Brief — blog.vulmon.com /vulmon/recon/2026/10/30/firewall-rule-review-checklist/

Şablon ve kurallar vault’ta: strateji/icerik/brief-sablonu.md, strateji/icerik/sabitler.md. Blog brief’leri bu repoda durur (docs/icerik/briefs/); yazıyla aynı commit’te güncellenir.

Metin durumu: yazıldı (2026-10-30) Yayın durumu: ☐ yayınlanabilir — kurucu okuduktan sonra; blogda push = GitHub Pages yayını. Not: master zaten bir commit ileride (c32c508, robots.txt AI eğitim botu engelinin kaldırılması, 2026-10-10) — push ikisini birlikte yayınlar. Sayfa tipi: blog (pratik rehber / kontrol listesi) Tarih / son gözden geçirme: 2026-10-30

Kurucu kararları (KK):

  • 2026-10-30: “firewall review işi önemli bir süreç, doğrudan bu aranabilir” → recon sayfasına bölüm eklendi; blog için aynı yazının tekrarı değil, ayrı niyetli pratik bir yazı önerildi ve kabul edildi (“onaylıyorum”).
  • 2026-10-30: asset review ilkesi — her dışa açık servis için “ne, neden açık, kim onayladı, hangi ekip”; “servis gerekli mi” ile “internete açık olmalı mı” ayrı sorular (RDP, SSH).

A — Kapı

A1. Bu niyeti hâlihazırda hangi sayfamız tutuyor?

  • Aday sayfalar: recon /how-to-reduce-your-external-attack-surface (yöntem; içinde “The firewall rule review that comes with it” bölümü), blog what-a-vulnerability-scanner-cannot-see (tarayıcının göremediği), recon /features.
  • Karar: ☑ tutan var ama niyet farklı
  • Fark: recon sayfası “dış saldırı yüzeyimi nasıl küçültürüm” sorusunu tutar ve firewall gözden geçirmesini bir bölümle anar. Bu yazı “firewall rule review checklist / template / process” niyetini tutar: her gelen kural için sorulacak sorular ve bir kayıt şablonu. Yazı yöntemi tekrarlamaz; yöntem için recon sayfasına bağlanır.

Kapı geçildi.

B — Plan

B1. Hedef sorgu + kanıtı

Sorgu Niyet Kanıt
firewall rule review checklist bilgi Google öneri (2026-10-30, en-US, suggestqueries, q=”firewall rule review”): “firewall rule review tool”, “… tool open source”, “… checklist”, “… report template”, “… process”, “… software”, “… template”, “… report”, “… sample report”
firewall ruleset review template · firewall rules review best practices · firewall rules review process bilgi Google öneri (2026-10-30, q=”firewall ruleset review”): “… template”, “firewall rules review tools / report / checklist / best practices / process”, “firewall policy review”, “firewall policy review tool”
firewall review checklist / process / report template bilgi Google öneri (2026-10-30, q=”firewall review”): “firewall review tools / checklist / process / report template / template / report / document / software”, “firewall review process cyber essentials” → yazı Cyber Essentials’ı adıyla anıyor
  • GSC’de henüz sorgu yok (yeni yazı); blog 90 günde 174 gösterim / 0 tık (vault strateji/seo/veri/2026-10-11/analiz.md). Taban: blogun 2026 yazıları poz 9-13, tık yok.
  • Blog analytics ÖLÜ (UA); ölçüm GSC blog property + recon GA4 (utm_campaign=post_firewall_rule_review).

B2. Okuyucu kim, hangi soruyla geliyor

  • Ağ ya da güvenlik ekibinden biri; denetim öncesi ya da düzenli gözden geçirme için “firewall kurallarını neye göre gözden geçiririm, hangi soruları sorarım, kaydı nasıl tutarım” diye arıyor. Çoğu zaman elinde bir kontrol listesi/şablon ihtiyacı var.
  • Sayfadan sonra: recon yöntem sayfası (/how-to-reduce-your-external-attack-surface) ya da /start-trial (dışarıdan listeyi görmek için).

B3. Aktarılacak mesajlar

  1. Her gelen kural bir açıklıktır; saldırgan kural setini değil, kuralın izin verdiğini görür.
  2. Gözden geçirmeye dışarıdan başla: dış tarama listesi kural setinin testidir; iki listeyi karşılaştır.
  3. Her kural için 12 soru; en kritik ikisi “neden internete açık” ve “yönetim arayüzüyse korunuyor mu”.
  4. Kaydı bir satırla tut: ne, neden, kim onayladı, ne zamana kadar — EASM envanterindeki asset purpose ile aynı satır.
  5. Sıklık: en az altı ayda bir (PCI); geçici kurallar tarihinde; yönetim arayüzleri belgeli ihtiyaç + MFA/izin listesi (Cyber Essentials).

B4a. Bu konuda elimizde NE VAR — arşiv taraması

Kaynak (yol) Sev. İçinde ne var Kullanılacak mı
vrecon-com/docs/icerik/briefs/how-to-reduce-your-external-attack-surface.md B5 #5, #11-18 K1/K3 Bugün doğrulanmış standart alıntıları (PCI QRG v3.2.1, NIST 800-53r5 SC-7/SC-7(5), Cyber Essentials v3.2 s.15, CIS v8 7.6, CISA BOD 23-02, CISA CPG 2.W) ☑ evet — aynı alıntılar
recon /how-to-reduce-your-external-attack-surface (“firewall rule review” bölümü) K1 Dıştan/içten iki liste fikri ☑ evet (bağlantı; tekrar değil)
vrecon-com/docs/features.md §2, §5, §10 K1 Port/servis envanteri, asset purpose + owner (port başına purpose var), bildirimler ☑ ürün paragrafı
blog what-a-vulnerability-scanner-cannot-see K1 “database port that should never have been public” cümlesi; dış görüş ☑ related link
Oturum araştırması: Tufin/FireMon/AlgoSec kural dokümantasyon alanları, eyalet standartları (Idaho 6 ay, Oklahoma 90 gün kullanılmayan kural) K4 Alan listesi, kullanılmayan kural pratiği ☐ atıfsız; yalnız bizim tavsiyemiz olarak (“90 gün” rakamı YAZILMADI)

B4b. Ne kullandık — ve kalanı neden kullanmadık

Kaynak Sev. Ne aldık
PCI DSS v3.2.1 QRG s.12 K3 altı aylık kural seti gözden geçirmesi; iş gerekçesi belgesi
NCSC Cyber Essentials v3.2 s.15 K3 yönetim arayüzü internetten erişilemez (belgeli iş ihtiyacı + MFA/izin listesi); gelen kurallar onaylı + iş ihtiyacıyla belgeli; gereksiz kural kaldırılır
NIST SP 800-53r5 SC-7(5) K3 deny by default, allow by exception
CISA BOD 23-02; CISA CPG 2.W K3 yönetim arayüzleri (RDP, SSH…) internetten çekilir ya da ZTA; “no exploitable services on the internet, such as RDP”
CIS Controls v8 7.6 K3 dışa açık varlıkların aylık taraması

Kullanılmayan: satıcı araçları ve rakip adları (tarafsızlık); “kullanılmayan kural 90 gün” gibi rakamlar (tek eyalet standardı, genelleme olmaz).

B5. İddia envanteri

İçeri dönük iddialar (K1)

# İddia Nerede
1 Recon dışarıdan domain, IP, açık port, servis ve sertifika listesini çıkarır ve güncel tutar vrecon-com/docs/features.md §2
2 Asset review’da her asset ve her port için Asset purpose (gerekçe) ve owner yazılır docs/features.md §5; PortIpAssessmentRow.vue
3 Bildirim: yeni varlık, erişilebilirlik değişimi, yeni bulgu; uygulama içi, e-posta, Slack, Teams docs/features.md §10
4 Deneme 14 gün, tam ürün, kart yok content/2.pricing.yml (FAQ “How does the trial work?”)

Dışarı dönük iddialar (K2-K4/KK)

# İddia (yazıdaki hâli) Kaynak — konum + alıntı Sev. Durum
1 PCI DSS: firewall ve router kural setleri en az altı ayda bir gözden geçirilir; her uygulama için iş gerekçesi belgelenir PCI DSS v3.2.1 Quick Reference Guide PDF s.12: “…that document business justification and various technical settings for each implementation … and stipulate a review of configuration rule sets at least every six months.” K3 ☑
2 Cyber Essentials: gelen her firewall kuralı yetkili kişi tarafından onaylanır ve iş ihtiyacıyla belgelenir; gereksiz kurallar kaldırılır; sınır firewall’unun yönetim arayüzü internetten erişilemez (belgeli ihtiyaç + MFA ya da IP izin listesi) NCSC “Cyber Essentials: Requirements for IT infrastructure v3.2” PDF s.15: “ensure inbound firewall rules are approved and documented by an authorised person, and include the business need in the documentation”; “remove or disable unnecessary firewall rules, when they are no longer needed”; “prevent access to the administrative interface … from the internet, unless there is a clear and documented business need, and the interface is protected by one of the following controls: multi-factor authentication … an IP allow list” K3 ☑
3 NIST SP 800-53: ağ trafiği varsayılan olarak reddedilir, istisnayla izin verilir NIST SP 800-53 Rev. 5 PDF s.325, SC-7(5): “Deny network communications traffic by default and allow network communications traffic by exception” K3 ☑
4 CISA BOD 23-02: internete açık yönetim arayüzleri (RDP, SSH dahil) tespitten 14 gün içinde iç ağa alınır ya da zero-trust erişim kontrolü arkasına konur (federal sivil kurumlar) cisa.gov/news-events/directives/binding-operational-directive-23-02 (2026-10-30) K3 ☑
5 CISA CPG 2.W: public internetteki varlıklar RDP gibi istismar edilebilir servis açmaz; açılması zorunluysa telafi edici kontroller CISA CPG v1.0.1 raporu PDF s.17: “Assets on the public internet expose no exploitable services, such as remote desktop protocol. Where these services must be exposed, appropriate compensating controls are implemented…” K3 ☑
6 CIS Controls v8: dışa açık varlıklar en az aylık otomatik zafiyet taramasından geçer (7.6) cas.docs.cisecurity.org/en/latest/source/Controls7/ (2026-10-30) K3 ☑
7 “Rules outlive their reason” / kullanılmayan kuralı önce kapat, sonra sil Yorum / pratik tavsiye (rakam yok) yorum ☑

B6. Bilgi kazancı — ilk 3 sonuçta olmayan ne söylüyoruz?

Mevcut kontrol listeleri (öneri verisinden çıkarım; SERP gözlenmedi) kural setini içeriden okur. Bu yazı dışarıdan başlar: dış tarama listesi ile kural setini karşılaştırmak, “kural var ama erişilen yok” ve “erişilen var ama kural yok” iki durumunu ortaya çıkarır; ve her kuralın gerekçesini EASM envanterindeki asset purpose satırıyla aynı satır olarak kurar. Ayrıca “gerekli ≠ internete açık” ayrımını kuralın soruları arasına koyar.

B7. LLM’e aktarılacak olgular

  1. Her gelen firewall kuralı bir dış açıklıktır; gözden geçirme dış tarama listesiyle karşılaştırılarak yapılır.
  2. Her kural için kayıt: ne, neden internete açık, kim onayladı, kim sorumlu, ne zamana kadar.
  3. Sıklık en az altı ayda bir (PCI); yönetim arayüzleri internete açılmaz ya da MFA/izin listesiyle korunur (Cyber Essentials, CISA BOD 23-02).

B8. Sayfa iskeleti

  1. Giriş — kurallar gerekçesini aşar; saldırgan kuralı değil izin verdiğini görür; yazının vaadi.
  2. Why rules outlive their reason
  3. Start from the outside — dış liste × kural seti; üç durum
  4. The 12 questions for every inbound rule
  5. The review record — tablo şablonu + örnek satır
  6. How often
  7. Where Vulmon Recon fits — kısa; yöntem sayfasına ve denemeye link
  8. Related posts

B9. Görsel / tablo kararı

  • Karar: ☑ tablo (kayıt şablonu) · görsel: images/posts/firewall-rule-review.png — mevcut Recon yazılarının tipografik kart kalıbı (koyu zemin, teal etiket, başlık + alt başlık, nokta deseni), 1600×900. KK 2026-10-30: iki prototip arasından (sade kart / kart + “inbound rules” motifi) sade kart seçildi. Kalıp tools/cover/cover.html + tools/cover/render.mjs (headless Chrome, playwright-core) ile üretildi; sonraki yazılar başlık ve alt başlığı değiştirip aynı betiği çalıştırır.
  • Gerekçe: kontrol listesi ve şablon tablodan okunur; Google ve LLM tabloyu çıkarır, görseli çıkaramaz.
  • Gelen: blog ana sayfası ve Vulmon Recon kategorisi (otomatik); ileride recon yöntem sayfasının firewall bölümünden bu yazıya link (recon tarafında ayrı commit). what-a-vulnerability-scanner-cannot-see yazısına “Related” satırı eklenmedi (yayınlanmış yazıya dokunulmadı; istenirse eklenir).
  • Giden: recon /how-to-reduce-your-external-attack-surface (yöntem), /start-trial (deneme), related: scanner-cannot-see, introducing-vulmon-recon. UTM: utm_source=blog.vulmon.com&utm_medium=internal&utm_campaign=post_firewall_rule_review.

C — Yayın sonrası

C1. Çürüme

İddia / bölüm Ne zaman bayatlar Tekrar bakılacak
Cyber Essentials v3.2 alıntıları yeni sürümde (NCSC yıllık güncelliyor) 12 ay
PCI altı ay (v3.2.1 dili) PCI v4 ifadesi değişirse (1.2.7) 12 ay
BOD 23-02 / CPG 2.W CISA güncellerse (CPG 2.0 yayında, numara değişmiş olabilir) 12 ay
Ürün paragrafı ürün değişince ilgili commit

C2. Ölçüm

  • Hangi sayı: GSC blog property’de bu URL’nin “firewall rule review …” sorgularında gösterimi ve ilk tık; recon GA4’te post_firewall_rule_review kampanyasından oturum ve qualify_lead.
  • İlk bakış: yayından 4-6 hafta sonra (python araclar/ozet.py --sorgular blog.vulmon.com).
  • Taban çizgisi: blog 174 gösterim / 0 tık (90 gün, 2026-10-11 çekimi).