Firewall Kural Temizliği: Gölge, Yedek ve Any-Any Kurallar

Öne çıkanlar

Gölge kural hiç eşleşmez; yedek kural başka bir kuralla aynı işi yapar.
Hit count sıfır olması tek başına silme gerekçesi değildir; gözlem süresi ve mevsimsel trafik dikkate alınmalıdır.
Any-any kuralları önce daraltılır, sonra kaldırılır: trafik verisi esastır.
AI ajanı analiz ve taslağı hazırlar; devre dışı bırakma ve silme insan onayıyla yapılır.

Firewall kural tabanları zamanla büyür: projeler için açılan geçici erişimler kapatılmaz, aynı talep farklı ekiplerce iki kez girilir, acil durumda eklenen geniş kurallar kalıcılaşır. Sonuçta kural tabanı hem okunması zor hem de saldırı yüzeyini gereksiz genişleten bir yapıya dönüşür. Bu rehber, temizlik için temel kural tiplerini ve AI ajanının bu süreçte nasıl kullanılabileceğini anlatır.

Temizlik adayı kural tipleri

Gölge (shadowed) kural

Daha yukarıdaki bir kural aynı trafiği tamamen kapsadığı için hiçbir zaman eşleşmeyen kuraldır. Örneğin üstte 10.0.0.0/16 ağından bir sunucuya HTTPS'e izin veren bir kural varken, altta 10.0.5.0/24 ağından aynı sunucuya HTTPS izni veren kural gölgede kalır. Daha tehlikeli durum, alttaki gölge kuralın deny olmasıdır: yazan kişi trafiği engellediğini düşünür ama yukarıdaki izin kuralı nedeniyle trafik geçer.

Yedek (redundant) kural

Başka bir kuralla aynı sonucu üreten, kaldırıldığında davranışı değiştirmeyen kuraldır. Gölge kural yedek kuralın özel bir türüdür; yedeklik bazen alttaki geniş bir kuralın üstteki dar kuralı kapsaması şeklinde de görülür.

Kullanılmayan kural

Belirli bir gözlem süresince hiç trafik eşleşmeyen kuraldır. Hit count verisi bu tespitin temelidir, ancak sayaçların cihaz yeniden başlatma veya HA geçişi ile sıfırlanabileceğini, bazı uygulamaların yalnızca çeyrek sonu veya yıl sonu gibi dönemsel trafik ürettiğini unutmayın.

Any-any ve aşırı geniş kurallar

Kaynak, hedef veya serviste "any" bulunan kurallar. Tamamen any-any-any izin kuralları en yüksek risklidir; ancak "hedef any, servis any" gibi kısmi genişlikler de dikkat gerektirir. Bu kurallar genellikle bir sorunu hızlıca çözmek için eklenmiş ve sonra unutulmuştur.

Süresi dolmuş ve sahipsiz kurallar

Açıklama alanında proje adı veya bitiş tarihi bulunan, ancak tarihi geçmiş kurallar; ya da hiçbir talep veya sahiple ilişkilendirilemeyen kurallar. Bunlar teknik değil süreç kaynaklı bulgulardır ama temizlikte önemli yer tutar.

AI ajanının rolü

Kural analizi büyük ölçüde deterministik bir iştir: gölge ve yedek kural tespiti için kural sırası, obje çözümleme ve küme karşılaştırması gerekir. Bu hesaplamayı ajan yerine bir analiz aracına veya ajanın çağırdığı deterministik bir fonksiyona yaptırmak daha güvenilirdir. AI ajanının asıl katkısı şuralardadır:

Analiz sonuçlarını kural sahibine, uygulamaya ve iş bağlamına göre gruplayıp okunabilir rapora dönüştürmek.
Kural açıklamaları, ticket geçmişi ve CMDB kayıtlarından kural sahibini ve amacını tahmin etmek, tahmin olduğunu belirterek.
Any-any kurallar için trafik loglarından gerçekte kullanılan kaynak, hedef ve servisleri çıkarıp daraltılmış kural taslağı önermek.
Her öneri için etki analizi ve geri alma adımı içeren change request taslağı hazırlamak.
Kural sahiplerine gönderilecek doğrulama sorularını yazmak ve yanıtları takip etmek.

Güvenli temizlik sırası

Yedek alın: mevcut konfigürasyonun tam yedeği ve kural tabanının dışa aktarımı.
Analiz edin: gölge, yedek, kullanılmayan, geniş ve süresi dolmuş kuralları ayrı listelerde toplayın.
Önceliklendirin: önce risk azaltan değişiklikler (gölgedeki deny kuralların neden etkisiz olduğunun incelenmesi, any-any kurallar), sonra okunabilirliği artıran değişiklikler.
Doğrulayın: kural sahipleriyle teyit edin; sahibi bulunamayan kurallar için bir bekleme süresi tanımlayın.
Devre dışı bırakın: silmeden önce kuralı disable edin ve tanımlı bir süre gözlemleyin. Bu süre boyunca deny loglarını ve kullanıcı şikayetlerini izleyin.
Silin: gözlem süresi sorunsuz geçtiyse onaylı change ile kaldırın.
Kaydedin: yapılan her değişikliği, onay kaydı ve gerekçesiyle denetim izine işleyin.

Örnek senaryo

Temsili bir örnek: bir kural tabanında "Kaynak: any, Hedef: Uygulama-Sunucusu, Servis: any, İşlem: izin" şeklinde bir kural bulunuyor. Ajan, son gözlem dönemindeki trafik loglarını inceleyerek bu kurala eşleşen trafiğin iki iç ağdan, yalnızca HTTPS ve belirli bir uygulama portundan geldiğini raporluyor. Önerisi; bu iki ağ ve iki servisle sınırlı yeni bir kural, eski kuralın devre dışı bırakılması için bir change taslağı ve geri alma adımı. Network ekibi uygulama sahibine teyit ettirdikten sonra değişikliği onaylıyor ve bakım penceresinde uyguluyor.

Sürekli hijyen

Tek seferlik temizlik, süreç değişmezse birkaç yıl içinde tekrarlanmak zorunda kalır. Yeni kurallarda sahip, gerekçe ve bitiş tarihi alanlarını zorunlu tutmak; ajanın periyodik olarak yeni gölge ve geniş kuralları raporlaması; süresi yaklaşan kurallar için sahiplere hatırlatma göndermesi kalıcı bir hijyen döngüsü kurar.

Sık sorulan sorular

Hit count sıfır olan kuralı hemen silebilir miyim?

Önerilmez. Önce sayaçların ne zamandan beri tutulduğunu kontrol edin, dönemsel trafiği düşünün ve kuralı silmeden önce devre dışı bırakıp gözlemleyin.

AI ajanı gölge kuralları kendisi mi hesaplar?

Bu hesaplama için deterministik analiz araçları daha güvenilirdir. Ajan bu analiz sonuçlarını yorumlar, bağlam ekler ve değişiklik taslağı hazırlar.

Birden fazla üreticinin firewall'u varsa yaklaşım değişir mi?

İlke aynıdır; kural sırası, obje modeli ve hit count verisinin nasıl alındığı üreticiye göre değişir. Analiz katmanı her ürünün modeline uygun çalışmalıdır.

İlgili çözümler

İlgili rehberler

confidenya

Bu adımları kendi ortamınızda planlayalım

Hiçbir değişiklik insan onayı olmadan canlıya alınmaz. Güvenlik ürünlerinizin yönetimini AI ajanlarına kademeli ve denetlenebilir şekilde devretmek için ekibimizle görüşün.

Ekibimizle görüşün

Bu içerik genel bilgilendirme amaçlıdır. Kurumunuza özel kararlar için uzman değerlendirmesi önerilir.

Firewall kural tabanı temizliği: gölge, yedek ve any-any kurallar (AI destekli yaklaşım)