Sıfır Güven, güvenilmez olarak değerlendirilen bir ağda, bilgi sistemleri ve hizmetlerinde doğru ve isteğe bağlı en az ayrıcalıklı erişim kararlarının belirsizliğini en aza indirmek için tasarlanmış bir kavramlar bütünüdür. Bu, ağda araya girebilecek veya iletişimi başlatabilecek kötü niyetli bir aktörün varlığını varsayar. Sıfır Güven, temel olarak bilgi teknolojisi mimarilerinin planlandığı, devreye alındığı ve işletildiği bir dizi ilkeyi içerir.
Sıfır Güven, belirli bir görev veya iş sürecindeki olası riskleri ve bu risklerin nasıl azaltılacağını göz önünde bulunduran bütünsel bir bakış açısı sunar. Bu nedenle, tek bir belirli Sıfır Güven altyapı uygulaması veya mimarisi yoktur. Sıfır Güven çözümleri, analiz edilen iş akışına (yani kurumsal misyonun bir parçası) ve bu iş akışını gerçekleştirirken kullanılan kaynaklara bağlıdır. Sıfır Güven, stratejik bir düşünme biçimi olarak, kurumsal bir BT altyapısını planlamak ve uygulamak için kullanılabilir; bu plana Sıfır Güven Mimarisi (ZTA) denir.
Bir ZTA'nın başarılı olması için kurumsal yöneticilerin ve sistem operatörlerinin planlama ve dağıtıma katılımı gereklidir. ZTA planlaması, sistem ve iş akışı sahiplerinin yanı sıra profesyonel güvenlik mimarlarının girdilerini ve analizlerini de içerir. Sıfır Güven, mevcut bir iş akışına basitçe entegre edilemez; aksine, işletmenin tüm yönlerine dahil edilmelidir. Bu belge, bir ZTA'ya geçiş sürecinde olan yöneticiler ve operatörler için NIST Risk Yönetimi Çerçevesi (RMF) kavramlarını tanıtır. RMF, kurumsal risk analizi, planlama, geliştirme ve operasyonlara entegre edilmiş bir dizi adım ve görevi içeren bir yaklaşım sunar. Normalde RMF'de ayrıntıları verilen adımları ve görevleri yerine getirmeyen yöneticiler, bir ZTA'ya geçiş yaparken bu adımlarla tanışmanın gerekli olduğunu görebilirler.
NIST Özel Yayını 800-207, Sıfır Güven için kavramsal bir çerçeve sunar. Bu kavramsal çerçeve, tüm bilgi teknolojisi için kapsamlı olmasa da, bir kuruluşun ZTA'yı anlaması ve geliştirmesi için bir araç olarak kullanılabilir. Bu yayın, aynı zamanda çözümleri ve boşlukları haritalamak için kullanılabilecek soyut bir mantıksal mimari sunar.
Bu şemada, bileşenler mantıksal işlevlerle gösterilmiştir ve bu nedenle, operasyonel sistemlerdeki yeteneklerin birleşimini mutlaka temsil etmezler. Birden fazla bileşenin dağıtık bir şekilde tek bir mantıksal işleve hizmet etmesi veya tek bir çözümün birden çok mantıksal rolü yerine getirmesi mümkündür. Roller, NIST SP 800-207'de ayrıntılı olarak açıklanmıştır, ancak aşağıda özetlenmiştir:
Politika Motoru (PE): Bir ZTA uygulamasının "beyni" olarak adlandırılabilecek ve kaynak erişim isteklerini nihai olarak değerlendiren bileşen. PE, erişim günlükleri, tehdit istihbaratı, uç nokta sağlığı ve ağ kimliği kimlik doğrulaması gibi çeşitli veri kaynaklarından bilgi alır.
Politika Yöneticisi (PA): PE'nin yürütücü işlevini yerine getirir. PA'nın rolü, özne ve kaynak arasındaki veri düzleminde oturumlar oluşturmak, sürdürmek ve nihayetinde sonlandırmaktır. PA, PE ve PEP, kontrol düzlemi adı verilen mantıksal (veya fiziksel) olarak ayrı bir kanal kümesi üzerinde iletişim kurar. Kontrol düzlemi, uygulama trafiğini göndermek için kullanılan veri düzlemi kanallarını kurmak ve yapılandırmak için kullanılır.
Politika Yürütme Noktası (PEP): Bir kaynağa erişim izni vermek için uygulamaların, uç noktaların vb. etkileşimde bulunduğu bileşendir. PEP, PE için bilgi toplamaktan ve PA tarafından belirlenen talimatlara göre iletişim oturumlarını kurmak ve sonlandırmaktan sorumludur. Kurumsal kaynaklar arasındaki tüm veri düzlemi iletişimleri bir PEP tarafından yönetilmelidir.
Bilgi Beslemeleri: Bazen politika bilgi noktaları (PIP'ler) olarak adlandırılır. Bu bileşenler, "temel" işlevsel ZTA bileşenleri değildir ancak PE'yi desteklemek için kullanılır. Bu beslemeler, kaynak erişim kararlarını oluşturmak için PE tarafından kullanılan kodlanmış politikalar, kimlik ve uç nokta öznitelikleri, çevresel faktörler ve geçmiş verileri içerir.
1.1.1 Ağ Kimliği Yönetişimiyle İlgili İlkeler
Tüm kaynakların kimlik doğrulama ve yetkilendirme işlemleri dinamik olmalı ve erişim izni verilmeden önce kesinlikle uygulanmalıdır. Tipik bir kuruluş, geniş bir ağ kimlikleri koleksiyonuna sahiptir: son kullanıcılar, süreçler ve hizmetler tarafından kullanılan hesaplar vb. Bazı son kullanıcılar birden fazla ağ kimliğine sahip olabilir ve bazı kimlikler yalnızca donanım veya yazılım bileşenlerine atanmış olabilir. Kuruluşun, yalnızca yetkilendirilmiş işlemlerin ve yalnızca kimlik doğru bir şekilde doğrulandığında gerçekleştirildiğinden emin olabilmesi için bir yönetişim politikasına ve yapısına sahip olması gerekir. Kuruluş, mevcut kimlik yönetişimi ilkelerinin yeterince olgun olup olmadığını ve şu anda kimlik doğrulama ve yetkilendirme kontrollerinin nerede ve nasıl yapıldığını değerlendirmelidir. Dinamik zorlama, uç nokta ve çevresel faktörler gibi diğer unsurların kimlik doğrulama ve yetkilendirme politikalarını etkilediği anlamına gelir.
1.1.2 Uç Noktalarla İlgili İlkeler
I. Tüm veri kaynakları ve bilgi işlem hizmetleri birer kaynak olarak kabul edilir. Bir kuruluş, misyonunu gerçekleştirmek için mobil cihazlar, veri depoları, bilgi işlem kaynakları (sanal dahil), uzak sensörler/eyleyiciler gibi çeşitli kaynaklara güvenir. Tüm bu bileşenler bir ZTA (Sıfır Güven Mimarisi) kapsamında dikkate alınmalıdır. Bazı bileşenler (örneğin, IoT sensörleri) yapılandırma aracıları, uygulama sanal alanı gibi çözümleri destekleyemeyebilir; bu nedenle telafi edici teknolojilere veya alternatif azaltma yöntemlerine ihtiyaç duyulabilir. Eğer bir kaynağın belirli güvenlik yetenekleri yoksa, kuruluşun bu işlevi sağlamak için bir PEP bileşeni eklemesi gerekebilir.
II. Kuruluş, sahip olduğu ve ilişkilendirdiği tüm kaynakların bütünlüğünü ve güvenlik durumunu izler ve ölçer. Bu ilke, hem kuruluşa ait kaynaklar hem de sahip olunamayan ancak yapılandırma, yama uygulama, uygulama yükleme gibi kurumsal iş akışında kullanılan kaynaklar için siber hijyen gereksinimlerini ele alır. Kaynakların durumu sürekli izlenmeli ve uygun olduğundan emin olunmalıdır. Yeni bir güvenlik açığı veya saldırı gibi durumlar raporlandığında veya gözlemlendiğinde gerekli eylemler alınmalıdır. Ayrıca, kaynakta bulunan verilerin gizliliği ve bütünlüğü korunmalıdır. Bu durum, kurumsal yöneticilerin, kaynakların nasıl yapılandırıldığını, sürdürüldüğünü ve izlendiğini bilmesini gerektirir.
1.1.3 Veri Akışlarına Uygulanan İlkeler
I. Ağ konumundan bağımsız olarak tüm iletişim güvenlidir. Sıfır güven yaklaşımında, ağ her zaman potansiyel olarak tehlikeli kabul edilir. Bir sıfır güven mimarisi (ZTA), ağda bir saldırganın bulunabileceği ve iletişimi izleyip değiştirebileceği varsayımıyla tasarlanmalıdır. Bu nedenle, aktarılan verilerin gizliliğini ve bütünlüğünü korumak için uygun güvenlik önlemleri alınmalıdır. Eğer bir kaynak bu güvenlik işlevini kendi başına sağlayamıyorsa, ayrı bir Politika Uygulama Noktası (PEP) bileşeni kullanılması gerekebilir.
II. Bireysel kurumsal kaynaklara erişim, oturum bazında verilir. İdeal bir sıfır güven mimarisinde, her benzersiz işlem, gerçekleştirilmeden önce kimlik doğrulama ve yetkilendirmeden geçmelidir. Örneğin, bir veritabanına yapılan bir okuma işlemini takip eden bir silme işlemi, ek bir kimlik doğrulama ve yetkilendirme kontrolü gerektirmelidir. Her durumda bu ayrıntı düzeyini sağlamak mümkün olmayabilir, bu yüzden günlüğe kaydetme ve yedeklemeler gibi hafifletici çözümler, yetkisiz işlemleri tespit etmek ve bunlarla başa çıkmak için kullanılabilir. Kurumsal yöneticilerin, hassas erişim ilkelerinin nasıl uygulanacağını planlaması gerekmektedir. Eğer kuruluş, daha karmaşık güvenlik araçlarının kullanımına izin vermezse, bu durumlarda günlük kaydı, sürüm kontrol araçları veya yedekleme sistemleri gibi alternatif çözümler, istenilen erişim kontrolü sonucunu elde etmek ve riski yönetmek için kullanılabilir.
III. Kaynaklara erişim, müşteri kimliğinin, uygulamanın/hizmetin ve talep eden varlığın gözlemlenebilir durumu gibi dinamik politikalar tarafından belirlenir ve diğer davranışsal ve çevresel öznitelikleri içerebilir. Sıfır güven yaklaşımında, tüm kaynaklar için varsayılan davranış, tüm bağlantıları reddetmek ve yalnızca politika tarafından açıkça izin verilen bağlantıları kabul etmektir. Kaynağa erişim yetkisi olanlar, yine de kimlik doğrulaması yapmalı ve oturum açma izni almak için kurumsal politikayı karşıladıklarını kanıtlamalıdır. Bu süreç, istemci yazılım sürümleri, yama düzeyi, coğrafi konum, geçmiş istek kalıpları gibi gereksinimlerin karşılanmasını içerebilir. Her erişim isteğinde tüm kontrolleri gerçekleştirmek her zaman mümkün olamayabilir; bazı politika kontrolleri, bağımsız bir sunucuda gerçekleştirilebilir (örneğin, düzenli yazılım sürüm kontrolleri).
IV. Kuruluş, varlıkların mevcut durumu, ağ altyapısı ve iletişim hakkında mümkün olduğunca fazla bilgi toplar ve bunu güvenlik duruşunu iyileştirmek için kullanır. Sıfır güven mimarisi, önceki çevre tabanlı mimarilerde genellikle eksik olan dinamik bir yanıt faktörünü içerir. Bu, işletmenin politika, düzenleme veya yasal gereklilikler doğrultusunda tüm trafiği izleme zorunluluğunu gerektirir. Yeni bilgilere yanıt olarak politikayı iyileştirmek veya değiştirmek için sistem günlükleri ve tehdit istihbaratı kullanılır. Örneğin, bir yazılım bileşeninde yeni bir güvenlik açığı ortaya çıkarsa, sıfır güven modeline sahip bir kuruluş, bu yeni keşfedilen güvenlik açığını azaltmak için yama uygulanana kadar etkilenen kaynakları hızla karantinaya alabilir. Yöneticilerin, kuruluş için kapsamlı bir izleme ve yama programı oluşturması ve sürdürmesi, ayrıca otomatik araçların yeni keşfedilen tehditlere yanıt vermede nasıl yardımcı olabileceğini düşünmesi gerekecektir.
2. Yolculuğa Başlarken
Sıfır güven mimarisine geçiş, genellikle sıfırdan başlamak yerine zaman içinde bir dizi yükseltme ve değişiklik içerir. Bu değişiklikler bazı basit yapılandırma ayarlarından, bazıları ise yeni altyapının satın alınmasını ve dağıtımını içerebilir. Her şey, mevcut araçlar ve kuruluşun ihtiyaçlarına bağlı olarak değişir.
ZTA'ya geçiş süreci benzersiz bir süreç değildir ve diğer siber güvenlik iyileştirmelerine benzerlikler taşır; ancak, planlama ve uygulama sıfır güven ilkeleri tarafından yönlendirilir. NIST Risk Yönetimi Çerçevesi (RMF) ve Siber Güvenlik Çerçevesi (CSF) gibi mevcut çerçeveler, bir kuruluşun ZTA'yı tartışmasına, geliştirmesine ve uygulamasına yardımcı olabilir.
Aşağıdaki bölümlerde, RMF'nin bir iş akışını ZTA'ya dönüştürmek için kullanılabilecek adımlar ve işlemleri nasıl tanımladığını göreceksiniz.
2.1 Süreç
NIST SP 800-37 Revizyon 2, Bilgi Sistemleri ve Organizasyonlar için Risk Yönetimi Çerçevesi: Güvenlik ve Gizlilik için Sistem Yaşam Döngüsü Yaklaşımı [2], Risk Yönetimi Çerçevesi (RMF) metodolojisini ve yedi adımını açıklar:
- Organizasyonel ve sistem hazırlığı (PREPARE adımı)
- Sistem kategorizasyonu (CATEGORIZE adımı)
- Kontrol seçimi (SELECT adımı)
- Kontrol uygulaması (IMPLEMENT adımı)
- Kontrol değerlendirmesi (ASSES adımı)
- Sistem yetkilendirme (AUTHORIZE adımı)
- Kontrol izleme (MONITOR adımı)
RMF adımları sırayla açıklanırken, her adım ilk uygulamadan sonra herhangi bir sırayla gerçekleştirilebilir veya tekrar gözden geçirilebilir. Yedi adımı oluşturan bireysel görevler, gerektiğinde ve muhtemelen diğer adım ve görevlerle paralel olarak yürütülebilir ve yeniden gözden geçirilebilir. Adımlar arasındaki geçişler akıcı olabilir (bkz. Şekil 2). Sıfır güvenin dinamik doğası, yeni bilgi veya teknoloji değişikliklerine yanıt vermek için RMF adımlarının yeniden gözden geçirilmesini gerektirebilir. Bu, bir ZTA geliştirirken ve uygularken geçerli bir durumdur. Tek tek adımların ayrıntıları, NIST SP 800-37 Rev 2 [2] ve beraberindeki RMF Hızlı Başlangıç Kılavuzlarında [5] belgelenmiştir.
İlk sıfır güven geçişi için adımlar genellikle sırayla izlenir; ancak, yukarıda belirtildiği gibi, sonraki uygulamalar için bu sıralama gerekli değildir. RMF adımları, John Kindervag [6-7] tarafından sıfır güven için geliştirilen üst düzey adımlara oldukça benzer ve aşağıda kısmen haritalanmıştır. Bu süreç, yetkilendirme sınırının oluşturulduğunu ve iş akışında kullanılan sistem bileşenlerinin bilindiğini (yani, HAZIRLAMA adımının gerçekleştirildiğini ve verilerin toplandığını) varsayar.
Kindervag'ın Orijinal Üst Düzey Tanımı
Kindervag'ın orijinal sıfır güven adımları, federal ajans politikaları göz önünde bulundurulmadan geliştirildiği için açık bir CATEGORIZE adımı içermemektedir. Kindervag adımları şunlardır:
Kaynakların Saldırı Yüzeyini Haritalama: Kaynakların saldırı yüzeyini (koruma yüzeyinin [6] tanımlanması) haritalayın ve kötü niyetli bir aktör tarafından hedef alınabilecek kilit parçaları belirleyin. Bu aktivite, HAZIRLAMA ve SEÇ adımlarındaki görevlerle örtüşür.
Veri Akışlarının Tanımlanması ve Haritalanması: HAZIRLIK adımından (P-12 ve P-13 görevleri) sonra, veri akışlarını tanımlayın ve haritalayın.
Kontrollerin Uygulanması: SEÇİM aşamasında belirlenen kontrolleri kaynak ve ilgili PEP üzerinde uygulayın. PEP, kaynağın kendisinden ayrı bir bileşen olabilir ve kimlik doğrulama/ yetkilendirme ile ilgili kontrolleri karşılamak için kullanılabilir. Temel ağ güvenilir olarak kabul edilmemelidir, bu nedenle bireysel kaynaklar arasındaki bağlantılar bir PEP üzerinden geçmelidir.
Erişim Politikalarının Değerlendirilmesi: UYGULAMA adımında geliştirilen ve uygulamaya konan tüm erişim politikalarının amaçlandığı gibi çalışıp çalışmadığını doğrulayın. Bu süreç, sistem ve iş akışının fiilen çalışmaya başlamasını sağlayacak olan YETKİ adımıyla sonuçlanır.
İzleme ve Yönetim: İZLEME adımında, kaynakların ve güvenlik duruşunun izlenmesi ve yönetilmesi sürecini uygulayın.
2.1.1 Hazırla
RMF sürecindeki ilk adım HAZIRLIK'tır. Sıfır güven geçişini başlatırken, kaynakların, ağ kimliklerinin ve rollerin/ayrıcalıkların eksiksiz bir envanteri gereklidir. Bu adım, sıfır güvenin uygulanabilirliğini temelden oluşturur ve hem organizasyonel hem de sistem seviyelerinde kritik görevleri içerir.
HAZIRLIK adımının kapsamı şunları içerir:
Organizasyon ve Misyon/İş Süreci Düzeyleri: Bu seviyede, organizasyonun genel güvenlik ve gizlilik risklerini yönetmeye yönelik hazırlık yapılır. Sistem mimarları, yöneticiler ve operatörler, sistem düzeyindeki görevleri yerine getirmek için bu adımda odaklanırlar, ancak kuruluşun genel düzeyinde de önemli katkılar sağlayabilirler.
Sistem Düzeyi: Sistem yöneticileri ve operatörler, mevcut iş süreçleri ve sistem belgelerine dayanarak güvenlik gereksinimlerini anlamaya çalışırlar. İş süreci sahipleri, iş akışlarının nasıl çalıştığı ve güvenlik gereksinimlerini belirleme konusunda sistem yöneticilerine değerli girdiler sağlayabilir.
Risk Analizi: İş süreçleri ve sistemler belirlenmeli ve sıfır güven mimarisi için gerekli risk analizi yapılmalıdır. İş akışına dahil olan sahipler ve kilit personel, mevcut iş akışından veya sistem belgelerinden sapma durumlarında bilgi ve deneyim sağlayabilirler.
Bu adım, NIST SP 800-37 Revizyon 2'deki organizasyon ve misyon/iş süreci düzeyindeki görevlerle (P-3 ila P-7) ve sistem düzeyindeki görevlerle (P-8 ila P-18) eşlenir. Bu görevler şunları içerir:
Organizasyon ve Misyon/İş Süreci Düzeyinde: İş süreçlerini ve sistemleri belirleme, risk analizi yapma, iş akışlarındaki sapmaları anlamak ve güvenlik gereksinimlerini belirlemek.
Sistem Düzeyinde: Kullanılan kaynakları belirleme, sistem mimarisini oluşturma ve iş süreçlerini sistem düzeyinde yönetme.
Her iş akışına dahil olan kaynaklar, güvenlik planının konusunu oluşturur. Güvenlik planı, bir bilgi sistemi için güvenlik gereksinimlerine genel bir bakış sağlayan ve bu gereksinimleri karşılamak için yürürlükte olan veya planlanan güvenlik kontrollerini tanımlayan resmi bir belgedir. Güvenlik planı genellikle aşağıdaki unsurları kapsar:
Kaynak Kategorileri:
- İş Akışına Özgü Kaynaklar: Belirli bir iş akışını doğrudan destekleyen kaynaklardır. Örneğin, tek amaçlı bir rapor veritabanı ve bu veritabanına rapor göndermek için kullanılan bulut tabanlı uygulamalar.
- Genel Altyapı Kaynakları: Birden fazla iş akışı tarafından paylaşılan kaynaklardır. Örnekler, ağ altyapısı (anahtarlar, kablosuz ağ erişim noktaları vb.) ve genel ağ hizmetleri (DNS, e-posta vb.) olabilir.
Ağ Kimlikleri ve Yönetişim Araçları: Kuruluş içinde kullanılan tüm ağ kimlikleri ve yönetişim araçlarını kapsar. Bu, sadece son kullanıcı hesaplarını değil, aynı zamanda yazılım bileşenleri, uç nokta kimlikleri ve hizmet hesaplarını da içerir.
Veri Sınıflandırma Programları ve Prosedürleri: Kuruluş içinde kullanılan veri sınıflandırma programları ve prosedürlerinin belgelenmesi.
Sürekli İzleme Durumu: Sıfır güvenin temel ilkelerinden biri, verilerin ve veri akışlarının sürekli izlenmesidir. Bir kuruluşun, sıfır güveni uygulamadan önce sağlam bir izleme planına ve araç setine sahip olması önemlidir.
Yetkilendirme Sınırı: Hazırlık aşamasında benzersiz iş akışlarını ve kurumsal kaynakları belirledikten sonra, RMF yetki sınırları belirlenebilir. Yetkilendirme sınırı, tüm sistem bileşenlerini ve güvenlik yetenekleri sağlayan herhangi bir PEP bileşenini içerir. Bu sınır, şu unsurları kapsar:
- Sistem Bileşenleri: Yetki sınırı içinde bulunan tüm sistem bileşenleri ve bu bileşenlerin sağladığı güvenlik yetenekleri.
- Bağlantı Güvenliği: Yetki sınırı içindeki kaynaklar arasındaki bağlantıların güvenliği. Sıfır güven ilkeleri, ağı tartışmalı olarak kabul eder; bu nedenle, yetki sınırını geçen bağlantılar aynı güvenlik kontrollerine tabidir (örneğin, dış İnternet'ten sınır içine ve tam tersi).
PEP Bileşenleri: PEP bileşenleri, güvenlik politikalarını uygulamak için kullanılır. Aynı PEP çözümü, birden fazla kaynağa hizmet edebilir. Örneğin, bulut erişim güvenlik aracısı (CASB) gibi çözümler, farklı kaynaklar için PEP bileşeni sağlayabilir ve bu kontroller diğer sistemlerde yeniden kullanılabilir.
2.1.2 Kategorilere Ayır
Sıfır güven planlama sürecinde, kaynakların ve iş akışlarının gizlilik, bütünlük ve kullanılabilirlik gereksinimlerine göre kategorilere ayırma adımı kritik bir rol oynar. Bu adımda, kaynaklar DÜŞÜK, ORTA veya YÜKSEK seviyelerde kategorize edilir. Bu kategoriler, kaynakların önem derecelerini ve güvenlik gereksinimlerini belirler.
Kategorilere Ayırma Adımının Detayları:
FIPS 199 [8] ve FIPS 200 [9] Standartları: Bu standartlar, kaynakların ve iş akışlarının gizlilik, bütünlük ve kullanılabilirlik gereksinimlerine göre nasıl kategorize edileceğine dair yönergeler sağlar.
- Gizlilik: Bilgilerin yetkisiz erişime karşı korunması.
- Bütünlük: Bilgilerin yetkisiz değişikliklere karşı korunması.
- Kullanılabilirlik: Bilgilerin yetkili kullanıcılar tarafından erişilebilir olması.
Görevler ve Girdiler:
- Kaynak Sahipleri ve İş Akışları: Kaynak sahipleri ve kaynakları kullanan iş akışları, bu kategorilere ayırma sürecinde değerli girdiler sağlar. Özellikle, kaynakların ve iş akışlarının özelliklerini ve önem derecelerini belirlemede katkıda bulunurlar.
- Sistem Yöneticileri: Sistem yöneticileri, kaynakların özelliklerini belgelemek ve kategorilere ayırma görevlerinde hayati öneme sahiptir.
NIST SP 800-37 Revizyon 2'nin Tablo 3: Bu tablonun görevleri, hem kaynakların hem de ilgili iş akışlarının özelliklerini belgelemeyi içerir. Kaynakların hangi seviyede güvenlik gerektirdiğini belirlemek için bu görevler gerçekleştirilir.
Kategorize Etme Süreci:
- Kaynakların Belirlenmesi: Kaynakların gizlilik, bütünlük ve kullanılabilirlik gereksinimlerine göre kategorilere ayrılması.
- İş Akışlarının Analizi: İş akışlarının kaynaklarla olan ilişkilerinin ve güvenlik gereksinimlerinin analiz edilmesi.
- Değerli Girdilerin Toplanması: Kaynak sahiplerinden ve iş akışlarından gelen girdilerin değerlendirilmesi.
2.1.3 Seç
Sıfır güven planlama sürecindeki Seç adımı, sistemler için uygun güvenlik kontrollerinin seçilmesi ve uygulanmasını içerir. Bu adımda, DÜŞÜK, ORTA ve YÜKSEK etki seviyelerine göre güvenlik kontrolleri belirlenir ve uygulanır. NIST SP 800-53B [10] bu kontrolleri listelemekte ve uyarlama sürecinde temel bir referans sağlar.
Seç Adımının Detayları:
Kontrol Uyarlaması:
- Temel Kontroller: NIST SP 800-53B’de listelenen temel kontroller, her etki seviyesi için belirlenmiştir. Bu kontroller, sistemlerin güvenliğini sağlamak için gereklidir.
- Ek Kontroller: Temel kontroller dışında, kaynakların ve iş akışlarının özel ihtiyaçlarına göre ek kontroller eklenebilir veya mevcut kontroller kaldırılabilir. Bu, belirli risklere karşı yönetim ve koruma sağlamak için önemlidir.
Kontrol Kaplamaları:
- Kaplama Kullanımı: Kontrol kaplamaları, kontrollerin belirli kaynaklar ve iş akışları için uyarlanmasına yardımcı olabilir. Ancak, kaplamalar değişmez olarak kabul edilmemelidir ve her durumda özel gereksinimlere göre uyarlanmalıdır.
Girdiler ve Planlamalar:
- Kaynak Sahipleri ve İş Akışları: Kaynak sahipleri ve iş akışlarının sahipleri, bu adımda değerli girdiler sağlar. Onların sağladığı bilgiler, uygun kontrollerin seçilmesine yardımcı olur.
- KEP ve Kaynak Uygulamaları: Kontrol seçiminde, KEP tarafından hangi kontrollerin karşılanacağını ve kaynağın kendisinde nelerin uygulanması gerektiğini değerlendirmek önemlidir.
Sürekli İzleme ve Güncelleme:
- Güvenlik Duruşlarının İzlenmesi: Sıfır güvenin dinamik doğası, güvenlik duruşlarının sürekli izlenmesini ve güncellenmesini gerektirir. Bu nedenle, siber güvenlik mimarları ve yöneticilerinin kapsamlı bir izleme süreci geliştirmeleri önemlidir.
Ek Kaynaklar:
- Federal CIO El Kitabı ve TIC 3.0: NIST SP 800-53 [11] ve SP 800-53B [10] dışında, Federal CIO El Kitabı [4] ve TIC 3.0 belgeleri [12] gibi diğer kaynaklara başvurulabilir. Bu belgeler, güvenlik gereksinimlerinin geliştirilmesinde ve yetki sınırlarının tanımlanmasında yardımcı olabilir. TIC 3.0 belgelerindeki "güven bölgeleri" kavramı, yetki sınırlarının tanımlanması sürecini etkileyebilir.
Görevler ve Girdiler:
- Sistem Yöneticileri: Sistem yöneticileri, Seç adımındaki görevler için gerekli girdiyi sağlamalıdır. NIST SP 800-37 Revizyon 2’deki Tablo 4’teki görevler, sistem yöneticilerinin sağlayacağı bilgileri içerir. Yöneticiler ve operatörler, sistem bileşenleri hakkında en fazla bilgiye sahip olduklarından, S-4 ve S-5 görevleri en fazla girdiyi gerektirecektir.
2.1.4 Uygula
Uygulama adımı, sıfır güven geçişinde önemli bir aşamadır ve önceki iki adımda belirlenen kontrollerin uygulanmasını içerir. Bu adımda dikkat edilmesi gereken bazı önemli noktalar vardır:
Genel Yaklaşım:
- Kontrollerin Uygulanması: Bu adımda, Seç adımında belirlenen güvenlik kontrolleri, sistem bileşenlerine ve iş akışlarına uygulanır. Uygulama süreci, belirlenen kontrollerin etkin bir şekilde entegre edilmesini ve işletilmesini sağlamalıdır.
Gelecekteki İzleme ve Bakım:
- İzleme ve Bakım: Uygulama adımında, gelecekteki izleme ve bakım işlemleri göz önünde bulundurulmalıdır. Kontroller uygulandıktan sonra, sistemin performansını ve güvenliğini sürekli izlemek için uygun mekanizmaların mevcut olduğundan emin olunmalıdır.
Otomasyon ve Manuel İşlemler:
- Otomasyon: Sıfır güven yaklaşımı, otomasyonun değişen güvenlik tehditlerine dinamik yanıtlar vermede önemli bir rol oynadığını vurgular. Otomasyon, sık yapılan değişikliklerin etkili bir şekilde yönetilmesine yardımcı olabilir ve manuel değişikliklerin hızla değişen ortamlara ayak uydurmasını sağlar.
- Manuel Değişikliklerden Kaçınma: Sık sık insan müdahalesi gerektiren eylemler veya mevcut izleme sistemlerine kolayca uymayan çözümlerden kaçınılması önerilir. Manuel işlemler, otomatik sistemlerin sağlayabileceği hız ve tutarlılığı genellikle sunamaz.
Görevler ve Sorumluluklar:
- Yöneticiler ve Operatörler: Uygulama adımındaki görevler, belirli bir kaynağın yöneticilerini ve operatörlerini içerir (NIST SP 800-37 Revizyon 2, Tablo 5). Bu kişiler, kontrollerin uygun şekilde uygulandığından emin olmalıdır.
2.1.5 Değerlendir
Değerlendirme adımı, sıfır güven uygulamasının sürekliliğini ve etkinliğini sağlamak için kritik bir aşamadır. Bu adımda, kontrollerin etkinliği düzenli olarak gözden geçirilir ve sistemin dinamik doğası dikkate alınarak sürekli bir değerlendirme süreci yürütülür. İşte Değerlendirme adımının bazı önemli noktaları:
Sürekli Değerlendirme:
- Dinamik Ortam: Modern BT ortamları ve DevOps/DevSecOps gibi trendler, sürekli değişim ve yenilikleri içerir. Bu durum, sistemdeki tekil bir değerlendirmenin hızla eskiyebileceği anlamına gelir. Değerlendirme süreci, sistemdeki değişiklikleri ve yeni tehditleri ele almak için sürekli olarak güncellenmelidir.
- Yönetim Süreci: Değerlendirme adımı, sistemin yönetim sürecini de içerir. Sıfır güvenin dinamik doğası nedeniyle, sistemdeki değişikliklerin nasıl yönetildiğini ve değişiklik süreçlerinin etkilerini göz önünde bulundurarak değerlendirme yapılmalıdır.
İki Ana Değerlendirme Süreci:
- Sistemin Sürekli Değerlendirilmesi: Bu süreç, sistemin güvenlik kontrollerinin etkinliğini sürekli olarak gözden geçirmeyi içerir. SP 800-53 kontrollerinin değerlendirilmesi, ideal olarak bir izleme programı ile desteklenmelidir.
- Yönetim Süreci: Sistemi yönetmek için kullanılan süreçlerin değerlendirilmesi, sistemdeki değişikliklerin nasıl yapıldığını ve bu değişikliklerin güvenlik etkilerini göz önünde bulundurur.
Otomatik ve Manuel Kontroller:
- Otomatik Tarama ve Kontroller: Sistemdeki değişiklikleri tespit etmek için sık sık otomatik taramalar ve kontroller yapılmalıdır. Bu, değişikliklerin güvenlik etkilerini belirlemek için önemlidir.
- Günlük Verileri: Günlük verileri, olası kötü niyetli davranışları tespit etmek ve bu davranışlar hakkında daha fazla araştırma veya düzeltme gereksinimlerini belirlemek için kullanılmalıdır.
Aktif Süreçler ve Testler:
- Kırmızı Ekip Testleri: Sistemin güvenlik açıklarını belirlemek için kırmızı ekip testleri gibi aktif süreçler, değerlendirmeye katkıda bulunabilir. Bu testler, sistemin güvenlik duruşunu daha derinlemesine analiz edebilir.
2.1.6 Yetkilendir
Yetkilendirme adımı, bir sistemin güvenlik durumunu resmi olarak değerlendirmek ve onaylamak amacıyla yürütülen süreçtir. Bu adım, bir ZTA (Sıfır Güven Mimarisi) için dinamik ve esnek bir yaklaşım gerektirir. İşte Yetkilendirme adımının temel noktaları:
Dinamik Yaklaşım:
- Sistem ve Süreçlerin Değerlendirilmesi: Yetkilendirme adımı, yalnızca mevcut işletim dağıtımını değil, aynı zamanda sistemin değişen ağ koşullarına yanıt verebilme yeteneğini de değerlendirmelidir. ZTA, dinamik ve akıcı bir yapı olarak tasarlanmalıdır. Bu, sistem ve süreçlerin değişikliklere ve güncellemelerle uyum sağlaması gerektiği anlamına gelir.
Değişiklik ve Güncellemeler:
- Sistem Değişiklikleri: Yetkilendirme, sistemdeki değişikliklerin ve güncellemelerin değerlendirilmesini ve onaylanmasını içerir. Bu, sistemin güvenliğini ve uyumluluğunu sağlamak için kritik bir adımdır.
- Süreç Güncellemeleri: Yetkilendirme süreci, sistemle birlikte işleyen süreçlerin de güncellenmesini ve değerlendirilmesini gerektirir. Bu, sistemin etkinliğini ve güvenliğini sürdüren bir uygulama olarak görülmelidir.
Resmi Onay:
- Güvenlik Değerlendirmesi: Yetkilendirme süreci, sistemin güvenlik değerlendirmesini ve onayını içerir. Bu, sistemin belirlenen güvenlik standartlarını ve politikalarını karşıladığını doğrulamak için yapılır.
- Sürekli İzleme ve İyileştirme: Yetkilendirme, sistemin sürekli izlenmesi ve iyileştirilmesi için bir temel sağlar. Bu, sistemin sürekli olarak güvenli ve uyumlu kalmasını sağlamaya yardımcı olur.
Yetkilendirme adımı, bir ZTA'nın dinamik doğasını desteklemek ve sistem ile süreçlerin sürekli değişen koşullara uyum sağlamasını garanti etmek için kritik öneme sahiptir. Bu adım, sistemin güvenliğini sağlamak ve güncel standartlarla uyumlu olmasını desteklemek için sürekli bir değerlendirme ve onay süreci sunar.
2.1.7 İzle
Sıfır güven mimarisi, kaynakların sürekli izlenmesini gerektirir, bu da sadece ağ trafiğini değil, aynı zamanda uç nokta hijyenini ve kullanıcı davranışını da kapsar. İşte İzleme adımının ana hatları:
Kaynakların Sürekli İzlenmesi:
- Ağ Trafiği: Ağ trafiğinin sürekli izlenmesi, potansiyel tehditleri ve anormallikleri tespit etmek için kritik öneme sahiptir. Bu, güvenlik olaylarının hızlı bir şekilde tespit edilmesini sağlar.
- Uç Nokta Hijyeni: Uç noktaların güncel yazılım ve güvenlik düzeylerinin izlenmesi, sistemin güvenliğini korumak için gereklidir.
- Kullanıcı Davranışı: Kullanıcıların sistem üzerindeki davranışları ve erişim kalıpları izlenmelidir. Anormal davranışlar, olası güvenlik tehditlerini işaret edebilir.
Teknoloji Çözümleri:
- Mevcut Teknoloji: İzleme süreci, işletmenin mevcut teknoloji çözümlerine bağlıdır. Bu, ağ izleme araçları, uç nokta koruma yazılımları ve kullanıcı davranışı analiz araçlarını içerebilir.
- Politika ve Araçlar: Kullanılan teknolojilerin etkinliği, izleme politikaları ve araçların nasıl yapılandırıldığı ile doğrudan ilişkilidir. Etkili bir izleme süreci için uygun teknolojik çözümler ve politikalar gereklidir.
Eylem Tetikleme:
- Güvenlik Olaylarına Tepki: İzleme, güvenlik olaylarına hızlı ve etkili bir şekilde tepki vermek için kullanılan politikaları tetiklemelidir. Bu, güvenlik ihlallerinin zamanında müdahale edilmesini sağlar.
- Sistem İyileştirmeleri: İzleme verileri, sistem değişiklikleri ve iyileştirmeleri için bir DevOps sürecine entegre edilebilir. Bu, sistemin sürekli olarak güncel ve güvenli kalmasını sağlar.
Politika Geliştirme:
- Gözlemler ve Politika: İzleme yoluyla gözlemlenen davranışlar, güvenlik olaylarına tepki verme veya sistemin iyileştirilmesi için politikaların geliştirilmesine yardımcı olur. Etkili bir izleme süreci, organizasyonun güvenlik duruşunu güçlendirir.
İzleme, sıfır güven mimarisinin temel bir bileşenidir ve sistemin güvenliğini sağlamak için sürekli ve kapsamlı bir yaklaşım gerektirir. Bu adım, organizasyonun güvenlik durumunu gerçek zamanlı olarak değerlendirmek ve gerekli eylemleri tetiklemek için kritik öneme sahiptir.
2.1.8 RMF Operasyonel Döngüleri
Sıfır güven, DevOps ve DevSecOps yaklaşımlarını kullanarak dinamik bir geliştirme ve operasyon süreci sağlar. Bu, güvenlik güncellemeleri ve gözden geçirme döngülerinin RMF sürecinin bir parçası olarak uygulanmasını içerir.
- DevOps: Yazılım geliştirme ve operasyonlarını sürekli entegre eder.
- DevSecOps: Güvenliği bu süreçlere entegre eder, böylece güvenlik sürekli olarak göz önünde bulundurulur.
Sıfır güven, güvenlik güncellemeleri ve sistem gözden geçirmelerini düzenli olarak yaparak modern tehditlere karşı sürekli koruma sağlar. Bu döngüler, sistemlerin güvenliğini ve performansını artırmayı hedefler ve RMF sürecinin bir alt kümesini oluşturur.
Örneğin, siber güvenlik duruşu için bir DevOps döngüsü aşağıdaki Şekil 3 olarak ifade edilebilir:
Sıfır güven modeli, sürekli bir döngü kullanarak güvenliği yönetir. Bu döngü şu şekilde işler:
- İZLEME: Veriler toplanır ve analiz edilir.
- UYGULAMA: İyileştirmeler uygulanır.
- DEĞERLENDİRME ve YETKİLENDİRME: Yapılan değişiklikler değerlendirilir ve gerekli onaylar alınır.
DevOps/DevSecOps ortamında, bu döngü dinamik olarak işler ve yeni bilgiler doğrultusunda SEÇ adımına geri dönülerek kontroller güncellenir. Statik BT ortamlarında ise, DEĞERLENDİRME ve YETKİLENDİRME adımları sürekli olarak yürütülür ve büyük değişiklikler daha az sıklıkta yapılır.
3 Çözüm
Sıfır güven, tek bir teknoloji çözümü değil; daha geniş bir siber güvenlik stratejisi ve operasyonel yaklaşımdır. Başarılı bir sıfır güven mimarisi, siber güvenlik planlayıcıları, yöneticiler ve operasyon ekiplerinin işbirliğini gerektirir. Ayrıca, sistem, veri ve süreç sahiplerinin katkısını da talep eder. Bu katkı, sıfır güvenin kurumsal siber güvenliğe bütünsel bir yaklaşım sunduğu gerçeğiyle uyumludur ve yöneticilerden, BT personelinden ve genel kurumsal kullanıcılardan destek gerektirir.
NIST Risk Yönetimi Çerçevesi (RMF), siber güvenlik ve gizlilik risklerini yönetmek için kapsamlı bir süreç sunar. Bu çerçeve, yöneticilere ve operatörlere, siber güvenliğe odaklanmayan diğer kişilerle birlikte yardımcı olabilir. Teknik inceleme, RMF'nin genel bir görünümünü sunar ve yöneticilerin ve operatörlerin RMF adımlarını anlamalarına ve bu adımların sıfır güveni nasıl desteklediğine dair işaretler sağlar.
Sıfır güven ve RMF adımları, her işletmenin kendi ihtiyaçlarına göre özelleştirilmiş prosedürlerle yürütülmelidir. Adımların belirli bir sırayla gerçekleştirilmesi gerekmez; her işletme, kendi operasyonel gereksinimlerine uygun şekilde adımları düzenlemelidir.