Sophos XGS ile SSL/TLS Inspection ve Active Directory GPO ile Kök Sertifika Dağıtımı

Modern internet dünyasında trafiğin neredeyse %95'i HTTPS (TLS 1.3) ile şifrelenmiştir. Bu durum gizlilik için harika olsa da, bir sistem yöneticisi için körlük demektir. Bir kullanıcının tıkladığı fidye yazılımı (ransomware) indirme linki veya komuta kontrol sunucusu (C2) ile kurulan bağlantı, şifreli bir HTTPS tünelinin arkasındaysa klasik güvenlik duvarları paketin içine bakamaz. Bu körlüğü ortadan kaldırmanın yolu SSL/TLS Inspection (Derin Paket Denetimi - DPI) mimarisidir.

1. SSL/TLS Inspection Nasıl Çalışır? (Man-in-the-Middle Mimarisi)

SSL Inspection yasal ve kontrollü bir "Araya Girme" (MitM) operasyonudur:

1. Kullanıcı https://banka.com veya bir dosya indirme sitesine gitmek istediğinde istek Sophos XGS'e ulaşır.
2. Sophos kullanıcı adına hedef sunucuyla el sıkışır ve dış sertifikayı doğrular.
3. Sophos web trafiğinin şifresini çözer, Xstream DPI motoru ve antivirüs motorlarıyla paketi inceler.
4. Temiz çıkan trafiği kendi oluşturduğu geçici bir SSL sertifikasıyla yeniden şifreleyerek kullanıcının tarayıcısına teslim eder.

2. Active Directory GPO ile Kök CA Sertifikasının Dağıtımı

Eğer kullanıcının bilgisayarı Sophos'un kendi kök sertifikasına (Appliance Certificate Authority) güvenmiyorsa, her HTTPS sitesine girildiğinde tarayıcılar kırmızı ekranla "Bağlantınız Gizli Değil - NET::ERR_CERT_AUTHORITY_INVALID" uyarısı verir.

Bu sorunu çözmek için Sophos Kök Sertifikası (SecurityAppliance_SSL_CA.cer) Active Directory GPO üzerinden tüm etki alanı bilgisayarlarına "Güvenilen Kök Sertifika Yetkilisi" olarak basılır:

GPO Yolu:
Computer Configuration -> Policies -> Windows Settings -> Security Settings
-> Public Key Policies -> Trusted Root Certification Authorities
-> Sağ Tık: Import -> Sophos CA Sertifikasını Seçin

İstemci bilgisayarlarda anında etkinleştirmek için:

gpupdate /force

3. Finans, Bankacılık ve Sağlık İstisnaları (Bypass Kuralları)

KVKK, bankacılık regülasyonları ve kişisel veri gizliliği gereği tüm trafik şifresi çözülerek dinlenemez. Sophos üzerinde katı istisna (exclusion) kuralları açılmalıdır:

• Bankacılık & Finans Kategorisi: Dekript edilmeden doğrudan geçmelidir.
• Sağlık & Kamu Hizmetleri: Doğrudan geçmelidir.
• Certificate Pinning Kullanan Uygulamalar: Zoom, Microsoft Teams, WhatsApp Desktop veya mobil bankacılık uygulamaları sertifika değişimini kabul etmez ve çöker. Bu servisler FQDN bazlı SSL Inspection dışı bırakılmalıdır.

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• TLS 1.3 Uyuşmazlığı: Bazı eski güvenlik duvarları TLS 1.3 handshake sırasında şifreleme süitlerini müzakere edemez. Sophos XGS'in yeni Xstream mimarisi donanımsal TLS hızlandırıcıya (NPU) sahiptir; ancak sorun çıkaran web siteleri için SSL/TLS kuralında "Re-sign with RSA" seçeneği işaretlenmelidir.
• Linux ve Mobil Cihazlar: GPO yalnızca Windows makineleri kapsar. Şirket ağındaki Mac veya Linux bilgisayarlara ve şirket telefonlarına MDM (Intune/Jamf) üzerinden sertifika profili gönderilmelidir.

Mühendis Notu

SSL Inspection'ı bir gecede tüm şirkete açmayın! Önce Bilgi İşlem departmanındaki 5 bilgisayarda pilot uygulayın. Bankacılık, e-Devlet ve iş uygulamalarında yaşanan sertifika istisnalarını tespit edip kurallara ekledikten sonra departman departman devreye alın.