UTM (Unified Threat Management, birleşik tehdit yönetimi), firewall, saldırı önleme, kötü amaçlı yazılım taraması, web filtreleme ve VPN gibi birden çok güvenlik işlevini tek bir cihaz veya sistemde toplayan yaklaşımdır. NGFW (Next-Generation Firewall, yeni nesil güvenlik duvarı) ise trafiği yalnızca IP adresi ve port ile değil, uygulama, kullanıcı ve içerik bilgisiyle tanıyıp denetleyen firewall kategorisidir.
İki terim de ürün broşürlerinde sıkça geçer ve çoğu zaman birbirine karıştırılır. Bu yazıda UTM ve NGFW'nin ne anlama geldiğini, tipik olarak hangi özellikleri içerdiğini, aralarındaki farkı ve ne zaman böyle bir cihaza ihtiyaç duyabileceğinizi üretici bağımsız bir dille anlatıyoruz. Firewall'un temel türlerini henüz bilmiyorsanız önce güvenlik duvarı (firewall) nedir yazısını okumanızı öneririz.
UTM nedir?
NIST SP 800-41 Rev. 1, UTM'yi şöyle açıklar: birçok firewall, birden fazla özelliği tek bir sistemde birleştirir; bunun arkasındaki fikir, aynı noktada konumlanan çok sayıda sistem yerine tek bir sistemde politika belirleyip sürdürmenin daha kolay olmasıdır. NIST'e göre tipik bir UTM sisteminde bir firewall, kötü amaçlı yazılım tespiti ve temizleme, şüpheli ağ taramalarını algılayıp engelleme gibi işlevler bulunur.
Fortinet'in sözlüğü de UTM'yi birden çok güvenlik özelliği veya hizmetinin tek bir cihazda birleştirilmesi olarak tanımlar ve tipik özellikleri şöyle sıralar:
- Firewall
- Antivirüs ve anti-malware
- Saldırı tespit ve önleme (IDS/IPS)
- VPN (sanal özel ağ)
- Web filtreleme ve içerik filtreleme
- E-posta filtreleme ve anti-spam
- Veri kaybı önleme (DLP)
Bu işlevlerin her biri ayrı bir cihazla veya yazılımla da sağlanabilir. UTM'nin vaadi, hepsini tek bir yönetim arayüzünden kurup izleyebilmektir.
NGFW nedir?
NGFW terimi NIST SP 800-41'de geçmez; üreticilerin kullandığı bir kategori adıdır. Palo Alto Networks'ün tanımına göre NGFW, uygulamaları, kullanıcıları ve içeriği tanıyıp denetleyerek politikaları hassas biçimde uygulayan bir ağ güvenliği cihazıdır. Aynı kaynakta öne çıkan özellikler şunlardır:
- Uygulama farkındalığı: Trafiği port veya protokole göre değil, gerçek uygulamaya göre sınıflandırır; standart portlarda saklanan uygulamaları da tanımayı hedefler.
- Kullanıcı kimliği: Ağ etkinliğini, çoğunlukla dizin hizmeti entegrasyonuyla, yalnızca IP adresine değil tek tek kullanıcılara bağlar.
- Entegre IPS: Firewall işlevini saldırı önleme ve tehdit tespitiyle birleştirir.
- Tehdit istihbaratı: Paylaşılan tehdit bilgisi ve otomatik imza güncellemeleri kullanır.
- SSL/TLS denetimi: Şifreli trafiği çözerek içinde saklanan tehditleri görmeye çalışır.
Aynı kaynak geleneksel firewall ile NGFW farkını şöyle özetler: geleneksel firewall'lar trafiği IP adresi, port ve protokole göre sınıflandırırken NGFW'ler uygulama, kullanıcı, içerik ve bağlama göre sınıflandırır. NIST'in sınıflandırmasıyla düşünürseniz, NGFW'nin uygulama tanıma kısmı NIST'in application firewall (stateful protocol analysis) dediği yeteneğe, entegre IPS kısmı ise IDS/IPS teknolojilerine karşılık gelir.
UTM ve NGFW arasındaki fark
Dürüst cevap şu: iki terim arasındaki sınır keskin değildir ve ürüne göre değişir. Fortinet'in sözlüğü de farkların büyük ölçüde terminolojik görünebileceğini, ancak ürüne bağlı olarak bazı ayrımlar bulunduğunu söyler. Kaynaklarda sık geçen ayrımlar şöyle özetlenebilir:
| Konu | UTM | NGFW |
|---|---|---|
| Temel fikir | Birçok güvenlik işlevini tek kutuda toplamak | Firewall'u uygulama ve kullanıcı farkındalığıyla derinleştirmek |
| Tipik içerik | Firewall, antivirüs, web filtreleme, VPN, çoğu zaman IPS | Uygulama tanıma, kullanıcı kimliği, entegre IPS, TLS denetimi |
| Kaynaklarda öne çıkan hedef | Basitlik ve tek noktadan yönetim | Daha derin denetim ve daha ayrıntılı politika |
| Kaynaklarda anılan ölçek | Daha küçük ortamlar | Kurumsal veya yüksek trafikli ağlar |
| Esneklik | Gerekmeyen hizmetleri de içerebilir | Yalnızca istenen özellikleri açmaya izin verebilir |
Palo Alto'nun karşılaştırmasına göre UTM'ler firewall, antivirüs, URL filtreleme ve bazen saldırı önleme gibi temel özellikleri birleştirir ve basitliği önceleyen küçük ortamlara uygundur; NGFW'ler ise daha derin denetim ve daha gelişmiş politika uygulaması isteyen kurumsal ağlara yöneliktir. Fortinet de NGFW'nin büyük kurumlar için etkili bir çözüm olduğunu, tipik bir UTM'nin ise kurumsal yük altında zorlanabileceğini belirtir. Bu ifadelerin üreticilerin kendi kategori tanımları olduğunu, bağımsız bir standart olmadığını aklınızda tutun. Bugün piyasadaki birçok cihaz her iki terimin özelliklerini birlikte sunar.
Tek kutuda toplamanın artıları ve eksileri
NIST, birbiriyle tam ilişkili olmayan işlevleri tek sistemde birleştirmenin hem artıları hem eksileri olduğunu açıkça yazar:
- Artı: Tek bir sistem birden çok güvenlik hedefinden sorumlu olduğu için karmaşıklık azalır; politika tek yerde belirlenir ve sürdürülür.
- Eksi: UTM'nin, karşılanması gereken her hedef için istenen tüm özelliklere sahip olması gerekir.
- Performans: Birden çok görevi üstlenen tek bir sistemin, her görev için yeterli işlemci ve bellek kaynağına sahip olması gerekir.
- Tercih: NIST'e göre bazı kuruluşlar dengeyi UTM lehine bulurken, bazıları ağlarının aynı noktasında birden fazla firewall kullanmayı tercih eder.
Bir de tek arıza noktası meselesi vardır: tüm güvenlik işlevleri tek kutudaysa, o kutunun yanlış yapılandırılması veya kapasitesinin aşılması tüm işlevleri birden etkiler. Bu yüzden cihaz seçerken üreticinin belgelerinde, açmayı düşündüğünüz özellikler etkinken verilen performans değerlerine bakmak önemlidir.
SSL/TLS denetimi hakkında not
UTM ve NGFW broşürlerinde sıkça geçen özelliklerden biri şifreli trafiğin denetlenmesidir. NIST SP 800-41, firewall'ların şifreli içeriği okuyamadığını ve bu nedenle etkinliklerinin sınırlandığını belirtir. Bazı application-proxy gateway'lerin SSL ile korunan içeriği çözüp inceledikten sonra yeniden şifreleyerek ilettiğini de not eder. Yani bu özellik, firewall'un istemci ile sunucu arasında aracı gibi davranmasına dayanır; cihazın yükünü artırır ve uygulamaya alınmadan önce kurum politikası açısından değerlendirilmesi gerekir.
UTM veya NGFW ne zaman gerekir?
Burada kesin bir eşik yoktur; karar ağınızın büyüklüğüne, ekibinizin yönetim kapasitesine ve neyi korumak istediğinize bağlıdır. Kendinize şu soruları sorabilirsiniz:
- Ağınızda firewall'a ek olarak saldırı önleme, web filtreleme veya VPN gibi işlevlere ihtiyacınız var mı?
- Bu işlevleri ayrı ayrı cihazlarda yönetecek zamanınız ve uzmanlığınız var mı, yoksa tek panel mi tercih edersiniz?
- Politikaları IP adresi yerine kullanıcı veya uygulama bazında yazmanız gerekiyor mu?
- İnternet bağlantınızın hızında, açmak istediğiniz tüm özellikler etkinken cihaz trafiği taşıyabilecek mi?
- Saldırı imzaları ve filtre listeleri için güncelleme aboneliği gerekiyor mu ve bunu sürdürebilecek misiniz?
Tek bir ofis ağında birkaç kullanıcı varsa, iyi yapılandırılmış stateful bir firewall ve cihazlardaki host firewall'lar çoğu zaman temel ihtiyacı karşılar. Ağ büyüdükçe, VLAN ile bölümlere ayrıldıkça ve dışarıya hizmet veren sistemler arttıkça tek noktadan yönetilen bir UTM veya NGFW daha anlamlı hâle gelebilir. Türkiye'de toplu internet erişimi sunan işletmelerin ayrıca yasal loglama yükümlülükleri olabilir; bunu 5651 loglama nedir yazısında ele alıyoruz.
Açık kaynak alternatifler
UTM benzeri bir yapıyı açık kaynak bileşenlerle de kurmak mümkündür. Örneğin OPNsense belgelerine göre OPNsense'in saldırı önleme sistemi Suricata tabanlıdır ve Emerging Threats kural setinin ücretsiz, BSD lisanslı bir sürümü ile ücretli bir sürümü bulunur. Aynı belge, ücretsiz ET Open setinin tam kapsam sağlamadığını ve düzenlemeye tabi ortamlarda tek başına kullanılmaması gerektiğini de uyarır. Bu platformları pfSense ve OPNsense nedir, Suricata'yı ise IDS/IPS nedir yazısında anlatıyoruz. MikroTik gibi router tabanlı çözümler için MikroTik nedir yazısına bakabilirsiniz.
Sık Sorulan Sorular
UTM bir firewall mudur?
UTM'nin merkezinde bir firewall vardır, ama UTM bundan fazlasıdır. NIST'in tarifinde UTM, firewall'un yanına kötü amaçlı yazılım tespiti ve şüpheli tarama engelleme gibi işlevlerin eklendiği birleşik bir sistemdir.
NGFW ile UTM aynı cihaz olabilir mi?
Evet. Üreticiler aynı cihazı farklı belgelerde UTM ya da NGFW olarak tanımlayabilir; Fortinet'in sözlüğü de farkların çoğu zaman terminolojik olduğunu kabul eder. Ürün adına değil, ihtiyaç duyduğunuz özelliklerin cihazda olup olmadığına bakın.
UTM saldırı tespit sistemi (IDS) yerine geçer mi?
Birçok UTM ve NGFW entegre bir IPS içerir. Ancak NIST SP 800-41, yalnızca stateful inspection ve stateful protocol analysis yapan firewall'ların tam teşekküllü IDPS olmadığını, IDPS'lerin genellikle çok daha kapsamlı tespit yeteneği sunduğunu belirtir. Cihazdaki IPS özelliğinin kapsamını üretici belgelerinden kontrol edin.
UTM web sitemi de korur mu?
UTM ağ trafiğini korur; web uygulamasına yönelik saldırılar için ise genellikle ayrı bir WAF kullanılır. Bulut tabanlı bir örnek için Cloudflare WAF yazısına bakabilirsiniz.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Firewall nedir · IDS/IPS nedir · pfSense ve OPNsense · VLAN nedir · VPN nedir · DDoS koruma