Firewall Nedir Nasıl Çalışır? Bir Firewall Hikayesi…

Firewall nedir? En basit mantığı ile nasıl çalışır merak ettiniz mi? Bugün sizlere “Bir Firewall Hikayesi” adı altında en basit bir şekilde Firewall’ın ne olduğunu ve nasıl çalıştığını anlatmaya çalışacağım.

Firewall bilgisayarınızı korumak ve dışarıdan gelebilecek ataklara karşı koyabilmek için üretilen cihaz ve yazılımlardır. Temel olarak firewall ağ sistemlerini internet ortamından gelecek kötü kodlar, virüsler, hackerlar ve zararlı web siteleri gibi birçok olumsuz içerikten korumak için tasarlanmıştır.

Sisteminize bir bağlantı isteği geldiği zaman (TCP Paketi, ICMP, UDP gibi) katman katman bu istek incelenir.  Mesela sisteminizde bir Apache sunucusu olduğunu varsayalım.  Bu sunucu sayesinde dışarıya bir internet sitesi olarak yayın yapmaktasınız.  TCP paketi geldiği zaman Apache’ye ulaşması için Layer 6 ve 7. seviyede inceleme yapılır.

Bunu bir apartman dairesindeki 6. ve 7. katlar olarak düşünebiliriz. Apartmanımızda bir güvenlik sistemi (firewall) varsa, bu istek giriş kattan alınır ve 7. kata kadar taşınır.  En üst katta oturan Apache’ye bu istek gelir ve Apache kapıyı açar…

Binada görev yapan güvenlik görevlisi (Firewall) 1. kattan (1. katmanda işlem yapamaz,  1. katmanda elektrik sinyali vardır.  Bazı Firewall’lar farklı olabilir, L3 başlangıçlı veya L7’ye müdahale edemeyenler gibi…) 2. kata çıkan bu isteği yanına alarak 7. kata kadar taşır.  İsteği gören güvenlik koruması (Firewall)  7. kata kadar gözünü sizden ayırmaz. Sizi sürekli olarak izler eğer bu süreç içerisinde yani 2. kattan 7. kata kadar çıkarken yaramazlık yaparsanız, Firewall gözünüzün yaşına bakmadan sizi asansör boşluğundan aşağı atar.

Mesele yaramazlık yapmamaktır. Güvenli olduğunuza karar verdiği an 7. kata kadar sizi sağ salim çıkarıp 7. katta oturan Apache abimize teslim eder.

Yaramazlık yapan ziyaretçilerin sonu aynıdır. Asansör boşluğundan aşağı atılmak. 🙂  

7. kata kadar çıkamayan hiçbir ziyaretçiyi Apache amcamız göremez. Ziyaretçiler ne kadar gürültü çıkarırsa çıkarsın 7. kata ulaşamayan Apache amcamız ile tanışma fırsatını yakalayamaz.

Saldırı anında Firewall yani apartmanın güvenlik görevlisi olmadığını düşünelim…

Kötü niyetli bir ziyaretçi (TCP paketi) içeri girdiğini düşünelim. Çantasında da bir silah (Exploit) taşıdığını varsayalım. Katman katman yukarı çıkar. Binanın tüm katlarını çıkarken bir ıslık çalıp kötü niyetli diğer arkadaşlarını da yanına çağırabilir.

Birkaç ziyaretçinin birden apartmanın üst katlarına doğru birlikte çıktığını düşünelim. Mahallenin tüm kötü niyetli (TCP Paketleri) gençleri yukarı çıkıyor.  Yedinci kata geldiklerinde sistemde bir Firewall olmadığı için hepsi beraber paldır küldür Apache’nin kapısına yüklenir. Kapı bir süre sonra iş görmez ve kırılır.  (Apache’nin güvenliği)

O kadar kötü niyetli uğraş vardır ki (Kötü TCP Paketleri) 7. kata ellerini kollarını sallayarak geldikleri için Apache’yi yorar, kapıyı kırar ve içeri girerler…

Apache herkesle uğraşmaktan bitkin düşer ve yamulup kalır…

Kötü niyetli kişiler de istedikleri gibi sistemde cirit atarlar…  Ne kadar güçlü işlemciniz ve hafızanız olursa olsun gelen kötü isteklerde bir süre sonra Apache, mutlaka yamulup kalabilir.  Sizi güçlü kılan işlemci,  ram ve hat miktarınızdır. Bir şekilde yüklenilmeye devam edilirse binayı temelinden bile sarsabilirler… (Datacenter’dan kovulabilirsiniz)

Doğal olarak her girenin elini kolunu sallayarak Apache’ye ulaşmasını yani binanın en üst katına çıkmasını engellemek gereklidir.

Gelenleri 7. kata kadar izleyip, tek tek kötü niyetlileri tespit edip, hatta GBT bile sorarak güvenli olduklarını anlamak gereklidir. Bina girişinden 7. kata kadar yaramaz bir ziyaretçiye rastlanır ya da tespit edilirse camdan aşağı veya asansör boşluğundan aşağı atıp kurtulmak gereklidir.

Ziyaretçilerin güvenli olanları, gerçek ziyaretçiyi, yani iyi niyetli ziyaretçileri Apache ile tanıştırarak hizmet almalarını sağlamak gereklidir. Bknz: Firewall Nedir?

Bilgisayarınız ile modeminiz arasındaki donanımsal firewall cihazları gelen istekleri karşılar, inceler ve kötü olanları iptal ederler. Böylelikle temiz ve düzgün bir hizmet verebilirsiniz. Ayrıca mantık ve tasarım hatalarını kapatmak gereklidir. (Tcp/Ip’deki zayıflıklar gibi…)