Uzun yıllar güvenlik modeli basitti: ağın dışı tehlikeli, içi güvenli. Güvenlik duvarı hendekti, iç ağ kaleydi. İçeri giren her şey, orada olduğu için güvenilir sayılırdı.
Bu modeli iki şey kırdı. Birincisi, çalışanlar ve uygulamalar kalenin dışına taşındı — uzaktan çalışma ve bulut. İkincisi, saldırganların içeri girmesi zaten mümkün oldu; ve içeri girdikleri anda her yere erişebildiler.
Temel iddia
Sıfır güven tek bir cümleye iner: konum güven üretmez. Bir isteğin iç ağdan gelmesi, onu güvenilir yapmaz.
Bunun yerine her erişim isteği ayrı ayrı değerlendirilir. Kim istiyor, hangi cihazdan, neye erişmek istiyor, o an ne kadar riskli görünüyor?
Adı yanıltıcıdır: “hiç kimseye güvenme” değil, “güveni her seferinde yeniden doğrula” demektir.
Üç ilke
Açıkça doğrula. Kimlik ve cihaz her istekte değerlendirilir. Bir kez giriş yapmış olmak, sonsuza kadar erişim demek değildir.
En az yetkiyi ver. Kullanıcı yalnızca işini yapmaya yetecek erişime, yalnızca gerektiği süre boyunca sahip olur. Ayrıntısı en az yetki ilkesi yazısında.
İhlal olduğunu varsay. Saldırganın zaten içeride olabileceğini kabul edin ve hasarı sınırlayacak biçimde tasarlayın: bölümlendirme, kayıt tutma, yanal hareketin zorlaştırılması.
Kimlik yeni sınırdır
Ağ sınırı belirsizleştiğinde denetim noktası kimliğe kayar. Pratikte bunun anlamı, erişim kararlarının kimlik sağlayıcıda verilmesidir.
Karar girdileri sadece “parola doğru mu” değildir: kullanıcı kim, cihaz yönetiliyor ve uyumlu mu, konum olağan mı, oturum davranışı normal mi, istenen kaynak ne kadar hassas?
Bu kuralları yayına almadan önce rapor modunda izlemek şarttır — yoksa bir gecede kimsenin giremediği bir ortam kurabilirsiniz. Yöntem koşullu erişimi rapor modundan yayına geçirmek rehberinde, kimlik katmanının kendisi Entra ID nedir yazısında.
Cihaz da bir etkendir
Doğru kullanıcı, ele geçirilmiş bir cihazdan bağlanıyorsa kimlik doğrulaması işe yaramaz. Bu yüzden cihaz durumu erişim kararının parçasıdır: disk şifreli mi, işletim sistemi güncel mi, uç nokta koruması çalışıyor mu.
Disk şifreleme tarafı için BitLocker dağıtım planlayıcı, yama önceliği için yama önceliklendirme rehberi var.
Bölümlendirme
“İhlal olduğunu varsay” ilkesinin somut karşılığı, ağı ve erişimi bölmektir. Bir sunucunun ele geçirilmesi, komşusuna erişim vermemelidir.
Ağ tarafında bu VLAN’lar ve kurallarla başlar — kavram VLAN nedir yazısında, kural setinin okunabilir tutulması güvenlik duvarı kural seti rehberinde.
Kimlik tarafında ise ayrıcalıklı hesapların günlük hesaplardan ayrılması gelir; ayrıcalıklı hesap yönetimi rehberi bu tarafa bakıyor.
Görünürlük olmadan çalışmaz
Sıfır güven, karar vermek için veri ister. Kim neye eriştiyle ilgili kayıt yoksa, ne risk hesaplanabilir ne de bir olay incelenebilir.
Neyin ne kadar saklanacağı günlük toplama: neyi saklamalı rehberinde; toplanan verinin alarma dönüşmesi ayrı bir tasarım işidir.
VPN’in yerini ne alıyor
Klasik VPN, sıfır güven mantığıyla doğrudan çelişir: kullanıcıyı ağa alır ve o andan sonra ağdaki her şeye erişebilir hâle getirir. Tek bir ele geçirilmiş dizüstü, tüm iç ağa açılan bir kapıya dönüşür.
Yerine geçen yaklaşım, kullanıcıyı ağa değil tek bir uygulamaya bağlamaktır. Erişim uygulama başına verilir; kullanıcı iç ağı hiç görmez, yalnızca yetkili olduğu hizmete ulaşır.
Bunun yan faydası, uygulamaların internete açılmak zorunda kalmamasıdır: bağlantı içeriden dışarı kurulur, dışarıdan içeri açık bir port bırakılmaz.
Geçiş genelde kademelidir — önce yeni uygulamalar bu modelle yayına alınır, VPN eski sistemler için bir süre daha kalır. Seçenekleri karşılaştırmak için VPN seçimi rehberine bakabilirsiniz.
Bir ürün değil
Piyasada “sıfır güven çözümü” diye satılan çok sayıda ürün var. Hiçbiri tek başına sıfır güven kurmaz; hepsi bir parçayı çözer.
Gerçekçi ilerleme sırası şudur: önce kimlik ve MFA, sonra cihaz uyumluluğu, sonra en az yetki, sonra bölümlendirme. Her adım tek başına da değer üretir — ve küçük bir kurumda tamamını uygulamak gerekmez.
Ölçekli bir başlangıç için küçük kurumda sıfır güven rehberi var.
Sık yapılan üç hata
Hepsini birden yapmaya çalışmak. Sıfır güven bir proje değil, bir yön değişikliğidir. Aynı anda kimlik, cihaz, ağ ve uygulama katmanına dokunmaya kalkan girişimler genelde yarıda kalır ve geriye yarım kurulmuş, kimsenin anlamadığı bir yapı bırakır.
Kullanıcıyı hesaba katmamak. Her istekte doğrulama isteyen bir kurgu, onay refleksi yaratır ve güvenliği azaltır. Risk tabanlı yaklaşım tam da bunu önlemek içindir: olağan durumda sessiz, olağandışı durumda ısrarcı.
Eski sistemleri unutmak. Modern protokolleri desteklemeyen uygulamalar her ortamda vardır ve sıfır güven kurgusunun dışında kalırlar. Bunları görmezden gelmek, açık bir yan kapı bırakmak demektir. Gerçekçi çözüm, o sistemleri bir vekil arkasına almak ya da erişimi ağ düzeyinde daraltmaktır.
Kısaca
Sıfır güven, “içerideyse güvenlidir” varsayımını bırakmaktır. Yerine geçen şey her istekte kimlik, cihaz ve bağlamı değerlendirmektir. Bir ürün değil bir yaklaşımdır ve kimlikten başlanarak adım adım kurulur.