Sıfır Güven Modeli: Bu Güvenlik Çerçevesi Nasıl Uygulanır?

Her ortaklıkta güven esastır.

Müşteriler, bilgilerini güvende tutma konusunda kuruluşlara güvenir. Bu güveni sürdürmek ve verilerini güvende tutmak için şirketinizin veri güvenliği konusunda dikkatli olmanız gerekir. Ve sıfır güven, tam da bunu yapmanıza yardımcı olur.

Sıfır güven, bir kuruluşun gizliliğini, bütünlüğünü ve kullanılabilirliğini korumaya yardımcı olan bir güvenlik çerçevesidir. Geçmişte kimliği doğrulanmış ve doğrulanmış olsalar bile tüm kullanıcılara güvenmez ve bir kaynağa her eriştiklerinde doğrulanmalarını gerektirir.

Bu ek güvenlik katmanı, kötü niyetli kişilerin hassas verilere erişmesini engeller ve yalnızca yetkili kullanıcıların sisteme erişmesini sağlayarak ağlarınızı güvende tutar.

Sıfır güven modeli nedir?

Sıfır güven modeli, riski azaltmak ve paylaşılan verilere erişimi kontrol etmek için geleneksel veri güvenliği çerçevesine karşı bir nokta olarak ortaya çıktı. Bu veri güvenliği çerçevesi, bilgilerin kuruluş içinde nasıl paylaşıldığını ve güvenceye alındığını ana hatlarıyla belirtir.

Geleneksel güvenlik çerçevesi, "güven ama doğrula" fikrine dayanmaktadır. Bu durumda, bir cihaz doğrulandıktan ve güvenildikten sonra her zaman güvenilir kalır ve sonraki kullanımlar için doğrulanması gerekmez; hiçbir şey değişmezse.

Örneğin, telefonunuzu evinizin WiFi ağına ilk kez bağlarken, WiFi şifresi veya cihaz detayları değişmediği sürece telefonunuzun bağlantısı otomatik olarak kesilecek ve yeniden bağlanacaktır. Doğrulama adımı yalnızca bu cihazın daha önce bağlandığını kanıtlar. Bir kez güvenildiğinde, her zaman güvenilir olacaktır.

Buna karşılık, sıfır güven modeli “asla güvenme, her zaman doğrula” üzerine kuruludur. Sıfır güven mimarisi (ZTA) veya kısaca sıfır güven modeli olarak da bilinen sıfır güven güvenlik modeli, BT sistemleri için çevresiz bir güvenlik mimarisi sağlayan bir tasarım felsefesidir.

Başka bir deyişle, sıfır güven modelinin bileşenleri, sistemin kendisi ile herhangi bir bağlı cihaz veya hesap arasında otomatik ve karşılıklı olarak kimlik doğrulaması ve yetkilendirme yapacak şekilde davranır. Bu, özellikle erişim kararları verilirken güvenlik süreçlerindeki belirsizliği ortadan kaldırır.

Sıfır güven modelinde, kimlik doğrulama ve yetkilendirme çok daha sık gerçekleşir. Bir cihazın veya hesabın daha önce ağa bağlı olması, cihazın hala güvenli olduğu anlamına gelmez.

Kullanıcıların ağa her eriştiklerinde yeniden kimlik doğrulaması yapmalarını gerektirmenin yanı sıra, bazı sistemler kullanıcı oturumları sırasında belirli aralıklarla kimlik doğrulama kontrolleri gerektirir. Başka bir politika, hareketsizlik kontrolleri olabilir: Bir kullanıcı birkaç dakika sonra aktif olmazsa, sistem, kullanıcı geri dönüp tekrar kimlik doğrulaması yapana kadar hesabını oturumu kapatmaya zorlar.

Kaynak: Satori Siber

Veri yönetişimi ve sıfır güven

Veri yönetişimi, kuruluşunuzun uyumlu kalmasını ve verilerinizin doğru, güncel ve güvenli olmasını sağlar. Başlangıcından bu yana ZTA, özellikle bankalar, sosyal medya veritabanları ve devlet kurumları gibi veri güvenliği en üst düzeyde olan şirketler arasında yer ve popülerlik kazanmaya devam etti.

Aslında, Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), 2018'de yayınlanan ve artan sayıda yüksek profilli veri ihlaline yanıt olarak Mayıs 2021'de standart hükümet protokolü olarak kabul edilen SP 800-207 belgesinde sıfır güveni açıklamaktadır.

Artık birçok işletme, büyüklüklerinden bağımsız olarak sıfır güven modellerini benimsiyor. Bunun nedeni, veritabanlarının ve kullanımlarının daha karmaşık hale gelmesi ve bu verilerin çalınması, bozulması veya başka bir şekilde kurcalanması durumunda potansiyel risklerdeki artıştan bahsetmeye bile gerek yok.

Güvenlik ilkeleri, yetkilendirme süreçleri ve diğer destekleyici bileşenlere sahip sıfır güven mimarisi, verilerinizi verimli bir şekilde korur.

Sıfır güven modelinin 3 ilkesi

Farklı ülkelerin farklı sıfır güven politikaları vardır. Örneğin, Amerika Birleşik Devletleri NIST'in SP 800-207 belgesine atıfta bulunurken, İngiltere'nin Ulusal Siber Güvenlik Merkezi (NCSC) sıfır güvenin temel ilkelerini anlıyor. Ülkeden bağımsız olarak, sıfır güven güvenliği üç ana ilkeye indirgenir:

• Güven yaklaşımı: verilere nasıl erişilir (asla güvenme, her zaman doğrula)
• Güvenlik duruşu: veri erişimini hangi güvenlik politikaları ve prosedürleri yönetir (ihlallerin olacağını varsayın; "patlama yarıçapını en aza indirmek için elinizden geleni yapın")
• Veri koruması: Veriler erişim öncesinde, sırasında ve sonrasında nasıl korunur (en az ayrıcalık ilkesini uygulayın)

güven yaklaşımı

Verilere nasıl erişildiğinin yanıtı, güven yaklaşımınızı "asla güvenme, her zaman doğrula" veya "güven ama doğrula" şeklinde belirleyecektir. Veri erişimi, özellikle üretim verileri, bir kuruluş için temel odak noktasıdır.

Bu erişim, kuruluş için değer üretmek açısından kritik öneme sahiptir. Ancak, maruz kalma riski vardır. Çoğu şirket hassas verileri veritabanlarında, ambarlarında ve göllerinde sakladığından, bu bilgilere erişimin kontrol edilmesi ve güvence altına alınması gerekir.

Güvenlik politikaları

Veri erişimini yöneten politikalar ve kurallar, veri ihlali olasılığını ve sonuçlarını azaltır. Açık ve belirleyici bir veri güvenliği politikası geliştirmelisiniz.

"Sıfır güven" yaklaşımına sahip veri güvenliği politikaları, erişim izni vermeden önce veri erişim isteklerinin kapsamlı bir şekilde incelenmesine yardımcı olur. Erişim kurallarını belirleyen net bir veri güvenliği politikasına sahip olmak gereklidir. Veri ihlalleri birçok biçimde olabilir ve güvenlik ilkeleri her zaman önde olmanıza ve tetikte olmanıza yardımcı olur.

Veri koruması

Bu ilke, verileri, özellikle de hassas verileri nasıl güvenceye alacağınızı yönetir. Erişimi ayarlayabilirsiniz, böylece herkes verilere erişebilir veya erişimi rollere veya özniteliklere göre kısıtlayabilir. Sıfır güven, yetkisiz erişimi olabildiğince kısıtlar.

Sıfır güven ilkelerinin tümü, diğerlerinin yanı sıra yetkilendirme ve kimlik doğrulama, kullanıcı kimlik bilgileri ve veri yönetişimi dahil olmak üzere standart veri güvenliği önlemleri ve politikalarıyla bağlantılıdır.

Güvenlik ekibiniz bu sorunları ele alarak, otomatik olarak kimlik doğrulama ve güvenlik kontrolleri gerçekleştiren, bir ihlal durumunda insan hatasını veya veritabanındaki kalıcı hasarı sınırlayan bir mimari oluşturur.

Sıfır güven veri erişim ilkesi oluşturma

Hiçbir şey bir şirketin itibarını bir veri güvenliği olayından daha hızlı yok edemez. Bu nedenle, verilerin yedeklenmesi çok önemlidir. Kredi kartı numaraları ve resmi belgelerden (sosyal güvenlik numaraları, doğum sertifikaları, pasaportlar ve diğer kimlik türleri gibi) banka bilgilerine ve fiziksel adreslere kadar pek çok bilgi yanlış ellere geçme riski altındadır.

Şirketinizin veri tabanı bir kale ise, veri erişimi ve erişimi yöneten kontroller, tehditleri gözetleyen ilk kapılar ve nöbetçilerdir.

Bahsedildiği gibi, geleneksel "güven ama doğrula" modeli işin yarısını yapar - tehditlere bakar. Ancak bir cihazı veya kullanıcıyı güvenli olarak işaretledikten sonra, artık güvenli olmayana kadar her zaman güvenli kabul edilir. Her iki durumda da, hesap bir kez girdikten sonra, ön yetkilendirme kullanıcının veritabanında nereye gidebileceğini gösterdiğinden, devam eden güvenlik kontrolleri nadirdir.

Sıfır güven modeliyle, bir kullanıcı veritabanına aynı cihazdan ne sıklıkta erişirse erişsin, erişim kontrolü veritabanını bilinmeyen bir varlık olarak ele alır. Kullanıcı hesabı doğru bir şekilde tanımlanıp yetkilendirilene kadar güvenlik kontrolü tamamlanmaz.

Hesap kullanıcısının olması gereken yerde olduğundan emin olmak için düzenli aralıklarla pasif olarak ek güvenlik kontrolleri yapılır. Önceden tanımlanmış limitleri aşarlarsa, şüpheli davranırlarsa veya devre dışı kalırlarsa, hesabın bağlantısını kesmek ve verileri korumak için çeşitli güvenlik süreçleri devreye girer.

Sıfır güven modeli kullanan veritabanının potansiyel veya kanıtlanmış ihlallerle nasıl başa çıktığına bakılmaksızın, geçerli erişim politikaları, kuralları ve prosedürleri önemlidir. Kurallar olmadan, tutarlı bir güvenlik uygulaması olmaz ve kullanıcılar, güvenliklerini pervasızca hiçe sayarak veritabanına ve içeriğine erişebilir.

Sıfır güven erişim politikası geliştirirken aşağıdakileri göz önünde bulundurun:

• Kullanıcı hesabı bağlantılarını nasıl doğrulamalı, yetkilendirmeli ve şifrelemelisiniz?
• Tek bir oturum sırasında kullanıcı hesapları ne sıklıkla kontrol edilmelidir?
• Bir hareketsizlik zamanlayıcısı kullanmalı mısınız ve eğer öyleyse, sistem oturumu kapatana kadar bir hesap oturum sırasında ne kadar süreyle aktif olmayabilir?
• Parola politikanız ne kadar güçlü olmalı ve bu parolalar ne sıklıkta değiştiriliyor? Kullanıcıların parolalarını bulmaları mı gerekiyor yoksa sistem tarafından otomatik olarak mı oluşturuluyor?
• Bazı cihaz ve bağlantı türlerinin diğerlerinden daha güvenli olduğu düşünülüyor mu (örneğin, kullanıcıların ofiste kuruluşa ait belirli bir cihazda oturum açması gerekiyor mu veya ev bilgisayarlarından uzaktan oturum açabiliyorlar mı)?

Bu soruların yanıtlarını aldıktan sonra, veritabanı güvenlik mimarinizi herhangi bir veri erişim tehdidine otomatik olarak yanıt verecek şekilde tasarlayabilirsiniz. Ek olarak, güvenlik ekibiniz net politikalar ve kurallar oluşturarak veritabanını daha hızlı ve verimli bir şekilde denetleyebilir, beklentileri tutarlı bir şekilde uygulayabilir ve veritabanı mimarisini daha derinden anlayarak zaman içinde geliştirebilir.

Sıfır güven modelinin bileşenleri

Sıfır güven modelinin iki ana bileşeni vardır:

• Kullanıcı erişimi, kimlik doğrulama ve yetkilendirmeyi özetleyen temel bileşenler
• Bu süreçleri tamamlayan, güçlendiren ve başka şekilde etkileşime giren fonksiyonel bileşenler .

Her iki bileşen de veritabanınızın güvenli olmasını sağlamak için birlikte çalışır, uyumluluk sağlar, etkili denetim ve kullanıcı yönetimi sağlar ve gelecekteki güvenlik ve erişim kontrolü politikası değişikliklerinden haberdar olur.

Ana bileşenler

Daha önce bahsedilen veritabanı kalesini göz önünde bulundurun: temel bileşenler, ana kapıyı ve kullanıcıların bu kapıdan nasıl geçtiğini temsil eder. Kullanıcılar sisteme ilk bağlandıklarında, bir ilke uygulama noktası aracılığıyla güvenilmeyen bir bağlantı kurarlar.

Uygulama noktası iki bölümden oluşur:

• Politika motorları: kimlik bilgilerini doğrulamak için izinleri, ayrıcalıkları, yetkileri ve diğer faydalı meta veri biçimlerini yorumlayan erişim kontrolleri ve diğer sistem işlevleri.
• İlke yöneticileri: Motorların işlerini yapmasını sağlayan, potansiyel arızaları tespit eden ve sistemin arıza kasalarının kontrolü dışında bir ihlal meydana geldiğinde gerektiğinde müdahale eden insan operatörler.

Bir kullanıcı hesabı, ilke uygulama noktasında ilgili tüm kontrolleri geçerse, şirket kaynaklarına güvenilir erişim izni verilir. Çekirdek bileşenler iki düzeyde çalışır: kullanıcı, bağlantı, ilke uygulama noktası ve kaynaklar veri düzleminde bulunur ve ilke modülleri ve ilke yöneticileri kontrol düzleminde bulunur.

fonksiyonel bileşenler

Çekirdek bileşenler ana kapı ise, işlevsel bileşenler, duruma bağlı olarak harekete hazır mızrakları, eğitimleri ve emirleriyle donanmış muhafızlardır. Adından da anlaşılacağı gibi, işlevsel bileşenler, çekirdek bileşenleri ve bunların süreçlerini genişleterek (çeşitli güvenlik önlemleri uygulayarak) veya denetimler, analitik, kullanıcı kimliği ve hesap yönetimi gibi başka amaçlar için kullanarak hareket eder.

Bu liste eksiksiz olmamakla birlikte, sıfır güven modelindeki bazı yaygın işlevsel bileşenleri burada bulabilirsiniz:

• Veri güvenliği ve erişim politikaları: Veritabanına kimlerin, nasıl, ne zaman ve hangi bilgilere erişebileceğinin belirlenmesi.
• Şifreleme: Şifreleme, sistemle olan tüm bağlantıların ve iletişimlerin güvenli olmasını ve üçüncü taraflarca gizliliğinin ihlal edilmemesini sağlar.
• Uç nokta güvenliği: Kullanıcı cihazlarıyla bağlantılı giriş ve çıkış noktalarını güvenli ve istismara karşı yalıtılmış tutmaya yönelik politikalar ve prosedürler.
• IAM erişimi: Bir sistem içinde kullanıcı tanımlamasını yöneten teknolojilerin ve süreçlerin kimlik ve erişim yönetimi çerçevesi.
• Güvenlik analitiği: Güvenlik ekiplerinin zayıflıkları, şüpheli etkinlikleri ve güvenlik açıklarını taramak için kullandığı meta veriler oluşturmak ve bu tehditlerle etkili bir şekilde mücadele etmek için yöntemler geliştirmek.
• Yasal uyumluluk: Tüm sistemlerin ve işlevlerin endüstri standartlarına ve HIPAA, CCPA, GDPR ve diğer yasal gereklilikler gibi yasal uyumluluğa uygun olmasını sağlamak.

Özetle, işlevsel bileşenler yalnızca sistem içinde çalışan süreçler ve kodlar değil, aynı zamanda tüm sıfır güven modelinin sorunsuz çalışmasını sağlayan yönetişim ve prosedürlerdir.

Bileşen etkileşimleri

Çekirdek ve işlevsel bileşenler, şirketinizin veritabanını korumak için birlikte çalışır. Temel bileşenler, bir kullanıcının şirket kaynaklarına erişim talebiyle doğrudan etkileşime girerken, mevcut bileşenler uçta çalışarak erişim kontrolleri ekler, güvenlik analitiği oluşturur veya çekirdek bileşenleri daha etkili hale getirmek için diğer yararlı bilgi ve hizmetleri sağlar.

İkisi arasında bir miktar örtüşme olsa da (ilke motorları, erişim yönetimi ilkelerinin çalışmasını gerektirir), sıfır güven modelinin etkili bir şekilde çalışması için her ikisi de gereklidir.

Sıfır güven en iyi uygulamaları

Sıfır güven modelleri en iyi şekilde, sisteme daha önce kaç kez bağlandıklarına bakılmaksızın her bağlantıya, kullanıcıya ve cihaza güvenilmeyen olarak davranılmasıyla özetlenebilir. Ayrıca, kullanıcının şüpheli davranmadığından emin olmak için kullanıcı oturumu boyunca etkinlik ve doğrulama için düzenli güvenlik kontrolleri yapılır.

Sıfır güven çerçevesini uygularken akılda tutulması gereken birkaç en iyi uygulama aşağıda verilmiştir.

Asla güvenme, her zaman doğrula

Veritabanına kim erişirse erişsin, bağlantıyı her zaman bilinmeyen olarak kabul edin. Basit bir güvenlik hatası, bir saldırgan tarafından ele geçirilmiş (uzaktan saldırıya uğramış veya fiziksel olarak kontrol edilmiş) hatırlanan bir cihazdan gelen bir bağlantıya güvenmektir.

Her bağlantıda doğrulamayı zorunlu kılarak, veri güvenliğinizi zayıflatan hesapların veya cihazların ele geçirilmesi riskini en aza indirirsiniz.

Kime ve neden erişim verdiğinizi bilin

Her kullanıcı veritabanınıza başarılı bir şekilde bağlansa bile, daima en az ayrıcalık (veya PoLP) ilkesini uygulayın. Başka bir deyişle, her hesaba veritabanında işini yapması için en az erişim verilmelidir.

Örneğin, İK'nın müşteri kayıtlarına erişmesi gerekmez ve satış ekibinin de iş arkadaşlarının tüm maaşlarını görmesi gerekmez. Bir kullanıcı rol veya departman değiştirirse veya işten çıkarılırsa, erişimi derhal ve uygun şekilde değiştirilecektir.

Güçlü erişim kontrolleri uygulayın

Herkesin geçmesine izin veren bir kapı pek kullanışlı değildir. Bu nedenle, her kullanıcıya bir doğrulama sürecinden geçmesi ve veritabanına uygun düzeyde erişim verilmesi için kimlik doğrulama ve yetkilendirme ilkelerinin tanımlanması önemlidir.

Her zaman güvenli erişim sağlayın

Bir bağlantı güvenilir olarak doğrulandıktan sonra, kullanıcı oturumu boyunca düzenli pasif güvenlik kontrolleri yapılmalıdır. Örneğin, kullanıcı meta verilerini ve etkinliğini doğrulamaya ek olarak, bir kullanıcı oturumu sırasında uzun bir süre etkin olmadığında zorunlu bağlantı kesme uygulayabilirsiniz.

Sıfır güven, kuruluşunuzun güvenliğinin önemli bir unsurudur

"Güven, doğrula" geleneksel güvenlik yöntemlerinin mihenk taşı olsa da kendimizi çok daha tehlikeli ve karmaşık bir dijital dünyada buluyoruz. Saldırganlar, uzun süredir devam eden güvenlik açıklarından ve fiziksel güvenlik açıklarından (çalınan güvenilir bir cihaz gibi) yararlanmanın yollarını buldukça, hassas bilgileri korumak için yeni yöntemlere ihtiyaç vardır.

%100 kusursuz olmasa da sıfır güven modelleri, geleneksel "güven ama doğrula" politikalarından mümkün olduğu kadar çok güvenlik açığını ortadan kaldırır. Kuruluşunuz, her bağlantıyı güvensiz olarak ele alarak, oturumları sırasında kullanıcı kimlik bilgilerini düzenli olarak kontrol ederek ve bir güvenlik ihlali durumunda "patlama yarıçapını" en aza indirerek planlama yaparak, ortaya çıkabilecek tüm güvenlik sorunlarına hızlı bir şekilde yanıt verebilir.

Kuruluşunuz bir devlet kurumu, banka, sağlık kuruluşu veya yüzbinlerce hassas kaydı koruyan başka bir kuruluş olmasa bile sıfır güven modelleri altın standarttır. Sıfır güven çerçevesi uygulamadan, nispeten küçük ayarlamalarla önlenebilecek basit saldırılara karşı savunmasız hale gelirsiniz.

Ancak, kullanıcı erişim kontrolleri, kimlik doğrulama, şifreleme, uç nokta güvenliği ve etkinlik günlükleri gibi bileşenleri ve bunların veri güvenliği politikalarınızdaki rolünü düşündüğünüzde, sağlam bir sıfır güven mimarisi ve veri güvenliği için temele zaten sahipsiniz.

Uzaktan çalışma, bir güvenlik ihlalinin önde gelen nedenlerinden biri olabilir. İşte krizler sırasında uzaktan iş gücü güvenliğinizi nasıl güçlendireceğiniz.