Erişim Yönetişimi İçin En İyi Uygulamalar: En Az Ayrıcalık ve Sıfır Güven

BT ortamları daha dağınık hale geldikçe ve saldırı vektörleri daha karmaşık hale geldikçe, veri güvenliği dünyasının giderek daha karmaşık hale geldiğine şüphe yok.

Büyük miktarda hassas veri depolayan kuruluşların düşünmesi gereken pek çok şey var. Denenmiş ve test edilmiş bir olay müdahale planına (IRP) sahip olduklarından emin olmaları gerekir.

Hangi verilere sahip olduklarını, bunların nerede bulunduğunu ve verilere kimin erişebileceğini bilmeleri gerekir. Çalışanların yeterince eğitimli olduğundan ve tüm yazılımların yamalanmış ve güncel olduğundan emin olmaları gerekir.

Erişim kontrollerini (uzaktan erişim dahil), cihaz yönetimini, yedeklemeleri, katılım ve ayrılmayı kapsayan çok çeşitli politikaları uygulamaları ve kendi sektörleriyle ilgili veri gizliliği yasalarını derinlemesine anlamaları gerekiyor.

Verilerimizi ve sistemlerimizi güvende tutmak için yapılması gerekenleri yapmanın biraz kabus olduğunu söylemek doğru olur diye düşünüyorum.

Tüm veri koruma ve erişim en iyi uygulamalarının kapsamlı bir listesini sunmak açıkça bu makalenin kapsamı dışında olduğundan, veri güvenliğinin iki temel alanına odaklanacağım; En Az Ayrıcalık Prensibi (PoLP) ve Sıfır Güven güvenlik modeli.

En Az Ayrıcalık Prensibi (PoLP)

En az ayrıcalık ilkesi verilerimizi koruma şeklimizle ilgili belki de en basit fikirlerden biridir ama aynı zamanda en önemlilerinden biridir.

Forbes.com'da yayınlanan bir makaleye göre veri ihlallerinin %74'ü ayrıcalıklı kimlik bilgilerinin kötüye kullanılmasıyla başlıyor.

PoLP'nin arkasındaki genel fikir, kullanıcılara, süreçlere ve uygulamalara, rollerini yerine getirebilmeleri için ihtiyaç duydukları en az ayrıcalıkların verilmesi gerektiğidir. Örneğin, web tasarımcısının mali kayıtlara erişmesine gerek yoktur ve ürün listelerini güncellemekten sorumlu olan kişinin yönetici haklarına ihtiyacı yoktur.

PoLP'ye bağlı kalmak, bir saldırganın düşük seviyeli bir kullanıcı hesabını tehlikeye atarak hassas verilere erişmesini çok daha zorlaştıracaktır. Saldırı yüzeyini en aza indirmenin yanı sıra PoLP, kötü amaçlı yazılımların yayılmasını sınırlamaya, yanlışlıkla yapılan değişikliklerin sistemin diğer bölümlerini etkilemesini önlemeye ve ağ genelinde meydana gelen değişikliklerin denetlenmesini kolaylaştırmaya yardımcı olabilir.

PoLP'ye uymak aynı zamanda GDPR gibi çoğu veri gizliliği düzenlemesinin de bir gereğidir.

PoLP Nasıl Uygulanır?

PoLP'yi uygulamaya yönelik ilk adım bir ayrıcalık denetimi gerçekleştirmek olacaktır. Bu, tüm ayrıcalıklı hesapların derlenip listelenmesini ve sahip oldukları ayrıcalıkların gerekli olduğundan emin olmak için her birinin kontrol edilmesini içerir. Bu, hesap sahipleriyle hangi ayrıcalıklara ihtiyaç duyduklarını ve ne kadar süre boyunca ihtiyaç duyduklarını öğrenmek için görüşmeyi içerebilir. Doğal olarak, tüm yeni hesaplara varsayılan olarak mümkün olan en az ayrıcalık atanmalıdır.

Tam zamanında (JIT) erişim metodolojisine bağlı kalmak da iyi bir fikirdir. JIT, bir kullanıcının, işlemin veya uygulamanın belirli bir kaynağa ne kadar süreyle erişmesine izin verileceği konusunda daha ayrıntılı kontrol sağlamak için erişim ayrıcalıklarının gerçek zamanlı olarak ayarlandığı yerdir.

JIT'in uygulanmasının çeşitli yolları vardır. Örneğin, bir kuruluş bir zaman çizelgesi tutmayı ve buna göre erişimi manüel olarak vermeyi/iptal etmeyi seçebilir veya belirli bir zaman çerçevesinden sonra bir kaynağa erişimi iptal eden otomatik bir sistem kullanabilir.

Bazı durumlarda hesaplar belirli bir amaç için anında oluşturulur. Bu tür hesaplar yalnızca bir kez kullanılabilir ve kullanımdan hemen sonra devre dışı bırakılır veya silinir.

Tüm erişim haklarının sağlamlaştırıldığından emin olmak iyi bir başlangıçtır ancak aynı zamanda ayrıcalıklı hesaplarınızı meydana gelen değişikliklere karşı sürekli olarak izlemeniz gerekir.

Sıfır Güven Güvenliği

Sıfır Güven modeli, ağdaki bir kaynağa erişmeye çalışan her kullanıcının, kaynağa erişim izni verilmeden önce kimliğini doğrulamasını sağlayarak ağ güvenliğine bütünsel bir yaklaşım getiriyor.

Sıfır Güven bir teknoloji değil, kim olursa olsun veya nerede bulunursa bulunsun, hiç kimseye varsayılan olarak güvenilmemesini sağlayan bir metodolojidir. Sıfır Güven güvenlik modeli genellikle mikro segmentasyonu kullanır; bu sayede ağ bölgelere bölünür ve her bölge yalnızca o bölgede oturum açan kullanıcılar tarafından erişilebilen kaynaklar içerir.

Sıfır Güven Güvenliği Nasıl Uygulanır?

Sıfır Güven güvenlik modeli oluşturmanın ilk adımı, ağ mimarinizi anladığınızdan emin olmaktır.

Buna tüm kullanıcıların, cihazların ve hizmetlerin envanterinin tutulması da dahildir. Ayrıca cihazlarınızın ve hizmetlerinizin güncel olduğundan ve doğru şekilde yapılandırıldığından emin olmayı da içeren sağlığını da bilmeniz gerekir.

Multi-Factor Authentication (MFA) gibi sağlam bir kimlik doğrulama protokolü kullandığınızdan emin olmanız gerekecektir.

Geleneksel kullanıcı adı ve şifre sisteminden farklı olarak MFA, sahip olduğunuz bir şey ve/veya olduğunuz bir şey gibi ek faktörlere ihtiyaç duyar. Bazı durumlarda "sahip olduğunuz bir şey", cep telefonunuza gönderilen ve ağa giriş yapmak için girmeniz gereken bir kod kadar basit olabilir.

Bazı hizmetler donanım kilidi, kart okuyucu veya anahtarlık gibi daha karmaşık çözümler gerektirebilir. "Olduğun bir şey" anlamında bu, bir yüz, parmak izi veya retina taraması veya başka türde biyometrik doğrulamayı içerebilir.

Tamam, hem PoLP hem de Sıfır Güven konusunda temel bir anlayışa sahipsiniz. Ancak her iki yaklaşımın da yakından ilişkili olduğunu belirtmekte fayda var.

En az ayrıcalık ilkesi, Sıfır Güven modelinin temel bir parçasıdır ancak Sıfır Güven modeli daha kapsamlıdır ve aslında daha katıdır. Örneğin Sıfır Güven'in genel sloganı "asla güvenme, her zaman doğrula"dır.

Bu, Sıfır Güven yaklaşımını daha güvenli hale getirir.

Ancak bazı olumsuzluklar da var. Sıfır Güven yaklaşımı kaçınılmaz olarak daha karmaşıktır ve bu nedenle uygulanması daha fazla zaman ve çaba gerektirecektir.

Politikalarınızı yeni modeli yansıtacak şekilde yeniden düzenlemeniz ve mevcut erişim kontrolü çerçevenizden Sıfır Güvene geçişin sorunsuz bir şekilde ilerlemesini sağlamanız gerekecektir; bu da biraz planlama gerektirecektir.

Sıfır Güven ile yönetilecek daha fazla kullanıcı ve cihaz ve daha çeşitli erişim noktaları olacak. Ayrıca her grup türü için politikalara ihtiyacınız olacaktır. Temel olarak, ek kaynaklara değip değmeyeceğini belirlemek için sıkı bir maliyet/fayda analizi yapmanız gerekecektir.

Lepide Veri Güvenliği Platformunun, veri sınıflandırma, yönetim ve kullanıcı davranışı analitiğine erişim yoluyla en az ayrıcalık veya sıfır güveni uygulamanıza nasıl yardımcı olabileceğini görmek istiyorsanız bugün mühendislerimizden biriyle bir demo planlayın.