Firewall seçimine neden ihtiyaç analiziyle başlamalı?
Aynı segmentteki iki firewall modeli bile farklı trafik profillerinde çok farklı davranır; bu yüzden seçim, ürün kataloğundan önce ortamın analiziyle başlar. Kullanıcı sayısı ve dağılımı, şube yapısı, uygulama envanteri, bulut ve SaaS kullanımının ağırlığı, uzaktan erişim ihtiyacı ve mevcut network mimarisi bu analizin girdileridir.
İyi yürütülmüş bir ihtiyaç analizi üç sorunun cevabını netleştirir: hangi trafiği koruyacağız, hangi güvenlik servislerini çalıştıracağız ve operasyonu kim, hangi araçla yönetecek? Bu üç cevap, aday cihaz listesini kendiliğinden kısaltır.
NGFW hangi güvenlik servislerini kapsar?
NGFW (Next Generation Firewall · yeni nesil güvenlik duvarı), klasik port ve protokol filtrelemesinin üzerine uygulama farkındalığı ve bütünleşik güvenlik servisleri ekleyen bir güvenlik platformudur. Seçim sürecinde şu servislerin hangilerine ihtiyaç duyduğunuz, cihazın hem modelini hem lisans paketini belirler:
- IPS (Intrusion Prevention System · saldırı önleme): trafikteki bilinen saldırı imzalarını ve anomalileri hat üzerinde engeller.
- Uygulama kontrolü: trafiği port bağımsız, uygulama kimliğiyle sınıflandırır ve politikaya bağlar.
- Web filtreleme: kategori bazlı erişim politikası uygular, riskli alan adlarını engeller.
- SSL/TLS denetimi: şifreli trafiği açıp inceler; günümüz internet trafiğinin büyük bölümü şifreli aktığı için görünürlüğün anahtarıdır.
- Kullanıcı bazlı politika: kimlik dizini (Active Directory, LDAP) entegrasyonuyla kuralları IP yerine kullanıcı ve grup üzerinden tanımlar.
- Sandbox entegrasyonu: bilinmeyen dosyaları izole ortamda davranış analizine alır.
Veri sayfasındaki performans değerleri nasıl okunmalı?
Veri sayfasındaki en büyük rakam, genellikle güvenlik servisleri kapalıyken ölçülen ham throughput değeridir; boyutlandırma ise servisler açıkken ölçülen tehdit koruması (threat protection) değeri üzerinden yapılır. SSL/TLS denetimi devreye girdiğinde kapasite belirgin biçimde düşer; bu nedenle şifreli trafik oranı yüksek ortamlarda SSL denetimi açıkken ölçülen değer esas alınır.
Throughput tek başına da yetersiz bir ölçüttür: eş zamanlı oturum sayısı, saniyede yeni oturum kapasitesi ve VPN tünel kapasitesi de aynı tabloda değerlendirilir. Cihaz, yalnızca bugünü karşılamak yerine planlanan büyümeyi de taşıyacak payla seçilir.
Boyutlandırmayı her zaman SSL denetimi ve tehdit koruması açıkken ölçülen değerler üzerinden yapıyoruz. Devreye alma sonrası "cihaz yavaşladı" bulgusunun sahada en sık rastladığımız kaynağı, ham throughput üzerinden yapılmış seçimdir. Servisler açıkken ölçülen değerle boyutlandırılan cihaz, ilk günkü performansını yıllar boyunca korur.
Kullanım yerine göre öncelikler nasıl değişir?
Şube, kampüs çevresi ve veri merkezi kurulumları firewall'dan farklı görevler bekler; seçim eksenleri de buna göre ağırlık değiştirir:
| Eksen | Şube | Kampüs çevresi | Veri merkezi |
|---|---|---|---|
| Birincil görev | Güvenli WAN erişimi ve yerel koruma | İnternet çıkışının korunması, içerik politikası | Segmentler arası doğu-batı trafik kontrolü |
| Öne çıkan servisler | VPN, SD-WAN entegrasyonu | IPS, web filtreleme, SSL denetimi, sandbox | Mikro segmentasyon, yüksek oturum kapasitesi |
| Performans ekseni | WAN hattı kapasitesi | Kullanıcı başına şifreli trafik | Düşük gecikme, eş zamanlı oturum |
| Yedeklilik | Çift hat, hızlı kurulum | HA çifti (aktif-pasif / aktif-aktif) | HA + oturum senkronizasyonu |
| Yönetim | Merkezi yönetim | Yerinde ya da merkezi | Değişiklik yönetimi, otomasyon entegrasyonu |
Kurulum ve işletmede neler fark yaratır?
Doğru seçilmiş cihaz, değerini disiplinli kurulum ve işletmeyle gösterir. Sahada fark yaratan başlıklar:
- Yüksek erişilebilirlik: HA çifti ve güç-yol yedekliliğiyle tekil arıza noktası ortadan kalkar; bakım pencereleri kesintisiz planlanır.
- Politika hijyeni: kural tabanı sade, adlandırılmış ve belgeli tutulur; kullanılmayan kurallar periyodik ayıklanır.
- Loglama ve SIEM entegrasyonu: olay kayıtları merkezi log platformuna akar; korelasyon ve adli analiz için görünürlük hazır olur.
- Firmware yaşam döngüsü: sürümler takip edilir, güncellemeler test edilip bakım penceresinde uygulanır.
- Konfigürasyon yedeği: her değişiklik sonrası otomatik yedek alınır; hızlı geri dönüş her an mümkün kalır.
Bu işletme disiplini, firewall'u içine alan katmanlı mimarinin bir parçasıdır; bütünü Network Güvenliği çözümleri sayfasında ele alıyoruz.
Firewall yatırımında yaşam döngüsü nasıl planlanır?
NGFW yatırımı, donanım ile güvenlik servis aboneliklerinin toplamıdır; bütçe planı iki kalemi birlikte ele alır. IPS imzaları, uygulama veritabanı, web kategorileri ve sandbox servisi abonelikle güncel kalır. Destek seviyesi, donanım değişim süresi iş kritikliğinize uyacak şekilde seçilir.
Üretici yol haritası ve EOL (End of Life · ürün yaşam sonu) tarihleri yenileme planına en baştan işlenir; böylece cihaz, destek ve güncelleme aldığı dönem boyunca çalışır, yenileme kararı takvimle gelir.
