Zero Trust Nedir?
İngilizce: Zero Trust Security
Zero Trust, ağ konumuna güvenmek yerine her kullanıcı, cihaz ve isteği kimlik, bağlam ve yetkiye göre sürekli doğrulayan güvenlik modelidir.
Zero Trust Nedir?
Zero Trust, şirket ağına bağlı olmayı otomatik güven göstergesi saymayan güvenlik yaklaşımıdır. Kullanıcı ofiste, evde veya dış ağda olsa da erişmek istediği uygulama için kimliği, cihaz durumu, yetkisi ve bağlamı yeniden değerlendirilir.
Klasik modelde “iç ağ güvenlidir” varsayımı güçlüdür. Zero Trust ise saldırganın bir hesabı veya cihazı ele geçirebileceğini varsayar ve hasarı sınırlamak için her erişimi en düşük gerekli yetkiyle verir.
Zero Trust Nasıl Çalışır?
Zero Trust tek bir ürün değil, birlikte çalışan kontrol katmanlarıdır:
- Güçlü kimlik: SSO, MFA ve merkezi kullanıcı yönetimi
- Yetki sınırı: Kullanıcıya yalnızca görevi için gereken uygulama ve veri erişimi
- Cihaz doğrulama: Güncel işletim sistemi, disk şifreleme, EDR veya yönetilen cihaz kontrolü
- Mikro segmentasyon: Ağın veya uygulamaların küçük erişim bölgelerine ayrılması
- Sürekli izleme: Oturum, konum, risk sinyali ve olağandışı davranış kayıtları
OAuth2 ve benzeri yetkilendirme standartları, uygulamalar arası erişim izinlerini yönetirken Zero Trust mimarisinin kimlik katmanında önemli rol oynayabilir.
İş Dünyasında Kullanımı
Zero Trust özellikle uzaktan çalışma, SaaS kullanımı, tedarikçi erişimi, yönetim panelleri ve hassas müşteri verisi olan sistemlerde önem kazanır. Amaç kullanıcıları yavaşlatmak değil, ele geçirilen bir hesabın tüm ağa yayılmasını önlemektir.
Uygulamada önce kimlik envanteri, kritik uygulamalar ve yüksek riskli erişimler çıkarılır. Ardından MFA zorunluluğu, ayrıcalıklı hesap yönetimi, cihaz politikaları ve ayrıntılı loglama kademeli olarak devreye alınır. Bu yaklaşım bir defalık kurulumdan çok sürekli gözden geçirilen güvenlik mimarisidir.
İlgili Terimler
ABAC, erişim kararını rol yerine kullanıcı, kaynak, işlem ve ortam niteliklerini birlikte değerlendiren yetkilendirme modelidir.
MFAMFA, girişte parola dışında cihaz, uygulama, biyometri veya güvenlik anahtarı gibi ek doğrulama faktörleri ister.
Karşılıklı TLS (mTLS)mTLS, TLS bağlantısında hem sunucunun hem istemcinin sertifika ile kimliğini doğruladığı karşılıklı güvenlik modelidir.
Ağ SegmentasyonuAğ segmentasyonu, kullanıcı, sunucu ve sistemleri kontrollü ağ bölgelerine ayırarak yetkisiz geçişleri ve saldırı yayılımını sınırlar.
OAuth 2.0OAuth 2.0, üçüncü taraf uygulamaların kullanıcı şifresi olmadan kaynaklara erişmesini sağlayan yetkilendirme çerçevesidir.
RBACRBAC, kullanıcı izinlerini tek tek değil görev rollerine bağlayarak uygulama ve sistemlerde erişim yönetimini sadeleştiren yetkilendirme modelidir.
Gizli Bilgi Yönetimi (Secrets Management)Gizli bilgi yönetimi, API anahtarı, sertifika ve parola gibi hassas değerlerin güvenli saklanması, dağıtılması ve döndürülmesidir.