FortiGate Firewall Kurulumunda Kritik Kontroller

Yeni bir FortiGate kurulumunda ilk hafta yapılan tercihler, cihazın yıllarca nasıl yönetileceğini belirler. Bu rehber; yönetim erişimi, zone tasarımı, NAT, güvenlik profilleri, VPN, loglama ve yaşam döngüsü başlıklarında kurulum öncesi ve sonrası kontrol edilmesi gerekenleri bir kontrol listesi olarak toplar. Aynı ilkeler Palo Alto Networks, Cisco, Check Point veya Sophos gibi diğer platformlara da kendi terminolojileriyle uygulanabilir.

1. Yönetim düzlemini en baştan kapatın

Güvenlik duvarının kendisi, korumakla görevli olduğu ağdaki en değerli hedeflerden biridir. Bu nedenle yönetim arayüzüne erişim kurulumun ilk adımında sınırlandırılmalıdır.

• HTTPS ve SSH yönetim erişimini WAN arayüzlerinde kapatın; yalnızca yönetim ağından veya belirli yönetim istasyonlarından erişime izin verin (FortiOS’ta trusted host tanımları).
• Varsayılan admin hesabını kişisel yönetici hesaplarıyla değiştirin; her yöneticinin kendi hesabı ve MFA’sı olsun.
• SNMP kullanılıyorsa SNMPv3’ü tercih edin, topluluk dizelerini ve izin verilen kaynakları sınırlayın.
• Kullanılmayan yönetim servislerini (HTTP, Telnet) devre dışı bırakın.

2. Zone tasarımını politikadan önce yapın

Arayüzleri doğrudan politikalarda kullanmak yerine LAN, sunucu, DMZ, misafir, yönetim ve gerekiyorsa üretim (OT) için zone’lar tanımlamak, kural tabanını okunabilir ve genişletilebilir yapar. Her zone çifti arasında hangi trafiğin gerektiği, kural yazılmadan önce bir tabloda belirlenmelidir.

3. NAT ve dışarı açılan servisler

Port yönlendirme (VIP / destination NAT) ile internete açılan her servis bir saldırı yüzeyidir. Her VIP için iş sahibi, gerekçe ve mümkünse kaynak IP kısıtı kayıt altına alınmalıdır. Uzaktan masaüstü (RDP) gibi yönetim protokollerini doğrudan internete açmak yerine VPN veya ZTNA kullanılmalıdır.

4. Güvenlik profillerini her izin kuralına bağlayın

Bir izin kuralı yalnızca trafiğin geçmesine izin verir; içeriği denetleyen IPS, uygulama kontrolü, web filtreleme, DNS filtreleme ve antivirüs profilleridir. İnternet çıkış kurallarında bu profillerin uygulanmaması sık görülen bir eksikliktir. Şifreli trafiğin büyük kısmını görmek için SSL inceleme (deep inspection) gerekir; bu da sertifika dağıtımı ve istisna listesi (ör. bankacılık, sağlık siteleri) planlamasını gerektirir. IPS ve SSL inceleme açıkken cihazın gerçek kapasitesinin düştüğünü kapasite planlamasında hesaba katın.

5. VPN: MFA ve IPsec

Uzak erişimde MFA zorunlu olmalı ve kullanıcı gruplarına göre yalnızca gerekli hedeflere izin verilmelidir. Fortinet, FortiOS 7.6.3 sürümüyle SSL VPN tünel modunu kaldırmış ve IPsec VPN’i önermektedir; yeni kurulumlarda IKEv2 tabanlı IPsec ile başlamak, sonraki yükseltmelerde geçiş ihtiyacını ortadan kaldırır. Ayrıntılar için VPN ve güvenli uzak erişim sayfamıza bakabilirsiniz.

6. Loglama ve izleme

• İzin ve engelleme kurallarında loglamayı açın; en azından internete açık servisler, VPN ve yönetim erişimi kayıt altına alınmalıdır.
• Logları cihaz üzerinde değil, merkezi bir log sistemine (FortiAnalyzer, syslog veya SIEM) gönderin; saat senkronizasyonu (NTP) doğru olmalıdır.
• Yönetim girişlerinde başarısız deneme, yapılandırma değişikliği ve HA durum değişikliği için alarm tanımlayın.

7. Yaşam döngüsü: firmware, yedek ve HA

Firmware sürümünü üreticinin önerdiği kararlı sürümler arasından seçin, güvenlik bültenlerini takip edin ve yükseltmeyi test planıyla yapın. Yapılandırma yedeğini otomatik ve cihaz dışında saklayın. Yüksek erişilebilirlik (HA) kullanılıyorsa senkronizasyon durumunu ve yük devri testini düzenli doğrulayın.

Kurulum sonrası kontrol listesi

1. WAN tarafından yönetim arayüzüne erişilemiyor mu?
2. Her yöneticinin kişisel hesabı ve MFA’sı var mı?
3. “all/any” servisli izin kuralı kaldı mı?
4. İnternet çıkış kurallarında IPS, uygulama ve web filtreleme profilleri uygulanıyor mu?
5. Dışarı açılan her VIP’in iş sahibi ve gerekçesi kayıtlı mı?
6. Loglar merkezi sisteme ulaşıyor mu, saat doğru mu?
7. Yapılandırma yedeği cihaz dışında ve geri yüklemesi test edildi mi?

Mevcut bir firewall’un kural tabanını gözden geçirmek veya yeni kurulumu planlamak için Firewall Kurulumu ve Kural Yönetimi hizmetimizi inceleyebilirsiniz; iç ağ ayrımı için ağ segmentasyonu ile birlikte planlanmasını öneririz.