Sıfır Güven Mimarisi: Ağ Güvenliğinde "Asla Güvenme, Her Zaman Doğrula" Yaklaşımı

Kale-Hendek Güvenliğinin Sonu

Onlarca yıl boyunca kurumsal güvenlik kale-hendek modeline dayandı: güçlü bir çevre (güvenlik duvarı) inşa et ve içerideki her şeye güven. Şirket ağındaki çalışanlar güvenilirdi. VPN kullanıcıları güvenilirdi. İç servisler serbestçe iletişim kuruyordu.

Sonra bulut bilişim, uzaktan çalışma ve çevre güvenliğini tamamen atlayan sofistike saldırılar geldi. 2020 SolarWinds ihlali, ağ içindeki saldırganların aylarca fark edilmeden yanal hareket edebildiğini kanıtladı. CrowdStrike kesintisi ise güvenlik ajanlarının çekirdek seviyesinde ne kadar derine gömüldüğünü ve başarısız olduklarında neler olabileceğini gösterdi.

Sıfır Güven modeli işleri tersine çeviriyor: ağın zaten ele geçirildiğini varsay. Her isteği, her seferinde, nereden geldiğine bakılmaksızın doğrula.

Sıfır Güvenin Temel İlkeleri

NIST SP 800-207 çerçevesi, Sıfır Güveni şu ilkelerle tanımlar:

Sıfır Güven Mimarisi İlkeleri:

1. Açıkça Doğrula
   └─ Tüm veri noktalarına dayanarak kimlik doğrulama ve yetkilendirme yap:
      kimlik, konum, cihaz sağlığı, servis, veri sınıflandırması,
      anomaliler ve gerçek zamanlı risk değerlendirmesi

2. En Az Ayrıcalık Erişimi Kullan
   └─ Kullanıcı erişimini şunlarla sınırla:
      ├─ Tam Zamanında (JIT) erişim
      ├─ Yeterli Düzeyde Erişim (JEA)
      ├─ Risk tabanlı uyarlanabilir politikalar
      └─ Veri koruma (şifreleme, segmentasyon)

3. İhlal Varsay
   └─ Patlama yarıçapını küçült ve erişimi segmentlere ayır:
      ├─ Mikrosegmentasyon
      ├─ Uçtan uca şifreleme
      ├─ Sürekli izleme
      └─ Otomatik tehdit algılama ve müdahale

Geleneksel Güvenlik vs. Sıfır Güven

Sıfır Güven Mimari Yığını

Eksiksiz bir Sıfır Güven uygulaması birden fazla katman içerir:

Sıfır Güven Mimari Yığını:

┌──────────────────────────────────────────┐
│           Kimlik ve Erişim               │
│  ├─ Kimlik Sağlayıcı (Azure AD, Okta)   │
│  ├─ Çok Faktörlü Kimlik Doğrulama (MFA) │
│  ├─ Koşullu Erişim Politikaları          │
│  └─ Ayrıcalıklı Erişim Yönetimi (PAM)   │
├──────────────────────────────────────────┤
│           Cihaz Güvenliği                │
│  ├─ Uç Nokta Algılama ve Müdahale (EDR) │
│  ├─ Cihaz Uyumluluk Kontrolleri          │
│  ├─ Mobil Cihaz Yönetimi (MDM)           │
│  └─ Cihaz Sağlık Doğrulaması            │
├──────────────────────────────────────────┤
│           Ağ Güvenliği                   │
│  ├─ Mikrosegmentasyon                    │
│  ├─ Yazılım Tanımlı Çevre (SDP)         │
│  ├─ DNS Filtreleme                       │
│  └─ Şifreli İletişim (mTLS)             │
├──────────────────────────────────────────┤
│           Uygulama Güvenliği             │
│  ├─ Güvenli Erişim Hizmet Kenarı (SASE) │
│  ├─ Bulut Erişim Güvenlik Aracısı (CASB)│
│  ├─ Web Uygulama Güvenlik Duvarı (WAF)  │
│  └─ Kimlik Doğrulamalı API Gateway       │
├──────────────────────────────────────────┤
│           Veri Güvenliği                 │
│  ├─ Veri Kaybını Önleme (DLP)            │
│  ├─ Durağan ve Aktarım Şifrelemesi       │
│  ├─ Veri Sınıflandırma                   │
│  └─ Haklar Yönetimi                      │
├──────────────────────────────────────────┤
│           Görünürlük ve Analitik         │
│  ├─ SIEM (Güvenlik Bilgi ve Olay Yön.)   │
│  ├─ UEBA (Kullanıcı Davranış Analizi)    │
│  ├─ SOAR (Otomatik Müdahale)             │
│  └─ Sürekli Uyumluluk İzleme            │
└──────────────────────────────────────────┘

Google BeyondCorp: Sıfır Güvenin Öncüsü

Google BeyondCorp, büyük ölçekli ilk Sıfır Güven uygulamalarından biriydi. 2009'daki Operation Aurora saldırısından (Çinli bilgisayar korsanlarının Google altyapısını hedef alması) sonra Google, ayrıcalıklı iç ağ kavramını tamamen ortadan kaldırmaya karar verdi.

BeyondCorp ilkeleri:

• Servislere erişim, ağ konumuna göre belirlenmez
• Erişim, cihaz durumu ve kullanıcı kimlik bilgilerine dayanarak verilir
• Tüm servis erişimleri kimlik doğrulamalı, yetkilendirilmiş ve şifreli olmalıdır
• Erişim politikaları dinamiktir ve cihaz durumuna göre değişebilir

BeyondCorp Erişim Akışı:

Kullanıcı İsteği → Erişim Proxy → Politika Motoru
                                       │
                        ┌───────────────┼───────────────┐
                        │               │               │
                  Kullanıcı Kimliği  Cihaz Güveni   Kaynak Politikası
                  (kim olduğun?)     (cihaz sağlıklı (bu kaynağa erişim
                                     mı?)            iznin var mı?)
                        │               │               │
                        └───────────────┼───────────────┘
                                        │
                                  Erişim Kararı
                               ┌────────┴────────┐
                               │                 │
                            İZİN VER          REDDET
                          (günlükleme ile)  (günlükleme ile)

Her Google çalışanı iç servislere bu sistem üzerinden erişiyor—VPN'e gerek yok. Aynı model artık diğer kuruluşlar için BeyondCorp Enterprise olarak sunuluyor.

Sıfır Güven Uygulaması: Pratik Adımlar

Adım 1: Kimlik Merkezli Güvenlik

Kimliği yeni çevre olarak konumlandır. Her erişim kararı güçlü kimlik doğrulama ile başlar:

# Örnek: Azure AD Koşullu Erişim Politikası
policy:
  name: "Tüm bulut uygulamaları için MFA zorunlu"
  conditions:
    users:
      include: tum_kullanicilar
      exclude: acil_durum_hesaplari
    applications:
      include: tum_bulut_uygulamalari
    locations:
      include: tum_konumlar
    device_platforms:
      include: [android, iOS, windows, macOS, linux]
    sign_in_risk_levels: [dusuk, orta, yuksek]
  grant_controls:
    operator: AND
    built_in_controls:
      - mfa
      - uyumlu_cihaz
  session_controls:
    sign_in_frequency: 12_saat
    persistent_browser: asla

Adım 2: Mikrosegmentasyon

Düz ağı izole segmentlere ayır. Her iş yükü yalnızca açıkça izin verilen eşlerle iletişim kurar:

# Kubernetes Ağ Politikası — Sıfır Güven mikrosegmentasyonu
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: api-server-politikasi
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: api-server
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        - podSelector:
            matchLabels:
              app: api-gateway
      ports:
        - protocol: TCP
          port: 8080
  egress:
    - to:
        - podSelector:
            matchLabels:
              app: postgres
      ports:
        - protocol: TCP
          port: 5432
    - to:
        - podSelector:
            matchLabels:
              app: redis
      ports:
        - protocol: TCP
          port: 6379
# Varsayılan: diğer tüm ingress/egress trafiği engellenir

Adım 3: mTLS ile Sürekli Doğrulama

Her servisten servise iletişim kimlik doğrulamalı ve şifreli olmalıdır:

# Python'da Karşılıklı TLS (mTLS) doğrulaması
import ssl
import http.client

def create_mtls_connection(host, port):
    """Karşılıklı TLS kimlik doğrulaması ile bağlantı oluştur."""
    context = ssl.SSLContext(ssl.PROTOCOL_TLS_CLIENT)

    # Sunucu sertifikası doğrulaması
    context.load_verify_locations("/etc/ssl/certs/ca-bundle.crt")

    # İstemci sertifikası (kimliğimizi sunucuya kanıtlar)
    context.load_cert_chain(
        certfile="/etc/ssl/certs/client.crt",
        keyfile="/etc/ssl/private/client.key"
    )

    context.check_hostname = True
    context.verify_mode = ssl.CERT_REQUIRED

    conn = http.client.HTTPSConnection(host, port, context=context)
    return conn

# Hem istemci hem sunucu birbirinin kimliğini doğrular
conn = create_mtls_connection("api.internal.example.com", 443)
conn.request("GET", "/api/v1/data")
response = conn.getresponse()

SASE: Bulut Çağının Sıfır Güven Ağı

Güvenli Erişim Hizmet Kenarı (SASE), ağ ve güvenlik hizmetlerini tek bir bulut tabanlı serviste birleştirir. Dağıtık kuruluşlar için Sıfır Güveni pratikte uygulanabilir kılan ağ mimarisidir:

Öncü sağlayıcılar: Zscaler, Cloudflare One, Palo Alto Prisma, Netskope.

Olgunluk Modeli: Neredesiniz?

2024'te çoğu kuruluş Seviye 1 ile Seviye 2 arasında. Tam Seviye 4+ uygulamalar, Google, Microsoft ve Netflix gibi teknoloji devleri dışında hâlâ nadir.

Gerçek Dünyadan Benimseme Örnekleri

• ABD Hükümeti: Yürütme Emri 14028 (Mayıs 2021), tüm federal kurumlar için 2024'e kadar Sıfır Güven zorunluluğu getirdi
• Microsoft: İç kaynaklarının %90'ının Sıfır Güven kontrolleri arkasında olduğunu raporluyor
• Cloudflare: Kendi kurumsal VPN'lerini Cloudflare Access (ZTNA) ile değiştirdi
• Finans sektörü: PCI DSS 4.0, kart sahibi verilerinin korunmasında Sıfır Güven ilkeleriyle uyum sağlıyor

Zorluklar ve Tuzaklar

1. Karmaşıklık: Sıfır Güven bir ürün değil—bir mimaridir. Hiçbir tek satıcı her şeyi kapsamaz
2. Eski sistemler: Ana bilgisayarlar ve OT (operasyonel teknoloji) sistemleri genellikle modern kimlik doğrulamayı destekleyemez
3. Kullanıcı sürtünmesi: Sürekli doğrulama, kötü uygulandığında kullanıcıları hayal kırıklığına uğratabilir
4. Maliyet: Tam uygulama; kimlik, EDR, SASE ve SIEM yatırımı gerektirir
5. Kültürel dönüşüm: "Güven ama doğrula" → "asla güvenme" zihinsel değişimi, kurumsal değişim yönetimi gerektirir

Nereden Başlamalı?

Sıfır Güven yolculuğuna başlayan kuruluşlar için:

1. Kimlikle başla: MFA'yı her yere dağıt, SSO uygula
2. Varlıkları envantere al: Bilmediğin şeyi koruyamazsın
3. Veriyi sınıflandır: Taç mücevherleri belirle, önce onları koru
4. Ağı segmentlere ayır: Kritik iş yüklerinden başla
5. Her şeyi izle: SIEM dağıt, tüm sistemlerde günlüklemeyi etkinleştir
6. Yinele: Sıfır Güven bir hedef değil, bir yolculuktur

Kale-hendek çağı sona erdi. Bulut, uzaktan çalışma ve sofistike tehditlerin dünyasında Sıfır Güven isteğe bağlı değil—minimum uygulanabilir güvenlik mimarisidir.

Kaynaklar: NIST SP 800-207, Google BeyondCorp, CISA Sıfır Güven Olgunluk Modeli