Geleneksel güvenlik anlayışı, kurum ağını bir kale gibi görür: dışarısı tehlikeli, içerisi güvenlidir. Bulut uygulamaları, uzaktan çalışma ve tedarikçi erişimleri bu duvarı büyük ölçüde anlamsız hale getirdi. Zero Trust (sıfır güven), konumdan bağımsız olarak her erişim isteğini doğrulamayı esas alır.
Temel ilkeler
ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün NIST SP 800-207 yayını, Zero Trust'ı birkaç temel ilke etrafında tanımlar. Pratikte bunları şöyle özetleyebiliriz:
- Açıkça doğrula: Her erişim kararı kimlik, cihaz durumu, konum ve davranış gibi sinyallere göre verilir.
- En az yetki: Kullanıcı ve sistemler yalnızca ihtiyaç duydukları kaynaklara, ihtiyaç duydukları süre boyunca erişir.
- İhlali varsay: Saldırganın zaten içeride olabileceği varsayımıyla ağ bölümlenir, trafik şifrelenir ve sürekli izlenir.
Zero Trust bir ürün değil, bir yolculuktur
Piyasada "Zero Trust" etiketiyle satılan birçok ürün bulunuyor; ancak tek bir ürün satın alarak Zero Trust'a geçilmez. Mevcut yatırımlarınızın önemli bir kısmı bu mimarinin parçası olabilir. Aşağıdaki adımlar, çoğu kurum için mantıklı bir sıralama sunar.
Adım adım yol haritası
1. Kimliği güçlendirin
Tüm kullanıcılar, özellikle yöneticiler ve uzaktan erişim için çok faktörlü doğrulama (MFA) zorunlu olmalı. Mümkünse kimlik avına dayanıklı yöntemler (FIDO2 anahtarları, Windows Hello for Business, uygulama tabanlı onay) tercih edilmeli. Tek oturum açma (SSO) ile uygulamaları merkezi kimlik sağlayıcıya bağlayın.
2. Cihazları görünür ve yönetilebilir yapın
Kurumsal kaynaklara erişen her cihazın envantere kayıtlı, güncel ve EDR ile korunuyor olması gerekir. Koşullu erişim politikalarıyla uyumsuz cihazların erişimini kısıtlayın.
3. Ağı bölümlere ayırın
Kullanıcı, sunucu, yönetim, misafir ve IoT/OT cihazlarını ayrı segmentlere taşıyın; segmentler arası trafiği güvenlik duvarı politikalarıyla yalnızca gerekli olanla sınırlayın. Bu adım, fidye yazılımının yayılmasını önemli ölçüde yavaşlatır.
4. VPN yerine uygulama bazlı erişim (ZTNA)
Klasik VPN, bağlanan kullanıcıya genellikle tüm ağa erişim verir. ZTNA ise kullanıcıyı yalnızca yetkili olduğu uygulamaya bağlar ve her oturumda cihaz ile kimliği yeniden değerlendirir.
5. Ayrıcalıklı erişimi yönetin
Yönetici hesaplarını günlük hesaplardan ayırın, kalıcı yetkiler yerine ihtiyaç anında verilen ve süresi dolan yetkilere geçin, yönetici oturumlarını kayıt altına alın.
6. Görünürlük ve sürekli izleme
Kimlik, uç nokta, ağ ve bulut loglarını merkezi bir SIEM'de toplayın. Zero Trust kararlarının kalitesi, elinizdeki sinyallerin kalitesine bağlıdır.
Nereden başlamalı?
Her şeyi aynı anda yapmaya çalışmak yerine, en kritik varlıklarınızı ("koruma yüzeyi") belirleyip onlarla başlayın. Çoğu kurum için MFA ve yönetici hesaplarının korunması, en kısa sürede en büyük risk azaltımını sağlar.
Kısa kontrol listesi: Tüm kullanıcılarda MFA var mı? Yönetici hesapları ayrı mı? Kullanıcı ve sunucu ağları ayrık mı? VPN kullanıcıları tüm ağa mı erişiyor? Loglar merkezi olarak toplanıyor mu?
Mevcut durumunuzu Zero Trust ilkelerine göre değerlendirmek ve önceliklendirilmiş bir yol haritası çıkarmak için bizimle görüşün.