Zero Trust (Sıfır Güven) Nedir? Adım Adım Geçiş Planı

Uzaktan çalışma, bulut uygulamaları ve kişisel cihazlar, ofis ağının içinin güvenli, dışının tehlikeli olduğu varsayımını büyük ölçüde geçersiz kıldı. Zero Trust (Sıfır Güven), bu yeni gerçekliğe verilen mimari yanıttır. Bir ürün değil, erişim kararlarının nasıl verileceğine dair bir yaklaşımdır ve doğru planlandığında KOBİ'ler dahil her ölçekte aşamalı olarak uygulanabilir. Bu yazıda sıfır güvenin temel ilkelerini, web uygulamalarına erişimde nasıl hayata geçtiğini ve adım adım bir geçiş yol haritasını ele alıyoruz.

Zero Trust Nedir? “Asla Güvenme, Her Zaman Doğrula” İlkesi

Zero Trust, hiçbir kullanıcının, cihazın veya ağ konumunun varsayılan olarak güvenilir kabul edilmediği bir güvenlik modelidir. Ofis ağından bağlanmak, VPN'e girmiş olmak ya da daha önce oturum açmış olmak tek başına erişim hakkı vermez. Her erişim talebi; kimin istediği, hangi cihazdan geldiği, cihazın durumu, erişilmek istenen kaynağın hassasiyeti ve talebin bağlamı değerlendirilerek karara bağlanır.

Modelin üç temel ilkesi vardır:

• Açıkça doğrula: Erişim kararı kimlik, cihaz sağlığı, konum, zaman ve risk sinyalleri gibi mevcut tüm bilgiler kullanılarak verilir.
• En az yetki: Kullanıcılar ve uygulamalar yalnızca işleri için gereken kaynaklara, yalnızca gerektiği süre boyunca erişir.
• İhlali varsay: Savunma, saldırganın zaten içeride olabileceği kabulüyle tasarlanır; olası hasarın etki alanı segmentasyonla küçültülür, her erişim loglanır ve izlenir.

Bu yaklaşım, ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) sıfır güven mimarisi rehberi SP 800-207 gibi referans dokümanlarla çerçevelenmiştir. Ancak uygulamanın özü her ölçekte aynıdır: Güveni ağ konumundan alıp kimliğe, cihaza ve bağlama taşımak.

Klasik Çevre Güvenliği ve VPN Neden Artık Yetmiyor?

Klasik model bir kaleye benzer: güçlü bir dış duvar ve içeride görece serbest dolaşım. Bu modelin zayıflıkları bugün çok daha belirgin:

• Çevre dağıldı. E-posta, dosyalar ve iş uygulamaları büyük ölçüde bulutta; kullanıcılar evden, sahadan ve mobil cihazlardan bağlanıyor.
• VPN geniş erişim verir. Klasik VPN, bağlanan kullanıcıyı çoğunlukla iç ağın büyük bir kısmına eriştirir. Ele geçirilen tek bir VPN hesabı saldırgana iç ağda geniş bir hareket alanı açar.
• İçerideki tehdit görünmez kalır. İç ağa ulaşan bir fidye yazılımı veya kötü niyetli bir kullanıcı, segmentlere ayrılmamış düz bir ağda sunuculara kolayca erişebilir.
• VPN cihazları hedefte. İnternete açık VPN cihazlarındaki güvenlik açıkları, saldırıların sık kullanılan giriş noktaları arasındadır.
• Üçüncü taraf erişimi kontrolsüz büyür. Tedarikçilere ve dış destek firmalarına verilen VPN hesapları çoğu zaman gereğinden geniş ve uzun ömürlüdür.

Bu, firewall ve VPN'in bir kenara bırakılması gerektiği anlamına gelmez; ancak tek başına bir güven sınırı olarak kullanılmaları artık yeterli değildir.

Zero Trust'ın Temel Bileşenleri: Kimlik, Cihaz, Ağ, Uygulama ve Veri

Sıfır güven mimarisi genellikle beş sütun üzerinden ele alınır.

Kimlik

Merkezi bir kimlik sağlayıcısı (örneğin Microsoft Entra ID), tek oturum açma (SSO) ve tüm kullanıcılar için çok faktörlü kimlik doğrulama bu modelin temelidir. Mümkün olan yerlerde FIDO2 güvenlik anahtarları veya passkey gibi oltalamaya dayanıklı yöntemler tercih edilmelidir. Yöntemlerin karşılaştırması için MFA ve şifre güvenliği rehberimize bakabilirsiniz.

Cihaz

Erişim kararına cihazın durumu da dahil edilmelidir: Cihaz şirket tarafından yönetiliyor mu, disk şifreli mi, güncellemeleri yapılmış mı, EDR aktif mi? Mobil cihaz yönetimi (MDM) ve uç nokta yönetim araçları bu sinyalleri sağlar.

Ağ

Ağ bir güven kaynağı değil, yalnızca bir taşıma katmanıdır. Segmentasyon ve mikro segmentasyon, bir cihazın ele geçirilmesi halinde saldırganın erişebileceği alanı daraltır; trafik mümkün olduğunca şifrelenir.

Uygulama ve iş yükleri

Uygulamalar internete ya da tüm iç ağa açık biçimde yayımlanmak yerine, kimliği doğrulanmış kullanıcılara uygulama bazında erişim verecek şekilde sunulur. Servisler arasındaki iletişim de kimlik doğrulamasına tabidir.

Veri

Veri sınıflandırılır, hassas veri etiketlenir ve şifrelenir; paylaşım ve dışarı aktarım kuralları (DLP) verinin hassasiyetine göre belirlenir.

Bu beş sütunu birbirine bağlayan unsur görünürlük ve otomasyondur: Tüm erişim kararları loglanır, analiz edilir ve tespit edilen anormallikler otomatik müdahaleleri tetikler.

Uygulamalara Erişimde Sıfır Güven: ZTNA ve Web Uygulamaları

ZTNA (Zero Trust Network Access), kullanıcıyı ağa değil, doğrudan yetkili olduğu uygulamaya bağlar. Kullanıcı iç ağın geri kalanını göremez; uygulama internete açık bir port üzerinden yayımlanmadığı için saldırı yüzeyi de küçülür. Her bağlantıda kimlik ve cihaz durumu yeniden değerlendirilir.

Kurum içinde geliştirilen veya kullanılan web uygulamalarında sıfır güven yaklaşımı birkaç katmanda uygulanır:

• Merkezi kimlik doğrulama: Uygulamanın kendi parola veritabanını tutması yerine kurumsal kimlik sağlayıcısı üzerinden SSO ve MFA ile oturum açtırması.
• Uygulama içi yetkilendirme: Oturum açmış olmak her işlemi yapabilmek anlamına gelmemeli; her istek, kullanıcının ilgili kayıt ve işlem üzerindeki yetkisine göre sunucu tarafında denetlenmeli.
• Oturum ve token güvenliği: Kısa ömürlü erişim token'ları, riskli durumlarda yeniden kimlik doğrulama ve oturumların merkezi olarak sonlandırılabilmesi.
• API güvenliği: API uç noktaları kimlik doğrulamasız bırakılmamalı, istek sınırlama ve girdi doğrulama uygulanmalı.
• Servisler arası güven: Uygulama bileşenleri birbirine ağ konumuna göre değil, servis kimlikleri veya karşılıklı TLS gibi mekanizmalarla güvenmeli.
• Web uygulama güvenlik duvarı (WAF) ve izleme: Bilinen saldırı kalıplarını filtrelemek ve anormal istekleri görünür kılmak.

Bu yaklaşımın bir diğer faydası da uyumdur. Her erişimin bir kimlikle ilişkilendirilip kayıt altına alınması, KVKK gibi mevzuatların beklediği erişim kontrolü ve izlenebilirlik gereksinimlerini karşılamayı kolaylaştırır. Bu nedenle sıfır güven, müşteri verisinin yoğun olduğu bankacılık ve sigorta ile hasta verisinin işlendiği sağlık gibi düzenlemeye tabi sektörlerde öne çıkar.

Web uygulaması tarafındaki temel kontroller için web uygulaması güvenliği kontrol listemizi inceleyebilirsiniz.

Koşullu Erişim, En Az Yetki ve Mikro Segmentasyon

Bu üç mekanizma, sıfır güvenin sahadaki somut karşılığıdır.

Koşullu erişim, erişim kararını kurallara bağlar. Örneğin yönetilen ve uyumlu bir cihazdan gelen kullanıcı e-postasına doğrudan erişir; yönetilmeyen bir cihazdan gelen kullanıcı yalnızca tarayıcı üzerinden ve dosya indirme kısıtlamasıyla erişir; alışılmadık bir ülkeden veya riskli bir oturum sinyaliyle gelen talep ek doğrulama ister ya da engellenir. Yönetici rolleri için her koşulda oltalamaya dayanıklı MFA şartı konabilir. Aynı mantık dış destek firmaları için de geçerlidir: Tedarikçiye kalıcı bir VPN hesabı vermek yerine yalnızca ilgili sunucuya, belirli bir zaman aralığında ve MFA ile erişim tanımlanabilir; iş bittiğinde erişim kendiliğinden sona erer.

En az yetki ilkesi; kullanıcı yetkilerinin rol bazında tanımlanmasını, kalıcı yönetici yetkisi yerine ihtiyaç anında ve süreli yetki yükseltmeyi (just-in-time erişim), servis hesaplarının yalnızca gereken izinlerle çalışmasını ve tüm yetkilerin düzenli olarak gözden geçirilmesini kapsar.

Mikro segmentasyon, ağı yalnızca VLAN'lara bölmekle kalmaz, iş yükleri arasındaki trafiği de kurallara bağlar. Muhasebe sunucusu yalnızca muhasebe uygulamasının ihtiyaç duyduğu bağlantıları kabul eder, kullanıcı bilgisayarları ise birbirleriyle doğrudan konuşamaz. Temel segmentasyon adımları için VLAN ve ağ segmentasyonu yazımıza bakabilirsiniz.

Adım Adım Zero Trust Geçiş Yol Haritası

Sıfır güvene geçiş tek seferlik bir proje değil, aşamalı bir olgunlaşma sürecidir. Pratik bir sıralama şöyledir:

1. Envanter ve kapsam: Kullanıcılar, cihazlar, uygulamalar, veri depoları ve kritik iş süreçleri haritalanır. Hangi verinin en hassas olduğu ve kimlerin neye eriştiği belirlenir.
2. Kimliği merkezileştirin: Uygulamalar mümkün olduğunca tek kimlik sağlayıcısına bağlanır, tüm kullanıcılar için MFA zorunlu hale getirilir, eski kimlik doğrulama protokolleri kapatılır.
3. Cihazları yönetime alın: Şirket cihazları merkezi yönetime alınır; disk şifreleme, güncellik ve EDR gibi uyumluluk kuralları tanımlanır.
4. Koşullu erişim politikalarını devreye alın: Politikalar önce yalnızca raporlama modunda çalıştırılır, etkileri gözlemlenir, ardından aşamalı olarak zorunlu hale getirilir.
5. Yetkileri daraltın: Yönetici hesapları ayrılır, kalıcı yönetici yetkileri azaltılır, dosya paylaşım izinleri temizlenir.
6. Uygulama erişimini dönüştürün: VPN ile erişilen iç uygulamalar önceliklendirilerek ZTNA veya uygulama proxy'si arkasına alınır; üçüncü taraf erişimleri uygulama bazında ve süreli hale getirilir.
7. Ağı segmentlere ayırın: Kullanıcı, sunucu, yönetim, misafir ve IoT ağları ayrılır; kritik sunucular için mikro segmentasyon uygulanır.
8. Veriyi sınıflandırın ve izleyin: Hassas veri etiketlenir, DLP kuralları devreye alınır, erişim logları merkezi olarak toplanır ve izlenir.

Her aşamanın sonunda neyin korunduğu, hangi riskin azaldığı ve kullanıcı deneyiminin nasıl etkilendiği değerlendirilmeli; bir sonraki aşamaya bu geri bildirimle geçilmelidir.

İlerlemeyi somut olarak takip etmek için birkaç basit gösterge yeterlidir:

• MFA kaydı tamamlanmış ve MFA zorunlu tutulan kullanıcıların oranı
• Merkezi yönetimde olan ve uyumluluk kurallarını karşılayan cihazların oranı
• Kalıcı yönetici yetkisine sahip hesap sayısı
• Hâlâ yalnızca VPN üzerinden erişilebilen iç uygulama sayısı
• Segmentler arasında kaynağı ve hedefi sınırlanmamış kural sayısı
• Süresiz tanımlanmış üçüncü taraf erişimlerinin sayısı

Bu göstergelerin düzenli olarak yönetime raporlanması, sıfır güven çalışmasının soyut bir hedef olmaktan çıkıp ölçülebilir bir iyileştirme programına dönüşmesini sağlar.

Sık Yapılan Hatalar, Maliyet Faktörleri ve Uygulama Ortağı Seçimi

Sık yapılan hatalar

• Sıfır güveni tek bir ürün satın almakla eşdeğer görmek
• Koşullu erişim politikalarını test etmeden zorunlu kılıp kullanıcıları, hatta yöneticileri sistem dışında bırakmak
• Acil durum için ayrılmış, sıkı izlenen bir yönetici hesabı (break-glass) tanımlamadan kısıtlayıcı politikalar uygulamak
• Eski uygulamaları ve servis hesaplarını kapsam dışında unutmak
• Log toplayıp kimsenin izlememesi
• Kullanıcıları bilgilendirmeden değişikliği devreye almak ve gereksiz direnç oluşturmak

Maliyet faktörleri

Maliyeti belirleyen başlıca unsurlar şunlardır: mevcut lisansların hangi yetenekleri zaten içerdiği (bazı Microsoft 365 paketlerinde koşullu erişim ve cihaz yönetimi yer alır), kullanıcı ve cihaz sayısı, eski uygulamaların modern kimlik doğrulamaya uyarlanma ihtiyacı, ZTNA veya SASE çözümü gereksinimi, segmentasyon için ağ donanımı ihtiyacı ve izleme kapsamı. Pek çok işletmede ilk aşamalar, mevcut lisansların doğru yapılandırılmasıyla ek bir ürün yatırımı gerektirmeden başlatılabilir.

Uygulama ortağı seçimi

Uygulama ortağında kimlik, uç nokta, ağ ve bulut konularını birlikte değerlendirebilme yetkinliği, aşamalı ve test odaklı bir geçiş yaklaşımı, dokümantasyon teslimi ve devreye alma sonrası destek aranmalıdır. Siber güvenlik hizmetlerimiz kapsamında mevcut durum analizinden koşullu erişim tasarımına ve ağ segmentasyonuna kadar sıfır güven geçişini aşamalar halinde yürütüyoruz.

Sonuç

Zero Trust, güveni ağ konumundan alıp kimliğe, cihaza ve bağlama taşıyan bir yaklaşımdır. Tek seferde değil; kimliği merkezileştirip MFA'yı zorunlu kılarak başlayan, cihaz uyumluluğu, koşullu erişim, en az yetki ve segmentasyonla olgunlaşan bir yolculuktur. Mevcut altyapınızın bu yolculuğun neresinde olduğunu birlikte değerlendirmek için ücretsiz ön görüşme planlayalım.