Sıfır Güven İlkeleri ve BeyondCorp Modeli

Sıfır Güven, "asla güvenme, her zaman doğrula" ilkesine dayanan bir güvenlik çerçevesidir. Ağın içindeki her şeye güvenen çevre tabanlı güvenliğin aksine Sıfır Güven, konumdan bağımsız olarak her kullanıcının, cihazın ve uygulamanın sürekli doğrulanmasını gerektirir.

Geleneksel çevre güvenliği, içeride olanın güvenilir olduğunu varsayıyordu. Bu model şu nedenlerle geçerliliğini yitirdi:

• Bulut hizmetleri çevrenin dışındadır
• Uzaktan çalışma, çalışanları her yerde hâle getirir
• Güvenilir ağlar içindeki yanal hareket son derece kolaydır
• Güvenlik ihlallerinin %70'inden fazlası içeriden gelen tehditleri veya çalınmış kimlik bilgilerini içerir

Google, 2014 yılında BeyondCorp'u yayımlayarak VPN'i nasıl kaldırdıklarını ve erişimi ağ konumu yerine cihaz ve kullanıcı doğrulamasına dayandırdıklarını açıkladı. Her Google çalışanı herhangi bir ağdan çalışabilir — erişim, IP adresine değil kimliğe ve cihazın durumuna göre belirlenir.

Beş temel sütun:

1. Açıkça doğrulayın — her kullanıcı ve cihazın kimliğini doğrulayın
2. En az ayrıcalığı kullanın — gereken en az erişimi verin
3. İhlal varsayımında bulunun — ağı zaten ele geçirilmiş gibi tasarlayın
4. Tüm trafiği inceleyin — doğu-batı trafiğine örtük güven duymayın
5. Sürekli doğrulama — oturumlar boyunca yeniden doğrulayın

Sıfır Güven'de kimlik, birincil erişim denetimi faktörü olarak ağ konumunun yerini alır. Güçlü kimlik denetimleri kritik hâle gelir:

• Kimlik avına dayanıklı MFA (FIDO2)
• Merkezi Kimlik Sağlayıcısı (IdP)
• Risk sinyallerine dayalı koşullu erişim politikaları
• Ayrıcalıklı Kimlik Yönetimi (PIM)

Sıfır Güven, erişim izni verilmeden önce cihaz durumunun doğrulanmasını gerektirir:

• Cihaz MDM'ye kayıtlı mı?
• OS güvenlik yamalarıyla güncel mi?
• Disk şifrelemesi etkin mi?
• Bir EDR aracısı çalışıyor mu?
• Cihazın jailbreak'i yapılmış veya root erişimi verilmiş mi?

Cihaz uyumluluğu her erişim isteğinde denetlenir.

NIST SP 800-207, ABD hükümetinin Sıfır Güven Mimarisi standardıdır. ZTA'nın yedi ilkesini tanımlar ve uygulama senaryolarını açıklar. 2021 tarihli 14028 sayılı Başkanlık Kararnamesi uyarınca tüm federal kurumların ZTA'yı uygulaması gerekir.

Geleneksel VPN, geniş kapsamlı ağ erişimi verir. Sıfır Güven Ağ Erişimi (ZTNA), kimlik ve cihaz durumuna dayalı olarak uygulama bazında erişim verir:

• VPN: ağa güvenin → içerideki her şeye erişin
• ZTNA: kimliği ve cihazı doğrulayın → yalnızca belirli uygulamalara erişin

Aşamalı ZTA uygulaması:

1. Kullanıcıların, cihazların, uygulamaların ve verilerin envanterini çıkarın
2. Güçlü kimlik oluşturun (MFA, IdP)
3. Cihaz uyumluluğu denetimlerini uygulayın (MDM)
4. Uygulamaları bölümlere ayırın (ZTNA vekil sunucusu)
5. İzleyin ve sürekli doğrulayın

Bulut ortamları doğal olarak Sıfır Güven ile uyumludur:

• Korunacak şirket içi bir çevre yoktur — her şey "dışarıdadır"
• IAM politikaları güvenlik duvarı görevi görür
• Hizmet ağı (Istio, Consul), hizmetler arasında kimlik tabanlı mTLS uygular
• CSPM, politika ihlallerini sürekli izler

Başlıca Sıfır Güven platformları:

• Google BeyondCorp Kurumsal
• Zscaler Özel Erişim
• Cloudflare Erişim
• Okta + Okta Cihaz Güveni
• Microsoft Azure AD Koşullu Erişim

Erişim kararlarının ağ konumu yerine kimliğe ve cihaz durumuna dayanmasını gerektiren temel Sıfır Güven ilkesi nedir?

Sıfır Güven: "asla güvenme, her zaman doğrula." Her erişim isteği için çevre güvenliğini kimlik ve cihaz doğrulamasıyla değiştirir. Google'ın BeyondCorp'u, bunun büyük ölçekte uygulanabilir olduğunu gösterdi. NIST SP 800-207 standardı sağlar. Uygulama: güçlü bir IdP, MFA, MDM cihaz uyumluluğu ve uygulama bazında ZTNA erişimi. Bulut ortamları doğal olarak Sıfır Güven ilkeleriyle uyumludur.