Derinlemesine Savunma ve Katmanlı Güvenlik

Derinlemesine savunma, biri başarısız olduğunda diğerlerinin sistemi korumaya devam etmesi için birden fazla bağımsız güvenlik denetimini katmanlar halinde kullanma uygulamasıdır. Hiçbir savunma kusursuz değildir; bu nedenle asla yalnızca bir savunmaya güvenmezsiniz.

Bir kale düşünün: hendek, duvarlar, muhafızlar ve kilitli iç kale. Bir engeli aşan saldırgan, değerli bir şeye ulaşmadan önce hâlâ birkaç engelle daha karşılaşır.

Katmanlı bir ağ; çevre güvenlik duvarını, ağ bölümlemesini, saldırı tespitini, uç nokta antivirüsünü, güçlü kimlik doğrulamayı, şifrelemeyi ve kullanıcı eğitimini bir araya getirebilir. Her katman saldırının farklı bir yönünü kapsar.

Amaç, çalınmış tek bir parola veya güncellenmemiş tek bir sunucu gibi tek bir zayıflığın saldırgana tüm ağı teslim etmemesidir. Her denetim zaman kazandırır ve saldırganı tespit etmek için fırsat oluşturur.

Güvenlik fiziksel denetimlerle başlar: kilitli sunucu odaları, kartlı erişim, kameralar ve kablo düzeni. Bir kişi gelip bir anahtara kablo takabiliyor veya bir sürücüyü çalabiliyorsa hiçbir yazılım denetimi onu durduramaz.

Fiziksel güvenlik, derinlemesine savunmanın en dış katmanıdır ve çoğu zaman gözden kaçar; ancak kilitlenmemiş bir ağ odası, dijital savunmalara harcanan büyük emekleri boşa çıkarabilir.

Ağ katmanında güvenlik duvarları bölgeler arasındaki trafiği filtreler, bölümleme cihaz gruplarını birbirinden ayırır ve VPN'ler uzaktan bağlantıları korur. Bir IDS/IPS (Saldırı Tespit/Önleme Sistemi) saldırı örüntülerini izler.

Bu denetimler, tehditlerin serbestçe yayılmasını önler ve savunmacılara trafik hakkında görünürlük sağlayarak derinlemesine savunma tasarımının orta katmanlarını oluşturur.

Her cihaz kendi katmanını ekler: bir ana makine güvenlik duvarı, antivirüs veya EDR (Uç Nokta Tespit ve Müdahale), otomatik yama uygulama ve kullanılmayan hizmetleri devre dışı bırakan güçlendirilmiş yapılandırmalar.

Saldırgan ağ savunmalarını aşsa bile iyi güçlendirilmiş bir uç nokta ele geçirilmeye direnir; uç nokta araçları da kötü amaçlı davranışları yerel olarak tespit edip durdurabilir.

Hedefe yaklaşıldıkça uygulamalar güvenli kodlama, girdi doğrulama ve kimlik doğrulama kullanır; verilerin kendisi ise bekleme ve aktarım sırasında şifrelemeyle ve sıkı erişim denetimleriyle korunur.

Hassas verileri şifrelemek, başarılı bir ihlalin bile okunamayan dosyalarla sonuçlanmasını sağlar. Bu, dış katmanlar başarısız olduğunda varlığın kendisini koruyan son katmandır.

Tüm denetimler teknik değildir. Yönetimsel denetimler; güvenlik farkındalığı eğitimi, kabul edilebilir kullanım politikaları, olay müdahale planları ve geçmiş araştırmaları gibi politika ve yordamları kapsar.

Birçok saldırı kimlik avı yoluyla insanları hedeflediğinden, kullanıcıları eğitmek hayati bir katmandır. Bir kullanıcı parolasını isteyerek teslim ederse en güçlü teknik savunmalar bile başarısız olur.

En az ayrıcalık, her kullanıcıya, hizmete ve cihaza işini yapması için gereken en düşük erişim düzeyinden fazlasını vermemek demektir. Bir hesap ele geçirilirse, sınırlı ayrıcalıklar zararı da sınırlar.

Bu ilke her katmana işler. Derinlemesine savunmayla birlikte kullanıldığında, tek bir hesabın veya sistemin ihlal edilmesinin tüm ağın kolayca ele geçirilmesine dönüşmesini önler.

Modern güvenlik, sıfır güven yaklaşımını ekler: ağın içindeki hiçbir şeyin güvenli olduğunu varsaymayın. Her istek, nereden geldiğine bakılmaksızın doğrulanır, kimliği doğrulanır ve yetkilendirilir.

Sıfır güven, güvenilir bir iç ağ ve tehlikeli bir dış ağ şeklindeki eski anlayışı ortadan kaldırarak derinlemesine savunmayı tamamlar; aksi kanıtlanana kadar her bağlantıyı potansiyel olarak kötü niyetli kabul eder.

Derinlemesine savunma, başarısız olduğunda her şeyi açığa çıkaracak tek bir denetim mekanizmasına güvenmemek anlamına da gelir. Tüm güvenliğiniz tek bir güvenlik duvarına bağlıysa, bu güvenlik duvarı tekil bir arıza noktasıdır.

Yedekli ve çeşitli denetim mekanizmaları, birinin aşılmasının hepsinin aşılması anlamına gelmemesini ve farklı saldırı türlerinin her birinin kendisini yakalamak üzere tasarlanmış bir savunmayla karşılaşmasını sağlar.

Derinlemesine savunma, güvenliği tek bir kapıdan üst üste binen ağlar dizisine dönüştürür. Fiziksel kilitlerden ağ güvenlik duvarlarına, güçlendirilmiş uç noktalardan şifrelenmiş verilere ve eğitimli kullanıcılara kadar her katman, diğerlerinin gözden kaçırdıklarını yakalar.

En az ayrıcalık ve sıfır güvenle birlikte kullanıldığında, tek bir denetim mekanizmasının başarısız olabileceğini kabul eder ve bu gerçekleştiğinde sistemin korunmaya devam etmesini sağlar.

Katmanlı güvenlik anlayışınızı sınayın.

Derinlemesine savunma, tek bir arızanın sistemi açığa çıkarmaması için bağımsız denetim mekanizmalarını katmanlar. Katmanlar fiziksel, ağ (güvenlik duvarları, bölümlendirme, IDS/IPS), ana bilgisayar, uygulama/veri (şifreleme) ve yönetimsel (eğitim, politika) denetimlerini kapsar. Tekil arıza noktalarından kaçınmak için bunu en az ayrıcalık ve sıfır güven ile birleştirin.