Sıfır güven nedir?
Sıfır güven (Zero Trust), ağın içinde veya dışında olması fark etmeksizin hiçbir kullanıcıya, cihaza ya da servise varsayılan olarak güvenilmeyen bir güvenlik yaklaşımıdır. Her erişim isteği doğrulanır, yetkilendirilir ve sürekli izlenir; ilke “asla güvenme, her zaman doğrula” şeklinde özetlenir.
Geleneksel modelde kurumsal ağın içi güvenli kabul edilirdi. Bulut, uzaktan çalışma ve hosting ortamlarında bu sınır belirsizleştiği için sıfır güven daha gerçekçi bir model sunar.
Neden önemlidir?
Bir saldırgan tek bir hesabı veya sunucuyu ele geçirdiğinde, ağ içinde serbestçe dolaşabiliyorsa zarar büyür. Sıfır güven bu yanal hareketi sınırlar, çünkü her adım yeniden kimlik ve yetki kontrolünden geçer.
Temel bileşenleri şunlardır:
- Güçlü kimlik doğrulama ve çok faktörlü doğrulama
- En az yetki ilkesi
- Ağ segmentasyonu
- Cihaz sağlığı ve durum kontrolü
- Sürekli izleme ve kayıt tutma
Sunucu ve hosting ortamında
Sunucu yönetiminde bu yaklaşım; SSH erişiminin yalnızca anahtar ve çok faktörlü doğrulamayla, belirli IP’ler veya VPN üzerinden verilmesi, kontrol paneli (cPanel, Plesk, DirectAdmin) girişlerinin iki adımlı doğrulamayla korunması ve veritabanı portlarının dışarıya kapatılması anlamına gelir.
Aynı sunucuda çalışan uygulamalar arasında da güven varsaymayın: her site ayrı kullanıcıyla, ayrı yetkilerle çalıştırılmalı ve servisler yalnızca ihtiyaç duydukları kaynaklara erişebilmelidir.
Nasıl uygulanır?
- Tüm yönetim erişimlerinde çok faktörlü doğrulamayı zorunlu kılın.
- Kullanıcılara ve servislere yalnızca gereken yetkileri verin ve düzenli gözden geçirin.
- Ağı segmentlere bölüp aralarına güvenlik duvarı kuralları koyun.
- Yönetim arayüzlerini internete açmak yerine VPN veya bastion sunucu arkasına alın.
- Oturum ve erişim kayıtlarını merkezi olarak toplayıp anormal davranışları izleyin.
- Kullanılmayan hesap, anahtar ve servis erişimlerini kaldırın.
Sık yapılan hatalar
- Sıfır güveni tek bir ürün satın alarak çözülecek bir iş sanmak.
- Ağ içindeki sunucular arası trafiğe hâlâ koşulsuz izin vermek.
- Çok faktörlü doğrulamayı yalnızca bazı hesaplara uygulamak.
- Yetkileri bir kez verip bir daha gözden geçirmemek.
Sık sorulan sorular
Sıfır güven modeli ne işe yarar?
Bir hesap ya da sunucu ele geçirildiğinde saldırganın diğer sistemlere yayılmasını zorlaştırır. Böylece olası bir ihlalin etkisi sınırlı kalır.
Sıfır güven ile VPN arasındaki fark nedir?
VPN, ağa bir kez bağlanmayı ve içeride geniş erişimi esas alır. Sıfır güven ise her kaynak için ayrı doğrulama ve yetkilendirme ister; VPN bu modelin bir parçası olabilir ama tek başına yeterli değildir.
Küçük bir site sahibi için sıfır güven gerekli mi?
Tam kurumsal uygulama gerekmez, ancak çok faktörlü doğrulama, en az yetki ve yönetim erişimlerinin kısıtlanması gibi temel ilkeler her ölçekte işe yarar.
İlgili terimler
- SMTPE-posta gönderiminde kullanılan standart protokol.
- SPFBir alan adı adına hangi sunucuların e-posta gönderebileceğini bildiren DNS kaydı.
- SSHUzak sunucuya şifreli bağlanıp komut çalıştırmaya yarayan protokol.
- Ters DNS (PTR kaydı)Bir IP adresinden alan adına çözümleme yapan DNS kaydı; e-posta sunucuları için itibar açısından önemlidir.
- Ters vekil (reverse proxy)İnternetten gelen istekleri karşılayıp arkadaki uygulamalara ileten sunucu.
- VLANAynı fiziksel ağı mantıksal olarak birbirinden ayrılmış ağlara bölme tekniği.