Sophos Firewall’da Application Control, trafiği port numarasına göre değil, arkasındaki uygulamaya göre izin vermenizi ya da engellemenizi sağlar. 443 portundan geçen bir bağlantının WhatsApp mı, bir proxy aracı mı, yoksa sıradan bir web sitesi mi olduğunu ayırt eder. Bunu bir uygulama filtresi politikası olarak tanımlar, ardından bir güvenlik duvarı kuralına bağlarsınız. Aşağıda adımları, hazır politikaları ve sahada en çok takılan noktaları topladık.
Uygulama filtresi politikası neyi kontrol eder?
Politika, uygulama kategorilerine ya da tek tek uygulamalara izin veren veya onları düşüren bir kural listesidir. Sophos’un uygulama listesinde File transfer, P2P, Proxy and tunnel, Remote access, Storage and backup, Social networking, Streaming media gibi kategoriler bulunur. Güncel sürümlerde Generative AI kategorisi de var. Yani yapay zekâ sohbet araçlarına erişimi kategori bazında kısıtlamak için ayrı bir kural yazmanız gerekmiyor.
Uygulama imza veritabanı güncellendiğinde yeni uygulamalar mevcut politika ve kurallara kendiliğinden eklenir. Sophos’un örneğiyle, “yüksek riskli tüm uygulamaları engelle” diyen bir politika varsa, yüksek riskli yeni bir imza geldiği anda o da engellenir. Elle bir şey yapmanız gerekmez.
Hazır politikalar hangileri?
Applications > Application filter altında yedi hazır politika gelir:
- Allow All ve Deny All
- Block filter avoidance apps: Başka uygulamaları tünelleyen, proxy ve tünel kuran ya da güvenlik duvarı politikalarını atlatabilen uygulamalar
- Block generally unwanted apps: Dosya aktarımı, proxy ve tünel, riske açık ve P2P gibi verimliliği düşüren uygulamalar
- Block high risk (Risk Level 4 and 5) apps
- Block very high risk (Risk Level 5) apps
- Block peer to peer (P2P) networking apps: Sophos bu politikanın uygulanmasını öneriyor, çünkü P2P uygulamaları bot, casus yazılım ve truva atı gibi zararlı yazılımların dağıtımında kullanılabiliyor
Sıfırdan başlamak yerine bunlardan birini şablon olarak seçip Add ile kendi politikanızı türetebilirsiniz. Çoğu KOBİ için makul başlangıç, “Block high risk” ya da “Block filter avoidance apps” şablonudur. Önce bunları uygulayıp günlüklere bakmak, ilk gün tüm çalışanları rahatsız edecek bir yasak listesi yazmaktan iyidir.
Politikaya kural nasıl eklenir?
Politikayı kaydettikten sonra düzenleme ekranında Add deyip uygulamaları iki yoldan seçersiniz: Select All ile filtrelenmiş listenin tamamını, Select Individual Application ile tek tek uygulamaları alırsınız. Liste şu filtrelerle daraltılır:
- Smart filter: Uygulama adı ve açıklamasında arama yapar
- Category, Risk, Characteristics, Technology: Birlikte kullanılabilir
- Classification: Yalnızca bulut uygulamalarına uygulanır. Sınıflandırma güncellenirse Sophos Firewall bu filtreyi kullanan kuralları da günceller
Her kural için bir Action ve bir Schedule seçmeniz gerekir. Sophos’un örneğinde Facebook Games uygulaması Deny ve All the Time ile engelleniyor. Dokümantasyonda başka örnekler olarak WhatsApp, Skype ve LinkedIn da geçiyor.
Sık yapılan bir hata, tek bir uygulamaya izin vermek için bütün kategoriyi açmaktır. Topluluk makalesindeki yaklaşım daha temiz: Instant Messenger kategorisini engelleyen kuralın üstüne yalnızca Skype’a izin veren bir kural koyarsınız. İzin kuralı, engelleme kuralının üstünde olmalıdır.
Politikayı güvenlik duvarı kuralına nasıl bağlarsınız?
Politika tek başına bir şey yapmaz. Rules and policies altında yeni bir güvenlik duvarı kuralı ekleyin, Rule position alanını Top yapın ve Other security features bölümündeki Identify and control applications (App control) listesinden politikanızı seçin. Belirli kullanıcı ya da gruplarla sınırlamak için Match known users işaretlenir. Sophos’un notuna göre gerekiyorsa uygun NAT kuralını da oluşturmanız gerekir.
Kural sırası burada belirleyicidir. Sophos’un anlatımı yalnızca kuralın üste alınmasını söylüyor. Mantığı basit, daha genel bir izin kuralı üstte kalırsa trafik ona takılır ve uygulama kontrolü hiç devreye girmez. Test için tek bir kullanıcı grubuyla başlayıp günlükleri izlemek, bütün LAN’a birden uygulamaktan güvenlidir.
HTTPS trafiğinde uygulama tanınır mı?
Sophos Firewall’ın web vekili HTTPS kullanan uygulamaları da tespit eder. Topluluk yanıtlarına göre şifre çözme yapılmasa bile derin paket incelemesi çalışır ve TLS el sıkışmasındaki sunucu adından (SNI) uygulamayı tanır. Şifre çözme yapılırsa trafik IPS ve uygulama kontrolü motoruna açık haliyle iletilir ve inceleme derinleşir. Bu bilgi resmi dokümantasyonda değil topluluk yanıtlarında geçiyor, bu yüzden kendi sürümünüzde deneyerek doğrulayın.
SSL/TLS denetimini açacaksanız sertifika sabitleyen mobil uygulamalarda hata alabileceğinizi unutmayın. Bu uygulamalar için “şifreyi çözme” istisnası tanımlayın ve bu kuralları çözme kurallarının üstüne koyun. Adımlar için SSL/TLS denetimi yazımıza bakabilirsiniz.
Synchronized Application Control ne işe yarar?
Güvenlik duvarının imza ile tanıyamadığı trafik için uç noktadan bilgi alınır. Security Heartbeat bağlantısı olan bir Sophos Endpoint, trafiği hangi uygulamanın ürettiğini firewall’a bildirir. Bulunan uygulamalar Applications > Synchronized Application Control altında listelenir ve sınıflandırıp politikayla kontrol edebilirsiniz. Bu uygulamalar listede SyncAppCtl discovered, Sophos applications ve System applications kategorilerinde görünür.
Önkoşullar Sophos’un destek makalesinde şöyle: firewall’ın SYSTEM > Sophos Central altından kaydedilmiş ve Security Heartbeat’in açık olması, ayrıca kuralda Configure Synchronized Security Heartbeat ayarının kullanılması. Minimum source HB permitted değerini Green ya da Yellow yapmanız öneriliyor. Heartbeat tarafını Synchronized Security yazımızda ayrıntılı anlattık.
Web Control ile farkı nedir?
Web Control adres ve web kategorisine bakar, Application Control ise uygulamanın kendisine. Aynı kuralda ikisi de kullanılabilir. Bir sitenin kategorisini engellemek istiyorsanız Web Control, tünel kuran araçları ya da P2P’yi engellemek istiyorsanız Application Control doğru araçtır.
Lisans ve model
Application Control’ün cihazınızdaki lisans paketinde yer alıp almadığını, paket karşılaştırmasından kontrol edin: Standard, Xstream ve Epic paketleri. Mevcut aboneliğinizin kapsamını öğrenmek ya da paket yükseltmek için teklif alın. Süresi dolmak üzere olan lisanslar için lisans yenileme sayfası var. Uygulama kontrolü açıkken kullanıcı sayısına uygun cihaz seçimi için Sophos Firewall ürün sayfasına bakın.
Sık sorulan sorular
Uygulama filtresi politikası ile güvenlik duvarı kuralı aynı şey mi? Hayır. Politika, hangi uygulamaya ne yapılacağını söyleyen listedir. Kural ise o listenin hangi kaynak, hedef ve kullanıcıya uygulanacağını belirler. Politikayı kurala bağlamazsanız hiçbir etkisi olmaz.
Bir uygulamayı engelledim ama hâlâ açılıyor, neden? Önce kuralın sırasına bakın. Üstte daha genel bir izin kuralı varsa trafik ona takılır. Sonra politikadaki izin ve engelleme kurallarının sırasını kontrol edin. İzin kuralı engellemenin üstünde olmalıdır.
Yeni çıkan bir uygulama otomatik engellenir mi? Politikanız kategori ya da risk seviyesine göre yazıldıysa evet. İmza veritabanı güncellendiğinde yeni uygulamalar mevcut politika ve kurallara eklenir. Tek tek seçtiğiniz uygulamalar için ise bu geçerli değildir.
Hazır politikaları değiştirebilir miyim? Hazır politikaları şablon olarak seçip kendi politikanızı türetirsiniz. Böylece asıl şablon bozulmaz.
Mevcut güvenlik duvarınızda hangi uygulama kategorilerinin açık kaldığını gözden geçirmek ya da lisans kapsamınızı netleştirmek isterseniz teklif alın sayfasından bize ulaşabilirsiniz.