Bulutta sır yönetimi, uygulamaların çalışmak için ihtiyaç duyduğu parolaları, API anahtarlarını, veritabanı kimlik bilgilerini ve token’ları güvenli biçimde saklama, dağıtma ve yenileme disiplinidir. Bu sırlar kaynak koduna gömüldüğünde ya da yapılandırma dosyalarında düz metin durduğunda, tek bir depo sızıntısı tüm ortamın anahtarlarını saldırganın eline verir.

Bir sır, yalnızca saklandığı yer kadar değil, ona kimin, ne zaman ve hangi koşulda ulaşabildiği kadar da gizlidir.

Sır Deposu Ne Yapar?

Özel bir sır deposu (AWS Secrets Manager, Azure Key Vault veya HashiCorp Vault gibi), sırları şifreli halde merkezî bir yerde tutar ve uygulamalara ancak yetkilendirilmiş bir istek geldiğinde teslim eder. Sır artık kodda değil, çalışma anında bellekten okunan bir referanstadır. Her erişim kaydedilir; böylece bir kimlik bilgisine hangi servisin, ne zaman ulaştığı geriye dönük izlenebilir. Deponun erişim politikaları en az yetki ilkesi üzerine kurulur: bir servis yalnızca kendi işine yarayan sırrı okuyabilir, komşusununkini göremez.

Sırların saklanmasını mümkün kılan şifreleme, çoğunlukla ayrı bir anahtar yönetim katmanına dayanır. Sır deposundaki verinin kendisi bir ana anahtarla şifrelenir ve bu ana anahtarların üretimi, saklanması ve döndürülmesi bulutta anahtar yönetimi servisinin işidir; sır yönetimi ile anahtar yönetimi bu noktada iç içe geçer.

Döndürme ve Kısa Ömürlü Sırlar

Statik bir parolanın en büyük zaafı, sızdığında ne zaman değiştirileceğinin belirsiz olmasıdır. Düzenli döndürme, sırların otomatik olarak belirli aralıklarla yenilenmesini ve eskisinin geçersiz kılınmasını sağlar. Daha ileri modelde uygulama hiç kalıcı parola tutmaz; depo, yalnızca dakikalarca geçerli, kullanıldıktan sonra ölen dinamik sırlar üretir. Böyle bir sır sızsa bile saldırganın elindeyken çoktan geçersizleşmiş olur. Bu mantık, sırrın oluşturulmasından imhasına kadar tüm evreleri kapsayan şifreleme anahtarı yaşam döngüsü yaklaşımının sırlara uyarlanmış halidir.

İş Yüküne Güvenli İletim

Sırrın depoda güvenli durması, uygulamaya güvenli ulaştığı anlamına gelmez. Sır çalışma anında bir ortam değişkeni veya bağlanmış bir birim üzerinden iş yüküne aktarılır ve bu aktarımın da şifreli ve yetkili olması gerekir. Konteyner ve sunucusuz iş yüklerinin çalışma zamanını izleyen bulut iş yükü koruma platformu, bir sürecin beklenmedik biçimde sır okumaya çalışmasını da bir anomali olarak yakalayabilir.

Kurumsal Karşılık

Sır yönetimini düzene sokmadan büyüyen bir ortamda, sırlar zamanla kod depolarına, betiklere ve eski yapılandırmalara dağılır; bunları geri toplamak her geçen ay zorlaşır. Erken kurulan merkezî bir düzen, bu dağılmayı baştan önler. Privia Security’nin altyapı ve mimari gözden geçirme hizmeti, sırların nerede ve nasıl saklandığını haritalayıp güvenli bir yönetim modeline geçişi kurmak için yürütülür.