Sophos Firewall’da SSL/TLS inspection, TCP üzerinden geçen SSL ve TLS bağlantılarını durdurup şifresini çözen, içeriği web filtreleme, IPS ve zararlı yazılım taramasından geçirdikten sonra yeniden şifreleyen bir özelliktir. Açık olmazsa firewall HTTPS trafiğinde en fazla alan adı ve kategori düzeyinde karar verebilir; indirilen dosyanın içinde ne olduğunu göremez.
Neden HTTPS trafiğini açmak gerekiyor?
Bir fidye yazılımı yükleyicisi de, bir phishing sayfası da HTTPS üzerinden gelir. Şifre çözme yapılmadığında Sophos Firewall üzerindeki web filtreleme politikası, dosya türü kısıtları ve tarama motorları bu trafiğin içine bakamaz. Kurumlarda sık görülen sonuç şudur: firewall kuralları ve lisanslı koruma modülleri açıktır, ama trafiğin büyük kısmı şifreli olduğu için pratikte işlevsizdir. Konunun diğer yüzü gizlilik ve yük: bankacılık, sağlık gibi kategorileri açmamak, cihazın şifre çözme kapasitesini gereksiz yere tüketmemek için de bilinçli bir kapsam kararı gerekir.
Kurallar nasıl çalışır?
Sophos Firewall’da SSL/TLS inspection kuralları yukarıdan aşağıya değerlendirilir ve ilk eşleşen kural uygulanır. Bir kuralın tüm koşulları aynı anda sağlanmalıdır. Kural üç eylemden birini kullanır:
- Decrypt: bağlantıyı kurar ve şifreyi çözer.
- Don’t decrypt: bağlantıyı kurar, şifreyi çözmez. Hariç tutma kuralı bu eylemle yazılır.
- Deny: bağlantıyı hiç kurmaz.
Eşleşme ölçütleri arasında kaynak bölge, ağ ve cihaz, kullanıcı veya grup, hedef bölge ve ağ, servis ile web kategorisi ve web sitesi bulunur. Web sitesi ve kategori bilgisi, TLS el sıkışmasındaki SNI alanından okunur. Bu yüzden “yalnızca finans kategorisini çözme” gibi bir kural içeriğe bakmadan yazılabilir.
Tabloda en üstte silinemeyen bir kural vardır: “Exclusions by website or category”. Eylemi “Don’t decrypt” olan bu kuralın içinde iki liste bulunur. Yerel liste varsayılan olarak boştur. Yönetilen liste ise uyumsuz olduğu bilinen sitelerle önceden doldurulur ve Sophos’un yayımladığı firmware güncellemeleriyle yenilenir. Bu liste kendi kurallarınızdan önce çalıştığı için, bazı siteler bilerek çözülmez.
Decryption profile ne işe yarar?
Profil, kural bazında şifre çözme davranışını belirler. Sophos dokümantasyonuna göre bir profilde şunlar ayarlanabilir:
- Yeniden imzalama için kullanılacak CA (RSA ile imzalı sertifikalar için ayrı, EC ile imzalı olanlar için ayrı seçilebilir).
- Hangi sertifika hatalarında bağlantının engelleneceği: geçersiz tarih veya self-signed, güvenilmeyen veya iptal edilmiş sertifika, ad uyuşmazlığı ve diğer geçersizlikler.
- Minimum RSA anahtar boyutu (dokümantasyonda en az 2048 bit önerilir) ile izin verilen minimum ve maksimum SSL/TLS sürümü.
- Belirli anahtar değişimi, kimlik doğrulama, blok şifreleme ve hash algoritmalarının engellenmesi.
Çözülemeyen trafik için de ayrı bir davranış seçilir: SSL 2.0/3.0, SSL sıkıştırma, kapasite aşımı ve tanınmayan cipher suite durumlarında “şifre çözmeden izin ver”, “bırak” veya “reddet”. Güvenlik açısından varsayılanı sorgulamak gerekir; şifre çözmeden izin vermek, o bağlantıyı denetimin dışında bırakmak demektir.
TLS 1.3 ve sürüm düşürme
Genel ayarlarda TLS 1.3 için iki seçenek vardır: TLS 1.3 olarak çözmek veya TLS 1.2’ye düşürüp çözmek. İkincisi TLS 1.3 desteklemeyen sunucu ve istemciler için uyumluluk sağlar, ancak Sophos bunun için açık bir uyarı verir: sürüm düşürme sırasında saldırganlar zafiyetlerden yararlanabilir. Önce tüm kapsamı TLS 1.3 olarak çözmeyi deneyin, düşürmeyi yalnızca kanıtlanmış uyumsuzluk için kullanın.
İstemcilere CA sertifikası nasıl güvenilir hale getirilir?
Firewall her siteyi kendi CA’sıyla yeniden imzalar. Bu CA istemcide güvenilmiyorsa kullanıcı her HTTPS sitesinde sertifika hatası görür. Dokümantasyon, imzalayan CA’nın kullanıcıların uç noktalarına kurulmasını şart koşar. Windows etki alanında bu iş grup ilkesiyle, Mac ve mobil cihazlarda MDM ile, karma ortamlarda ise Intune gibi bir araçla yapılır. Firewall’ın dahili sertifikasını kullanabilir veya kurumsal bir CA seçebilirsiniz; ikinci yol, zaten PKI kurmuş kurumlarda dağıtımı kolaylaştırır.
Yapılandırma sırası kısaca şöyledir: varsayılan SNAT kuralının varlığını doğrulamak, web politikası oluşturmak, web filtrelemesi açık bir firewall kuralı yazmak, SSL/TLS inspection kuralını eklemek, imzalayan sertifikayı indirmek ve uç noktalara kurmak. DPI modunda çalışacak kural için eylem “Decrypt”, kaynak bölge LAN ve Wi-Fi, hedef bölge WAN, servis “Any” olmalı; firewall kuralında web proxy seçeneği işaretlenmemelidir.
Hangi trafik hariç tutulmalı?
Sophos’un önerisi, yönetilemeyen cihazları ve sertifika sabitleyen uygulamaları başlangıçta ayrı bir kapsamda tutmaktır. Pratikte hariç tutulacak başlıca gruplar şunlardır:
- Kurum dışı (BYOD) ve CA kurulumu yapılamayan cihazlar.
- Certificate pinning kullanan uygulamalar.
- Android cihazlar: dokümantasyon, bunların sertifika hatası üretip şifre çözmeyi başarısız kıldığını belirtir ve tüm Android cihazlar için hariç tutma listesi önerir.
- Bankacılık, sağlık ve benzeri hassas kategoriler. Bu bir teknik zorunluluk değil, hukuki ve kurumsal gizlilik kararıdır. Çalışanlara hangi trafiğin incelendiği, KVKK kapsamında aydınlatma metninde yer almalıdır.
Bir uyarı daha: web proxy tarafından çözülen 80 ve 443 numaralı portlardaki trafik SSL/TLS inspection kurallarını atlar; kurallar bu trafik için yalnızca diğer portlarda geçerlidir.
Kademeli açmak neden daha güvenli?
Tüm şirketi tek seferde açan kurulumlar genellikle ilk gün destek talebiyle başlar. Daha sorunsuz giden yol, önce BT ekibini ve bir pilot grubu kapsama almak, günlükleri inceleyip hataları hariç tutma listesine taşımak, sonra bölüm bölüm genişletmektir. Kurala “Log connections” eklemek bu aşamada işe yarar. Çözme işlemi işlemci yükü getirdiği için model seçerken şifre çözme açıkken ölçülen performans esas alınmalıdır; bu konuda XGS model seçim rehberi işe yarar.
Mevcut firewall’unuzda inspection’ın doğru yapılandırıldığını doğrulatmak veya yeni bir kurulumda baştan planlamak isterseniz teklif alın sayfasından yazabilirsiniz. Lisans durumunuzu ve web koruma modülünün kapsamda olup olmadığını lisans yenileme sayfasından birlikte netleştirebiliriz.
Sık sorulan sorular
SSL/TLS inspection açınca internet yavaşlar mı? Şifre çözme ve yeniden şifreleme işlemci yükü getirir. Etkisi trafik hacmine, kural kapsamına ve cihaz modeline bağlıdır; kapasite aşıldığında ne yapılacağı decryption profile’da ayrıca seçilir.
Kullanıcılarda sertifika uyarısı çıkıyorsa sebep nedir? Çoğunlukla firewall’ın imzalayan CA’sı o cihazda güvenilen sertifikalar arasında değildir. CA, grup ilkesi veya MDM ile dağıtılmalıdır.
Bankacılık siteleri çözülmeli mi? Teknik olarak çözülebilir, ancak çoğu kurum kategori bazlı hariç tutma kuralı yazar. Karar, güvenlik ile çalışan mahremiyeti arasında verilir ve aydınlatma metnine yansıtılmalıdır.
Sertifika sabitleyen uygulama çalışmıyorsa ne yapılır? Uygulamanın hedef alan adı için “Don’t decrypt” kuralı yazılır; kural, aynı trafiğe uyan genel “Decrypt” kuralının üstüne yerleştirilir; kurallar yukarıdan aşağıya değerlendirildiği için ilk eşleşen uygulanır.
Kaynak: Sophos Firewall çevrimiçi yardım, “SSL/TLS inspection rules”, “SSL/TLS inspection settings”, “Add a decryption profile” ve “Configure SSL/TLS inspection and decryption” sayfaları (docs.sophos.com/nsg/sophos-firewall).