“Port Değil, App-ID Konuşalım!” 🚦

İlgili yazılar

Palo Alto Traffic Log: incomplete ve insufficient-data Ne Anlama Gelir?

1 gün önce

Palo Alto Security Policy “Allow” Ama Trafik Neden Geçmiyor?

1 hafta önce

Palo Alto OSPF Troubleshooting: Neighbor FULL Ama Route Yok

2 hafta önce

80/443’e sığınmak görünürlük değildir

Geleneksel firewall politikalarında en sık görülen hatalardan biri şudur:

source:any destination:any service:tcp/443 action:allow

İlk bakışta kontrollü gibi görünür. Çünkü sadece 443 portu açıktır. Ancak modern ağlarda bu yaklaşım ciddi kör noktalar oluşturur. Bugün birçok uygulama 80/443 üzerinden çalışır, TLS ile şifrelenir, hatta QUIC/HTTP3 ile klasik TCP davranışının dışına çıkar.

Bu nedenle artık sadece port değil, gerçek uygulama kimliği üzerinden konuşmak gerekir.

Palo Alto Networks tarafında bunun karşılığı App-ID yaklaşımıdır.

---

🧩 Sorun: “Any Any 443” Gerçek Görünürlük Sağlamaz

Port-bazlı güvenlik politikaları artık tek başına yeterli değildir.

Çünkü:

• Birçok uygulama aynı portu kullanır.
• 443 altında SaaS, proxy, tunneling, remote access, file sharing ve shadow IT trafiği gizlenebilir.
• QUIC/HTTP3 klasik SSL/TCP görünürlüğünü azaltabilir.
• Loglarda sadece port görünürse “hangi uygulama çalıştı?” sorusu cevapsız kalır.
• Geniş kurallar gereksiz erişim sağlar.
• Least privilege modeli uygulanamaz.

Sonuç:

443 açık ama ne çalışıyor bilmiyoruz.

Bu da güvenlik değil, varsayıma dayalı erişimdir.

---

🤖 Çözüm: Palo Alto Networks App-ID

App-ID, trafiği yalnızca port veya protokol üzerinden değil, gerçek uygulama davranışı üzerinden tanımlar.

Bu sayede güvenlik politikalarında şu sorulara net cevap verilebilir:

• Bu trafik gerçekten ssl mi, yoksa 443 altında farklı bir uygulama mı?
• Kullanıcı hangi SaaS uygulamasına gidiyor?
• Dosya paylaşım, proxy, remote access veya tunneling uygulaması var mı?
• Hangi uygulama hangi kullanıcı grubu tarafından kullanılıyor?
• Bu uygulama gerçekten iş ihtiyacı mı, yoksa shadow IT mi?

App-ID ile hedef, “portu açmak” değil; izin verilen uygulamayı kontrollü şekilde açmaktır.

---

✅ 3 Adımda Hızlı Kazanım

1️⃣ Görünürlük: Önce 443 Altında Ne Koşuyor, Onu Gör

İlk adım mevcut kuralları hemen kırmak değildir. Önce görünürlük kazanmak gerekir.

Yapılacaklar

• ACC üzerinden en çok kullanılan uygulamaları çıkarın.
• Traffic loglarda 443 altında çalışan uygulamaları inceleyin.
• Unknown / insufficient-data / ssl / web-browsing oranlarını analiz edin.
• Kullanıcı, uygulama, URL category ve destination kırılımlarını raporlayın.
• En çok kullanılan SaaS ve shadow IT uygulamalarını listeleyin.

Çıktı örneği

Top App-ID over 443:
- office365
- ms-teams
- google-base
- ssl
- web-browsing
- github-base
- dropbox
- anydesk
- tor
- unknown-tcp

Bu liste, port-bazlı kuraldan App-ID bazlı kurala geçiş için ilk veri setidir.

---

2️⃣ Gölge Moda Geç: Mevcut Kuralı Hemen Kırma

Port-bazlı kuralı doğrudan silmek veya daraltmak üretimde servis kesintisi yaratabilir. Daha doğru yöntem, önce paralel görünürlük ve kontrollü dönüşümdür.

Önerilen yaklaşım

• Mevcut service:443 kuralını hemen kaldırmayın.
• Aynı kapsamda App-ID bazlı bir gözlem politikası oluşturun.
• App-ID kullanımını 15–30 gün izleyin.
• Policy Optimizer ile hangi uygulamaların gerçekten kullanıldığını belirleyin.
• İş birimleriyle kullanılan uygulamaları doğrulayın.

Gözlem politikası mantığı

src:USER-GROUP
dst:INTERNET
app:office365, ms-teams, github-base
service:application-default
action:allow
log:all
comment:[MODE=OBSERVE][OWN=SecOps][REQ=APPID-MIGRATION]

Bu aşamada amaç “kesmek” değil, doğru uygulama listesini oluşturmaktır.

---

3️⃣ Sıkılaştır: Port-Bazlı Kuralı Kademeli Kaldır

Yeterli log ve kullanım verisi toplandıktan sonra port-bazlı geniş kural azaltılır.

Sıkılaştırma adımları

1. Gerçek kullanılan uygulamaları listeleyin.
2. İş kritik uygulamaları App-ID bazlı kurala taşıyın.
3. service:any veya service:443 yerine application-default kullanın.
4. Kullanılmayan veya riskli uygulamaları block/deny yapın.
5. İstisnaları owner, ticket ve expiry ile etiketleyin.
6. Hit-count ve false-positive oranını takip edin.
7. Eski port-bazlı kuralı önce disable edin, sonra kaldırın.

İstisna standardı

[OWN=AppTeam][REQ=CHG-456][EXP=2026-12-31][WHY=Legacy App Requires SSL]

İstisna süresiz olmamalı; düzenli review edilmelidir.

---

⚠️ Kötü → ✅ İyi Örnek

Kötü

src:any
dst:any
service:tcp/443
application:any
action:allow
log:default

Bu kural 443 portunu açar ama uygulama görünürlüğü ve risk kontrolü zayıftır.

---

İyi

src:GRP-CORP-USERS
dst:INTERNET
application:office365, ms-teams, zoom, github-base
service:application-default
action:allow
profile:URL/AV/Anti-Spyware/Vulnerability
log:all
comment:[OWN=SecOps][REQ=CHG-789][EXP=N/A][TYPE=APP-ID]

Bu kural portu değil, uygulamayı yönetir.

---

📊 İzlenecek Metrikler

App-ID dönüşümünü yönetirken şu metrikler izlenmelidir:

• 443 altında en çok görülen uygulamalar
• Unknown / insufficient-data oranı
• Port-bazlı kural hit-count değeri
• App-ID bazlı kural hit-count değeri
• Block edilen riskli uygulamalar
• False-positive ve servis kesinti sayısı
• Shadow IT uygulama listesi
• Exception sayısı ve expiry durumu

---

🚀 Kazanımlar

🔒 Daha küçük saldırı yüzeyi
Gereksiz geniş 443 izinleri azalır.

📊 Daha anlamlı raporlar
Loglarda yalnız port değil, gerçek uygulama görünür.

🔇 Daha az gürültü
Uygulama bazlı politika sayesinde olaylar daha iyi sınıflanır.

🧾 Denetlenebilir erişim
“Kime, hangi uygulamaya, neden izin verdik?” sorusu netleşir.

⚡ Least privilege güvenlik modeli
Sadece ihtiyaç duyulan uygulama, doğru kullanıcı ve doğru servisle açılır.

---

⚡ 48s Mini-PoC Planı

1. ACC üzerinden 443 altında çalışan ilk 20 uygulamayı çıkarın.
2. En çok hit alan 1 port-bazlı internet kuralını seçin.
3. Aynı kapsamda App-ID bazlı paralel gözlem kuralı oluşturun.
4. 15–30 gün App-ID kullanımını izleyin.
5. İş kritik uygulamaları doğrulayın.
6. application-default ile yeni App-ID kuralını aktif edin.
7. Eski 443 kuralını önce disable edin, sonra kaldırın.

Başarı kriteri:

• Kullanıcı kesintisi yok
• Unknown oranı düşüyor
• 443 port-bazlı hit azalıyor
• Uygulama bazlı raporlama artıyor
• Riskli uygulamalar görünür hale geliyor

---

Sonuç

Port açmak güvenlik değildir. Gerçek güvenlik, trafiğin hangi uygulama olduğunu, kimin kullandığını, hangi riskle geldiğini ve neden izin verildiğini bilmektir.

App-ID, firewall politikasını port seviyesinden uygulama seviyesine taşıyarak modern ağ güvenliğinde daha kontrollü, daha görünür ve daha denetlenebilir bir yapı kurmanızı sağlar.