Zero-trust, "ağın içindeyse güvenilirdir" varsayımını bırakmak demek. Her erişim isteği, nereden geldiğine bakılmaksızın kimliğe ve bağlama göre ayrıca doğrulanır. Adı yanıltıcı: kimseye güvenmemek değil, güveni konuma değil kimliğe bağlamak anlamına geliyor.
Eski model neden yetmiyor
Klasik güvenlik modeli bir kaleye benzer: dışarısı tehlikeli, içerisi güvenli. Güvenlik duvarı kapıda durur, içeri giren serbestçe dolaşır. Bu model, uygulamaların tek bir veri merkezinde durduğu ve çalışanların ofisten bağlandığı dönemde işe yarıyordu.
Bugün ne uygulamalar tek yerde ne de kullanıcılar. İş yükleri bulutta, ofiste ve kimi zaman ikisinde birden. Bağlantılar evden, telefondan, üçüncü taraf servislerden geliyor. Kapının nerede olduğu belirsizleştikçe kapıyı korumak da anlamını yitiriyor.
Asıl belirleyici olan şu: saldırgan bir şekilde içeri girdiğinde hareket alanı ne kadar dar. Çevre güvenliği tek başına bu soruya cevap vermiyor. Bir makinenin ele geçirilmesi, yanındaki her makineye erişim anlamına geliyorsa olayın maliyeti katlanıyor.
Neden satın alınacak bir ürün değil
Piyasada "zero-trust çözümü" diye satılan çok sayıda ürün var ve hepsi işin bir parçasını çözüyor. Ama zero-trust bir kutu değil, bir dizi karar. Hangi servisin hangi servisle konuşmaya ihtiyacı olduğunu, hangi kullanıcının hangi veriye erişmesi gerektiğini kimse sizin yerinize bilemez.
Bu yüzden bir ürün alıp kurmakla zero-trust'a geçilmiyor. Geçiş, mevcut erişimlerin çıkarılması ve gereksiz olanların kapatılmasıyla başlıyor. Ürünler bu kararları uygulamayı kolaylaştırıyor, kararların kendisini vermiyor.
Hangi parçalardan oluşuyor
Kimlik doğrulama. Her erişim bir kimliğe bağlanır, paylaşılan hesaplar kaldırılır. Çok faktörlü doğrulama, çalınmış bir parolanın tek başına işe yaramamasını sağlar.
En az yetki. Herkes işini yapmaya yetecek kadar yetkiye sahip olur, fazlasına değil. Yetkiler düzenli gözden geçirilir; görev değişikliği ve ayrılmada erişim hakları güncellenir.
Mikro segmentasyon. Ağ, büyük bölgeler yerine iş yükü düzeyinde parçalara ayrılır. Servisler arası trafik varsayılan olarak kapalı tutulur, yalnızca ihtiyaç duyulan yollar açılır. Saldırgan bir sisteme girse bile yanındaki sisteme geçemez.
Sürekli doğrulama ve kayıt. Bir kez doğrulanıp sonsuza kadar güvenilmez. Ayrıcalıklı oturumlar kayıt altına alınır, erişim günlükleri merkezî olarak toplanır.
Bizde nasıl uygulanıyor
Güvenliği tek bir üründe değil, birbirini yedekleyen katmanlarda arıyoruz. Erişimler kişiye bağlı ve kayıt altında; paylaşılan yönetici hesabı kullanmıyoruz. Yönetim arayüzlerine erişimde çok faktörlü doğrulama zorunlu. Ağ tarafında segmentasyon uygulanıyor ve servisler arası trafik varsayılan olarak açık bırakılmıyor.
Bu yaklaşımın Kubernetes tarafındaki karşılığını, yani cluster içinde pod'lar arası trafiği nasıl daralttığımızı ve bunun üretimi durdurmadan nasıl yapıldığını mikro segmentasyon yazımızda anlattık. Hizmet olarak kapsamı zero-trust security sayfasında; sürekli izleme ve olay müdahalesi tarafını Security as a Service kapsamında veriyoruz.
VPN'i bırakmak gerekiyor mu
Hemen değil. VPN'in sorunu şifreleme değil; bağlandıktan sonra kullanıcıyı iç ağın güvenilir tarafına alması. Yani kimlik doğrulaması bir kez kapıda yapılıyor ve sonrasında kullanıcı, erişmesi gerekmeyen sistemleri de görebiliyor. Zero-trust bu varsayımı kaldırıyor.
Geçiş genelde kademeli yapılıyor: önce en kritik uygulamalar kimlik temelli erişimin arkasına alınıyor, VPN kalan sistemler için bir süre daha çalışmaya devam ediyor. İkisinin bir arada bulunduğu bu dönem geçici bir kusur değil, planlı bir aşama. Her şeyi aynı anda kesmek, çalışamaz hale gelen bir ekip ve aceleyle gevşetilen kurallar üretiyor.
Çok faktörlü doğrulamanın tek başına yeterli olup olmadığı da sık sorulan bir soru. Yeterli değil ama en yüksek getirili ilk adım: çalınmış parolanın tek başına işe yaramamasını sağlıyor. Kimlik doğrulandıktan sonra o kimliğin neye erişebileceğini sınırlamak ayrı bir iş ve zero-trust'ın asıl zor kısmı orada.
Nereden başlanır
Zero-trust'a geçmenin en yaygın hatası her şeyi aynı anda kapatmaya çalışmak. Trafiği tanımadan kural yazmak üretimi durdurur ve ekip, kuralları aceleyle gevşetir; sonuçta eskisinden daha karmaşık ama aynı derecede açık bir yapı kalır.
Bizim önerdiğimiz sıra şu:
- Önce mevcut trafiği bir süre yalnızca gözlemleyin, hangi servisin hangisiyle konuştuğunu çıkarın
- Paylaşılan hesapları kaldırın ve yönetim arayüzlerinde çok faktörlü doğrulamayı zorunlu yapın
- En kritik tek bir bölgeyi segmentleyin, üretimde çalıştığını görün
- Kalanları kademeli genişletin, her adımda geri dönüş yolunu açık tutun
Zafiyet tarafının nasıl ele alındığı için zafiyet yönetimi sayfasına, uyguladığımız tedbirlerin tamamı için güven merkezine, terimlerin kısa tanımları için sözlüğe bakabilirsiniz.
Son bir not: zero-trust bir bitiş çizgisi değil. Yeni bir servis eklendiğinde, bir ekip üyesi ayrıldığında ya da bir entegrasyon kurulduğunda erişim haritası yeniden değişiyor. Bu yüzden geçişi bir proje olarak değil, yetkilerin düzenli gözden geçirildiği sürekli bir işletim alışkanlığı olarak kurmak gerekiyor.