Kurumsal ağlarda IPS ve IDS saldırı tespit ve önleme sistemleri: İmza tabanlı analiz, kaba kuvvet blokajı, Berqnet IPS kuralları ve güvenlik rehberi. İnceleyin.
Hızlı Özet (TL;DR)
Geleneksel bir güvenlik duvarı (Stateful Firewall) ağa gelen paketlerin yalnızca zarf üzerindeki başlık bilgilerini (Kaynak IP, Hedef IP ve TCP/UDP Port numarası) kontrol eder; ancak zarfın içindeki mektupta bir SQL Injection komutu, fidye yazılımı istismar kodu (Exploit) veya kaba kuvvet (Brute-Force) saldırısı olup olmadığını anlayamaz. Saldırı Tespit Sistemi (IDS - Intrusion Detection System) ve Saldırı Önleme Sistemi (IPS - Intrusion Prevention System), ağ trafiğini 7. katmana (Uygulama Katmanı) kadar açarak Derin Paket Analizi (DPI - Deep Packet Inspection) yapar. IDS şüpheli trafiği tespit edip sistem yöneticisine alarm üretirken; IPS saldırgan paketi ağa girdiği milisaniyede düşürerek (DROP) sunuculara ulaşmasını aktif olarak engeller.
Klasik Port Kontrolü Neden Artık Yetersiz?
Bir şirketin dış dünyaya açık bir web sunucusu, B2B bayi portalı, e-posta sunucusu veya uzaktan çalışma için açılmış VPN/RDP portu varsa, güvenlik duvarında ilgili portlara (örneğin TCP 443 HTTPS veya TCP 3389) izin verilmiş demektir. Siber saldırganlar kapalı olan kapıları zorlamak yerine, zaten herkese açık olan bu 443 numaralı kapıdan içeriye normal bir web ziyaretçisi gibi girer ve HTTP paketinin yük (Payload) kısmına sunucuyu ele geçirecek zararlı kabuk kodunu (Shellcode / Remote Code Execution) gizler.
Eğer güvenlik duvarınızda aktif bir IPS motoru çalışmıyorsa, klasik güvenlik duvarı “443 numaralı porta izin var” diyerek bu saldırı paketini doğrudan ERP veya web sunucunuza teslim eder.
IDS ve IPS Arasındaki Kritik Mimari Farklar
Ağ güvenliği mühendisliğinde IDS ve IPS kavramları sıklıkla birbirinin yerine kullanılsa da ağ topolojisindeki konumları ve müdahale yetenekleri tamamen farklıdır:
| Kriter | Saldırı Tespit Sistemi (IDS) | Saldırı Önleme Sistemi (IPS) | Yeni Nesil UTM / NGFW Entegre IPS |
|---|---|---|---|
| Ağdaki Fiziksel Konumu | Pasif (Out-of-Band): Switch üzerindeki SPAN / Port Mirroring kopyasını dinler | Aktif (In-Line): Trafiğin geçtiği ana kablo hattının tam üzerinde oturur | Güvenlik duvarı donanımının içinde tüm VLAN ve WAN trafiğini satır içi denetler |
| Saldırıya Müdahale Biçimi | Paketi durduramaz; sadece SIEM’e log yazar ve yöneticiye e-posta/SMS alarmı atar | Zararlı paketi anında yok eder (DROP), bağlantıyı sıfırlar (TCP Reset) ve IP’yi banlar | Otomatik paket düşürme + Saldırgan IP’yi belirlenen süreyle kara listeye alma |
| Ağ Gecikmesi (Latency) Etkisi | Sıfır gecikme (Canlı trafik akışına fiziksel olarak dokunmaz) | Donanım gücüne bağlı olarak 1-2 milisaniyelik derin analiz gecikmesi | Özel ASIC / çok çekirdekli işlemcilerle yüksek hızda sıfıra yakın gecikme |
| Hatalı Pozitif (False Positive) Riski | İş sürekliliğini etkilemez, yalnızca yanlış alarm üretir | Yanlış yapılandırılmış agresif bir kural meşru şirket trafiğini kesebilir | Sunucu rollerine göre özelleştirilmiş profil yapısıyla minimum hatalı kesinti |
| Kullanım Amacı | Adli bilişim analizi, tehdit avcılığı ve ağ görünürlüğü | Gerçek zamanlı siber saldırı engelleme ve sanal yama (Virtual Patching) | KOBİ ve sanayi tesislerinde uçtan uca birleşik sınır ve iç ağ güvenliği |
IPS Motoru Saldırıları Nasıl Yakalar? (3 Analiz Tekniği)
Modern bir Güvenlik Duvarı (Firewall) üzerinde çalışan IPS motoru, saniyede binlerce paketi üç farklı filtreleme algoritmasıyla tarar:
- İmza Tabanlı Tespit (Signature-Based Detection): Bilinen CVE güvenlik açıklarının (örneğin Log4Shell, EternalBlue, ProxyLogon) ve exploit kitlerinin bayt dizilimleri küresel siber istihbarat veritabanında kayıtlıdır. Paket bu imzalardan biriyle eşleştiği anda imha edilir.
- Anomali ve Davranış Tabanlı Tespit (Anomaly-Based Detection): Ağın normal trafik karakteristiği (Baseline) öğrenilir. Örneğin normalde dakikada 10 sorgu alan bir sunucuya saniyede 5.000 SYN paketi gelmeye başlarsa (SYN Flood / DoS) veya bir IP adresi 10 saniye içinde 50 farklı portu yoklarsa (Port Scanning), imza eşleşmesi beklenmeden IP adresi otomatik olarak engellenir.
- Protokol Durum Analizi (Stateful Protocol Analysis): RFC standartlarına uymayan, kasıtlı olarak bozulmuş veya parçalanmış (Fragmented Packets) paketlerle güvenlik duvarını atlatmaya çalışan saldırılar protokol kurallarına göre reddedilir.
Sanal Yama (Virtual Patching) ile Eski Sistemleri Korumak
Fabrikalarda ve üretim tesislerinde kullanılan bazı özel CNC kontrol üniteleri, eski ERP sürümleri veya endüstriyel yazılımlar nedeniyle sunucu işletim sistemleri (örneğin Windows Server 2012 veya eski Linux çekirdekleri) hemen güncellenemeyebilir. İşte bu noktada IPS’in Sanal Yama (Virtual Patching) yeteneği devreye girer.
Sunucunun kendisinde yama uygulanmamış bir güvenlik açığı bulunsa dahi, önündeki güvenlik duvarının IPS kural listesinde o açığı istismar eden paket imzası aktif edildiğinde, saldırı paketi sunucuya hiç ulaşmadan güvenlik duvarında engellenir.
Güvenlik Duvarında IPS Yapılandırırken 4 Mühendislik Kuralı
- Sunucu Rollerine Özel Kural Kümeleri Seçin: Tüm IPS imzalarını (40.000+ kural) aynı anda açmak güvenlik duvarının işlemcisini (CPU) ve belleğini gereksiz yere yorar. Ortamınızda sadece Windows SQL Server ve IIS çalışıyorsa, Apache veya Oracle Solaris imzalarını devre dışı bırakarak performansı optimize edin.
- Kaba Kuvvet (Brute-Force) Otomatik Karantinasını Aktif Edin: VPN, SSH, RDP veya web giriş ekranlarına 1 dakika içinde 5 kez hatalı parola deneyen dış IP adreslerini IPS kuralıyla otomatik olarak 24 saat boyunca engelleyin.
- VLAN’lar Arası (Doğu-Batı Trafiği) IPS Denetimini Açın: IPS sadece internetten gelen (Kuzey-Güney) trafikte değil; şirket içindeki Ofis VLAN’ı ile Sunucu VLAN’ı arasındaki trafikte de aktif olmalıdır. Böylece içeriden başlayan yanal hareketler anında durdurulur.
- Yapılandırmayı Gerçek Sızma Testiyle Doğrulayın: Kurulan IPS kurallarının gerçekten saldırıları durdurup durdurmadığını görmek için yılda en az bir kez Sızma Testi (Pentest) yaptırarak güvenlik duvarınızın tepki süresini ölçün ve logları KVKK ve 5651 Yasal Loglama kapsamında kayıt altına alın.
Şirket ağınızı Berqnet, Fortinet veya Sophos yeni nesil güvenlik duvarları ve ince ayarlı IPS mimarisiyle siber saldırılara karşı zırhlamak için uzman sistem mühendislerimizle iletişime geçebilirsiniz.
Sıkça Sorulan Sorular
Güvenlik duvarımızda IPS özelliğini açtığımızda internet ve yerel ağ hızımız düşer mi?
Doğru boyutlandırılmış (kullanıcı ve bant genişliği kapasitesine uygun seçilmiş) bir güvenlik duvarında ve optimize edilmiş kural kümelerinde hız düşüşü insan gözünün algılayamayacağı seviyededir (1-2 milisaniye). Ancak 200 kullanıcılı bir fabrikada 30 kullanıcılık küçük bir cihaz üzerinde tüm IPS kuralları açılırsa darboğaz yaşanır; bu nedenle donanım seçimi kritiktir.
Şifreli HTTPS (SSL/TLS) trafiğinin içindeki saldırıları IPS nasıl görebilir?
Saldırganlar zararlı kodları şifreli HTTPS trafiğinin içine gizleyebilir. Güvenlik duvarında dışarıdan içeriye gelen trafik için WAF / SSL Offloading veya içeriden dışarıya çıkan trafik için SSL/TLS Deep Inspection (Derin SSL Analizi) özelliği yapılandırılarak şifreli paketler güvenlik duvarında açılır, IPS taramasından geçirilir ve güvenli şekilde hedefe iletilir.
IPS sistemi antivirüs veya EDR yazılımlarının yerini tutar mı?
Hayır, siber güvenlik katmanlı bir mimaridir (Defense in Depth). IPS ağ kablosu üzerinden geçen saldırıları kapıda yakalayan sınır muhafızıdır; EDR/Antivirüs ise bilgisayara şifreli bir USB bellekten veya farklı bir kanaldan giren zararlıyı işletim sistemi içinde durduran son savunma hattıdır. İkisi birlikte çalışmalıdır.