ahmetbeyler
Active member
Citrix, Zero Trust modeliyle ilgili genel çerçeveyi daha yeterli anlamanız için Zero Trust’a ait kimi temel ve değerli noktaları deklare etti.
Zero Trust yeni bir şey mi yoksa bir geçmişi var mı? Zero Trust güvenlik modelinin tarihçesi nedir?
Hayır, Zero Trust geçen yıl ya da bu yıl çıkan epeyce yeni bir şey değil. Zero Trust’a dayalı güvenlik modelinin kökleri en azından 2000’li yılların başına kadar uzanıyor. O senelerda etraf sonunun kaldırılması (de-perimeterization) olarak bilinen misal bir dizi siber güvenlik kavramı vardı. Forrester’da bir analist olan John Kindervag Zero Trust’a dayalı güvenlik terimini buldu. Zero Trust’ın asıl gündeme oturması; 2009 yılında, Google’a yapılan Aurora siber hücumuyla oldu. APT tipi bu atak; klasik siber güvenlik mimarilerinden kaçan gelişmiş daima tehditler içeriyordu. Google; bu gelişmiş tehditler karşısında, BeyondCorp Zero Trust mimarisini geliştirdi.
Zero Trust mimarisinin temel mantığı; “güvenme ve her vakit doğrula” dır. Karmaşık siber güvenlik tehditlerinin ve sayısız uygulamalarla ve aygıtlarla donanmış taşınabilir işgüçlerinin olduğu bir dünyada Zero Trust; bir isteğin, kurumsal güvenlik duvarının ortasında doğmuş olsa bile, asla emniyetli bir kaynaktan geldiğini var iseymadan kapsamlı bir müdafaa sağlamayı maksatlar. Her şey inançlı olmayan açık bir ağdan geliyormuş üzere kıymetlendirilir ve itimat, Zero Trust çerçevesi ortasında bir yükümlülük olarak görülür. Zero Trust, etraf hududu olmayan güvenlik olarak da isimlendirilebilir. Zero trust mimarisi; gelen isteği, kuşku bırakmıyacak biçimde bir doğrulama ve ilişki boyunca daima onaylama, en düşük düzeyde yetkiyi sağlayıp, tehdit yüzeyini azaltma presnsiplerine dayalı kurulmuştur.
Pekala Zero Trust niye bu kadar değerli ve de kritik?
Zero Trust data güvenliği; farklı pozisyonlar ve farklı aygıtlar içinde sık sık hareket eden, dinamik iş yükleri bulunan karmaşık BT ortamlarındaki gelişmiş hücumlara karşı müdafaa sağlayan en sağlam siber güvenlik çerçevesi olduğu için değerlidir. Çoklu bulut ve hibrit bulut ortamları daha yaygın hale geldiği ve şirketlerin kullandığı bütün uygulamalara yayıldığı için, Zero Trust mimarisi artık özel bir kıymet taşıyor.
Klâsik siber güvenlik biçimleri; bayağı bir kuruluştaki uç noktaların sayısının artıyor olması ve çalışanların bulut uygulamalarına ve şirket datalarına erişmek için kendi şahsi aygıtlarını kullanımı ötürüsıyla aslında data ihlallerini sağlam bir biçimde önleyemiyor. Şirket ağına, VPNle bağlanmış olan makus niyetli bir dahili kullanıcıya; davranışı olağandışı olsa da mesela, hayli büyük ölçülerde data yüklüyor ya da daha evvel yanına bile yaklaşmaya yürek edemediği oturumlara erişiyor olsa bile, temas kurduğu andan itibaren güveniliyor.
Zero Trust modeli ise tam bilakis; ağdaki her bir kimliği, geçen bilginin içeriğini, gerçek vakitli aktiviteyi sıkı bir nezaret altına alarak risk açısından her vakit kıymetlendirir. Zero Trust çerçeveleri bir kimliğin emniyetli olduğunu katiyetle var iseymaz ve buna nazaran kelam konusu kimliğin ağda hareket etmesine müsaade vermedilk evvel kendisini kanıtlamasını gerektirir. Zero Trust modeli; kullanıcı, aygıt ya da pozisyon yetkilendirilmiş olsa bile bunlara bağımlı kalmadan, uygulamaları ve dataları korumak gayesiyle daima olarak ölçeklenen ve gelişen, etraf hudutlarından bağımsız, yazılım tarifli bir model olarak da düşünülebilir.
Zero Trust’ın şirketler, iş ve BT başkanları için esas avantajları nedir?
Zero Trust modelinin en önemli avantajları şunlardır:
Güvenlik açıklarının kapatılması ve ağ üstündeki yanal hareketin kontrol altına alınması ötürüsıyla riski azaltma.
Araştırma şirketi Gartner’ın da vurguladığı üzere, taşınabilir ve uzak çalışanlar için gelişmiş siber güvenlik ve dayanak.
İster bulutta ister şirket ortasında olsun, uygulama ve datalar için kuvvetli müdafaa.
Gelişmiş daima tehditler üzere tehditlere karşı emniyetli savunma.
Zero Trust modelinin mimarisi karmaşık mıdır? Zero Trust mimarisi nasıl inşa edilir?
Bu model katiyetle karmaşık değildir. Zero Trust modeli mucibince uygulandığında bir şirket ağına yönelik bütün taleplerle ilişkili davranış kalıplarıyla ve bilgi noktalarıyla ahenk sağlar. Zero Trust, coğrafik pozisyon, günün saati, işletim sistemi ve sabit yazılım sürümü, aygıtın durumu ve uç nokta donanım çeşidi üzere kriterlere dayanarak erişime müsaade verebilir ya da erişimi engelleyebilir. Tesirli Zero Trust güvenlik modeli üst seviyede otomatikleştirilmiştir ve sunduğu müdafaalar bulut üzerinden ve/veya şirket içi uygulamadan sağlanabilir.
Kimlik sağlayıcılar örnekleri aşağıda verilen birtakım kimlik ve erişim kontrolü tedbirleri sağladıkları için her türlü Zero Trust çerçevesinin temel bileşenleridir:
Çok faktörlü kimlik doğrulaması: Hakikat bir parolayla birlikte ek aygıtlar ve tek seferlik kodlar üzere ikinci faktörler istenebilir.
Tek oturum açma: Ortak bir dizi kimlik bilgisi birden epey uygulamaya erişime müsaade verir, modüllü olarak yönetilebilir ve her vakit iptal edilebilir.
Hayat çevrimi idaresi: Çalışanların işe başlaması ve işten ayrılması üzere iş akışları kimlik dizinlerinin kıymetlendirilmesi ve ilişkilendirilmesiyle kolaylaştırılabilir.
Kurumsal itimattan Zero Trust modeline yanlışsız seyahat, itimat yapısı kurmaya yönelik bir strateji gerektirir. Kuruluşların aktüel telaşlarını tanımlaması ve dijital dönüşümü destekleyecek itimat yapısını belirlemesi gerekir. Erişim, bilgilerin hassasiyetiyle ve dataların istendiği ve kullanıldığı durumla uyumlu hale getirilmelidir. Zero Trust ağdaki çalışanları, aygıtları, bilgileri ve iş yüklerini kesimli olarak tanımlamalıdır.
Pekala VPN’leri niye kullanmamalıyız?
VPN’ler uzun müddettir, kullanıcıların şirket merkezlerinin haricinde bulunduğu durumlarda kurumsal uygulamalara ve bilgilere erişim için kullanılan klasik bir formül niteliğinde. Bu model son kullanıcıların kurumsal ağa sırf onaylı, şirket tarafınca yönetilen aygıtlardan eriştiği kullanım senaryolarında işe yarıyordu. VPN modelinin değişen kullanım senaryolarının gereksinimlerini gereğince karşılamamasının sebebi de bu. Uygulamalar web tabanlı erişime uygun biçimde modernize edildi ve oldukçalu bulut ortamlarında devreye alındı. Uygulamalar, datalar ve hizmetler sadece bilgi merkezi hudutları ortasında bulunmuyor. Pozisyonlar yer değiştirdi, daha dinamik hale geldi; kullanıcılar kaynaklara her yerden erişiyor ve kuruluşların üretkenliği yavaşlatmadan bütün kaynaklara kolay erişime müsaade veren bir çerçeveye muhtaçlığı var. Kullanıcıyı bir bulut uygulamasına kurumsal bir VPN üzerinden erişmeye zorlamak son kullanıcı tecrübesi açısından bekleneni sağlamıyor. Zero Trust modeli bu kale ve hendek yaklaşımı yerine, kullanıcı aygıtlarıyla kullanıcıların gereksinim duyduğu, kurumsal hizmet-olarak yazılımlardan (SaaS) onaylanmamış web uygulamalarına kadar uzanan bütün uygulama yelpazesi içinde yer alan, özel olarak ayrılmış VPN’siz bir yetkili sunucu kullanır. Bu yetkili sunucu, bağlamdaki delillerin bunu desteklemesi halinde yazdırmayı, kopyalamayı ve uç noktaya yapıştırmayı engelleme üzere modüllü siber güvenlik tedbirlerini uygulayabilir.
Bir Zero Trust ağı nasıl tasarlanır ve oluşturulur? Bu, maliyetli bir müddetç midir ve BT önderleri ve grupları için epeyce fazla çalışma ve iş yükü manasına mı gelir?
Zero Trust modeli tek bir eser değildir; bir ortam genelinde riskin daima olarak kıymetlendirilmesi ve erişimin denetlenmesine yönelik kapsamlı bir çerçevedir. ötürüsıyla, bir Zero Trust modelini desteklemek için, üstte açıklananlar dahil, fakat bunlarla sonlu olmayan birden çok tahlil peş peşe devreye alınabilir. Zero Trust güvenlik modelinin tasarlanması ve oluşturulmasına ait süreç kuruluşa ve tahlil kümesine göre değişecektir, fakat, ortak ilerleyiş şöyle olacaktır:
Mevcut siber güvenlik kontrollerinin kıymetlendirilmesi ve temel ağ akışlarının ve güvenlik açıklarının belirlenmesi.
Zero Trust’e dayalı güvenlik tedbirleriyle ziyandan korunacak muhafazalı bir yüzeyin belirlenmesi.
Çok faktörlü kimlik doğrulaması, VPN’siz yetkili sunucular ve inançlı yerleşik tarayıcılar üzere makul teknolojilerin uygulanması.
Kuşkulu aktiviteyi yakından takip etmek ve tahlil bileşiminde ve genel siber güvenlik yaklaşımda muhtaçlığa göre ince ayar gerçekleştirmek için ağın daima olarak izlenmesi.
Bir Zero Trust Mimarisi ağ bölümlerini değil kaynakları muhafazaya odaklanır. Kullanıcının, aygıtın ya da kaynağın ağdaki pozisyonu artık güvenlik yapısının en değerli bileşeni olarak görülmez. Lakin, ağı kısımlara ayırma, yalıtma ve denetleme yeteneği güvenliğin temel direği ve Zero Trust ağı için epeyce kıymetli bir öge olmaya devam eder. Ayrıyeten, uygun uygulamayı ve çalışma alanı sağlama modelini seçme yeteneği “Nerede” sorusunun ikinci kısmını oluşturur.
Zero Trust ağları kimi vakit “çevre sınırsız” olarak tanımlanır. Kimileri etraf sonu muhafazalarının ağlar ve operasyonlar için gitgide daha değersiz hale geldiğini tez ediyor. Aslında etraf sonu hâlâ orada duruyor lakin hayli daha modüllü bir biçimde. Zero Trust ağları gerçekte etraf hudutlarını ağın kenarından içeriye taşımaya ve kritik dataları öteki bilgilerden yalıtmak için kısımlar oluşturmaya çalışıyor. Müdafaaların ve kontrollerin güçlendirilmesi için etraf hududunun dataların yakınına gelmesi gerekiyor.
Zero Trust yeni bir şey mi yoksa bir geçmişi var mı? Zero Trust güvenlik modelinin tarihçesi nedir?
Hayır, Zero Trust geçen yıl ya da bu yıl çıkan epeyce yeni bir şey değil. Zero Trust’a dayalı güvenlik modelinin kökleri en azından 2000’li yılların başına kadar uzanıyor. O senelerda etraf sonunun kaldırılması (de-perimeterization) olarak bilinen misal bir dizi siber güvenlik kavramı vardı. Forrester’da bir analist olan John Kindervag Zero Trust’a dayalı güvenlik terimini buldu. Zero Trust’ın asıl gündeme oturması; 2009 yılında, Google’a yapılan Aurora siber hücumuyla oldu. APT tipi bu atak; klasik siber güvenlik mimarilerinden kaçan gelişmiş daima tehditler içeriyordu. Google; bu gelişmiş tehditler karşısında, BeyondCorp Zero Trust mimarisini geliştirdi.
Zero Trust mimarisinin temel mantığı; “güvenme ve her vakit doğrula” dır. Karmaşık siber güvenlik tehditlerinin ve sayısız uygulamalarla ve aygıtlarla donanmış taşınabilir işgüçlerinin olduğu bir dünyada Zero Trust; bir isteğin, kurumsal güvenlik duvarının ortasında doğmuş olsa bile, asla emniyetli bir kaynaktan geldiğini var iseymadan kapsamlı bir müdafaa sağlamayı maksatlar. Her şey inançlı olmayan açık bir ağdan geliyormuş üzere kıymetlendirilir ve itimat, Zero Trust çerçevesi ortasında bir yükümlülük olarak görülür. Zero Trust, etraf hududu olmayan güvenlik olarak da isimlendirilebilir. Zero trust mimarisi; gelen isteği, kuşku bırakmıyacak biçimde bir doğrulama ve ilişki boyunca daima onaylama, en düşük düzeyde yetkiyi sağlayıp, tehdit yüzeyini azaltma presnsiplerine dayalı kurulmuştur.
Pekala Zero Trust niye bu kadar değerli ve de kritik?
Zero Trust data güvenliği; farklı pozisyonlar ve farklı aygıtlar içinde sık sık hareket eden, dinamik iş yükleri bulunan karmaşık BT ortamlarındaki gelişmiş hücumlara karşı müdafaa sağlayan en sağlam siber güvenlik çerçevesi olduğu için değerlidir. Çoklu bulut ve hibrit bulut ortamları daha yaygın hale geldiği ve şirketlerin kullandığı bütün uygulamalara yayıldığı için, Zero Trust mimarisi artık özel bir kıymet taşıyor.
Klâsik siber güvenlik biçimleri; bayağı bir kuruluştaki uç noktaların sayısının artıyor olması ve çalışanların bulut uygulamalarına ve şirket datalarına erişmek için kendi şahsi aygıtlarını kullanımı ötürüsıyla aslında data ihlallerini sağlam bir biçimde önleyemiyor. Şirket ağına, VPNle bağlanmış olan makus niyetli bir dahili kullanıcıya; davranışı olağandışı olsa da mesela, hayli büyük ölçülerde data yüklüyor ya da daha evvel yanına bile yaklaşmaya yürek edemediği oturumlara erişiyor olsa bile, temas kurduğu andan itibaren güveniliyor.
Zero Trust modeli ise tam bilakis; ağdaki her bir kimliği, geçen bilginin içeriğini, gerçek vakitli aktiviteyi sıkı bir nezaret altına alarak risk açısından her vakit kıymetlendirir. Zero Trust çerçeveleri bir kimliğin emniyetli olduğunu katiyetle var iseymaz ve buna nazaran kelam konusu kimliğin ağda hareket etmesine müsaade vermedilk evvel kendisini kanıtlamasını gerektirir. Zero Trust modeli; kullanıcı, aygıt ya da pozisyon yetkilendirilmiş olsa bile bunlara bağımlı kalmadan, uygulamaları ve dataları korumak gayesiyle daima olarak ölçeklenen ve gelişen, etraf hudutlarından bağımsız, yazılım tarifli bir model olarak da düşünülebilir.
Zero Trust’ın şirketler, iş ve BT başkanları için esas avantajları nedir?
Zero Trust modelinin en önemli avantajları şunlardır:
Güvenlik açıklarının kapatılması ve ağ üstündeki yanal hareketin kontrol altına alınması ötürüsıyla riski azaltma.
Araştırma şirketi Gartner’ın da vurguladığı üzere, taşınabilir ve uzak çalışanlar için gelişmiş siber güvenlik ve dayanak.
İster bulutta ister şirket ortasında olsun, uygulama ve datalar için kuvvetli müdafaa.
Gelişmiş daima tehditler üzere tehditlere karşı emniyetli savunma.
Zero Trust modelinin mimarisi karmaşık mıdır? Zero Trust mimarisi nasıl inşa edilir?
Bu model katiyetle karmaşık değildir. Zero Trust modeli mucibince uygulandığında bir şirket ağına yönelik bütün taleplerle ilişkili davranış kalıplarıyla ve bilgi noktalarıyla ahenk sağlar. Zero Trust, coğrafik pozisyon, günün saati, işletim sistemi ve sabit yazılım sürümü, aygıtın durumu ve uç nokta donanım çeşidi üzere kriterlere dayanarak erişime müsaade verebilir ya da erişimi engelleyebilir. Tesirli Zero Trust güvenlik modeli üst seviyede otomatikleştirilmiştir ve sunduğu müdafaalar bulut üzerinden ve/veya şirket içi uygulamadan sağlanabilir.
Kimlik sağlayıcılar örnekleri aşağıda verilen birtakım kimlik ve erişim kontrolü tedbirleri sağladıkları için her türlü Zero Trust çerçevesinin temel bileşenleridir:
Çok faktörlü kimlik doğrulaması: Hakikat bir parolayla birlikte ek aygıtlar ve tek seferlik kodlar üzere ikinci faktörler istenebilir.
Tek oturum açma: Ortak bir dizi kimlik bilgisi birden epey uygulamaya erişime müsaade verir, modüllü olarak yönetilebilir ve her vakit iptal edilebilir.
Hayat çevrimi idaresi: Çalışanların işe başlaması ve işten ayrılması üzere iş akışları kimlik dizinlerinin kıymetlendirilmesi ve ilişkilendirilmesiyle kolaylaştırılabilir.
Kurumsal itimattan Zero Trust modeline yanlışsız seyahat, itimat yapısı kurmaya yönelik bir strateji gerektirir. Kuruluşların aktüel telaşlarını tanımlaması ve dijital dönüşümü destekleyecek itimat yapısını belirlemesi gerekir. Erişim, bilgilerin hassasiyetiyle ve dataların istendiği ve kullanıldığı durumla uyumlu hale getirilmelidir. Zero Trust ağdaki çalışanları, aygıtları, bilgileri ve iş yüklerini kesimli olarak tanımlamalıdır.
Pekala VPN’leri niye kullanmamalıyız?
VPN’ler uzun müddettir, kullanıcıların şirket merkezlerinin haricinde bulunduğu durumlarda kurumsal uygulamalara ve bilgilere erişim için kullanılan klasik bir formül niteliğinde. Bu model son kullanıcıların kurumsal ağa sırf onaylı, şirket tarafınca yönetilen aygıtlardan eriştiği kullanım senaryolarında işe yarıyordu. VPN modelinin değişen kullanım senaryolarının gereksinimlerini gereğince karşılamamasının sebebi de bu. Uygulamalar web tabanlı erişime uygun biçimde modernize edildi ve oldukçalu bulut ortamlarında devreye alındı. Uygulamalar, datalar ve hizmetler sadece bilgi merkezi hudutları ortasında bulunmuyor. Pozisyonlar yer değiştirdi, daha dinamik hale geldi; kullanıcılar kaynaklara her yerden erişiyor ve kuruluşların üretkenliği yavaşlatmadan bütün kaynaklara kolay erişime müsaade veren bir çerçeveye muhtaçlığı var. Kullanıcıyı bir bulut uygulamasına kurumsal bir VPN üzerinden erişmeye zorlamak son kullanıcı tecrübesi açısından bekleneni sağlamıyor. Zero Trust modeli bu kale ve hendek yaklaşımı yerine, kullanıcı aygıtlarıyla kullanıcıların gereksinim duyduğu, kurumsal hizmet-olarak yazılımlardan (SaaS) onaylanmamış web uygulamalarına kadar uzanan bütün uygulama yelpazesi içinde yer alan, özel olarak ayrılmış VPN’siz bir yetkili sunucu kullanır. Bu yetkili sunucu, bağlamdaki delillerin bunu desteklemesi halinde yazdırmayı, kopyalamayı ve uç noktaya yapıştırmayı engelleme üzere modüllü siber güvenlik tedbirlerini uygulayabilir.
Bir Zero Trust ağı nasıl tasarlanır ve oluşturulur? Bu, maliyetli bir müddetç midir ve BT önderleri ve grupları için epeyce fazla çalışma ve iş yükü manasına mı gelir?
Zero Trust modeli tek bir eser değildir; bir ortam genelinde riskin daima olarak kıymetlendirilmesi ve erişimin denetlenmesine yönelik kapsamlı bir çerçevedir. ötürüsıyla, bir Zero Trust modelini desteklemek için, üstte açıklananlar dahil, fakat bunlarla sonlu olmayan birden çok tahlil peş peşe devreye alınabilir. Zero Trust güvenlik modelinin tasarlanması ve oluşturulmasına ait süreç kuruluşa ve tahlil kümesine göre değişecektir, fakat, ortak ilerleyiş şöyle olacaktır:
Mevcut siber güvenlik kontrollerinin kıymetlendirilmesi ve temel ağ akışlarının ve güvenlik açıklarının belirlenmesi.
Zero Trust’e dayalı güvenlik tedbirleriyle ziyandan korunacak muhafazalı bir yüzeyin belirlenmesi.
Çok faktörlü kimlik doğrulaması, VPN’siz yetkili sunucular ve inançlı yerleşik tarayıcılar üzere makul teknolojilerin uygulanması.
Kuşkulu aktiviteyi yakından takip etmek ve tahlil bileşiminde ve genel siber güvenlik yaklaşımda muhtaçlığa göre ince ayar gerçekleştirmek için ağın daima olarak izlenmesi.
Bir Zero Trust Mimarisi ağ bölümlerini değil kaynakları muhafazaya odaklanır. Kullanıcının, aygıtın ya da kaynağın ağdaki pozisyonu artık güvenlik yapısının en değerli bileşeni olarak görülmez. Lakin, ağı kısımlara ayırma, yalıtma ve denetleme yeteneği güvenliğin temel direği ve Zero Trust ağı için epeyce kıymetli bir öge olmaya devam eder. Ayrıyeten, uygun uygulamayı ve çalışma alanı sağlama modelini seçme yeteneği “Nerede” sorusunun ikinci kısmını oluşturur.
Zero Trust ağları kimi vakit “çevre sınırsız” olarak tanımlanır. Kimileri etraf sonu muhafazalarının ağlar ve operasyonlar için gitgide daha değersiz hale geldiğini tez ediyor. Aslında etraf sonu hâlâ orada duruyor lakin hayli daha modüllü bir biçimde. Zero Trust ağları gerçekte etraf hudutlarını ağın kenarından içeriye taşımaya ve kritik dataları öteki bilgilerden yalıtmak için kısımlar oluşturmaya çalışıyor. Müdafaaların ve kontrollerin güçlendirilmesi için etraf hududunun dataların yakınına gelmesi gerekiyor.