Fortinet'in FortiGate serisi, küçük ofislerden çok şubeli yapılara kadar geniş bir yelpazede kullanılan yeni nesil güvenlik duvarı (NGFW) cihazlarıdır. Cihazın gücü, doğru yapılandırıldığında ortaya çıkar; varsayılan ayarlarla bırakılan bir güvenlik duvarı ise beklenen korumayı sağlamaz. Bu yazıda yeni bir FortiGate'in ofis ağına alınmasında izlenmesi gereken temel adımları, FortiOS arayüzü üzerinden anlatıyoruz. Menü adları sürüme göre küçük farklılıklar gösterebilir.
Kurulumdan Önce Planlama
Cihazı rafa takmadan önce aşağıdaki bilgileri bir sayfada toplayın:
- İnternet bağlantı türü: statik IP mi, DHCP mi, PPPoE mi? Birden fazla hat var mı?
- İç ağ IP planı ve ayrılması gereken bölümler (personel, misafir, kamera, sunucu gibi VLAN'lar)
- Dışarıdan erişilmesi gereken hizmetler ve uzaktan bağlanacak kullanıcı sayısı
- Kullanılacak lisans paketi; web filtreleme, IPS ve antivirüs imzaları FortiGuard aboneliği ile güncellenir
Adım 1: İlk Erişim ve Yönetici Güvenliği
Birçok FortiGate modelinde yönetim arayüzü varsayılan olarak 192.168.1.99 adresiyle gelir ve "admin" kullanıcısı ilk girişte yeni parola belirlemeyi zorunlu kılar. Bilgisayarınızı cihazın yönetim veya LAN portuna bağlayıp tarayıcıdan HTTPS ile erişin. Model ve sürüme göre farklılık olabileceğinden hızlı başlangıç kılavuzunu kontrol edin.
- Güçlü ve benzersiz bir yönetici parolası belirleyin.
- Sistem ayarlarından cihaz adı, saat dilimi ve NTP sunucusunu yapılandırın.
- Yönetim erişimine yalnızca güvenilir IP adreslerinden izin verin (Trusted Hosts).
- Yönetim arayüzünü WAN tarafına açmayın; uzaktan yönetim gerekiyorsa VPN üzerinden erişin.
Adım 2: Ürün Yazılımını Güncelleyin
Cihazı FortiCare'e kaydedin ve Fortinet'in önerdiği kararlı FortiOS sürümünü kontrol edin. Güncellemeden önce mevcut yapılandırmanın yedeğini alın ve sürüm notlarındaki yükseltme yolunu izleyin; bazı geçişler ara sürüm gerektirir. Güvenlik duvarlarında yayımlanan kritik açıklar düzenli olarak saldırganların hedefindedir, bu yüzden güncelleme takibi kurulumdan sonra da devam etmelidir.
Adım 3: Arayüzler, Yönlendirme ve DNS
- WAN arayüzü: Servis sağlayıcınızın verdiği bilgilere göre adresleme modunu seçin. Bu arayüzde yönetim erişimi (HTTPS, SSH, PING) kapalı kalsın.
- LAN arayüzü: İç ağın ağ geçidi adresini tanımlayın ve gerekiyorsa DHCP sunucusunu etkinleştirin.
- VLAN'lar: Misafir Wi-Fi, IP kameralar ve sunucular için ayrı alt ağlar oluşturun. Böylece bir bölümdeki sorun diğerlerine sıçramaz.
- Statik rota ve DNS: Varsayılan rotanın WAN ağ geçidini gösterdiğinden emin olun, güvenilir DNS sunucuları tanımlayın.
- Çift hat: İki internet bağlantınız varsa SD-WAN özelliğiyle yük dengeleme ve yedekleme kuralları oluşturabilirsiniz.
Adım 4: Güvenlik Politikaları
FortiGate'te trafik, bir politika tarafından açıkça izin verilmedikçe geçmez. Politika yazarken şu ilkeleri benimseyin:
- "Her yerden her yere her hizmet" türü geniş kurallar yerine, kaynak, hedef ve hizmeti belirli tutun.
- İç ağdan internete çıkan trafikte NAT'ı etkinleştirin.
- Misafir ağının iç ağa erişimini engelleyen bir kural ekleyin.
- Dışarıya hizmet sunacaksanız Virtual IP (port yönlendirme) tanımlarını yalnızca gerekli portlarla sınırlayın ve uzak masaüstü gibi hizmetleri doğrudan açmayın.
- Her politikada kayıt tutmayı (logging) açın ve politikalara anlaşılır açıklamalar yazın.
Adım 5: Güvenlik Profilleri
Politikalar trafiğin geçip geçmeyeceğine karar verir; güvenlik profilleri ise geçen trafiğin içeriğini denetler.
- Antivirüs: İndirilen dosyaları zararlı yazılım imzalarına karşı tarar.
- Web filtreleme: Kategori bazlı olarak zararlı veya iş dışı siteleri engeller.
- Uygulama kontrolü: Torrent, izinsiz uzaktan erişim araçları gibi uygulamaları sınırlar.
- IPS: Bilinen açıkları hedef alan saldırı girişimlerini tespit edip engeller.
- SSL denetimi: Şifreli trafiği incelemek için derin denetim gerekir; bu, istemcilere sertifika dağıtımı gerektirdiğinden planlı yapılmalı, bankacılık ve sağlık gibi kategoriler istisna tutulmalıdır.
Adım 6: Uzaktan Erişim VPN'i
Şubeleri bağlamak için site-to-site IPsec tünelleri, uzaktaki çalışanlar için ise FortiClient ile uzaktan erişim VPN'i kullanılır. Fortinet, güncel FortiOS sürümlerinde SSL VPN tünel modu yerine IPsec tabanlı uzaktan erişime geçişi önermektedir; kullandığınız modelin ve sürümün desteklediği yöntemleri sürüm notlarından kontrol edin. VPN kullanıcılarında mutlaka iki faktörlü doğrulama kullanın.
Adım 7: İzleme ve Yedekleme
Kurulum bittiğinde yapılandırma yedeğini güvenli bir yerde saklayın. Kayıtları cihazda, FortiAnalyzer'da veya bulut hizmetinde tutarak olağan dışı trafiği izleyin. Yönetici hesaplarını kişiye özel tanımlayın ki hangi değişikliği kimin yaptığı izlenebilsin.
Sık Yapılan Hatalar
- Yönetim arayüzünü internete açık bırakmak.
- Tüm trafiğe izin veren tek bir politika ile kurulumu "bitmiş" saymak.
- FortiGuard aboneliği sona erdiği halde imzaların güncellendiğini varsaymak.
- Ürün yazılımı güncellemelerini aylarca ertelemek.
Devreye Alma Sonrası Kontrol Listesi
Kurulumu tamamladıktan sonra ilk hafta içinde şu kontrolleri yapmanız, gözden kaçan ayarları erkenden yakalamanızı sağlar:
- Dışarıdan bir port taraması yaparak yalnızca bilinçli olarak açtığınız hizmetlerin göründüğünü doğrulayın.
- Misafir ağından iç ağdaki bir sunucuya erişmeyi deneyin; erişim engellenmelidir.
- Güvenlik profillerinin kayıtlarını inceleyerek iş uygulamalarının yanlışlıkla engellenip engellenmediğini kontrol edin.
- FortiGuard lisans ve imza güncelleme durumunu panelden kontrol edin.
- Yapılandırma değişikliklerini kayıt altına alan bir değişiklik defteri başlatın.
Çayırova, Gebze, Darıca, Dilovası ve Tuzla'daki işletmeler için güvenlik duvarı ihtiyaç analizi, kurulum ve yapılandırma işlerinde Grimax Bilişim olarak destek sunuyoruz. Ağınıza uygun güvenlik yapısını planlamak için bizimle iletişime geçebilirsiniz.