Daha önce yayınlanan Fortigate UTM firewall makalesini uyguladığınızı ve hiç bir kısıtlamaya takılmadan internete çıkmış olduğnuzu düşünerek makalemizin ikinci konusu olan Fortigate UTM Firewall üzerinde Web Filter Uygulamasını anlatacağız. Bu makale sonunda firewallımızın arkasında bulunan kullanıcılarımıza engelleme, kıstlama yaparak firewallımızın bir çok özelliğinden yararlanacak ve güvenliğimizi arttıracağız.
Konumuza geçmeden önce, bir şirket için WEB filtrelemenin öneminden bahsetmek isterim. Bilindiği gibi (x)DSL teknolojisi ile birlikte internet son yıllarda hayatımıza hızlı bir şekilde girdi ve hemen hemen bu teknolojiye ulaşmak çok kolay bir hal aldı. Bu teknolojinin avantajlarını ve dezavantajlarını saymakla bitiremeyeceğimizi hepimiz çok iyi bilmekteyiz.
Makalemizin konusu itibari ile avantajlarından değil ama dezavantajlarından bahsedeceğiz ve İnternete çıkışımızı sağlayan modemimizin hemen arkasında bir firewall bulundurmadığımız zaman karşılaşabilecek olduğumuz problemleri ve Fortigate Firewall ile bu problemleri nasıl önleyeceğimizi anlatacağız.
Bilindiği üzere bir çok ülkede, ülkenin kendi örf, adet ve geleneklerine uygun olarak hazırlanan yasalar vardır ve bu yasalar çercevesinde kurallara uyulmadığı taktirde ciddi yaptırımlar bulunmaktadır. Bir çok kez haberlerde, gazetelerde konuyla ilgili yazıları görüntüleri görmüşsünüzdür. Çocuk pornosu içeren siteye giren X kişi yakalandı veya tespit edildi. Sanal ortamda kumar oynayan kişiler yakalandı gibi haberler sırasıyla uzar gider.
Şirketiniz için işveren veya bilgi işlem sorumlusu sunuz ve gün geldi kapınız böyle bir suçtan ötürü çalındı. Elimizde ki senaryoya göre elinizde bir firewall vardır ve düzenli olarak kayıtları tutuyorsunuzdur ve kayıtlarınızı kontrol ederek firewalınızın özelliğine göre kim, nereye ne zaman, hangi bilgisayardan gibi soruları çok rahatlıkla cevaplar ve böyle bir suçtan ötürü muattab olmadığınızdan ötürü kendinizi rahat hisseder ve yüz karartıcı bir suça ortak olmadığınız için mutlu olursunuz. Eğer elinizde iyi yapılandırılmış bir firewall var ise zaten böyle bir siteye giriş hiç olmamıştır.
Pekala biz her zamanki gibi kötüyü düşünelim ve elimizde gerekli kısıtlamaları gerçekleştiren veya ilgili kayıtları tutan bir firewall yoksa ne yapacağız ? Elbette hiç bir şey. Çünkü suç unsuruna karşın kendimizi koruyacak, kendimizi haklı çıkartacak bir delil yoktur ve şirket içerisinden herhangi birisinin yaptığını tespit edemediğimiz sürece şirket yetkilisi, sahibi olarak şuç otomatik olarak bize kalmaktadır ve cezasına da katlanmak durumundayız.
Son zamanlar da TBMM internet suçları konusunda yeni kararların üzerinde durmakta ve ciddi yaptırımları beklemekteyiz.
Yukarıda belirtilen özelliklerin dışında web filtrelemesine, dış ortamlardan networkümüze girmekte olan, istenmeyen vdataları engellemeyi, internet hızımızın gereksiz yere yavaşlamasını önlemek ve çalışanlarımızın iş harici bir şeyler ile uğraşmamasını elbetteki isteriz. Bu gibi soru ve sorunlarımızın tek cevabı iyi bir firewall dan ve bu firewallın isteklerimize uygun olarak yapılandırılmasından geçmektedir.
Bizler bu yazımızda Fortigate Firewall üzerinde Web kısıtlamalarına değineceğiz.
Firewall’ımız ilk yapılandırdıktan sonra, fazladan hiç bir işlem yapmaksızn internet erişimini bizlere sağlayacaktır. Default olarak üzerinde bulunan kural yukarıda ki gibi olup
İnternal (içeride) bulunan,
Hedefi her yer olan,
Bütün zamanlarda,
Her hangi bir servis için,
Hiç bir profile (yazımızın ilerleyen kısmında oluşturacak olduğumuz şablonlar) takılmaksızın
Kabul et.
Resimde görülen işaretli kural varsayılan olarak Firewall’ımız üzerinde bulunmakta olup amacımıza uygun olarak silebilir, düzenleyebilir veya oluşturacak olduğumuz ek kuralara göre uygulanma sırasını değiştirebiliriz.
Firewallımızın yapılandırılmasını bitirdikten sonra Firwall’ımızı https://support.fortinet.com/Login/UserLogin.aspx linkinden daha önce almış olduğumuz, kullanıcı adımızı ve şifremizi doğrulayarak yapabilmekteyiz.
Kayıt işlemi ile ilgili ek bir bilgi vermemiz gerekirse, üyelik alabilmemiz için en az bir adet Fortigate ürününü kayıt ettirmiş veya kayıt ettirmek üzere olmak durumunda olmamız gerekmktedir. Kayıt işlemimizi yaptıktan sonra bizlere sağlayacak olduğu avantajlar daha önce kayıt ettirmiş olduğumuz ürünlerin durumlarını görmek, gerekli Firmware Version’ ları için gerekli dosyaları indirmek, öğrenmek, Üzerinde bulunan Antivirüs yazılımlarının bitiş tarihlerini öğrenmek, güncelleştirmek gibi bir çok avantajları bulunmaktadır.
Kayıt işlemimizi bitirdikten sonra ürünümüz üzerinde System \ Maintenance \ FortiGuard Center içerisine girerek yukarıda ki resim de görülen Update bölümlerini tıklayarak ürünümüz üzerinde ki gerekli yazılımları güncelleştiriyoruz.
Aynı bölümde bulunan AntiVirus and IPS Downloads ve Web Filtering and AntiSpam Options bölümlerini açabilir, diğer zamanlar da isteğe bağlı olarak manuel download edebilir veya güncelleme zamanlarını belirleyebiliriz.
Gerekli işlemleri yaptıktan sonra minumum 5 dk içinde ürünümüz yukarıdaki görüntüyü alacak ve gerekli siteleri, virüs bilgilerini fortinet sitesinden hafızasına yükleyecektir. (Yeniden başlatmamız gerekebilir.)
Gerekli kuralları oluştura bilmemiz için ürünümüz içerisinde kullanıcılar ve isteğe bağlı olarak bu kullanıcıları toparlayacak olduğumuz gruplar olması gerekmektedir.
Kullanıcıları oluşturmak için Firewall \ Address bölümü altında Create New butonuna basarak yeni açılan sayfada kullanıcımızın ismini kullanmış olduğu bilgisayarın IP adresine göre eşleştiriyoruz. Buradaki sorunumuz eğer kullanıcımız ip adresini değiştirirse ne olacak? Tahmin edebileceğiniz gibi değiştirmiş olduğu ip adresinie uygulanan kurala uygun olarak gerekli eylemler uygulanacaktır. Kulanıcımızın IP adresi gibi değişken bir numaranın yanısıra konsol yardımı ile MAC Adresi gibi sabit numarası ile de kısıtlama yapabilmekteyiz.
Dikkat edilmesi gereken tek bir ip adresi gireceksek eğer 32 bitlik bir blok ki yani tek bir IP adresini temsil eden 255.255.255.255 olarak yazmak durumundayız. Yok eğer bir network için oluşturacaksak 255.255.255.0, 255.255.0.0,255.255.128.0 gibi networkleri veya alt ağlara bölünmüş network ID lerini yazmalıyız.
Kullanıcılarımızı Ip adresleri ile eşleştirdikden sonra kurallarımızın fazla olmaması için bunları gruplar içerisine topluyoruz ve tek tek kişi bazlı kural yazmanın yerine gruba kurallar yazarak hem iş yükümüzü hafifletiyor hemde firewallımız üzerinde fazladan kurallar ıluşmasını engelleyebiliyoruz. Yazımızın ilerleyen kısmında kişiye özel kural yazımını da anlatacağız.
Yukarıda resimde görülen gruplarımızdan bahsetmemiz gerekirse ilk kuralımız makalemiz ile ilgili olmayıp Publish makalesinin kuralıdır ve bu kuralı göz ardı etmenizi isteyecğim, ikinci kuralımızdan bahsetmemiz gerekirse;
WEB Deny ki bu gruba üye olan kullanıcılarımız internet erişimi sağlayamayacaklar.
Web Filter Acces grubumuz içerisinde olan kullanıcılarımız uygulayacak olduğumuz policyden süzüldükten sonra internete çıkabilecekler.
Web Un Filter Acces ise hiç bir filitrelemeye tabi kalmaksızın internet çıkışı yapabilecekler.
Firewall \ Address bölümü altında Gruop bölümü altında yukarıda ki resimde görüldüğü gibi ihtiyacımız doğrultusunda gruplarımızı oluşturabiliyoruz.
Kullanıcılarımız ve Gruplarımızı oluşturduktan sonra Forigate Firewall’ımız register (kayıt işlemi ) tamamlandıysa eğer Fortinet sitesinin kuralları uygulanarak kısıtlamalar yapılabilmektedir.
Eğer biz istersek özelleştirilmiş kısıtlamalarda yapabilmekteyiz. Bu kısıtlamalar ki istemediğimiz kelimeleri barındıran sitelerin açılmamasını, istemediğimiz uzantıda ki dosyaların networkümüze giriş yapılmamasını, istemediğimiz sitelere gidilmemesin gibi bir çok bölümü özelleştirebiliyoruz.
Bu kuralları tek tek oluşturmamız gerekirse ilk olarak.
Web Filter \ Content Block \ Web Content Block bölümü altına gelip bir adet yasaklı kelimeler grubu oluşturuyoruz.
Resimde ki ilgili yeri açarak istemediğimiz kelimeler YASAK KELIMELER adlı templatenin altına giriyoruz.
İlgili bölüm açıldıkdan sonra kullanıcılarımızın web browserinda görülmesini istemediğimiz kelimeleri tek tek girebiliyoruz ve istersek gelen mail içerisinde bu kelimeler olursa yok edilmesini veya spam olarak işaretlenmesini sağlayabiliyoruz.
Bilindiği gibi buna benzer bir kural ISA Server 2000 üzerinde vardı ve bu kural yüzünden çıkan bir çok problem yüzüne ISA Server 2004 de bu özellik kaldırılmıştır. Sebebi ise örnek vermemiz gerekirse biz SEX kelimesi geçen siteyi yasakladık. Ve bu kelime gayet normal bir site içerisinde geçerse eğer misal olarak bir haber sitesinde bir sağlık sitesinde otomatik olarak bu kelime geçtiği için ilgili site artık açılmayacak. Örnek vermem gerekirse bu firewall üzerinden nete çıkan bir client benim bu makalemi okuyamayacak J
Bu özelliği belirttikten sonra kullanmak sizin elinizde olan bir özeliktir..
Özelleştirmemizin ikinci bölümüne geçersek eğer YASAKLI WEB SITELERI. Eğer bizler fortinet firmasının belirlemiş olduğu sitelere bağlı kalmaksızın kendi yasaklanacak veya izin verilecek sitelerimizin de olmasını istersek Web Filter \ URL Filter altında kendi belirlediğimiz isimde bir şablon oluşturuyor ve resimde görüldüğü gibi ilgili yere tıklayarak kendi yasaklı sitelerimizi belirleyebiliyoruz. Veya kuralımızı sadece izinli diyerek, girilmesini istediğimiz siteleri yazarız ve bunlar haricinde bütün siteleri de yasak kuralı oluşturabiliriz.
Yukarıda görüldüğü gibi istemediğimiz siteleri Create New bölümü altında belirleyebiliyoruz.
Ben www.esersolmaz.com adlı web sitesine benim networküm içerisinde girilmesini istemediğim için yazıyorum ve sitemizi yazarken bu sitenin otomatik olarak block lanmasını ve aktif olmasını sağlıyorum.
Web Sitesi ekleme işlemini daha sonra ilgili yerlerden arttırabilir, silebilir veya pasif duruma getirebiliriz.
Web üzerinden, Mail veya P2P programlar üzerinden networkümüze herhangi bir istenmeyen dosya girmemesini isteyebiliriz. Bu dosyalar ki yukarıda ki resimde görüldüğü gibi gerekli uzantılarda ki dosyalar olabilir. İstenmeyen uzantıya sahip dosya uzantılarını eklemek için AntiVirus \ File Pattern \ altında default olarak builtin-patterns adında bir sablon bulunmakta olup (bu silinememektedir) düzenleyebiliriz. Ama ek olarak bu sablona ekleme yapabilir, şablonun içerisinde bulunan uzantıları pasif duruma getirebiliriz veya silebiliriz.
ISA 2004 Server üzerinden tanıdık olduğumuz bir kural. Isa Server üzerinde SMT FILTER / MESSAGE SCREANER kurarak içeride bulunan Mail serverimiza istemediğimiz uzantıdaki mail hesaplarından gelen postaları içeriye alınmamasını isteyebiliyorduk. Buna benzer bir kuralı ise Fortigate firewall üzerinde tanımlama imkanımız bulunmaktadır. Yasak mail listelerini belirterek bu uzantıda ki, belirtmiş olduğumuz mail hesabı üzerinden veya istemediğimiz domainlerin ip adreslerini biliyorsak ip adreslerine göre belirleye biliyor, isteğimize göre bu domainleri Spam olarak belirleye bilir veya hemen temizlemesini isteyebiliriz.
Not : Bu özellik İsa Server 2006 da bulunmamaktadır.
Bu kuralımızı oluşturmak için firewallımız içinde AntiSpam \ Black/White List bölümü altından yapılandırabiliriz.
Fortinet sitesinden gerekli güncelleştirmelerimizi aldık ve Kendimize özgü özelleştirilmiş templatelerimizi hazırladıkdan sonra artık firewallımız üzerinde gerekli kuralları oluşturmaya sıra geldi. Soframızı kuruk yemeğimizi yemeye başlayabiliriz.
Firewallımız üzerinde Firewall \ Protection Profile bölümü altına geldiğimiz zaman default olarak scan, strict, unfiltered, web isimlerinden oluşmak üzere dört adet koruma profili bulunmakta olup, bunların hepsi bir birinin aynısıdır ve düzenlememiz için bizleri beklemektedir.
Bu kuralları silebildiğimiz gibi kendimize özgü bir kural da oluşturabiliriz.
Protection Profile’ mizi eğer bir kuralımızın içine entegre ettik isek bu profile yi silemeyiz. Resim de görüldüğü gibi web profilesini kullandığım için yanında ki silme butonu bulunmamaktadır. Bu buton sayesinde profilenin kullanılıp –