Zero Trust, sadece güvenlik ürünü seçimi değil, ağın varsayılan davranışını değiştiren bir mimari karardır. Kurumsal yapılarda asıl fark, iç ağın artık otomatik olarak güvenilir kabul edilmemesidir.
Zero Trust neden kurumsal yapıda kritiktir?
Klasik modelde kullanıcı VPN ile içeri girdikten sonra fazla geniş erişim alır. Bu yaklaşım özellikle ERP, dosya sunucuları, yedekleme altyapısı ve yönetim ağları aynı omurgada yaşıyorsa ciddi risk üretir.
Zero Trust modelinde ise şu sorular her istekte yeniden sorulur:
- Bu isteği yapan kim?
- Bu cihaz şu anda güvenilir durumda mı?
- Kullanıcının rolü gerçekten bu kaynağa erişmeli mi?
- Bu trafik hangi segmentten geliyor?
- O anki davranış normal mi, yoksa anomali mi?
Temel katmanlar
1. Kimlik ve MFA
Zero Trust’ın kalbi kimliktir. Active Directory, Entra ID, Okta veya benzeri bir kimlik sağlayıcısı, kullanıcının sadece giriş yaptığını değil, hangi rolde olduğunu ve hangi kaynaklara hangi şartlarda erişebileceğini belirler.
2. Cihaz durumu
Erişim kararı sadece kullanıcı adına göre verilmemeli. Cihazda disk şifreleme kapalıysa, EDR ajanı çalışmıyorsa veya patch seviyesi düşükse erişim seviyesi düşürülmelidir.
3. Mikro segmentasyon
ERP, yönetim ağları, izleme platformları, yedekleme sistemleri ve internet-facing servisler aynı güven seviyesinde tutulmamalı. Her biri ayrı güven bölgesi gibi davranmalıdır.
4. Sürekli gözlem
SIEM, NDR ve merkezi log akışı olmadan Zero Trust yarım kalır. Politika koymak kadar o politikanın nasıl davrandığını görmek de gerekir.
Uygulama sırası nasıl olmalı?
Benim önerdiğim kurulum sırası genellikle şöyledir:
- Kimlik kaynaklarını sadeleştir.
- Ayrı erişim profilleri oluştur.
- Kritik sunucuları mikro segmentlere ayır.
- Yönetim erişimini ayrı katmana taşı.
- Log ve olay korelasyonunu merkezi hale getir.
- Düşük riskli servislerde pilot başlat.
Bu sıra, özellikle canlı ERP ve üretim ortamlarında kesinti riskini azaltır.
Gerçek dünyada dikkat ettiğim mimari prensipler
- Yönetim erişimi kullanıcı erişiminden ayrı tasarlanmalı.
- Yedekleme ağı hiçbir zaman genel kullanıcı ağıyla aynı güven alanında olmamalı.
- Güvenlik politikası sadece ofis için değil, uzak çalışma senaryosu için de tasarlanmalı.
- Her politika, olay incelemesini kolaylaştıracak log üretmeli.
- “Allow any internal” yaklaşımı tamamen kaldırılmalı.
Sonuç
Zero Trust, büyük yapılarda güvenlik ekibinin değil tüm altyapı mimarisinin konusu haline gelmelidir. Kimlik, ağ ve sistem katmanları tek karar düzleminde buluştuğunda hem güvenlik artar hem de operasyon daha öngörülebilir hale gelir.