Sophos Firewall STAS: Active Directory ile Şeffaf Kullanıcı Doğrulama ve Kullanıcı Bazlı Kural Nasıl Kurulur?

Sophos Firewall, STAS (Sophos Transparent Authentication Suite) ile Active Directory’ye giriş yapan kullanıcıyı ayrıca şifre sormadan tanıyabilir. Domain controller, kullanıcı oturum açtığında güvenlik olayı yazar. STAS bu olayı okur ve “bu IP adresindeki kişi Ayşe” bilgisini firewall’a iletir. Sonrasında “Muhasebe grubu şu sitelere girebilir” gibi kullanıcı bazlı kurallar IP adresine bağlı kalmadan çalışır. Bu yazı kurulum sırasını, portları ve STAS’ın iyi çalışmadığı durumları anlatıyor.

STAS nasıl çalışıyor?

Sophos’un clientless SSO sayfasına göre akış şöyle işler. Kullanıcı domain’e giriş yapar, domain controller kimliği doğrular ve başarılı oturum için güvenlik denetim olayı yazar. Bu olay Windows 2008 ve sonrasında 4768 numaralı olaydır. STAS agent’ı olayı okuyup kullanıcı adı ve IP adresini collector’a gönderir. Collector da bilgiyi firewall’a iletir. Kullanıcı internete çıktığında firewall, IP adresini kendi kullanıcı haritasında bulur ve ilgili politikayı uygular.

Üç rol var:

• STA Agent domain controller’daki oturum olaylarını okur.
• STA Collector kullanıcı ve IP eşleşmelerini toplayıp firewall’a gönderir. Firewall tanımadığı bir IP görürse collector’a sorabilir.
• Firewall kullanıcı haritasını tutar, AD’den grup üyeliğini sorgular ve kuralları uygular.

Sophos’un önerilen yöntem notları ve Avanet’in kurulum rehberi, üretimde collector’ı ayrı bir üye sunucuya koymayı öneriyor. Collector yoğun trafik üretir ve ayrı olması hem izlemeyi kolaylaştırır hem domain controller’ı rahatlatır.

Hangi portlar açılmalı?

Aşağıdaki liste Sophos’un yardım sayfası ve topluluk rehberiyle Avanet’in derlemesine dayanıyor. Port numaraları sürüme göre değişebilir, kendi sürümünüzün yardım sayfasından teyit edin.

Agent ile collector arasındaki bağlantı testi için UDP 50001 de kullanılıyor. Birden fazla STAS kurulumu arasında yapılandırma eşitleme için TCP 27015 geçiyor. Firewall’daki Administration > Device access ekranında, kullanıcıların bulunduğu bölgelerin Authentication servislerine erişebildiğinden de emin olun.

Kurulum sırası

1. Domain controller’da denetim politikasını açın. secpol.msc içinde “Audit account logon events” için Success ve Failure işaretli olmalı. 4768 olayının Event Viewer’da oluştuğunu bu aşamada görün.
2. Servis hesabı hazırlayın. STAS için ayrı bir hesap kullanın. Avanet rehberi Domain Users, Event Log Readers ve “Log on as a service” yetkisini sayıyor. İş istasyonu sorgusu yapılacaksa WMI izinleri de gerekiyor.
3. AD sunucusunu firewall’a ekleyin. Authentication > Servers altında ekleyin, Test connection ile LDAP bağlantısını doğrulayın.
4. STAS’ı indirin. Authentication > Client downloads > Single Sign-on altında paket var. Kuruluma agent, collector veya birlikte seçebilirsiniz.
5. Agent’ı yapılandırın. Mod EVENTLOG olsun. Yalnızca gerçek istemci ağlarını CIDR olarak girin.
6. Collector’ı yapılandırın. Firewall IP adresini ekleyin. Dead entry timeout değerinin 0 olması öneriliyor.
7. Dışlama listesini doldurun. Yedekleme, izleme ve yönetici hesapları ile Exchange gibi aktarıcı sunucuların IP adresleri kullanıcı eşleşmesini ezmesin.
8. Firewall’da STAS’ı etkinleştirin. Authentication > STAS altında collector’ı IP, port ve grup bilgisiyle ekleyin. Bir grupta bir ana ve dört yedek collector olabilir, her domain için ayrı grup gerekir.
9. Doğrulayın. Bir istemcide yeniden oturum açıp STAS konsolunda ve firewall’da Current activities > Live users ekranında kullanıcıyı görün.
10. Kullanıcı bazlı kural yazın. Rules and policies altında kaynak olarak AD grubunu seçin, günlüğü açın ve gerçek trafikle Log Viewer’dan sınayın.

Kullanıcı bazlı kuralı üretime almadan önce yedek alma adımlarını tamamlayın. Kurallara uygulama ve web filtreleme politikalarını bağlayacaksanız Application Control ve Web Control yazılarımız bu aşamada işinize yarar.

STAS hangi durumlarda yanıltır?

STAS bir IP adresine tek kullanıcı düştüğü varsayımıyla çalışır. Bu varsayım bozulunca eşleşme de bozulur.

• NAT veya proxy arada olduğunda. İstemci ile firewall arasındaki trafik yönlendirilmeli veya anahtarlanmalı, NAT’lanmamalı.
• RDS veya Citrix sunucularında. Tek IP arkasında birden fazla kullanıcı olunca klasik STAS kullanıcıları ayıramaz. Sophos bu senaryolar için SATC veya Per-Connection AD SSO gibi seçenekleri sunuyor.
• Domain’e girmeyen cihazlarda. Yalnızca yerel hesapla oturum açan kullanıcı doğrulanmış sayılmaz. Bu kullanıcılar captive portal üzerinden giriş yapmalı.
• Dışlama listesi boş kaldığında. Yedekleme, izleme ve yönetici hesapları ile aktarıcı sunucular gerçek kullanıcının eşleşmesinin üzerine yazabilir. Bu hesapları dışlama listesine ekleyin.

Firewall’da STAS veya istemci doğrulamayı kapatmadan önce yedek bir kural hazırlayın. Avanet, system auth cta disable komutunun tüm kullanıcı bazlı kuralları etkilediği konusunda uyarıyor. Windows, domain controller, STAS ya da firewall güncellemesinden sonra doğrulama adımlarını yeniden koşun.

Lisans gerekiyor mu?

Sophos’un clientless SSO sayfası STAS için ayrı bir lisans kalemi saymıyor. Kullanıcı bazlı web filtreleme ve uygulama kontrolü gibi katmanlar ise aldığınız firewall paketine bağlı. Hangi paketin neyi kapsadığı için lisans paketleri yazımıza bakabilir, kendi kullanıcı yapınıza göre teklif alın sayfasından ya da lisans yenileme sayfasından bilgi isteyebilirsiniz. Cihaz seçimi aşamasındaysanız Sophos Firewall ürün sayfası modelleri karşılaştırır.

Sık sorulan sorular

STAS için kullanıcı bilgisayarlarına program kurmak gerekir mi? Hayır. Agent ve collector sunucu tarafında çalışır. İş istasyonu sorgusu (WMI veya Registry) isteniyorsa Windows güvenlik duvarında collector’a izin vermek gerekir.

STAS yerine neyi seçmeliyim? Tek IP arkasında çok kullanıcı varsa (RDS, Citrix) Sophos’un SATC veya Per-Connection AD SSO yöntemleri daha uygun. Domain dışı cihazlar için captive portal kalır.

Collector domain controller üzerinde çalışabilir mi? Çalışır ancak topluluk rehberi yoğun trafik nedeniyle ayrı bir üye sunucuyu öneriyor.

Kullanıcı bazlı kural çalışmıyorsa ilk neye bakmalı? Domain controller’da 4768 olayının oluştuğuna, firewall’da Live users ekranında kullanıcının göründüğüne ve istemci bölgesinin Authentication servislerine açık olduğuna bakın.

Kurulumu yaptırmak istersek? Xen Bilişim bağımsız bir Sophos iş ortağıdır. Lisans ve yenileme konusunda teklif alın sayfasından bize ulaşabilirsiniz.