Şirket Ortamında Web Filter Kullanımı: Çalışan İnternet Erişimi Nasıl Kontrol Altına Alınır?

Günümüzde şirket çalışanlarının büyük bir bölümü iş saatlerinin önemli bir kısmını internet üzerinde geçiriyor. Sosyal medya, alışveriş siteleri, video platformları ve zararlı içerikler hem verimlilik kaybına hem de ciddi güvenlik risklerine yol açabiliyor.

Bu nedenle birçok kurum, çalışanların internet erişimini kontrollü ve denetlenebilir hale getirmek için firewall üzerindeki Web Filter mekanizmalarını aktif olarak kullanıyor.

Bu makalede FortiGate Firewall üzerinde:

• Web Filter’ın ne olduğu
• Firewall kurallarında neden aktif edilmesi gerektiği
• Şirket kullanıcılarının internete çıkışlarının nasıl kısıtlandığı
• Yönetici (istisna) kullanıcılar için ayrı bir Web Filter politikasının nasıl oluşturulduğu

Bu yazıda FortiGate üzerindeki gerçek ayarları ve ekran görüntülerini kullanarak süreci detaylı şekilde anlatıyorum.

Web Filter Nedir?

Web Filter, firewall üzerinden geçen HTTP/HTTPS trafiğini analiz ederek:

• Belirli web site kategorilerini
• Tanımlı URL’leri
• Zararlı veya uygunsuz içerikleri

izin verme, izleme (monitor) veya engelleme (block) işlemlerine tabi tutan bir güvenlik mekanizmasıdır.

FortiGate Web Filter sayesinde:

• Sosyal medya
• Alkol, uyuşturucu, illegal içerikler
• Kumar, yetişkin içerikleri
• Zaman kaybına neden olan siteler

kontrol altına alınabilir.

Firewall Kurallarında Web Filter Neden Aktif Olmalıdır?

Firewall yalnızca “izin ver / engelle” mantığıyla çalıştığında:

• Kullanıcının hangi siteye girdiği
• İçeriğin zararlı olup olmadığı
• HTTPS trafiği içindeki davranışlar

görülemez.

Web Filter aktif edildiğinde:

• Trafik proxy-based olarak incelenir
• HTTPS dahil olmak üzere içerik denetlenir
• Kullanıcı bazlı veya grup bazlı politika uygulanabilir

Bu nedenle Web Filter her zaman ilgili internet çıkış kuralı üzer inde aktif edilmelidir

Şirket Çalışanlarının İnternet Erişiminin Kısıtlanması

Şirket yönetimi şu taleplerle gelir:

• Çalışanlar iş saatlerinde sosyal medya ve alışveriş sitelerinde fazla zaman geçiriyor
• Instagram, Facebook, TikTok, Sahibinden gibi siteler engellenecek
• Alkol, illegal ve zararlı kategoriler kapatılacak
• Ancak yönetici kullanıcı (sahip) bu kısıtlamalardan muaf olacak

Bu senaryo için iki ayrı Web Filter ve iki ayrı Firewall Policy oluşturulmuştur.

Internet Çıkış Firewall Policy’si (CLIENT → WAN)

Bu ekranda, şirket kullanıcılarının internete çıkışını sağlayan temel firewall policy yer almaktadır. Tüm internet trafiği bu kural üzerinden geçtiği için, web erişimlerinin kontrol altına alınmasında kritik bir rol oynar.

Policy, CLIENT (Vlan_100) arayüzünden gelen trafiğin WAN arayüzü üzerinden internete çıkmasına izin verecek şekilde yapılandırılmıştır. Kaynak olarak şirket kullanıcı grupları tanımlanmış, hedef taraf ise tüm internet trafiğini kapsayacak şekilde all olarak bırakılmıştır.

Aksiyon ACCEPT olarak ayarlanmış olsa da, erişim tamamen serbest değildir. Asıl kontrol bu noktada devreye giren Security Profiles üzerinden sağlanmaktadır.

Bu policy üzerinde:

• Antivirus
• Web Filter
• IPS
• SSL Inspection

profilleri aktif edilmiştir. Böylece kullanıcılar internete çıkarken hem zararlı içeriklere karşı korunmakta hem de web erişimleri içerik bazlı olarak denetlenmektedir.

Inspection Mode’un Proxy-based olarak seçilmesinin nedeni, Web Filter ve SSL Inspection’ın HTTPS trafiği dahil olmak üzere doğru şekilde çalışmasını sağlamaktır. Bu sayede sosyal medya, alışveriş ve iş dışı sitelere yönelik kısıtlamalar etkin hale gelir.

Özetle bu kural, kullanıcıların internete çıkmasına izin verirken, internet kullanımını kontrol altına alan tüm güvenlik mekanizmalarının çalıştığı ana noktayı temsil etmektedir.

1. Standart Kullanıcılar İçin Internet Çıkış Policy Oluşturulması

Firewall Policy Yapılandırması

İlk ekran görüntüsünde görüldüğü gibi standart çalışanlar için bir internet çıkış kuralı oluşturulmuştur:

• Incoming Interface: CLIENT (Vlan_***)
• Outgoing Interface: wan
• Source: Çalışan kullanıcı grupları
• Destination: all
• Service: ALL
• Action: ACCEPT
• Inspection Mode: Proxy-based

Proxy-based seçilmesinin sebebi Web Filter ve SSL Inspection’ın tam çalışmasını sağlamaktır.

Güvenlik Profilleri

Bu policy üzerinde aşağıdaki güvenlik profilleri aktiftir:

• Antivirus
• Web Filter
• IPS
• SSL Inspection

Bu sayede:

• Zararlı dosyalar engellenir
• Web siteleri kategorilere göre kontrol edilir
• HTTPS trafiği analiz edilir

2. Standart Kullanıcılar İçin Web Filter Profili

İkinci ekran görüntüsünde WEBFILTER isimli profil görülmektedir.

Kategori Bazlı Engellemeler

Bu profilde:

• Potentially Liable kategorisi (Alkol, Uyuşturucu, Hacking vb.) → Block
• Tanımlı remote ve local kategoriler → Block
• Sadece gerekli iş siteleri → Allow / Monitor

Static URL Filter

Ayrıca doğrudan engellenmesi istenen siteler URL bazlı eklenmiştir:

• facebook.com
• instagram.com
• tiktok.com
• youtube.com
• sahibinden.com

Bu sayede kullanıcı:

• VPN kullansa bile
• Kategori dışı kaçış yapsa bile

URL seviyesinde engellenir.

3. Yönetici Kullanıcılar (Sahipler) İçin Ayrı Policy Oluşturulması

Şirket sahipleri için ayrı bir firewall policy tanımlanmıştır (üçüncü ekran görüntüsü).

Bu Policy’nin Farkı Nedir?

• Source: Sadece yönetici kullanıcılar
• Incoming Interface: CLIENT (Vlan_***)
• Outgoing Interface: wan
• Inspection Mode: Proxy-based
• Action: ACCEPT

Ancak burada kullanılan Web Filter profili farklıdır.

4. Yönetici Kullanıcılar İçin Özel Web Filter (ADMIN_WEBFILTER)

Dördüncü ekran görüntüsünde ADMIN_WEBFILTER profili görülmektedir.

Bu profilde:

• Sosyal medya ve alışveriş siteleri → Monitor
• Illegal ve kritik kategoriler → Monitor veya Block
• İş akışını bozmayacak şekilde minimum kısıtlama uygulanır

Amaç:

• Sahiplerin özgür internet erişimi
• Aynı zamanda güvenlik kayıtlarının tutulması

Sonuç

Bu yapı sayesinde:

• Çalışanların internet kullanımı kontrol altına alındı
• Verimlilik kaybı azaltıldı
• Zararlı ve uygunsuz içeriklere erişim engellendi
• Yönetici kullanıcılar için istisnai ve esnek bir yapı sağlandı
• Tüm trafik loglanabilir hale geldi

Web Filter, doğru tasarlandığında yalnızca bir kısıtlama aracı değil, aynı zamanda kurumsal güvenlik ve verimlilik kontrol mekanizmasıdır