Siber Güvenlik
Küçük işletmeler için Zero Trust: Büyük bütçe olmadan ilk adımlar
Zero Trust bir ürün değil, bir ilkedir: Her erişimi doğrulayın, yalnızca gereken yetkiyi verin ve olası bir ihlale hazırlıklı olun. Küçük işletmeler çoğu zaman zaten sahip oldukları araçlarla başlayabilir.
Q-entra Editör EkibiYayın tarihi 6 dk okuma
İçindekiler
Kısaca
- Zero Trust, ofis ağından gelse bile hiçbir erişimin otomatik olarak güvenilir sayılmaması demektir. Her oturum açma kimlik, cihaz ve bağlam üzerinden kontrol edilir.
- Küçük işletmeler çoğu zaman zaten sahip oldukları araçlarla başlayabilir: MFA, ayrı yönetici hesapları, güncel cihazlar ve lisansa bağlı olarak bulut hizmetlerinde koşullu erişim.
- Ağı segmentlere ayırın ve tüm şirket ağını açan bir VPN yerine her grubun yalnızca gerçekten ihtiyaç duyduğu sistemlere erişmesini sağlayın.
- Aşamalı ilerleyin: Önce envanter ve MFA, sonra yönetici yetkileri ve cihazlar, ardından ağ ve uzaktan erişim, son olarak kayıt tutma ve düzenli kontroller.
- Zero Trust bir kez satın alınan bir ürün değil, adım adım uygulanan bir ilkedir.
Zero Trust küçük bir işletme için ne anlama gelir?
Zero Trust (sıfır güven) bir ürün değil, bir güvenlik ilkesidir: Hiçbir kullanıcı, cihaz veya bağlantı yalnızca ofis ağının içinde olduğu için güvenilir sayılmaz. E-postaya, dosyalara veya iş uygulamalarına yapılan her erişimde kimin oturum açtığı, hangi cihazı kullandığı ve hangi bağlamda bağlandığı kontrol edilir. Küçük işletmeler için başlangıç büyük bir bütçe gerektirmez: Tüm hesaplarda MFA, ayrı yönetici hesapları, güncel cihazlar ve segmentlere ayrılmış bir ağ çoğu zaman mevcut lisanslar ve ağ cihazlarıyla hayata geçirilebilir.
Klasik model, hendekle çevrili bir kale gibi çalışır: Güvenlik duvarını aşan veya VPN ile bağlanan kişi neredeyse her şeye ulaşır. Çalışanlar, sunucular ve veriler aynı binadayken bu yaklaşım işe yarıyordu. Bugün birçok kişi evden çalışıyor, veriler bulut hizmetlerinde duruyor ve çalınan tek bir şifre içeri girmek için yeterli olabiliyor. ABD standartlar kurumu NIST bu yaklaşımı SP 800-207 yayınında ayrıntılı olarak açıklar.
Zero Trust'ın üç temel ilkesi
Açıkça doğrulayın
Her oturum açma birden fazla sinyalle kontrol edilir: kimlik, ikinci bir faktör, cihazın durumu ve mümkünse konum veya saat. Gece saat üçte yurt dışından tanınmayan bir dizüstü bilgisayarla oturum açan biri, her zamanki masasından bağlanan bir çalışana göre daha sıkı kontrol edilmelidir.
En az yetki (least privilege)
Kişiler ve sistemler yalnızca işleri için gereken erişimleri, yalnızca gerektiği süre boyunca alır. Muhasebenin finans yazılımına ihtiyacı vardır, kamera sistemine değil.
İhlal olduğunu varsayın
Bir saldırganın zaten ağın içinde olduğunu varsayarak plan yapın. O zaman soru şudur: Ne kadar ilerleyebilir ve siz bunu ne kadar hızlı fark edersiniz? Segmentasyon, kayıt tutma ve test edilmiş yedekler, gerçekten bir şey olursa zararı sınırlar.
Küçük bütçeyle de uygulanabilen altı yapı taşı
1. Tüm hesaplar için çok faktörlü kimlik doğrulama
MFA, az emekle güçlü bir koruma sağlar, çünkü çalınan bir şifre tek başına artık oturum açmaya yetmez. E-posta, bulut hizmetleri, uzaktan erişim ve tüm yönetici hesaplarıyla başlayın, ardından tüm kullanıcılara yaygınlaştırın. Authenticator uygulamaları veya donanım güvenlik anahtarları SMS kodlarına tercih edilmelidir. Geçişin nasıl yapılacağını çok faktörlü kimlik doğrulamaya geçiş rehberimizde adım adım anlatıyoruz.
2. Cihaz durumunu kontrol edin
Şirket verilerine yalnızca asgari bir standardı karşılayan cihazlar erişmelidir: güncel işletim sistemi, etkin disk şifreleme, uç nokta koruması ve ekran kilidi. Örneğin Microsoft 365'te, lisans planınız bu özellikleri içeriyorsa, koşullu erişim ve cihaz yönetimiyle (Intune) bu kurallar otomatik olarak uygulanabilir. Kişisel cihazlara ise örneğin yalnızca tarayıcı üzerinden sınırlı bir erişim verilebilir.
3. Ağı segmentlere ayırın
Ofis bilgisayarlarının, sunucuların, yazıcıların, kameraların ve misafir ağının aynı segmentte bulunduğu düz bir ağda içeri sızan bir saldırgan neredeyse engelsiz dolaşabilir. Bu grupları ayrı VLAN'lara ayırın ve aralarında yalnızca gerçekten gereken bağlantılara güvenlik duvarı kurallarıyla izin verin. Bunun için yönetilebilir switch'ler ve segmentler arasındaki trafiği filtreleyen bir güvenlik duvarı gerekir.
4. Tüm ağı açmadan uzaktan erişim
Klasik bir VPN, uzaktaki cihazı çoğu zaman doğrudan şirket ağına alır ve neredeyse her şeye erişim verir. Daha iyi seçenekler, yalnızca gereken sunuculara ulaşan kullanıcı grubu bazlı VPN profilleri ya da tüm ağ yerine tek tek uygulamaları erişime açan uygulama bazlı erişimdir (genellikle ZTNA, Zero Trust Network Access olarak adlandırılır). E-posta gibi bulut hizmetleri MFA ve cihaz kontrolüyle korunuyorsa VPN'e hiç gerek yoktur.
5. Yönetici yetkilerini ayırın ve sınırlayın
Yöneticiler, yönetim işleri için ayrı bir hesap, e-posta ve internet için ise normal bir hesap kullanır. Günlük işler için kullanıcıların yerel yönetici yetkisine nadiren ihtiyacı olur. Her cihazda farklı olan ve örneğin Windows LAPS ile yönetilen yerel yönetici şifreleri, ele geçirilen tek bir şifrenin tüm bilgisayarları açmasını önler.
6. Kayıt tutun ve değerlendirin
Oturum açmalar, yöneticilerin yaptığı değişiklikler ve güvenlik duvarı olayları merkezi olarak kaydedilmeli ve belirli bir süre saklanmalıdır. Beklenmedik ülkelerden yapılan oturum açmalar veya yeni oluşturulan yönetici hesapları gibi olağandışı olaylar için uyarılar tanımlayın ve bunları kimin inceleyeceğini belirleyin. Kayıtların kapsamını ve saklama süresini veri koruma kurallarına göre belirleyin ve varsa işçi temsilciliğiyle (Betriebsrat) görüşün. Kimsenin bakmadığı kayıtlar koruma sağlamaz.
Klasik ağ modeli ile Zero Trust karşılaştırması
Fark, teknolojiden çok temel varsayımda yatar:
| Konu | Klasik model | Zero Trust |
|---|---|---|
| Güven temeli | Ağın içindeki her şey güvenilir sayılır | Her erişim kontrol edilir |
| Oturum açma | Şifre | MFA ve cihaz durumu |
| Uzaktan erişim | Tüm ağa VPN | Yalnızca gereken uygulamalara erişim |
| Yönetici yetkileri | Kalıcı, çoğu zaman günlük hesapta | Ayrı hesaplar, yalnızca gerektiğinde |
| Ağ | Tek ve düz bir segment | Güvenlik duvarı kurallarıyla segmentler |
| İzleme | Çoğu zaman ancak bir olaydan sonra | Kayıt altında ve düzenli olarak kontrol edilir |
Zero Trust'a dört aşamada geçiş: Yol haritası
Zero Trust için tek bir büyük proje gerekmez. Dört aşama birbirinin üzerine kurulur ve her biri tek başına da fayda sağlar:
- 1. aşama: Envanter ve kimliklerin güvenliği. Kullanıcıları, cihazları, uygulamaları ve önemli verilerin nerede durduğunu listeleyin. Yöneticiler ve e-postadan başlayarak tüm hesaplar için MFA'yı devreye alın; ortak kullanılan ve sahipsiz kalmış kullanıcı hesaplarını kaldırın.
- 2. aşama: Yönetici yetkileri ve cihazlar. Ayrı yönetici hesapları oluşturun, günlük kullanıcılardan yerel yönetici yetkilerini kaldırın ve cihazlar için asgari bir standart belirleyin: güncellemeler, şifreleme, uç nokta koruması.
- 3. aşama: Ağ ve uzaktan erişim. Ağı ofis, sunucular, misafirler ve kamera veya yazıcı gibi cihazlar için segmentlere ayırın. VPN erişimini her grubun ihtiyaç duyduğu sistemlerle sınırlayın ya da uygulama bazlı erişime geçin.
- 4. aşama: Görünürlük ve rutin. Kayıtları merkezi olarak toplayın, uyarılar tanımlayın, yetkileri üç ayda bir gözden geçirin ve yedeklerin geri yüklenmesini düzenli olarak test edin.
Birçok küçük işletme ilk aşamayı birkaç hafta içinde tamamlayabilir. Sonraki aşamalar mevcut ağın durumuna bağlıdır; bunları donanım yenilemesi veya ofis taşınması gibi fırsatlarla birlikte ele almak çoğu zaman en kolay yoldur.
Zero Trust hakkında yaygın yanlış anlamalar
- "Zero Trust bir üründür." Hiçbir güvenlik duvarı, lisans veya yazılım tek başına bir işletmeyi Zero Trust yapısına kavuşturmaz. Ürünler uygulamaya yardımcı olur, ancak erişimler, yetkiler ve süreçlerle ilgili kararlar sizde kalır.
- "Bu, çalışanlarımıza güvenmediğimiz anlamına gelir." İlke insanlara değil, ağlara ve cihazlara duyulan otomatik güvene yöneliktir. Çalınan bir şifre tek başına artık erişim sağlamadığı için çalışanları da korur.
- "Bu sadece büyük şirketler içindir." En önemli yapı taşları küçük işletmeler için de karşılanabilir düzeydedir ve çoğu zaman mevcut lisanslar ve cihazlarla uygulanabilir.
- "Bir kez kurulunca iş biter." Yeni çalışanlar, cihazlar ve uygulamalar tabloyu sürekli değiştirir. Yetkilerin ve kayıtların düzenli olarak gözden geçirilmesi bu yaklaşımın bir parçasıdır.
- "Artık güvenlik duvarına ve VPN'e gerek kalmaz." Her ikisi de faydalı olmaya devam eder. Yalnızca tek savunma hattı olmaktan çıkarlar.
Sonuç: Küçük başlayın, ama başlayın
Küçük işletmeler için Zero Trust, her şeyden önce tutarlı kararlar meselesidir: her erişimi kontrol etmek, yalnızca gereken yetkileri vermek ve bir olayın etkisini sınırlamak. MFA ve ayrı yönetici hesapları kısa sürede çok şey kazandırır; segmentasyon ve kontrollü uzaktan erişim adım adım gelir. Durum tespiti veya uygulama konusunda destek isterseniz Q-entra, siber güvenlik hizmetleri ve iyi segmentlere ayrılmış bir ağ ve kablosuz ağ altyapısı ile yanınızdadır.
