Hızlı cevap: Sıfır güven (Zero Trust), "asla güvenme, her zaman doğrula" ilkesine dayanan bir güvenlik mimarisidir. Klasik yaklaşım, ağın içindeki her şeye güvenir ve dışarıya duvar örer; sıfır güven ise ağın içinde ya da dışında olması fark etmeksizin hiçbir kullanıcıya ya da cihaza otomatik güvenmez, her erişim talebini ayrı ayrı doğrular. Temel ilkeleri şunlardır: her erişimi kimlik ve cihaz durumuna göre doğrula, en az yetki ver, bir ihlal olduğunu varsay ve buna göre tasarla. Bu yaklaşım, bir saldırgan içeri girse bile serbestçe yayılmasını engeller, çünkü içeride de her adımda yeniden doğrulama gerekir. Sıfır güven tek bir ürün değil, bir stratejidir; kimlik yönetimi, cihaz güvenliği, ağ segmentasyonu ve sürekli izlemenin birlikte çalışmasıyla kurulur.

İlgili rehber: Sıfır Güven (Zero Trust) Mimarisi: Asla Güvenme, Hep Doğrula

Uzun yıllar boyunca güvenlik, bir kale gibi düşünüldü: dışarıya yüksek duvarlar ör, içerisi güvenli bölge olsun. Ama uzaktan çalışma, bulut hizmetleri ve mobil cihazlar bu modeli çökertti; artık net bir "içerisi" ve "dışarısı" yok. Bir çalışan evden, bir bulut sunucusundan ya da telefonundan bağlanıyor. İşte sıfır güven, bu yeni gerçekliğe göre tasarlanmış bir güvenlik yaklaşımıdır. Bu yazı, sıfır güvenin ne olduğunu, temel ilkelerini ve nasıl kurulduğunu anlatıyor.

Neden klasik model artık yetmiyor

Klasik güvenlik modeli, bir güven sınırına dayanır: ağın içi güvenli, dışı tehlikeli. Bu modelin zayıflığı, bir saldırgan bir kez içeri girdiğinde ortaya çıkar; çünkü içeride her şeye güvenildiği için, saldırgan serbestçe yayılabilir. Bu tam olarak yetki yükseltme ve yanal hareket yazısında anlattığımız senaryodur. Üstelik bugün net bir "iç" bile yok; veriler bulutta, çalışanlar evde, cihazlar her yerde. Güven sınırı buharlaştı.

Üç temel ilke

Sıfır güven, üç basit ama güçlü ilkeye dayanır.

İlke Anlamı
Açıkça doğrula Her erişimi kimlik, cihaz ve bağlama göre doğrula
En az yetki ver Her kullanıcıya yalnızca gereken erişimi ver
İhlali varsay Bir saldırganın zaten içeride olduğunu düşünerek tasarla

Birinci ilke, hiçbir erişimin otomatik güvenilmemesi anlamına gelir; ağın içinden bile gelse, her talep kim, hangi cihaz, hangi bağlamda sorusuyla doğrulanır. İkinci ilke, bir hesap ele geçse bile hasarı sınırlar. Üçüncü ilke ise savunmayı "içeri girilemez" varsayımı yerine "girildiğinde yayılma durur" ilkesi üzerine kurar; bu, assumed breach yaklaşımının da temelidir.

Sıfır güven nasıl kurulur

Sıfır güven satın alınacak tek bir ürün değil, birçok parçanın birlikte çalıştığı bir stratejidir. Temeli güçlü kimlik yönetimidir: her kullanıcı doğrulanır, tercihen iki adımlı doğrulama ve geçiş anahtarıyla. Cihaz güvenliği eklenir: erişen cihazın güncel ve güvenli olup olmadığı kontrol edilir. Ağ, küçük bölmelere ayrılır (mikro segmentasyon) ki bir bölge ele geçse bile diğerlerine yayılmasın. Ve her şey sürekli izlenir; anormal davranış anında yakalanır. Uzaktan erişimi bu ilkelerle kurmanın yolunu VPN güvenliği ve ZTNA yazısında ele aldık.

Kademeli geçiş

Sıfır güvene geçiş bir gecede olmaz; bu bir yolculuktur. Çoğu kurum, en kritik varlıklardan ve en yüksek riskli erişimlerden başlar. Önce güçlü kimlik doğrulama ve en az yetki ilkesi hayata geçirilir, sonra cihaz kontrolleri ve segmentasyon eklenir. Amacı bir anda her şeyi değiştirmek değil, güven sınırını adım adım daraltmaktır. Bu yolculuğu bir bilgi güvenliği ve ISO 27001 danışmanlığı çerçevesi düzene sokar.

KAOS ve DSET yaklaşımı

DSET, kurumların sıfır güven yolculuğunda önceliklerini belirlemesine ve zayıf noktalarını görmesine yardım eder. Yerel yapay zekâ motorumuz KAOS, bir kurumun dış yüzeyini, aşırı geniş erişimlerini ve segmentasyon eksiklerini tarayarak sıfır güven ilkelerinin nerede zayıf olduğunu gösterir ve her bulguyu çalışan bir kanıtla raporlar. Amaç, güven sınırının nerede fazla geniş olduğunu ve bir saldırganın bundan nasıl yararlanabileceğini önceden görünür kılmaktır.

Sık sorulan sorular

Sıfır güven satın alınabilir bir ürün mü? Hayır. Sıfır güven bir ürün değil, bir stratejidir. Bazı ürünler sıfır güvenin belirli parçalarını (kimlik yönetimi, cihaz kontrolü, segmentasyon) sağlar ama tamamı, bunların birlikte ve doğru ilkelerle çalışmasıyla kurulur. Size "sıfır güveni kutudan çıkarır" diyen bir ürün, gerçeğin sadece bir parçasını sunar. Doğru yaklaşım, ilkeleri anlayıp kuruma özel bir strateji kurmaktır.

Küçük bir kurumum, sıfır güven benim için fazla mı? Fikir olarak hayır, ölçek olarak evet uyarlanabilir. Sıfır güvenin temel ilkeleri (her erişimi doğrula, en az yetki ver, ihlali varsay) her ölçekte geçerlidir ve çoğu ücretsiz ya da düşük maliyetli araçla başlanabilir. Küçük bir kurum tüm mimariyi bir anda kurmasa da, güçlü kimlik doğrulama ve en az yetki gibi ilkeleri hemen uygulayabilir. Önemli olan yönü doğru seçmektir.

Nereden başlamalıyım? Kimlikten. Sıfır güvenin temeli güçlü kimlik doğrulamadır; her kullanıcının iki adımlı doğrulama ile doğrulanması ilk ve en etkili adımdır. Ardından en az yetki ilkesini uygulayın: herkes yalnızca işi için gerekene erişsin. Bu ikisi, en yüksek etkiyi en düşük karmaşıklıkla sağlar; cihaz kontrolü ve segmentasyon sonraki adımlardır.

Kaynaklar

Kurumunuzun sıfır güven yolculuğunu planlamak ve önceliklerini belirlemek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan güvenlik mimarisi danışmanlığı sağlıyoruz.