Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
İlgili yazılar
Firewall üzerinde tek tek IP engellemek her zaman yeterli değildir. Bir IP sizin sisteminize ulaşmadan önce başka sistemlerde brute-force, scanning veya saldırı davranışı göstermiş olabilir.
CrowdSec, yerel saldırı tespiti ile topluluk tabanlı Threat Intelligence yaklaşımını birleştiren açık kaynaklı bir güvenlik platformudur.
CrowdSec Nasıl Çalışır?
CrowdSec Security Engine; logları analiz eder, parser ve scenario’lar üzerinden kötü niyetli davranışları tespit eder ve gerektiğinde decision üretir.
Örneğin:
SSH Brute Force → Detection → Decision → Remediation → Block
Bu kararları uygulayan bileşenlere Remediation Components, eski terminolojiyle Bouncers adı verilir. Firewall, reverse proxy veya web server katmanında engelleme işlemini bu bileşenler gerçekleştirir. CrowdSec Documentation
Basitleştirilmiş mimari:
Internet → Firewall / Reverse Proxy → CrowdSec Detection → Decision → Remediation Component → Block
Buradaki önemli ayrım şu:
CrowdSec Security Engine saldırıyı tespit eder; Remediation Component ise engellemeyi uygular.
Network Security Tarafında
CrowdSec; brute-force girişimleri, scanning davranışları ve farklı saldırı senaryolarını tespit etmek için kullanılabilir. Alınan kararlar network veya application katmanında uygulanabilir.
Linux/Unix firewall entegrasyonunda CrowdSec’in resmi firewall remediation component’i iptables, nftables, ipset ve FreeBSD pf desteği sunuyor. CrowdSec Documentation
Application katmanında ise Nginx, Traefik ve HAProxy gibi bileşenlerle entegrasyon sağlanabilir. Güncel CrowdSec mimarisinde bazı remediation component’ler ayrıca WAF/AppSec yetenekleriyle SQL injection, XSS ve belirli CVE saldırıları gibi Layer 7 tehditlerine karşı da kullanılabiliyor. CrowdSec Documentation
Community Blocklist Neden Önemli?
CrowdSec’in dikkat çekici taraflarından biri collaborative security modelidir.
CrowdSec Community Blocklist, CrowdSec ağı tarafından kötü niyetli olarak tanımlanan IP’lerden oluşturulan küratörlü bir liste sunar. Böylece yalnızca kendi sisteminizde gözlemlediğiniz saldırganlarla değil, daha önce topluluk tarafından kötü niyetli davranış gösterdiği belirlenen IP’lerle de ilgili sinyal elde edebilirsiniz. CrowdSec Documentation
Ancak burada önemli bir ayrıntı var: Community Blocklist erişimi tek tip değildir. Güncel modelde Lite, Community ve Premium seviyeleri bulunur; ücretsiz kullanıcıların erişimi sisteme düzenli sinyal katkısı yapıp yapmadıklarına göre değişebilir. CrowdSec Documentation
Bu nedenle CrowdSec’i yalnızca:
“Bana kim saldırıyor?”
sorusuna cevap veren bir sistem olarak düşünmemek gerekir.
Aynı zamanda:
“Daha önce kötü niyetli olduğu bilinen hangi kaynaklar bana ulaşmaya çalışıyor?”
sorusuna da yardımcı olur.
CrowdSec Firewall Yerine Geçer mi?
Hayır.
CrowdSec’i klasik firewall, IDS/IPS veya SIEM’in doğrudan alternatifi olarak konumlandırmak doğru değildir.
Daha doğru yaklaşım:
Firewall + CrowdSec Security Engine + Threat Intelligence + Remediation
şeklinde katmanlı bir mimaridir.
CrowdSec mevcut güvenlik altyapısını besleyen ve alınan kararların firewall, reverse proxy veya application katmanında uygulanmasına yardımcı olan ek bir savunma katmanı olarak düşünülebilir.
Nerelerde Kullanılabilir?
Özellikle internet-facing sunucular, SSH servisleri, web uygulamaları, reverse proxy altyapıları, brute-force koruması, perimeter security ve SOC/Threat Intelligence senaryolarında değerlendirilebilir.
Asıl değer ise detection ile remediation’ı birbirine bağlamasıdır:
Log → Davranış Analizi → Threat Intelligence → Decision → Block
Network security açısından önemli ders şu:
Firewall trafiği engeller. Threat Intelligence ise hangi trafiğin daha erken şüpheli olarak değerlendirilmesi gerektiğine dair ek bağlam sağlar.
CrowdSec, bu iki yaklaşımı açık kaynak Security Engine ve collaborative threat intelligence modeliyle bir araya getiriyor.
🔗 Proje Sayfası: CrowdSec
