Zero-Trust Nedir: Temel Prensipler

Geleneksel kale-hendek (perimeter) güvenlik modeli öldü. İç ağdaki hiçbir aktöre, cihaza veya servise otomatik güvenilmez. Zero-Trust temel kural: Asla güvenme, her zaman doğrula.

Geleneksel ağ güvenliği IP ve lokasyon bazlıdır. Zero-Trust mimarisi kimlik, cihaz bağlamı ve anlık telemetry verisi üzerinden karar verir.

Üç ana kural:

Açıkça Doğrula (Verify Explicitly): Her istek için kimlik, konum, cihaz sağlığı, veri sınıfı doğrula.
En Az Yetki İlkesi (Least Privilege): Sadece gereken an için, gereken minimum erişimi sağla (JIT/JEA).
İhlali Varsay (Assume Breach): Saldırgan ağ içindedir mantığıyla hareket et. Ağ segmentasyonu ve şifreleme uygula.

Modern Güvenlik Trendleri ve Dijital Strateji

Kurumsal altyapılarda bulut geçişi, dağınık mimariler ve API tabanlı mikroservisler eski güvenlik protokollerini etkisiz kıldı. Güncel trendler ve dijital strateji hedefleri şunları zorunlu kılar:

Kimlik Merkezli Güvenlik (Identity-First): Ağ sınırının yerini kimlik sağlayıcıları (IdP) aldı.
SDP (Software Defined Perimeter): Servisleri halka açık internetten gizleme, sadece doğrulanan istemcilere gösterme.
Sürekli Tehdit Analizi: Statik kurallar yerine dinamik risk skorlama.

Adım Adım Kurumsal Web Sistemlerinde Zero-Trust Kurulumu

Bu rehber kurumsal web mimarilerine Zero-Trust adaptasyonu için 5 temel adımı listeler.

Adım 1: Kimlik ve Erişim Yönetimi (IAM) Merkezileştirme

Tüm web portalları, API ağ geçitleri ve dahili araçlar tek bir merkezi Kimlik Sağlayıcıya (IdP - örn. Okta, Keycloak, Entra ID) bağlanmalıdır.

Tüm kurumsal erişimlerde MFA/FIDO2 zorunlu kılın.
SMS/OTP yerine donanım anahtarı (YubiKey) veya biyometrik Passkey protokollerine geçin.
Bağlam duyarlı oturum yönetimi uygulayın (Cihaz uyumluluğu, IP anomali tespiti).

Adım 2: Karşılıklı TLS (mTLS) ile Servisler Arası Doğrulama

Mikroservis web sistemlerinde servisler birbirine varsayılan olarak güvenmemelidir.

Tüm iç trafiği mTLS ile şifreleyin.
Servis kimlik doğrulaması için SPIFFE/SPIRE veya Service Mesh (Istio, Linkerd) kullanın.
Sertifika rotasyonunu otomatikleştirin (Kısa ömürlü X.509 sertifikaları).

Adım 3: Mikro-Segmentasyon ve Ağ İzolasyonu

Web sunucuları, veritabanları ve yetkilendirme servisleri arasındaki yatay hareketleri (lateral movement) kısıtlayın.

Yazılım tanımlı ağ (SDN) ve güvenlik duvarı kuralları ile pod/sunucu bazlı izolasyon sağlayın.
Web katmanının doğrudan veritabanına erişimini engelleyin; API/Data Access katmanlarını aracı yapın.
Egress (dışa giden) trafiği kısıtlayın; sunucuların sadece izinli dış API adresleriyle konuşmasını sağlayın.

Adım 4: Rol ve Öznitelik Tabanlı Erişim Kontrolü (RBAC & ABAC)

Statik roller yetersizdir. Dinamik erişim politikaları gerekir.

Open Policy Agent (OPA) gibi Policy-as-Code araçlarıyla yetkilendirmeyi koddan ayırın.
ABAC (Attribute-Based Access Control) ile kullanıcının rolü, zamanı, cihaz lokasyonu ve IP risk skorunu birleştirerek karar verin.
Kullanıcı oturum süresini kısa tutun, dinamik JWT veya token exchange kullanın.

Adım 5: Sürekli İzleme, SIEM/SOAR Entegrasyonu

Loglama olmadan Zero-Trust çalışmaz.

Tüm web erişim loglarını, API çağrılarını ve kimlik doğrulama adımlarını merkezi SIEM sistemine aktarın.
Anormal veri indirme, olağandışı saatlerde yapılan API isteklerini otomatik kural motorlarıyla tespit edin.
SOAR senaryoları ile risk algılandığında kullanıcının tokenını anında iptal eden (revocation) otomasyonlar kurun.

Pratik Uygulama İpuçları ve Hata Önleme

Büyük Patlama (Big Bang) Geçişinden Kaçının: Tüm sistemleri aynı anda Zero-Trust modeline geçirmek operasyonu kilitler. Önce kritik veri barındıran servislerden başlayın.
Görünürlük Önceliklidir: Korumak istediğiniz varlığı bilmeden Zero-Trust uygulayamazsınız. Tam bir API ve servis envanteri çıkarın.
Geliştirici Deneyimini Bozmayın: Güvenlik katmanları CI/CD süreçlerine ve lokal geliştirme ortamlarına entegre edilmelidir.