İçeriğe atla
Bilgi Merkezi/Makale
Makale

Firewall (Güvenlik Duvarı) Nedir? Türleri, NGFW ve DMZ

Firewall'un trafiği kural setiyle nasıl süzdüğünü, paket filtrelemeden NGFW'ye türlerini, bulut kurallarını, DMZ'yi ve kural setinin bakımını anlattık.

Oğuzhan Gerçek··7 dk okuma
Firewall (Güvenlik Duvarı) Nedir? Türleri, NGFW ve DMZ

Kısa cevap: Firewall (güvenlik duvarı), ağlar ya da cihazlar arasındaki trafiği bir kural setine göre denetleyen cihaz ya da yazılımdır: kurala uyan trafiğe izin verir, uymayanı engeller. İyi kurulmuş bir firewall'da açıkça izin verilmeyen her şey reddedilir. Türleri paket filtrelemeden stateful firewall'a ve uygulamayı, kullanıcıyı tanıyan yeni nesil firewall'a (NGFW) uzanır; sunucuda host tabanlı firewall, bulutta güvenlik grubu aynı işi görür. DMZ, internete açık sunucuların iç ağdan firewall ile ayrıldığı bölümdür. Firewall'un değeri, kural setinin bakımına bağlıdır.

Firewall nedir, ne işe yarar?

NIST'in sözlüğündeki tanımlardan biri, firewall'u ağlar arasındaki erişimi yerel güvenlik politikasına göre sınırlayan bir geçit (gateway) olarak açıklıyor. NIST'in firewall rehberi SP 800-41 Rev. 1 (Eylül 2009) ise onu, güvenlik gereksinimleri farklı ağlar ya da cihazlar arasındaki trafik akışını denetleyen cihaz ya da program olarak tanımlıyor. Rehbere göre firewall, iç ağın dış ağlarla buluştuğu her noktada ve güvenlik gereksinimleri farklı iç ağların arasında kullanılmalı. NIST'e göre ağın kenarındaki firewall'lardan sık beklenen bir iş de belirli trafiği şifreleyip çözmek; bu neredeyse her zaman VPN demek (VPN yazımız).

Firewall, ağ güvenliğinin temel katmanlarından biri; kısa tanımı sözlüğümüzde var.

Firewall nasıl çalışır? Kural seti ve varsayılan ret

Firewall'un davranışını kural seti (ruleset) belirler: her kural trafiği adres, protokol ve porta, gelişmiş firewall'larda uygulama ve kullanıcıya göre tarif eder ve izin ya da ret eylemi taşır. NIST'e göre birçok firewall trafiği kurallarla sırayla karşılaştırır ve ilk eşleşmede durur; bu firewall'larda kuralların sırası da sonucu belirler.

SP 800-41'in temel önerisi varsayılan ret (deny by default): açıkça izin verilmeyen bütün gelen ve giden trafik engellenir (port yazımız). Giden yön de önemli: Microsoft'a göre Windows Firewall varsayılan olarak istenmeyen gelen trafiği engeller, gideni ise serbest bırakır. En az yetkinin karşılığı, her açık kapının bir gerekçesi olması: PCI DSS v4.0, izin verilen her hizmetin, protokolün ve portun belirlenmiş, onaylanmış ve tanımlı bir iş ihtiyacına dayanmasını istiyor (1.2.5).

Firewall türleri: paket filtrelemeden uygulama katmanına

SP 800-41 firewall teknolojilerini şöyle ayırıyor:

  • Paket filtreleme: Adrese, protokole, porta, arayüze ve yöne bakar. Durumsuzdur (stateless): bir oturumun paketlerini birbirine bağlamaz, içeriğe bakmaz.
  • Stateful inspection: Her bağlantıyı bir durum tablosunda (state table) izler; beklenen bir oturuma uymayan paketi engeller.
  • Uygulama firewall'u: Uygulamanın ağ üzerinde nasıl çalıştığına bakarak karar verir; beklenmedik komut dizilerini ve geçersiz girdiyi yakalayabilir.
  • Uygulama proxy gateway'i: İki tarafla ayrı bağlantı kurar, iki cihaz doğrudan konuşmaz. NIST'e göre bazıları yüksek bant genişliğine ya da gerçek zamanlı uygulamalara pek uygun değil.

Donanım ya da yazılım olması türü değiştirmez; NIST'in tanımı cihazı da programı da kapsıyor.

Yeni nesil firewall (NGFW) ve WAF

Cisco'nun tanımıyla NGFW, stateful firewall işlevlerini uygulama denetimi, entegre saldırı önleme (IPS), gelişmiş tehdit tespiti ve kullanıcı kimliği farkındalığıyla birleştiren bir ağ güvenlik cihazı. Klasik firewall IP adresine, porta ve protokole bakarken NGFW trafiğin arkasındaki uygulamayı ve kullanıcıyı tanır: kural yalnızca porta değil, uygulamaya ve kullanıcıya göre de yazılabilir. Cisco şifreli trafiği çözüp incelemeyi (TLS decryption) de sayıyor; risklerini proxy yazımızda, NGFW'nin NIST tarifini ağ güvenliği yazımızda ele aldık.

WAF ise yalnızca web uygulamasını korur: Cloudflare'e göre uygulama ile internet arasındaki HTTP trafiğini süzer, SQL injection ve XSS gibi saldırılara karşı koruma sağlar. Ayrıntısı WAF yazımızda; bu katmanı uygulama güvenliği (WAF) hizmetimizde ele alıyoruz.

Host tabanlı firewall: Windows ve Linux

Aynı alt ağdaki iki cihaz arasındaki trafik, ağın kenarındaki firewall'a hiç uğramayabilir. SP 800-41'e göre sunucudaki host tabanlı firewall, yalnızca gereken trafiğe izin verdiğinde, aynı alt ağdakiler dahil bütün cihazlardan gelen kötü niyetli etkinliğe karşı korur.

  • Windows: Microsoft'a göre Windows Firewall (Hizmetler'deki adıyla Windows Defender Firewall) bütün Windows sürümlerinde varsayılan olarak açık; tanınmayan ağlarda daha yüksek güvenlik için tasarlanan genel (public) profil devreye girer.
  • Linux: Netfilter projesine göre nftables, iptables ailesinin yerini alan paket sınıflandırma altyapısı; çekirdekte 3.13 sürümünden beri var.

CIS Controls v8.1 sunucularda (4.4) ve son kullanıcı cihazlarında (4.5) firewall istiyor; son kullanıcı cihazındaki kural, açıkça izin verilmeyen her şeyi düşüren varsayılan ret olmalı. Cihaz tarafını uç nokta güvenliği yazımızda anlattık.

Bulutta firewall: güvenlik grupları ve NSG

Bulutta kurallar sanal sunucuya ya da alt ağa bağlanır:

  • AWS: Güvenlik grubu (security group) sanal bir firewall gibi çalışır; stateful'dur ve yalnızca izin kuralı alır. Yeni grupta gelen kural yoktur, giden kural bütün trafiğe izin verir. Alt ağ katmanındaki network ACL ise stateless'tır, ret kuralı da alır ve kuralları sırayla, ilk eşleşmeye kadar değerlendirir.
  • Azure: Ağ güvenlik grubu (NSG) izin ve ret kuralları taşır; kurallar 100 ile 4096 arasındaki önceliğe göre işlenir, ilk eşleşmede işlem durur. Silinemeyen varsayılan kurallar sanal ağ içi trafiğe ve internete çıkışa izin verir.

AWS'de giden trafik, Azure'da sanal ağ içi trafik ve internete çıkış baştan açık; segmentasyon ve çıkış denetimi kural ister. Merkezi denetim için Azure Firewall gibi hizmet olarak firewall (FWaaS) da var.

DMZ nedir?

DMZ (demilitarized zone, silahtan arındırılmış bölge), internete hizmet veren sunucuların iç ağdan ayrıldığı bölümdür. SP 800-41'e göre firewall DMZ'sinin tek bir teknik tanımı yok. Tipik kurulumda DMZ firewall'un ayrı bir arayüzüdür: internetten gelen trafik ya iç ağa ya DMZ'ye yönlendirilir, DMZ ile iç ağ arasındaki trafik de firewall'dan geçer. NIST'e göre DMZ'ye genellikle web ve e-posta sunucuları konur. NIST sözlüğündeki bir başka tanıma göre DMZ, iki firewall'un birbirine bağlanmasıyla kurulan ağdır. Amaç aynı: DMZ'deki sunucuyu ele geçiren saldırganın önünde, iç ağa geçmeden önce yine bir firewall kuralı olur.

Küçük ofis yönlendiricilerindeki "DMZ host" ayarı bu anlamda bir DMZ değil. Cisco'nun belgesi onu internete tamamen açık tek bir cihaz olarak tarif ediyor; cihaz ele geçirilirse yerel ağın da tehlikeye girebileceğini belirtiyor.

Kural setinin yönetimi, yama ve izleme

SP 800-41'e göre kural setleri zamanla karmaşıklaşır: yalnızca dışarı çıkışa ve gelen e-postaya izin veren yeni bir kural seti, ilk yılın sonunda büyük olasılıkla çok daha fazla kural taşır. Rehber politikanın sık gözden geçirilmesini istiyor; böylece artık gerekmeyen kurallar ve yeni ihtiyaçlar ortaya çıkar. Kural değişikliklerinin resmî bir değişiklik yönetimi sürecinden geçmesi, düzenli yedek ve yama da önerileri arasında.

PCI SSC'ye göre PCI DSS v4.0, firewall yerine daha geniş bir terim olan ağ güvenlik denetimini (network security control, NSC) kullanıyor; 1.2.7 gereksinimi NSC yapılandırmalarının en az altı ayda bir gözden geçirilmesini istiyor. CIS Controls v8.1 de ağ cihazları için belgelenmiş bir güvenli yapılandırma süreci öngörüyor ve belgenin yılda bir güncellenmesini bekliyor (4.2).

Firewall'un kendisi de hedef: CISA, 25 Eylül 2025'te Cisco ASA ve Firepower cihazlarına yönelik yaygın bir kampanya için ED 25-03 direktifini yayımladı. Saldırgan ROM'u değiştirerek yeniden başlatma ve sistem güncellemesinden sonra da cihazda kalabiliyordu. İstismar edilen açıklardan birini VPN yazımızda, yama sürecini yama yönetimi yazımızda ele aldık.

NIST, logların ve uyarıların sürekli izlenmesini de istiyor; log tarafını log yazımızda, korelasyonu SIEM ve SOC yazımızda anlattık. Bu katmanı ağ güvenliği, tasarımını ağ ve trafik mühendisliği hizmetimizde ele alıyoruz.

Sık sorulan sorular

Güvenlik duvarı nedir? Firewall'un Türkçe adı: ağlar ya da cihazlar arasındaki trafiği kurallara göre denetleyip izin veren ya da engelleyen cihaz veya yazılım.

Firewall ne işe yarar? İnternetten gelen istenmeyen bağlantıları durdurur, iç ağın bölümleri arasındaki trafiği sınırlar ve dışarı çıkışı politikaya bağlar.

DMZ ne demek? Demilitarized zone, yani silahtan arındırılmış bölge demek: internete açık sunucuların iç ağdan firewall ile ayrıldığı ağ bölümü.

Donanım ve yazılım firewall arasındaki fark nedir? Ağ firewall'u ağın geçiş noktasında durup arkasındaki ağı korur; host tabanlı (yazılım) firewall ise tek bir bilgisayarın ya da sunucunun trafiğini denetler.

Firewall ile WAF arasındaki fark nedir? Firewall bağlantıya adres, port ve protokole, NGFW'de ayrıca uygulama ve kullanıcıya göre karar verir. WAF ise web uygulamasına gelen HTTP isteklerindeki saldırıyı arar.

Kaynaklar