Güvenlik Duvarı Aboneliği Bitince Ne Olur? Yenileme mi, Yeni Cihaz mı?

Yıl sonu yaklaşırken bütçe tablosunda hep aynı satır gözümüze çarpar: güvenlik duvarı abonelik yenilemesi. Cihaz zaten çalışıyor, internet geliyor, kimse şikâyet etmiyor. “Bu sene yenilemesek ne olur?” sorusu da tam bu yüzden çıkıyor.

Kısa cevap: hiçbir şey olmaz. Ta ki bir şey olana kadar.

Lisans bitince cihaz kapanır mı?

Hayır, ve tehlike de burada. Çoğu üreticide cihaz trafiği geçirmeye devam eder. Kural tabanı, NAT, VPN çalışır. Ekranda kırmızı bir uyarı belirir, o kadar. Koruma katmanları ise sessizce eskir.

Fortinet’in kendi dokümanına göre FortiGuard lisansları bittiğinde cihaz güvenlik duvarı olarak çalışmaya devam eder, imza tabanlı servisler son aldıkları imzalarla taramayı sürdürür, kategori tabanlı web ve DNS filtresi ise tamamen durur. Sophos tarafında tablo servis bazında ayrışıyor: Network Protection bittiğinde IPS imzaları yüklenmez ve IPS politikaları uygulanmaz, Web Protection bittiğinde uygulama imzaları ve antivirüs taraması devre dışı kalır. Temel lisansın kendisi biterse cihaz yönlendirici gibi davranır ve güvenlik duvarı kurallarını işletmeden çıkış trafiğini maskeler.

Yani dışarıdan bakınca her şey aynı. İçeride ise “donmuş” bir koruma var.

Hangi özellik ne zaman durur?

Katman	Lisans bitince
Temel güvenlik duvarı kuralları, NAT	Çoğu üreticide çalışır (Sophos’ta temel lisans bitişi hariç)
IPS	Eski imzayla devam eder (Fortinet) veya imza yüklenmez (Sophos)
Web / DNS filtreleme	Kategori sorguları durur; kurallara göre trafik düşebilir
Antivirüs, sandbox	Güncelleme kesilir, bazı üreticilerde tamamen kapanır
Firmware güncellemesi	Destek aboneliği olmadan sınırlanır
Donanım değişimi (RMA)	Destek sözleşmesi bitince yok

Tablodaki son iki satır genelde atlanır. Güvenlik açığı yamasını alamayan bir güvenlik duvarı, kendisi saldırı yüzeyi olur. Sophos’un dokümanı, belirli sayıda ücretsiz firmware yükseltmesinden sonra destek aboneliği olmadan yükseltme yapılamadığını söylüyor.

Geç yenilemenin maliyeti

Pek çok kişi “bir ay sonra yenilerim, aradaki süre boşa gitmiş olur” diye düşünür. Fortinet’te durum biraz daha sert: servisler sürekli olacak biçimde tasarlandığı için kesinti olursa kapsam sözleşmenin bittiği tarihe geri çekilir. Yani koruma yokken geçen ayların parasını da ödersiniz. Başka üreticilerde kural farklı olabilir; yenilemeyi ertelemeden önce distribütörden yazılı öğrenin.

Pratikte iki sorun yaşıyoruz. Birincisi, yenileme tarihi kimsenin takviminde yok. Cihazı kuran kişi şirketten ayrılmış, lisans maili onun adresine gidiyor. İkincisi, lisans sorunu ancak bir şey bozulunca fark ediliyor: web filtresi kategori sorgulayamıyor ve bütün siteler bir sabah açılmıyor.

Yenileme mi, yeni cihaz mı?

Bu soruya “cihaz kaç yaşında” diye başlamak yanlış. Üç soruya bakıyoruz:

1. Üretici cihaz modelini destek dışı bıraktı mı? Yaşam sonu (end of life) ilan edilmiş modelde yenileme anlamsız, çünkü yazılım güncellemesi zaten gelmiyor.
2. Hat hızınız cihazın gerçek kapasitesini aştı mı? Fiber hatta geçtiyseniz ve IPS ile web filtresini açık tuttuğunuzda cihaz CPU’su yüzde 80’lerde geziyorsa, kağıt üzerindeki “firewall throughput” değeri size bir şey söylemez. Tehdit koruma açıkken ölçülen değere bakın.
3. Yeni lisansla yeni cihaz arasındaki fark ne kadar? Eski cihazın 1 yıllık yenilemesi ile 3 veya 5 yıllık lisansla gelen yeni cihaz arasındaki yıllık maliyet farkı, tahmin ettiğinizden küçük çıkabilir; bunu rakamla görmeden karar vermeyin. Teklifi iki kalem halinde isteyin: yenileme ve yeni cihaz artı lisans.

Üçüne de “hayır” diyorsanız yenileyin, ama süreyi uzun alın. Çok yıllık abonelik hem birim fiyatı düşürür hem de takvim sorununu ortadan kaldırır.

Bu hafta yapılacaklar

• Her güvenlik duvarı için lisans bitiş tarihini tek bir tabloya yazın (cihaz, model, bitiş tarihi, sorumlu).
• Bitişten 90 gün önce hatırlatma kurun, bir kişiye değil gruba.
• Üreticinin yaşam sonu listesinde modelinizi arayın.
• Yönetim arayüzünde lisans durumunu açın, hangi servislerin aktif olduğunu ekran görüntüsüyle kaydedin.
• Yedek bir hat veya ikinci cihaz kullanıyorsanız onun lisansına da bakın. Genelde unutulan o oluyor.

Sık sorulan sorular

Lisansı bitmiş güvenlik duvarını kullanmaya devam edebilir miyim? Teknik olarak evet, ama imza ve filtre servislerinin değeri her gün azalır. Kısa bir süre için bilinçli kabul edilebilir, açık uçlu bırakılamaz.

Lisans bitince internet kesilir mi? Genelde kesilmez. İstisna, kategori sorgusuna dayanan web veya DNS filtresinin varsayılan olarak trafiği düşürmesi ve Sophos’ta temel lisansın bitmesi durumunda kuralların işletilmemesi. İkisi de bir sabah “internet yok” şikâyetine dönüşebilir.

Lisans yenilemeyi kim yapıyor? Distribütör veya iş ortağı üzerinden alınır. Yönetilen BT hizmetinde bitiş takvimini sağlayıcı izler, bu yüzden sözleşmede “lisans takibi” ibaresi olup olmadığına bakın.

Yenileme yerine bulut tabanlı güvenlik hizmetine geçmek mantıklı mı? Ofis küçükse ve uygulamaların çoğu zaten bulutta ise olabilir. Yerel sunucu, yazıcı ve şube VPN’i varsa cihaz hâlâ gerekir. Bunu kullanıcı sayısına ve uygulama dağılımına bakmadan söylemek doğru olmaz.

Bütçe toplantısından önce güvenlik duvarı envanterinizi çıkarmak isterseniz bizimle iletişime geçin; lisans bitiş tarihlerini ve model durumunu birlikte görelim.