HTTPS Inspection Açık. Peki Decrypt Ettikten Sonra Ne Yapıyorsunuz? | Zero Second

Kurumsal web trafiğinin büyük bölümü artık HTTPS üzerinden akıyor.

Birçok kurum da doğal olarak Secure Web Gateway üzerinde HTTPS Inspection kullanıyor.

Certificate dağıtılmış. TLS trafiği decrypt ediliyor. URL filtering çalışıyor. Policy uygulanıyor.

Buraya kadar her şey doğru. Ama HTTPS inspection’ın gerçek değeri aslında decrypt işleminden sonra başlıyor.

Çünkü şifreli bir bağlantıyı açabilmek yalnızca görünürlük sağlar. Asıl güvenlik sorusu: Gateway, açtığı trafiğin içerisinde neyi analiz edebiliyor ve bu bilgiyle ne yapabiliyor?

TLS’i Açmak Sadece İlk Katman

HTTPS inspection mimarisinde Secure Web Gateway, istemci ile hedef web servisi arasındaki şifreli iletişimi inspection noktasına getirir.

Pratikte gateway’in önünde artık yalnızca bir HTTPS session değil, incelenebilir bir HTTP transaction vardır.

URL + HTTP Headers + Upload / Download Direction + MIME + File Structure + Content + Metadata

Fortra Secure Web Gateway’in fark yarattığı nokta da burada başlar. Decrypt edilen trafik üzerinde hem inbound tehditlerin hem de outbound hassas veri hareketlerinin aynı inspection sürecinde değerlendirilmesi mümkün hale gelir.

Yani mesele sadece SSL’i açmak değil; SSL’in arkasında ortaya çıkan veriyi güvenlik politikasına dönüştürmek.

Aynı HTTPS Session İçinde İki Tamamen Farklı Risk Olabilir

Bir kullanıcının Microsoft 365, webmail veya kurumsal olarak izin verilen başka bir SaaS uygulamasına eriştiğini düşünün.

Destination güvenilir. Certificate geçerli. URL kategorisi izinli. Application kullanımı tamamen normal.

Kullanıcı bir dosya indiriyorsa gateway’in bakması gereken risk malware, executable veya aktif içerik olabilir. Aynı kullanıcı aynı servise bir dosya yüklüyorsa bu kez risk şirket verisinin dışarı çıkması olabilir.

Aynı site + Aynı kullanıcı + Aynı HTTPS bağlantısı + Farklı yön = Farklı risk = Farklı policy

Fortra SWG politikalarında trafik yönü de context olarak kullanılabilir. Örneğin belirli bir dosya tipinin download edilmesine izin verilirken upload edilmesinin engellenmesi gibi farklı kararlar üretilebilir.

Decrypt Edilen Dosya Gerçekten Söylediği Dosya mı?

HTTPS inspection sonrası bir diğer kritik konu file identification’dır. Dosya adına veya uzantısına güvenmek yeterli değildir.

budget.pdf olarak gelen bir dosyanın gerçekten PDF olup olmadığını anlamak için dosya yapısının incelenmesi gerekir.

Fortra’nın MIMEsweeper engine’i binary file-type identification kullanarak file type’ı yalnızca extension üzerinden değil, dosyanın imzası üzerinden belirleyebilir.

Filename ≠ File Type

Bu yaklaşım file-type spoofing veya politika atlatma girişimlerinde kritik hale gelir. Güvenlik kararı dosyanın adından değil, gerçekte ne olduğundan beslenir.

Peki Dosyanın İçinde Başka Bir Dosya Varsa?

Bir ZIP dosyasının içinde Office dokümanı olabilir. Office dokümanının içinde başka bir object bulunabilir. Onun içerisinde executable veya active content yer alabilir.

Fortra’nın Content Aware Inspection motoru içerikte 50 seviyeye kadar derinleşebilir ve executable içerikleri başka dosya tiplerinin veya compressed container’ların içine gömülü olsalar dahi analiz edebilir.

HTTPS → ZIP → Document → Embedded Object → Content → Policy

Buradaki fark yalnızca daha derin tarama değildir. Policy kararının gerçek içeriğe göre verilmesidir.

İçeriği Bulmak Yetmez; Ne Olduğunu da Anlamak Gerekir

Dosyanın yapısını açtıktan sonra ikinci katman content analysis’tir.

Fortra SWG; lexical analysis, regular expressions ve structured data kaynaklarını kullanarak içerik üzerinde politika oluşturabilir. PII ve PCI gibi veri tipleri için hazır pattern’lar da kullanılabilir.

Örneğin bir SaaS uygulamasına gönderilen Excel dosyasında IBAN, belirli bir müşteri adı ve external destination kombinasyonu tek başına URL filtering motorunun anlayabileceği bir risk değildir.

Ama decrypt edilen HTTP transaction içerisindeki dosya açılıp içerik analiz edildiğinde artık bu bir policy decision haline gelir.

Aynı analiz yalnızca document body ile sınırlı kalmak zorunda değildir. Metadata ve uygun OCR yetenekleriyle görüntüler içerisindeki metin de inspection sürecine dahil edilebilir.

HTTPS Inspection’ın Gerçek Değeri Burada Başlıyor

Birçok ortamda kontrol listesinde tek bir satır görürüz: HTTPS Inspection: Enabled.

Aslında bu tek başına yeterince anlamlı bir cevap değildir.

Decrypt → Identify → Disassemble → Inspect → Detect → Enforce

Daha doğru soru seti şudur: Upload ve download ayrı policy’lerle değerlendirilebiliyor mu? Gerçek file type belirlenebiliyor mu? Compressed ve embedded içerik açılabiliyor mu? İçerikte hassas veri aranabiliyor mu? Metadata ve görüntüler inspection kapsamına alınabiliyor mu?

Çünkü HTTPS inspection’ın değeri, kaç TLS session decrypt ettiğinizle ölçülmez.

Decrypt ettikten sonra o trafik hakkında ne kadar doğru karar verebildiğinizle ölçülür.

Detaylı bilgi için info@zerosecond.com.tr adresinden uzmanlarımıza başvurabilirsiniz.

Zero Second | Fortra Secure Web Gateway – Web Security Series.