Sıfır güven mimarisi, bir isteğin nereden geldiğine bakarak güven kurmayı reddeden bir yaklaşımdır. İç ağdan gelen bir bağlantı ile internetten gelen bir bağlantı aynı şüpheyle ele alınır; her erişim isteği kimlik, cihaz durumu ve bağlam üzerinden yeniden değerlendirilir.

Yaklaşım, klasik çevre güvenliğinin çöküşüne yanıt olarak doğdu. Uzaktan çalışma, bulut hizmetleri ve tedarikçi erişimleri yaygınlaştıkça “içerisi güvenli, dışarısı tehlikeli” ayrımı anlamını yitirdi. Kurumun varlıkları artık tek bir sınırın içinde durmuyor.

Sıfır Güven Mimarisi Nedir?

Sıfır güven, hiçbir kullanıcıya, cihaza ya da ağ segmentine konumu nedeniyle örtük güven tanımayan; her erişim isteğini kimlik, cihaz ve bağlam bilgisiyle ayrı ayrı doğrulayan mimari yaklaşımdır.

Sıfır güven bir ürün değil bir tasarım tercihidir. Piyasada bu adla satılan çözümler mimarinin belirli parçalarını karşılar; ancak kimlik altyapısı, cihaz yönetimi, ağ tasarımı ve izleme birlikte ele alınmadan tek bir ürünle sıfır güven kurulamaz.

Temel İlkeleri

NIST SP 800-207, mimariyi bir dizi ilke üzerinden tanımlar. Bu ilkeler farklı kurumlarda farklı teknolojilerle karşılanabilir ama hepsinde ortak nokta, güvenin sürekli ve açıkça yeniden kurulmasıdır.

• Her erişim isteği açıkça doğrulanır; konum güven gerekçesi sayılmaz
• Erişim, en az yetki ve süreli oturum ilkesiyle verilir
• İhlal olmuş varsayımıyla tasarlanır; etki alanı önceden daraltılır
• Cihazın sağlık durumu erişim kararına girdi olur
• Tüm erişim ve karar kayıtları toplanır, sürekli izlenir

Klasik Çevre Güvenliğinden Farkı

Klasik modelde güvenlik duvarı bir sınır çizer; sınırın içine giren büyük ölçüde serbest hareket eder. Bu yapıda tek bir kimlik avı e-postası, saldırganı korunan alanın tam ortasına taşır ve yanal hareket için önünde az engel bırakır.

Sıfır güvende ise her kaynak kendi kapısını kendi kontrol eder. Kullanıcının iç ağda olması bir uygulamaya erişim hakkı vermez; uygulamaya erişim, o an doğrulanmış kimliğe ve uygun cihaz durumuna bağlıdır. Böylece ele geçirilen bir hesabın erişebileceği alan büyük ölçüde daralır.

Nasıl Uygulanır?

Geçiş tek seferde değil kademeli yapılır. Genellikle en kritik uygulamalardan biri seçilir, bu uygulamaya erişim kimlik ve cihaz doğrulamasına bağlanır, sonuçlar ölçülür ve model diğer uygulamalara yayılır. Baştan tüm ortamı kapsayan projeler çoğunlukla yarım kalır.

Teknik tarafta merkezî kimlik yönetimi, güçlü çok faktörlü doğrulama, cihaz kayıt ve uyum denetimi, uygulama düzeyinde erişim aracıları ve mikro segmentasyon temel yapı taşlarıdır. VPN üzerinden geniş ağ erişimi vermek yerine uygulamaya özel erişim modeli tercih edilir.

Envanter olmadan başlanmaz

Sıfır güven projelerinin en sık takıldığı nokta envanter eksikliğidir. Hangi uygulamanın hangi kullanıcı grubuna, hangi cihazlardan ve hangi veriye eriştiği bilinmeden erişim politikası yazılamaz. Bu nedenle proje çoğu zaman bir keşif ve haritalama çalışmasıyla başlar.

Yaygın Yanlış Anlamalar

İlk yanlış anlama, sıfır güvenin VPN’in yerine geçen bir ürün olduğunun sanılmasıdır. Uygulama düzeyinde erişim çözümleri mimarinin önemli bir parçasıdır ama tek başına kimlik, cihaz ve izleme boyutlarını karşılamaz.

İkinci yanlış anlama, mimarinin kullanıcı deneyimini kötüleştireceği varsayımıdır. İyi kurgulanmış bir sıfır güven düzeninde risk düşük olduğunda doğrulama arka planda kalır; ek doğrulama yalnızca bağlam değiştiğinde istenir. Bu, sürekli parola soran bir sistemden daha az sürtünme üretir.

Üçüncü yanlış anlama, yaklaşımın klasik kontrolleri gereksiz kıldığıdır. Yama yönetimi, kayıt toplama ve yedekleme sıfır güvende de aynı ölçüde gereklidir; mimari bunların yerine geçmez, üzerine kurulur.

Politika Motoru ve Karar Noktası

Mimarinin merkezinde bir politika motoru bulunur. Her erişim isteği bu motora gelir; motor kimlik, cihaz durumu, konum, istenen kaynak ve risk sinyallerini birlikte değerlendirerek izin, ret ya da ek doğrulama kararı üretir.

Kararın uygulandığı yer ise politika uygulama noktasıdır: bir erişim aracısı, bir uygulama ağ geçidi ya da kaynağın kendisi. Karar ve uygulama noktalarının ayrılması, aynı politikanın farklı teknolojilerde tutarlı biçimde işletilmesini sağlar.

Politikaların yazımı sadelikle başlar. Onlarca koşul içeren kurallar hem hata yapmaya açıktır hem de sorun giderilirken anlaşılamaz. Az sayıda net kuralla başlayıp gerçek kullanım verisine göre incelten bir yaklaşım daha sürdürülebilirdir.

Cihaz Güveni ve Uyum Denetimi

Sıfır güvende erişim kararının kimlik kadar önemli ikinci girdisi cihazdır. Cihazın kuruma kayıtlı olması, disk şifrelemesinin açık olması, işletim sisteminin güncel olması ve uç nokta korumasının çalışıyor olması karar anında denetlenir.

Uyumsuz cihazlar tamamen engellenmek yerine kademeli kısıtlanabilir. Örneğin güncel olmayan bir cihaza yalnızca düşük hassasiyetli uygulamalara erişim verilip kritik sistemler kapatılabilir; bu, kullanıcıyı işten alıkoymadan riski düşürür.

Yönetilmeyen cihazlar için ayrı bir yol tanımlanır. Tedarikçi ve iş ortağı erişimleri çoğunlukla bu kategoridedir; tarayıcı üzerinden izole erişim ya da sanal masaüstü, veriyi cihaza indirmeden çalışma imkânı sağlar.

Geçişte Karşılaşılan Zorluklar

Eski uygulamalar en büyük zorluktur. Modern kimlik protokollerini desteklemeyen sistemler, mimarinin dışında kalır ve çoğu zaman kendi ağ segmentine hapsedilerek yönetilir. Bu geçici çözümlerin kayıt altına alınması ve zaman içinde azaltılması gerekir.

İkinci zorluk kültüreldir. Erişim kararlarının merkezîleşmesi, daha önce kendi sistemine kendi kuralını koyan ekipler tarafından yetki kaybı olarak algılanabilir. Geçişin ekiplerle birlikte planlanması bu direnci belirgin biçimde azaltır.

Dördüncü zorluk maliyettir. Kimlik, cihaz yönetimi ve erişim aracısı bileşenlerinin birlikte devreye alınması ciddi bir yatırım gerektirir; bu nedenle geçiş, mevcut yatırımların üzerine inşa edilecek biçimde planlanır.

Üçüncü zorluk, kimlik altyapısının tek başarısızlık noktasına dönüşmesidir. Her erişim kararı kimlik sağlayıcısına bağlandığında, o sistemin erişilemez olması tüm kurumu durdurur; bu nedenle yedeklilik ve acil durum erişim yolları baştan tasarlanır.

Privia Security olarak sıfır güven geçişini planlayan kurumların mevcut kimlik, ağ ve erişim düzenini altyapı ve mimari gözden geçirme çalışmasıyla haritalandırıyor, uygulanabilir bir aşama planı çıkarıyoruz.