KOBİ'ler İçin Firewall: Neden Gerekli, Nasıl Seçilir?

Bir KOBİ'nin firewall'a ihtiyacı, ağında internete açılan bilgisayarlar, sunucular, kameralar ve uzaktan bağlanan çalışanlar olduğu anda başlar. Modemdeki temel koruma dışarıdan gelen istenmeyen bağlantıları büyük ölçüde keser, ama ağın içinden dışarıya giden trafiğin ne olduğunu, hangi uygulamanın hangi siteye bağlandığını ve bu trafikte zararlı içerik olup olmadığını denetlemez. Yeni nesil firewall (NGFW) bu boşluğu doldurur. Seçim içinse iki ölçüt öne çıkar: kullanıcı sayınız ve internet hattınızın hızı. Bu yazıda farkı sade bir dille anlatıyor, 5 ile 50 kullanıcı arasındaki işletmeler için FortiGate 30G, 40F, 50G ve 60F modellerini karşılaştırıyoruz.

Kuvve Teknoloji olarak 2014'ten beri İstanbul Kartal'dan işletmelerin ağ güvenliği altyapısını kuruyoruz. Aşağıdaki teknik değerler ve fiyatlar ürün kataloğumuzdan alınmıştır; fiyatlar USD + KDV olarak verilmiştir, yazım tarihi itibarıyla geçerlidir ve zamanla değişebilir. Tüm modelleri firewall ürünleri sayfamızda görebilirsiniz.

Modemdeki koruma ile yeni nesil firewall arasındaki fark

İnternet servis sağlayıcınızın verdiği modem ya da router genellikle adres çevirisi (NAT) ve temel paket filtreleme yapar. Bu, dışarıdan içeriye kendiliğinden açılan bağlantıların önemli bir kısmını engeller ve ev kullanımı için çoğu zaman yeterlidir. Bir işletme ağında ise sorular değişir:

• İçerideki bir bilgisayar bilinen bir zararlı adrese bağlanmaya çalışıyorsa bunu kim fark eder?
• Misafir Wi-Fi'ye bağlanan bir cihaz muhasebe bilgisayarına erişebiliyor mu?
• Evden çalışan personel şirket sunucusuna güvenli bir kanal üzerinden mi bağlanıyor?
• Günümüzde web trafiğinin büyük kısmı şifreli; bu trafik içinde zararlı bir dosya indirildiğinde denetim yapılabiliyor mu?

Temel router bu sorulara genellikle cevap vermez, çünkü trafiğe yalnızca adres ve port düzeyinde bakar. Yeni nesil firewall ise trafiğin hangi uygulamaya ait olduğunu tanır, içeriği güvenlik servisleriyle inceler ve ağı bölümlere ayırarak bölümler arası erişimi kurala bağlar. Kataloğumuzdaki FortiGate modellerinin ürün açıklamalarında bu yetenekler şöyle sıralanır:

• Güvenlik servisleri: IPS (saldırı önleme), antivirüs, web filtreleme, uygulama kontrolü ve anti-spam. Bunlar lisansla gelen FortiGuard Bundle kapsamındadır.
• Şifreli trafik inceleme: SSL/şifreli trafiğin incelenmesi; 40F ve 50G açıklamalarında bu işlemin donanımsal hızlandırıldığı belirtilir.
• VPN: Kullanım senaryoları arasında uzaktan çalışan kullanıcılar için VPN konsantratörü yer alır.
• SD-WAN: Birden fazla internet hattını ya da şubeyi birlikte yönetme yeteneği; tek ofis veya küçük çoklu ofis dağıtımları için.
• ZTNA: Uygulamalara erişimin kullanıcı ve cihaz doğrulamasına bağlanması.

Firewall tek başına her sorunu çözmez; güncel işletim sistemleri, güçlü parolalar, yedekleme ve personel farkındalığı da aynı resmin parçasıdır. Ama ağın internete açılan kapısında neyin geçtiğini görmek ve kurala bağlamak, bu tedbirlerin üzerine inşa edildiği temeldir.

Lisans ne işe yarar?

Firewall donanımı kuralları uygular; güvenlik servislerinin güncel kalmasını ise lisans sağlar. Kataloğumuzdaki her FortiGate, cihaz ve lisans birlikte olacak şekilde 1 yıllık ya da 3 yıllık paketle satılır. Ürün açıklamalarına göre lisans şunları kapsar:

• FortiGuard Bundle: IPS, antivirüs, web filtreleme, uygulama kontrolü ve anti-spam,
• FortiCare 24×7 teknik destek (donanım garantisi dahil),
• Yazılım güncellemeleri ve tehdit imza yenilemeleri,
• Üretici garantisi ve RMA desteği.

Pratik anlamı şudur: Firewall'un tanıdığı tehdit imzaları ve yazılım güncellemeleri lisans süresi boyunca gelir. Bu yüzden lisans süresini bir kez satın alınıp unutulan bir kalem olarak değil, cihazın koruma kapasitesinin parçası olarak planlamak gerekir. 1 yıl ile 3 yıl arasındaki seçimi maliyet açısından ayrıntılı olarak FortiGate 1 yıl mı, 3 yıl lisans mı yazımızda inceledik.

Kullanıcı sayısına göre model seçimi

Model	Önerilen kullanıcı	Firewall throughput	Tehdit koruması	Portlar	1 yıl lisanslı	3 yıl lisanslı
FortiGate 30G	5-10	950 Mbps	450 Mbps	5×GE RJ45, masaüstü	602 USD + KDV	963 USD + KDV
FortiGate 40F	10-15	5 Gbps	600 Mbps	5×GE RJ45, masaüstü	722 USD + KDV	1.173 USD + KDV
FortiGate 50G	15-25	7,5 Gbps	2,4 Gbps	7×GE RJ45, masaüstü	905 USD + KDV	1.444 USD + KDV
FortiGate 60F	25-50	10 Gbps	700 Mbps	10×GE RJ45 (2 WAN, 7 LAN, 1 DMZ), 1U rack	981 USD + KDV	1.595 USD + KDV

Throughput mu, tehdit koruması mı?

Tabloda iki performans değeri var ve seçimde asıl bakmanız gereken ikincisidir. Firewall throughput, cihazın yalnızca temel kuralları uygularken ulaşabileceği hızdır. Tehdit koruması değeri ise güvenlik servisleri devredeyken beklenen değerdir. NGFW'yi zaten güvenlik servisleri için aldığınızdan, gerçek kullanımda sizi ilgilendiren genellikle bu ikinci rakamdır.

Basit bir kontrol yapın: İnternet hattınızın hızı ile modelin tehdit koruması değerini karşılaştırın.

• 100 Mbps hat: dört modelin tehdit koruması değeri de hattın üzerindedir; seçimi kullanıcı sayısı ve port ihtiyacı belirler.
• 500 Mbps hat: 30G'nin tehdit koruması değeri (450 Mbps) hat hızının altında kalır. Güvenlik servisleri açıkken hattın tamamını kullanmak istiyorsanız 40F (600 Mbps) ve üstü daha uygundur.
• 1 Gbps hat: 30G (450 Mbps), 40F (600 Mbps) ve 60F (700 Mbps) bu hızın altındadır; tablodaki dört model içinde 1 Gbps'in üzerinde tehdit koruması değeri olan tek model 2,4 Gbps ile 50G'dir.

Burada tabloda ilk bakışta şaşırtan bir nokta göze çarpar: 60F, 50G'den daha yüksek bir kullanıcı aralığı için önerilir, ama tehdit koruması değeri daha düşüktür (700 Mbps'e karşı 2,4 Gbps). 60F'yi öne çıkaran, daha fazla port (2 WAN, 7 LAN, 1 DMZ), rack montaj ve daha kalabalık bir ağ için önerilmesidir; 50G ise ürün açıklamasına göre yeni nesil SP5 işlemci kullanır. Hızlı bir fiber hattınız ve 25 kişinin altında bir ekibiniz varsa 50G, daha fazla kablolu bölüm ve DMZ'de sunucu barındırma ihtiyacınız varsa 60F mantıklıdır.

Kısa öneriler

• 5-10 kişilik ofis, mütevazı hat: FortiGate 30G. Küçük ofis ve şube ağları için tasarlanmıştır; güvenlik servisleri, SD-WAN ve VPN sunar.
• 10-15 kişi: FortiGate 40F. Açıklamasında donanım hızlandırmalı SSL inceleme ve cloud yönetim seçeneği yer alır.
• 15-25 kişi ya da hızlı fiber hat: FortiGate 50G. Tabloda en yüksek tehdit koruması değerine sahip model.
• 25-50 kişi, çok bölümlü ağ: FortiGate 60F. Ayrık WAN, LAN ve DMZ portları; ürün açıklamasına göre yerleşik Wi-Fi denetleyicisi.

50 kullanıcının üzerindeyseniz bu dört model doğru başlangıç noktası değildir. Kataloğumuzda 50-75 kullanıcı için FortiGate 70G ve üzerindeki modeller bulunur; 30G'den 120G'ye kadar tüm modelleri FortiGate model karşılaştırma yazımızda tek tabloda ele aldık.

Büyüme payı ve port ihtiyacı

Kullanıcı aralıkları yol gösterici değerlerdir, kesin sınır değildir. Karar verirken üç şeye bakmanızı öneririz. Birincisi, önümüzdeki iki üç yıl içinde beklediğiniz personel artışı; bir firewall genellikle yıllarca kullanıldığı için bugünkü sayının biraz üzerinde bir model seçmek, erken bir yenileme ihtiyacını önler. İkincisi, ağa bağlı kullanıcı dışı cihazlar: IP kameralar, yazıcılar, IoT cihazlar ve misafir Wi-Fi de trafiği ve kural sayısını artırır. Üçüncüsü, fiziksel port ihtiyacı: İki ayrı internet hattı kullanacaksanız ya da dışarıya hizmet veren bir sunucuyu ayrı bir bölümde (DMZ) tutacaksanız ayrık WAN ve DMZ portu olan 60F işinizi kolaylaştırır.

Firewall ve KVKK

Kişisel veri işleyen işletmelerin veri güvenliği için teknik ve idari tedbirler alması beklenir. Ağ erişimini kurala bağlayan, trafiği kaydeden ve zararlı içeriği filtreleyen bir firewall, bu teknik tedbirlerin bir parçası olabilir. Ancak firewall almak tek başına uyum anlamına gelmez; hangi tedbirlerin sizin işletmeniz için yeterli olduğu, işlediğiniz verinin türüne ve süreçlerinize bağlıdır. Bu konuda hukuk danışmanınızın ve güncel düzenlemelerin görüşünü esas alın.

Kurulum da seçim kadar önemli

En doğru model bile yanlış yapılandırıldığında beklenen korumayı sağlamaz. Güvenlik servislerinin gerçekten açık olduğu, misafir ağının ayrıldığı ve VPN erişiminin doğru kullanıcılarla sınırlandığı bir kurulum, cihazın değerini ortaya çıkarır. Kataloğumuzdaki FortiGate ürünlerinde kurulum ve ilk yapılandırma desteği ile SD-WAN ve VPN topoloji tasarım danışmanlığını opsiyonel olarak sunuyoruz; destek tarafında Türkiye'den 7/24 Türkçe teknik destek veriyoruz.