Zero Trust Ağ Mimarisi: Bulut Ortamında Uygulama Rehberi

Geleneksel ağ güvenliği "kale ve hendek" modeline dayanır: dışarıdaki her şey tehdit, içerideki her şey güvenilirdir. Ancak bulut ortamları, uzaktan çalışma ve mikro servis mimarileri bu sınırı bulanıklaştırdı. Zero Trust (Sıfır Güven) mimarisi bu varsayımı ortadan kaldırır: hiçbir kullanıcı, cihaz veya ağ segmenti varsayılan olarak güvenilir değildir. Her erişim isteği doğrulanır, yetkilendirilir ve şifrelenir.

Zero Trust Temel Prensipleri

NIST SP 800-207 standardına göre Zero Trust mimarisi üç temel prensip üzerine kuruludur. Bu prensipler yalnızca ağ katmanında değil, uygulama, veri ve kimlik katmanlarında da uygulanmalıdır.

Asla Güvenme, Her Zaman Doğrula Ağ içinden gelen istekler dahil her erişim talebi kimlik doğrulama ve yetkilendirme sürecinden geçmelidir. VPN ile iç ağa bağlanmak otomatik güven sağlamaz.
En Az Yetki Prensibi (Least Privilege) Her kullanıcı ve servis yalnızca görevini yerine getirmek için gereken minimum erişime sahip olmalıdır. Geniş yetkiler saldırı yüzeyini artırır.
İhlal Varsayımı (Assume Breach) Ağınızın zaten ele geçirilmiş olabileceğini varsayın. Mikro-segmentasyon ile yanal hareketi sınırlayın, tüm trafiği şifreleyin ve anomali tespiti yapın.

Mikro-Segmentasyon ile Yanal Hareket Engelleme

Geleneksel flat ağlarda bir sunucu ele geçirildiğinde saldırgan aynı ağdaki tüm sunuculara erişebilir. Mikro-segmentasyon her iş yükünü kendi güvenlik sınırı içine alır. Servisler arası iletişim yalnızca açıkça tanımlanmış politikalarla mümkündür.

network-policy.yaml

# Kubernetes NetworkPolicy - yalnizca frontend'den backend'e izin ver
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: backend-allow-frontend
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: backend
  policyTypes:
    - Ingress
  ingress:
    - from:
        - podSelector:
            matchLabels:
              app: frontend
      ports:
        - port: 3000
          protocol: TCP

Kimlik Tabanlı Erişim Kontrolü

Zero Trust'ta erişim kararları IP adresine değil, kimliğe dayanır. Kullanıcılar, servisler ve cihazlar benzersiz kimliklerle tanımlanır. Her erişim isteğinde kimlik, cihaz durumu, konum ve risk skoru değerlendirilir.

Sinyal	Geleneksel	Zero Trust
Kimlik Doğrulama	VPN + kullanıcı adı/şifre	MFA + SSO + cihaz sertifikası
Yetkilendirme	Ağ segmentine göre	Kimlik + bağlam + risk skoru
Doğrulama Sıklığı	Oturum başında bir kez	Sürekli (her istek)
Şifreleme	Yalnızca dış trafik	Tüm trafik (east-west dahil)

💡 İpucu: Zero Trust geçişi büyük bir proje olabilir. Tüm altyapıyı bir anda dönüştürmeye çalışmak yerine, en kritik varlıklardan (veritabanları, admin panelleri) başlayarak aşamalı geçiş yapın. Her aşamada mevcut erişim loglarını analiz ederek gereksiz yetkileri kaldırın.

Bulut Ortamında Zero Trust Uygulama Adımları

zero-trust-checklist.txt

ADIM 1: Varlik Envanteri
  - Tum sunucu, servis ve veri akislarini haritalandir
  - Kritik varliklari (DB, admin, secrets) belirle

ADIM 2: Kimlik Altyapisi
  - Merkezi IdP (Identity Provider) kur
  - Tum kullanici ve servisler icin MFA zorunlu yap
  - Service mesh icin mTLS (mutual TLS) etkinlestir

ADIM 3: Mikro-Segmentasyon
  - VPC subnet'lerini is yukune gore ayir
  - Kubernetes NetworkPolicy ile pod-seviyesi izolasyon
  - Varsayilan deny-all, yalnizca gerekli trafige izin ver

ADIM 4: Surekli Izleme
  - Tum erisim loglarini merkezi SIEM'e gonder
  - Anomali tespiti icin baseline olustur
  - Otomatik yanit (SOAR) kurallari tanimla

Zero Trust mimarisinin ağ katmanı için VPC izolasyon rehberimizi, sunucu seviyesinde güvenlik için Sunucu Hardening Checklist yazımızı inceleyin. Secrets yönetimi için Hashicorp Vault rehberimize göz atın. Hosted Cloud bulut sunucuları ile güvenli altyapınızı oluşturun.

Sıkça Sorulan Sorular

Zero Trust VPN'in yerini mi alır?

Tam olarak değil, ancak VPN'in rolünü değiştirir. Zero Trust'ta VPN yalnızca şifreli tünel sağlar; erişim kararları VPN bağlantısına değil, kimlik ve bağlam bilgisine dayanır. ZTNA (Zero Trust Network Access) çözümleri VPN'e modern bir alternatif sunar.

Küçük ekipler için Zero Trust gerekli mi?

Evet, ölçekten bağımsız olarak temel prensipler uygulanabilir. MFA zorunluluğu, en az yetki prensibi ve ağ segmentasyonu küçük ekipler için bile düşük maliyetle uygulanabilir ve güvenliği önemli ölçüde artırır.

mTLS nedir ve neden önemlidir?

mTLS (mutual TLS), hem istemcinin hem de sunucunun birbirini sertifika ile doğruladığı çift yönlü TLS'dir. Servisler arası iletişimde kimlik sahteciliğini önler. Istio ve Linkerd gibi service mesh araçları mTLS'i otomatik yönetir.

Zero Trust performansı etkiler mi?

Her istekte kimlik doğrulama ve yetkilendirme ek latency ekler (genellikle 1-5ms). Token caching, edge-based policy enforcement ve connection pooling ile bu etkiyi minimize edebilirsiniz. Güvenlik kazanımı performans maliyetini fazlasıyla karşılar.

Zero Trust geçişi ne kadar sürer?

Tam geçiş altyapı büyüklüğüne göre 6 aydan 2 yıla kadar sürebilir. Aşamalı yaklaşım önerilir: önce kimlik altyapısı (1-2 ay), sonra kritik varlıklar için mikro-segmentasyon (2-3 ay), ardından tam kapsam.

Sonuç

Zero Trust ağ mimarisi, "güvenilir iç ağ" varsayımını ortadan kaldırarak bulut ortamlarında gerçek güvenlik sağlar. Kimlik tabanlı erişim kontrolü, mikro-segmentasyon ve sürekli doğrulama ile saldırı yüzeyinizi minimize edin. Aşamalı geçiş stratejisi ile mevcut altyapınızı bozmadan Zero Trust prensiplerini uygulayın.

Güvenli Bulut Altyapısı

Hosted Cloud ile VPC izolasyonu, güvenlik grupları ve mikro-segmentasyon destekli altyapınızı kurun.

Güvenli Sunucu Planlarını İncele →