Sıfır Güven (Zero Trust) Mimarisine Giriş

Geleneksel ağ güvenliği, bir kale ve hendek modeline benzer: Dışarısı tehlikeli, içerisi güvenli. Güvenlik duvarı hendeği, VPN ise köprüyü oluşturur. İçeri girdikten sonra ise çoğu sisteme serbestçe ulaşılır. Bulut hizmetleri, uzaktan çalışma, kişisel cihazlar ve tedarikçi bağlantıları yaygınlaştıkça bu model eskidi: "İçeride" olanın tam olarak nerede olduğu belirsizleşti ve saldırganlar içeri girdiklerinde fazla engelle karşılaşmıyor.

Sıfır Güven (Zero Trust) bu varsayımı tersine çevirir: Ağda olmak, güvenilir olmak anlamına gelmez. Her erişim isteği, kim istediğine, hangi cihazdan, hangi koşullarda geldiğine bakılarak, her seferinde değerlendirilir.

Temel ilkeler

Sıfır Güven için en çok başvurulan çerçeve, ABD'nin standart kurumu NIST'in SP 800-207 yayınıdır. Ana fikirleri şöyle özetlenebilir:

1. Asla güvenme, her zaman doğrula. Kullanıcının ya da cihazın ağın içinde olması tek başına erişim sebebi değildir. Kimlik, cihaz durumu ve bağlam kontrol edilir.

2. İhlal olduğunu varsay. Tasarım, "saldırgan bir noktada içeri girecek" kabulüyle yapılır. Soru "nasıl girmesin?" kadar "girerse ne kadar ilerleyebilir?" sorusudur.

3. En az yetki. Kullanıcılara ve sistemlere yalnızca işlerini yapmaları için gereken en dar erişim verilir, mümkünse yalnızca gereken süre boyunca (anlık yetkilendirme).

4. Kaynak odaklı erişim. Ağa geniş erişim yerine, belirli bir uygulamaya ya da veriye erişim verilir. "VPN'e bağlandı, her şeyi görebilir" modelinden "bu uygulamaya, bu kullanıcı, bu cihazdan" modeline geçilir.

5. Sürekli değerlendirme. Erişim bir kez verilip unutulmaz. Cihazın güvenlik durumu bozulursa, konum olağandışı hale gelirse ya da davranış şüpheli olursa oturum kısıtlanabilir.

Mimarinin parçaları

Çerçevelerde genellikle şu bileşenler karşımıza çıkar:

• Kimlik (Identity): Güçlü kimlik doğrulama, çok faktörlü doğrulama, merkezi kimlik sağlayıcı ve tek oturum açma. Sıfır Güven'in temelidir, çünkü kararlar önce "kim?" sorusuna dayanır.
• Cihaz (Device): Cihazın yönetilip yönetilmediği, güncel olup olmadığı, disk şifrelemesi, güvenlik yazılımı gibi durum bilgisi.
• Ağ (Network): Mikro bölümleme ile ağı küçük bölgelere ayırmak, uygulama bazlı erişim sağlayan aracılar, şifreli trafik.
• Uygulama ve iş yükü: Uygulamaya erişimin kimlik ve bağlama göre sınırlandırılması, API güvenliği.
• Veri: Verinin sınıflandırılması, şifrelenmesi ve erişimin veri düzeyinde kontrolü.
• Görünürlük ve otomasyon: Tüm bu katmanlardan günlük toplamak, anormallikleri tespit etmek ve tepkiyi otomatikleştirmek.

Mantıksal olarak sistemin merkezinde bir politika karar noktası (erişim isteğini değerlendirir) ve bir politika uygulama noktası (kararı uygular, yani engeller ya da izin verir) bulunur.

Geleneksel çevre güvenliğinden farkı

Konu	Geleneksel model	Sıfır Güven
Güven kaynağı	Ağ konumu (içeride olmak)	Kimlik, cihaz durumu, bağlam
Erişim kapsamı	Ağa geniş erişim	Uygulama/veri bazlı dar erişim
Doğrulama	Girişte bir kez	Sürekli
Saldırgan içerideyse	Yatay hareket kolay	Yatay hareket zorlaştırılır
Uzak çalışan	VPN ile ağa dahil edilir	Aynı politikalarla doğrudan uygulamaya erişir

Yaygın yanlış anlamalar

• "Sıfır Güven bir ürün." Hayır. Tek bir ürünle "Sıfır Güven'e geçilmez." Satıcılar farklı bileşenleri sunar; mimari ise bir yaklaşım ve süreç meselesidir.
• "Hiçbir şeye güvenmiyoruz, her şey yavaşlar." İyi tasarlandığında kullanıcı deneyimi çoğu zaman iyileşir, çünkü sık VPN bağlantıları yerine uygulamaya doğrudan erişim gelir. Sürtünme, risk tabanlı kararlarla yalnızca gerektiğinde artar.
• "Yalnızca büyük kurumlar için." Küçük kurumlar da temel ilkeleri uygulayabilir: her yerde MFA, en az yetki, yönetilen cihazlar ve bulut kimlik sağlayıcısıyla uygulama erişimi.
• "Güvenlik duvarına artık gerek yok." Yoktur denemez. Ağ kontrolleri hâlâ bir katmandır; Sıfır Güven onları tek güven kaynağı olmaktan çıkarır.

Kademeli geçiş için gerçekçi yol haritası

Her şeyi bir seferde değiştirmek mümkün değil. Pratik bir sıra:

1. Neyi koruduğunuzu bilin. Kritik uygulama, veri ve hizmetlerin envanterini çıkarın. Kim neye, nasıl erişiyor?
2. Kimlikle başlayın. Merkezi kimlik sağlayıcı, tüm kullanıcılar için MFA, ayrıcalıklı hesaplar için güçlü doğrulama (mümkünse oltalamaya dayanıklı). Eski, artık kullanılmayan hesapları temizleyin.
3. Cihazları yönetin. Kurumsal erişim için cihazın yönetilir ve güncel olması koşulunu getirin.
4. En kritik uygulamalardan başlayarak uygulama bazlı erişim kurun. VPN'e bağımlılığı azaltın, en önemli sistemlere "kim, hangi cihazdan, hangi koşulda" politikası tanımlayın.
5. Bölümleyin. Önce yönetim arayüzlerini, yedekleme sistemlerini ve veritabanlarını ayırın. Ardından iş yükleri arasında izinli trafiği tanımlayın.
6. Görünürlük ve tespit. Kimlik, cihaz, ağ ve uygulama günlüklerini birleştirin; olağandışı davranış için uyarı kurun.
7. Ölçün ve tekrarlayın. CISA'nın Sıfır Güven Olgunluk Modeli gibi çerçeveler, mevcut durumu değerlendirmek ve sırada neyin geldiğini görmek için kullanışlıdır.

Sıfır Güven ve fidye yazılımı

Bu yaklaşım, fidye yazılımı saldırılarında özellikle işe yarar: İlk makine ele geçirilse bile en az yetki, bölümleme ve sürekli doğrulama saldırganın yayılmasını sınırlar. Fidye yazılımına karşı pratik önlemleri kurumsal savunma stratejileri yazımızda bulabilirsiniz.

Özet

Sıfır Güven, "kimseye güvenme" paranoyası değil; güveni konumdan değil, doğrulanmış kimlik ve bağlamdan türetmektir. Bir gecede kurulmaz, ama kimlikten başlayıp kritik uygulamalara doğru genişleyen küçük adımlarla, bir kurumun saldırı karşısındaki dayanıklılığını belirgin biçimde artırır.