- (0224) 322 22 90
- info@bursabilgisayar.tr
İşletmelerin internet bağlantısını yalnızca modem veya router üzerinden kullanması, özellikle kullanıcı ve cihaz sayısı arttıkça güvenlik ve yönetim açısından yetersiz kalabilir. Çalışan bilgisayarları, sunucular, kameralar, misafir Wi-Fi ağı, üretim cihazları ve şubeler aynı network içerisinde kontrolsüz şekilde haberleşiyorsa oluşabilecek bir güvenlik problemi diğer sistemleri de etkileyebilir.
Bursa Bilgisayar olarak Bursa firewall kurulumu hizmetimiz kapsamında işletmelerin network yapısını analiz ediyor; internet erişimi, kullanıcı trafiği, sunucular, VLAN’lar, VPN bağlantıları ve dışarıdan gelen erişimleri merkezi güvenlik politikalarıyla yönetilebilecek hale getiriyoruz.
Firewall kurulumunu yalnızca cihazı internete bağlamak olarak değil, işletmenin network + VLAN + VPN + sunucu + Wi-Fi + güvenlik altyapısının temel bileşenlerinden biri olarak değerlendiriyoruz.
Firewall, yani güvenlik duvarı, işletmenin networkü ile internet veya farklı ağ segmentleri arasındaki trafiği belirlenen güvenlik politikalarına göre kontrol eden sistemdir.
Basit olarak;
İnternet → Firewall → Kurumsal Network
şeklinde konumlandırılabilir.
Ancak kurumsal yapılarda firewall yalnızca internet girişinde kullanılmaz.
Örneğin:
İnternet
↓
Firewall
↓
Kullanıcı VLAN
Sunucu VLAN
Kamera VLAN
Misafir Wi-Fi
Üretim VLAN
şeklinde farklı networkler arasındaki iletişimi de kontrol edebilir.
İşletmenin mevcut altyapısına göre;
hizmetleri sunuyoruz.
Standart modem ve router sistemleri internet bağlantısını sağlamak için yeterli olabilir ancak kurumsal networklerde daha gelişmiş kontrol mekanizmalarına ihtiyaç duyulur.
Örneğin bir işletmede;
bulunuyorsa tüm sistemlerin aynı network içerisinde kontrolsüz çalışması doğru bir mimari değildir.
Firewall sayesinde farklı sistemlerin birbirleriyle ve internetle nasıl iletişim kuracağı belirlenebilir.
Kurumsal network güvenliğinin önemli bileşenlerinden biri ağın bölümlere ayrılmasıdır.
Örneğin;
VLAN 10 → Personel
VLAN 20 → Sunucular
VLAN 30 → Kameralar
VLAN 40 → Misafir Wi-Fi
VLAN 50 → Üretim
şeklinde bir yapı oluşturulabilir.
Firewall üzerinde bu VLAN’ların birbirleriyle hangi koşullarda iletişim kurabileceği belirlenebilir.
Çalışan bilgisayarları ayrı bir kullanıcı VLAN’ında konumlandırılabilir.
Bu kullanıcıların;
firewall politikaları üzerinden yönetilebilir.
Kullanıcıların ihtiyaç duymadığı kritik networklere erişimi sınırlandırılabilir.
Active Directory, File Server, ERP, SQL ve diğer kritik sunucular ayrı bir server VLAN içerisinde konumlandırılabilir.
Örneğin;
Kullanıcı VLAN → Firewall → Server VLAN
şeklinde bir mimari oluşturulabilir.
Kullanıcıların yalnızca ihtiyaç duyduğu sunucu servislerine erişmesi sağlanabilir.
IP kamera ve NVR sistemleri ayrı bir VLAN içerisinde çalıştırılabilir.
Örneğin:
VLAN 30 → IP Kameralar + NVR
Kameraların kullanıcı bilgisayarları veya sunucu networküyle gereksiz iletişim kurması engellenebilir.
Yetkili kullanıcıların NVR sistemine erişmesi için gerekli firewall kuralları oluşturulabilir.
İşletmeye gelen ziyaretçilerin şirketin kurumsal networküne bağlanması güvenlik riski oluşturabilir.
Misafir Wi-Fi için ayrı VLAN oluşturulabilir.
Örneğin:
Guest Wi-Fi → VLAN 40 → Sadece İnternet
Bu networkün;
erişimi engellenebilir.
Fabrika ve üretim tesislerinde PLC, CNC, endüstriyel bilgisayar ve diğer üretim cihazları ofis networkünden ayrılabilir.
Örneğin:
Office VLAN
↓
Firewall
↓
Production VLAN
şeklinde bir mimari oluşturulabilir.
Yalnızca gerekli sistemlerin üretim ağına erişmesine izin verilebilir.
Firewall üzerindeki güvenlik kuralları işletmenin gerçek ihtiyaçlarına göre oluşturulmalıdır.
Temel yaklaşım mümkün olduğunca:
Gerekli olan trafiğe izin ver, gereksiz olanı sınırlandır
şeklinde olmalıdır.
Örneğin muhasebe kullanıcılarının muhasebe sunucusuna erişmesi gerekirken misafir Wi-Fi kullanıcılarının aynı sunucuya erişmesi gerekmez.
Firewall üzerinde Network Address Translation yapılandırmaları gerçekleştirilebilir.
İç networkteki kullanıcıların internete çıkması veya belirli servislerin kontrollü şekilde dışarıdan erişilebilir olması için NAT politikaları oluşturulabilir.
NAT kuralları oluşturulurken gereksiz servislerin internete açılmamasına dikkat edilmelidir.
Bazı uygulamaların dışarıdan erişilebilmesi için port yönlendirme gerekebilir.
Ancak özellikle;
gibi kritik servislerin doğrudan internete açılması güvenlik açısından risk oluşturabilir.
Mümkün olduğunda uzaktan erişim için VPN gibi daha kontrollü yöntemleri tercih ediyoruz.
Birden fazla şubesi bulunan işletmelerde lokasyonlar arasında güvenli network bağlantısı oluşturulabilir.
Örneğin:
Bursa Merkez
↓
Şifreli VPN Tüneli
↓
İnegöl Şube
Bu sayede şubedeki kullanıcılar merkezdeki ERP, dosya sunucusu veya diğer sistemlere yetkileri dahilinde erişebilir.
Evden veya farklı lokasyonlardan çalışan kullanıcıların şirket sistemlerine güvenli şekilde bağlanması için Remote Access VPN kullanılabilir.
Kullanıcı;
Bilgisayar → İnternet → VPN → Firewall → Kurumsal Sistemler
üzerinden bağlantı kurabilir.
VPN kullanıcısının tüm networke erişmesi yerine yalnızca ihtiyacı olan sistemlere erişmesi sağlanabilir.
Destekleyen firewall sistemlerinde SSL VPN çözümleri kullanılabilir.
Kullanıcı doğrulaması sonrasında uzaktaki bilgisayar ile işletmenin firewall sistemi arasında şifreli bağlantı oluşturulur.
Mümkün olan sistemlerde çok faktörlü kimlik doğrulama gibi ek güvenlik katmanları değerlendirilebilir.
Firewall sistemleri farklı lokasyonları tek bir kurumsal network mimarisinde birleştirmek için kullanılabilir.
Örneğin:
Merkez
→ ERP Server
→ Active Directory
→ File Server
Şube
→ Kullanıcılar
→ Yazıcılar
Site-to-Site VPN üzerinden şube kullanıcılarının merkezdeki gerekli servislere erişmesi sağlanabilir.
Kurumsal firewall sistemlerinde desteklenen lisans ve özelliklere göre web filtreleme kullanılabilir.
İşletmenin politikasına göre belirli web kategorilerinin erişimi sınırlandırılabilir.
Örneğin;
engellenebilir.
Web filtreleme tek başına kullanıcı güvenliğini sağlamaz ancak katmanlı güvenlik yapısının bir parçası olabilir.
Yeni nesil firewall sistemleri yalnızca IP ve port üzerinden değil uygulama türlerine göre de trafik politikaları oluşturabilir.
Desteklenen platformlarda belirli uygulamaların kullanımı sınırlandırılabilir veya takip edilebilir.
Bu özelliklerin kullanılabilirliği firewall üreticisine ve lisansına göre değişir.
IDS ve IPS teknolojileri network trafiğindeki bilinen saldırı ve şüpheli aktivitelerin tespit edilmesine veya engellenmesine yardımcı olabilir.
IDS – Intrusion Detection System
şüpheli trafiği tespit etmeye odaklanır.
IPS – Intrusion Prevention System
belirlenen tehditleri engellemeye yönelik çalışabilir.
Bu sistemlerin doğru çalışması için güvenlik imzalarının güncel tutulması önemlidir.
Yeni nesil firewall sistemleri klasik port ve IP tabanlı güvenlik politikalarının ötesinde ek güvenlik özellikleri sunabilir.
Bunlar arasında;
bulunabilir.
Özellikler ve lisanslama üreticiye göre değişiklik gösterir.
Destekleyen firewall sistemleri Active Directory ile entegre edilebilir.
Bu sayede bazı güvenlik ve internet politikaları kullanıcı veya kullanıcı gruplarıyla ilişkilendirilebilir.
Örneğin;
Muhasebe Grubu
Satış Grubu
Yönetim Grubu
için farklı erişim politikaları uygulanabilir.
DNS trafiği de güvenlik politikalarının önemli bir parçasıdır.
Kullanıcıların kontrolsüz DNS servisleri kullanması yerine işletmenin belirlediği DNS altyapısı üzerinden çalışması sağlanabilir.
Desteklenen güvenlik çözümlerinde zararlı domainlere yönelik DNS filtreleme özellikleri de kullanılabilir.
Sunucuların internet erişimi de kullanıcı bilgisayarları kadar önemlidir.
Her sunucunun internete sınırsız erişmesi gerekmeyebilir.
Örneğin veritabanı sunucusunun yalnızca gerekli güncelleme veya uygulama servislerine erişmesi yeterli olabilir.
Sunucu VLAN’ı için ayrı firewall politikaları oluşturulabilir.
NAS cihazlarının doğrudan internete açılması güvenlik riskini artırabilir.
Uzaktan NAS erişimi gerekiyorsa;
Kullanıcı → VPN → Firewall → NAS
şeklinde kontrollü erişim oluşturulabilir.
NAS’a yalnızca gerekli kullanıcı VLAN’larının erişmesine izin verilebilir.
Hyper-V veya Proxmox üzerinde çalışan sanal makineler farklı VLAN’larda konumlandırılabilir.
Örneğin;
Web Server → DMZ
ERP Server → Server VLAN
Database → Database VLAN
şeklinde bir mimari oluşturulabilir.
Firewall üzerinden bu sistemlerin birbirleriyle iletişimi sınırlandırılabilir.
İnternetten erişilmesi gereken web veya uygulama sunucuları için ayrı DMZ networkü oluşturulabilir.
Örneğin:
İnternet
↓
Firewall
↓
DMZ – Web Server
↓
Firewall Politikası
↓
Database Server
Web sunucusunun şirketin tüm iç networküne erişmesi yerine yalnızca ihtiyaç duyduğu servislere erişmesi sağlanabilir.
İşletmenin iki veya daha fazla internet bağlantısı varsa firewall üzerinde Multi-WAN yapılandırması yapılabilir.
Örneğin;
Fiber İnternet → WAN1
İkinci ISP → WAN2
Ana internet bağlantısı kesildiğinde uygun yapılandırmalarda ikinci bağlantının devreye girmesi sağlanabilir.
ERP, VPN, bulut servisleri veya internet tabanlı uygulamaların kritik olduğu işletmelerde internet kesintisi önemli iş kaybına neden olabilir.
Bu nedenle;
Ana Fiber + Yedek Fiber
veya
Fiber + 4.5G/5G
gibi alternatif bağlantılar değerlendirilebilir.
Firewall üzerinden failover politikaları oluşturulabilir.
Birden fazla internet bağlantısının bulunduğu yapılarda uygun firewall sistemleri üzerinden trafik dağıtımı gerçekleştirilebilir.
Ancak load balancing ile failover aynı şey değildir.
İşletmenin internet kullanım yapısına göre doğru yöntem belirlenmelidir.
Firewall üzerinde gerçekleşen network olayları loglanabilir.
Loglar;
hakkında bilgi sağlayabilir.
Log saklama süresi işletmenin ihtiyacı ve kullanılan firewall kapasitesine göre planlanmalıdır.
Firewall sisteminin;
izlenebilir.
Kritik bağlantıların kesilmesi veya sistem problemleri için uygun durumlarda uyarı mekanizmaları oluşturulabilir.
Firewall üzerinde oluşturulan;
işletmenin network altyapısı için kritik yapılandırmalardır.
Bu nedenle firewall konfigürasyonunun düzenli olarak yedeklenmesi önemlidir.
Firewall firmware ve güvenlik servislerinin güncel tutulması önemlidir.
Ancak kritik üretim ortamlarında güncelleme doğrudan uygulanmamalıdır.
Güncelleme öncesinde;
kontrol edilmelidir.
Mevcut firewall kapasite veya güvenlik açısından yetersiz hale geldiyse yeni sisteme migration gerçekleştirilebilir.
Eski firewall üzerindeki;
analiz edilerek yeni cihaz üzerinde yeniden yapılandırılabilir.
Yeni sistem doğrulanmadan eski firewall tamamen devreden çıkarılmamalıdır.
Firewall seçerken yalnızca internet hızına bakmak yeterli değildir.
Dikkate alınması gerekenler arasında;
bulunur.
Özellikle IPS ve diğer güvenlik servisleri aktif olduğunda cihazın gerçek throughput kapasitesi değerlendirilmelidir.
10–20 kullanıcılı işletmelerde de firewall kullanımı faydalı olabilir.
Örneğin;
Personel
Misafir Wi-Fi
Kameralar
NAS
olmak üzere farklı networkler oluşturulabilir.
Kullanıcı sayısının düşük olması şirket verisinin değersiz olduğu anlamına gelmez.
Fabrikalarda IT ve OT sistemlerinin birbirinden ayrılması özellikle önemlidir.
Ofis kullanıcılarının üretim networküne kontrolsüz erişimi engellenebilir.
Örneğin:
Office Network
↓
Firewall
↓
Production Network
↓
PLC / CNC / Endüstriyel Sistemler
şeklinde segmentasyon yapılabilir.
Üretici veya servis firmalarının uzaktan erişimleri de kontrollü VPN politikalarıyla yönetilebilir.
Birden fazla şubesi bulunan işletmelerde her lokasyonda uygun firewall sistemi kullanılabilir.
Şubeler Site-to-Site VPN üzerinden merkeze bağlanabilir.
Merkezde bulunan;
şubeler tarafından kontrollü şekilde kullanılabilir.
Genel olarak firewall projesini şu şekilde planlıyoruz:
Firewall seçiminde marka kadar işletmenin gerçek ihtiyacı önemlidir.
Farklı projelerde Fortinet FortiGate, Sophos, WatchGuard, pfSense/OPNsense tabanlı çözümler veya farklı kurumsal güvenlik platformları değerlendirilebilir.
Seçim sırasında;
birlikte değerlendirilmelidir.
Firewall ve network güvenlik çözümlerimiz özellikle;
için planlanabilir.
Bursa Bilgisayar olarak firewall kurulumunu yalnızca cihazın WAN ve LAN portlarını bağlayarak internete çıkış vermek şeklinde değerlendirmiyoruz.
Firewall + Network + VLAN + VPN + Wi-Fi + Sunucu + Active Directory + NAS + Sanallaştırma + Monitoring altyapısını birlikte ele alıyoruz.
Bu sayede işletmenin kullanıcılarını, sunucularını, kameralarını, misafir ağını ve diğer cihazlarını kontrollü network segmentlerine ayırarak daha yönetilebilir ve güvenli bir kurumsal IT altyapısı oluşturmayı hedefliyoruz.
İşletmenizde halen standart modem/router kullanılıyor, kullanıcılar ile sunucular aynı networkte çalışıyor, şubelerinizi güvenli şekilde birbirine bağlamak istiyor veya mevcut firewall sisteminizi yenilemeyi planlıyorsanız altyapınızı birlikte değerlendirebiliriz.
Bursa Bilgisayar olarak Bursa firewall kurulumu, kurumsal firewall, güvenlik duvarı kurulumu, FortiGate kurulumu, Sophos firewall, VPN kurulumu, VLAN yapılandırma ve network güvenliği ihtiyaçlarınız için işletmenize uygun güvenlik altyapısını planlıyor, kuruyor ve yapılandırıyoruz.
