Neden kullanıcı cihazından başlanır?
Kullanıcı cihazı, saldırganın en kolay ulaştığı noktadır: bir oltalama e-postası, kötü niyetli bir bağlantı ya da tarayıcıdan indirilen bir dosya cihazın içinde çalışmaya başlar. Cihaz o anda kurumsal ağa bağlıysa saldırganın önünde bütün iç ağ açılır; yatay hareket, kimlik toplama ve sunuculara ulaşma bu ilk adımın devamıdır.
Bu yüzden son kullanıcı güvenliği iki soruyu birlikte cevaplar: cihazın kendisi ne kadar dayanıklı ve cihaz ele geçirildiğinde ağ onu ne kadar hızlı sınırlıyor. İlk soru uç nokta korumasının, ikincisi ağ erişim kontrolünün alanıdır. İkisi birleştiğinde saldırı ilk cihazda kalır ve ağ, cihazın arkasında bir güvence katmanı olur.
Dört katman neyi kapsar?
Katmanlar cihazdan ağa doğru sıralanır ve her biri bir sonrakine sinyal üretir. Cihaz duruşu kimlik katmanına "bu cihaz sağlıklı" bilgisini, kimlik katmanı oturum katmanına "bu kullanıcı doğrulandı" bilgisini, oturum katmanı ağ erişimine "bu bağlam güvenilir" bilgisini taşır. Ağ erişimi bu sinyalleri politikaya çevirir.
| Katman | Bileşenler | Ağ tarafına verdiği sinyal |
|---|---|---|
| Cihaz duruşu | EDR, disk şifreleme, yerel güvenlik duvarı, yama ve sürüm güncelliği, yönetim ajanı | Cihazın sağlık durumu: uyumlu, riskli ya da ele geçirilmiş |
| Kimlik | Merkezi kimlik sağlayıcı, MFA (çok faktörlü kimlik doğrulama), ayrıcalıklı hesap ayrımı, tek oturum açma | Kullanıcının kim olduğu, hangi gruplarda bulunduğu ve doğrulama gücü |
| Oturum | Koşullu erişim, risk tabanlı yeniden doğrulama, oturum süresi ve cihaz bağlama | Bağlam: konum, zaman, alışılmadık davranış ve oturumun güncel riski |
| Ağ erişimi | NAC (ağ erişim kontrolü), ZTNA (sıfır güven ağ erişimi), dinamik segment ataması | Karar: cihaz hangi segmente düşer, hangi uygulamalara ulaşır |
Cihaz duruşu ağ kararına nasıl bağlanır?
Bağlantı NAC üzerinden kurulur. Cihaz ağa bağlanırken NAC, uç nokta korumasından ve yönetim ajanından duruş bilgisini alır: EDR çalışıyor mu, disk şifreli mi, işletim sistemi güncel mi, cihaz kurumsal envanterde mi. Bu bilgi politikayla eşleştirilir ve cihaz uygun segmente düşer. Uyumlu kurumsal cihaz iş segmentine, eksikli cihaz düzeltme segmentine, envanter dışı cihaz misafir segmentine yerleşir.
Bağlantı kurulduktan sonra da izleme sürer. EDR bir cihazda şüpheli davranış tespit ettiğinde bu bilgi NAC'a iletilir ve cihaz otomatik olarak karantina segmentine alınır; kullanıcı ağda kalır, yalnızca iç kaynaklardan yalıtılır. Analist olayı incelerken saldırı ilk cihazda kalır. NAC ile erişim kontrolü notunda bu mekanizmanın kurulumunu ayrıntılı ele alıyoruz.
Uzak kullanıcı ve kişisel cihaz nasıl ele alınır?
Ofis dışındaki kullanıcı için aynı ilke ZTNA üzerinden işler. Kullanıcı uygulamaya bağlanmak istediğinde kimlik doğrulanır, cihaz duruşu sorgulanır ve yalnızca yetkili olduğu uygulama açılır; iç ağ ona görünmez kalır. Cihaz duruşu politikanın altında kaldığında erişim daralır ve kullanıcıya düzeltme adımı gösterilir. VPN ile ZTNA karşılaştırması bu geçişin planını anlatır.
- Kurumsal cihaz, ofiste: NAC ile tam duruş kontrolü, iş segmenti, uygulamalara doğrudan erişim.
- Kurumsal cihaz, uzakta: ZTNA ile kimlik ve duruş kontrolü, yalnızca yetkili uygulamalar.
- Kişisel cihaz: Kendi erişim yolu; internet ve izin verilen uygulamalar için ayrı segment, uygulamalara asgari duruş koşuluyla ZTNA.
- Yüklenici ve misafir: Süreli kimlik, misafir ya da yüklenici segmenti, yalnızca tanımlı uygulama ve süre.
Sahada dört katmanın hepsi çoğu kurumda zaten var; eksik olan aralarındaki bağ. EDR kendi konsolunda alarm üretiyor, NAC kendi politikasını uyguluyor, kimlik sağlayıcı kendi riskini hesaplıyor ve üçü birbirinden bağımsız çalışıyor. Bu bağı kurduğumuzda, EDR alarmının cihazı saniyeler içinde karantinaya taşıdığını ve servis masasına düşen olay sayısının belirgin azaldığını görüyoruz. Ürün eklemek yerine mevcut katmanları birbirine bağlamak, çoğu kurumda en yüksek getiriyi veren adım.
Kurulum hangi sırayla ilerler?
Sıra, her adımın bir sonrakine sinyal üretmesine göre belirlenir. Önce cihaz duruşu standartlaştırılır: EDR, disk şifreleme ve yönetim ajanı bütün kurumsal cihazlarda kurulur, güncellik politikası tanımlanır. Ardından kimlik katmanı sağlamlaştırılır: merkezi kimlik sağlayıcı, MFA ve grup yapısı, erişim politikalarının dili hâline gelir. Üçüncü adımda NAC ve ZTNA bu iki sinyali erişim kararına çevirir; politikalar önce izleme modunda çalışır, sonra kademeli olarak uygulamaya alınır. Son adımda otomatik yanıt açılır: EDR tespiti NAC karantinasını, kimlik riski oturumun yeniden doğrulanmasını tetikler.
Bu sıra kullanıcı deneyimini korur: her katman kurulduğunda kullanıcı bir değişiklik yaşar, hepsi bir arada açıldığında ise tepki birikir. Kademeli ilerleyen kurumlarda katmanlar kullanıcı için sessiz bir arka plana dönüşür ve gördüğü tek şey, duruşu bozulduğunda karşısına çıkan düzeltme yönlendirmesi olur. Cihaz tarafındaki sıkılaştırma ilkeleri hardening notunda, bütün ise Network Güvenliği çözümleri sayfasında.
