Bulut Güvenliği Duruş Yönetimi: AWS, Azure ve GCP En İyi Uygulamaları

Yanlış yapılandırma, bulut güvenliği ihlallerinin önde gelen nedenidir. Gelişmiş sıfır gün saldırıları veya gelişmiş kalıcı tehditler değil; genel S3 klasörleri, aşırı izin veren IAM politikaları ve şifrelenmemiş veritabanları gibi basit yanlış yapılandırmalar. Gartner, 2027 yılına kadar bulut güvenliği arızalarının %99'unun, önlenebilir yapılandırma hatalarından kaynaklanan müşterinin hatası olacağını tahmin ediyor.

Buradaki zorluk ölçektir. Tipik bir kurumsal AWS hesabı binlerce kaynak, yüzlerce IAM politikası ve düzinelerce ağ yapılandırması içerir. Her biri ihlal olmayı bekleyen potansiyel bir yanlış yapılandırmadır. Bunu AWS, Azure ve GCP'yi kapsayan çoklu bulut dağıtımları ile çarptığınızda manuel güvenlik yönetimi imkansız hale gelir. Bulut Güvenliği Duruş Yönetimi (CSPM), bu yapılandırmaların sürekli değerlendirilmesini ve iyileştirilmesini otomatikleştirir.

Önemli Çıkarımlar

• Paylaşılan sorumluluk modeli, bulut sağlayıcılarının altyapıyı güvence altına aldığı ancak yapılandırma, erişim kontrolü ve veri korumasından sizin sorumlu olduğunuz anlamına gelir
• Yanlış IAM yapılandırması en tehlikeli bulut güvenliği riskidir: aşırı hoşgörülü tek bir politika tüm ortamınızın açığa çıkmasına neden olabilir
• Bekleme ve aktarım halindeki şifreleme, her veri deposu ve iletişim kanalı için açıkça etkinleştirilmeli ve doğrulanmalıdır
• CSPM araçları, çoklu bulut ortamlarında sürekli uyumluluk izleme olanağı sağlayarak manuel denetim çabasını %80 oranında azaltır

---

Paylaşılan Sorumluluk Modeli

Her bulut güvenliği tartışması, paylaşılan sorumluluk modeliyle başlar. Bulut sağlayıcının sorumluluğunun nerede bitip sizin sorumluluğunuzun nerede başladığını anlamak, ihlallere yol açan varsayım boşluklarından kaçınmak için çok önemlidir.

Hizmet Modeline Göre Sorumluluk Dağılımı

Model açıktır: Hizmet modeli ne olursa olsun müşteri IAM, veri koruma, ağ yapılandırması ve izlemeden her zaman sorumludur. Bunlar CSPM'nin en fazla değer sağladığı alanlardır.

---

IAM Politikaları ve Erişim Kontrolü

IAM'in yanlış yapılandırılması her zaman en tehlikeli bulut güvenliği riskidir. Aşırı hoşgörülü bir IAM politikası, saldırganların bulut ortamınızdaki her kaynağa erişmesine izin verebilir. Bulut IAM aynı zamanda her sağlayıcının farklı politika dilleri ve miras modelleri kullanması nedeniyle doğru şekilde yönetilmesi en karmaşık alandır.

Bulut Sağlayıcılarında En İyi IAM Uygulamaları

Kritik IAM Anti-Desenleri

Joker izinleri. "Action": "*" veya "Resource": "*" veren politikalar, ön kapıyı açık bırakmanın bulut eşdeğeridir. Her politika kesin eylemleri ve kaynakları belirtmelidir.

Uzun ömürlü erişim anahtarları. IAM kullanıcıları (AWS) veya hizmet hesabı anahtarları (GCP) için statik erişim anahtarları yüksek değerli hedeflerdir. Rol kabulü (AWS STS), yönetilen kimlikler (Azure) veya iş yükü kimlik federasyonu (GCP) aracılığıyla geçici kimlik bilgilerini kullanın.

Koşulsuz hesaplar arası güven. Başka bir hesaptaki herhangi bir sorumlunun bir rol üstlenmesine olanak tanıyan güven politikaları, yanal hareket yolları oluşturur. Her zaman koşulları ekleyin (harici kimlik, kaynak IP'si, MFA gereksinimi).

Kullanılmayan izinler. Zaman içinde IAM politikaları, tek seferlik görevler için verilen ve hiçbir zaman iptal edilmeyen izinleri biriktirir. IAM Erişim Analiz Aracı'nı (AWS), Erişim İncelemeleri'ni (Azure) veya IAM Öneri Aracı'nı (GCP) kullanarak aylık erişim incelemelerini çalıştırın.

---

Bekleyen ve Aktarım Halindeki Şifreleme

Şifreleme, diğer kontroller başarısız olsa bile verileri yetkisiz erişime karşı korur. Bulut ortamlarında şifrelemenin her veri deposu ve iletişim kanalı için açıkça yapılandırılması ve doğrulanması gerekir.

Kullanımda Olmayan Şifreleme

| Hizmet Kategorisi | AWS | Azure | GCP | |----------------||-----|----------|-----| | Nesne depolama | S3 SSE-S3 (varsayılan), SSE-KMS, SSE-C | Depolama Hizmeti Şifrelemesi (varsayılan), CMK | Cloud Storage varsayılan şifrelemesi, CMEK | | Depolamayı bloke et | EBS şifrelemesi (birim başına, varsayılan olarak mümkündür) | Yönetilen Disk şifrelemesi (varsayılan) | Kalıcı Disk şifrelemesi (varsayılan) | | Veritabanları | RDS şifrelemesi (oluşturma sırasında etkinleştirin), DynamoDB (varsayılan) | SQL Veritabanı TDE (varsayılan), Cosmos DB (varsayılan) | Cloud SQL şifrelemesi (varsayılan), Firestore (varsayılan) | | Anahtar yönetimi | KMS (AWS tarafından yönetilen veya CMK) | Anahtar Kasası | Bulut KMS | | Sırlar | Sırlar Yöneticisi, SSM Parametre Deposu | Anahtar Kasası Sırları | Gizli Yönetici |

En iyi uygulamalar:

• Hesap/abonelik/proje düzeyinde tüm depolama hizmetleri için varsayılan şifrelemeyi etkinleştirin
• Anahtar yaşam döngüsü ve rotasyonu üzerinde kontrolü sürdürmek amacıyla hassas veriler için müşteri tarafından yönetilen anahtarları (CMK) kullanın
• Veri hassasiyetine bağlı olarak 90-365 günlük bir programa göre anahtar yönlendirmeyi otomatikleştirin
• Anahtar erişimini veri erişiminden ayırın --- verileri okuyabilen kullanıcılar şifreleme anahtarlarını yönetememelidir
• Anahtarlarda silme korumasını etkinleştirin ve anahtar imhası için çok taraflı yetkilendirmeyi zorunlu kılın

Geçiş Halinde Şifreleme

• Dışarıya bakan tüm uç noktalar için minimum TLS 1,2. Performans ve güvenlik açısından TLS 1.3 tercih edildi.
• Yük dengeleyici, CDN ve uygulama düzeyinde HTTPS'yi zorunlu kılın. HTTP'yi HTTPS'ye yönlendirin.
• TLS veya karşılıklı TLS (mTLS) kullanan uygulama katmanları arasında dahili şifreleme. Dahili ağ trafiğinin güvenli olduğunu varsaymayın.
• Veritabanı bağlantıları TLS kullanmalıdır. Tüm veritabanı hizmetleri için require_ssl (PostgreSQL), require_secure_transport (MySQL) veya eşdeğerini etkinleştirin.
• AWS Sertifika Yöneticisi, Azure Key Vault veya Google tarafından yönetilen sertifikalar aracılığıyla Sertifika yönetimi. Süre sonu kesintilerini önlemek için yenilemeyi otomatikleştirin.

---

VPC ve Ağ Güvenliği

Buluttaki ağ yapılandırması, bir kaynak tehlikeye girdiğinde (olmasa da) patlama yarıçapını içeren izolasyon sınırlarını oluşturur.

Ağ Mimarisi En İyi Uygulamaları

VPC/VNet tasarımı. Üretim, hazırlama ve geliştirme ortamları için ayrı VPC'ler oluşturun. Farklı güvenlik gereksinimlerine sahip ortamlar arasında asla bir VPC paylaşmayın.

Alt ağ yalıtımı. Genel alt ağları yalnızca internet üzerinden erişilebilir olması gereken kaynaklar (yük dengeleyiciler, NAT ağ geçitleri) için kullanın. Uygulama sunucularını, veritabanlarını ve dahili hizmetleri doğrudan internet erişimi olmayan özel alt ağlara yerleştirin.

Güvenlik grupları / NSG'ler. En az ayrıcalık ilkesini ağ kurallarına uygulayın:

• Yalnızca gerekli bağlantı noktalarına ve protokollere izin verin
• Kaynak IP'lerini bilinen aralıklarla sınırlayın (0.0.0.0/0 değil)
• Dahili iletişim için IP aralıkları yerine güvenlik grubu referanslarını (kaynak = başka bir güvenlik grubu) kullanın
• Kullanılmayan kuralları üç ayda bir gözden geçirin ve kaldırın

İş platformları için ağ segmentasyonu. ERP ve e-Ticaret platformlarını çalıştıran kuruluşlar için:

Bulut Sağlayıcısı Ağ Güvenliği Özellikleri

---

Günlüğe Kaydetme, İzleme ve Algılama

Göremediğiniz şeyi güvence altına alamazsınız. Bulut günlük kaydı ve izleme, tehditleri tespit etmek, olayları araştırmak ve uyumluluğu sürdürmek için gereken görünürlüğü sağlar.

Temel Bulut Günlüğü

En İyi Uygulamaları Günlüğe Kaydetme

CloudTrail/Etkinlik Günlüğü/Denetim Günlüklerini her bölgede etkinleştirin. Saldırganlar, izlemediğiniz bölgelerde kasıtlı olarak faaliyet gösterir. Çok bölgeli kayıt, kör noktaları ortadan kaldırır.

Günlükleri merkezileştirin. Tüm günlükleri merkezi bir SIEM'e veya günlük yönetimi platformuna (Splunk, Elastic, Datadog veya AWS Security Lake, Azure Sentinel veya Google Chronicle gibi bulutta yerel seçenekler) gönderin. Çok aşamalı saldırıların tespiti için çapraz kaynak korelasyonu önemlidir.

Günlük bütünlüğünü koruyun. Günlükleri değişmez, ayrı bir hesapta saklayın. Günlük dosyası doğrulamasını etkinleştirin (CloudTrail özet dosyaları). Bir saldırgan günlükleri silebilirse izlerini kapatabilir.

Saklama sürelerini ayarlayın. Operasyonel günlükler için minimum 90 gün. Güvenlik ve denetim günlükleri için minimum 1 yıl. Mevzuat gereklilikleri (PCI DSS, SOX) daha uzun süreli saklama gerektirebilir.

Kritik olaylarla ilgili uyarı. Yüksek riskli etkinlikler için uyarıları tanımlayın:

• Kök/genel yönetici girişi
• IAM politikası değişiklikleri
• Erişimi açan güvenlik grubu değişiklikleri
• Olağandışı bölgelerde kaynak oluşturma
• Şifreleme anahtarının silinmesi veya değiştirilmesi
• Yetkisiz API çağrıları (erişim reddedildi kalıpları)

---

CSPM Araçları ve Uygulaması

CSPM araçları, bulut yapılandırmalarının en iyi güvenlik uygulamalarına, uyumluluk çerçevelerine ve özel politikalara göre sürekli değerlendirilmesini otomatikleştirir.

CSPM Araç Karşılaştırması

CSPM'yi Uygulama

Aşama 1: Görünürlük. CSPM'yi tüm bulut hesaplarına ve aboneliklere bağlayın. Temel duruşu belirlemek için bir ilk değerlendirme yapın. İlk taramada yüzlerce ila binlerce bulgu bekleyebilirsiniz.

Aşama 2: Önceliklendirme. Tüm bulgular eşit değildir. Aşağıdakilere göre önceliklendirin:

• Yararlanabilirlik (yanlış yapılandırma internete mi dönük?)
• Veri hassasiyeti (kaynak hassas veriler içeriyor mu?)
• Patlama yarıçapı (bir saldırgan bu kaynaktan neye ulaşabilir?)
• Uyumluluk etkisi (bu bulgu mevzuat uyumluluğunu etkiliyor mu?)

Aşama 3: İyileştirme. Önce kritik ve yüksek bulguları ele alın. Güvenli düzeltmeler (şifrelemeyi etkinleştirme, genel erişimi kapatma) için CSPM otomatik düzeltmeyi kullanın. Karmaşık değişiklikler için manuel iyileştirme (IAM politikasının yeniden yapılandırılması, ağın yeniden tasarlanması).

Aşama 4: Önleme. Yanlış yapılandırmaların üretime ulaşmasını önlemek için CSPM'yi kod olarak altyapı taraması (Checkov, tfsec) kullanarak CI/CD işlem hatlarına entegre edin. Altyapı kodu için güvenli SDLC uygulamalarını uygulayın.

Aşama 5: Sürekli uyumluluk. CSPM kurallarını uyumluluk çerçeveleriyle (CIS Karşılaştırmaları, NIST 800-53, PCI DSS, SOC 2) eşleyin. Otomatik uyumluluk raporları oluşturun. Zaman içindeki duruş puanını takip edin.

---

Çoklu Bulut Güvenliğiyle İlgili Hususlar

Birden fazla bulut sağlayıcısında iş yükü çalıştıran kuruluşlar ek karmaşıklıkla karşı karşıyadır:

Birleşik kimlik. Tek bir IdP aracılığıyla tüm bulut sağlayıcıları genelinde kimliği birleştirin. Authentik veya Okta gibi merkezi bir kimlik sağlayıcısından AWS, Azure ve GCP'ye SAML/OIDC federasyonunu kullanın. Bu, tutarlı erişim yönetimi ve tek noktadan iptal sağlar.

Tutarlı politika. Güvenlik politikalarını bir kez tanımlayın ve bunları tüm bulutlarda uygulayın. Çoklu bulut ilkesi tanımlarını destekleyen kod olarak politika araçlarını (OPA/Rego, Sentinel, Cloud Custodian) kullanın.

Merkezi günlük kaydı. Bulutlararası korelasyon için tüm bulut sağlayıcılarının günlüklerini tek bir SIEM'e gönderin. Bulut sağlayıcıları arasında dönen bir saldırı, tek bulut izlemede görünmez.

Ağ ara bağlantı güvenliği. Buluttan buluta bağlantılar (AWS-Azure VPN, GCP-AWS ara bağlantısı) şifrelenmeli ve izlenmelidir. Bu bağlantılar sağlayıcılar arasında potansiyel yanal hareket yolları yaratır.

Tutarlı etiketleme. Maliyet tahsisi, sahiplik takibi ve güvenlik politikası uygulaması için tüm bulutlarda birleşik bir kaynak etiketleme stratejisi uygulayın.

---

Sıkça Sorulan Sorular

En yaygın bulut güvenliği yanlış yapılandırması nedir?

Aşırı hoşgörülü IAM politikaları. Buna joker karakter izinleri (tüm kaynaklarda tüm eylemlere izin veren), geniş izinlere sahip kullanılmayan erişim anahtarları ve uygun koşullar olmadan üstlenilebilecek roller dahildir. Yanlış IAM yapılandırmaları özellikle tehlikelidir çünkü yalnızca tek bir kaynağı değil hesabın tamamını etkiler. Aşırı ayrıcalıklı kimlikleri belirlemek ve düzeltmek için IAM Erişim Analiz Aracı'nı (AWS), Erişim İncelemeleri'ni (Azure) veya IAM Öneri Aracı'nı (GCP) kullanın.

Tek bir bulut sağlayıcısı kullanırsam CSPM aracına ihtiyacım var mı?

Evet, tek bulut ortamları bile CSPM'den yararlanır. Bulut sağlayıcıları, CSPM yeteneklerini minimum maliyetle sağlayan yerel güvenlik araçları (Security Hub, Defender for Cloud, Security Command Center) sunar. Bu araçlar yanlış yapılandırmaları tespit eder, CIS standartlarına göre kıyaslama yapar ve düzeltme rehberliği sağlar. Soru, CSPM'ye ihtiyacınız olup olmadığı değil, üçüncü taraf bir CSPM'ye (çoklu bulut, daha derin analiz veya yerel araçların sağladığının ötesinde uyumluluk raporlaması için değerli) ihtiyacınız olup olmadığıdır.

Kod olarak altyapı (IaC) şablonlarının güvenliğini nasıl sağlarım?

Checkov, tfsec veya Bridgecrew gibi araçları kullanarak dağıtımdan önce IaC şablonlarını (Terraform, CloudFormation, Bicep, Pulumi) tarayın. Yanlış yapılandırmaların üretime ulaşmadan önce yakalanması için taramayı çekme isteği kontrollerine entegre edin. Kuruluşunuzun güvenlik standartları için özel politikalar tanımlayın. Ekiplerin sıfırdan yazmak yerine yeniden kullanabileceği, onaylanmış, güvenlik açısından incelenmiş IaC modüllerinden oluşan bir kitaplık bulundurun.

CSPM ve CWPP arasındaki fark nedir?

CSPM (Bulut Güvenliği Duruş Yönetimi) yapılandırma doğruluğuna odaklanır: bulut kaynaklarınız güvenli bir şekilde yapılandırılmış mı? CWPP (Bulut İş Yükü Koruma Platformu) çalışma zamanı korumasına odaklanır: Çalışan iş yükleriniz tehditlere karşı korunuyor mu? CSPM, yanlış yapılandırmaların güvenlik açıkları oluşturmasını önler. CWPP, iş yüklerini hedef alan aktif tehditleri tespit eder ve bunlara yanıt verir. Modern bulut güvenlik platformları (Prisma Cloud, Wiz, Orca), her iki özelliği de bazen CNAPP (Bulutta Yerel Uygulama Koruma Platformu) olarak adlandırılan tek bir platformda birleştirir.

Üçüncü taraf yönetilen hizmetler için bulut güvenliğini nasıl ele alıyoruz?

Yönetilen bir hizmet sağlayıcı (MSP) bulut ortamınızı yönettiğinde, sözleşmedeki sorumlulukları açıkça tanımlayın. MSP'nin bulut yönetimi uygulamalarını kapsayan SOC 2 Tip II sertifikasını sürdürmesini zorunlu kılın. Bulut hesaplarının sahipliğini koruyun (MSP'nin kök/genel yöneticiye asla sahip olmasına izin vermeyin). Bağımsız doğrulama için CSPM'yi kendi ekibinizin erişimiyle uygulayın. Hizmet sözleşmesine güvenlik SLA'larını (yama temposu, olay müdahale süreleri) ekleyin.

---

Sırada Ne Var

Bulut güvenliği duruş yönetimi, bitiş tarihi olan bir proje değildir; bulut ortamınızla birlikte gelişen sürekli bir uygulamadır. Kullandığınız her hizmet için paylaşılan sorumluluk modelini anlayarak başlayın, ardından temel kontrolleri uygulayın: en az ayrıcalıklı IAM, her yerde şifreleme, ağ bölümlendirme ve kapsamlı günlük kaydı. Sürekli değerlendirme ve uyumluluk otomasyonu için CSPM araçlarını üst üste katmanlayın.

ECOSIRE, AWS, Azure ve GCP üzerinde çalışan iş platformları için bulut altyapısı oluşturur ve güvenliğini sağlar. Odoo ERP dağıtımlarımız CSPM izleme özelliğine sahip güçlendirilmiş bulut yapılandırmaları kullanıyor ve OpenClaw AI altyapımız bulut iş yükleri genelinde sıfır güven ağ mimarisini uyguluyor. Bulut güvenliği durum değerlendirmesi için ekibimizle iletişime geçin.

---

ECOSIRE tarafından yayınlandı --- işletmelerin Odoo ERP, Shopify eCommerce ve OpenClaw AI genelinde yapay zeka destekli çözümlerle ölçeklenmesine yardımcı oluyor.