Firewall kural seti büyüdükçe güvenlik artmaz; çoğu zaman tam tersi olur: görünürlük azalır, yanlış pozitif artar, değişiklik riski büyür. En tehlikeli nokta, rulebase’in “kimse dokunmasın” diye kutsallaştırıldığı andır. Çünkü o an itibarıyla firewall, kontrol katmanı olmaktan çıkıp operasyonel borç haline gelir.
Neden rulebase temizliği “güvenlik işi” kadar “operasyon işi”dir?
Çünkü kuralı silmek iki riski taşır:
- Üretim kesintisi (meşru trafik kesilir)
- Güvenlik açığı (kötü trafik açılır)
Bu yüzden doğru yaklaşım; “kuralı sil” değil, “kuralın gerçekten ne yaptığını kanıtla”dır.
1) Envanter: her kuralın bir sahibi ve bir son kullanma tarihi olmalı
Minimum alanlar:
- Owner ekip/servis
- İş gerekçesi (1 cümle)
- İlgili ticket/change kaydı
- Süre (örn. 90 gün) ve yenileme kuralı
2) Kanıt: hitcount tek başına yeterli değil, ama iyi bir başlangıç
Sahada kural temizliğini hızlandıran üç kanıt kaynağı:
- Hitcount / rule usage: belirli periyotta hiç çalışmayan kural
- Log kanıtı: kuralın gerçekten hangi akışlara hizmet ettiği
- Bağımlılık analizi: ilgili servislerin dinlediği portlar, IP’ler, değişiklik geçmişi
Hitcount ile ilgili kritik nüans:
- “0 hit” her zaman “gereksiz” demek değildir (nadiren çalışan ama kritik akışlar)
- Ölçüm penceresi önemlidir (ay sonu batch, kampanya dönemleri vb.)
Bu yüzden 0 hit kuralı için benim pratik yaklaşımım:
- 30 gün hitcount + log
- owner onayı
- dalga ile devre dışı bırak → gözlemle → sil
3) Shadow rules: kural çalışıyor sanırsın ama aslında gölgede kalmıştır
Shadow rule (gölge kural) şudur:
- Daha üstteki geniş kural zaten trafiği permit/deny eder
- Alttaki kural “var gibi” görünür ama efektif değildir
Bu sınıf kurallar, rulebase’i şişirir ve denetimi yanıltır. Temizlikte en hızlı kazanım çoğu zaman buradan gelir.
4) Güvenli silme dalgası: önce disable, sonra delete
Rulebase temizliğini “tek büyük değişiklik” olarak değil, dalgalarla yap:
- Wave 0 (staging/lab): export, analiz, rapor
- Wave 1 (düşük risk): shadow + 0 hit + owner onaylı
- Wave 2 (orta risk): düşük hit ama iş kritikliği belirsiz
- Wave 3 (yüksek risk): geniş permit kuralları, legacy servisler
Her dalgada standart akış:
- Kuralı disable et (loglamayı koru)
- 7–14 gün gözlemle (bağlama göre)
- Incident yoksa delete
- Sonucu dokümante et (kural borcu azalıyor mu?)
5) Otomasyon: export/diff ve değişiklik disiplinini kur
Rulebase temizliğinde otomasyonun amacı “AI kural yazsın” değil:
- Kural seti export (günlük/haftalık)
- Diff raporu (kim neyi değiştirdi)
- Standart etiketleme (owner, ticket)
- “Süre doldu” uyarısı (expired rules)
Bu disiplini kurduğunda, rulebase tekrar büyüse bile kontrollü büyür.
Sonuç
Firewall rulebase temizliği; hitcount, log kanıtı ve sahiplik olmadan yapılan “cesur silme” değildir. Benim sahada en stabil sonuç aldığım model; önce envanteri ve kanıtı kurmak, sonra shadow rule’lardan başlayarak dalga yaklaşımıyla sadeleştirmek. Bu sayede firewall, tekrar “dokunulmaz kara kutu” değil; yönetilebilir bir kontrol düzlemi olur.