Ağ Segmentasyonu ve Zero Trust Mimarisi

Zero Trust, geleneksel "kale ve hendek" (castle-and-moat) güvenlik modelinin — yani "içeri bir kez girdiyse güvenilir" varsayımının — terk edilerek her erişim isteğinin, kaynağı ne olursa olsun (iç ağdan bile gelse) sürekli doğrulanması gerektiği bir mimari felsefedir. NIST SP 800-207, bu modelin en çok referans verilen standart dokümanıdır.

Neden Kale-Hendek Modeli Yetersiz Kaldı?

Geleneksel modelde, güçlü bir perimeter firewall dış tehditleri engellerken, iç ağdaki tüm cihazlar birbirine örtük olarak güveniyordu. Bu modelin kırılma noktaları:

• Yanal hareket (lateral movement): Bir saldırgan tek bir uç noktayı (phishing ile bir çalışan bilgisayarı gibi) ele geçirdiğinde, iç ağda neredeyse serbestçe dolaşabiliyordu.
• Bulut ve uzaktan çalışma: Kaynaklar artık tek bir fiziksel "kale" içinde değil, farklı bulut sağlayıcılarına ve uzaktaki çalışanlara dağılmış durumda — "içeri/dışarı" ayrımı anlamını kaybetti.

Zero Trust'ın Temel Bileşenleri

1. Kimlik Doğrulama Merkezli Erişim: Her istek, kaynak IP'ye değil, doğrulanmış kimliğe (kullanıcı + cihaz) dayanır. Genelde güçlü MFA ile desteklenir.
2. Mikro-segmentasyon: Ağ, büyük düz (flat) bir yapı yerine, her iş yüküne özgü küçük segmentlere bölünür; bir segment içindeki bir cihazın diğerine erişimi bile açıkça tanımlanmış politikayla kontrol edilir.
3. En Az Yetki (Least Privilege): Her kimlik, sadece görevini yapmak için gereken minimum kaynağa erişebilir — statik değil, dinamik olarak (bağlam değiştikçe) yeniden değerlendirilir.
4. Sürekli Doğrulama: Bir oturumun bir kez doğrulanmış olması yeterli değildir; cihaz durumu, konum, davranış paterni gibi sinyaller sürekli değerlendirilerek erişim iptal edilebilir (continuous authentication).

Politika Karar Noktası (PDP) ve Uygulama Noktası (PEP)

NIST SP 800-207 modelinde mimari iki ana bileşene ayrılır:

• Policy Decision Point (PDP): "Bu istek onaylanmalı mı?" kararını veren merkezi bileşen — kimlik, cihaz durumu, risk skoru gibi sinyalleri değerlendirir.
• Policy Enforcement Point (PEP): PDP'nin kararını uygulayan, isteğin gerçek yolunu kontrol eden bileşen (genelde bir proxy veya gateway).

Bir istemci bir kaynağa erişmek istediğinde, istek önce PEP'ten geçer, PEP kararı PDP'ye sorar, PDP onaylarsa PEP bağlantıyı kaynağa yönlendirir — aksi hâlde reddedilir.

Pratik Senaryo

Geleneksel modelde çalışan bir şirkette, phishing saldırısıyla ele geçirilen bir çalışan bilgisayarı, iç ağdaki dosya sunucusuna, veritabanı sunucusuna ve yönetim panellerine serbestçe erişebiliyordu çünkü "iç ağdaki her şey güvenilir" varsayımı vardı. Şirket Zero Trust mimarisine geçtikten sonra, aynı saldırı senaryosunda ele geçirilen bilgisayar sadece kendi segmentindeki, o kullanıcının kimliğine özel olarak tanımlanmış birkaç kaynağa erişebiliyor; veritabanı sunucusuna erişim için ayrı bir kimlik doğrulama ve cihaz uyumluluk kontrolü (device posture check) gerektiği için saldırgan bu noktada durduruluyor. Mikro-segmentasyon, tek bir ele geçirilen uç noktanın tüm ağın ele geçirilmesi anlamına gelmesini engelliyor.

Geçiş Zorlukları

• Mevcut (legacy) sistemlerin çoğu, kimlik tabanlı erişim kontrolüne göre tasarlanmamıştır; bu sistemleri Zero Trust'a uyarlamak genelde kademeli bir süreç gerektirir.
• Mikro-segmentasyon, doğru uygulanmazsa operasyonel karmaşıklığı ciddi şekilde artırabilir — hangi servisin hangi servisle konuşması gerektiğinin doğru haritalanması (application dependency mapping) kritik bir ön adımdır.

Bu makale, Zero Trust mimarisinin orta-ileri seviye teknik bir özetidir; SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.