2020’deki SolarWinds saldırısında ele geçirilen hesaplar, şirket ağı içinde serbestçe hareket etti. Güvenlik sistemi bu hesapları meşru gördü çünkü çevre içindeydi. Saldırganlar aylarca fark edilmeden veri çıkardı. Bu, “çevre içi güven” modelinin en ağır faturalarından biri. Sıfır güven (Zero Trust) bu varsayımı baştan reddediyor: konum güven sağlamaz. Hiçbir kullanıcı, cihaz veya servis doğrulama olmaksızın güvenilmez.
Sıfır Güven Nedir — Ne Değildir?
Sıfır güven bir ürün değil, bir mimari prensip. “Sıfır güven çözümümüzü satın aldık” cümlesini duyan güvenlik mühendisleri genellikle iç çeker çünkü bu, birkaç araçla değil; kimlik, ağ, cihaz ve veri katmanlarında köklü bir yeniden yapılanmayla mümkün olan bir geçiş.
NIST SP 800-207 belgesi sıfır güveni beş temel ilke üzerine oturtuyor: her kaynağa her erişim doğrulanır; en az ayrıcalık prensibi uygulanır; mikro-segmentasyon ile yanal hareket kısıtlanır; tüm oturumlar şifrelenir; erişim sürekli olarak izlenir ve davranış anomalileri değerlendirilir.
Adım 1: Kimlikleri ve Erişim Yollarını Haritalandır
Başlamadan önce mevcut durumu anlamak gerekiyor. Kuruluşunuzdaki tüm insan hesapları, servis hesapları ve makine kimliklerini listeleyin. Çoğu kurumda bu liste ilk kez yapıldığında şaşırtıcı çıkar: aktif olduğu bilinmeyen servis hesapları, 5 yıl önce ayrılan çalışanlara ait hesaplar, ya da aynı paylaşılan kimlik bilgisiyle çalışan düzinelerce uygulama.
Bu haritalama için CyberArk Privilege Cloud, SailPoint veya Microsoft Entra ID Identity Governance kullanılabilir. Açık kaynak tarafında Teleport, SSH ve Kubernetes erişim yönetimi için güçlü bir alternatif.
Adım 2: Çok Faktörlü Kimlik Doğrulamayı Zorunlu Kıl
MFA, sıfır güven mimarisinin en temel ve en çabuk hayata geçirilebilen katmanıdır. SMS tabanlı MFA NIST tarafından artık önerilmiyor — SIM takası saldırıları karşısında yetersiz. TOTP (Google Authenticator, Authy) veya FIDO2/WebAuthn standardına uygun donanım anahtarları (YubiKey 5 serisi) tercih edilmeli.
Kritik sistemler için ayrıca bağlamsal erişim politikaları uygulanabilir: kullanıcı her zamankinden farklı bir konumdan veya saatte erişiyorsa ek doğrulama tetiklensin. Google’ın BeyondCorp mimarisi bu yaklaşımı 2010’dan bu yana kullanıyor; şirket içi sistemlere erişim için VPN değil, kimlik ve cihaz sağlığı doğrulaması gerekiyor.
Adım 3: Mikro-Segmentasyon Uygula
Geleneksel ağ güvenliği düz (flat) iç ağ yapısına dayanır: çevreye girdikten sonra her şeye ulaşılabilir. Mikro-segmentasyon bu yapıyı küçük bölgelere ayırır ve her bölge arası trafiği kurallarla kısıtlar. Bir veritabanı sunucusu yalnızca belirli uygulama sunucularından gelen trafiği kabul eder; başka hiçbir dahili kaynaktan değil.
Uygulama için iki yol var. Ağ düzeyinde SDN (Software-Defined Networking) araçlarıyla VLAN ve firewall kuralları oluşturulur — geleneksel ama etkili. İş yükü düzeyinde ise Guardicore (artık Akamai Guardicore Segmentation) veya Illumio gibi araçlar, uygulamanın kendisine agent kurar ve süreç bazında izin verir. İkinci yöntem bulut-native ortamlarda çok daha esnek.
Adım 4: Cihaz Güveni ve Endpoint Sağlığı
Sıfır güvende “kim olduğun” kadar “hangi cihazdan bağlandığın” da önemli. MDM (Mobile Device Management) çözümleri — Jamf (macOS/iOS) veya Microsoft Intune — cihazların güncel, şifreli ve kuruluş politikalarına uygun olduğunu doğrular. Bu doğrulama, erişim kararının bir girdisi haline getirilir: yama yapılmamış bir cihazdan kritik sisteme erişim reddedilir.
Device trust akışı şöyle çalışır: kullanıcı identity provider’a (Okta, Entra ID) kimliğini doğrular → IdP, MDM’e cihaz sağlık durumunu sorar → MDM cihazın uyumlu olduğunu onaylar → erişim verilir. Bu üç adımlı akışı manuel yapılandırmak karmaşık; bu yüzden Cloudflare Zero Trust veya Zscaler Private Access gibi SASE (Secure Access Service Edge) platformları bu entegrasyonu hazır sunar.
Adım 5: Sürekli İzleme ve Davranış Analizi
Sıfır güven statik değil: erişim verildi, iş bitti değil. Her oturum süresince davranış izlenir. Kullanıcı mesai saatlerinde erişiyor mu, yoksa gece 3’te mi? Normal veri transferi hacminin 10 katını mı gönderiyor? Bu sorular UEBA (User and Entity Behavior Analytics) araçlarıyla yanıtlanır.
Splunk UBA, Microsoft Sentinel veya Elastic Security bu kategorinin önde gelen isimleri. SIEM ile entegre çalışırlar: şüpheli davranış otomatik olarak erişimi kısıtlayan veya hesabı kilitleyen bir playbook tetikler. Tamamen otomatik müdahale riskli olabilir (false positive maliyeti); genellikle hibrit bir yaklaşım tercih edilir: düşük güvenlik puanlı hesaplar ek doğrulamaya yönlendirilir, çok düşük olanlarda oturum otomatik sonlanır.
Geçiş Süreci Gerçekçi Bir Takvim İster
Büyük bir kurumun sıfır güvene tam geçişi 2-4 yıl sürer. Bu süreyi kısaltmaya çalışmak operasyonel riskleri artırır. Mantıklı bir sıra şudur: önce kimlik ve MFA (6-12 ay), ardından kritik uygulamalarda mikro-segmentasyon (12-18 ay), sonra cihaz güveni ve SASE entegrasyonu. Tüm bu süreçte ağ erişim logları tutulmalı ve düzenli olarak kimin neye neden eriştiği gözden geçirilmeli. Sıfır güven, kurulduktan sonra unutulan bir altyapı değil; aktif olarak bakılan bir güvenlik duruşudur.
