Açıklanan 8 Güvenlik Duvarı Türü

Ağınızı korumak için doğru güvenlik duvarı türünü seçmek hayati bir güvenlik kararıdır. Yanlış türe gitmek, hiçbir güvenlik duvarına sahip olmamaktan daha kötüdür çünkü ağın bir saldırıya tamamen açık olmasına rağmen yanlış bir güvenlik duygusuna kapılıyorsunuz.

Peki, dağıtabileceğiniz farklı güvenlik duvarı türleri nelerdir? Ve daha da önemlisi, kullanım durumunuz için doğru seçenek hangisi?

Bu makalede, kötü amaçlı trafiği ağlardan uzak tutan sekiz farklı türde güvenlik duvarı sunulmaktadır. Her çözümün artılarını ve eksilerini analiz ediyoruz, hangi OSI katman(lar)ı üzerinde çalıştıklarını açıklıyoruz ve güvenlik gereksinimlerinizi en iyi karşılayan güvenlik duvarını seçmeniz için ipuçları sunuyoruz.

Güvenlik Duvarı Nedir?

Güvenlik duvarı, ağ trafiğini izleyen ve potansiyel tehditleri tespit eden bir güvenlik cihazı veya programıdır. Güvenlik duvarının temel amacı, tehdit oluşturmayan trafiğin içeri girmesine izin veren ve tehlikeli trafiği dışarıda tutan bir bariyer görevi görmektir.

Güvenlik duvarının korumasının kapsamı kullanım durumları arasında değişiklik gösterir. Güvenlik ekipleri güvenlik duvarlarını aşağıdaki amaçlarla kullanır:

• Ağları harici trafik kaynaklarından (örn. İnternet) koruyun.
• Dahili alt ağların etrafına "duvarlar" inşa edin (örneğin, İK personelinin DevOps ekibi için ayrılmış bir sisteme erişmesini engelleyen bir güvenlik duvarı).
• Tek bir cihazda trafik taramasını ayarlayın (örneğin, BYOD dizüstü bilgisayarını gelen trafiğe karşı koruyan bir güvenlik duvarı).

Güvenlik duvarları, istemci-sunucu modelinde ağ güvenliğinin temellerinden biridir. Bu sistemler hem gelen hem de giden trafiğin güvenli olmasını sağlar ancak aşağıdakilere karşı savunmasızdır:

• Sosyal mühendislik saldırıları (örneğin birinin şifreyi çalması ve CEO sahtekarlığı yapmaya çalışması).
• İçeriden gelen tehditler (örneğin, ağdaki birinin güvenlik duvarı ayarlarını kasıtlı olarak değiştirmesi).
• İnsan hataları (örn. çalışanın güvenlik duvarını açmayı unutması veya güncelleme bildirimlerini göz ardı etmesi).

Güvenlik Duvarı Nasıl Çalışır?

Ekipler, harici kaynaklar ile korunan sistem arasında sınır görevi görecek şekilde ağ üzerinde hat içi bir güvenlik duvarı kurar. Yöneticiler, bir güvenlik duvarının ağa giren ve çıkan tüm veri paketlerini denetlediği tıkanma noktaları olarak adlandırılan noktalar oluşturur. Paket, İnternet aktarımı için biçimlendirilmiş ve aşağıdakileri içeren bir veri parçasıdır:

• Yük (gerçek içerik).
• Bir başlık (veriyi kimin ve kime gönderdiği gibi veriler hakkında bilgi).

Güvenlik duvarları, iyi huylu ve kötü amaçlı trafiği ayırt etmek için paketleri önceden belirlenmiş kurallara göre analiz eder. Bu kural kümeleri, güvenlik duvarının aşağıdakileri nasıl denetleyeceğini belirler:

• Kaynak ve hedef IP adresleri.
• Yükteki içerik.
• Paket protokolleri (örneğin, bağlantının TCP/IP protokolü kullanıp kullanmadığı).
• Uygulama protokolleri (HTTP, Telnet, FTP, DNS, SSH vb.).
• Belirli siber saldırıları gösteren veri kalıpları.

Güvenlik duvarı kurallara uymayan tüm paketleri engeller ve güvenli paketleri hedeflenen alıcıya yönlendirir. Güvenlik duvarı trafiğin ağa girmesini engellediğinde iki seçenek vardır:

• İsteği sessizce iptal edin.
• Gönderene bir hata yanıtı sağlayın.

Her iki seçenek de tehlikeli trafiği ağdan uzak tutar; bu nedenle güvenlik açısından daha anlamlı olanı seçin. Genellikle güvenlik ekipleri, olası bir bilgisayar korsanının güvenlik duvarını potansiyel güvenlik açıklarına karşı test etmesi durumunda bilgileri sınırlamak için istekleri sessizce bırakmayı tercih eder.

Teslimat Yöntemine Göre Güvenlik Duvarı Türleri

Bunları nasıl dağıtmaya karar verdiğinize bağlı olarak üç tür güvenlik duvarı vardır: donanım, yazılım ve bulut tabanlı güvenlik duvarları. Bu stratejilerin her birinin neler sunduğunu görelim.

Yazılım Güvenlik Duvarları

Bir yazılım güvenlik duvarı (veya ana bilgisayar güvenlik duvarı) doğrudan ana cihaza yüklenir. Bu tür güvenlik duvarı yalnızca bir makineyi (ağ uç noktası, PC, dizüstü bilgisayar, sunucu vb.) korur, dolayısıyla yöneticilerin korumak istedikleri her cihaza yazılımın bir sürümünü yüklemeleri gerekir.

Yöneticiler belirli bir cihaza yazılım güvenlik duvarı bağladıklarından kaynak kullanımından kaçınmanın hiçbir yolu yoktur. Bu güvenlik duvarları kaçınılmaz olarak sistem RAM'inin ve CPU'sunun bir kısmını tüketir ve bu da bazı kullanım durumlarında anlaşmayı bozar.

Yazılım güvenlik duvarlarının avantajları:

• Atandıkları cihaz için mükemmel koruma.
• Bireysel ağ uç noktalarını birbirinden ayırın.
• Bir yöneticinin izin verilen programlar üzerinde tam kontrole sahip olduğu son derece ayrıntılı güvenlik.
• Hazır.

Yazılım güvenlik duvarlarının dezavantajları:

• Cihazın CPU'sunu, RAM'ini ve depolama alanını tüketin.
• Her ana cihaz için yapılandırmayı zorunlu kılın.
• Günlük bakım zor ve zaman alıcıdır.
• Her cihaz her güvenlik duvarı ile uyumlu olmadığından aynı ağ içerisinde farklı çözümler kullanmak zorunda kalabilirsiniz.

Donanım Güvenlik Duvarları

Donanım güvenlik duvarı (veya cihaz güvenlik duvarı), ağa giren ve ağdan çıkan trafiği filtreleyen ayrı bir donanım parçasıdır. Yazılım güvenlik duvarından farklı olarak, bu bağımsız aygıtların kendi kaynakları vardır ve ana aygıtlardan herhangi bir CPU veya RAM tüketmezler.

Bazı KOBİ'ler için donanım güvenlik duvarı biraz abartılıdır ve ana bilgisayar başına yazılım güvenlik duvarlarından daha fazla değer bulabilirler. Donanım güvenlik duvarları, birden fazla bilgisayar içeren çeşitli alt ağlara sahip daha büyük kuruluşlar için mükemmel bir seçimdir.

Donanım güvenlik duvarlarının avantajları:

• Tek bir çözümle birden fazla cihazı koruyun.
• Kötü amaçlı trafik ana cihazlara asla ulaşmadığından üst düzey çevre güvenliği.
• Ana cihazların kaynaklarını tüketmeyin.
• Bir yönetici tüm ağ için yalnızca bir güvenlik duvarını yönetir.

Donanım güvenlik duvarlarının eksileri:

• Yazılım güvenlik duvarlarından daha pahalıdır.
• İçeriden gelen tehditler önemli bir zayıflıktır.
• Yapılandırma ve yönetim, yazılım tabanlı güvenlik duvarlarından daha fazla beceri gerektirir.

Bulut Tabanlı Güvenlik Duvarları

Birçok sağlayıcı, İnternet üzerinden isteğe bağlı olarak sundukları bulut tabanlı güvenlik duvarları sunar. Bu hizmetler aynı zamanda Hizmet Olarak Güvenlik Duvarı olarak da bilinir ve IaaS veya PaaS olarak çalıştırılır.

Bir MSP, bulut tabanlı bir güvenlik duvarını yönettiğinden, bu seçenek aşağıdakiler için mükemmeldir:

• Yüksek oranda dağıtılmış işletmeler.
• Güvenlik kaynaklarında eksiklikleri olan ekipler.
• Gerekli şirket içi uzmanlığa sahip olmayan şirketler.

Donanım tabanlı çözümler gibi, bulut güvenlik duvarları da çevre güvenliği konusunda mükemmeldir ancak bu sistemleri ana bilgisayar bazında da kurabilirsiniz.

Bulut güvenlik duvarlarının artıları:

• Servis sağlayıcı tüm yönetici görevlerini (kurulum, dağıtım, yama uygulama, sorun giderme vb.) gerçekleştirir.
• Kullanıcılar, trafik yükünü karşılamak için bulut kaynaklarını ölçeklendirmekte özgürdür.
• Şirket içi herhangi bir donanıma gerek yoktur.
• Yüksek düzeyde kullanılabilirlik.

Bulut güvenlik duvarlarının eksileri:

• Sağlayıcının güvenlik duvarını tam olarak nasıl çalıştırdığına ilişkin şeffaflık eksikliği.
• Diğer bulut tabanlı hizmetler gibi bu güvenlik duvarlarının da yeni bir sağlayıcıya taşınması zordur.
• Trafik üçüncü bir taraf üzerinden akıyor ve bu da gecikme ve gizlilik endişelerini artırıyor.
• OpEx'in yüksek olması nedeniyle uzun vadede pahalıdır.

Çalışma Yöntemine Göre Güvenlik Duvarı Türleri

Aşağıda, işlevlerine ve OSI katmanına bağlı olarak beş tür güvenlik duvarına derinlemesine bir bakış bulunmaktadır. Bunlardan herhangi birini donanım, yazılım veya bulutta dağıtabilirsiniz.

Paket Filtrelemeli Güvenlik Duvarları

Paket filtreleyen güvenlik duvarları ağ katmanında bir kontrol noktası görevi görür ve her paketin başlık bilgisini önceden belirlenmiş bir dizi kriterle karşılaştırır. Bu güvenlik duvarları aşağıdaki başlık tabanlı bilgileri kontrol eder:

• Hedef ve kaynak IP adresleri.
• Paket türü.
• Port numarası.
• Ağ protokolleri.

Bu tür güvenlik duvarları yalnızca yüzey düzeyindeki ayrıntıları analiz eder ve yükünü incelemek için paketi açmaz. Paket filtreleyen bir güvenlik duvarı, her paketi mevcut trafik akışlarını dikkate almadan bir boşlukta inceler.

Paket filtrelemeli güvenlik duvarları, köklü tehditlere karşı temel düzeyde güvenlik gerektiren küçük kuruluşlar için idealdir.

Paket filtrelemeli güvenlik duvarlarının avantajları:

• Düşük maliyetli bir çözüm.
• Hızlı paket filtreleme ve işleme.
• Dahili departmanlar arasındaki trafiği tarama konusunda mükemmel.
• Düşük kaynak tüketimi.
• Ağ hızı ve son kullanıcı deneyimi üzerinde minimum etki.
• Paket başlıklarını filtreleme yoluyla karmaşık güvenlik politikalarına olanak tanır.
• Çok katmanlı bir güvenlik duvarı stratejisinde mükemmel bir ilk savunma hattı.

Paket filtreleyen güvenlik duvarlarının eksileri:

• Paket yüklerinin kontrolü yok (gerçek veriler).
• Deneyimli bir bilgisayar korsanı için atlanması kolaydır.
• Uygulama katmanında filtreleme yapılamıyor.
• Her paketi ayrı ayrı işlediği için IP yanıltma saldırılarına karşı savunmasızdır.
• Kullanıcı kimlik doğrulaması veya günlük kaydı özelliği yok.
• Erişim kontrol listelerinin kurulması ve yönetilmesi zordur.

Devre Seviyesi Ağ Geçitleri

Devre düzeyindeki ağ geçitleri, oturum OSI katmanında çalışır ve yerel ve uzak ana bilgisayarlar arasındaki TCP (İletim Kontrol Protokolü) anlaşmalarını izler.

Bu basit güvenlik duvarı türü, çok fazla kaynak tüketmeden trafiği hızla onaylar veya reddeder. Ancak bu sistemler paketleri denetlemez, dolayısıyla uygun bir TCP anlaşması olması durumunda kötü amaçlı yazılım bulaşmış istekler bile erişime sahip olur.

Devre düzeyinde ağ geçitlerinin avantajları:

• Yalnızca istenen işlemleri işleyin ve diğer tüm trafiği reddedin.
• Kurulumu ve yönetimi basittir.
• Kaynak ve maliyet açısından verimli.
• Adresin açığa çıkmasına karşı güçlü koruma.
• Son kullanıcı deneyimi üzerinde minimum etki.

Devre düzeyinde ağ geçitlerinin dezavantajları:

• İçerik filtreleme olmadığından tek başına bir çözüm değildir.
• Genellikle yazılım ve ağ protokolünde ayarlamalar gerektirir.

Durum Denetimi Güvenlik Duvarları

Durum bilgisi olan bir inceleme güvenlik duvarı (veya dinamik paket filtreleyen güvenlik duvarı), ağ ve aktarım katmanlarında gelen ve giden paketleri izler. Bu güvenlik duvarı türü paket incelemesini ve TCP el sıkışma doğrulamasını birleştirir.

Durum bilgisi olan inceleme güvenlik duvarları, tüm açık bağlantıları izleyen ve sistemin mevcut trafik akışlarını kontrol etmesini sağlayan bir tablo veritabanı tutar. Bu veritabanı, aşağıdakiler de dahil olmak üzere paketle ilgili tüm önemli bilgileri saklar:

• Kaynak IP'si.
• Kaynak bağlantı noktası.
• Hedef IP.
• Her bağlantı için hedef bağlantı noktası.

Yeni bir paket geldiğinde güvenlik duvarı geçerli bağlantıların tablosunu kontrol eder. Tanıdık paketler daha fazla analize gerek kalmadan geçerken, güvenlik duvarı eşleşmeyen trafiği önceden belirlenmiş kurallara göre değerlendirir.

Durum bilgisi olan inceleme güvenlik duvarlarının avantajları:

• Trafiği filtrelerken daha önce incelenen paketleri göz önünde bulundurun.
• Protokol kusurlarından yararlanmayı amaçlayan saldırıları durdurma konusunda mükemmeldir.
• Saldırı yüzeyini daraltacak şekilde trafiğe giriş veya çıkışa izin vermek için çok sayıda bağlantı noktası açmayın.
• Dijital adli bilişime yardımcı olan ayrıntılı günlük kaydı özellikleri.
• Bağlantı noktası tarayıcılarına daha az maruz kalma.

Durum bilgisi olan inceleme güvenlik duvarlarının dezavantajları:

• Paket filtreleyen güvenlik duvarlarından daha pahalıdır.
• Doğru kurulum için yüksek derecede beceri gerektirir.
• Çoğu zaman performansı olumsuz etkiler ve ağ gecikmesine yol açar.
• Sahte trafik kaynaklarını doğrulamak için kimlik doğrulama desteği yok.
• Önceden kurulmuş bağlantılardan yararlanan TCP taşkın saldırılarına karşı savunmasızdır.

Proxy Güvenlik Duvarları

Proxy güvenlik duvarı (veya uygulama düzeyinde ağ geçidi), dahili ve harici sistemler arasında bir ara bağlantı görevi görür. Bu güvenlik duvarları, istemci isteklerini ana bilgisayara göndermeden önce maskeleyerek ağı korur.

Proxy güvenlik duvarları, OSI modelinin en üst seviyesi olan uygulama katmanında çalışır. Bu sistemler, gelen trafiğin hem yüklerini hem de başlıklarını kontrol eden derin paket inceleme (DPI) özelliklerine sahiptir.

Bir istemci bir ağa erişim isteği gönderdiğinde, mesaj ilk olarak proxy sunucusuna gider. Güvenlik duvarı aşağıdakileri kontrol eder:

• İstemci ile güvenlik duvarının arkasındaki cihazlar (varsa) arasındaki önceki iletişimler.
• Başlık bilgisi.
• İçeriğin kendisi.

Proxy daha sonra isteği maskeler ve mesajı web sunucusuna iletir. Bu işlem müşterinin kimliğini gizler. Sunucu yanıt verir ve istenen verileri proxy'ye gönderir, ardından güvenlik duvarı bilgiyi orijinal istemciye iletir.

Proxy güvenlik duvarları, bir web uygulamasını kötü niyetli kullanıcılardan korumaya çalışan işletmeler için başvurulacak seçenektir. Bu sistemler, bir kullanım durumu ağ anonimliği gerektirdiğinde de popülerdir.

Proxy güvenlik duvarlarının avantajları:

• Hem paket başlıklarını hem de yükleri kontrol eden DPI.
• İstemciler ve ağınız arasına ekstra bir ayırma katmanı ekleyin.
• Dahili IP adreslerini potansiyel tehdit aktörlerinden gizleyin.
• OSI modeli ağ katmanında görünmeyen saldırıları tespit edin ve engelleyin.
• Ağ trafiği üzerinde ayrıntılı güvenlik kontrolleri.
• Coğrafi konum kısıtlamalarının kilidini açın.

Proxy güvenlik duvarlarının eksileri:

• Kapsamlı paket kontrolleri ve ekstra iletişim adımları nedeniyle artan gecikme.
• Yüksek işlem yükü nedeniyle diğer güvenlik duvarı türleri kadar uygun maliyetli değildir.
• Kurulumu ve yönetimi zordur.
• Her ağ protokolüyle uyumlu değildir.

Yeni Nesil Güvenlik Duvarları

Yeni nesil güvenlik duvarı (NGFW), diğer güvenlik duvarlarının çeşitli işlevlerini birleştiren bir güvenlik cihazı veya programıdır. Böyle bir sistem şunları sunar:

• Trafiğin içeriğini analiz eden derin paket incelemesi.
• TCP el sıkışma kontrolleri.
• Yüzey düzeyinde paket incelemesi.

Yeni nesil güvenlik duvarları ayrıca aşağıdakiler gibi ek ağ güvenliği önlemlerini de içerir:

• Kimlikler ve IPS'ler.
• Kötü amaçlı yazılım taraması ve filtreleme.
• Gelişmiş tehdit istihbaratı (örüntü eşleştirme, protokol tabanlı algılamalar, itibar tabanlı kötü amaçlı yazılım algılama, anormallik tabanlı algılamalar vb.)
• Antivirüs programları.
• Ağ Adresi Çevirisi (NAT).
• Hizmet kalitesi (QoS) özellikleri.
• Güvenli Kabuk (SSH) denetimi.

NGFW'ler, sağlık hizmetleri veya finans gibi sıkı düzenlemeye tabi sektörlerde yaygın bir seçimdir. HIPAA ve PCI'ye uyması gereken şirketler olağan benimseyenlerdir.

Yeni nesil güvenlik duvarlarının avantajları:

• Geleneksel güvenlik duvarı özelliklerini gelişmiş siber güvenlik özellikleriyle birleştirin.
• Veri bağlantısı katmanından uygulama katmanına (OSI modelinde 2-7. katmanlar) giden ağ trafiğini inceleyin.
• Önemli günlük kaydı yetenekleri.

Yeni nesil güvenlik duvarlarının dezavantajları:

• Diğer güvenlik duvarlarına göre daha pahalıdır.
• Çok büyük tek bir başarısızlık noktası.
• Yavaş dağıtım süresi.
• Kurulumu ve çalıştırılması yüksek derecede uzmanlık gerektirir.
• Engellenen ağ performansı.

İşletmeniz için Hangi Güvenlik Duvarı Türü Uygun?

Hiçbir iki işletme aynı varlıklara, ağlara ve risk toleransına sahip değildir; dolayısıyla her şirketin kendine özgü güvenlik duvarı ihtiyaçları vardır. Güvenlik duvarı türünü seçerken cevaplanması gereken ana sorular şunlardır:

• Ne tür bir ağı güvende tutmaya çalışıyorsunuz?
• Korumaya çalıştığınız varlıklar ne kadar değerli? Görev açısından kritik bir şey var mı?
• Proje için ayrılan bütçe ne kadar?
• Güvenlik duvarının teknik amaçları nelerdir?
• Ağ ne kadar büyük? Kaç tane ev sahibi var?
• Güvenlik duvarı ne tür bir trafikle karşılaşacak? Yük tutarlı olacak mı?
• Her ana cihazda bir güvenlik duvarına ihtiyacınız var mı?
• Ekibinizin belirli bir güvenlik duvarı türünü kurma ve kullanma konusunda uygulamalı deneyimi var mı?
• Ne tür bir trafik denetimine ihtiyacınız var?
• Farklı güvenlik duvarı türleri mevcut uygulama mimarinize nasıl uyuyor?
• Gerektiğinde altyapı değişikliği yapmaya hazır mısınız?
• Yeni güvenlik duvarını (varsa) ne kadar gecikmeyle kullanıma sunabilirsiniz?
• Göz önünde bulundurmanız gereken uyumla ilgili kurallarınız var mı? Veri gizliliği veya koruma yasalarına ne dersiniz?
• Ekibiniz güvenlik duvarı yönetimine ne kadar zaman ayırabilir?

Bu soruların yanıtları doğru güvenlik duvarı seçeneğini belirlemenize yardımcı olur. İşte size yardımcı olacak birkaç ekstra ipucu:

• Doğru güvenlik duvarı türüne karar vermeden önce derinlemesine tehdit modellemesi yapın.
• Seçimlerinizi ekibin deneyimiyle uyumlu hale getirmeye çalışın.
• Öncelikle daha uygun maliyetli seçenekleri değerlendirin (örneğin, basit bir paket filtreleyen güvenlik duvarı işi yapacaksa tam gelişmiş bir NGFW'ye yönelmeyin).
• Yeni güvenlik duvarının ağı son kullanıcı deneyimini etkileyecek kadar yavaşlatmadığından emin olun.
• Uygulama katmanında korumaya ihtiyacınız varsa yalnızca paket filtreleme ve durum bilgisi olan güvenlik duvarlarına güvenmeyin.
• Ağ bölümleme stratejinizi geliştirmek için güvenlik duvarlarını kullanın.

Farklı Güvenlik Duvarı Türlerinin Neler Sunduğunu Anlayın

Birisi veya bir şey şirketinizi ihlal etmeye çalışırsa güvenlik duvarı ilk savunma hattıdır. Bu sistemler bir güvenlik stratejisi oluşturma veya bozma potansiyeline sahiptir, bu nedenle seçimlerini ve kurulumlarını buna göre yapın. Bir çözüme başlamadan önce, farklı türdeki güvenlik duvarlarının neler sunduğunu ve varlıkları nasıl güvende tuttuklarını öğrenin.