Tam zamanında erişim, ayrıcalıklı yetkilerin kalıcı değil yalnızca gerektiğinde ve sınırlı süreyle verildiği bir yaklaşımdır. Geleneksel modelde, ayrıcalıklı yetkiler kullanıcılara sürekli olarak verilir ve bu yetkiler her zaman kötüye kullanılmaya açıktır. Bu yaklaşım ise yetkileri yalnızca ihtiyaç anında sağlar ve iş bittiğinde geri alır. Böylece ayrıcalıklı yetkilerin açık olduğu süre en aza indirilir. Bu daralma, saldırı fırsatını belirgin biçimde azaltır.

Yaklaşımın değeri, kalıcı ayrıcalıkların oluşturduğu riski ortadan kaldırmasından gelir. Sürekli açık olan ayrıcalıklı yetkiler, bir hesap ele geçirildiğinde anında kötüye kullanılabilir. Bu yaklaşımda ise yetkiler çoğu zaman kapalı olduğu için, bu fırsat büyük ölçüde daralır. Yetkiler yalnızca kısa bir pencerede açık olur. Bu geçicilik, ayrıcalıklı erişim güvenliğini önemli ölçüde güçlendirir.

Tam Zamanında Erişim Nedir?

Tam zamanında erişim, ayrıcalıklı yetkilerin kalıcı olarak değil, yalnızca ihtiyaç anında, onaya bağlı ve sınırlı süreyle verilip iş bitince geri alındığı bir erişim yaklaşımıdır.

Yaklaşım, ayrıcalıklı yetkileri varsayılan olarak kapalı tutar. Bir kullanıcı, ayrıcalıklı bir yetkiye ihtiyaç duyduğunda bunu talep eder. Talep, çoğu zaman bir onay sürecinden geçer ve gerekçe belgelenir. Onaylandığında, yetki sınırlı bir süre için verilir. Süre dolduğunda, yetki otomatik olarak geri alınır.

Neden Önemlidir?

Yaklaşımın en önemli değeri, ayrıcalıklı saldırı yüzeyini daraltmasıdır. Kalıcı ayrıcalıklar, saldırganlar için sürekli açık hedeflerdir. Bu yaklaşım, ayrıcalıkların çoğu zaman kapalı olmasını sağlayarak bu hedefleri azaltır. Ayrıcalıklı erişim yönetimi kapsamında bu yaklaşım, önemli bir savunma sağlar. Yüzeyin daralması, saldırı olasılığını doğrudan azaltır.

İkinci değer, hesap verebilirliği artırmasıdır. Her ayrıcalıklı erişim talebi, gerekçesiyle birlikte kaydedilir. Bu kayıt, ayrıcalıklı erişimlerin denetlenebilir olmasını sağlar. Kim, ne zaman ve neden ayrıcalıklı erişim kullandığı açıkça görülür. En az yetki ilkesi, bu yaklaşımla zaman boyutunda da uygulanır.

• Ayrıcalıklı yetkilerin varsayılan olarak kapalı olması
• Yetkilerin ihtiyaç anında ve onaya bağlı verilmesi
• Yetkilerin sınırlı süreyle sağlanması
• Süre dolunca otomatik geri alma
• Her talebin gerekçesiyle kaydedilmesi

Nasıl Uygulanır?

Uygulama, ayrıcalıklı yetkilerin talep tabanlı hâle getirilmesiyle başlar. Kullanıcılar, ihtiyaç duyduklarında yetki talep eder ve bu talep değerlendirilir. Onay süreci, yetkinin gerçekten gerekli olduğunu doğrular. Yüksek riskli yetkiler için, ek onay adımları eklenebilir. Bu süreç, ayrıcalıklı erişimin bilinçli biçimde verilmesini sağlar.

Yetkinin süresi, iş ihtiyacına göre belirlenmelidir. Çok kısa bir süre kullanıcıyı zorlarken, çok uzun bir süre koruma değerini azaltır. Bu nedenle süre, dengeli biçimde ayarlanmalıdır. Süre dolduğunda, yetki otomatik ve güvenilir biçimde geri alınmalıdır. Otomatik geri alma, yaklaşımın etkinliğinin temelidir.

Uygulama, izleme ve denetimle desteklenmelidir. Ayrıcalıklı erişim talepleri ve kullanımları, sürekli izlenmelidir. Olağandışı talepler ya da kullanım desenleri, bir tehdidin işareti olabilir. Log yönetimi altyapısı, bu izlemeyi destekler. Sürekli izleme, yaklaşımın güvenlik değerini pekiştirir.

Geleneksel Modelden Farkı

Geleneksel ayrıcalıklı erişim modeli, kalıcı yetkilere dayanır. Kullanıcılar, ayrıcalıklı görevleri için sürekli açık yetkilere sahip olur. Bu kalıcı yetkiler, çoğu zamanın büyük bölümünde kullanılmadan durur ama sürekli risk oluşturur. Bu yaklaşım ise yetkileri yalnızca kullanıldıkları anda açar. Bu fark, ayrıcalıklı yetkilerin risk penceresini köklü biçimde değiştirir.

Bu değişim, saldırganın fırsat penceresini doğrudan etkiler. Kalıcı yetki modelinde, ele geçirilen bir hesap anında ayrıcalıklı erişime sahip olur. Bu yaklaşımda ise ele geçirilen hesap, yetki açık olmadığı sürece ayrıcalıklı erişimden yararlanamaz. Saldırgan, ayrıca yetki talebini ve onayını da aşmak zorunda kalır. Bu ek engeller, saldırıyı belirgin biçimde zorlaştırır.

Bu fark, güvenlik felsefesindeki bir değişimi de yansıtır. Kalıcı yetkiler, güvenin bir kez verilip sürdürüldüğü bir modele dayanır. Bu yaklaşım ise güvenin her seferinde yeniden değerlendirildiği bir modeli benimser. Sıfır güven mimarisi, bu sürekli değerlendirme felsefesiyle uyumludur. Bu yaklaşım, sıfır güven ilkelerinin ayrıcalıklı erişime uygulanmasıdır.

Onay Süreçleri

Onay süreçleri, bu yaklaşımın güvenlik değerini artıran önemli bir bileşendir. Bir ayrıcalıklı yetki talebi, otomatik ya da manuel bir onaydan geçebilir. Bu onay, yetkinin gerçekten gerekli olduğunu doğrular. Yüksek riskli yetkiler için, birden çok onay adımı eklenebilir. Onay süreçleri, ayrıcalıklı erişimin bilinçli ve hesap verebilir biçimde verilmesini sağlar.

Onay süreçlerinin dengeli tasarlanması gerekir. Çok karmaşık onaylar, iş akışını yavaşlatarak dirençle karşılaşabilir. Çok gevşek onaylar ise yeterli denetim sağlamaz. Bu nedenle onaylar, riskle orantılı biçimde tasarlanmalıdır. Dengeli onaylar, hem güvenliği hem verimliliği korur.

Acil durum erişimi de dikkatle planlanmalıdır. Bazı durumlarda, onay sürecini bekleyecek zaman olmayabilir. Bu tür acil senaryolar için, hızlı ama denetlenebilir bir erişim yolu tanımlanmalıdır. Bu acil erişim, sonradan mutlaka incelenmelidir. Planlı acil erişim, hem esneklik hem hesap verebilirlik sağlar.

Uygulama Kapsamı

Bu yaklaşım, çeşitli ayrıcalıklı erişim türlerine uygulanabilir. Sunucu yönetimi, veri tabanı erişimi ve bulut kaynakları bu kapsamdadır. Her tür, kendi bağlamına uygun biçimde ele alınmalıdır. Bu geniş uygulanabilirlik, yaklaşımı çok yönlü bir savunma aracı yapar. Kapsamlı uygulama, ayrıcalıklı erişim yüzeyini bütünsel biçimde daraltır.

Bulut ortamları, bu yaklaşım için özellikle uygundur. Bulut kaynaklarına erişim, çoğu zaman zaten dinamik ve otomatiktir. Bu yapı, tam zamanında erişimin doğal biçimde uygulanmasını sağlar. Bulut kimlik sistemleri, çoğu zaman bu yaklaşımı yerleşik olarak destekler. Bu uyum, bulut ortamlarında yaklaşımın benimsenmesini kolaylaştırır.

Kademeli uygulama, en yüksek riskli erişimlerden başlar. En kritik ayrıcalıklı yetkiler önce bu modele geçirilir. Deneyim biriktikçe kapsam genişletilir. Bu kademeli yaklaşım, dönüşümün yönetilebilir ölçekte ilerlemesini sağlar. Öncelikli uygulama, en yüksek riskleri önce ele alır.

Privia Security olarak ayrıcalıklı erişim yönetimi ve geçici erişim yaklaşımlarının değerlendirilmesini altyapı ve mimari gözden geçirme kapsamında ele alıyoruz.