Sürekli Doğrulama ve İzleme

Sıfır Güven, kimlik doğrulamayla sona ermez. Erişim kararları, gerçek zamanlı risk sinyallerine göre oturumlar boyunca sürekli olarak yeniden değerlendirilmelidir. Cihazın güvenliği ihlal edilirse, sabah 9'da güvenilir olan bir oturum 9:05'te güvenilmez hâle gelebilir.

Sürekli doğrulama için kullanılan sinyaller:

• Cihaz uyumluluk durumundaki değişiklikler (EDR uyarısı, güncelleme hatası)
• Kullanıcı davranışındaki anormallikler (alışılmadık erişim zamanı, hacim)
• Konum değişikliği (imkânsız seyahat)
• Ağ tehdit istihbaratı (C2 iletişimi algılandı)
• Uygulama erişimindeki anormallikler

Uyarlanabilir kimlik doğrulama, kimlik doğrulama gereksinimlerini riske göre dinamik olarak ayarlar. Düşük riskli erişimde (bilinen cihaz, normal saatler) ek bir zorluk çıkarılmaz. Yüksek risk sinyalleri, yeniden kimlik doğrulama veya MFA ile daha güçlü doğrulama gerektirir. Bağlam farkındalığına sahip IdPs (Okta, Azure AD) bunu uygular.

Bir risk sinyali tetiklendiğinde oturumlar hemen iptal edilebilir olmalıdır. Uygulama:

• Kısa belirteç ömürleri (15 dakika) + yenileme belirteçleri
• Belirteç iptal listeleri
• IdP'de SSO oturumunun geçersiz kılınması
• OIDC arka kanal oturum kapatma yoluyla yeniden kimlik doğrulamayı zorlama

SIEM, tüm kaynaklardan (IdP, uç nokta, ağ, uygulama) gelen kayıtları toplar ve saldırıları algılamak için olayları ilişkilendirir. Sıfır Güven SIEM'i şunları izler:

• Kimlik doğrulama olayları ve anormallikleri
• Ayrıcalık yükseltme
• Olağandışı veri erişimi veya veri dışarı çıkarma
• Politika ihlalleri

UEBA, kullanıcılar ve varlıklar için davranış temelleri oluşturur, ardından sapmaları algılar:

• Kullanıcı X her zaman NYC'den erişir — Moskova'dan erişim olursa uyarı ver
• Hizmet hesabı hiçbir zaman dış bağlantı kurmaz — kurduğunda uyarı ver
• Veri indirme hacminde anormallik — normal indirme miktarının 100 katı olduğunda uyarı ver

Tehdit avcılığı, otomatik araçlar tarafından algılanmayan tehditleri proaktif olarak aramaktır. Avcılar, tehdit istihbaratına ve ATT&CK taktikleri, teknikleri ve prosedürlerine dayanarak hipotezler geliştirir, ardından kanıt bulmak için kayıtları arar. Uyarıları beklemek yerine, ortamda saklanan saldırganları etkin biçimde ararlar.

Sıfır Güven izleme için kapsamlı bir gözlemlenebilirlik yığını:

• Kayıtlar: Elasticsearch + Kibana (ELK), Splunk
• Ölçümler: Prometheus + Grafana
• İzler: Jaeger, Zipkin (dağıtık izleme)
• Ağ: Zeek, Suricata, VPC Akış Günlükleri

Sıfır Güven, sürekli uyumluluğu da kapsar:

• CSPM araçları bulut yapılandırmalarını periyodik değil, sürekli tarar
• Kod Olarak Politika (OPA/Rego), uyumluluğu otomatik olarak uygular
• Sapma algılama, yapılandırmalar temel çizgiden saptığında uyarı verir

Sürekli izleme, otomatik yanıtı (SOAR) besler:

• Güvenliği ihlal edilmiş cihazı IdP'den yalıtın → tüm erişimi hemen engelleyin
• Kötü amaçlı IP'yi güvenlik duvarında ve CDN'de aynı anda engelleyin
• Olay bileti oluşturun, nöbetçi ekibi bilgilendirin, sistemi karantinaya alın

Hız önemlidir — otomatik yanıt saniyeler içinde çalışırken manuel yanıt dakikalar alır.

Sıfır Güven ilerlemesini ölçme:

• Kimlik avına dayanıklı MFA kullanan kullanıcıların yüzdesi
• MDM kaydı ve uyumluluğu olan cihazların yüzdesi
• ZTNA üzerinden erişilen uygulamaların VPN üzerinden erişilenlere oranı
• Anormal erişimi algılamaya kadar geçen ortalama süre
• Karşılıklı TLS kullanan doğu-batı trafiğinin yüzdesi

İmkânsız seyahat veya anormal veri indirmeleri gibi anormallikleri algılamak için kullanıcılar ve varlıklar için davranış temelleri oluşturan sistem hangisidir?

Sıfır Güven, ilk kimlik doğrulamasının ötesinde sürekli doğrulama gerektirir. Gerçek zamanlı risk sinyalleri (cihaz sağlığı, davranış anormallikleri, tehdit istihbaratı), uyarlanabilir kimlik doğrulamayı veya oturum iptalini tetikler. SIEM ve UEBA saldırıları algılar; tehdit avcılığı, otomasyonun gözden kaçırdıklarını bulur. SOAR, yanıtı saniyeler içinde otomatikleştirir. Sıfır Güven olgunluğunu MFA kapsamı, MDM kaydı ve doğu-batı trafiğinde mTLS kullanım yüzdeleriyle izleyin.