Sizin firewall politikanızı merak ediyorum ve olması gereken nedir?

[emreaydin]

Arkadaşlar merhaba,

Size firewall politikası hakkında bir sorum olacak.

Bizim iç tarafta hizmet verdiğimiz serverlar ve uygulamalar yok. Yani dışarıdan içe doğru bağlanan müşteri/client larımız yok. Biz hep dış tarafdaki serverlara/uygulamlara bağlanıyoruz.
Şirket olarak firewall polikamız bütün inboundlar kapalı (bütün firewall larda olduğu gibi). Outbound olarakda 80,8080,443,53,143,993,1863,22 gibi 15′e yakın port açık. Bu 15 portun dışındaki portlarımız kapalı.
Belli başlı portlar “default policyde” açık. Dışa doğru bütün portlara erişim izni yok.

Örnek olarak içerideki bir developer veya tester dışarıdaki bir server’ın 5689 portuna ve ya 4589 portuna ulaşmak için bize talepde bulunuyor. Bizde açıyoruz.

Benim kafama takılan soru şu. Neden dışa doğru bütün portlara izin vermiyoruz? Siz nasıl yapıyorsunuz. Olması gereken şey ney. Ethical hacker arkadaşlardan ve firewall bilgi yelpazesi geniş arkadaşlardan öneri bekliyorum. Bunu yapmanın bize ne faydası var. Security açısından artısı ve eksisi nedir? Security için inbound portları kapamak kadar outbound portları kapamanın ne gibi bir faydası oluyor.

Firewall da çok fazla rule’umuz var. (210 adet) %90’ı dış tarafta olan serverların portları için oluşturulmuş access rule’lar. Biz doğrumu yapıyoruz yanlışmı yapıyoruz tam olarak bilmiyorum. Bu yüzden sizin firewall politikanızı merak ediyorum.

Tam anlaşılsın diye biraz uzun yazdım.

İyi çalışmalar,

[emreaydin]

Merhaba,

Neden dışa doğru bütün portlara izin vermiyoruz, çünkü kullanıcılarımız tarafından yanlışlıkla tetiklenmiş,kabul edilmiş zararlı bir yazılım internet ve network trafiğimizin yavaşlamasına neden olabilir.
Block durumda olursa, bu durumu monitor ederek sorunu çok daha hızlı bir şekilde şözümleyebilirsiniz.

Bir örnekle açıklamak gerekirse, Anonymous adlı internet korsanlarını bu günlerde çok duyuyoruz. Bu grup nasıl saldırılar düzenliyor, şöyle ki, dileyen kullanıcıların bilgisayarına küçük bir uygulama yerleştiriyor ve siz de bu grubun bir parçası haline geliyorsunuz. Bu uygulama belki 80 portunu haricinde, extra dan farklı port bazında da işlem yapıyor olabilir. Siz de “istemeden” bir parçası haline gelmemek istiyorsanız, bilmediğiniz tanımadığınız portları kapatmalısınız. Yanlızca size gelen istekler doğrultusunda hareket etmeniz (Şu an yaptığınız gibi) çok daha doğru olacaktır. Olması gereken de budur.

210 rule olması konusunda ise, rule ları incelemeden birşey söylenmesi çok güç.
Port bazında olanlar bir araya, Computer bazında olanlar bir araya, network bazında olanlar bir araya toparlanabilir.
Tabi söylediğim gibi, bu kuralları incelemekle karar verilecek bir durum.

İyi Çalışmalar
Serkan Bark

[emreaydin]

Teşekkürler Serkan, DDoS grubuylada paralelden yazışıyorum. Dışa doğru tüm portları açmanın sakıncalı olduğunu anladım. Şimdi bu 210 adet rule’u azaltmak için yol yordam arıyorum. Bunun için iki yol var.

1- Outbound bütün portlara izin vermek.
2- Default rule’un dışındaki port isteklerinin hepsini bir ruleda toplamak. Yeni gelen isteği extra port olarak bu rule’a eklemek.

Cevabın için telekkürler.

Outbound portları açmanın yukarıda yazdığının dışında dış istihbarattan aldığım bilgiye göre iki adet daha zararı var. Biri seninki ile örtüşüyor.

###1####
networkteki kullanıcıların tamamı bilinçli kullanıcılar değil ise makinalarına yuklenebilecek/bulaşabilecek bir virus bir botnet surekli olarak dısarı baglantı kurmaya calısabilir
bu tip sorunlar yuzunden bantgenisliginizi optimum duzeyde kullanamayabilirsiniz
###2###
Bir makinanın internete istediği porttan çıkabiliyor olması erişilen yerinde o makinaya erişebileceği anlamına gelebilir. Yani makinaya reverse shell hakkı veren bir trojanın makinada olması attacker ın INPUT rule larınızı bypass ettiğine dalalettir.