Ofiste internet çalışıyor, modem de "güvenlik duvarı açık" diyor; peki bu yeterli mi? KOBİ'ler için firewall konusu çoğu zaman bir olay yaşandıktan sonra gündeme gelir: şifrelenen dosyalar, yavaşlayan internet, misafir ağından yapılan şüpheli bir işlem için gelen resmi yazı. Bu yazıda modem ile gerçek bir güvenlik duvarı arasındaki farkı, UTM/NGFW cihazların sunduğu katmanları, 5651 sayılı kanunun log yükümlülüğünü ve cihaz seçerken nelere bakılacağını sade bir dille anlatıyoruz.
Modem/router neden yetmez?
Operatör modemleri NAT ve temel bir paket filtresiyle dışarıdan başlatılan bağlantıların çoğunu engeller. Bu, asgari bir korumadır; ancak şu soruların hiçbirine cevap vermez:
- İçerideki bir bilgisayar zararlı bir sunucuyla konuşuyor mu?
- Hangi kullanıcı hangi uygulamaya ne kadar bant genişliği harcıyor?
- Bilinen bir açığı istismar etmeye çalışan bir trafik var mı?
- Misafir ağındaki cihazlar şirket sunucusuna erişebiliyor mu?
- Geçen ay saat 14.32'de hangi iç IP hangi cihazdaydı?
Ayrıca modemlerin yazılım güncellemeleri düzensizdir, yönetim arayüzleri bazen internete açık kalır ve port yönlendirmeleri zamanla kimsenin hatırlamadığı "geçici" kurallarla dolar. Uzak masaüstü (RDP) portunun bu şekilde internete açılması, fidye yazılımı vakalarında en sık karşılaşılan giriş noktalarından biridir.
UTM/NGFW ne yapar?
UTM (Unified Threat Management) ve NGFW (Next-Generation Firewall), klasik güvenlik duvarına birden fazla güvenlik katmanını tek cihazda ekler. KOBİ'ler için öne çıkan işlevler:
Uygulama kontrolü
Trafiği yalnızca port numarasıyla değil, uygulama imzasıyla tanır. Böylece "443 portu açık" demek yerine "muhasebe programının bulut servisi serbest, torrent ve oyun platformları kapalı, video siteleri mesai saatinde kısıtlı" gibi kurallar yazılabilir.
IPS (saldırı önleme)
Bilinen açıkları hedefleyen trafiği imza ve davranış analiziyle tespit edip engeller. Yaması gecikmiş bir sunucu veya kamera kayıt cihazı için önemli bir ek katmandır, ama yamanın yerini tutmaz.
Web filtreleme
Siteleri kategorilere göre (kumar, zararlı yazılım, kimlik avı, yetişkin içerik vb.) engeller. Kimlik avı sitelerinin engellenmesi, kullanıcı hatasından kaynaklanan riskleri ciddi şekilde azaltır. Okul, yurt, kütüphane gibi ortamlarda içerik filtreleme ayrıca bir zorunluluktur.
VPN
Şubeler arası (site-to-site) ve uzaktan çalışanlar için (client VPN) şifreli bağlantı sağlar. Doğru kurgu, RDP veya NVR gibi servisleri internete açmak yerine yalnızca VPN üzerinden erişilebilir tutmaktır; mümkünse çok faktörlü doğrulama (MFA) ile birlikte.
Ağ geçidi antivirüs ve segmentasyon
İndirilen dosyalar ağ geçidinde taranır; misafir ağı, kamera ağı ve ofis ağı ayrı bölümlere (VLAN/zone) ayrılarak aralarındaki trafik kuralla sınırlandırılır.
5651 sayılı kanun ve log kaydı yükümlülüğü
Müşterilerine, misafirlerine veya öğrencilerine internet erişimi sunan işletmeler (kafe, restoran, otel, yurt, hastane bekleme alanı, fabrika misafir ağı gibi), 5651 sayılı kanun kapsamında toplu kullanım sağlayıcı olarak değerlendirilir. Bu işletmelerin temel yükümlülükleri şunlardır:
- İç IP dağıtım kayıtlarını (hangi IP'nin hangi zaman aralığında hangi cihaza verildiği) tutmak,
- Kayıtların değiştirilmediğini kanıtlayacak şekilde zaman damgasıyla saklamak,
- Mevzuatta belirlenen süre boyunca muhafaza edip talep halinde yetkili mercilere sunabilmek,
- Gerekli durumlarda içerik filtreleme önlemlerini almak.
Pek çok UTM cihazı ve yerli firewall çözümü bu kayıtları otomatik tutup imzalayabilir. Modemle hizmet veren bir işletmede ise bu kayıtlar genellikle hiç yoktur. Saklama süreleri ve teknik ayrıntılar zaman içinde güncellenebildiği için, kurulum öncesinde güncel mevzuatı kontrol etmenizi öneririz.
Kablosuz ağ ve şubeler
Firewall'un etkisi, arkasındaki ağ yapısı kadar güçlüdür. Kablosuz erişim noktalarında ofis ve misafir için ayrı SSID'ler tanımlanmalı, her SSID ilgili VLAN'a bağlanmalı ve ofis ağında WPA2/WPA3-Enterprise gibi kullanıcı bazlı kimlik doğrulama tercih edilmelidir. Birden fazla şubesi olan işletmelerde şubeler arası trafik site-to-site VPN ile şifrelenir; merkezdeki sunuculara erişim yine firewall kurallarıyla sınırlandırılır. Bu sayede bir şubedeki sorun tüm yapıya yayılmaz.
Lisans ve abonelik mantığı
UTM cihazı alırken en sık yapılan yanlış, cihaz fiyatını tek seferlik maliyet sanmaktır. Çoğu üründe:
- Donanım bir kez satın alınır,
- Güvenlik servisleri (IPS imzaları, web filtreleme veritabanı, antivirüs, uygulama imzaları, bazen bulut yönetim ve raporlama) yıllık lisansla gelir,
- Lisans bittiğinde cihaz temel firewall olarak çalışmaya devam eder, ancak güncel tehditlere karşı koruma ortadan kalkar.
Bu nedenle bütçe yaparken 3 yıllık toplam maliyeti (donanım + lisans yenilemeleri + kurulum/destek) hesaba katmak gerekir.
Doğru boyutlandırma
Üretici föylerindeki en büyük rakam genellikle tüm güvenlik servisleri kapalıyken ölçülen "firewall throughput" değeridir. Gerçek hayatta IPS, uygulama kontrolü ve antivirüs açıkken bu değer belirgin şekilde düşer. Seçimde şunlara bakın:
| Kriter | Neden önemli? |
|---|---|
| Tehdit koruması açıkken throughput | İnternet hattınızın hızını bu modda karşılamalıdır |
| Eşzamanlı kullanıcı/cihaz sayısı | Misafir ağı ve IoT cihazları dahil edilmelidir |
| VPN tünel ve kullanıcı sayısı | Şube ve uzaktan çalışan ihtiyacını belirler |
| SSL denetimi performansı | Trafiğin büyük kısmı şifreli olduğundan kritik |
| Port sayısı ve hızı | Çoklu internet hattı, DMZ ve VLAN ihtiyaçları |
| Log depolama ve raporlama | 5651 ve olay incelemesi için gereklidir |
Kural olarak, bugünkü ihtiyacın üzerinde bir model seçmek ve önümüzdeki 3–5 yıldaki hat hızı artışını hesaba katmak gerekir.
Örnek senaryo: 25 kişilik bir ofis
Muhasebe sunucusu, bir NVR, yazıcılar, 25 kullanıcı bilgisayarı ve müşterilere açık bir misafir Wi-Fi bulunan tipik bir ofisi düşünelim. Bu yapıda makul bir firewall kurgusu şöyle olur:
- Bölgeler: Ofis LAN, sunucu bölgesi, kamera ağı ve misafir ağı ayrı VLAN/zone olarak tanımlanır.
- Kurallar: Misafir ağı yalnızca internete çıkar; kamera ağı internete çıkamaz, yalnızca yönetim bilgisayarından erişilir; sunucuya yalnızca ilgili uygulama portlarından erişim verilir.
- Uzaktan erişim: Muhasebe programına evden bağlanmak isteyen kullanıcılar, MFA destekli client VPN ile bağlanır; RDP internete açılmaz.
- Kayıt: Misafir ağı için 5651 kayıtları otomatik tutulur, firewall logları belirli bir süre saklanır.
- Yedek hat: İkinci bir internet hattı veya mobil bağlantı varsa firewall, ana hat kesildiğinde trafiği otomatik olarak yedek hatta yönlendirir.
Bu kurgu, operatör modemiyle yapılamayan ama orta sınıf bir UTM cihazının rahatça karşıladığı bir yapıdır.
Kurulumdan sonra: Firewall bir kere kurulup unutulmaz
En iyi cihaz da yanlış kurallarla zayıf kalır. Kural tabanının düzenli gözden geçirilmesi, firmware güncellemeleri, log takibi ve kullanıcı farkındalığı sistemin parçasıdır. Firewall, IDS/IPS, VPN, web filtreleme ve güvenlik politikası çalışmaları için network güvenliği sayfamızı; kablolu/kablosuz altyapı, VLAN ve şubeler arası bağlantı için kurumsal network sistemleri sayfamızı inceleyebilirsiniz. Mevcut ağınızın kısa bir değerlendirmesiyle hangi boyutta bir cihaza ihtiyaç duyduğunuzu birlikte netleştirebiliriz.
Sık sorulan sorular
Modemdeki güvenlik duvarı neden yeterli değil?
UTM ile NGFW arasındaki fark nedir?
Misafirlerine Wi-Fi veren işletme 5651 kapsamında log tutmak zorunda mı?
Lisans süresi biterse firewall çalışmaz mı?
Bu konuda destek mi lazım?
Kurumların ağlarını firewall, IDS/IPS, VPN, NAC ve web filtreleme çözümleriyle koruyoruz; güvenlik politikası ve personel farkındalık…
