Healthcheck neyi ölçer?
Healthcheck, ağ ve güvenlik cihazlarının bugünkü durumunu kurumun kendi standardıyla ve üretici önerileriyle karşılaştırır. Ölçülen şey iki türlüdür: cihazın nasıl yapılandırıldığı ve cihazın gerçekte nasıl davrandığı. İlki yapılandırma dosyasından, ikincisi loglardan, sayaçlardan ve trafikten okunur; iki kaynak birbirini doğrular.
Bu ölçüm hardening standardının devamıdır. Hardening hedef durumu tanımlar, healthcheck o hedeften ne kadar uzaklaşıldığını ölçer. Standartsız yapılan bir healthcheck yalnızca gözlem üretir; standarda karşı yapılan healthcheck ise ölçülebilir sapma ve net düzeltme adımı üretir.
Kapsam hangi alanlardan oluşur?
Kapsam altı alanda toplanır ve her alanın kendi veri kaynağı, kendi sıklığı vardır. Alanların bir kısmı otomatik araçlarla sürekli ölçülür, bir kısmı mühendis yorumu ister. Aşağıdaki tablo alanları, bakılan soruları ve tipik sıklığı özetler.
| Alan | Bakılan sorular | Tipik sıklık |
|---|---|---|
| Yapılandırma sapması | Yapılandırma standart şablonla örtüşüyor mu, son dönemde kim neyi değiştirdi, yerel hesap ya da açık servis eklendi mi | Otomatik, günlük karşılaştırma |
| Kural seti sağlığı | Kullanım dışı kalmış kurallar, gölgelenen ya da çakışan kurallar, geniş kaynak-hedef tanımları, süresi geçmiş istisnalar | Düzenli aralıklarla, mühendis yorumuyla |
| Açık servis ve zafiyet | Dış ve iç yüzeyde hangi servisler açık, hangi sürümlerde bilinen zafiyet var, hangi bulgu kritik | Planlı pencerede düzenli tarama |
| Sürüm ve yaşam döngüsü | Yazılım sürümleri önerilen kararlı sürümde mi, hangi cihazlar destek sonu takvimine yaklaşıyor | Otomatik envanter, sürekli |
| Kapasite ve performans | İşlemci, oturum tablosu, bant genişliği ve şifreli trafik inceleme yükü hangi eşikte, büyüme eğilimi ne | Sürekli izleme, dönemsel yorum |
| Loglama ve izleme | Loglar merkeze düşüyor mu, saat senkronu tutarlı mı, kritik olaylar alarm üretiyor mu | Otomatik kontrol, sürekli |
Kural seti analizi neden ayrı bir başlıktır?
Güvenlik duvarı kural seti, kurumun yıllar içindeki bütün acil kararlarının birikimidir. Bir proje için açılan geçici kural kalıcı olur, taşınan bir sunucunun eski kuralı yerinde kalır, geniş bir "geçici" izin unutulmuş bir kapı hâline gelir. Kural sayısı arttıkça denetim zorlaşır ve gerçek politika gölgede kalır.
Kural seti analizi bu birikimi dört soruyla ayrıştırır: hangi kurallar sıfır eşleşme sayıyor, hangi kurallar önceki bir kuralın gölgesinde kalıyor, hangi kurallar geniş kaynak ya da hedef tanımıyla politikanın ötesine geçiyor, hangi istisnaların süresi geçti. Cevaplar, kural setini küçültme ve segmentasyon politikasıyla hizalama planına dönüşür. Kural seti küçüldükçe hem cihaz yükü hem de denetim maliyeti düşer.
Sıklık nasıl belirlenir?
Sıklık, ölçülen alanın değişim hızına göre belirlenir. Yapılandırma her gün değişebilir; bu yüzden yapılandırma karşılaştırması otomatikleştirilir ve her gün çalışır. Sürüm ve zafiyet durumu üretici duyurularıyla değişir; envanter sürekli izlenir, kritik bir duyuru geldiğinde etkilenen cihazlar aynı gün listelenir. Kural seti ve kapasite daha yavaş değişir ve mühendis yorumu ister; düzenli aralıklarla ele alınır.
- Sürekli ve otomatik: Yapılandırma sapması, sürüm envanteri, log akışı ve saat senkronu kontrolleri.
- Düzenli aralıklarla: Kural seti analizi, kapasite ve eğilim yorumu, açık servis ve zafiyet taraması.
- Yılda bir ve her büyük değişiklikten sonra: Bütün alanları kapsayan tam denetim, mimari gözden geçirme ve standardın güncellenmesi.
- Olay tetiklemeli: Kritik zafiyet duyurusu, güvenlik olayı ya da büyük bir taşınma sonrasında planın dışında ek tur.
İlk healthcheck turunda en çok dikkat çeken bulgu, çoğu kurumda kural setinin bir kısmının aylarca sıfır eşleşmede kalması. Bu kurallar sıfır trafik taşıyor ama politikayı karartıyor ve her denetimde zaman yiyor. Kural setini temizleyip segmentasyonla hizaladıktan sonra aynı cihazda hem işlemci yükünün hem de değişiklik sürelerinin düştüğünü görüyoruz. Bu yüzden raporu bulgu sayısı yerine, kapatılan bulgu ve küçülen kural seti ile ölçüyoruz.
Bulgular nasıl önceliklendirilir?
Her bulgu iki eksende değerlendirilir: teknik kritiklik ve iş etkisi. Dışa açık bir yönetim arayüzü teknik olarak kritiktir ve iş etkisi yüksektir; iç ağda kullanım dışı bir kural teknik olarak düşük, denetim maliyeti açısından orta düzeydedir. İki eksenin kesişimi düzeltme sırasını verir; hızlı kapatılabilen yüksek etkili bulgular ilk hafta, mimari değişiklik isteyenler proje takvimine alınır.
Rapor yönetim özetiyle başlar: duruşun yönü, önceki döneme göre değişim, en kritik üç beş bulgu ve düzeltme takvimi. Teknik ekler kanıtı taşır: etkilenen cihaz, kural ya da servis, ölçüm çıktısı ve önerilen yapılandırma. Bir sonraki tur aynı ölçütlerle tekrarlandığında kapanan ve açılan bulgular karşılaştırılır; healthcheck böylece tek seferlik bir denetim yerine duruşun zaman içindeki eğrisine dönüşür. Bütünü Network Güvenliği çözümleri sayfasında, sürekli işletim tarafını ise yönetilen hizmetlerde ele alıyoruz.
