Yeni kurulan bir firewall’un kural seti genellikle sade ve anlaşılırdır: kim, nereye, hangi porttan erişebilir sorusuna net yanıtlar verir. Ama aradan iki üç yıl geçtiğinde aynı kural seti genellikle iki üç bin satıra çıkmış, kimsenin tam olarak neden orada olduğunu bilmediği kurallarla dolmuş olur.
Bunun tipik nedeni kötü niyet değil, biriken acelelerdir. Bir proje için geçici bir erişim açılır, proje biter ama kural kapatılmaz. Bir tedarikçiyle entegrasyon kurulur, tedarikçi değişir ama eski IP aralığı kuralda kalır. Zamanla kimse dokunmaya cesaret edemez; çünkü hangi kuralın hâlâ kritik bir sistemi ayakta tuttuğu belirsizdir.
Şişmenin gerçek maliyeti
Fazla kural yalnızca estetik bir sorun değildir. Her ek kural, paket işleme sürecine bir adım daha ekler; büyük kural setlerinde bu performansı ölçülebilir biçimde düşürür. Daha önemlisi, güvenlik açısından: kimsenin anlamadığı bir kural seti denetlenemez. Bir sızma testinde ya da olay incelemesinde bu trafik neden geçti sorusuna hızlı yanıt verilemiyorsa, sorun zaten kuralların kendisindedir.
Sadeleştirme nasıl yapılır
İşe kuralları silmekle değil, ölçmekle başlarız. Çoğu modern firewall, her kuralın son ne zaman eşleştiğini (hit count) gösterir. Aylardır hiç eşleşmemiş bir kural, büyük ihtimalle artık gereksizdir; ama bunu doğrudan silmek yerine önce loglama moduna alıp bir süre izleriz. Beklenmedik bir trafik yakalarsa, kuralın hâlâ neye hizmet ettiğini o zaman anlarız.
İkinci adım gruplamadır. Tek tek IP bazlı yazılmış onlarca kural, çoğu zaman birkaç mantıklı nesne grubuna indirgenebilir. Bu hem okunabilirliği artırır hem de yeni bir kural eklerken zaten var mı sorusunu yanıtlamayı kolaylaştırır.
Son adım ise disiplindir: her yeni kuralın bir sahibi, bir gerekçesi ve mümkünse bir son kullanma tarihi olmalıdır. Geçici bir erişim için açılan kural, geçici kalmalıdır. Bu küçük alışkanlık, üç yıl sonra yeniden bu yazıyı okumanızı gerektirmeyecek bir fark yaratır.
Bu yazı, sahada tekrar karşılaştığımız gözlemler üzerine Veluva ekibi tarafından hazırlanmıştır. Kendi altyapınıza özel bir değerlendirme istiyorsanız bizimle iletişime geçebilirsiniz.
