Güvenli erişim hizmet kenarı, ağ bağlantısı ve güvenlik hizmetlerinin bulut tabanlı tek bir katmanda birleştirilmesini öngören mimari yaklaşımdır. Klasik modelde trafik güvenlik kontrollerinden geçmek için merkeze çekilir; bu tasarım uzaktan çalışan kullanıcılar ve bulut uygulamaları için verimsizdir. Yeni yaklaşımda kullanıcı nerede olursa olsun en yakın kenar noktasına bağlanır ve tüm kontroller orada uygulanır. Bu değişim hem performans hem tutarlılık sağlar. Merkeze geri çekme ihtiyacı ortadan kalkar. Mimari bulut çağına uyarlanır.

Yaklaşım tek bir ürün değil, bir mimari hedeftir. Ağ tarafında yazılım tanımlı geniş alan ağı, güvenlik tarafında ise çeşitli denetim hizmetleri bir araya gelir. Bu bileşenlerin tek bir sağlayıcı tarafından sunulması, yönetim tutarlılığı açısından tercih edilir. Farklı sağlayıcıların bileşenleri de birleştirilebilir. Entegrasyon zorluğu değerlendirilmelidir. Karar ortama göre verilir.

Güvenli Erişim Hizmet Kenarı Nedir?

SASE, ağ bağlantı hizmetleri ile güvenlik denetim hizmetlerinin bulut tabanlı dağıtık kenar noktalarında birleştirildiği ve kimliğe dayalı politika uygulanan mimari yaklaşımdır.

Mimarinin merkezinde kimlik bulunur. Politikalar ağ konumuna değil kullanıcı ve cihaz kimliğine göre uygulanır. Bu yaklaşım, sıfır güven mimarisi ilkeleriyle uyumludur. Kullanıcının ofiste ya da evde olması politika açısından fark yaratmaz. Tutarlılık bu şekilde sağlanır. Yönetim sadeleşir.

Hangi Bileşenleri Birleştirir?

Ağ tarafında yazılım tanımlı geniş alan ağı yer alır. Bu bileşen, şube bağlantılarını yönetir ve trafiği en uygun yoldan yönlendirir. SD-WAN güvenliği bu katmanın güvenlik boyutunu tanımlar. Merkezî politika yönetimi bu bileşenle sağlanır. Şube kurulumu basitleşir. Yönetim yükü azalır.

Güvenlik tarafında ise birden çok hizmet birleşir. Güvenli web ağ geçidi, bulut erişim aracısı, güvenlik duvarı hizmeti ve sıfır güven erişimi bu hizmetlerin başında gelir. Bu bileşenlerin tamamı aynı politika motorunu paylaşır. Böylece kural tekrarı ortadan kalkar. Tutarsızlık riski azalır. Yönetim merkezîleşir.

Veri koruma ve içerik denetimi de bu katmanda uygulanabilir. Hassas verilerin dışarı çıkması engellenebilir ve indirilen içerik denetlenebilir. Bu yetenekler, kullanıcı nerede olursa olsun çalışır. Klasik modelde bu kapsama ancak trafiğin merkeze çekilmesiyle sağlanırdı. Yeni modelde kısıt ortadan kalkar. Kapsam genişler.

• Yazılım tanımlı geniş alan ağı ile bağlantı yönetimi
• Güvenli web ağ geçidi ve içerik filtreleme
• Bulut erişim güvenlik aracısı
• Bulut tabanlı güvenlik duvarı hizmeti
• Sıfır güven ağ erişimi
• Veri kaybı önleme ve içerik denetimi

Uygulama Yaklaşımı

Geçiş tek adımda yapılmaz. Çoğu kurum önce bir bileşenle başlar ve deneyim kazandıkça kapsamı genişletir. Uzaktan erişim ya da web filtreleme genellikle ilk adım olur. Bu bileşenlerin değeri hızlı görülür ve destek kazanılır. Ardından diğer bileşenler eklenir. Kademeli yaklaşım başarılıdır.

Mevcut yatırımlar da dikkate alınmalıdır. Yakın zamanda alınmış cihazların ömrü tamamlanmadan değiştirilmesi ekonomik değildir. Bu nedenle geçiş, yenileme takvimine göre planlanır. Karma bir dönem yaşanır. Yönetim tutarlılığı bu dönemde zorlayıcı olabilir. Planlama önemlidir.

Sağlayıcı seçimi de kritik bir karardır. Kenar nokta sayısı ve coğrafi dağılımı, performansı doğrudan etkiler. Ayrıca sunulan güvenlik yeteneklerinin derinliği karşılaştırılmalıdır. Deneme kurulumu yapılması önerilir. Gerçek kullanıcılarla test edilir. Karar veriye dayanır.

Riskler ve Dikkat Edilecekler

En belirgin risk, tek bir sağlayıcıya bağımlılıktır. Tüm trafiğin tek bir platformdan geçmesi, o platformdaki kesintinin tüm hizmeti durdurması anlamına gelir. Bu risk, iş sürekliliği planında ele alınmalıdır. Alternatif yol tanımlanabilir. Sözleşmedeki hizmet seviyesi taahhütleri incelenir. Karar bilinçli verilir.

İkinci risk, veri işleme konumudur. Trafiğin sağlayıcı altyapısında işlenmesi, veri egemenliği açısından değerlendirilmelidir. Hangi ülkede hangi verinin işlendiği netleştirilir. KVKK kapsamındaki yükümlülükler dikkate alınır. Hukuk birimi sürece dahil edilir. Sözleşme incelenir.

Üçüncü risk, görünürlük kaybıdır. Kontroller sağlayıcı tarafında çalıştığı için kayıtlara erişim sözleşmeye bağlıdır. Kayıtların kuruma aktarılabilmesi ve merkezî platforma entegre edilebilmesi gerekir. Bu yetenek önceden doğrulanmalıdır. Aksi hâlde tespit kabiliyeti azalır. Kriter olarak yazılır.

Ölçüm ve Doğrulama

Geçiş sonrasında kapsamanın ölçülmesi gerekir. Hangi kullanıcıların ve hangi trafiğin gerçekten bu katmandan geçtiği doğrulanmalıdır. Atlatma yolları kalmışsa koruma eksik olur. Doğrulama testleri bu boşlukları ortaya çıkarır. Sonuçlar raporlanır. Düzeltme yapılır.

Politika tutarlılığı da denetlenmelidir. Farklı bileşenlerde farklı kurallar tanımlanmışsa beklenmedik davranışlar oluşur. Merkezî politika motoru bu riski azaltır ama yapılandırma yine gözden geçirilmelidir. Dönemsel denetim önerilir. Sapmalar düzeltilir. Süreç işletilir.

Kimlik Merkezli Politika

Mimarinin en belirleyici özelliği, politikaların kimliğe dayanmasıdır. Kullanıcının hangi ağdan bağlandığı değil kim olduğu ve hangi cihazı kullandığı önemlidir. Bu yaklaşım, ofis ve uzaktan çalışma arasındaki politika farkını ortadan kaldırır. Tutarlılık hem güvenlik hem kullanıcı deneyimi açısından değerlidir. Yönetim de sadeleşir. Kural sayısı azalır.

Kimlik altyapısının olgun olması bu modelin ön koşuludur. Merkezî kimlik yönetimi, güçlü doğrulama ve grup yapısının düzenli olması gerekir. Dağınık kimlik yapıları bu mimariyi zorlaştırır. Bu nedenle geçiş öncesinde kimlik tarafı düzenlenmelidir. Ön hazırlık gereklidir. Sıralama önemlidir.

Cihaz durumu da politika girdisidir. Uyumsuz bir cihazın erişimi kısıtlanabilir ya da ek doğrulama istenebilir. Bu kontrol, ağ erişim kontrolü işlevinin bulut karşılığıdır. Entegrasyon cihaz yönetim çözümüyle sağlanır. Yapılandırma planlanır. Kapsam belirlenir.

Performans ve Kullanıcı Deneyimi

Mimarinin en somut faydalarından biri performanstır. Trafiğin merkeze çekilmemesi, gecikmeyi belirgin biçimde azaltır. Özellikle bulut uygulamalarında bu fark hissedilir. Kullanıcı deneyimi iyileşir ve şikâyetler azalır. Bu fayda, projenin kabul görmesini kolaylaştırır. Ölçüm yapılmalıdır.

Kenar nokta dağılımı bu performansı belirler. Kullanıcıların bulunduğu bölgelerde kenar nokta olması gerekir. Uzak bir noktaya yönlendirilen trafik, klasik modelden daha kötü performans verebilir. Sağlayıcı seçiminde bu kriter değerlendirilir. Test yapılır. Ölçüm karar üretir.

Yedeklilik de planlanmalıdır. Bir kenar noktasının erişilemez olması durumunda trafiğin başka bir noktaya yönlenmesi gerekir. Bu davranış otomatik olmalıdır. Sözleşmedeki taahhütler incelenir. Test edilir. Sonuçlar kaydedilir.

Maliyet Değerlendirmesi

Model, cihaz yatırımını hizmet aboneliğine dönüştürür. Bu değişim, sermaye harcamasını işletme harcamasına kaydırır. Toplam maliyet karşılaştırması çok yıllık yapılmalıdır. Cihaz bakımı, yenileme ve işletme personeli maliyetleri de hesaba katılır. Karşılaştırma adil olmalıdır. Karar veriye dayanır.

Kullanıcı başına fiyatlandırma modeli, büyüyen kurumlarda maliyeti artırabilir. Bu etki önceden modellenmelidir. Sözleşme koşulları büyüme senaryosuna göre değerlendirilir. Fiyat artış maddeleri incelenir. Uzun vadeli plan yapılır. Sürprizler önlenir.

Geçiş Sırasında Karma Dönem

Geçiş süreci genellikle uzun sürer ve bu dönemde klasik ile yeni mimari birlikte çalışır. Karma dönemde politika tutarlılığı en büyük zorluktur. Aynı kuralın iki farklı platformda tanımlanması gerekir ve sapma riski yüksektir. Bu nedenle politika kaynağının tek olması hedeflenir. Otomatik senkronizasyon araçları yardımcı olabilir. Süreç izlenir.

Karma dönemde kapsama boşlukları da oluşabilir. Bazı kullanıcılar eski, bazıları yeni katmandan geçer. Hangi grubun hangi kontrolden geçtiği belgelenmelidir. Bu belgeleme, boşlukları görünür kılar. Geçiş planı bu bilgiyle güncellenir. Öncelik belirlenir.

Dönemin mümkün olduğunca kısa tutulması önerilir. Uzayan geçişler hem maliyet hem karmaşıklık üretir. Net bir takvim ve sorumluluk atanması süreci hızlandırır. Yönetim desteği gereklidir. İlerleme raporlanır. Hedefler ölçülür.

Sağlayıcı Bağımlılığının Yönetimi

Tüm ağ ve güvenlik hizmetlerinin tek bir sağlayıcıdan alınması, önemli bir bağımlılık üretir. Sağlayıcı değişikliği ileride zorlaşır ve pazarlık gücü azalır. Bu risk, sözleşme aşamasında değerlendirilmelidir. Veri ve yapılandırma taşınabilirliği sorgulanır. Çıkış planı tanımlanır. Koşullar yazılır.

Kesinti senaryosu da planlanmalıdır. Sağlayıcıda yaşanan bir sorun, tüm kullanıcıların erişimini etkiler. Alternatif yol ya da azaltılmış hizmet modu tanımlanabilir. Bu plan tatbik edilmelidir. Kâğıt üzerindeki plan güven vermez. Test sonuçları kaydedilir.

Privia Security olarak kenar güvenlik mimarilerinin kapsamını ve politika tutarlılığını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.