Sıfır güven ağ erişimi, uzaktan erişimi ağ düzeyinden uygulama düzeyine taşıyan ve güveni sürekli sorgulayan bir modeldir. Klasik yaklaşımda kullanıcı, sanal özel ağ üzerinden kurum ağına dahil olur ve ağdaki birçok kaynağa erişebilir hâle gelir. Bu geniş erişim, ele geçirilen tek bir hesabın ağ içinde serbestçe yanal hareket etmesini kolaylaştırır. Yeni modelde kullanıcıya yalnızca yetkili olduğu uygulama açılır ve ağın geri kalanı ona tamamen görünmez kalır. Her erişim isteği, kullanıcının kimliği ve cihazın durumu değerlendirilerek yeniden ele alınır ve güven asla kalıcı olarak verilmez.

Modelin adı, temelindeki ilkeyi doğrudan yansıtır ve bu ilke tüm tasarım kararlarını yönlendirir. Hiçbir kullanıcı ya da cihaz, yalnızca bulunduğu konum nedeniyle güvenilir kabul edilmez. Ofis ağında olmak bir ayrıcalık üretmez ve her erişim ayrıca doğrulanmak zorundadır. Bu yaklaşım, sıfır güven mimarisi ilkesini uzaktan erişime uygulayarak çevre temelli anlayışın yerini alır. Dağıtık çalışma ve bulut kullanımıyla çevre kavramı anlamını yitirdiğinden, kimlik yeni güvenlik sınırı hâline gelir.

Sıfır Güven Ağ Erişimi Nedir?

ZTNA, kullanıcıya ağın tamamı yerine yalnızca yetkili olduğu uygulamaya, kimlik ve cihaz durumu değerlendirilerek erişim verilen ve erişimin sürekli doğrulandığı modeldir.

Modelde bir aracı katman, kullanıcı ile uygulama arasında konumlanarak tüm erişim kararlarını yönetir. Kullanıcı doğrudan uygulamaya değil bu aracıya bağlanır ve aracı, yetki kontrolünü tamamladıktan sonra bağlantıyı kurar. Uygulamanın gerçek adresi kullanıcıya hiçbir zaman açılmadığı için saldırı yüzeyi belirgin biçimde daralır. İnternete açık görünen bir uygulama olmadığından, saldırganlar tarama yoluyla hedefi keşfedemez. Bu gizleme, otomatik saldırıların ve fırsatçı taramaların büyük bölümünü daha başlamadan etkisiz kılar.

Klasik VPN’den Farkı

Klasik sanal özel ağ, kullanıcıyı doğrudan ağa yerleştirir ve ağ düzeyinde geniş bir erişim verir. Bir kez bağlanan kullanıcı, erişebildiği tüm sistemleri görebilir ve bu görünürlük saldırgan için de geçerli olur. Bu geniş güven, ele geçirilen bir cihazın kısa sürede tüm ağı tehdit etmesine yol açar. Yeni model ise erişimi tek bir uygulamaya kısıtlayarak yanal hareket olanağını büyük ölçüde ortadan kaldırır. Böylece bir ihlalin etkisi, tüm ağ yerine yalnızca ilgili uygulamayla sınırlı kalır ve kapsam daralır.

İkinci temel fark, erişimin sürekli olarak yeniden değerlendirilmesidir ve bu, modeli klasik yaklaşımdan ayıran çekirdek özelliktir. Sanal özel ağda bağlantı bir kez kurulduktan sonra genellikle oturum boyunca sorgulanmadan devam eder. Yeni modelde ise her erişim, cihazın güncel durumu ve bağlam bilgisi değerlendirilerek tekrar kontrol edilir. Oturum ortasında uyumsuz hâle gelen bir cihaz bile anında kısıtlanabilir ya da yeniden doğrulamaya zorlanabilir. Bu dinamik değerlendirme, statik güvene dayanan modellerden çok daha yüksek bir koruma düzeyi sağlar.

Üçüncü fark, erişimlerin ayrıntılı görünürlüğüdür ve bu, hem güvenlik hem uyum açısından değerlidir. Klasik yaklaşımda kimin hangi kaynağa eriştiği çoğu zaman ayrıntılı biçimde kaydedilmez ve sonradan incelenemez. Yeni modelde her erişim, uygulama düzeyinde kaydedilir ve bu kayıtlar denetime açık hâlde tutulur. Bu veriler, log yönetimi altyapısına aktarılarak olay incelemesinde güçlü bir girdi sağlar. Böylece bir ihlal durumunda erişim geçmişi net biçimde ortaya konabilir ve şeffaflık artar.

• Erişimin ağ düzeyinde değil uygulama düzeyinde verilmesi
• Uygulama adreslerinin internetten gizlenmesi
• Her erişimde kimlik ve cihaz durumunun değerlendirilmesi
• Yanal hareket yüzeyinin daraltılması
• Erişimlerin uygulama düzeyinde kaydedilmesi

Nasıl Çalışır?

Süreç, kullanıcının kimlik sağlayıcıya karşı doğrulanmasıyla başlar ve bu doğrulama modelin ilk kapısıdır. Doğrulama çok faktörlü olabilir ve aynı anda cihazın güvenlik durumu da kontrol edilir. Ardından aracı katman, kullanıcının hangi uygulamalara yetkili olduğunu belirleyerek yalnızca o uygulamalara giden bağlantıları kurar. Yetki dışındaki tüm kaynaklar kullanıcıya hiçbir biçimde açılmaz ve erişim mümkün olan en dar kapsamda tutulur. Bu asgari erişim ilkesi, bir hesabın ele geçirilmesi durumunda oluşacak zararı doğrudan sınırlar.

Cihaz durumu, erişim kararında belirleyici bir girdi olarak sürekli değerlendirilir ve politika buna göre şekillenir. Güncel olmayan, güvenlik yazılımı çalışmayan ya da uyumsuz bir cihaz, erişimden kısmen ya da tamamen dışlanabilir. Bu kontrol, uç nokta güvenliği çözümleriyle bütünleştirildiğinde daha güçlü ve doğru sonuç verir. Cihazın uyum bilgisi, erişim anında okunarak politikanın gerçek zamanlı uygulanmasını sağlar. Böylece riskli bir cihazdan gelen erişim, daha erişim kurulmadan değerlendirilmiş olur.

Bağlantı kurulduktan sonra da izleme kesintisiz sürer ve anormal davranış tespit edildiğinde oturum sonlandırılabilir. Bu sürekli değerlendirme, modelin tek seferlik doğrulamayı yeterli görmeyen çekirdek ilkesidir. Kullanıcının davranışı, erişilen kaynaklar ve bağlam değiştikçe erişim kararı da yeniden gözden geçirilir. Şüpheli bir desen ortaya çıktığında, ek doğrulama istenebilir ya da erişim tamamen kesilebilir. Bu yaklaşım, güvenin bir kez verilip unutulduğu modellerin en büyük zayıflığını ortadan kaldırır.

Uygulamada Dikkat Edilecekler

Modelin başarısı, uygulama envanterinin doğruluğuna ve eksiksizliğine sıkı biçimde bağlıdır. Erişim uygulama düzeyinde verildiği için tüm uygulamaların tanımlı ve sahipli olması gerekir. Eksik tanımlanan bir uygulama, kullanıcıların işini aksatır ve gölge çözümlere yönelmelerine yol açabilir. Bu nedenle envanter titizlikle çıkarılmalı, her uygulamaya sahip atanmalı ve düzenli olarak güncellenmelidir. Doğru ve güncel bir envanter olmadan, model ne güvenlik ne de kullanılabilirlik açısından beklenen değeri üretir.

Eski ve dağıtık uygulamalar geçişi zorlaştırabilir ve bu nedenle planlamanın kademeli olması gerekir. Bazı sistemler bu modele kolayca uyum sağlamaz, ek entegrasyon çalışması ya da ara çözümler gerektirir. Kritik ve uyumu kolay uygulamalar önce taşınarak deneyim kazanılması, riski sınırlı ölçekte tutar. Deneyim biriktikçe daha karmaşık uygulamalar kapsama dahil edilir ve geçiş güvenle genişletilir. Bu sıralı yaklaşım, tek seferde her şeyi taşımaya çalışmanın yol açacağı kesinti ve karmaşıklığı önler.

Privia Security olarak uzaktan erişim mimarilerinin sıfır güven ilkelerine göre yeniden tasarımını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.