Güvenlik Duvarı (NGFW/WAF) & Ağ Güvenliği

Ağ güvenliği alımları çoğu zaman tek kalemli değildir: "NGFW + WAF + NAC" ya da "güvenlik duvarı lisans yenileme + migrasyon" şeklinde gelir. Bu sayfa, bir teknik şartname yazmadan önce doğru bileşenleri, boyutlandırmayı ve seçim kriterlerini araştıran bilgi işlem ve ağ/güvenlik ekipleri için hazırlandı. Amaç; ürün adı ezberlemeden, yetenek ve standartüzerinden karar vermenizi sağlamak.

Çözüm neyi kapsar?

Ağ güvenliği tek bir kutu değil, giriş-çıkış ve iç segmentleri birlikte koruyan katmanlardan oluşur. Kurumsal alımlarda en çok geçen dört bileşen ve konumları:

• NGFW (yeni nesil firewall): Ağ sınırında ve segment aralarında L3-L7 denetimi — uygulama tanıma (App-ID), IPS/IDS, URL filtreleme, TLS/SSL inspection, sandbox.
• WAF (web uygulama güvenlik duvarı): Web sunucusu / reverse proxy önünde, yalnızca HTTP(S) ve API trafiğini OWASP Top 10 saldırılarına karşı korur.
• NAC (ağ erişim kontrolü): 802.1X ile hangi kullanıcı/cihazın ağa bağlanacağını erişim katmanında belirler; misafir ve IoT segmentasyonu.
• SWG / güvenli web ağ geçidi (proxy): Kullanıcıların giden internet erişiminde URL/DNS filtreleme, kötü amaçlı içerik ve veri sızıntısı denetimi.

Bileşenleri konumlandırma: karşılaştırma

Throughput ve oturum kapasitesi: doğru boyutlandırma

En sık yapılan hata, cihazı datasheet'teki en yüksek "firewall throughput"değerine göre seçmektir. Oysa gerçek dünyada IPS ve TLS/SSL inspection açık çalışır; bu özellikler devreye girince geçerli değer "threat protection throughput"tur ve ham kapasitenin çok altına iner. Aşağıdaki bağıl değerler örnek/yaklaşıktır, ürüne göre değişir:

Pratik bir boyutlandırma yaklaşımı: Gerekli tehdit koruma throughput'u ≈ zirve WAN trafiği × 1,3-1,5 (headroom payı). Örneğin zirvede 2 Gbps giden/gelen trafik ölçüyorsanız, tüm güvenlik özellikleri açıkken en az 2,6-3 Gbps threat protection throughput veren bir cihaz hedeflemelisiniz. Eşzamanlı oturum (concurrent session) tarafında kullanıcı başına ~100-200 oturum kabul edilir; 1.000 kullanıcılık bir kurum yaklaşık 100-200 bin oturum üretir, cihaz bunun 2-3 katını (yeni oturum/sn — connections per second dahil) desteklemelidir.

WAF ve OWASP Top 10

İnternete açık her web uygulaması ve API, OWASP'ın Top 10 (2021) risk kategorilerine maruzdur: kırık erişim kontrolü (A01), enjeksiyon/SQLi & XSS (A03), güvensiz tasarım (A04), yanlış yapılandırma (A05) ve daha fazlası. WAF bu istekleri iki modelle yakalar: negatif güvenlik(bilinen kötü imzaları, ör. OWASP Core Rule Set ile engelleme) ve pozitif güvenlik (yalnızca beklenen girdiye izin veren beyaz liste). Modern WAF'lar ayrıca bot yönetimi, hız sınırlama (rate limiting) ve API şeması doğrulaması sunar. Kritik nokta: WAF önce log-only modunda çalıştırılıp uygulamaya göre ince ayar (tuning) yapılmadan blocking moduna alınırsa meşru trafik engellenebilir.

Lisans yenileme ve migrasyon

NGFW'lerde donanım bir kez alınır; asıl tekrar eden maliyet abonelik lisanslarıdır: IPS imza güncellemesi, antivirüs, URL filtreleme, sandbox ve merkezi yönetim. Yenileme kararında iki eşiği kontrol edin:

• EOL/EOS tarihi: Cihaz satış/destek sonuna yakınsa güvenlik imzaları ve yazılım güncellemesi kesilir; yenileme yerine migrasyon planlanmalıdır.
• Performans başarısı: Tüm güvenlik özellikleri açıkken zirve trafiği karşılayamıyorsa (paket düşürme, gecikme), donanım yükseltmesi gerekir.
• Migrasyon riski: Kural setini olduğu gibi taşımak (lift-and-shift) yerine, kullanılmayan/çakışan kuralları temizleyerek (policy cleanup) taşımak hem performansı hem denetlenebilirliği artırır.

Teknik şartnamede dikkat edilecekler

• Standart ve kapsam: Ürün markası yerine yetenek isteyin — TLS 1.3 ve IPv6 desteği, MITRE ATT&CK tekniklerine (özellikle Command & Control, Exfiltration) karşı kapsam, bağımsız test referansları.
• Entegrasyon: Firewall/WAF loglarının syslog/CEF ile SIEM'e aktarımı zorunlu madde olmalı — görünürlük ve 5651 uyumu için.
• Veri sahipliği / dışa aktarım: Konfigürasyon ve kuralların standart formatta dışa aktarılabilmesi (config export) şart koşulmalı; bu, vendor lock-in'e karşı en pratik önlemdir.
• Süreklilik: HA (active-active / active-passive) kümeleme, yük altında failover süresi ve throughput garantisi ölçülebilir tanımlanmalı.
• SLA: İmza güncelleme sıklığı, olay tespit/müdahale süreleri (MTTD/MTTR), 7/24 destek ve RMA süresi.
• Mevzuat: Log'ların yurt içinde ve 5651'e uygun saklanması, KVKK kapsamında kişisel verinin işlenmesi net olmalı.

Seçim kriterleri

Kararı objektifleştirmek için şu başlıkları puanlayın: (1) tüm özellikler açıkken gerçek threat protectionthroughput ve headroom; (2) eşzamanlı oturum ve yeni bağlantı/sn kapasitesi; (3) OWASP Top 10 ve API kapsamı (WAF için); (4) tek merkezden çok cihaz yönetimi ve rapor; (5) SIEM/SOAR entegrasyonu ve API açıklığı; (6) 3-5 yıllık toplam sahip olma maliyeti (TCO) — donanım + abonelik + destek. Bu çerçeve NIST CSF Protect fonksiyonu ve ISO/IEC 27001 ağ güvenliği kontrolleriyle (A.13 / A.8 alanı) uyumlu bir alım yapmanızı sağlar. Yapay zekânın imza-ötesi anomali tespitine katkısınısiber güvenlikte yapay zeka yazımızda veriyle ele alıyoruz.

Mevcut ağ topolojinizi ve zirve trafiğinizi birlikte değerlendirip, doğru boyutlandırılmış bir NGFW/WAF mimarisi ile şartname taslağı çıkaralım. Aşağıdaki formdan ihtiyacınızı iletmeniz yeterli.