Zero-Trust Nedir: Temel Prensipler

Zero-Trust temel varsayımı: Ağ içi/dışı ayrımı yok. Her istek, her kullanıcı, her servis potansiyel tehdit. İlke: Asla güvenme, her zaman doğrula (Never Trust, Always Verify).

Geleneksel 'kale ve hendek' modeli öldü. Bir kez ağa sızan saldırgan yatayda (lateral movement) serbestçe ilerleyememeli.

Modern Tehdit Trendleri ve Dijital Strateji

Kurumsal sistemlerde Zero-Trust bir yazılım değil, mimari dijital strateji yaklaşımıdır. Güncel trendler üç ana eksende toplanır:

Kimlik Merkezli Güvenlik: IP adresi yerine bağlamsal kimlik (context-aware identity) doğrulama.
Mikro-Segmentasyon: Servisler arası trafiği L4-L7 seviyesinde izole etme.
Sürekli Telemetri: Gerçek zamanlı risk skorlaması ve anomali tespiti.

Adım Adım Kurumsal Web Sistemlerinde Zero-Trust Kurulumu

Adım 1: Kimlik ve Erişim Yönetimi (IAM) Sertleştirme

Tüm web giriş noktalarını merkezi kimlik sağlayıcıya (IdP) bağlayın. OIDC veya SAML 2.0 kullanın.

FIDO2 / WebAuthn donanım anahtarlarıyla parola bağımlılığını kaldırın.
SMS/E-posta tabanlı 2FA kullanmayın (SIM-swap ve phishing riski). TOTP veya donanım tokeni zorunlu kılın.
Koşullu erişim (Conditional Access) kuralları uygulayın: Cihaz sağlığı, coğrafi konum, IP risk skoru.

Adım 2: API ve Servisler Arası Karşılıklı TLS (mTLS)

Kurumsal web sistemlerinin arka planındaki mikroservis iletişimini mTLS ile şifreleyin ve kimliklendirin.

# Örnek Nginx mTLS Yapılandırması
ssl_client_certificate /etc/ssl/certs/internal_ca.crt;
ssl_verify_client on;
ssl_verify_depth 2;

Her servis kendi x509 sertifikasıyla kimliğini diğer servise kanıtlar. Yetkisiz servis trafiği ağ düzeyinde reddedilir.

Adım 3: En Az Yetki İlkesi (Principle of Least Privilege - PoLP)

Rol Tabanlı Erişim Kontrolü (RBAC) yerine Nitelik Tabanlı Erişim Kontrolü (ABAC) uygulayın.

Statik admin yetkilerini kaldırın. Just-In-Time (JIT) erişim sağlayın.
JWT (JSON Web Token) içinde aşırı yetki tanımlamayın. Token ömrünü kısa tutun (maksimum 15 dakika) ve refresh token rotasyonu uygulayın.
Veritabanı erişimlerini servis bazlı izole edin. Ortak DB kullanıcısı tanımlamayın.

Adım 4: Mikro-Segmentasyon ve Servis Mesh

Konteyner ve web sunucu altyapısında trafiği daraltın.

Kubernetes üzerinde NetworkPolicy tanımlayarak podlar arası varsayılan trafiği engelleyin (default deny all).
Istio veya Linkerd gibi Service Mesh çözümleriyle L7 yetkilendirme politikaları uygulayın.

Adım 5: Sürekli İzleme, eBPF ve Log Analitiği

Zero-Trust statik değildir; çalışma anında (runtime) doğrulanır.

eBPF tabanlı araçlar (Cilium, Falco) ile kernel seviyesinde ağ ve sistem çağrılarını izleyin.
Tüm web erişim ve API loglarını merkezi SIEM platformuna aktarın.
Anomali tespitinde token revoke (iptal) mekanizmasını tetikleyin.

Kritik Kontrol Listesi

[ ] Varsayılan ağ kuralı: Deny All mu?
[ ] Servisler arası iletişim mTLS ile şifreli mi?
[ ] SSH/RDP gibi yönetim portları internete kapalı, Identity-Aware Proxy (IAP) arkasında mı?
[ ] Statik API anahtarları yerine kısa ömürlü tokenlar kullanılıyor mu?