Sıfır güven

Açılış

Bir salı öğleden sonrası, depo planlama yazılımının tedarikçisinden bir teknisyen Kaan'ın şirketine bakım için geldi. Toplantı odasına alındı, dizüstü bilgisayarını masadaki duvar prizinin yanındaki ağ kablosuna taktı ve işine başladı.

Kaan bir saat sonra odaya uğradığında teknisyenin ekranında tanıdık bir sayfa gördü: şirketin iç bilgi sitesi açıktı. Teknisyen kötü bir şey yapmıyordu; tedarikçinin bakım belgesini ararken bir bağlantıya tıklamış ve kendini şirketin iç sayfalarında bulmuştu. İç bilgi sitesi kimseye parola sormuyordu. Yazıcıların yönetim sayfası da sormuyordu. Muhasebenin raporlama ekranı ise yalnız bir kullanıcı adı istiyordu, parola değil.

Kaan bunların nedenini biliyordu. Bu sistemler yıllar önce kurulurken bir varsayım yapılmıştı: bu ağa bağlanabilen biri zaten şirketin içindedir, içerideki biri de güvenilirdir. Kapıdan geçmiş herkes, evin her odasına girebilirdi.

Ama kapıdan kim geçiyordu? Tedarikçi teknisyenleri, temizlik ekibinin tableti, misafir odasındaki bir priz, evden bağlanan çalışanlar, bir gün ele geçirilebilecek herhangi bir bilgisayar. "İçeride olmak" artık neredeyse hiçbir şey söylemiyordu.

Kaan o akşam Gülay Hanım'a tek bir cümle yazdı: "Ağın içinde olmak, bir güvenlik kararı olmaktan çıkmış."

Tek fikir

Sıfır güven, ağın içinde olmayı bir kimlik sayılmaktan çıkarır. Her istek, nereden gelirse gelsin, kimlik, cihaz ve hedefine bakılarak ayrıca doğrulanır; erişim kaynak kaynak ve en dar yetkiyle verilir, güven sürekli yeniden tartılır.

Nasıl çalışır

Bu modülde katmanları, en az ayrıcalığı, varsayılan reddi ve görevlerin ayrılığını gördük. Sıfır güven bunları ağ sınırı varsayımına karşı bir araya getiriyor.

Eski düzenin adı yaygın olarak "kale ve hendek" diye anılır: dışarıya karşı güçlü bir sur, içeride ise serbest dolaşım. Bu düzen, çalışanların ofiste, sunucuların bir odada, verinin binanın içinde olduğu bir dünya için kurulmuştu. Bugün çalışanlar evden bağlanıyor, uygulamalar bulutta duruyor, kişisel telefonlar iş e-postası açıyor. Sur artık neyi çevrelediğini bilmiyor.

Bu yaklaşımın bugün en çok başvurulan tanımı ve ilkeleri, ABD'nin standart kurumunun bir mimari belgesindedir.

Bu ilkelerin üçü bu derste özellikle önemlidir.

Birincisi, ağ konumu güven değildir. Kaan'ın iç bilgi sitesi, teknisyenin bilgisayarının şirket ağında olmasını bir kimlik doğrulama gibi kabul ediyordu. Sıfır güven düzeninde iç bilgi sitesi de, dışarıdan gelen bir istek gibi, kim olduğunu sorar.

İkincisi, erişim kaynak kaynak verilir. Bir sisteme girmiş olmak, ötekilere girmek anlamına gelmez. Eski uzaktan erişim bağlantılarında bağlanan kişi çoğu zaman bütün iç ağı görür; sıfır güvende yalnız işi olan uygulamayı görür.

Üçüncüsü, cihazın durumu da sorulur.

Sıfır güvenin tek bir ürün ya da tek bir proje olmadığını, aşama aşama ilerleyen bir yol olduğunu, kamu kurumları için hazırlanmış bir olgunluk modeli açıkça gösterir.

Bu model, küçük kurumlar için de rahatlatıcı bir şey söyler: sıfır güvene bir günde geçilmez. Bir kurum kimlik alanında ilerlemişken ağ alanında henüz geleneksel aşamada olabilir. Önemli olan, her adımda örtük güvenin bir parçasını kaldırmaktır.

Sahada

Savunma

Sıfır güvenin savunmaya katkısı, bir saldırganın içeri girdikten sonra serbestçe dolaşmasını engellemesidir. Kale ve hendek düzeninde surun bir kez aşılması her şeyi açar; sıfır güvende her kapı ayrıca sorar.

Önce örtük güveni bul. İç ağda parola sormayan, yalnız ağ adresine bakan ya da "iç ağdan geliyorsa izin ver" diye kurulmuş her sistem bir adaydır. Gülay Hanım'ın tek sorusu, bu taramanın kendisiydi.

Sonra kimliği merkeze koy. Sistemleri ortak bir kimlik sistemine bağlamak, her birine ayrı parola yerine tek, güçlü ve ikinci adımlı bir kimlikle erişmeyi sağlar. Selin'in paneli, adres yerine kimliğe bağlanınca evden çalışma sorun olmaktan çıktı.

Sonra erişimi kaynak bazında daralt. Uzaktan bağlanan kişi bütün ağı değil, yalnız işi olan uygulamayı görmelidir. Bu, en az ayrıcalığın ağa uygulanmış hâlidir.

Cihazın durumunu da hesaba kat. Güncellenmemiş ya da şifrelenmemiş bir cihazdan gelen istek, doğru kullanıcıdan gelse bile daha riskli bir istektir. Bora'nın radyologları için bu şart, ilk hafta birkaç kişiyi bilgisayarını güncellemeye zorladı.

Ve aşamalı ilerle. CISA'nın olgunluk modelinin gösterdiği gibi, sıfır güven bir projede bitmez. En yüksek riskli sistemlerden ve en çok örtük güven taşıyan yerlerden başlanır.

Tespit tarafında sıfır güven daha zengin bir kayıt üretir: her erişim kararı kim, hangi cihaz, hangi kaynak ve hangi sonuç bilgisiyle kaydedilir. NIST'in yedinci ilkesi, bu bilginin güvenlik durumunu iyileştirmek için toplanmasını ister.

Uygulama

Kendi dijital hayatında örtük güvenin nerede olduğunu bulacak ve en az birini kaldıracaksın.

Bitirdiğinde, örtük güvenle erişilen her şeyin yanına şimdi neyin sorulduğunu yaz: parola, ikinci adım, ayrı ağ ya da hiçbir şey.

Defter: Parola sormadan erişilen ev cihazları ve yapılan değişiklikler, misafir ağı düzeni, güvenilen cihaz listesinden çıkarılanlar, kendi cihazlarının güncelleme ve şifreleme durumu. Hâlâ örtük güvenle açık kalan yerler ve nedeni.

Hata köşesi

Etik ve sınırlar

Sıfır güven, her erişimde daha fazla bilgi toplar: kim, hangi cihazdan, ne zaman, neye eriştiği. Bu bilgi çalışanlar hakkında kişisel veri içerir; amacı açıkça belirtilmeli, yalnız güvenlik için kullanılmalı ve gereğinden uzun saklanmamalıdır. Cihaz durumu kontrolü, özellikle çalışanların kişisel cihazlarında, mahremiyete dokunur; bir kurum kişisel bir telefondan iş e-postası açılmasına izin verirken o telefonun bütün içeriğini izleme hakkı kazanmaz, yalnız iş için gereken asgari kontrolü yapar ve bunu çalışana açıkça anlatır. Bir sistemin örtük güvene dayanıp dayanmadığını öğrenmek için, yetkin ve iznin olmayan bir ağa bağlanıp parola sormayan sayfaları gezmek, Kaan'ın tedarikçi teknisyeni gibi kazara olsa bile, fark edildiğinde bildirilmesi gereken bir durumdur; bilerek yapıldığında ise izinsiz erişimdir.

Kapanış

1. Sıfır güven, bir kullanıcıya ya da cihaza yalnız ağın içinde olduğu ya da kuruma ait olduğu için güvenmemektir; örtük güven kaldırılır, her istek kimlik ve bağlamla doğrulanır.
2. Erişim kaynak kaynak ve en az ayrıcalıkla verilir; bir sisteme girmiş olmak ötekilere girmek anlamına gelmez, cihazın durumu da kararın parçasıdır.
3. Sıfır güven bir ürün değil, alan alan ve aşama aşama ilerleyen bir yoldur; en çok örtük güven taşıyan yerlerden başlanır ve her erişim kararı kaydedilip güvenlik durumunu iyileştirmek için kullanılır.

Üç soru

1. Tedarikçi teknisyeni Kaan'ın şirketinin iç bilgi sitesine nasıl ulaştı ve bu, hangi varsayımın çöktüğünü gösterir?
2. Bora radyologların uzaktan erişimini nasıl değiştirdi ve bu sıfır güvenin hangi ilkelerine karşılık gelir?
3. Selin'in ekibi müşteri hizmetleri panelini neden adresten kimliğe bağladı?

Yanıtlar

1. Toplantı odasındaki ağ kablosuna takılan bilgisayar şirket ağına bağlandı ve iç bilgi sitesi parola sormadığı için açıldı. Çöken varsayım, ağa bağlanabilen herkesin şirketin içinden ve güvenilir olduğuydu; yani ağ konumuna dayalı örtük güvendi.
2. Bağlantı kurulunca bütün iç ağı görmek yerine radyologlar yalnız görüntü okuma uygulamasına erişebilir oldu; her girişte ikinci adım soruldu ve bağlanan bilgisayarın güncel ve şifreli olması şartı arandı. Bu, erişimin kaynak bazında ve en az ayrıcalıkla verilmesi, kimlik doğrulamanın erişimden önce sıkı uygulanması ve cihaz durumunun karara katılması ilkelerine karşılık gelir.
3. Panelin güvenliği yalnız ofisin internet adresine dayanıyordu ve evden çalışma bu kısıtı geçersiz kıldı. Bütün adreslere açmak, korumayı yalnız bir paroladan ibaret bırakacaktı. Kimliğe bağlanınca panel nereden açıldığına değil kimin açtığına baktı: ortak kimlik sistemi, zorunlu ikinci adım ve erişim kaydı.

Sonraki derse köprü

Bu modülde yedi ilkeyi tek tek gördük: derinlemesine savunma, en az ayrıcalık, varsayılan güvenlik, görevlerin ayrılığı, küçük saldırı yüzeyi, güvenli başarısızlık ve sıfır güven. İlkeleri bir ofise uygulamak dersi, yirmi kişilik bir ofisin mimarisini bu ilkelerle baştan çiziyor.