Sıfır Güven Yaklaşımı PAM ile Nasıl Uygulanır?

Dünya, bugüne kadar görülmemiş bir hızla dijitalleşiyor. Üstelik dijitalleşen bu evren, yalnızca belirli sektörler tarafından kullanılan uzak bir kavram değil artık, alışverişten iletişime kadar gündelik yaşantımızın tam merkezinde. Bu da çevrimiçi dünyada sıklıkla işlem yapmamız ve her işlemde daha fazla veri üretmemiz anlamına geliyor. Ortaya çıkan veriler, işletmeler için hayati bir öneme sahip. Teknolojinin avantajlarından faydalanan kuruluşlar, bu verileri inovasyon yapmak, hedef kitlelerini genişletmek, daha iyi hizmetler sunmak, ödeme kolaylığı sağlamak gibi birçok amaç için kullanıyor. 

Ancak bu avantajlardan faydalananlar yalnızca müşterilerini memnun etmek isteyen işletmeler değil. Verinin güç demek olduğunu bugünlerde kötü amaçlı kişiler de bu hızla gelişen dünyayı takip ediyor, veri ve bilgi sistemlerindeki olası açıklıkları sürekli farklı yöntemler deneyerek kendi çıkarlarına kullanmak istiyor. Verilerinizi sakladığınız sistemlerin güvende olmasını istiyorsanız sizi bugünün yaklaşım ve yenilikçi teknolojileri ile tanıştıralım: Zero Trust ve Ayrıcalıklı Erişim Yönetimi (PAM)...

Zero Trust (Sıfır Güven) Nedir?

Sıfır Güven ya da diğer adıyla Zero Trust; bulut teknolojilerini, SaaS, DevOps ve robotik otomasyon gibi dijital iş ortamlarını korumak için tasarlanmış bir stratejik siber güvenlik modeli. Amerikan pazar araştırma şirketi Forrester’ın endüstri analisti John Kindervag tarafından 2010 yılında adı konulan Zero Trust, “Asla Güvenme, Her Zaman Doğrula” prensibiyle dünyada hızla benimsenmeye başladı. Kısa süre içerisinde Google gibi büyük şirketler de Zero Trust modelini kendi sistemlerine entegre etmeye başladı. 2015 yılında ABD Personel Yönetim Ofisi’ne gerçekleştirilen siber saldırıdan sonra ise Amerikan Temsilciler Meclisi’nin bir daha böyle durumlarla karşılaşılmaması için devlet kurumlarında Zero Trust’ın kullanılmasını önerdikten sonra asıl ününü kazanmış oldu.

Zero Trust, işletmelerin ağ içinde veya dışında olması fark etmeksizin hiçbir dijital kişiliğe güvenmemesi ve ağa bağlanmaya çalışan herkesin ve her şeyin verilere ulaşmadan ya da erişim izni verilmeden önce doğrulanmasını öneriyor. Bu sayede yalnızca sistemin dışından gelebilecek saldırılara değil, aynı zamanda içerisinde bulunan kötü amaçlı yazılımlara ve kişilere karşı da önlem alınmış oluyor. İç tehditler ilk bakışta imkânsız gibi görünse de aslında dünya çapında birçok kuruluş bu tür saldırılarla başa çıkmak zorunda kalıyor. Üstelik iç tehdit yalnızca üçüncü partiden gelmiyor. Kritik alanlara erişim yetkisine sahip çalışanlar da kazara ya da kasıtlı olarak “hatalar” yapabiliyor. Bu noktada Zero Trust yaklaşımının önemi daha da fazla öne çıkıyor.

Ayrıcalıklı Erişim Yönetimi (Privileged Access Management (PAM)) Nedir?

Ayrıcalıklı Erişim Yönetimi (Privileged Access Management (PAM) işletmenizin kritik verilerine ve bilgilerine daha güvenli bir erişim sağlamak için üretilmiş bir siber güvenlik çözümü. Kritik verilere ulaşmak ve ulaşılan veriler üzerinde işlem yapabilmek işletmenizin verimliliğini artırmaya yardımcı olabilecek en önemli varlıklarınızdan biri. Bu bilgilere ulaşabilme ayrıcalığı ise sistem içerisindeki her kullanıcının sahip olmaması gereken bir yetki.

Siber suçlular, ağı ve ağın içerisindeki bilgileri ele geçirmek için öncelikle o ağın yetkili hesaplarını ele geçirmeye çalışıyor. Böylece çoğu zaman arkalarında iz bırakmadan ya da şüphe uyandırmadan hareket edebiliyor. İşte PAM, tam olarak bu noktada devreye giriyor.

PAM, ağ içerisindeki yetkili kullanıcıların kimlik bilgilerini yüksek güvenlikli ve izole edilmiş bir ortamda saklıyor ve bu kullanıcı hesaplarının sürekli olarak kontrol altında olmasını sağlıyor. Erişim izni isteyen kullanıcıların hareketleri sürekli olarak kaydediliyor ve ancak gerekli şartları sağladıklarında istedikleri yetkilere erişmelerine izin veriliyor.

Zero Trust ve PAM

Zero Trust, ağ içerisindeki kullanıcıların yetkilerinin en aza indirildiği, erişimlerinin kontrollü bir şekilde yönetildiği ve faaliyetlerinin denetlendiği bir model olarak karşımıza çıkıyor. Bu da ağdaki kullanıcıların hareketlerinin denetlenmesi ve anlaşılması için otomatikleşmiş bir sistem ihtiyacı doğuruyor. Bu bağlamda Ayrıcalıklı Erişim Yönetimi (PAM), işletmenizdeki IT ekiplerinin Zero Trust modelin içerisinde en verimli şekilde kurgulanmasını ve güvenliğin artırılmasına katkı sunuyor.

Peki şirketinizde Ayrıcalıklı Erişim Yönetimini Zero Trust prensiplerine göre nasıl uygularsınız?

• Yetkili oturumları kontrol altına alın: Kritik verilere erişimin ilk geçiş noktası olan yetkili oturumlardaki yetkili hesapların hareketlerini izleyerek, kayıt altına alabilirsiniz. Yetkili oturum yöneticisi sayesinde oluşan anomalileri takip edebilir, şüpheli durumlara gerçek zamanlı olarak müdahale edebilirsiniz. Bu sayede Zero Trust modelinin katmanlanmış yetkinlik yönetimi başlığındaki ilk adımı atmış olursunuz.
• Yetkili kullanıcıları doğrulayın: Kurumunuzun hassas dijital varlıklarına erişen yetkili hesapları, iki faktörlü kimlik doğrulama (2FA) çözümü ile doğrulayabilir, tek kullanımlık zor şifrelerle, şifre paylaşımının önüne geçebilirsiniz. Çok katmanlı bir koruma mekanizması da oluşturan bu uygulama ile yetkili hesapların davranışlarını doğrulama aşamasından itibaren takip edebilir, Sıfır Güven metodunun erişim yönetimi politikalarına uyumluluk sağlayabilirsiniz.
• Parolaları güvende tutun: Veri alanlarınıza erişen yetkili kullanıcıları ilgili alanlara erişmek için kullandıkları şifreleri merkezi parola yöneticisi bir diğer adıyla şifre kasasında saklayarak, kritik verilerin bulunduğu ortamlara girişi kontrol altında tutabilirsiniz. Bu sayede yetkili kullanıcı veya uygulamaların kritik verilerinize her istedikleri anda değil, sizin belirlediğiniz anlarda ve özelleştirebileceğiniz koşullar ulaşabilmelerini sağlayabilirsiniz. Zero Trust modelinin log’lanabilme, takip edilebilme gibi beklentilerini bu sayede yerine getirebilirsiniz.
• Verilerinizi maskeleyin: Veritabanında çalışma yapan yetkili hesap, uygulama ve 3. parti unsurlara karşı gerçek verilerinizi maskeleyerek veya gerçek verilerde hiçbir değişiklik yapmadan kurgusal veriler üzerinde çalışmalarını sağlayabilirsiniz. Veri gizliliğini en üst seviyeye çıkaran ve veri ihlallerini önemli ölçüde engelleyen dinamik veri maskeleme ile Sıfır Güven yetkili hesapların süreçlerini sınırlandırma koşulunu da yerine getirmiş olursunuz.
• Least Privilege prensiplerini uygulayın: Bilgi güvenliği yöntemleri arasında yetkili hesaplara en az bilgi ve yetenek ile görevini yerine getirme olanağı veren Least Privilege prensiplerini, PAM çözümünün sunacağı farklı yetkilendirme seviyelerini kullanarak uygulayın. Böylece Zero Trust’ın uygulanması beklenen adımlarından biri olan seviyeli yetkilendirme, çok katmanlı erişim yönetimi gibi koşullarını da yerine getirmiş olursunuz.
• Her adımı gözlemleyin: Zero Trust modelinin tüm uygulama yöntemlerini içinde barındıran bir PAM çözümü, işletmelere kimlik bilgisi hırsızlığı ve ayrıcalıklı hesapların kötüye kullanılmasını önleme ve sistem içerisinde yapılan hareketlerin günlüğünü tutarak şüpheli etkinlikleri izleme imkânı sunar.

İşletmenizin hayat damarı olan bilgi teknolojileri sistemleri ve verilerin daha güvenli hale getirilmesi için gelişen bu Zero Trust (Sıfır Güven) metodu sayesinde doğru teknolojilerle yetkili hesapları bir araya getirebilir ve günümüzün önde gelen siber güvenlik stratejilerini sisteminize entegre ederek işletmenizi güvence altına alabilirsiniz. Kron’un Gartner Magic Quadrant for PAM raporunda da yer alan Ayrıcalıklı Erişim Yönetimi (PAM) çözümü Single Connect ile Zero Trust yaklaşımını hayata geçirerek işletmenizde üst düzey veri güvenliği sağlayabilirsiniz.