Kurumsal ağ güvenliğinin omurgasını oluşturan firewall cihazları, doğru kurulmadığı ve yönetilmediği takdirde kağıt üzerinde güvenlik sağlıyor görünse de pratikte ciddi açıklar bırakabiliyor. FortiGate, piyasadaki en yaygın kullanılan next-generation firewall (NGFW) çözümlerinden biri ve AFN Teknoloji olarak Fortinet'in resmi iş ortağı sıfatıyla bu cihazları İstanbul'daki birçok kurumsal müşterimizde kurup yönetiyoruz. Bu yazıda kurulumdan günlük yönetime kadar pratikte karşılaştığımız gerçek senaryoları paylaşıyoruz.
FortiGate Kurulumunda Yapılan Tipik Hatalar
Müşterilerimizin bize gelme sebeplerinin büyük bölümü benzer: FortiGate cihazı satın alınmış, bayi veya IT ekibi tarafından kurulmuş ama aylar sonra performans sorunları, VPN bağlantı kopmaları veya loglarda anlaşılmayan trafik görülmeye başlanıyor. İncelediğimiz 60'tan fazla FortiGate kurulumunun yaklaşık %70'inde şu üç hatayı tespit ediyoruz:
Birincisi, factory default "any-any" politikalarının production ortamında bırakılması. Kurulum sırasında test için açılan geniş yetkili kurallar, çoğu zaman silinmeyi unutuluyor ve ay sonra firewall fiilen boşluk bırakıyor. İkincisi, SSL deep inspection özelliğinin kapalı bırakılması. Bu özellik açılmadığı sürece FortiGate, HTTPS trafiğinin içindeki kötücül içeriği göremiyor; sadece paket başlıklarına bakıyor. Üçüncüsü ise IPS (Intrusion Prevention System) imza setlerinin varsayılan "monitor" modunda kalması; yani tehdit tespit ediliyor ama bloklanmıyor.
Bu üç hatanın ortak noktası, cihazın teknik olarak çalışıyor olmasına rağmen güvenlik fonksiyonlarının pratikte devre dışı kalması. Sahada FortiGate 60F, 100F ve 200F serilerinde en çok rastladığımız durum bu.
Doğru Konfigürasyon: Politika, VPN ve SD-WAN Ayarları
AFN Teknoloji olarak bir FortiGate kurulumunu teslim ederken izlediğimiz standart süreç belirli adımlardan oluşuyor. Önce ağ segmentasyonu çıkarılıyor; VLAN bazlı zone yapısı kuruluyor (örneğin misafir ağı, sunucu VLAN'ı, yönetim ağı ayrı security zone'larda tutuluyor). Ardından her politika kuralı için explicit deny-all en altta sabitleniyor, yani "ne izin verilmişse o geçer" mantığı kuruluyor.
Site-to-site VPN kurulumlarında IPsec tünellerini IKEv2 ile kuruyoruz; AES-256-GCM şifreleme ve Perfect Forward Secrecy (PFS) grup 19 veya 20 kullanıyoruz. Bu, eski IKEv1 + DES/3DES kombinasyonlarına göre hem performans hem güvenlik açısından ciddi fark yaratıyor. Çok şubeli müşterilerde SD-WAN özelliğini aktif ediyoruz; birden fazla internet hattı (fiber + 4.5G yedek gibi) arasında otomatik failover ve performance SLA tabanlı yönlendirme kuruyoruz. Bir lojistik müşterimizde bu yapı sayesinde internet kesinti süresini aylık ortalama 40 dakikadan 3 dakikaya düşürdük.
SSL inspection konusunda ise certificate-based deep inspection modunu, kurumun kendi CA sertifikasını FortiGate'e yükleyerek ve istemcilere dağıtarak kuruyoruz. Böylece "certificate warning" hataları olmadan şifreli trafiğin içine bakabiliyoruz. IPS imza setlerini ise "block" moduna alıp, yanlış pozitif oranını izlemek için ilk 2 hafta boyunca günlük log analizi yapıyoruz.
FortiManager ve FortiAnalyzer ile Merkezi Yönetim
Tek bir FortiGate'i yönetmek nispeten basit; ama 5-10 şubeli bir yapıda her cihazı tek tek yönetmek operasyonel bir kabusa dönüşüyor. Burada FortiManager devreye giriyor. AFN Teknoloji olarak çok şubeli müşterilerimizde merkezi politika şablonu (template-based policy) oluşturuyoruz; yeni bir şube açıldığında FortiGate cihazını fiziksel olarak kutudan çıkarıp ağa bağlamak dışında manuel konfigürasyon gerektirmeden, FortiManager'dan zero-touch provisioning ile devreye alıyoruz.
FortiAnalyzer tarafında ise log retention politikası kritik. Birçok müşterimiz bize geldiğinde FortiGate'in kendi dahili disk alanında log tuttuğunu, 30 gün sonra logların otomatik silindiğini ve denetim (audit) sırasında geriye dönük inceleme yapamadıklarını fark ediyor. Biz standart olarak 180 günlük log retention politikası kuruyoruz ve kritik güvenlik olaylarını ShamashAI izleme platformumuza entegre ediyoruz; böylece FortiGate logları, Windows Event Log'ları ve diğer ağ cihazlarının verileriyle birlikte tek bir korelasyon ekranında görülebiliyor.
AFN Teknoloji olarak bu entegrasyonu özellikle KVKK ve ISO 27001 denetimi geçirecek kurumlara öneriyoruz, çünkü denetçiler genellikle en az 6 aylık log geçmişi talep ediyor ve varsayılan FortiGate ayarlarıyla bu mümkün olmuyor.
Firmware Güncelleme ve Lisans Yönetimi Neden İhmal Ediliyor
Fortinet, PSIRT (Product Security Incident Response Team) üzerinden düzenli olarak kritik güvenlik açıkları (CVE) yayınlıyor. 2023-2024 döneminde FortiOS'ta tespit edilen bazı kritik açıklar (örneğin CVE-2024-21762 gibi SSL-VPN'de uzaktan kod çalıştırma zafiyetleri) güncel olmayan cihazlarda doğrudan sömürülebilir durumda kalıyor. Buna rağmen taradığımız müşteri cihazlarının önemli bir kısmında firmware güncellemesinin 2-3 yıl geriden geldiğini görüyoruz; genelde sebep, güncelleme sırasında kesinti yaşanma korkusu.
AFN Teknoloji olarak bunun için planlı bakım pencereleri belirliyoruz; HA (High Availability) cluster yapısı varsa active-passive node'ları sırayla güncelleyerek kesintisiz geçiş sağlıyoruz. Tek cihaz kurulumlarında ise mesai dışı saatlerde 15-20 dakikalık planlı kesinti ile güncellemeyi tamamlıyoruz. Lisans yönetimi tarafında da FortiGuard abonelik sürelerini takip ediyoruz; çünkü IPS imza güncellemeleri, antivirüs veritabanı ve web filtering kategorileri lisans süresi dolduğunda sessizce güncellenmeyi durduruyor, cihaz çalışıyor görünse de koruma eski kalıyor.
Firewall'unuzun Gerçek Risk Seviyesini Biliyor Musunuz?
FortiGate cihazınız yıllardır çalışıyor olabilir ama bu, güvenli olduğu anlamına gelmiyor. Varsayılan politikalar, güncellenmemiş firmware, kapalı SSL inspection veya monitor modunda kalmış IPS kuralları, fark etmeden açık bıraktığınız kapılar olabilir. AFN Teknoloji olarak sunduğumuz AFN RiskScan ile firewall konfigürasyonunuzu, açık portlarınızı ve dışa açık servislerinizi ücretsiz tarıyor, somut bir risk raporuyla size geri dönüyoruz. Detaylı bilgi ve ücretsiz tarama talebi için https://afnteknoloji.com/iletisim adresinden bizimle iletişime geçebilirsiniz.