← Tüm yazılar

Ağ Güvenliğinde Firewall ve IDS/IPS Sistemlerinin Rolü: Kurumsal Ağ Savunma Rehberi

11 Ağustos 2026

Ağ Güvenliğinde Firewall ve IDS/IPS Sistemlerinin Rolü: Kurumsal Ağ Savunma Rehberi

Modern kurumların dijital altyapıları genişledikçe, ağ trafiğinin yönetimi ve güvenliği hayati bir boyut kazanmaktadır. Bulut entegrasyonları, uzaktan çalışma modelleri ve IoT cihazlarının ağlara dahil olması, şirketlerin dijital çevre sınırlarını (Network Perimeter) belirsizleştirmiştir. Bu karmaşık ekosistemde, kurum ağını dış dünyadan gelebilecek zararlı isteklerden ve yetkisiz erişimlerden korumanın temel yapı taşlarını Firewall (Güvenlik Duvarı) ile IDS (Intrusion Detection System) ve IPS (Intrusion Prevention System) sistemleri oluşturur.

Birçok kurum, altyapısına bir Firewall konumlandırdığında ağ güvenliğini tamamen sağladığı yanılgısına düşmektedir. Ancak Firewall ile IDS/IPS sistemleri birbirinin alternatifi değil, birbirini tamamlayan farklı savunma katmanlarıdır. Bir kale benzetmesi yapacak olursak; Firewall kalenin kapısındaki muhafızlar gibi kimin içeri girip giremeyeceğini kontrol ederken, IDS/IPS sistemleri kale duvarlarının içindeki hareketleri izleyen ve şüpheli davranış sergileyenleri etkisiz hale getiren devriyelerdir.

CyberTestify olarak hazırladığımız bu kapsamlı rehberde, Ağ Güvenliğinin bu üç saç ayağını, çalışma prensiplerini, aralarındaki farkları ve kurumsal altyapınızda nasıl konumlandırmanız gerektiğini tüm teknik detaylarıyla ele alıyoruz.

1. Güvenlik Duvarı (Firewall) Nedir ve Nasıl Çalışır?

Firewall, önceden tanımlanmış güvenlik kurallarına (Access Control List - ACL) dayanarak, gelen (inbound) ve giden (outbound) ağ trafiğini denetleyen ve filtreleyen bir ağ güvenlik donanımı veya yazılımıdır. Temel amacı, güvenli kabul edilen iç ağ (LAN) ile güvenilmeyen dış ağ (İnternet) arasında bir bariyer oluşturmaktır.

Firewall Teknolojilerinin Evrimi

Güvenlik duvarları, gelişen ağ protokolleri ve saldırı vektörlerine paralel olarak ciddi bir teknolojik dönüşüm geçirmiştir:

  • Paket Filtrelemeli Firewall (Packet-Filtering): İlk nesil güvenlik duvarlarıdır. Paketlerin sadece kaynak/hedef IP adreslerine, port numaralarına ve kullandıkları protokole (TCP/UDP) bakar. Paketin içeriğini (payload) analiz edemezler.
  • Durum Bilgisi Saklayan Firewall (Stateful Inspection): Ağ bağlantısının durumunu (Connection State) takip eder. Bir paketin yeni bir bağlantı talebi mi yoksa mevcut ve izin verilmiş bir oturumun devamı mı olduğunu analiz ederek karar verir.
  • Uygulama Katmanı Firewall (Proxy/Application Level): OSI modelinin 7. katmanında çalışır. Belirli uygulamalar (HTTP, FTP vb.) için trafiği sonlandırıp kendisi inceler ve iletir. Trafik içeriğine dair daha derin kontrol sağlar ancak performans maliyeti yüksektir.
  • Yeni Nesil Güvenlik Duvarları (Next-Generation Firewall - NGFW): Günümüzde kurumsal standart haline gelen NGFW sistemleri; geleneksel paket denetimini Derin Paket İncelemesi (Deep Packet Inspection - DPI), uygulama farkındalığı (Application Awareness), entegre IPS fonksiyonu, SSL/TLS şifre çözme ve bulut tabanlı tehdit istihbaratı ile birleştirir.

2. IDS ve IPS Nedir? Saldırı Tespit ve Önleme Sistemlerinin Anatomisi

Firewall sistemleri trafiğin kapısını kontrol ederken, paketin içinde kötü amaçlı bir kod (exploit, zararlı yazılım, SQL injection vb.) olup olmadığını anlamak için daha gelişmiş analiz mekanizmalarına ihtiyaç duyulur. İşte bu noktada IDS ve IPS sistemleri devreye girer.

IDS (Intrusion Detection System - Saldırı Tespit Sistemi)

IDS, ağ trafiğini pasif bir şekilde dinleyen, analiz eden ve bilinen bir saldırı deseni veya anormallik tespit ettiğinde güvenlik yöneticilerine alarm (Alert) üreten izleme sistemidir. IDS trafiğin akış hattı üzerinde (In-line) durmaz; ağ anahtarlarındaki (Switch) SPAN/TAP portları üzerinden trafiğin bir kopyasını alarak inceler. Trafiği engellemez, sadece tespit eder ve raporlar.

IPS (Intrusion Prevention System - Saldırı Önleme Sistemi)

IPS ise IDS’in bir adım ötesidir. Ağ trafiğinin doğrudan akış yolu üzerine (In-line) konumlandırılır. Yani gelen tüm paketler önce IPS üzerinden geçmek zorundadır. IPS, zararlı bir trafik veya saldırı girişimi tespit ettiği anda ilgili paketi düşürür (Drop), bağlantıyı keser (Reset) veya saldırgan IP adresini otomatik olarak engeller. Yani saldırıyı hem tespit eder hem de anında önler.

[İnternet] ➔ [Firewall] ➔ [IPS (In-line / Akış Üstünde)] ➔ [İç Ağ (LAN)] │ └─► [IDS (SPAN Portu ile Trafik Kopyası İzleme)]

3. Tespit ve Önleme Mekanizmaları: İmza Tabanlı vs. Davranışsal Analiz

IDS/IPS sistemleri tehditleri tespit ederken iki temel yaklaşım kullanırlar:

A. İmza Tabanlı Tespit (Signature-Based Detection)

Tıpkı bir anti-virüs yazılımı gibi, bilinen saldırı kalıplarının (imza) veri tabanı ile trafiği karşılaştırır.

  • Avantajı: Bilinen saldırıları çok düşük hatalı alarm (False Positive) oranıyla ve yüksek hızla tespit eder.
  • Dezavantajı: Sıfırıncı gün (Zero-Day) saldırılarını veya imzası henüz yayınlanmamış yeni tehdit varyantlarını kesinlikle tespit edemez.
B. Anormallik / Davranış Tabanlı Tespit (Anomaly/Behavior-Based Detection)

Önce ağın “normal” trafik profilini (Baseline) öğrenir. Belirlenen bu normal standartların dışına çıkan olağandışı hareketleri şüpheli olarak işaretler. Örneğin, bir veri tabanı sunucusunun mesai saatleri dışında aniden yüksek miktarda veri aktarımı yapması bir anormalliktir.

  • Avantajı: Bilinmeyen Zero-Day saldırılarını ve karmaşık sızma girişimlerini tespit edebilir.
  • Dezavantajı: Normal ağ davranışlarındaki meşru değişimleri de saldırı olarak algılayıp yüksek oranda hatalı alarm (False Positive) üretebilir.

4. Firewall ve IDS/IPS Arasındaki Temel Farklar Karşılaştırması

Kurumsal ağ mimarilerinde bu sistemlerin üstlendiği roller şu tablo ile özetlenebilir:

Özellik Güvenlik Duvarı (Firewall) Saldırı Tespit / Önleme (IDS / IPS)
Ana Odak Noktası Trafik erişim kontrolü (Kimin girip çıkabileceği) Trafik içeriği analizi (Paketin içinde ne olduğu)
İnceleme Katmanı Genelde OSI 3 ve 4 (NGFW ile Katman 7) OSI 3, 4 ve ağırlıklı olarak Katman 7 (Payload)
Karar Mekanizması IP, Port, Protokol ve Erişim Kuralları (ACL) Saldırı İmzaları, Anormallik ve Protokol İhlalleri
Saldırı Tipi Yetkisiz port erişimleri ve kural dışı trafik Exploitler, SQLi, XSS, Buffer Overflow, Malware
Konumlandırma Ağ sınırında (Perimeter) Ağ sınırında veya kritik sunucu segmentleri önünde

5. Kurumsal Ağlarda Katmanlı Savunma (Defense-in-Depth) Mimarisi

Ağ güvenliğinde tek bir ürüne güvenmek “Tek Noktadan Başarısızlık” (Single Point of Failure) riski yaratır. Başarılı bir kurumsal güvenlik mimarisi Katmanlı Savunma (Defense-in-Depth) prensibine dayanmalıdır.

İdeal bir kurumsal ağ mimarisinde şu katmanlar sırasıyla kurgulanmalıdır:

  1. Kenar Güvenlik (Perimeter Security): İnternet çıkış noktasına konumlandırılan NGFW ile temel ip/port engellemeleri ve coğrafi IP kısıtlamaları yapılır.
  2. Saldırı Önleme (IPS Katmanı): NGFW üzerine entegre veya hemen arkasına konulan IPS ile bilinen zafiyet istismar girişimleri (exploit) ve DoS/DDoS saldırıları bloklanır.
  3. Ağ Segmentasyonu (Network Segmentation): İç ağ tek bir düz yapı (Flat Network) olmamalıdır. Finans, İK, Yazılım ve Misafir ağları VLAN’lar ile ayrılmalı, bu segmentler arasındaki geçişler yine dahili Firewall kuralları ile denetlenmelidir.
  4. Şifreli Trafik İncelemesi (SSL/TLS Inspection): İnternet trafiğinin %90’ından fazlası şifrelidir. Saldırganlar zararlı yazılımları HTTPS trafiği içine gizler. Güvenlik cihazlarında SSL Decryption/Inspection özelliğinin aktif edilmesi şarttır.
  5. SIEM ve SOAR Entegrasyonu: Firewall ve IDS/IPS logları merkezi bir SIEM sistemine aktarılarak korele edilmeli, şüpheli durumlarda SOAR ile otomatik engelleme senaryoları çalıştırılmalıdır.

6. Ağ Güvenlik Cihazlarının Konumlandırılmasında Sık Yapılan Hatalar

Altyapı yatırımlarının boşa gitmemesi için şu kritik hatalardan kaçınılmalıdır:

  • Sadece Varsayılan Kurallara Güvenmek: Firewall veya IPS cihazını kutudan çıktığı varsayılan konfigürasyonla bırakmak güvenlik sağlamaz. Kurumun ihtiyaçlarına göre özelleştirilmelidir.
  • Kural Kirliliği (Rule Clutter): Zamanla eklenen geçerliliğini yitirmiş, “Any-Any” şeklinde geniş yetki veren hatalı kuralların temizlenmemesi ağda ciddi açıklar yaratır.
  • Performans Darboğazı: Derin paket incelemesi (DPI) ve SSL Inspection yüksek işlemci gücü gerektirir. Yanlış donanım seçimi ağda gecikmelere (latency) veya cihazın kilitlenmesine yol açar.
  • Logların İzlenmemesi: IDS alarmlarının kimse tarafından incelenmemesi, sistemin varlığını anlamsız kılar. Alarmlar 7/24 esasına göre SOC ekiplerince takip edilmelidir.

CyberTestify ile Ağ Güvenliği Mimarinizi Test Edin

Cihazlarınıza milyonlarca liralık güvenlik yatırımı yapmış olabilirsiniz; peki bu cihazlar gerçekten doğru yapılandırıldı mı? Kurallarınız bir saldırganın ağınıza sızmasını engellemeye yetiyor mu?

CyberTestify olarak, sunduğumuz Ağ Sızma Testi (Network Pentest), Güvenlik Duvarı Mimarisi Değerlendirme ve Zafiyet Analizi hizmetlerimizle ağ altyapınızı siber saldırganların gözünden test ediyoruz. Güvenlik duvarlarınızın atlatılabilirlik seviyesini, IDS/IPS sistemlerinizin atılan exploit’leri tespit edip etmediğini simüle ederek raporluyoruz.

Ağ güvenlik mimarinizi güçlendirmek ve olası sızma hatlarını proaktif olarak kapatmak için CyberTestify profesyonel siber güvenlik ekibiyle hemen iletişime geçin.