FortiGate Yapılandırmasında 5 Altın Kural

FortiGate, KOBİ'lerden büyük kurumlara kadar çok yaygın kullanılan bir güvenlik duvarı ailesi. Ancak denetimlerde sıklıkla şunu görüyoruz: Cihaz güçlü, fakat yapılandırma kurulum günündeki haliyle kalmış. Aşağıdaki beş kural, FortiGate'inizden gerçek anlamda koruma almanızı sağlar.

Kural 1: Yönetim arayüzünü dışarıya kapatın

Yönetim paneline internetten erişilebilmesi, saldırganların ilk denediği kapılardan biridir.

• WAN arayüzünde HTTPS, SSH ve diğer yönetim erişimlerini kapatın.
• Yönetim erişimini yalnızca belirli iç ağlardan veya VPN üzerinden verin.
• Yönetici hesaplarında güvenilir IP (trusted hosts) tanımlayın.
• Varsayılan "admin" hesabını kullanmak yerine kişiye özel hesaplar açın ve çok faktörlü doğrulama (MFA) etkinleştirin.

Kural 2: "Hepsine izin ver" kurallarından kurtulun

Kaynağı, hedefi ve servisi "all" olan bir kural, güvenlik duvarının varlık sebebini ortadan kaldırır.

• Her kural için en az yetki prensibini uygulayın: Kim, nereye, hangi servisle erişecek?
• Kurallara açıklayıcı isimler ve yorumlar ekleyin.
• Kullanılmayan kuralları düzenli olarak tespit edip kaldırın. FortiGate'in kural bazlı kullanım sayaçları bu iş için oldukça faydalıdır.
• Gelen trafiği yayınlamak (port yönlendirme) zorunluysa, erişimi mümkün olduğunca belirli kaynak IP'lerle sınırlayın.

Kural 3: Güvenlik profillerini gerçekten kullanın

Sadece port bazlı izin veren bir kural, trafiğin içeriğini denetlemez. İnternete çıkan ve yayınlanan servislere giden kurallarda:

• IPS (saldırı önleme),
• Antivirüs,
• Web filtreleme ve uygulama kontrolü

profillerini etkinleştirin. Şifreli trafiğin büyük bölümünü incelemek istiyorsanız SSL denetimini, sertifika dağıtımını ve gizlilik gerekliliklerini planlayarak devreye alın.

Kural 4: Firmware'i güncel tutun, ama plansız güncellemeyin

Güvenlik duvarlarında kritik zafiyetler zaman zaman yayımlanır ve saldırganlar bu zafiyetleri çok hızlı istismar eder.

• Fortinet'in güvenlik duyurularını (PSIRT) takip edin.
• Üreticinin önerdiği kararlı sürümleri tercih edin; en yeni sürüm her zaman en uygun sürüm değildir.
• Güncellemeden önce mutlaka yapılandırma yedeği alın ve bakım penceresi planlayın.
• Uzaktan erişim için VPN kullanıyorsanız, bu servisin güncelliğine ayrıca özen gösterin; mümkünse IPsec tabanlı yapıları ve MFA'yı tercih edin.

Kural 5: Kayıt tutun, yedek alın, değişiklikleri yönetin

Bir olay yaşandığında kayıt yoksa, ne olduğunu anlamak neredeyse imkânsızdır.

• Trafik ve olay kayıtlarını cihaz üzerinde bırakmak yerine FortiAnalyzer veya merkezi bir log sistemine gönderin.
• Yapılandırma yedeklerini otomatik ve düzenli alın, cihaz dışında saklayın.
• Her değişikliği kim, ne zaman, neden yaptı sorularına yanıt verecek şekilde kayıt altına alın.
• Yöneticiler için ortak hesap kullanmayın; her işlem bir kişiye bağlanabilmelidir.

Bonus: Düzenli gözden geçirme

Ağlar sürekli değişir: Yeni servisler eklenir, çalışanlar ayrılır, projeler biter. Güvenlik duvarı yapılandırmasını en az altı ayda bir gözden geçirmek, zamanla biriken riskleri temizlemenin en etkili yoludur.

Sonuç

FortiGate, doğru yapılandırıldığında kurumunuzun en önemli savunma katmanlarından biridir. Yönetim erişimini kısıtlamak, kuralları sadeleştirmek, güvenlik profillerini kullanmak, firmware'i planlı güncellemek ve kayıt tutmak; saldırı yüzeyinizi ciddi ölçüde küçültür.

Mevcut güvenlik duvarı yapılandırmanızın bir uzman gözüyle incelenmesini isterseniz, ekibimiz yerinde veya uzaktan denetim yapabilir.