Sıfır güven: ZTNA ve temel ilkeler
- NIST SP 800-207'nin ilkelerini ve bileşenlerini okuyup bir politika kararını kayıttan yorumlamayı ve ZTNA'yı klasik VPN'den ayırmayı öğren.
- ZTNA, VPN'in aksine kullanıcıyı tüm ağa değil tek bir uygulamaya bağlar.
- Bu derste NIST'in sıfır güven ilkelerini ve ZTNA'nın klasik VPN'den farkını göreceksin.
Puan bütün etkinlikleri cevaplayınca hesaba yazılır. Bu dersi tamamlayınca +45 XP alacaksın. Giriş yapmadan ilerlersen puan yalnız bu tarayıcıda durur.
Altay Kargo'nun muhasebe uzmanı bir oltalama e-postasına parolasını kaptırdı. Şirket klasik VPN kullanıyordu. Saldırgan çalınan parolayla VPN'e bağlandı ve iç ağdaki her sunucuyu görmeye başladı.
Rapor sunucusu, yedekleme sistemi, hatta depo kameraları aynı listedeydi. Oysa muhasebe uzmanının işi yalnız iki uygulama istiyordu. Klasik ağ güvenliği bir varsayıma dayanır: iç ağdaki biri dış ağdaki birinden daha güvenilirdir. VPN'e bağlanan çalışan bir kez doğrulanır ve genelde bütün iç ağa erişir.
Sıfır güven bu varsayımı reddeder. Hiçbir istek yalnız ağın neresinden geldiği için güvenilir sayılmaz. Her istek her seferinde kimliğini, cihazını ve yetkisini kanıtlar. Bu derste NIST'in ilkelerini, mimarinin parçalarını ve bu ilkeleri uygulayan ZTNA'yı göreceksin.
NIST SP 800-207'nin yedi ilkesi
NIST SP 800-207 Ağustos 2020'de yayımlandı ve sıfır güveni yedi temel ilkeyle tanımlar. Birincisi, bütün veri kaynakları ve hizmetler birer kaynaktır. Depodaki el terminali de bulut hesabı da korunacak bir kaynaktır.
İkincisi, bütün iletişim ağ konumundan bağımsız olarak korunur. İç ağdaki trafik de şifrelenir ve doğrulanır. Üçüncüsü, her kaynağa erişim oturum bazında ve işin gerektirdiği en az yetkiyle verilir.
Rapor sunucusuna bugün girmek yarınki erişimi garanti etmez. Dördüncüsü, erişimi dinamik bir politika belirler. Politika kimliğe, uygulamaya ve isteği yapan cihazın gözlenen durumuna bakar. Davranış ve ortam bilgisini de hesaba katabilir.
Beşincisi, kurum sahip olduğu ve kullandığı bütün varlıkların bütünlüğünü ve güvenlik durumunu izler ve ölçer. Yaması eksik bir dizüstü, kurumun kendi cihazı olsa bile daha az güven alır. Altıncısı, kimlik doğrulama ve yetkilendirme dinamiktir ve erişimden önce sıkı biçimde uygulanır. Oturum sürerken de risk yeniden değerlendirilir.
Yedincisi, kurum varlıklar, ağ altyapısı ve iletişim hakkında olabildiğince çok bilgi toplar. Bu bilgiyi güvenlik duruşunu iyileştirmek için kullanır.
İlkeler birlikte asla güvenme, her zaman doğrula sözünü somutlaştırır. Muhasebe uzmanının parolası çalınsa bile saldırgan yalnız o kişinin yetkili olduğu dar kaynaklara ulaşır. Cihaz durumu da denetlendiği için saldırganın kendi bilgisayarı çoğu zaman kapıdan döner.
Etkinlik 1 / 6
NIST'in sıfır güven ilkelerinden hangileri doğrudur?
Karar noktası ve uygulama noktası
NIST mimariyi mantıksal bileşenlere ayırır. Politika motoru (Policy Engine, PE) erişim kararını verir. Kimliği, cihaz durumunu, tehdit istihbaratını ve kayıtları girdi olarak kullanır. Sonucu izin, ret ya da iptal olarak üretir.
Politika yöneticisi (Policy Administrator, PA) bu kararı hayata geçirir. İzin çıkarsa oturuma özel kimlik bilgisini üretir ve yolu açması için uygulama noktasına komut gönderir. İkisi birlikte politika karar noktasını (PDP) oluşturur. Politika uygulama noktası (Policy Enforcement Point, PEP) isteği yapan ile kaynak arasında durur.
Bağlantıyı açar, izler ve gerekirse keser. Önemli ayrıntı şudur: karar veren ile kapıyı tutan ayrı parçalardır. PEP kendi başına karar vermez, yalnız PA'dan gelen komutu uygular.
PEP'in nerede durduğu kurulumdan kuruluma değişir. NIST birkaç dağıtım modeli sayar. Cihaz ajanı ve ağ geçidi modelinde kullanıcının cihazındaki ajan bağlantıyı başlatır, kaynağın önündeki ağ geçidi PEP olur.
Kapalı bölge (enclave) modelinde ağ geçidi tek bir kaynağın değil, bir grup kaynağın önünde durur. Bu model, tek tek doğrulamayı bilmeyen eski uygulamaları korumak için pratiktir. Kaynak portalı modelinde cihaza hiçbir şey kurulmaz, kullanıcı bir portal ağ geçidine bağlanır.
Portal modeli yönetilmeyen cihazlara kapı açar ama cihaz durumunu sınırlı görür. Altay Kargo, şirket dizüstüleri için ajanı, dış danışmanlar için portalı seçti.
Şemadaki politika kutusu sıfır güvenin karar noktasıdır. Kimlik doğrulanır, kimliğe bağlı rol belirlenir, sonra politika bu rolün istenen kaynağa erişip erişemeyeceğine karar verir. Erişim verilse bile karar kalıcı değildir.
Denetim kaydı her isteği ayrı ayrı tutar ve bir sonraki kararın girdisi olur. Karar kaydını okumak bu yüzden sıfır güveni anlamanın en hızlı yoludur. Kayıt, politikanın gerçekte nasıl davrandığını gösterir; yazılı kural ile uygulama arasındaki farkı ilk orada görürsün.
Etkinlik 2 / 6
Kimlik doğrulandı ve rolü belirlendi. Bu rolün istenen kaynağa erişip erişemeyeceğine hangi adım karar verir?
Diyagramda doğru kutuyu tıkla.
Politika motoru her karar için bir satır yazar. Bu satırlar hem denetim hem tespit için ham veridir. Aşağıda Altay Kargo'nun politika motorundan alınmış dört kayıt var. Aynı kullanıcı aynı rapor sunucusuna farklı zamanlarda ve farklı cihazlarla ulaşmaya çalışıyor.
Her satırda karar, kullanıcı, cihaz, cihazın uyum durumu, kaynak ve gerekçe yazıyor. Uyum durumunu cihaz yönetim sistemi bildirir. Satırları okurken kararı değiştiren alanın hangisi olduğunu bul.
2026-09-14T09:12:03Z karar=DENY [email protected] cihaz=DZ-0142 uyum=yamasiz kaynak=rapor.altaykargo.example gerekce="cihaz yamasi 41 gun geride" 2026-09-14T09:12:40Z karar=DENY [email protected] cihaz=DZ-0142 uyum=yamasiz kaynak=rapor.altaykargo.example gerekce="cihaz yamasi 41 gun geride" 2026-09-14T09:47:30Z karar=ALLOW [email protected] cihaz=DZ-0142 uyum=uygun kaynak=rapor.altaykargo.example oturum=60dk mfa=evet 2026-09-14T11:05:12Z karar=DENY [email protected] cihaz=bilinmiyor uyum=- kaynak=rapor.altaykargo.example gerekce="kayitli olmayan cihaz"
İlk iki satırda karar DENY'dir. Kullanıcı doğrudur, parolası da doğrudur, ama cihazın yaması 41 gün geridedir. Politika bu cihazdan rapor sunucusuna erişimi kabul etmez.
Otuz beş dakika sonra aynı dizüstü güncellenmiştir ve üçüncü satırda karar ALLOW olur. Oturum 60 dakikayla sınırlanır, süre dolunca karar yeniden verilir.
Dördüncü satır farklıdır: aynı hesap bu kez kayıtlı olmayan bir cihazdan geliyor. Bu bir çalışanın kişisel telefonu olabilir, parolayı çalan birinin denemesi de olabilir. İki durumda da sonuç aynıdır: kimlik bilgisi tek başına kapıyı açmaz. Güvenlik ekibi bu satırı SIEM'de ayrı bir alarm kuralına bağlar.
Derinleş:Güven algoritmasının iki ekseni
NIST SP 800-207, politika motorunun kullandığı güven algoritmasını iki eksende sınıflandırır. Ölçüt tabanlı algoritma bir koşul listesini denetler: çok faktörlü doğrulama var mı, cihaz kayıtlı mı, yama güncel mi. Koşulların hepsi sağlanırsa erişimi açar.
Puan tabanlı algoritma her veri kaynağına ağırlık verir, bir güven puanı hesaplar ve puanı kaynağın eşiğiyle karşılaştırır. Puan eşiğin altındaysa ret gelir ya da yetki daraltılır, örneğin yazma kapanır ve yalnız okuma kalır.
İkinci eksen bağlamdır. Tekil algoritma her isteği tek başına değerlendirir. Bağlamsal algoritma öznenin yakın geçmişine de bakar.
Rehberin örneğinde günde 20 ile 30 personel kaydı açan bir insan kaynakları çalışanı bir gün 100 kaydı aşar. Tek tek istekler rolüne uygundur, ama bağlamsal algoritma bu sapmayı alarma çevirir. Rehber bağlamsal yaklaşımı ideal sayar, bedelinin daha çok durum bilgisi olduğunu da belirtir.
Etkinlik 3 / 6
Politika motorunun sabah kayıtları aşağıda. Hesap ele geçirme şüphesi taşıyan satırları seç.
Şüpheli satırlara tıkla. Birden fazla olabilir.
ZTNA ve klasik VPN
ZTNA (Zero Trust Network Access), sıfır güven ilkelerini uzaktan erişime uygular. Klasik VPN kullanıcıyı ağa bağlar ve kullanıcı ağdaki her şeyi görebilir hale gelir. ZTNA ise kullanıcıyı doğrudan tek bir uygulamaya bağlar, ağın geri kalanı görünmez kalır.
Her bağlantı isteği ayrı doğrulanır; bir uygulamaya erişim başka bir uygulamaya otomatik erişim getirmez. ZTNA iki biçimde kurulur. Ajan tabanlı modelde cihaza küçük bir yazılım kurulur.
Yazılım cihaz durumunu raporlar ve her isteği politika motoruna sorar. Hizmet tabanlı modelde cihaza bir şey kurulmaz, trafik bir aracı ağ geçidinden geçer. İkinci model yönetilmeyen cihazlar için kolaydır ama cihaz durumunu daha az görür.
Ölçüt Klasik VPN ZTNA Görünürlük bağlandığı iç ağın tamamı yalnız izinli uygulama Yanal hareket ağ içinde serbest, ayrı bölütleme ister uygulama dışına yol yok Cihaz durumu çoğu kurulumda yalnız girişte her istekte karara girer Karar sıklığı oturum başında bir kez istek ve oturum bazında Kullanıcı deneyimi tüneli elle açar uygulamayı doğrudan açar
Tablonun özü görünürlük satırıdır. VPN'e giren saldırgan tarama yapar ve bulduğu her açık servisi dener. ZTNA arkasındaki uygulamalar ise ne internetten ne iç ağdan doğrudan görünür. PEP'e yetkili bir istekle gelmeyen biri port bile bulamaz.
İkinci fark sürekli doğrulamadır. Oturum ortasında risk değişirse karar yenilenir. Cihazda zararlı yazılım alarmı çıkarsa ya da hesap şüpheli işaretlenirse PEP oturumu keser ya da yeniden kimlik doğrulama ister.
Klasik VPN'de bu kararlar çoğu zaman yalnız girişte verilir. Oturum açıldıktan sonra saatlerce kimse yeniden bakmaz.
Etkinlik 4 / 6
Bir şirket, dış danışmanlara yalnız tek bir iç raporlama uygulamasına erişim vermek istiyor, ağın geri kalanını görmelerini istemiyor. Hangi yaklaşım bu ihtiyaca daha uygundur?
Olgunluk modeli
Sıfır güven tek bir ürün değildir, bir mimari yaklaşımdır. CISA'nın Nisan 2023'te yayımladığı Sıfır Güven Olgunluk Modeli 2.0 bu yolculuğu ölçmek için bir çerçeve verir. Model beş sütun tanımlar: kimlik, cihaz, ağ, uygulama ve iş yükü, veri. Bu sütunları üç kesişen yetenek bağlar: görünürlük ve analitik, otomasyon ve orkestrasyon, yönetişim.
Her sütun dört aşamada ilerler: geleneksel, başlangıç, ileri ve optimal. Altay Kargo kimlik sütununda başlangıç aşamasındadır.
Her girişte çok faktörlü doğrulama ister ama oltalamaya dayanıklı yöntemlere henüz geçmedi; ileri aşama bunu bekler. Aynı şirket cihaz sütununda hâlâ geleneksel aşamadadır, çünkü envanteri elle tutulan bir tablodan ibarettir. Sütunlar eşit ilerlemez ve en zayıf sütun bütün yapının sınırını çizer.
Modeli bir karne gibi kullanırsın. Her sütun için bugün hangi aşamada olduğunu gerçekçi biçimde işaretler, bir yıl sonra ulaşmak istediğin aşamayı yazarsın. İki aşama arasındaki boşluk yol haritanın maddelerini verir. Cihaz sütununda geleneksel aşamadan başlangıç aşamasına geçmek, bütün fiziksel cihazları tek bir envanterde izlemek ve bazı cihazların durum bilgisini ilk kez erişim kararına katmak demektir.
Envanterin otomatik toplanması ise ileri aşamanın işidir. Modelin değeri puanın kendisinde değil, ekiplerin aynı dili konuşmasındadır. Kimlik ekibi ile ağ ekibi aynı tabloya bakınca önceliklerde daha kolay anlaşır.
Etkinlik 5 / 6
Her önlemi CISA olgunluk modelindeki sütununa yerleştir.
Önce bir seçeneğe, sonra aşağıdaki uygun kutuya bas. İstersen seçeneği kutuya sürükleyip bırak. Yerini değiştirmek için aynı işlemi tekrarla.
0/7 seçenek yerleşti.
Sık hatalar ve izleme
En sık yanılgı şudur: bir ZTNA ürünü aldık, sıfır güvene geçtik. Ürün çoğu zaman yalnız PEP'i getirir. Karar kalitesi kimlik altyapısına, güncel cihaz envanterine ve doğru yazılmış politikalara bağlıdır. Kimin hangi uygulamaya ihtiyacı olduğunu bilmeyen bir kurum, ZTNA'da herkese her şeyi açar ve eski VPN'i yeni bir adla yeniden kurar.
NIST'in Haziran 2025'te yayımladığı SP 1800-35, 24 iş ortağıyla kurulan 19 örnek uygulamayı anlatır. Örneklerin ortak dersi, geçişin kademeli olduğu ve eldeki altyapıyla birlikte yürüdüğüdür. Eski sistemler her zaman tek tek doğrulamaya uygun değildir. Bu sistemlerin önüne bir PEP konur ya da bir ağ bölütüyle çevrelenir.
İzleme tarafında iki alışkanlık öne çıkar. Birincisi politika kararlarının tamamını kaydetmektir, izinleri de retleri de. Retlerin örüntüsü çok şey anlatır. Aynı hesaptan kısa sürede çok sayıda farklı kaynağa ret, keşif yapan birini gösterir.
Kayıtsız cihazdan gelen tekrarlı istek çalınmış kimlik bilgisini düşündürür. İkincisi kararları SIEM'de kimlik ve uç nokta kayıtlarıyla birleştirmektir. Politika motorunun reddi, EDR alarmı ve olağan dışı giriş aynı hesapta buluşursa olayın önceliği yükselir. Bir sonraki derste düz bir ağı bu mimariye hazırlayan geçişi adım adım planlayacaksın.
Derinleş:BeyondCorp: ofis ağı da internettir
Sıfır güvenin sahadaki ilk büyük örneklerinden biri BeyondCorp modelidir. Modeli anlatan makale 2014'te yayımlandı. Temel fikir ayrıcalıklı bir iç ağ kavramını tamamen kaldırmaktı. Çalışanlar ofisten de evden de aynı yoldan bağlanıyordu.
Her istek bir erişim vekilinden geçiyor, vekil kullanıcının kimliğine ve cihazın envanterdeki kaydına bakıyordu. Ofis ağı bile internet kadar güvenilmez sayılıyordu. Cihaz envanteri modelin merkezindeydi; kaydı olmayan cihaz hiçbir iç uygulamaya ulaşamıyordu.
Model tek seferde değil, yıllara yayılan bir geçişle kuruldu. Bugünkü ZTNA ürünlerinin birçoğu, kullanıcı ile uygulama arasına konan aynı erişim vekili fikrine dayanır. Modelden çıkan ders teknik olduğu kadar örgütseldir: envanter ve kimlik altyapısı hazır olmadan erişim vekili işe yaramaz.
Etkinlik 6 / 6
Bir okul, öğretmenlerin yalnız not giriş sistemine uzaktan erişmesini istiyor ve öğrenci veritabanına doğrudan erişim vermek istemiyor. Sıfır güven ilkesine en uygun çözüm hangisidir?
Okumayı istediğin sırayla sürdürebilirsin. Ders, bütün etkinlikleri cevapladığında tamamlanır.