SSL Denetimi (SSL Inspection) Nedir, Firewall'da Ne Zaman Açılmalı?

SSL denetimi (SSL inspection) nedir?

SSL denetimi (SSL inspection), güvenlik duvarının şifreli HTTPS ve diğer TLS trafiğini inceleyerek içindeki tehditleri, zararlı dosyaları ve politika ihlallerini görebilmesini sağlayan özelliktir. Adında "SSL" geçse de günümüzde incelenen trafik TLS protokolüyle şifrelenir; terim alışkanlıktan dolayı bu şekilde kullanılmaya devam eder.

Bugün web trafiğinin büyük çoğunluğu şifreli taşınır. Şifreleme, kullanıcı ile site arasındaki veriyi dışarıdan meraklı gözlere karşı korur; ancak aynı şifreleme, zararlı bir dosyanın veya komuta-kontrol trafiğinin güvenlik duvarından fark edilmeden geçmesine de imkân verir. SSL denetimi kapalıysa antivirüs, IPS (saldırı önleme) ve DLP gibi içerik denetimleri şifreli trafiğin büyük bölümünü göremez.

Bu nedenle SSL denetimi, bir firewall'un "var olan" güvenlik özelliklerini şifreli trafikte de çalışır hale getiren temel bir ayardır. Ancak yanlış planlanırsa uygulama hatalarına, kullanıcı şikâyetlerine ve gizlilik sorunlarına yol açabilir.

Sertifika denetimi ile derin denetim arasındaki fark nedir?

FortiGate güvenlik duvarlarında SSL denetimi için iki temel yaklaşım bulunur: sertifika denetimi (certificate inspection) trafiği çözmeden yalnızca bağlantının kime yapıldığını görür; derin denetim (deep inspection) ise trafiği çözüp içeriğini inceler.

Sertifika denetimi, "hangi siteye gidiliyor?" sorusunu cevaplamak için yeterlidir ve kategori bazlı web filtreleme için iyi bir başlangıçtır. Derin denetim ise "bu bağlantıda ne taşınıyor?" sorusunu cevaplar; zararlı yazılım taraması, dosya engelleme ve DLP gibi kontroller için gereklidir. Profil adları ve varsayılan ayarlar FortiOS sürümüne göre değişebilir; kesin ayrıntılar için kullandığınız sürümün dokümantasyonu esas alınır.

Derin denetim nasıl çalışır?

Derin denetimde güvenlik duvarı, kullanıcı ile hedef site arasına girer. Kullanıcı tarafına kendi ürettiği bir sertifikayla, hedef siteye ise ayrı bir şifreli bağlantıyla bağlanır. Arada trafik çözülür, güvenlik profilleri uygulanır ve yeniden şifrelenerek iletilir.

Bunun çalışabilmesi için kullanıcı cihazlarının, güvenlik duvarının sertifikalarını imzalayan CA (Certificate Authority, sertifika otoritesi) sertifikasına güvenmesi gerekir. Aksi halde tarayıcılar her sitede sertifika uyarısı gösterir ve kullanıcılar uyarıları geçmeye alışır; bu da gerçek bir saldırı anında uyarının fark edilmemesine yol açar.

CA sertifikası kullanıcılara nasıl dağıtılır?

CA sertifikası, kullanıcıların elle kurmasına bırakılmadan merkezi araçlarla dağıtılmalıdır. Yaygın yöntemler:

• Active Directory ortamında: Grup ilkesi (GPO) ile Windows bilgisayarların güvenilen kök sertifika deposuna eklenir.
• Mobil ve Mac cihazlarda: Kullanılan MDM (mobil cihaz yönetimi) çözümüyle profil olarak dağıtılır.
• Ayrı sertifika deposu kullanan uygulamalarda: Bazı tarayıcılar ve geliştirici araçları işletim sisteminin deposunu kullanmayabilir; bunlar için ayrı ayar gerekir.
• Kurumsal CA tercih edilmesi: Cihazla gelen varsayılan CA yerine, kurumun kendi sertifika altyapısından imzalanmış bir ara sertifika kullanmak genellikle daha yönetilebilir bir yöntemdir.

Kurum dışı cihazlar (misafirler, kişisel telefonlar) için derin denetim genellikle uygulanmaz; bu ağlar ayrı segmentlerde tutulup sertifika denetimiyle veya temel filtrelemeyle yönetilir.

Hangi trafik denetimden muaf tutulmalı?

Her şifreli trafiğin çözülmesi ne gerekli ne de uygundur. Muafiyet listesi, SSL denetimi planının ayrılmaz bir parçasıdır. Genellikle şu gruplar muaf tutulur:

• [ ] Bankacılık ve finans siteleri: Kullanıcının kişisel finans işlemlerinin çözülmesi gizlilik açısından hassastır.
• [ ] Sağlık siteleri: Sağlık verisi özel nitelikli kişisel veridir; bu kategorideki trafiğin çözülmesinden kaçınılması önerilir.
• [ ] Sertifika sabitleme (certificate pinning) kullanan uygulamalar: Bazı mobil uygulamalar, güncelleme servisleri ve bulut istemcileri yalnızca kendi sertifikalarını kabul eder; denetimde çalışmayı durdurabilirler.
• [ ] Güvenilir iş uygulamaları: Video konferans, yedekleme ve güncelleme trafiği gibi yüksek hacimli ve güvenilir kabul edilen hizmetler performans nedeniyle muaf tutulabilir.
• [ ] Hukuki veya sözleşmesel kısıtı olan trafik: Kurumun hukuk birimiyle birlikte belirlenir.

FortiGate'in derin denetim profillerinde bazı kategoriler (ör. finans ve sağlık) için hazır muafiyet seçenekleri bulunabilir. Hangi kategorilerin varsayılan olarak muaf geldiği sürüme göre değişebileceği için kendi yapılandırmanızda kontrol etmeniz gerekir.

SSL denetimi performansı nasıl etkiler?

SSL denetimi, özellikle derin denetim, güvenlik duvarının en çok kaynak tüketen işlemlerinden biridir. Her bağlantı için şifre çözme ve yeniden şifreleme yapıldığından, aynı cihazın SSL denetimi açıkken işleyebildiği trafik, yalnızca firewall kuralları uygulandığındaki değerden belirgin şekilde düşüktür.

Pratik sonuçları:

• Model seçerken yalnızca "firewall throughput" değerine değil, üretici veri sayfasındaki SSL denetimi değerine bakılmalıdır.
• Mevcut bir cihazda derin denetimi kademeli açmak ve cihaz kaynak kullanımını izlemek gerekir.
• Muafiyet listesi, performans yükünü de azaltır.
• Kullanıcı sayısı veya trafik artıyorsa, cihaz kapasitesi yeniden değerlendirilmelidir.

Kesin değerler için güncel üretici veri sayfası esas alınır. Model seçimi ve kapasite konusunu FortiGate firewall ve FortiGate modelleri sayfalarımızda anlattık.

SSL denetimi KVKK açısından ne anlama gelir?

SSL denetimi, çalışanların şifreli trafiğinin içeriğinin görülebilmesi anlamına geldiği için kişisel verilerin işlenmesiyle doğrudan ilişkilidir. Bu nedenle teknik kararın yanında hukuki ve kurumsal bir çerçeve de gerekir.

Dikkate alınması gereken başlıca noktalar:

• Şeffaflık: Çalışanların, kurumsal ağ ve cihazlarda trafiğin güvenlik amacıyla denetlendiği konusunda bilgilendirilmesi
• Amaçla sınırlılık: Denetimin güvenlik amacıyla yapılması, içeriğin bu amaç dışında kullanılmaması
• Veri minimizasyonu: Bankacılık, sağlık gibi hassas kategorilerin muaf tutulması, logların yalnızca gerekli ayrıntıda tutulması
• Erişim kontrolü: Denetim loglarına kimlerin erişebildiğinin sınırlandırılması ve kayıt altına alınması
• Saklama süresi: Logların ne kadar süre tutulacağının belirlenmesi

6698 sayılı KVKK'nın 12. maddesi, veri sorumlusuna kişisel verilerin güvenliği için uygun teknik ve idari tedbirleri alma yükümlülüğü getirir; SSL denetimi bu tedbirlerin bir parçası olabilir, ancak uygulanış biçimi orantılı ve şeffaf olmalıdır. Teknik tedbirlerin planlanması için KVKK teknik tedbirler danışmanlığı sayfamıza bakabilirsiniz.

Bu içerik genel bilgilendirmedir, hukuki danışmanlık yerine geçmez. Kurumunuza özel değerlendirme için hukuk danışmanınızla görüşmeniz önerilir.

SSL denetimi ne zaman açılmalı?

Kısa cevap: kurum yönetimindeki cihazlarda ve kurumsal trafik için derin denetim, CA sertifikası dağıtımı ve muafiyet listesi hazır olduğunda açılmalıdır. Bu hazırlık yapılmadan açılan derin denetim, kullanıcı şikâyetleriyle kısa sürede kapatılır.

Kademeli bir geçiş planı:

1. Sertifika denetimiyle başlayın: Web filtreleme ve uygulama kontrolü için alan adı düzeyinde görünürlük sağlayın.
2. CA sertifikasını dağıtın: GPO veya MDM ile tüm kurumsal cihazlara ekleyin ve doğrulayın.
3. Muafiyet listesini hazırlayın: Finans, sağlık ve uyumluluk sorunu bilinen uygulamaları belirleyin.
4. Pilot grup seçin: BT ekibi ve küçük bir kullanıcı grubuyla derin denetimi açın, sorunları kaydedin.
5. Kademeli yaygınlaştırın: Departman bazında genişletin, cihaz kaynak kullanımını izleyin.
6. Düzenli gözden geçirin: Yeni uygulamalar eklendikçe muafiyet listesini ve politikaları güncelleyin.

Kimler için öncelikli?

SSL denetimi özellikle şu yapılarda öncelikli değerlendirilmelidir:

• Kullanıcıların internetten sık dosya indirdiği ofis ortamları
• DLP ile hassas verinin web üzerinden sızmasını engellemek isteyen kurumlar (DLP çözümleri)
• Zararlı yazılım ve kimlik avı riskini azaltmak isteyen tüm KOBİ ve kurumsal yapılar
• Sunucularına gelen HTTPS trafiğini incelemek isteyen kurumlar (gelen trafik denetimi ayrı bir yapılandırma gerektirir)

Sonuç

SSL denetimi, şifreli trafikte güvenlik duvarının körleşmesini önler. Sertifika denetimi alan adı düzeyinde görünürlük verirken, derin denetim antivirüs, IPS ve DLP gibi kontrollerin şifreli içerikte de çalışmasını sağlar. Başarılı bir uygulama için CA sertifikası dağıtımı, muafiyet listesi, kapasite planlaması ve KVKK açısından şeffaf bir çerçeve birlikte ele alınmalıdır.

FortiGate cihazınızda SSL denetimini planlamak veya mevcut yapılandırmayı gözden geçirmek için firewall teklifi isteyebilirsiniz.