En az yetki ilkesi, bir kullanıcının, uygulamanın ya da servisin yalnızca görevini yerine getirmek için ihtiyaç duyduğu kadar yetkiye sahip olmasını öngörür. Fazladan verilen her hak, o hesap ele geçirildiğinde saldırganın kullanabileceği ek bir imkândır.

İlke basit görünür ama uygulaması kurumların en zorlandığı konulardan biridir. Yetki vermek kolay, geri almak zordur; iş aksatma korkusu nedeniyle çoğu ortamda haklar yalnızca birikir. Sonuçta yıllar içinde kimsenin neden verildiğini hatırlamadığı geniş yetkili hesaplar ortaya çıkar.

En Az Yetki İlkesi Nedir?

En az yetki ilkesi, her öznenin yalnızca belirli bir görevi tamamlamak için gereken asgari erişim hakkıyla ve yalnızca gereken süre boyunca çalıştırılması gerektiğini söyleyen temel güvenlik ilkesidir.

Tanımdaki iki sınır birlikte düşünülmelidir: kapsam ve süre. Bir yöneticinin kalıcı olarak tam yetkili olması yerine, ihtiyaç anında onaylı ve süreli yetki alması hem kapsamı hem süreyi daraltır. İlke yalnızca insan hesapları için değil, servis hesapları ve uygulama kimlikleri için de geçerlidir.

İlke Neden Bu Kadar Önemli?

Ele geçirilen bir hesabın kuruma verebileceği zarar, o hesabın yetkisiyle doğru orantılıdır. Dar yetkili bir kullanıcı hesabı saldırgana sınırlı bir alan açarken, alan yöneticisi yetkisine sahip bir hesap tüm ortamın anahtarını verir. Bu nedenle yetki yükseltme saldırı zincirinin en kritik adımıdır.

İlke aynı zamanda kazara hasarı da sınırlar. Yanlış komut çalıştıran bir yönetici, hatalı yapılandırma yayan bir otomasyon ya da yanlış klasörü silen bir kullanıcı, yetkisi darsa küçük bir olay yaratır. Güvenlik dışındaki en büyük faydası budur: operasyonel hataların yayılma alanını küçültür.

Yetki Şişmesi Nasıl Oluşur?

Yetki şişmesi (privilege creep), bir çalışanın kurum içinde görev değiştirdikçe eski yetkilerini korumasıyla oluşur. Departman değişikliğinde yeni haklar eklenir ama eskiler kaldırılmaz; birkaç yıl sonra ortaya, birbiriyle ilgisiz birçok sisteme erişebilen hesaplar çıkar.

• Görev değişikliğinde eski yetkilerin kaldırılmaması
• Proje için verilen geçici hakların kalıcılaşması
• “Sorun çıkmasın” diye gereğinden geniş rol atanması
• Grup üyeliklerinin iç içe geçmesiyle görünmeyen hak birikmesi
• Ayrılan personelin hesabının devre dışı bırakılmaması
• Servis hesaplarının kurulum kolaylığı için tam yetkiyle açılması

En Az Yetki Nasıl Uygulanır?

Uygulama, mevcut durumun görünür kılınmasıyla başlar. Kim hangi sisteme, hangi haklarla erişiyor sorusu yanıtlanmadan daraltma yapılamaz. Ardından haklar rollere bağlanır; kişiye özel hak vermek yerine görev tanımına karşılık gelen roller oluşturulur ve kişi role atanır.

Rol tabanlı yapı kurulduktan sonra ayrıcalıklı hesaplar ayrıştırılır. Yönetici, günlük işlerini standart bir hesapla yapar; yönetim işlemleri için ayrı ve izlenen bir hesap kullanır. Rol tabanlı erişim kontrolü ve ayrıcalıklı erişim yönetimi bu düzenin iki temel bileşenidir.

Tam zamanında yetkilendirme

Kalıcı yönetici hakkı yerine, ihtiyaç anında talep edilen ve belirli bir süre sonunda otomatik geri alınan yetki modeli giderek yaygınlaşmaktadır. Talep, gerekçe, onay ve süre kaydedildiği için hem yetki penceresi daralır hem de denetim izi oluşur.

Erişim gözden geçirme döngüsü

Yetkiler dönemsel olarak sahipleriyle birlikte gözden geçirilir. Erişim sertifikasyonu denilen bu süreçte her yöneticiden ekibinin haklarını onaylaması istenir. Onaylanmayan haklar kaldırılır. Sürecin işe yaraması için listelerin anlaşılır ve kısa olması gerekir; yüzlerce satırlık ham çıktı gerçekte okunmaz.

Uygulamalar ve Servis Hesapları

En az yetki yalnızca insanlar için değildir. Bir web uygulamasının veri tabanına yönetici yetkisiyle bağlanması, bir yedekleme ajanının tüm sistemlerde tam erişime sahip olması ya da bir izleme aracının gereğinden fazla hak istemesi yaygın ve tehlikeli örneklerdir.

Bulut ortamlarında bu sorun daha da görünürdür: geniş kapsamlı politikalarla açılmış roller, otomasyon üzerinden hızla çoğalır. Bulut yetki yönetimi araçları, gerçekte kullanılan haklarla verilen hakları karşılaştırarak fazlalıkları görünür kılar.

Sık Yapılan Hatalar

En yaygın hata, daraltmayı ölçmeden yapmaktır. Hangi hakkın gerçekte kullanıldığı bilinmeden yapılan kısıtlama iş aksatır, aksama yaşandığında da genellikle en geniş yetki geri verilerek çözülür. Doğru yöntem, kullanım kayıtlarına bakarak kullanılmayan hakları önce kaldırmaktır.

İkinci hata, ilkenin yalnızca üretim ortamına uygulanmasıdır. Test ve geliştirme ortamları çoğu zaman gerçek veri içerir ve genellikle çok daha geniş yetkilerle işletilir; saldırganlar için tercih edilen giriş noktası hâline gelir.

Üçüncü hata, acil durum hesaplarının denetimsiz bırakılmasıdır. Her kurumda kırılması gereken bir cam kutu hesabı bulunur; bu hesabın parolası korunmalı, kullanımı anında uyarı üretmeli ve her kullanım sonrasında parola değiştirilmelidir.

İşletim Sistemi ve Uygulama Düzeyinde Uygulama

Sunucu tarafında ilke, servislerin ayrı ve sınırlı hesaplarla çalıştırılmasıyla başlar. Bir web sunucusunun sistem yöneticisi hesabıyla çalışması, o serviste bulunan tek bir açığın doğrudan tam yetkiye dönüşmesi demektir. Servis hesapları oturum açma hakkına da sahip olmamalıdır.

İstemci tarafında en etkili adım, gündelik kullanıcıların yerel yönetici hakkına sahip olmamasıdır. Bu tek değişiklik, kötü amaçlı yazılımların kalıcılık kurmasını ve sistem düzeyinde değişiklik yapmasını belirgin biçimde zorlaştırır.

Uygulama içinde de ilke geçerlidir. Bir kullanıcının arayüzde göremediği bir işlemi doğrudan API çağrısıyla yapabiliyor olması, yetkilendirmenin yalnızca görsel katmanda uygulandığını gösterir. Yetki kararı her zaman sunucu tarafında verilmelidir.

Yetki Daraltmanın Aşamalı Yöntemi

Daraltma tek adımda değil aşamalı yapılır. İlk aşamada mevcut haklar ve gerçek kullanım verisi toplanır; hangi hakkın son altı ayda hiç kullanılmadığı listelenir. Bu liste, iş aksatma riski en düşük olan kaldırma adaylarını verir.

İkinci aşamada haklar kaldırılmadan önce izleme moduna alınır: hak kullanılmaya çalışıldığında engellenmez ama kayıt üretilir. Bu yöntem, beklenmeyen bağımlılıkların üretim kesintisi yaşanmadan görülmesini sağlar.

Üçüncü aşamada kaldırma uygulanır ve geri alma yolu hazır tutulur. Değişiklik pencereleri, bilgilendirme ve hızlı geri dönüş planı olmadan yapılan daraltmalar, ilk aksaklıkta tamamen terk edilir ve program güven kaybeder.

Ölçüm ve Göstergeler

İlkenin uygulanma düzeyi ölçülebilir. Ayrıcalıklı hesap sayısı, kalıcı yönetici hakkı bulunan kullanıcı oranı, ortalama yetki sayısı ve gözden geçirme döngüsünde kaldırılan hak oranı düzenli izlenen göstergelerdir.

Göstergelerin zaman içindeki eğilimi, tek bir andaki değerinden daha anlamlıdır. Ayrıcalıklı hesap sayısının sürekli artması, süreçte bir kontrol boşluğu olduğunu gösterir; azalması ise gözden geçirme döngüsünün işlediğini kanıtlar.

Göstergelerin yanında istisnaların da sayılması gerekir. İlkeden sapmaya izin verilen her durum kayıt altına alınır; istisna sayısının artması, ya rol tasarımının iş gerçekliğine uymadığını ya da sürecin işletilmediğini gösterir.

İstisnaların süresi de izlenir. Süresiz verilen istisnalar zamanla kuralın kendisi hâline gelir; her istisnaya bitiş tarihi konması ve tarih geldiğinde otomatik olarak yeniden değerlendirilmesi bu kaymayı engeller.

Ölçüm, denetim kanıtı olarak da kullanılır. Erişim gözden geçirme kayıtları, kaldırılan haklar ve onay izleri bir arada tutulduğunda hem iç hem dış denetim taleplerine hazır bir dosya oluşur.

Privia Security olarak yetki yapısının gerçek kullanımla örtüşüp örtüşmediğini altyapı ve mimari gözden geçirme kapsamında inceliyor, aşırı yetkili hesapları ve sömürülebilir yükseltme yollarını raporluyoruz.