Sophos Firewall’da IPS (saldırı önleme sistemi) varsayılan olarak kapalıdır ve cihaza kurulum yapmak onu kendiliğinden devreye almaz. Koruma, firewall kuralı bazında seçilir: hangi trafik kuralına hangi IPS politikasının bağlanacağını yönetici belirler. Lisansı bitmiş ya da hiç alınmamış bir cihazda ise IPS çalışmaz. Aşağıda mantığı, adımları ve sahada en çok yapılan hataları sırayla ele alıyoruz.
IPS neyi engeller, nasıl karar verir?
Sophos dokümantasyonuna göre firewall, trafik desenlerini imzalarla eşleştirir ve eşleşme olduğunda kuralda belirtilen aksiyonu uygular; olay ayrıca kayda geçer. Her imza bir kimlik numarası (SID), kategori, önem derecesi, etkilediği platform, hedef türü (istemci ya da sunucu) ve önerilen aksiyonla gelir. Önemli bir ayrıntı: kuralda seçtiğiniz aksiyon, imzanın önerdiği aksiyonun yerine geçer. Yani Sophos “uyar” önerse bile siz kritik bir sunucu grubu için “bırak” aksiyonunu seçebilirsiniz.
IPS politikaları bu imzaları kurallar halinde toplar. Hazır gelen varsayılan politikalar yaygın trafik türleri için temel korumayı verir. Kendi politikanızı sıfırdan açabilir ya da mevcut bir politikanın kurallarını kopyalayarak başlayabilirsiniz.
IPS’i firewall kuralında nasıl açarsınız?
Sophos’un sağlık denetimi dokümanındaki adımlar şöyledir: PROTECT > Rules and policies > Firewall rules altında LAN’dan WAN’a (ya da WAN’dan LAN’a) kuralını açın, “Other security features” bölümündeki “Detect and prevent exploits (IPS)” seçeneğini “None” dışında bir politikaya çevirin ve kaydedin. Kuralın bağlı olmadığı trafik IPS’ten geçmez. Bu yüzden ilk denetim sorusu şudur: Kural tablosundaki hangi kurallarda IPS seçili, hangilerinde “None” duruyor? Sahada sık görülen hata, internete çıkış kuralının korunup DMZ sunucusuna gelen kuralın “None” bırakılmasıdır.
Lisans: Network Protection olmadan çalışmaz
IPS için etkin bir Network Protection aboneliği ya da deneme lisansı gerekir. Abonelik bittiğinde koruma uygulanmayı bırakır. Deneme lisansında ise Sophos’un belgesine göre süre dolunca IPS kapatılır ve 30 gün sonra IPS imzaları ile kuralları silinir; deneme sürecinde hazırlanan ayarlar kaybolabilir. Standard, Xstream ve Epic paketlerinin hangi motorları içerdiğini ayrı bir yazıda anlattık. Network Protection tekil de alınabilir, ancak diğer abonelikle bitiş tarihi farklıysa takip zorlaşır; bu konuda lisans yenileme sayfasındaki co-term yaklaşımına bakabilirsiniz.
Performans için politikayı daraltın
Tüm imzaları her kurala bağlamak işlemciyi gereksiz yorar. Politikayı ortamınıza göre daraltmanın yolları dokümandaki filtrelerdir: kategori, önem derecesi, platform ve hedef (istemci/sunucu). Ağınızda Exchange ya da Apache sunucusu yoksa o kategorilerin imzalarını politikadan çıkarmak mantıklıdır. Aynı şekilde Windows dışında platform çalışmıyorsa ilgili platform imzaları gereksizdir. Üçüncü taraf bir Sophos analizinde de önerilen yaklaşım şu: internet çıkışı için varsayılan LAN’dan WAN’a politikasıyla başlayın, iç ağ trafiği için daha hafif bir politika kullanın.
İstisnayı dar tutun. “Bu imza yanlış alarm veriyor” diye kategori kapatmak yerine önce kayıtlara bakın, yanlış pozitifin hangi imzadan geldiğini bulun ve yalnızca onu değiştirin. Çok kullanıcılı bir kurumda bu karar, kurulum sonrası bir iki haftalık izleme döneminden sonra verilmelidir.
DoS ve sahtecilik (spoof) koruması ayrı bir özelliktir
Sophos dokümantasyonunda IPS politikalarından ayrı olarak DoS ve spoof koruması ile özel IPS imzaları bölümleri bulunur. DoS koruması anormal trafiği inceler; belirli trafik için DoS denetimini atlayan kurallar tanımlanabilir ve güvenilen MAC adresleri ya da IP-MAC çiftleriyle trafik sınırlanabilir. Kendi uygulamanız için özel imza gerekiyorsa bu da ayrı bir menüdür. Bu ayarlar IPS politikasını değiştirmez; ikisini birlikte planlayın.
SSL/TLS inspection ile ilişkisi
Trafik şifreliyse IPS yalnızca görebildiği kısmı inceler. HTTPS trafiğinde saldırı imzalarının eşleşmesi için şifre çözme gerekir. Bu önkoşulu SSL/TLS inspection rehberimizde anlattık; dosya içeriği için de Zero-Day Protection aynı önkoşula dayanır.
Uygulamada kontrol listesi
- Network Protection aboneliğinin bitiş tarihini kontrol edin.
- Her LAN-WAN, WAN-LAN ve DMZ kuralında IPS seçimini tek tek açın; “None” kalan kural olmasın.
- İnternet çıkışı için varsayılan politikayla başlayın, sunucu kuralları için ortama özel politika oluşturun.
- Politikayı kategori, platform ve hedef filtreleriyle daraltın.
- İzleme sonrası yanlış pozitif imzaları tek tek ele alın.
- Cihaz yazılımını ve imza güncellemelerini açık tutun; Sophos Firewall sürümünüz destek dışıysa önce XGS geçiş planını yapın.
Sık sorulan sorular
IPS açık mı nasıl anlarım? Firewall kurallarında “Detect and prevent exploits (IPS)” alanına bakın. “None” ise o kural IPS’e bağlı değildir.
IPS lisanssız çalışır mı? Hayır. Etkin Network Protection aboneliği ya da deneme lisansı gerekir.
Kural aksiyonu ile imza önerisi çelişirse ne olur? Kuralda belirtilen aksiyon, imzanın önerdiği aksiyonun yerine geçer.
Tüm imzaları açmak daha mı güvenli? Ortamda bulunmayan platform ve uygulama imzaları performansı düşürür ama koruma kazandırmaz. Politikayı ortamınıza göre daraltmak daha sağlıklıdır.
Mevcut kuralların IPS kapsamını denetletmek ya da Network Protection aboneliğinizi yenilemek için teklif alın; cihaz modelinizi ve lisans bitiş tarihinizi iletmeniz yeterlidir.