Sophos Firewall’da bir uygulamayı engellemek için uygulama filtresi (application filter) politikası oluşturup bunu bir firewall kuralına bağlamanız gerekir. Yalnızca politikayı kaydetmek hiçbir trafiği durdurmaz. Bu yazıda politikanın nasıl kurulduğunu, hazır gelen politikaların neyi kapsadığını ve endpoint verisiyle çalışan Synchronized Application Control’ün ne işe yaradığını anlatıyoruz.
Application Control, Web Control’den neden ayrı?
Web Control tarayıcıdan erişilen sitelere ve kategorilere bakar. Application Control ise trafiğin hangi uygulamaya ait olduğunu belirler. Uzaktan erişim araçları, torrent istemcileri, VPN ve proxy uygulamaları, dosya paylaşım servisleri gibi tarayıcı dışında çalışan yazılımlar bu katmanda yakalanır. İki özellik birbirinin yerine geçmez, aynı kuralda birlikte kullanılabilir.
Hazır uygulama filtresi politikaları
Sophos’un dokümantasyonuna göre firewall birkaç hazır politikayla gelir:
- Allow All ve Deny All
- Block filter avoidance apps: Filtreyi aşmak için başka uygulamaları tünelleyen, proxy ve tünel uygulamalarını engeller.
- Block generally unwanted apps: Dosya aktarımı, proxy ve tünel, risk taşıyan, P2P ve verimliliği düşüren uygulamaları kapsar.
- Block high risk (Risk Level 4 and 5) apps ve Block very high risk (Risk Level 5) apps
- Block peer to peer (P2P) networking apps
Hazır politikalardan birini şablon olarak seçip üzerine kendi kurallarınızı ekleyebilirsiniz. Yeni oluşturduğunuz boş bir politika varsayılan olarak tüm trafiğe izin verir, kuralları kaydettikten sonra eklersiniz.
Yüksek riskli uygulamaları engelleme adımları
Sophos’un “Block high-risk applications” rehberindeki akış şöyle:
- Applications > Application filter altında Add deyip politikaya bir ad verin (örneğin Block_High_Risk_Apps) ve kaydedin.
- Politikayı düzenleyip Add ile kural ekleyin. Select All seçeneği, filtre ölçütlerine uyan tüm uygulamaları alır.
- Risk filtresinde High ve Very High değerlerini seçin.
- Kuralın Action alanını Deny, Schedule alanını All the time yapın ve kaydedin.
- Rules and policies > Firewall rules altında yeni bir kural açın. Kaynak ve hedef bölgeleri belirleyin, Advanced bölümünde oluşturduğunuz uygulama filtresi politikasını seçip kaydedin.
Firmware sürümüne göre bu alan “Other security features” altında Identify and control applications (App control) adıyla da görünebilir. Kural hangi trafiğe uyuyorsa politika yalnızca o trafiğe uygulanır. Sophos’a göre imza veritabanı güncellendiğinde yeni uygulamalar filtrelere ve kurallara otomatik eklenir, yani politikayı elle yenilemeniz gerekmez.
Kural seçerken iki yol var. Select All kategori, risk, özellik (characteristics), teknoloji ve sınıflandırma filtrelerinin sonucunu toplu alır. Select Individual Application ise listeden tek tek uygulama seçmenizi sağlar. Sınıflandırma (classification) filtresi yalnızca bulut uygulamaları için geçerlidir.
Şifreli trafikte uygulama tespiti
Uygulamaların büyük kısmı HTTPS üzerinden çalışır. Sophos topluluk yazılarında, ilgili SSL/TLS inspection kuralı şifreyi çözecek şekilde ayarlandığında uygulamanın daha ayrıntılı tanındığı, çözme yapılmadığında ise yalnızca SNI’ya bakılabildiği belirtiliyor. Bu yüzden uygulama filtresi tek başına her şifreli bağlantıyı ayırt edemeyebilir. Politikayı yayına aldıktan sonra log görüntüleyicide gerçekten engellenip engellenmediğini kontrol edin. Bir topluluk tartışmasında kullanıcılar, filtrenin mobil uygulamaları engellediği halde bilgisayardan HTTPS trafiğinde beklenen sonucu vermediğini bildirmiş. Bu tek kaynaklı bir gözlem ancak test yapmadan “engellendi” kabul etmemek için yeterli bir neden.
Synchronized Application Control ne yapar?
Synchronized Application Control, Security Heartbeat ile bağlı endpoint’lerde çalışan uygulamaları izler. Firewall’un imza veritabanında olmayan uygulamalar “SyncAppCtl discovered” kategorisine düşer. Sophos dokümantasyonuna göre şu gereklilikler var:
- Sophos Central’da ilk kullanımda özelliğin etkinleştirilmesi
- Security Heartbeat ile bağlı endpoint’ler
- En fazla 10.000 uygulama desteği
Listedeki her uygulamanın bir etiketi vardır. New firewall’un tanımadığı uygulamayı, Mapped otomatik bir kategoriye eşlenmiş olanı, Customized elle eşlenmiş olanı gösterir. Acknowledge ile uygulamayı görüldü olarak işaretler, Customize ile adını ya da kategorisini değiştirir, Hide ile standart görünümden gizler, Delete ile filtrelerden çıkarırsınız. Silinen bir uygulama endpoint’te yeniden görülürse listeye geri döner. Engelleme için ayrı bir düğme yok, uygulamayı bir filtre politikasına atamanız gerekir. Endpoint tarafında ise yazılım kısıtlamak istiyorsanız Sophos Endpoint cihaz ve uygulama kontrolü ayrı bir politika olarak çalışır.
Lisans: hangi pakette?
Application Control, Sophos’un lisans tablosunda Web Protection modülünün içinde, Synchronized Application Control ile birlikte listeleniyor. Web Protection hem Standard hem Xstream pakette yer alıyor. Taban lisansla tek başına gelmiyor, abonelik süresi dolduğunda ilgili motor devre dışı kalır. Paketlerin tam farkı için Standard, Xstream ve Epic karşılaştırmamıza bakabilirsiniz. Mevcut aboneliğinizin Web Protection içerip içermediğini öğrenmek için teklif alın, bitiş tarihi yaklaşan abonelikler için lisans yenileme sayfasını kullanın. Cihazın uygulama taramasını yüksek trafikte kaldırıp kaldıramayacağını görmek için Sophos Firewall ürün sayfası ve model seçim rehberi işinize yarar.
Sık sorulan sorular
Uygulama filtresini kaydettim ama trafik engellenmiyor, neden? Politika yalnızca bir firewall kuralına bağlandığında işler. Kuralın trafiğinizle eşleştiğini ve politikanın kuralda seçili olduğunu kontrol edin.
Yeni çıkan uygulamalar için politikayı güncellemem gerekir mi? Sophos’a göre imza veritabanı güncellendiğinde yeni uygulamalar mevcut filtrelere ve kurallara otomatik eklenir.
Synchronized Application Control için endpoint ürünü şart mı? Evet, uygulamalar Security Heartbeat ile bağlı Sophos endpoint’lerden toplanır ve özelliğin Sophos Central’da etkinleştirilmesi gerekir.
Application Control için ayrı bir lisans mı almalıyım? Standard ve Xstream paketlerdeki Web Protection modülü bu özelliği içerir. Modülü ayrı ayrı lisanslamak da mümkün, ayrıntı için teklif alın.