Yeni nesil güvenlik duvarı (NGFW) ve UTM nedir? KOBİ ve sanayi tesisleri için temel farklar, performans, lisans ve doğru cihaz seçim rehberini keşfedin.
Hızlı Özet (TL;DR)
Geleneksel güvenlik duvarları (Stateful Firewall), ağ trafiğini yalnızca kaynak/hedef IP adresleri ve port numaraları düzeyinde (OSI Katman 3 ve Katman 4) denetleyerek basit izin/yasak kurallarıyla interneti filtrelerdi. Ancak modern siber tehditlerin, fidye yazılımlarının ve veri sızıntılarının neredeyse tamamı 80 (HTTP) ve 443 (HTTPS) gibi her şirkette açık olmak zorunda olan standart web portları üzerinden şifreli olarak iletilmektedir. Yeni Nesil Güvenlik Duvarı (NGFW - Next-Generation Firewall) ve Tümleşik Tehdit Yönetimi (UTM - Unified Threat Management) cihazları, ağ trafiğini uygulama ve kullanıcı katmanında (Katman 7) derinlemesine inceleyerek (DPI) ağ geçidi antivirüsü, saldırı tespit ve engelleme (IDS/IPS), web/URL filtreleme, uygulama kontrolü ve VPN servislerini tek bir merkezi mimaride birleştirir.
Güvenlik Duvarı Teknolojisinin Evrimi: Port Kontrolünden Katman 7 Denetimine
Bir kurumsal ağın siber güvenliğini anlamak için önce güvenlik duvarı mimarisinin geçirdiği üç nesillik evrimi incelemek gerekir:
- Birinci ve İkinci Nesil (Paket Filtreleme ve Stateful Inspection Firewall): Yalnızca paketin başlık (header) bilgisine bakar. Örneğin “İç ağdan dış dünyaya 443 (HTTPS) portundan çıkılmasına izin ver, 3389 (RDP) portunu engelle” kuralını uygular. Fakat bu cihazlar 443 numaralı portun içinden geçen trafiğin meşru bir banka işlemi mi, bir Windows güncellemesi mi, yoksa saldırganın sunucusuna bağlanan bir fidye yazılımı (Command & Control) mı olduğunu ayırt edemez.
- Tümleşik Tehdit Yönetimi (UTM - Unified Threat Management): Özellikle KOBİ’lerin, fabrikaların ve orta ölçekli işletmelerin; güvenlik duvarı, IPS, antivirüs, antispam, web filtreleme, VPN ve yasal loglama gibi 6-7 farklı güvenlik katmanını ayrı ayrı satın alıp yönetemeyeceği gerçeğinden doğmuştur. Tüm bu güvenlik motorlarını tek bir donanım kutusunda (All-in-One) ve tek bir yönetim ekranında toplar.
- Yeni Nesil Güvenlik Duvarı (NGFW - Next-Generation Firewall): Yüksek trafikli kurumsal ağlarda derin paket inceleme (Deep Packet Inspection - DPI), SSL/TLS şifre çözme, kullanıcı kimliği farkındalığı (Active Directory / LDAP entegrasyonu) ve gelişmiş tehdit istihbaratını donanımsal hızlandırıcılarla yüksek hızda (multi-gigabit) işleyen mimaridir.
Günümüzde siber güvenlik endüstrisinde UTM ile NGFW arasındaki teknolojik sınır büyük ölçüde birleşmiştir; modern UTM cihazları NGFW motorlarını kullanmakta, NGFW cihazları ise tümleşik güvenlik abonelikleri sunmaktadır. Temel ayrım artık ölçek, yönetim felsefesi, yerel mevzuat uyumu ve lisanslama maliyetinde ortaya çıkmaktadır.
NGFW ve UTM Arasındaki Temel Farklar
İşletmenizin ağ topolojisi ve bilgi işlem (IT) ekibinizin yapısı için hangi mimarinin daha doğru olduğunu aşağıdaki teknik karşılaştırma tablosunda görebilirsiniz:
| Karşılaştırma Kriteri | Tümleşik Tehdit Yönetimi (UTM) | Kurumsal Yeni Nesil Güvenlik Duvarı (Enterprise NGFW) | KOBİ ve Sanayi Tesisi İçin Karar Etkisi |
|---|---|---|---|
| Hedef Kitle ve Ölçek | KOBİ’ler, üretim tesisleri, oteller, çok şubeli işletmeler (10 - 500+ kullanıcı) | Çok uluslu holdingler, telekom operatörleri, bankalar ve dev veri merkezleri | 10-500 kullanıcılı fabrikalarda UTM tüm ihtiyaçları fazlasıyla karşılar |
| Mimari Yaklaşım | Hepsi bir arada (All-in-One) entegre güvenlik, yönlendirme, VPN ve loglama kutusu | Yüksek throughput odaklı, özel ASIC/NP işlemcili modüler güvenlik şasisi | UTM harici log veya hotspot sunucusu ihtiyacını ortadan kaldırır |
| Yönetim ve Operasyon | Tek Türkçe web arayüzünden dakikalar içinde anlaşılır kural ve politika yönetimi | Karmaşık CLI/GUI, tam zamanlı sertifikalı ağ güvenliği uzmanı gerektirir | KOBİ IT yöneticileri UTM cihazlarını hata yapmadan kolayca yönetir |
| 5651 Yasal Log ve Hotspot | Yerli çözümlerde TÜBİTAK zaman damgalı 5651 loglama ve TC Kimlik/SMS Hotspot dahili | Cihaz içinde 5651 imzalama yoktur; harici üçüncü parti yazılım/sunucu satın alınmalıdır | Yabancı NGFW alındığında 5651 için ekstra binlerce dolar lisans ödenir |
| Maliyet ve Lisanslama | Ekonomik, TL/kur korumalı, tüm güvenlik modüllerini içeren tek paket lisans | Yüksek donanım bedeli + IPS, URL, Malware, Destek için ayrı ayrı döviz bazlı lisanslar | UTM toplam sahip olma maliyetinde (TCO) %50-%70 tasarruf sağlar |
| Temsilci Çözümler | Yerli Berqnet UTM/NGFW Serisi | Palo Alto Networks, Check Point, Fortinet Enterprise Serileri | Yerel teknik destek ve hızlı RMA (cihaz değişimi) avantajı |
Derin Paket İnceleme (DPI), IPS ve Uygulama Kontrolü Sahada Ne İşe Yarar?
Bir üretim tesisinde veya kurumsal ofiste UTM / NGFW güvenlik duvarı konumlandırıldığında, ağ trafiği üzerinde üç kritik kontrol mekanizması devreye girer:
1. Katman 7 Uygulama Kontrolü (Application Control)
Geleneksel güvenlik duvarlarında bir çalışanın bilgisayarına kurduğu ücretsiz VPN programını, Torrent/P2P indirme aracını veya AnyDesk/TeamViewer gibi uzaktan erişim yazılımlarını port kapatarak engelleyemezsiniz; çünkü bu yazılımlar engellendiklerini anladıkları anda 443 (HTTPS) portuna geçerek güvenlik duvarını atlatırlar. Katman 7 Uygulama Kontrolü ise paketin portuna değil, uygulama imzasına ve davranışına bakar. Sistem yöneticisi tek bir kutucuğu işaretleyerek ağdaki tüm kontrolsüz uzak masaüstü yazılımlarını, kripto para madenciliğini veya bant genişliğini sömüren video akışlarını departman bazında engelleyebilir.
2. Saldırı Tespit ve Engelleme Sistemi (IDS / IPS)
IPS (Intrusion Prevention System) motoru, internetten sunucularınıza gelen ve iç ağdaki VLAN’lar arasında akan trafiği binlerce bilinen zafiyet imzasına (CVE exploitleri, SQL Injection, Brute Force denemeleri, SMB/EternalBlue solucanları, Botnet C2 iletişimi) karşı gerçek zamanlı tarar. Örneğin dış dünyaya açık bir B2B sipariş portalınıza veya VPN kapınıza yönelik otomatik şifre deneme (kaba kuvvet) saldırısı başladığında, IPS saldırganın IP adresini milisaniyeler içinde tespit edip bağlantıyı düşürür.
3. Ağ Geçidi Antivirüs ve Web/URL Filtreleme
Kullanıcıların e-posta eklerinden veya sahte web sitelerinden bilerek ya da bilmeyerek indirmeye çalıştığı zararlı dosyalar, daha kullanıcının bilgisayarına ulaşmadan güvenlik duvarı üzerinde taranır. Eşzamanlı çalışan URL filtreleme motoru ise yeni açılmış oltalama (phishing) sitelerini, zararlı yazılım dağıtan domainleri ve şirket politikasına aykırı kategorileri DNS ve HTTP/S seviyesinde keser.
KOBİ ve Sanayi Tesisleri İçin Neden Yerli UTM Mimarisini Öneriyoruz?
Türkiye’deki sanayi kuruluşlarının ve KOBİ’lerin hem siber saldırılardan korunması hem de 5651 Sayılı Kanun ile 6698 Sayılı KVKK denetimlerinden sorunsuz geçmesi gerekmektedir. Yabancı menşeili kurumsal NGFW cihazları küresel ölçekte başarılı ürünler olmakla birlikte, Türkiye’ye özgü “TÜBİTAK Zaman Damgalı 5651 Loglama” ve “Nüfus ve Vatandaşlık İşleri (NVİ) TC Kimlik / yerel SMS operatörü entegrasyonlu Misafir Hotspot” özelliklerini kutu içerisinde barındırmazlar. Bu cihazların yanına ayrıca bir loglama yazılımı, ayrı bir Windows Server lisansı ve ayrı bir Hotspot çözümü kurmak hem maliyeti ikiye katlar hem de arıza noktası sayısını artırır.
Buna karşılık saha projelerimizde konumlandırdığımız Berqnet UTM Güvenlik Duvarı ailesi; Katman 7 uygulama kontrolü, IPS, antivirüs, SSL/IPSec VPN, Multi-WAN yük dengeleme, izole VLAN yönetimi, TC Kimlik/SMS doğrulamalı Hotspot ve TÜBİTAK zaman damgalı 5651 yasal loglamayı tek bir donanımda ve %100 Türkçe yönetim arayüzüyle sunar.
Doğru Güvenlik Duvarı Boyutlandırması: Cihaz Seçiminde 4 Altın Kural
Bir işletmeye NGFW veya UTM cihazı seçilirken broşürdeki en yüksek rakam olan “Firewall Throughput” değerine bakmak yanıltıcıdır; çünkü o değer tüm güvenlik filtreleri kapalıyken ölçülür. Doğru boyutlandırma için şu 4 metrik dikkate alınmalıdır:
- UTM / Threat Protection Throughput (Tam Koruma Hızı): IPS, Antivirüs ve Uygulama Kontrolü aynı anda açıkken cihazın işleyebildiği gerçek Mbps/Gbps hızı, şirketinizin internet hattı hızından (ve yakın gelecekteki hat artırım planından) en az %30-50 daha yüksek olmalıdır.
- Toplam Aktif IP / Cihaz Sayısı: Sadece masaüstü bilgisayarlar değil; cep telefonları, IP kameralar, el terminalleri, sanal sunucular, CNC/PLC tezgahları ve misafir cihazlarının toplamı hesaplanmalıdır.
- Eşzamanlı Oturum (Concurrent Sessions) ve VPN Kapasitesi: Uzaktan bağlanan saha personeli sayısı (SSL VPN) ve merkeze bağlanan şube/depo sayısı (IPSec VPN) cihazın şifreleme işlemcisini yormayacak kapasitede seçilmelidir.
- VLAN ve Fiziksel Port İhtiyacı: Sunucu ağı, üretim (OT) ağı, kamera ağı, idari personel ve misafir Wi-Fi ağlarını fiziksel ve mantıksal olarak ayıracak sayıda Gigabit/SFP port bulunmalıdır.
İşletmenize en uygun güvenlik duvarı mimarisi, ağ segmentasyonu ve kurulum çözümleri için Güvenlik Duvarı Altyapısı ve yasal uyum süreçleri için KVKK ve 5651 Yasal Loglama sayfalarımızı inceleyin.
Sıkça Sorulan Sorular
Mevcut internet servis sağlayıcı (ISS) modemimiz üzerinde zaten Firewall yazıyor, neden ayrıca UTM/NGFW almalıyız?
Operatörlerin verdiği standart modem ve router cihazlarındaki “Firewall” özelliği, yalnızca dışarıdan içeriye rastgele port açılmasını önleyen en ilkel NAT/Paket filtreleme özelliğidir. Bu cihazlarda IPS saldırı engelleme, Katman 7 uygulama kontrolü, web kategori filtreleme, ağ antivirüsü, VLAN izolasyonu, kurumsal SSL VPN ve 5651 sayılı kanuna uygun zaman damgalı loglama bulunmaz. Dolayısıyla standart bir modem, şirketinizi fidye yazılımlarına, içeriden dışarıya veri sızıntılarına ve yasal log denetimlerine karşı koruyamaz.
UTM cihazında tüm güvenlik özelliklerini (IPS, Antivirüs, Web Filtre) açmak interneti yavaşlatır mı?
Eğer işletmenizin gerçek trafik hacmine ve cihaz sayısına göre doğru boyutlandırılmış bir model seçilirse yavaşlama yaşanmaz. Yavaşlama şikayetleri genellikle 150 aktif cihazı ve 200 Mbps fiber hattı olan bir fabrikaya, 30 kullanıcılık küçük ofis modeli konumlandırıldığında ortaya çıkar. Mühendislik keşfimizde tüm güvenlik motorları (Full UTM) aktifken dahi işlemci (CPU) kullanımı %50-60’ı geçmeyecek şekilde donanım seçimi yapıyoruz.
Şubeli bir işletmeyiz, her şubeye ayrı güvenlik duvarı mı koymalıyız?
Evet, güvenli bir kurumsal ağ (SD-WAN / Hub-and-Spoke) mimarisinde merkez ofise ana kapasiteli bir UTM/NGFW cihazı, uzak şube, mağaza veya depolara ise o lokasyonun kullanıcı sayısına uygun kompakt uç cihazlar konumlandırılır. Böylece tüm şubeler merkeze şifreli IPSec VPN tünelleriyle kesintisiz bağlanırken, aynı zamanda her şubenin yerel internet çıkışı ve 5651 yasal loglaması kendi üzerinde güvenle yürütülür ve tek merkezden izlenebilir.