Yeni Çevre Olarak Kimlik: Koşullu Erişim

Zero Trust modelinde kimlik yeni çevredir. Kullanıcılar evden, kafelerden ve mobil Devices üzerinden her yerden kaynaklara erişebildiği için ağ sınırı artık bir Trust dayanağı olarak anlamını yitirmiştir. Bunun yerine her erişim kararı erişimi kimin istediğine, hangi Device üzerinden istediğine ve hangi koşullar altında istediğine göre verilir. Güvenlik duvarı değil, kimlik sağlayıcı geçişi denetleyen unsur hâline gelir.

Conditional Access, kimlik doğrulama sırasında değerlendirilen sinyallere göre erişim izni veren veya erişimi kısıtlayan bir Policy motorudur. Conditional Access, yalnızca kullanıcı adı ve parolayı doğrulamak yerine koşulları değerlendirir: Device compliant durumda mı? location biliniyor mu? Oturum açma riski yükselmiş mi? MFA karşılanmış mı? Policy motoru yalnızca koşullar karşılandığında erişim belirteci verir. Koşullar karşılanmazsa erişim reddedilir veya ek doğrulama CHALLENGE'i tetiklenir.

Conditional Access policies, birden fazla sinyal kategorisini aynı anda değerlendirir. Kullanıcı/grup sinyalleri, isteği kimin yaptığını belirler (Admin, konuk, yüklenici). Device sinyalleri, MDM'den alınan uyumluluk durumunu kontrol eder. Application sinyalleri, hangi uygulamaya erişildiğini belirler (yüksek Sensitive veya düşük Sensitive). location sinyalleri, IP adresini Named konumlar ve güvenilen Countries ile karşılaştırır. Tehdit istihbaratından gelen oturum açma riski sinyalleri, şüpheli giriş örüntülerini işaretler.

Bir Conditional Access Policy'si çeşitli sonuçlardan birini üretir. GRANT, MFA veya Device uyumluluğu gibi gereksinimlerle birlikte erişime izin verir. BLOCK, erişimi tamamen reddeder; örneğin High riskli Countries kaynaklı tüm erişimleri engeller. Session denetimleri, erişim verildikten sonra kullanıcıların neler yapabileceğini sınırlayabilir: bir zaman aşımından sonra yeniden kimlik doğrulaması gerektirebilir, indirmeleri engelleyebilir veya bulut uygulamalarında salt okunur modu zorunlu kılabilir.

Risk tabanlı Conditional Access, tehdit istihbaratını erişim kararına gerçek zamanlı olarak dâhil eder. Azure AD Identity Protection gibi kimlik sağlayıcıları; imkânsız seyahat (dakikalar içinde iki farklı Country'den giriş), bilinen kötü amaçlı IP adreslerinin kullanılması, sızdırılmış kimlik bilgileri veritabanları ve anormal davranış örüntüleri gibi sinyallere göre oturum açmalara risk puanları atar. High riskli oturum açmalar otomatik olarak engellenebilir veya kimliğin yeniden doğrulanması istenebilir.

Conditional Access, Sensitive kaynaklara erişim için ön koşul olarak Device uyumluluğunu gerektirebilir. Compliant bir Device, MDM'ye (Intune, Jamf) kaydedilmiş, desteklenen bir OS sürümünü çalıştıran, disk şifrelemesi etkin olan ve EDR tarafından bilinen bir güvenlik açığı işaretlenmemiş Device'dır. Yönetilmeyen veya compliant olmayan Devices, erişim verilmek yerine bir kayıt portalına yönlendirilir; kullanıcı kimlik bilgileri geçerli olsa bile.

Conditional Access içindeki Named konumlar, güvenilen IP aralıklarını tanımlar: ofis IP adresleri, şube Networks veya VPN çıkış düğümleri. Policies, Named konumların dışından yapılan her erişim için ek kimlik doğrulaması (MFA) gerektirebilir ya da belirli Countries veya anonim proxy Networks kaynaklı erişimleri tamamen engelleyebilir. Bu yaklaşım, IP tabanlı çevre anlayışına geri dönmeden kimlik doğrulamaya bir konum katmanı ekler.

Traditional erişim belirteçleri, verildikten sonra kullanıcı hesabında ne olduğuna bakılmaksızın ömürleri boyunca (çoğunlukla bir saat) geçerlidir. Continuous Access Evaluation (CAE), kritik olaylar gerçekleştiğinde kaynak sağlayıcının belirteçleri neredeyse gerçek zamanlı olarak iptal etmesine olanak tanır: hesabın devre dışı bırakılması, parolanın değiştirilmesi veya riskli kullanıcının işaretlenmesi. Uygulama, belirtecin geçerliliğini yalnızca girişte değil, Session sırasında da kontrol eder ve ele geçirilmiş belirteçlerin geçerli kalabildiği açığı kapatır.

Kuruluşların, dahili hesaplar oluşturmadan iş ortaklarına ve yüklenicilere erişim vermesi sıkça gerekir. Federatif kimlik, harici bir kimlik sağlayıcının (iş ortağının Azure AD'si veya Google Workspace) kullanıcıların kimliğini doğrulamasına ve doğrulanmış kimlik bildirimlerini aktarmasına olanak tanır. Conditional Access policies, federatif kullanıcılara da uygulanabilir; MFA gerektirebilir, Device türlerini kısıtlayabilir veya erişebilecekleri uygulamaları sınırlayabilir. Böylece hesaplarını doğrudan yönetmeden denetim sürdürülür.

Conditional Access, erişim vermenin veya engellemenin ötesinde Session düzeyinde denetimler uygulayabilir. Microsoft Defender for Cloud Apps veya benzer CASB (Bulut Erişimi Güvenlik Aracısı) çözümleriyle tümleşik bulut uygulamaları için policies şunları kısıtlayabilir: yönetilmeyen Devices üzerindeki file indirmelerini engellemek, 8 saatlik hareketsizlikten sonra yeniden kimlik doğrulaması istemek, Sensitive verilere erişilirken uyarılar göstermek veya gizli içeriğin Corporate ortamının dışına kopyalanıp yapıştırılmasını önlemek.

Kimliği çevre olarak uygulamak, çeşitli teknolojilerin tümleştirilmesini gerektirir: modern protokolleri (SAML, OIDC) destekleyen bir Identity Provider (IdP), Device uyumluluğu verileri için bir MDM/EMM çözümü, bir Conditional Access Policy motoru ve asgari temel gereksinim olarak çok faktörlü kimlik doğrulama. Amaç, ağ location'ından bağımsız olarak doğrulanmış kimlik ve Device durumu olmadan hiçbir erişimin gerçekleşmemesini sağlamak ve güvenilen dahili ağ kavramını ortadan kaldırmaktır.

Bu derste şunları öğrendiniz: kimlik, Zero Trust içindeki temel Trust dayanağı olarak ağ çevresinin yerini alır; Conditional Access, erişim vermeden önce birden çok sinyali (kullanıcı, Device, location, risk) değerlendirir; Session denetimleri ve Continuous Access Evaluation, güvenliği yalnızca girişte değil, erişim Session'ı boyunca sürdürür. Sırada, kuruluş genelinde benimsemeyi planlamak için Zero Trust Maturity Model'i inceleyeceğiz.