Siber güvenlikte Sıfır Güven nedir?
Sıfır güven güvenlik stratejisi
Sıfır güven güvenlik stratejisi, işletmenizi dahili ve harici saldırganlardan nasıl daha iyi korur?
Son küresel olayların kesintiye uğraması, birçok işletmenin faaliyetlerini sürdürmeye çalışırken dijital dönüşümlerini hızlı bir şekilde hızlandırmasına neden oldu. Buluta geçiş ve çalışanların evden çalışmasına izin verme yönündeki bu acele, kötü niyetli aktörlerin krizlerden yararlanabileceği ve bu yetersiz donanımlı işgücünden yararlanabileceği anlamına geliyordu.
Sophos tarafından hazırlanan bir rapor, pandeminin başlangıcından bu yana kuruluşların %70’inin kimlik avı ve diğer kötü amaçlı yazılım saldırılarında bir artış gördüğünü ve en çok hükümet organlarının yaşadığını belirtti. Bu siber tehdit hacmi ve saldırıların daha gelişmiş hale gelmesiyle birlikte, kurumsal ağ güvenliğini sağlamaya yönelik geleneksel yöntemler, işletmeleri dış ve iç tehditlerden korumak için yeterli değildir.
Bu nedenle iş liderleri, personelin şirket bilgilerine ve verilerine – hem ofiste hem de uzaktan – erişmesine hala izin verme ihtiyacı ile son kullanıcı korumasını uzaktan sağlama, yönetme ve izleme ihtiyacı arasında sıkışıp kalıyor . Sonuç olarak, birçoğu Zero Trust güvenlik modellerini benimsiyor.
Geleneksel güvenlik yöntemleri, ağ parametreleri içindeki tüm cihazların güvenilir olabileceği teorisi üzerinde çalışır, bir kale hendek stratejisi, ancak bu, bilgisayar korsanları ilk güvenlik bariyerini bir kez aştığında, işletmeleri iç tehditlere karşı savunmasız bırakmakla kalmaz, kaosa neden olmak için sınırsız erişimleri var.
Geleneksel güvenlik yöntemleri, ağ parametrelerindeki tüm cihazlara güvenilebileceği teorisi üzerinde çalışır – bir ‘kaleye ve hendek’ stratejisi – ancak bu yalnızca işletmeleri iç tehditlere karşı savunmasız bırakmakla kalmaz, aynı zamanda hacker’lar ilk güvenlik engelini aştıktan sonra kaosa neden olmak için sınırsız erişime sahiptir.
Ancak Sıfır Güven stratejisi, hiç kimseye güvenilemeyeceği ve herkesin ve her cihazın doğrulanması gerektiği kavramıdır. Bu nedenle, çalışanlar ister ofiste ister evde çalışıyor olsun, ağa erişmeye çalışan her personel üyesi ve cihaz için kimlik doğrulaması gerekir.
Konsept için model ilk olarak 2010 yılında Forrester Research’ten bir analist tarafından tanıtıldı ve başlangıçta yalnızca Forrester müşterileri tarafından kullanıldı, ta ki Google, 2014 yılında Zero Trust’ı uyguladığında teknoloji topluluğu içinde benimsenmesine ilham verene kadar.
Artık güvenlik sağlayıcı pazarında yaygın olan Gartner , 2025 yılına kadar “kuruluşların yüzde 60’ının güvenlik için bir başlangıç noktası olarak Sıfır Güveni benimseyeceğini” tahmin ediyor.
Sıfır güven modelinin normal yöntemlerden farkı nedir?
Kale ve hendek yönteminin aksine Zero Trust, uygulamalara ve verilere erişmek için hem ağ içindeki hem de dışındaki kullanıcıların sürekli olarak kimliklerinin doğrulanmasını gerektirir. Sızma noktası genellikle saldırganın hedefi olmadığından, sadece bir giriş yolu olduğundan, Sıfır Güven, mikro segmentasyon, çok faktörlü kimlik doğrulama ve erişim saldırganlarının bir kez giriş yaptıktan sonra sahip oldukları engelleri veya sınırlamaları içeren diğer engeller dahil olmak üzere birden çok yöntem kullanır. ağa girdi.
Sıfır güven ağ modeli hangi stratejileri kullanır?
Mevcut mimariye yerleştirilebilen ve tüm kuruluşta kullanılabilen bütünsel bir yaklaşımdır. Kuruluşların, ağlarında bulunan kullanıcıları ve uç noktaları sınırlamak için kullanabileceği bazı taktikler şunlardır:
- En az ayrıcalıklı erişim: Bu, her kullanıcının ihtiyaçlarının değerlendirilmesini içerir ve onlara mümkün olan en düşük düzeyde erişim sağlar, böylece kaynaklar ağdaki herkese açık olmak yerine yalnızca kesinlikle ihtiyaç duyanlar tarafından kullanılabilir.
- Kimlik ve erişim yönetimi (IAM): IAM , kullanıcıların kimliğini doğrulama ve her kullanıcı için uygun erişim düzeylerini yönetme süreçlerini otomatikleştirir. IAM sistemleri, kullanıcılara rollerine göre erişim sağlar ve şirketten ayrılan çalışanların yetkilendirmesini kaldırır.
- Çok faktörlü kimlik doğrulama (MFA): Bu, kullanıcının genellikle SMS, e-posta veya bir uygulama aracılığıyla gönderilen tek seferlik şifreler (OTP’ler) aracılığıyla iki veya daha fazla doğrulama faktörü sağlamasını gerektiren bir IAM politikasının temel bir bileşenidir.
- Uç nokta güvenlik teknolojisi: Herhangi bir çalışanın kurumsal kaynaklara erişmek için kullanabileceği masaüstü bilgisayarlar, dizüstü bilgisayarlar, tabletler ve cep telefonları, bir saldırı için erişim noktalarına eklenir ve uygun şekilde güvence altına alınmaları gerekir. Daha fazla çalışan kendi cihazları veya Wi-Fi bağlantıları üzerinden bağlandıkça, bu özellikle önemlidir.
- Mikro-segmentasyon: Bu yöntem, iş yüklerini ayrı bölgelere böler ve onları ayrı ayrı güvence altına alarak, saldırganların atlaması gereken daha fazla engel oluşturur.
Başarılı bir sıfır güven çerçevesini nasıl yürürlüğe koyarsınız?
Bununla birlikte, yukarıda listelenen taktikler yalnızca, bir kullanıcıyı ve cihazını sürekli olarak izleyip doğrulayabiliyorsanız işe yarayacaktır. Sıfır güven uygulaması, bir kullanıcının kimliğinin, uç nokta türünün, oturum açma ayrıntılarının ve diğer özniteliklerin gerçek zamanlı görünürlüğüne dayanır ve bu görünürlük olmadan politikayı net bir şekilde tanımlayamazsınız.
En hassas verileri, varlıkları, uygulamaları ve hizmetleri (DAAS) belirlemeniz ve bunu ağın geri kalanından ayırmanız gerekir. Ardından, bu verileri çevreleyen trafiğin nasıl erişildiğini, nereye gittiğini ve ne için kullanıldığının haritasını çıkarmak isteyeceksiniz. Kuruluşunuzun verilerinin amacını bilmek, verileri korumak için çok önemlidir ve otomatik keşif araçları bunu anlamanıza ve hangi veri akışlarının kesinlikle gerekli olduğuna karar vermenize yardımcı olabilir.
Hangi akışlara izin verilip hangilerinin verilmeyeceğini öğrendikten sonra, ağı farklı akışlar arasına sınırlar koyacak şekilde tasarlayabilir, geçiş için kimlik doğrulama ve doğrulama gerektiren ve ihlalleri önlemeye yardımcı olacak mikro segmentler oluşturabilirsiniz.
Burada izleme tekrar devreye giriyor, ancak bu aşama politikayı tanımlamakla değil, onu uygulamakla ilgili. Sıfır güven mimarisini uyguladıktan sonra hala gerçek zamanlı görünürlüğe ihtiyacınız vardır, sürekli uyumluluğu sağlamak için yalnızca bu görünürlük kullanılacaktır.
Otomasyon, gerektiğinde hızlı bir şekilde değişiklik yapmak için politika motorunuzun önemli bir bileşeni olacaktır. Otomatik sistem, tanımlanmış meşru parametreler dahilindeki politika değişikliği taleplerini değerlendirebilir ve parametrelerin dışındakileri gerçek insan gözlerine ileterek yeni sıfır güven modelinizi sürdürmek için ayırmanız gereken süreyi azaltır.
Sıfır güvenin zorlukları
Önceki bölüm bunu netleştirmediyse, sıfır güven politikası benimsemek son derece faydalı olsa da oldukça karmaşık olabilir.
Amacınız, erişimi kısıtlamak için araçlara veya araçlara sahip olmayan mevcut altyapınızı kullanmaksa, güvenlik ekibinizin yeni ağ segmentleri oluşturması ve bunlara ihtiyacı olan kullanıcılarla erişimi sınırlaması gerekecektir. Mevcut çerçeveye uyması için ince ayarlar yapıldığından bu zaman alır, bu nedenle bir güvenlik sağlayıcısı kullanmaya ve iş akışlarındaki kesintileri sınırlamak için yerleşik Sıfır Güven yaklaşımına sahip bir platform benimsemeye karar verebilirsiniz.
Yerleştirildikten sonra, çalışanlardan müşterilere, müşterilere ve satıcılara kadar tümü farklı politikalar gerektiren çeşitli erişim seviyelerine sahip daha fazla kullanıcı yönetimi gerektirecektir. İşletmenizin ihtiyaç duyduğu son şey, çalışanları herhangi bir süre boyunca işlerini yapmak için ihtiyaç duydukları verilerden ve cihazlardan kilitlemektir; bu, yalnızca üretkenliklerini olumsuz etkiler.
Yükü dağıtmak için bazı güvenlik yöneticileri, politikayla ilgili kararları kendileri koruyabilmeleri için her departmana devredebilir, ancak bu, bazı ekiplerin onları saldırılara karşı savunmasız bırakan çok geniş politikalar oluşturmasıyla ilgili sorunlar yaratabilir.
Her kullanıcının sahip olduğu cihaz sayısındaki hızlı artış, bir işletmedeki uygulama sayısı ve bulut da dahil olmak üzere verileri depolamanın ve bunlara erişmenin farklı yolları ile birlikte sıfır güven çerçevesi oluştururken dengelenmesi gereken birçok faktör vardır. Ancak Sıfır Güven’in arkasındaki temel konseptle ilişkili riskleri ele aldığınız, örtük güveni ortadan kaldırdığınız ve her etkileşimi doğruladığınız sürece, kuruluşunuz önemli güvenlik iyileştirmeleri ve hatta maliyet düşüşleri gerçekleştirecektir.
Makalenin orjinal kaynağını bu linkten okuyabilirsiniz.
