Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Klasik firewall politikalarında kaynak genelde IP adresidir. Fakat modern kurumsal ağlarda IP artık tek başına yeterli değildir. DHCP, NAT, VPN, paylaşımlı cihazlar, kiosk sistemleri ve roaming kullanıcılar yüzünden şu soru çoğu zaman cevapsız kalır:
“Bu erişimi gerçekten kime verdik?”
İşte bu noktada Palo Alto Networks User-ID, IP tabanlı güvenlikten kimlik tabanlı güvenliğe geçiş sağlar. Kullanıcı, AD/LDAP grubu, departman ve risk bağlamı ile politika yazabilir; logları daha anlamlı hale getirebilir ve denetim süreçlerinde net cevaplar üretebilirsiniz.
🧩 Sorun: IP Bazlı Kurallar Kimliği Kaybettirir
IP bazlı kurallar ilk bakışta basit görünür; ancak zaman içinde operasyonel kör noktalar oluşturur:
- DHCP nedeniyle IP adresleri sürekli değişir.
- NAT arkasındaki kullanıcı kimliği net görünmez.
- Paylaşımlı cihazlarda “kim kullandı?” sorusu belirsiz kalır.
- VPN/uzaktan erişim kullanıcıları farklı lokasyonlardan gelir.
- Loglarda IP görünür ama kullanıcı, departman ve rol bağlamı kaybolur.
Sonuç olarak güvenlik ekibi şu sorulara geç cevap verir:
- Hangi kullanıcı hangi uygulamaya erişti?
- Finans ekibi ile geliştirici ekibi aynı internet politikasına mı tabi?
- Kritik uygulamaya erişen kullanıcı gerçekten yetkili grupta mı?
- Unknown user trafiği neden bu kadar fazla?
🤖 Çözüm: Palo Alto Networks User-ID ile Kimlik Tabanlı Güvenlik
User-ID, IP adreslerini kullanıcı ve grup bilgisiyle eşleştirerek güvenlik politikalarını daha anlamlı hale getirir.
Bu sayede firewall politikaları sadece IP’ye değil; şu bağlamlara göre yazılabilir:
- Kullanıcı adı
- AD/LDAP grubu
- Departman
- Rol
- Lokasyon
- Cihaz tipi
- Risk seviyesi
- Uzaktan erişim durumu
Örneğin:
Grp-Finance→ sadece finans uygulamaları + güvenli SaaS erişimiGrp-Developers→ Git, DevOps, repository, SSH erişimiGrp-HR→ insan kaynakları portalları ve belirli SaaS uygulamalarıUnknown-Users→ sınırlı erişim + alarm + inceleme
✅ 3 Adımda Hızlı Kurulum Planı
1️⃣ Entegrasyon: Kimlik Kaynaklarını İçeri Al
İlk adım, firewall’un kullanıcıyı doğru tanımasını sağlamaktır.
Temel entegrasyonlar
- AD/LDAP grup bilgilerini içeri alın.
- User-ID agent veya agentless yöntemle oturum olaylarını toplayın.
- Domain Controller logon event’lerini izleyin.
- Uzaktaki kullanıcılar için GlobalProtect mapping bilgisini kullanın.
- Servis/kiosk/paylaşımlı cihazları ayrı istisna kategorisinde yönetin.
Dikkat edilmesi gerekenler
- AD grup isimleri standart ve anlaşılır olmalı.
- Kullanılmayan eski gruplar politikaya taşınmamalı.
- Grup mapping filtreleri dar tutulmalı.
- Unknown user oranı başlangıç metriği olarak ölçülmeli.
2️⃣ Politika: IP Değil, Rol ve Grup Bazlı Kural Yaz
User-ID’in gerçek değeri, güvenlik politikalarında kullanıcı ve grup bilgisini kullanınca ortaya çıkar.
Örnek politika yaklaşımı
Internet-Çıkış Politikası
- Source User:
Grp-Corporate-Users - Application: business / collaboration / sanctioned SaaS
- Action: allow
- Security Profile: URL Filtering + Threat Prevention
Developer Erişimi
- Source User:
Grp-Developers - Application: git, ssh, ssl, web-browsing
- Destination: DevOps / repository / CI-CD sistemleri
- Action: allow
- Log: session start + end
Finance Erişimi
- Source User:
Grp-Finance - Destination: finans uygulamaları / onaylı SaaS
- Action: allow
- Ek kontrol: DLP / URL category / SSL istisna politikası
Unknown User Politikası
- Source User: unknown
- Action: limited allow veya deny
- Log: detailed
- Amaç: mapping problemi mi, yetkisiz cihaz mı, paylaşımlı sistem mi?
3️⃣ İzleme & Sıkılaştırma: Unknown User Oranını Azalt
Kurulum sonrası en önemli operasyonel hedef: unknown user trafiğini azaltmak ve politikaları sadeleştirmektir.
İzlenecek metrikler
- Unknown user oranı
- Kullanıcı/grup bazlı en çok erişilen uygulamalar
- Gereksiz geniş kurallar
- Hit-count değeri düşük veya sıfır olan politikalar
- Paylaşımlı cihaz/kiosk kaynaklı erişimler
- Kural bazlı log kalitesi
Sıkılaştırma adımları
- Unknown user kaynaklarını sınıflandırın.
- Kiosk ve servis hesapları için özel etiket kullanın.
- Gereksiz IP bazlı kuralları User-ID bazlı hale getirin.
- Hit-count ile kullanılmayan kuralları temizleyin.
- Panorama üzerinde owner, change-id ve expiry bilgisiyle kural yaşam döngüsü oluşturun.
Örnek kural açıklama standardı:
[OWN=SecOps][REQ=CHG-456][EXP=2026-12-31][TYPE=User-ID][GROUP=Grp-Developers]🎯 Kazanımlar
🔒 Daha küçük saldırı yüzeyi
Kullanıcı ve rol bazlı erişim sayesinde gereksiz geniş IP kuralları azalır.
🧾 Denetlenebilir erişim
“Kime ne izin verdik?” sorusuna net cevap verilir.
📊 Anlamlı raporlar
Loglarda sadece IP değil; kullanıcı, grup ve departman görünür.
🔇 Daha az gürültü
Yanlış pozitifler azalır, olaylar bağlam kazanır.
⚡ Daha hızlı müdahale
Bir IOC veya anomali görüldüğünde hangi kullanıcının etkilendiği daha hızlı anlaşılır.
⚡ 48s Mini-PoC Planı
- AD/LDAP group mapping’i aktif edin.
- User-ID mapping ile kullanıcı/IP eşleşmelerini doğrulayın.
- 2 test grubu oluşturun:
Grp-DevelopersveGrp-Finance. - Internet ve SaaS politikalarını bu gruplara göre ayırın.
- Unknown user loglarını 24 saat izleyin.
- İlk temizlikte IP bazlı 3 geniş kuralı User-ID bazlı hale getirin.
- KPI: unknown user oranı, hit-count, erişim doğruluğu, kullanıcı şikâyeti.
Sonuç
User-ID, firewall’u sadece IP gören bir cihaz olmaktan çıkarıp kimlik, rol ve bağlamla karar veren bir güvenlik kontrol noktasına dönüştürür.
Modern güvenlikte önemli olan sadece “trafiği görmek” değil; trafiğin arkasındaki kullanıcıyı, rolü ve erişim niyetini anlamaktır.
