Kurumsal Uygulamalar için Sıfır Güven Mimarisi

Çevre öldü. Çalışanların kafelerde çalıştığı, kurumsal verilerin üç farklı bulut sağlayıcıda yaşadığı ve tedarik zinciri ortaklarınızın ağınıza VPN erişiminin olduğu bir dünyada, güvenlik duvarı içindeki her şeye güvenilebileceği fikri tehlikeli derecede geçerliliğini yitirmiştir. Sıfır güven mimarisi, bu varsayımın yerine basit, tavizsiz bir prensip koyar: Asla güvenme, her zaman doğrula.

Forrester Research, 2010 yılında "sıfır güven" terimini ortaya attı, ancak şirketleri fiili uygulamaya itmek için pandeminin yol açtığı uzaktan çalışma patlaması ve yıkıcı SolarWinds tedarik zinciri saldırısı gerekti. Gartner, 2025 yılına kadar kuruluşların %60'ının bir tür sıfır güveni benimsediğini, ancak %10'dan azının tüm iş yüklerinde kapsamlı uygulamayı başardığını bildiriyor.

Önemli Çıkarımlar

• Sıfır güven, kaynak ağdan veya önceki kimlik doğrulamasından bağımsız olarak her erişim isteğini doğrulayarak örtülü güveni ortadan kaldırır
• Mikrosegmentasyon, düz ağ mimarilerine kıyasla yanal hareket riskini %85 azaltır
• Kimliğe duyarlı proxy'ler, kurumsal uygulamalar için birincil uzaktan erişim mekanizması olarak VPN'lerin yerini alır
• 18-24 ay süren aşamalı uygulama yol haritası, her aşamada ölçülebilir güvenlik iyileştirmeleri sağlar

---

Sıfır Güven İlkeleri

Sıfır güven satın alacağınız bir ürün değildir. Kuruluşunuzdaki her tasarım kararına rehberlik eden beş temel ilkeye dayanan bir mimari felsefedir.

Sıfır Güvenin Beş Sütunu

Asla güvenmeyin, her zaman doğrulayın. Her erişim isteğinin, nereden geldiğine bakılmaksızın doğrulanması ve yetkilendirilmesi gerekir. Bir şirket ofisinden gelen talep, halka açık bir Wi-Fi ağından gelen taleple aynı incelemeye tabi tutulur. Önceki kimlik doğrulaması gelecekteki erişimi garanti etmez.

İhlal olduğunu varsayın. Sistemleri, sanki saldırganlar zaten ağınızın içindeymiş gibi tasarlayın. Bu varsayım, segmentasyonu, izlemeyi ve en az ayrıcalıklı kararları yönlendirir. Bir segment tehlikeye girerse patlama yarıçapı kontrol altına alınmalıdır.

Açıkça doğrulayın. Kimlik doğrulama ve yetkilendirme kararları mevcut tüm sinyalleri kullanır: kullanıcı kimliği, cihaz durumu, konum, günün saati, kaynak duyarlılığı ve davranışsal analizler. Tek bir faktör (geçerli bir oturum belirteci gibi) hiçbir zaman yeterli değildir.

En az ayrıcalıklı erişim. Kullanıcılar, uygulamalar ve hizmetler, işlevlerini yerine getirmek için gereken minimum erişime sahiptir. Erişimin kapsamı kaynak, eylem ve zamana göre belirlenir. Tam zamanında erişim izinleri lehine daimi ayrıcalıklar ortadan kaldırılmıştır.

Sürekli doğrulama. Kimlik doğrulama, giriş sırasında tek seferlik bir olay değildir. Oturumlar sürekli olarak değerlendirilir ve risk sinyalleri değiştiğinde (cihazın duruşu bozulduğunda, imkansız seyahat tespit edildiğinde, anormal davranışlar gözlemlendiğinde) erişim gerçek zamanlı olarak iptal edilir.

Geleneksel Güvenlik ve Sıfır Güven

Geleneksel çevre güvenliği ile sıfır güven arasındaki fark temeldir:

---

Mikrosegmentasyon

Mikrosegmentasyon, sıfır güvenin ağ uygulamasıdır. Herhangi bir sistemin başka bir sistemle iletişim kurabileceği düz bir ağ yerine mikro bölümleme, açık iletişim politikalarını uygulayan yalıtılmış bölgeler oluşturur.

Mikrosegmentasyon Nasıl Çalışır?

Geleneksel ağ bölümlendirmesi ağı birkaç büyük bölgeye (DMZ, üretim, geliştirme, yönetim) ayırır. Mikro bölümleme, bireysel iş yükleri veya uygulama katmanları kadar ayrıntılı bölümler oluşturarak bunu daha da ileri götürür.

Örnek: Mikro bölümlemenin olmadığı bir ERP dağıtımı

Güvenliği ihlal edilmiş bir web sunucusu, veritabanı sunucusuna, dosya sunucusuna, yazdırma sunucusuna ve aynı VLAN üzerindeki diğer tüm sistemlere erişebilir. Müşteri portalındaki XSS güvenlik açığından yararlanan bir saldırgan, finansal kayıtları içeren veritabanına geçebilir.

Örnek: Mikrosegmentasyonlu aynı ERP dağıtımı

Web sunucusu yalnızca 8069 numaralı bağlantı noktasındaki uygulama sunucusuyla iletişim kurabilir. Uygulama sunucusu yalnızca 5432 numaralı bağlantı noktasındaki veritabanı sunucusuyla iletişim kurabilir. Veritabanı sunucusu herhangi bir giden bağlantı başlatamaz. Güvenliği ihlal edilmiş bir web sunucusunun veritabanına giden yolu ve diğer uygulama katmanlarına giden yolu yoktur.

Uygulama Yaklaşımları

İş Platformları için Mikrosegmentasyon

Odoo ERP, Shopify bağlayıcıları ve yapay zeka destekli hizmetleri çalıştıran kuruluşlar için mikro bölümleme aşağıdaki izolasyon sınırlarını oluşturmalıdır:

• ERP uygulama katmanı --- Diğer tüm iş yüklerinden yalıtılmıştır, yalnızca kimliğe duyarlı proxy aracılığıyla erişilebilir
• Veritabanı katmanı --- Yalnızca belirli bağlantı noktalarındaki ERP uygulama katmanından erişilebilir
• Entegrasyon katmanı --- Hem ERP hem de veritabanı katmanlarından yalıtılmış Marketplace bağlayıcıları ve API ağ geçitleri
• AI/ML iş yükleri --- Model API çağrıları için belirli çıkış kurallarıyla izole edilmiştir
• Geliştirme/hazırlama --- Aralarında hiçbir ağ yolu olmaksızın üretimden tamamen ayrılmış

---

Kimliğe Duyarlı Proxy'ler

Kimliğe duyarlı proxy'ler (IAP'ler), sıfır güven mimarisindeki erişim ağ geçididir. Her isteği hedef uygulamaya iletmeden önce doğrulayıp yetkilendirerek geleneksel VPN'lerin yerini alırlar.

Kimliğe Duyarlı Proxy'ler Nasıl Çalışır?

Bir kullanıcı kurumsal bir uygulamaya erişmeye çalıştığında:

1. İstek doğrudan uygulama yerine kimliğe duyarlı proxy'ye ulaşıyor
2. Proxy geçerli bir oturum olup olmadığını kontrol eder ve mevcut değilse kimlik sağlayıcıya yönlendirir
3. Kimlik sağlayıcı kullanıcının kimliğini doğrular (şifre + MFA) ve kimlik taleplerini döndürür
4. Proxy, yetkilendirme politikalarını kimlik taleplerine, cihaz duruşuna ve bağlama göre değerlendirir
5. Yetkilendirilmişse vekil, talebi uygulamaya iletir. Aksi halde istek reddedilir

Uygulamanın kendisinin halka açık hiçbir uç noktası yoktur. Yalnızca proxy aracılığıyla ulaşılabilir. Bu, doğrudan uygulama erişimine bağlı olan tüm saldırı kategorilerini ortadan kaldırır.

Kimliğe Duyarlı Proxy Çözümleri

• Google BeyondCorp Enterprise (IAP) --- Google Cloud ile entegredir, tüm web uygulamalarını destekler
• Cloudflare Erişimi --- Her türlü altyapıyla çalışır, mükemmel küresel performans
• Azure AD Uygulama Ara Sunucusu --- Derin Microsoft ekosistem entegrasyonu
• Pomerium --- Açık kaynaklı, kendi kendine barındırılan, protokolden bağımsız
• Authentik --- Yerleşik uygulama proxy'sine sahip açık kaynaklı kimlik sağlayıcı (ECOSIRE platformunda kullanılır)

IAP ve VPN karşılaştırması

VPN'ler ağ düzeyinde erişim sağlar. Bağlandıktan sonra bir kullanıcı (veya çalınmış VPN kimlik bilgilerine sahip bir saldırgan) ağdaki her sisteme erişebilir. Kimliğe duyarlı proxy'ler uygulama düzeyinde erişim sağlar. Her uygulamanın kendi yetkilendirme politikası vardır ve ağ erişimine hiçbir zaman izin verilmez.

API güvenliği için IAP'ler, yetkilendirme kararına cihaz duruşu ve bağlamsal sinyaller ekleyerek OAuth2/OIDC'yi tamamlar.

---

Cihaz Duruş Kontrolleri

Sıfır güven, doğrulamayı kullanıcının ötesinde cihaza kadar genişletir. Güvenliği ihlal edilmiş bir cihazda geçerli bir kullanıcı kimlik bilgisi hala bir güvenlik riskidir. Cihaz duruş kontrolleri, erişim izni verilmeden önce uç noktanın durumunu ve uyumluluğunu değerlendirir.

Hangi Cihaz Duruş Kontrolleri Değerlendirir

• İşletim sistemi sürümü --- İşletim sistemi kabul edilebilir minimum sürüme yamalı mı?
• Disk şifreleme --- Cihazın depolama alanı şifrelenmiş mi (BitLocker, FileVault, LUKS)?
• Güvenlik duvarı durumu --- Ana bilgisayar güvenlik duvarı etkin ve düzgün şekilde yapılandırılmış mı?
• EDR/antivirüs durumu --- Uç nokta algılama ve yanıt yazılımı mevcut imzalarla çalışıyor mu?
• Ekran kilidi --- Otomatik ekran kilidi kabul edilebilir bir zaman aşımı süresiyle yapılandırılmış mı?
• Jailbreak/root algılama --- Cihazın güvenlik modeli tehlikeye girdi mi?
• Sertifika varlığı --- Cihazın geçerli bir kurumsal sertifikası var mı?

Sürekli Cihaz Değerlendirmesi

Kimlik doğrulama sırasındaki ilk duruş kontrolleri gereklidir ancak yeterli değildir. Bir oturum sırasında cihazın duruşu değişebilir: kullanıcı güvenlik duvarını devre dışı bırakabilir, bir EDR aracısı çökebilir veya cihazın işletim sistemi sürümünde yeni bir güvenlik açığı ortaya çıkabilir.

Sürekli cihaz değerlendirmesi, duruşu düzenli aralıklarla (genellikle her 5-15 dakikada bir) yeniden değerlendirir ve bir cihaz uyumluluk dışına çıktığında erişimi gerçek zamanlı olarak iptal edebilir. Bu, sürekli doğrulamanın sıfır güven ilkesiyle uyumludur.

---

Uygulama Yol Haritası

Bir kuruluş genelinde sıfır güvenin uygulanması çok aşamalı bir yolculuktur. Her şeyi aynı anda uygulamaya çalışmak, projenin başarısız olmasına, kullanıcının hayal kırıklığına uğramasına ve geçiş sırasında güvenlik açıklarına yol açar. Aşağıdaki yol haritası yapılandırılmış 18-24 aylık bir ilerleme sağlar.

Aşama 1: Temel (1-3. Aylar)

Hedef: Kimlik altyapısı ve görünürlük oluşturmak.

• Kimlik sağlayıcıyı dağıtın veya birleştirin (Authentik, Okta, Azure AD)
• Tüm uygulamalarda tüm kullanıcılar için MFA'yı zorunlu kılın (bkz. Odoo için en iyi IAM uygulamaları)
• Tüm uygulamaların, veri depolarının ve ağ akışlarının envanterini çıkarın
• Temel trafik modellerini oluşturmak için ağ izlemeyi dağıtın
• Başlangıç [güvenlik politikalarını ve yönetim çerçevesini] tanımlayın(/blog/cybersecurity-business-platforms-erp-ecommerce)

2. Aşama: Erişim Modernizasyonu (4-8. Aylar)

Hedef: Çevre tabanlı erişimi kimliğe duyarlı erişimle değiştirin.

• En yüksek öncelikli uygulamalar (ERP, finansal sistemler) için kimliğe duyarlı proxy dağıtın
• Yönetilen cihazlar için cihaz duruş kontrollerini uygulayın
• Veritabanı katmanından başlayarak üretim iş yüklerinin mikro segmentasyonuna başlayın
• Uzak çalışanlar için VPN'den uygulama başına erişime geçiş yapın
• Yönetici hesapları için ayrıcalıklı erişim yönetimini (PAM) uygulayın

Aşama 3: Segmentasyon ve İzleme (9-14. Aylar)

Hedef: Kapsamlı mikro segmentasyon ve davranışsal izleme elde edin.

• Tüm üretim iş yüklerinde mikro segmentasyonu tamamlayın
• Anormallik tespiti için UEBA'yı (Kullanıcı ve Varlık Davranış Analizi) dağıtın
• Ayrıcalıklı işlemler için tam zamanında (JIT) erişimi uygulayın
• Cihaz duruş kontrollerini yönetilmeyen/BYOD cihazlarına kadar genişletin
• Bulut güvenliği duruş yönetimini entegre edin

Aşama 4: Sürekli Doğrulama (15-18. Aylar)

Hedef: Sürekli, bağlama duyarlı erişim kararları alın.

• Gerçek zamanlı risk puanlaması ile sürekli kimlik doğrulamayı uygulayın
• Yüksek riskli sinyaller için otomatik yanıt taktik kitaplarını dağıtın
• Sıfır güveni API'den API'ye iletişime kadar genişletin (karşılıklı TLS, hizmet ağı)
• Veri düzeyinde erişim kontrollerini uygulayın (alan düzeyinde şifreleme, dinamik maskeleme)
• Sıfır güven kontrollerini doğrulamak için kırmızı takım çalışması yapın

Aşama 5: Optimizasyon (19-24. Aylar)

Hedef: Hassaslaştırın, otomatikleştirin ve ölçün.

• Davranışsal temellere dayanan yapay zeka odaklı uyarlanabilir erişim politikaları
• Otomatik uyumluluk kanıtı toplama ve raporlama
• Olay verilerine ve kırmızı ekip bulgularına dayalı sürekli iyileştirme
• Sıfır güven ilkelerini üçüncü taraf ve satıcı erişimine kadar genişletin
• Yönetici raporlaması için sıfır güven olgunluk puan kartını yayınlayın

---

Yaygın Sıfır Güven Tuzakları

Sıfır güveni bir ürün satın alımı olarak ele almak. Hiçbir satıcı tek başına tam sıfır güven sağlamaz. Birlikte çalışan birçok kontrolün oluşturduğu bir mimaridir.

Kullanıcı deneyimi göz ardı ediliyor. Aşırı kimlik doğrulama istemleri ve erişim anlaşmazlıkları, kullanıcıları güvenliği zayıflatan geçici çözümler bulmaya yönlendirir. Akıllı, risk tabanlı kimlik doğrulama, güvenliği kullanılabilirlikle dengeler.

Eski uygulamaların ihmal edilmesi. İş açısından kritik birçok uygulama, modern kimlik doğrulamayı yerel olarak destekleyemez. Eski sistemler için ters proxy'ler, kimlik doğrulama ağ geçitleri ve kimlik bilgileri kasasına yönelik plan yapın.

Ağ görünürlük aşamasını atlamak. Mevcut trafik düzenlerini anlamadan yapılan mikro bölümleme, uygulamaları bozar. Segmentasyon politikalarını uygulamadan önce kapsamlı trafik haritalamasına yatırım yapın.

Doğu-batı API trafiğini unutuyoruz. Kullanıcı erişimine sıfır güven, savaşın yalnızca yarısıdır. Platformunuzdaki hizmetten hizmete iletişimin de karşılıklı TLS, hizmet belirteçleri veya hizmet ağı politikaları kullanılarak doğrulanması ve yetkilendirilmesi gerekir.

---

Sıkça Sorulan Sorular

Sıfır güven mimarisini uygulamak ne kadar sürer?

Kapsamlı bir sıfır güven uygulaması, orta ölçekli bir kuruluş için genellikle 18-24 ay sürer. Ancak aşamalı yaklaşım her aşamada güvenlik iyileştirmeleri sağlar. MFA yaptırımı (Aşama 1) haftalar içinde gerçekleştirilebilir ve kimlik bilgisi saldırılarının %99,9'unu anında engeller. Anahtar, yüksek değerli, yüksek riskli varlıklarla başlamak ve giderek genişlemektir.

Sıfır güven, güvenlik duvarlarının ve VPN'lerin yerini mi alıyor?

Sıfır güven, güvenlik duvarlarını ortadan kaldırmaz ancak rollerini değiştirir. Güvenlik duvarları, ağ sınırlarında geniş trafik filtrelemesi için yararlı olmayı sürdürüyor ancak artık birincil erişim kontrol mekanizması değiller. Uygulama erişimi için VPN'lerin yerini kimliğe duyarlı proxy'ler alıyor. Bazı kuruluşlar, modern kimlik doğrulamayı destekleyemeyen eski uygulamalar için geçici olarak VPN'ler bulundurur.

Küçük ve orta ölçekli işletmeler için sıfır güven gerçekçi midir?

Kesinlikle. Bulut tabanlı kimlik sağlayıcıları (Authentik, Google Workspace, Microsoft 365) ve yönetilen güvenlik hizmetleri, sıfır güveni her büyüklükteki kuruluş için erişilebilir hale getirir. KOBİ'ler üç kontrole odaklanarak önemli sıfır güven avantajları elde edebilir: Her yerde MFA, kritik uygulamalar için kimliğe duyarlı proxy'ler ve uygulama katmanları arasında temel mikro bölümleme.

Sıfır güven uygulama performansını nasıl etkiler?

Kimliğe duyarlı proxy'ler, kimlik doğrulama ve yetkilendirme kontrolleri için istek başına 1-5 ms gecikme ekler. Çoğu iş uygulaması için bu farkedilemez. Mikrosegmentasyonun, hipervizör veya bulut sağlayıcı düzeyinde uygulandığında sıfıra yakın performans etkisi vardır. Performans maliyeti, güvenlik avantajıyla karşılaştırıldığında ihmal edilebilir düzeydedir.

---

Sırada Ne Var

Sıfır güven mimarisi modern kuruluşlar için isteğe bağlı değildir; günümüzün dağıtılmış iş gücü, bulutta yerel uygulamalar ve karmaşık tehdit aktörlerinden oluşan gerçekliğiyle eşleşen güvenlik mimarisidir. Kimlik birleştirme ve MFA ile başlayın, kimliğe duyarlı erişim ve mikro bölümleme yoluyla ilerleyin ve sürekli doğrulamaya doğru ilerleyin.

ECOSIRE, her platform dağıtımında sıfır güven ilkelerini uygular. OpenClaw AI güvenlik güçlendirmemiz kimliğe duyarlı erişim kontrolleri ve mikro segmentasyonu içerirken, Odoo ERP uygulamalarımız temelden rol tabanlı erişim ve SSO entegrasyonu oluşturur. Sıfır güven yolculuğunuz hakkında görüşmek için bize ulaşın.

---

ECOSIRE tarafından yayınlandı --- işletmelerin Odoo ERP, Shopify eCommerce ve OpenClaw AI genelinde yapay zeka destekli çözümlerle ölçeklenmesine yardımcı oluyor.