Sıfır Güven (Zero Trust) Mimarisine Giriş: "Asla Güvenme, Her Zaman Doğrula"

Geleneksel ağ güvenliği, bir “çevre duvarı” (perimeter) mantığına dayanırdı: dışarısı tehlikeli, içerisi güvenli. Bir kez içeri giren (VPN veya iç ağ) büyük ölçüde güvenilir sayılırdı. Uzaktan çalışma, bulut ve mobil cihazlarla bu model çöktü: “içerisi” ve “dışarısı” artık net değil. Sıfır Güven (Zero Trust) mimarisi, bu yeni gerçekliğe yanıttır.

Temel ilke: “asla güvenme, her zaman doğrula”

Zero Trust’ın özü basittir: hiçbir istek, konumu ne olursa olsun, otomatik güvenilmez. İç ağdan gelmek bir güven gerekçesi değildir. Her erişim isteği, her seferinde kimlik, cihaz ve bağlam temelinde doğrulanır ve yetkilendirilir.

Bu, “çevre yok” demek değildir; “tek ve mutlak bir güven sınırına dayanma” demektir. Saldırgan bir kez içeri girse bile, her adımda yeniden doğrulama gerektiği için yanal hareketi zorlaşır.

Zero Trust’ın bileşenleri

1. Güçlü kimlik doğrulama: Her erişimde doğrulanmış kimlik; MFA yaygın bir gerekliliktir.
2. Cihaz güveni: Erişen cihazın durumu (güncel, yönetilen, uyumlu mu) değerlendirilir.
3. En az ayrıcalık: Her kimliğe yalnız gereken erişim; geniş, kalıcı yetkilerden kaçınılır.
4. Mikro-segmentasyon: Ağ, geniş “güvenli bölgeler” yerine küçük, izole segmentlere bölünür; bir segmentin ele geçmesi diğerlerine yayılmaz.
5. Sürekli doğrulama ve izleme: Erişim tek seferlik değil; bağlam değiştikçe (anormal davranış, yeni konum) yeniden değerlendirilir.

Pratikte nereden başlanır?

Zero Trust bir ürün değil, bir yaklaşımdır; kademeli uygulanır:

• Kritik varlıkları ve kimlikleri belirleyin.
• MFA’yı yaygınlaştırın ve en az ayrıcalığı uygulayın.
• Düz ağları segmentlere bölün.
• Erişimi konuma değil, doğrulanmış kimlik + cihaz + bağlama dayandırın.

Özet

Sıfır Güven, “içerisi güvenli” varsayımını terk eder: her erişim, konumundan bağımsız olarak doğrulanır. Bileşenleri güçlü kimlik doğrulama, cihaz güveni, en az ayrıcalık, mikro-segmentasyon ve sürekli izlemedir. Bir ürün değil, kademeli uygulanan bir mimari yaklaşımdır; amacı, bir ihlalin etkisini olabildiğince sınırlamaktır.

Kaynaklar: NIST SP 800-207 (Zero Trust Architecture), CISA: Zero Trust Maturity Model.

Dış yüzeyinizde “içeriden güvenli” sanılan ama internete açık kalmış servisler var mı? CyberTestify’ın taraması, internetten görünen erişim noktalarını haritalar.