Uzun yıllar network security ürünleriyle birlikte firewall ürünlerinin yönetimi, planlaması ve test edilmesinde de görev aldım. Bir firewall cihazını konumlamak gerektiğinde dikkat edilmesi gereken ilk noktaları paylaşmak istedim.

Throughput/Bandwidth İhtiyacı: Seçeceğimiz ürün üzerinden geçmesi düşünülen toplam trafik ürün seçiminde dikkat etmemiz gereken ilk noktalardan biridir. Bir çok firewall donanım üreticisi de ilk ölçeklemeyi bu değere göre yaparlar.

UTM mi Sadece Firewall mu ? : Yıllar içerisinde güvenlik ihtiyaçlarının değişmesiyle birlikte firewall a olan bakış açımız da değişti. Jargon a baktığımızda Firewall cihazları OSI/L3-L4 de çalışan ve TCP/IP filtreleme yapması gereken kutularken günümüzde Spam filtrelemeden Web URL filtrelemeye, saldırı engelleme sisteminden (IPS) virus taramaya kadar çeşitli ek amaçlarla da kullanılabiliyor. Bu noktada firewall seçimi yaparken katmanlaşmış güvenlik prensibini unutmamalı ve maliyet/fonksiyon oranında kurumun güvenlik ihtiyaçları göz önünde bulundurulmalıdır.

Gartner’ın son yapılan Kurumsal Güvenlik Duvarı çalışmasında artık firewall ların TCP/IP filtrelemenin yanında IPS fonksiyonlarının da öntanımlı olması gerektiği görüşü yer almıştır.

Interface Sayısı/Türü: Kapasite planlaması yapılırken organizasyon yapısına göre örneğin 4 senelik network interface/slot planlaması da yapılmalıdır. Seçilecek ürünün en azından slot kapasitesinin olması, ileride tüm donanımın yetersiz kalmasını engelleyecektir. Tabi ki ürünü konumlayacağınız data center daki cihazlar arası mesafe ve ilgili cihazların (router, switch gibi) interface tipi, sizin de bakır/fiber gibi seçiminizi değiştirecektir.

Donanım/Yazılım ? : BW kapasite ihtiyacı yüksek olan yerlerde firewall un donanım tabanlı mı yoksa yazılım tabanlı mı olacağı büyük önem taşımaktadır. Kapasite büyüklüğüne göre interface de anahtarlama yapabilen ASIC Mimari ya da özel Accelerator kartların kullanımı (Blade mimari, Check Point, Juniper, Cisco ..) düşünülmelidir. Burada open source gibi bir ayrım yapmanın gerekli olduğunu düşünmedim çünkü OpenBSD Packet Filter ya da IPTables gibi firewall yazılımlarının ticari firmalara kafa tuttuğunu çoğu zaman görmüştük.

Global/Yerel Destek : Kurum ihtiyaçlarınıza göre dışarıdan hiç destek almak istemeyebilir ya da gerektiğinde firewall üreticine sorununuzu direkt bildirmek isteyebilirsiniz. Servis ihtiyaçlarınıza göre destek seviyenize karar vermelisiniz. Açık kodlu firewall sistemlerine Türkiye’deki firmaların verdiği destekler unutulmamalı. Ticari desteğin yanında açık kod grupları tarafından verilen sistem destekleri de gözden kaçırılmaması gereken bir diğer husus. Ticari firewall ürünleri tercih edilirken ilgili firmanın referansları, destek personelinin kalitesi de tercih sebebi olabilir.

İhtiyaçlara göre yukarıdakilere eklenebilecek bir kaç husus daha olabilir. Ancak belirtilen kriterler genel olarak Firewall Seçim Kriterleri olarak kullanılabilir.

throughput