtrelemenin genel çerçevesi için işyerinde web filtreleme yazımıza bakabilirsiniz.

Sur Bilgisayar olarak firewall yapılandırmasında HTTPS denetiminin gerekli olup olmadığını işletmenizle birlikte değerlendiriyor, gerekiyorsa istisnalarıyla birlikte kuruyoruz. Ayrıntılar için network güvenliği sayfamıza bakabilirsiniz.