Güvenlik duvarlarında SSL/TLS derin paket inceleme (DPI) nedir? HTTPS trafiğinde gizlenen zararlı yazılımları tespit etme ve sertifika yönetim rehberi.
Hızlı Özet (TL;DR)
Günümüzde küresel internet trafiğinin %95’inden fazlası HTTPS (SSL/TLS 1.3) protokolü ile uçtan uca şifrelenmiştir. Bu şifreleme kullanıcıların parolalarını ve finansal işlemlerini meraklı gözlerden korumak için vazgeçilmez bir standart olsa da; siber saldırganlar için de kusursuz bir gizlenme pelerini haline gelmiştir. Saldırganlar fidye yazılımlarını, sıfır gün (Zero-Day) istismar paketlerini ve içeriden dışarıya kaçırılan şirket verilerini HTTPS şifreli tünellerin içine gizler. Şifreyi çözme yeteneği olmayan geleneksel bir güvenlik duvarı bu trafiğin içini göremez; yalnızca “443 numaralı porttan şifreli bir paket geçti” diyerek geçişe izin verir. SSL/TLS Derin Paket İnceleme (DPI - Deep Packet Inspection), şifreli trafiği güvenlik duvarı katmanında şeffaf biçimde açıp denetleyerek gizli tehditleri bertaraf eden ileri siber güvenlik mimarisidir.
Şifreli Trafik Körlüğü: Güvenlik Duvarınız Neden Tehditleri Göremiyor?
Bir şirket çalışanının bilgisayarına oltalama (Phishing) e-postasıyla gelen bir bağlantıya tıklandığını düşünelim. Bağlantı https://guvenli-gorunen-bulut.com/fatura.zip adresine gider. Web sitesinin geçerli ve ücretsiz bir Let’s Encrypt SSL sertifikası vardır; yani tarayıcıda yeşil kilit simgesi görünür.
Eğer şirketinizin güvenlik duvarında SSL/TLS DPI (Tam Şifre Çözme) özelliği aktif değilse:
- Güvenlik duvarı yalnızca hedef IP adresine ve alan adına (SNI - Server Name Indication) bakar.
- Alan adı henüz küresel kara listeye düşmemiş yeni bir adres olduğu için bağlantıya onay verir.
- İndirilen
.zipdosyasının içindeki fidye yazılımı TLS 1.3 ile şifrelenmiş olarak güvenlik duvarının içinden geçer. Güvenlik duvarının üzerindeki antivirüs, IPS (Saldırı Önleme) ve Sandbox motorları şifreli veri yığınını okuyamadığı için tamamen kör kalır.
Sertifika Denetimi (SNI) ile Tam SSL/TLS DPI Arasındaki Fark Nedir?
Yeni nesil güvenlik duvarlarında (NGFW) şifreli trafik denetimi iki farklı derinlik modunda yapılandırılır:
| Denetim Kriteri | Yalnızca Sertifika / SNI Denetimi (Light) | Tam SSL/TLS Derin Paket İnceleme (Full DPI) |
|---|---|---|
| Çalışma Prensibi | Paketi açmaz; sadece TLS el sıkışmasındaki alan adına (SNI) bakar | Bağlantıyı araya girerek çözer, içeriği tarar ve yeniden şifreler |
| İstemci Sertifika Kurulumu | Gerekmez (Tarayıcılar uyarı vermez) | Zorunludur (Güvenlik duvarı CA sertifikası PC’lere yüklenir) |
| HTTPS İçindeki Virüs Tespiti | Tespit Edemez (İçeriği göremez) | %100 Tespit Eder (Antivirüs ve Sandbox paketi açık okur) |
| URL Yolu ve Arama Filtreleme | Sadece youtube.com tamamını görür, alt sayfayı göremez | Tam URL yolunu (site.com/zararli-dosya.exe) ve aramaları görür |
| Veri Sızıntısı (DLP) Kontrolü | Şifreli yüklemeleri (WeTransfer/Drive) denetleyemez | Yüklenen dosyaları açıp teknik resim veya müşteri listesi var mı bakar |
Tam SSL/TLS DPI (SSL Inspection) Teknik Olarak Nasıl Çalışır?
Tam derin paket inceleme mimarisi, güvenlik duvarının şirket içindeki bilgisayarlar ile dış internet arasında Yetkili ve Güvenilir Vekil (Trusted Man-in-the-Middle Proxy) olarak konumlanması prensibine dayanır:
1. Kurumsal Kök Sertifikanın (Sub-CA) Dağıtılması
Güvenlik duvarı üzerinde şirkete özel, yüksek güvenlikli bir Yerel Sertifika Otoritesi (Internal Root CA) oluşturulur. Bu sertifika, Windows Active Directory Group Policy (GPO) aracılığıyla şirketteki tüm etki alanı bilgisayarlarının “Güvenilen Kök Sertifika Yetkilileri” deposuna otomatik ve sessizce yüklenir. Böylece şirket bilgisayarları güvenlik duvarının imzaladığı sertifikalara doğal olarak güvenir.
2. Çift Taraflı TLS El Sıkışması (Dual TLS Handshake)
Kullanıcı https://hedefsite.com adresine gitmek istediğinde, güvenlik duvarı dış dünyadaki gerçek sunucuyla bir TLS oturumu başlatır ve sitenin orijinal sertifikasının geçerliliğini denetler. Aynı milisaniye içinde iç ağdaki kullanıcıya döner ve kendi CA sertifikasıyla anlık olarak imzaladığı sahte olmayan vekil sertifikayı sunar.
3. Düz Metin (Cleartext) Güvenlik Taraması ve Yeniden Şifreleme
Paket güvenlik duvarının yüksek hızlı belleğinde (RAM) şifresi çözülmüş düz metin haline gelir. Tam bu aşamada Antivirüs, IPS (Saldırı Önleme Sistemi), Web Uygulama Filtresi ve DLP motorları paketin içini röntgen cihazı gibi tarar. Paket temizse güvenlik duvarı veriyi tekrar TLS 1.3 ile şifreleyerek kullanıcıya iletir. Tüm bu süreç donanımsal kripto hızlandırıcı (ASIC/QAT) çipler sayesinde birkaç milisaniye içinde tamamlanır.
QUIC (HTTP/3) ve TLS 1.3 Zorluklarının Yönetimi
Modern web tarayıcıları (Chrome, Edge) Google ve sosyal medya servislerine bağlanırken TCP tabanlı HTTPS yerine UDP 443 portu üzerinden çalışan QUIC (HTTP/3) protokolünü tercih eder. QUIC protokolü dışarıdan müdahaleye kapalı tasarlandığı için standart DPI motorlarını atlatabilir.
Profesyonel bir güvenlik duvarı yapılandırmasında, iç ağdan dış dünyaya giden UDP 443 (QUIC) trafiği güvenlik duvarı kuralıyla engellenir. QUIC portu kapalı olan tarayıcı, milisaniyeler içinde otomatik olarak standart TCP 443 (HTTPS) protokolüne geri döner (Fallback) ve böylece tüm trafik eksiksiz olarak SSL DPI denetiminden geçer.
KVKK Uyumu, Kişisel Gizlilik ve Sertifika Sabitleme (Pinning) İstisnaları
Her şifreli trafiği çözmek hem hukuki hem de teknik açıdan doğru değildir. Sağlıklı bir SSL DPI mimarisinde İstisna (Bypass / No-Inspection) Listesi titizlikle kurgulanır:
- KVKK ve Kişisel Mahremiyet İstisnaları: 6698 sayılı KVKK ve iş hukuku gereğince, çalışanların izin verilen molalarda girdikleri Bireysel Bankacılık / Finans, Sağlık (e-Nabız, Hastane sonuçları) ve e-Devlet (
turkiye.gov.tr) kategorilerindeki web siteleri kesinlikle şifre çözme işleminden muaf tutulur. Bu sitelerin trafiği güvenlik duvarından doğrudan uçtan uca şifreli olarak geçer. - Certificate Pinning (Sertifika Sabitleme) Yapan Uygulamalar: Bankacılık uygulamaları, e-Fatura entegratör yazılımları, Windows Update, Apple servisleri ve WhatsApp/Dropbox gibi masaüstü uygulamalar yalnızca kendi üreticilerinin sertifika parmak izini kabul eder (Certificate Pinning). Araya güvenlik duvarı sertifikası girdiğinde bağlantı kopar. Bu nedenle kurumsal uygulama alan adları (FQDN) istisna listesine tanımlanarak kesintisiz çalışma sağlanır.
İçeriden Dışarıya Veri Sızıntısını (DLP) Önlemede SSL DPI Rolü
Şirket içindeki kötü niyetli bir personelin SolidWorks/AutoCAD teknik çizimlerini veya müşteri maliyet tablolarını https://wetransfer.com ya da kişisel Google Drive hesabına yüklemeye çalıştığını düşünün. Bağlantı HTTPS olduğu için, SSL DPI olmayan bir ağda bu veri sızıntısını hiçbir sistem yakalayamaz.
SSL DPI aktif edildiğinde ise güvenlik duvarı yüklenen (POST/PUT) paketi açar, DLP Veri Sızıntısı Önleme kurallarıyla dosyanın içeriğini denetler ve yetkisiz dosya transferini anında bloke eder. Yerli ve küresel standartlarda yapılandırdığımız Berqnet Güvenlik Duvarı ve kurumsal NGFW çözümlerimiz hakkında detaylı bilgi için Güvenlik Duvarı Hizmetleri sayfamızı ziyaret edebilirsiniz.
Sıkça Sorulan Sorular
SSL/TLS Derin Paket İnceleme özelliğini açmak internet hızını yavaşlatır mı?
Şifreli trafiği çözmek, taramak ve yeniden şifrelemek güvenlik duvarı işlemcisi (CPU) üzerinde ciddi bir matematiksel yük oluşturur. Eğer güvenlik duvarı cihazı yalnızca basit port yönlendirme kapasitesine göre (Firewall Throughput) seçilmişse, SSL DPI açıldığında hızda %60’a varan düşüş yaşanabilir. Bu nedenle Maysa Yazılım olarak güvenlik duvarı donanımı seçerken cihazın broşürdeki ham hızına değil, “SSL Inspection / NGFW Threat Protection Throughput” değerine göre boyutlandırma yapıyor ve sıfır darboğaz garantisi sağlıyoruz.
Misafir Wi-Fi ağındaki telefonlara sertifika yükleyemeyeceğimiz için orada SSL DPI nasıl çalışır?
Fabrikaya gelen misafirlerin veya personelin kendi kişisel cep telefonlarına (BYOD) şirket kök sertifikası yüklenemez. Bu nedenle Misafir (Guest) VLAN ağında Tam SSL DPI yerine Sertifika / SNI Denetimi ve DNS Filtreleme modu çalıştırılır; ayrıca misafir ağı şirket iç sunucu ağından tamamen izole edildiği için kurumsal veri güvenliği riske girmez ve misafirler tarayıcılarında sertifika hatası görmeden internete bağlanır.
Çalışanlar kendi bilgisayarlarına yüklenen kök sertifikayı elle silebilir mi?
Hayır. Sertifika Active Directory üzerinden Bilgisayar Yapılandırması (Computer Configuration) GPO politikası ile dağıtıldığı için standart kullanıcı yetkisine sahip bir personel bu sertifikayı silemez. Silmeye yetkili olsa dahi bir sonraki grup ilkesi yenilemesinde (90 dakikada bir) sertifika otomatik olarak geri yüklenir.