TUFIN: Tanımlı Policy ile Gerçek Enforcement Aynı mı?

Firewall üzerinde bir kuralın tanımlı olması, trafiğin gerçekten o kurala göre işlendiği anlamına gelmez.

Çünkü gerçek network erişimi yalnızca tek bir rule’a bağlı değildir.

Trafiğin hangi cihazdan geçtiği, hangi rule ile eşleştiği, object’lerin güncel kapsamı, rule sırası, NAT işlemleri, farklı güvenlik katmanları ve network topology birlikte sonucu belirler.

Bu nedenle güvenlik ekipleri için asıl soru artık yalnızca:

“Policy nasıl tanımlandı?”

değil,

“Network üzerinde gerçekte ne enforce ediliyor?”

olmalıdır.

Policy Intent ile Enforcement Arasındaki Fark

Bir kurumun güvenlik politikası oldukça net olabilir:

User Network → Database Network doğrudan erişemez.

Bu, security intent’tir.

Firewall üzerinde de bu prensibi destekleyen deny kuralları bulunabilir.

Ancak ortam büyüdükçe başka faktörler devreye girer.

Daha geniş bir allow rule, farklı bir firewall üzerindeki başka bir policy, object group değişikliği veya alternatif network path nedeniyle trafik yine de database ağına ulaşabiliyor olabilir.

Bu durumda kurumun tanımladığı politika ile gerçek network davranışı birbirinden ayrılmıştır.

Kağıt üzerinde:

DENY

Gerçek network üzerinde:

ACCESS POSSIBLE

Ve çoğu zaman en kritik risk tam olarak bu farkın görünmemesidir.

Tek Bir Firewall’a Bakmak Artık Yeterli Değil

Modern kurumsal altyapılarda trafik çoğu zaman tek bir güvenlik cihazından geçmez.

Bir uygulamanın iletişimi örneğin;

on-premise firewall,

cloud security control,

SASE katmanı,

virtual firewall

veya başka bir segmentation teknolojisi üzerinden geçebilir.

Bu nedenle belirli bir cihaz üzerindeki policy’nin doğru görünmesi, source ile destination arasındaki gerçek erişimin doğru olduğu anlamına gelmez.

Asıl değerlendirilmesi gereken şey:

uçtan uca network path üzerindeki bütün enforcement noktalarıdır.

Bir erişimin gerçekten mümkün olup olmadığını anlayabilmek için yalnızca rulebase’e değil, topology ve policy ilişkisine birlikte bakmak gerekir.

Örneğin Bir Erişim Talebini Düşünelim

Bir uygulama sunucusunun database sunucusuna TCP/1433 erişimi istediğini varsayalım.

Source: APP01

Destination: DB01

Service: TCP/1433

Firewall üzerinde APP01 ile DB01 arasında doğrudan bir allow rule görünmüyor olabilir.

İlk sonuç:

“Erişim yok.”

Ama gerçekte APP01 daha geniş bir APP-SERVERS object’inin içinde olabilir.

Bu object ise:

APP-SERVERS → DATABASE-NETWORK → DB-SERVICES → Allow

kuralında kullanılıyor olabilir.

Üstelik DB01 de DATABASE-NETWORK grubunun içerisinde yer alıyorsa talep edilen trafik zaten izin alıyor olabilir.

Yani sadece IP veya hostname üzerinden yapılan yüzeysel bir kontrol yanlış sonuca götürebilir.

Gerçek enforcement’ı anlamak için:

object membership + rule matching + topology

birlikte değerlendirilmelidir.

Bir Başka Problem: Trafik Beklediğiniz Firewall’dan Geçmiyor Olabilir

Network topology zaman içinde değişir.

Yeni routing yapıları eklenir.

Data center geçişleri yapılır.

Cloud bağlantıları açılır.

SD-WAN veya yeni network segmentleri devreye alınır.

Bu değişikliklerden sonra source ile destination arasındaki trafik, güvenlik ekibinin beklediği firewall yerine farklı bir enforcement point üzerinden geçebilir.

Bu durumda doğru policy yanlış cihaz üzerinde kontrol ediliyor olabilir.

Firewall üzerinde kural var.

Ancak trafik o firewall’dan geçmiyorsa kuralın gerçek bağlantı üzerinde hiçbir etkisi yoktur.

Bu nedenle enforcement analizi için kritik soru şudur:

“Hangi policy var?”

değil,

“Trafik hangi policy’lerden gerçekten geçiyor?”

Object’ler de Gerçek Enforcement’ı Değiştirir

Bir policy uzun süredir hiç değiştirilmemiş olabilir.

Ancak rule içerisinde kullanılan network object’ler değişmiş olabilir.

Örneğin:

Source: APP-SERVERS

Destination: DB-SERVERS

Service: TCP/1433

Action: Allow

Rule aynı kalır.

Fakat APP-SERVERS grubuna yeni subnet’ler eklenirse erişim kapsamı büyür.

DB-SERVERS grubu genişletilirse daha fazla sistem erişilebilir hale gelir.

Yani rule üzerinde hiçbir değişiklik yapılmadan gerçek enforcement değişebilir.

Bu yüzden policy doğrulamasında yalnızca rule satırına değil, rule’un kullandığı object’lerin gerçek içeriğine de bakılması gerekir.

Multi-Vendor Ortamlarda Problem Daha da Büyür

Tek üreticili bir firewall ortamında bile gerçek enforcement’ı anlamak zor olabilir.

Ancak enterprise yapılarda aynı network üzerinde farklı teknolojiler bulunabilir.

Check Point bir bölgede, Palo Alto başka bir bölgede, Fortinet branch yapısında, cloud tarafında ise farklı güvenlik kontrolleri kullanılabilir.

Her platform policy’yi farklı biçimde gösterir.

Ama network açısından soru değişmez:

Source A, Destination B’ye Service X üzerinden gerçekten erişebiliyor mu?

İşte merkezi network security policy management yaklaşımının asıl değeri burada ortaya çıkar.

Amaç bütün firewall’ları tek ekranda listelemek değildir.

Amaç:

farklı enforcement noktalarını tek bir erişim ilişkisi üzerinden değerlendirebilmektir.

SecureTrack+ Burada Neyi Görünür Hale Getiriyor?

Tufin SecureTrack+, farklı network security cihazlarından policy ve topology bilgisini merkezi olarak analiz ederek tanımlı güvenlik politikası ile gerçek erişim ilişkileri arasındaki farkı görmeyi kolaylaştırır.

Böylece güvenlik ekipleri;

source ile destination arasındaki erişimi,

ilgili policy’leri,

object ilişkilerini,

rule davranışlarını,

network path’i,

policy ihlallerini

daha geniş bir bağlam içerisinde değerlendirebilir.

Bu yaklaşım özellikle segmentation kontrollerinde önemlidir.

Çünkü “Zone A’dan Zone B’ye erişim yasaktır” demek kolaydır.

Asıl önemli olan:

bu prensibin tüm network üzerinde gerçekten uygulanıp uygulanmadığını doğrulayabilmektir.

Audit İçin de Aynı Soru Geçerli

Bir audit sırasında firewall konfigürasyonunu göstermek tek başına yeterli olmayabilir.

Çünkü denetçinin aslında bilmek istediği şey şudur:

“Bu erişim gerçekten engelleniyor mu?”

Tanımlı bir deny rule göstermek bu sorunun teknik cevabı değildir.

Gerçek güvence; policy, object, rule sırası, topology ve gerçek enforcement ilişkisi birlikte doğrulandığında oluşur.

Bu nedenle olgun bir firewall yönetim yaklaşımı yalnızca configuration review yapmaz.

Effective policy değerlendirmesi yapar.

Sonuç

Firewall güvenliğinde en tehlikeli varsayımlardan biri şudur:

“Policy tanımlandıysa uygulanıyordur.”

Modern network ortamlarında bu her zaman doğru değildir.

Rule doğru olabilir.

Object doğru görünebilir.

Deny policy mevcut olabilir.

Ama trafik başka bir rule, başka bir object ilişkisi veya başka bir network path üzerinden yine de izin alıyor olabilir.

Bu nedenle güvenlik ekiplerinin yalnızca tanımlı policy’yi değil, gerçek enforcement sonucunu görebilmesi gerekir.

Tufin SecureTrack+ gibi merkezi policy visibility çözümlerinin değeri de tam olarak burada ortaya çıkar:

Konfigürasyonda ne olması gerektiğini değil, network üzerinde gerçekte ne olduğunu anlamak.

Ve belki de firewall yönetimindeki en önemli soru şudur:

Tanımladığınız güvenlik politikası ile gerçekten uygulanan güvenlik politikası aynı mı?

Tufin Network Security Policy Management Series

Prepared by Zero Second

Helping organizations gain visibility, reduce unnecessary access and optimize network security policies