Sistem ve Bulut Güvenliği Nedir? Kurumsal Altyapılar Nasıl Korunur?

Bir kurumun bilgi sistemleri yalnızca birkaç sunucu ve güvenlik cihazından oluşmaz.

Modern yapılarda;

Windows ve Linux sunucular,

Active Directory,

Microsoft 365,

AWS,

Microsoft Azure,

Google Cloud,

veritabanları,

container platformları,

Kubernetes kümeleri,

yedekleme sistemleri,

VPN ve uzak erişim altyapıları

aynı ekosistemin parçaları olabilir.

Bu nedenle günümüzde sistem güvenliği ile bulut güvenliği birbirinden tamamen ayrı iki konu olarak ele alınamaz.

Bir sunucu yanlış yapılandırılmış olabilir.

Bir cloud storage bucket internete açık olabilir.

Bir Active Directory hesabı gereğinden fazla yetkiye sahip olabilir.

Bir API key kod deposunda açık halde bulunabilir.

Bir backup sunucusu ransomware saldırganı tarafından erişilebilir olabilir.

Bu örneklerin tamamı farklı teknik alanlarda görünse de ortak bir probleme işaret eder:

Kurumsal altyapının güvenli şekilde yapılandırılması, izlenmesi ve sürekli doğrulanması gerekir.

Bu nedenle Sistem ve Bulut Güvenliği, kurumların on-premise ve cloud altyapılarındaki sunucuları, kimlikleri, ağları, uygulama bileşenlerini ve verileri siber tehditlere karşı korumayı amaçlayan bütünsel güvenlik yaklaşımıdır.

Ancak güçlü bir sistem ve cloud security programının amacı yalnızca güvenlik açığı bulmak değildir.

Asıl hedef:

Saldırı yüzeyini küçültmek, gereksiz yetkileri azaltmak, yanlış yapılandırmaları tespit etmek, kritik aktiviteleri izlemek ve güvenlik kontrollerinin gerçekten çalıştığını doğrulamaktır.

Sistem Güvenliği Nedir?

Sistem Güvenliği – System Security, işletim sistemleri, sunucular, kullanıcı hesapları, servisler, dosya sistemleri, ağ bağlantıları ve yönetim arayüzlerinin yetkisiz erişim ve saldırılara karşı korunmasını ifade eder.

Sistem güvenliği kapsamında;

• Windows Server güvenliği,
• Linux Server güvenliği,
• Active Directory güvenliği,
• privileged account yönetimi,
• patch management,
• configuration hardening,
• endpoint protection,
• logging ve monitoring

gibi konular değerlendirilebilir.

Bir sunucunun internete açık olmaması onu otomatik olarak güvenli hale getirmez.

Çünkü tehdit yalnızca dışarıdan gelmeyebilir.

Ele geçirilmiş bir kullanıcı hesabı,

iç ağdaki saldırgan,

zararlı yazılım,

hatalı yetkilendirme

da sistem güvenliği açısından risk oluşturabilir.

Bu nedenle kurumsal sistem güvenliği Defense in Depth – Katmanlı Savunma yaklaşımıyla ele alınmalıdır.

Bulut Güvenliği Nedir?

Cloud Security – Bulut Güvenliği, cloud ortamlarında çalışan uygulamaların, verilerin, kimliklerin, ağların ve servislerin güvenli şekilde korunmasına yönelik kontrol ve süreçlerin bütünüdür.

Bulut güvenliği denildiğinde genellikle;

AWS Security,

Microsoft Azure Security,

Google Cloud Security,

Microsoft 365 Security,

Cloud IAM,

Cloud Network Security,

Cloud Workload Protection,

Cloud Security Posture Management

gibi kavramlar gündeme gelir.

Ancak cloud security yalnızca cloud provider'ın güvenlik hizmetlerini aktif etmekten ibaret değildir.

En kritik konu konfigürasyon ve kimlik yönetimidir.

Çünkü birçok cloud güvenlik olayı doğrudan yazılım açığından değil;

yanlış IAM policy,

açık storage,

hatalı security group,

public service exposure,

gereğinden fazla privilege

gibi sorunlardan kaynaklanabilir.

Sistem Güvenliği ile Bulut Güvenliği Arasındaki Fark Nedir?

Geleneksel sistem güvenliğinde kurum genellikle altyapının büyük bölümünü kendisi yönetir.

Örneğin;

fiziksel sunucu,

hypervisor,

işletim sistemi,

network,

firewall

kurumun sorumluluğunda olabilir.

Cloud ortamında ise sorumluluk cloud provider ile müşteri arasında paylaşılır.

Bu modele:

Shared Responsibility Model – Paylaşılan Sorumluluk Modeli

denir.

Cloud provider fiziksel data center ve belirli altyapı katmanlarını koruyabilir.

Ancak müşterinin;

kullanıcıları,

IAM yetkileri,

uygulama ayarları,

verileri,

security group'ları,

cloud workload'ları

üzerinde sorumluluğu devam eder.

Bu nedenle:

“Cloud provider güvenli, dolayısıyla biz de güvenliyiz.”

yaklaşımı doğru değildir.

Shared Responsibility Model Nedir?

Shared Responsibility Model, cloud provider ile müşteri arasındaki güvenlik sorumluluklarının nasıl bölündüğünü ifade eder.

Genel yaklaşım şu şekilde düşünülebilir:

Cloud Provider

Fiziksel data center,

donanım,

temel cloud altyapısı,

hypervisor veya bazı managed servis katmanları.

Müşteri

Kimlik,

erişim yetkileri,

uygulama,

veri,

konfigürasyon,

iş yükü güvenliği.

Ancak sorumluluk seviyesi kullanılan servis modeline göre değişebilir.

IaaS,

PaaS,

SaaS

modellerinin her birinde farklı sorumluluk dağılımı bulunur.

IaaS Güvenliği Nedir?

Infrastructure as a Service – IaaS, sanal sunucu, network ve depolama gibi altyapı kaynaklarının cloud üzerinden sağlandığı modeldir.

Bu yapıda kurum çoğu zaman;

işletim sistemi,

patch,

uygulama,

firewall rule,

IAM,

veri

güvenliğinden sorumludur.

Örneğin Azure Virtual Machine veya AWS EC2 üzerinde çalışan Windows Server'ın hardening işlemi çoğunlukla müşterinin sorumluluğundadır.

Cloud provider yalnızca altyapıyı sağlamış olabilir.

PaaS Güvenliği Nedir?

Platform as a Service – PaaS, işletim sistemi gibi bazı altyapı katmanlarının cloud provider tarafından yönetildiği servis modelidir.

Örneğin managed database veya application platformları bu kategoriye yaklaşabilir.

Kurum yine;

erişim yetkileri,

uygulama güvenliği,

veri koruma,

IAM,

konfigürasyon

konularında sorumluluk taşır.

PaaS kullanmak güvenlik sorumluluğunu ortadan kaldırmaz.

Sadece bazı altyapı görevlerini provider'a devreder.

SaaS Güvenliği Nedir?

Software as a Service – SaaS, uygulamanın doğrudan hizmet olarak kullanıldığı modeldir.

Microsoft 365 gibi platformlar buna örnek olarak düşünülebilir.

Bu yapıda müşterinin;

identity,

MFA,

Conditional Access,

data sharing,

mail security,

user permissions

gibi konulardaki sorumluluğu devam eder.

Dolayısıyla SaaS:

“Hiçbir güvenlik yapılandırması yapmamıza gerek yok.”

anlamına gelmez.

Sistem Güvenliğinin Temel Bileşenleri Nelerdir?

Kurumsal sistem güvenliği birkaç ana alan üzerinden ele alınabilir:

Configuration Hardening

Gereksiz servis ve ayarların kapatılması.

Patch Management

Güvenlik güncellemelerinin uygulanması.

Identity & Access Management

Kullanıcı ve yetki yönetimi.

Endpoint Protection

EDR/XDR ve zararlı yazılım koruması.

Network Security

Firewall, segmentation ve erişim kontrolü.

Logging & Monitoring

Sistem aktivitelerinin izlenmesi.

Backup & Recovery

Verinin güvenli ve geri döndürülebilir şekilde korunması.

Bu alanlardan herhangi biri zayıf olduğunda saldırgan için yeni bir giriş veya ilerleme yolu oluşabilir.

Hardening Nedir?

Hardening – Güvenlik Sıkılaştırması, sistem üzerindeki gereksiz saldırı yüzeyinin azaltılması amacıyla güvenlik yapılandırmalarının uygulanmasıdır.

Örneğin;

gereksiz servislerin kapatılması,

varsayılan hesapların devre dışı bırakılması,

güvenli protokollerin kullanılması,

firewall kurallarının sınırlandırılması,

parola politikalarının güçlendirilmesi

hardening kapsamına girebilir.

Ama hardening bir kerelik işlem değildir.

Yeni uygulamalar,

güncellemeler,

iş ihtiyaçları

zaman içerisinde konfigürasyonu değiştirebilir.

Bu nedenle hardening düzenli olarak doğrulanmalıdır.

CIS Benchmark Nedir?

CIS Benchmarks, farklı işletim sistemleri, cloud platformları ve uygulamalar için güvenli yapılandırma önerileri sağlayan yaygın referans setlerinden biridir.

Örneğin;

Windows Server,

Linux,

AWS,

Azure,

Google Cloud,

Kubernetes

için farklı benchmark'lar bulunabilir.

Kurumlar CIS Benchmark'ları hardening çalışmalarında referans olarak kullanabilir.

Ancak her kontrol körü körüne uygulanmamalıdır.

İş gereksinimleri ve operasyonel ihtiyaçlar dikkate alınmalıdır.

Security Baseline Nedir?

Security Baseline, kurumun belirli sistem tipleri için minimum güvenlik yapılandırmasını tanımlar.

Örneğin bir Windows Server baseline içerisinde;

password policy,

audit policy,

firewall settings,

RDP settings,

service configuration

bulunabilir.

Bu yaklaşım yeni sunucuların farklı kişiler tarafından farklı güvenlik seviyelerinde kurulmasını engeller.

Standardizasyon sağlar.

Configuration Drift Nedir?

Bir sistem ilk kurulduğunda güvenli olabilir.

Ancak zaman içerisinde yapılan değişiklikler güvenlik seviyesini bozabilir.

Bu duruma Configuration Drift denir.

Örneğin;

geçici açılan firewall rule unutulur,

debug servisi açık kalır,

kullanıcıya geçici admin yetkisi verilir,

eski protokol tekrar aktif edilir.

Bu nedenle güvenli baseline ile mevcut konfigürasyon düzenli olarak karşılaştırılmalıdır.

Patch Management Nedir?

Patch Management, işletim sistemi, uygulama ve diğer yazılımlardaki güncellemelerin kontrollü şekilde yönetilmesidir.

Amaç bilinen güvenlik açıklarının saldırgan tarafından kullanılmasını önlemektir.

Patch süreci genellikle;

asset inventory,

vulnerability assessment,

risk prioritization,

test,

deployment,

verification

aşamalarını içerir.

Ancak bütün patch'ler aynı öncelikte değildir.

Kritik ve aktif olarak exploit edilen açıklar daha hızlı ele alınmalıdır.

Vulnerability Management ile Patch Management Aynı Şey midir?

Hayır.

Patch Management güncellemelerin uygulanmasına odaklanır.

Vulnerability Management ise çok daha geniştir.

Bir güvenlik açığının;

tespit edilmesi,

riskinin değerlendirilmesi,

önceliklendirilmesi,

düzeltilmesi,

yeniden test edilmesi

sürecini kapsar.

Bazı açıklar patch ile çözülmeyebilir.

Konfigürasyon değişikliği veya network kontrolü gerekebilir.

Risk-Based Vulnerability Management Nedir?

Risk-Based Vulnerability Management – RBVM, tüm güvenlik açıklarını aynı öncelikte ele almak yerine gerçek saldırı riskine göre önceliklendirme yaklaşımıdır.

Örneğin şu faktörler birlikte değerlendirilebilir:

CVSS,

exploit availability,

internet exposure,

asset criticality,

threat intelligence.

Bu sayede güvenlik ekipleri binlerce düşük değerli bulgu yerine gerçekten kritik risklere odaklanabilir.

Active Directory Sistem Güvenliği İçin Neden Kritiktir?

Active Directory birçok kurumda kimlik yönetiminin merkezidir.

Kullanıcılar,

gruplar,

bilgisayarlar,

servis hesapları,

GPO'lar

AD üzerinden yönetilebilir.

Bu nedenle Active Directory'nin ele geçirilmesi geniş çaplı sistem erişimi sağlayabilir.

AD güvenliği yalnızca Domain Admin parolasından ibaret değildir.

ACL,

delegation,

service account,

group membership,

attack path

gibi ilişkiler de önemlidir.

Identity Artık Yeni Güvenlik Çevresi midir?

Modern güvenlik yaklaşımında sıklıkla:

Identity is the new perimeter

ifadesi kullanılır.

Bunun nedeni çalışanların artık yalnızca şirket network'ünden çalışmamasıdır.

Kullanıcı;

ofisten,

evden,

mobil cihazdan,

cloud uygulamasından

aynı kimlikle erişim sağlayabilir.

Bu nedenle identity security hem sistem hem cloud güvenliğinin merkezine yerleşmiştir.

IAM Nedir?

Identity and Access Management – IAM, kullanıcıların ve servislerin hangi kaynaklara hangi yetkilerle erişebileceğini yönetir.

IAM güvenliğinde temel prensiplerden biri:

Least Privilege – Minimum Yetki

yaklaşımıdır.

Bir kullanıcı yalnızca işini yapmak için gerekli yetkilere sahip olmalıdır.

Bu yaklaşım saldırganın ele geçirilen hesap üzerinden yapabileceği işlemleri sınırlar.

Privileged Access Nedir?

Privileged Access, administrator veya yüksek yetkili hesapların erişimlerini ifade eder.

Örneğin;

Domain Admin,

Server Administrator,

Cloud Global Administrator,

Database Administrator

privileged hesaplar olabilir.

Bu hesaplar saldırgan için yüksek değerli hedeflerdir.

Bu nedenle PAM, JIT ve MFA gibi kontroller kullanılabilir.

PAM Sistem ve Bulut Güvenliğinde Neden Önemlidir?

Privileged Access Management – PAM, yüksek yetkili hesapların kontrollü şekilde yönetilmesini sağlar.

PAM sayesinde;

parola kasalama,

credential rotation,

session recording,

approval,

temporary access

gibi kontroller uygulanabilir.

Cloud ve on-premise sistemlerde privileged access güvenliği ortak risk alanıdır.

MFA Neden Yeterli Değildir?

MFA önemli güvenlik kontrolüdür.

Ancak tek başına bütün identity risklerini çözmez.

Saldırgan;

session token,

OAuth permission,

legacy authentication,

MFA fatigue

gibi farklı yolları değerlendirebilir.

Bu nedenle MFA;

Conditional Access,

Identity Monitoring,

ITDR,

PAM

ile birlikte ele alınmalıdır.

Zero Trust Nedir?

Zero Trust, bir kullanıcı veya cihazın yalnızca network içerisinde bulunduğu için güvenilir kabul edilmemesi yaklaşımıdır.

Temel prensip:

Never Trust, Always Verify.

Her erişim;

identity,

device,

location,

risk,

resource sensitivity

üzerinden değerlendirilir.

Zero Trust hem cloud hem kurumsal sistem güvenliği açısından önemli bir mimari yaklaşımdır.

Network Segmentation Neden Önemlidir?

Bir saldırgan tek bir sistemi ele geçirdiğinde bütün network'e erişememelidir.

Bu nedenle;

user network,

server network,

management network,

database network,

backup network

gibi farklı alanlar ayrıştırılabilir.

Network Segmentation saldırganın Lateral Movement – Yanal Hareket kabiliyetini azaltır.

Ancak yalnızca VLAN oluşturmak yeterli değildir.

Segmentler arasındaki erişim kuralları da minimum seviyede tutulmalıdır.

Mikro Segmentasyon Nedir?

Microsegmentation, ağ erişimini daha detaylı ve workload seviyesinde sınırlandırmayı amaçlayan yaklaşımdır.

Örneğin aynı server VLAN içerisinde bulunan iki uygulama sunucusunun doğrudan iletişim kurmasına gerek olmayabilir.

Microsegmentation bu gereksiz erişimi kapatabilir.

Özellikle cloud ve data center ortamlarında önemli hale gelmiştir.

Cloud Network Security Nedir?

Cloud network güvenliği;

VPC,

VNet,

subnet,

security group,

network ACL,

cloud firewall,

private endpoint

gibi bileşenlerin doğru yapılandırılmasını kapsar.

En önemli prensiplerden biri gereksiz public exposure'ı azaltmaktır.

Örneğin database'in doğrudan internetten erişilebilir olması çoğu mimaride gerekli değildir.

Security Group Nedir?

AWS ve benzeri cloud platformlarında Security Group, workload'lara hangi trafiğin ulaşabileceğini belirleyen network güvenlik mekanizmalarından biridir.

Yanlış yapılandırılmış bir security group;

SSH,

RDP,

database portu

gibi kritik servisleri internete açabilir.

Bu durum Cloud Misconfiguration risklerinin en bilinen örneklerinden biridir.

“0.0.0.0/0” Neden Riskli Olabilir?

Bu ifade IPv4 tarafında tüm interneti temsil edebilir.

Örneğin yönetim portunun:

0.0.0.0/0

kaynağına açık olması internet üzerindeki herkesin bu porta erişebilmesine neden olabilir.

Ancak public web server'ın 443 portunun tüm internete açık olması normaldir.

Bu nedenle tek başına geniş erişim “açık” değildir.

Servisin amacıyla birlikte değerlendirilmelidir.

Public Cloud Storage Neden Risklidir?

Cloud storage servisleri hassas dosyalar barındırabilir.

Yanlış access policy nedeniyle veriler internete açık hale gelebilir.

Örneğin;

backup,

müşteri verisi,

log,

doküman,

kaynak kod

yanlışlıkla public olabilir.

Bu nedenle Cloud Security Posture Management süreçleri public storage exposure'larını sürekli kontrol etmelidir.

Cloud Misconfiguration Nedir?

Cloud Misconfiguration, cloud servisin güvenli olmayan veya beklenmeyen şekilde yapılandırılmasıdır.

Örnekler;

public storage,

gereğinden geniş IAM role,

public database,

açık management port,

logging kapalı olması,

şifreleme eksikliği

olabilir.

Cloud güvenliğinde en kritik risk alanlarından biridir.

Çünkü infrastructure sürekli değişir.

Infrastructure as Code Güvenliği Neden Önemlidir?

Modern cloud altyapıları Terraform veya benzeri Infrastructure as Code araçlarıyla oluşturulabilir.

Bu büyük otomasyon avantajı sağlar.

Ancak yanlış güvenlik kuralı kod içerisine yazılırsa yüzlerce kaynağa aynı anda uygulanabilir.

Bu nedenle IaC dosyalarının deploy edilmeden önce security scanning'den geçirilmesi önemlidir.

Shift Left Cloud Security Nedir?

Shift Left, güvenlik kontrollerinin production sonrasında değil geliştirme ve deployment sürecinin erken aşamalarına taşınmasıdır.

Örneğin Terraform kodu CI/CD içerisinde taranabilir.

Yanlış security group production'a çıkmadan tespit edilir.

Bu yaklaşım DevSecOps'un temel prensiplerinden biridir.

CSPM Nedir?

Cloud Security Posture Management – CSPM, cloud ortamlarındaki yanlış konfigürasyonları ve uyum problemlerini sürekli analiz eden güvenlik yaklaşımıdır.

Örneğin CSPM;

public storage,

open security group,

encryption eksikliği,

logging problemi,

IAM riskleri

tespit edebilir.

Bu nedenle cloud güvenliğinde görünürlük için önemli bir araç kategorisidir.

CWPP Nedir?

Cloud Workload Protection Platform – CWPP, cloud üzerinde çalışan workload'ların güvenliğine odaklanır.

Örneğin;

virtual machine,

container,

serverless workload

üzerindeki güvenlik risklerini izleyebilir.

CSPM daha çok cloud posture ve konfigürasyona odaklanırken CWPP çalışan iş yüklerine odaklanır.

CNAPP Nedir?

Cloud-Native Application Protection Platform – CNAPP, CSPM, CWPP ve farklı cloud güvenlik yeteneklerini tek platform altında birleştirmeye çalışan modern güvenlik yaklaşımıdır.

CNAPP;

cloud posture,

workload,

identity,

container,

IaC

risklerini birlikte değerlendirebilir.

Ama platform satın almak tek başına cloud security programı kurmak anlamına gelmez.

Kurumsal süreç ve uzmanlık yine gereklidir.

Container Security Nedir?

Container güvenliği Docker ve benzeri container teknolojilerinin güvenli kullanımını kapsar.

Riskler;

zafiyetli image,

root container,

exposed secret,

unsafe capability,

yanlış network policy

olabilir.

Container'ların kısa ömürlü olması güvenlik ihtiyacını azaltmaz.

Tam tersine otomasyon gereksinimini artırır.

Kubernetes Security Neden Önemlidir?

Kubernetes modern cloud-native uygulamaların önemli orchestration platformlarından biridir.

Ancak karmaşık yetki ve network yapıları oluşturabilir.

Güvenlik açısından;

RBAC,

Secrets,

Network Policies,

Pod Security,

Ingress,

API Server

kritik alanlardır.

Yanlış Kubernetes yapılandırmaları ciddi cloud güvenliği riskleri oluşturabilir.

Secret Management Nedir?

Uygulamaların;

database password,

API key,

certificate,

token

gibi hassas bilgilere ihtiyacı olabilir.

Bu bilgiler source code içerisine düz metin olarak yazılmamalıdır.

Secret Management, bu bilgilerin güvenli şekilde saklanması ve dağıtılmasıdır.

Cloud ortamlarında managed secret vault servisleri kullanılabilir.

Hardcoded Secret Neden Risklidir?

Kod içerisinde açık şekilde bulunan parola veya API key;

Git repository,

developer laptop,

CI/CD log

üzerinden sızabilir.

Bu nedenle secret scanning DevSecOps süreçlerine dahil edilmelidir.

Ayrıca açığa çıkan secret yalnızca silinmemeli, rotate edilmelidir.

Encryption at Rest ve Encryption in Transit Nedir?

Encryption at Rest

Verinin disk veya storage üzerinde şifreli tutulmasıdır.

Encryption in Transit

Verinin network üzerinde taşınırken şifrelenmesidir.

İki kontrol birbirinin alternatifi değildir.

Modern sistem ve cloud güvenliğinde her ikisi de değerlendirilmelidir.

Key Management Neden Kritiktir?

Veri şifrelenmiş olabilir.

Ama encryption key güvenli değilse koruma zayıflar.

Bu nedenle;

KMS,

HSM,

key rotation,

access control

gibi mekanizmalar önemlidir.

Cloud ortamlarında provider'ın managed key servisleri kullanılabilir.

Logging Neden Güvenlik Kontrolüdür?

Bir saldırıyı engellemek kadar tespit edebilmek de önemlidir.

Bu nedenle sistem ve cloud ortamlarında;

authentication logs,

admin activity,

configuration changes,

network logs,

application logs

toplanmalıdır.

Ancak sadece log üretmek yeterli değildir.

Merkezi olarak analiz edilmelidir.

SIEM Sistem ve Bulut Güvenliğinde Ne İşe Yarar?

Security Information and Event Management – SIEM, farklı sistemlerden gelen logları merkezi olarak toplar ve korele eder.

Örneğin;

Windows Server,

Linux,

Active Directory,

Cloud IAM,

WAF,

Firewall

olayları tek platformda analiz edilebilir.

Bu sayede saldırı zinciri daha görünür hale gelir.

Cloud Audit Logs Neden Önemlidir?

Cloud ortamlarında yönetim işlemleri çoğu zaman API üzerinden gerçekleştirilir.

Bu nedenle audit loglar;

kim hangi kaynağı oluşturdu,

hangi IAM policy değişti,

hangi security group açıldı,

hangi storage erişimi değişti

gibi kritik bilgileri sağlayabilir.

Cloud Incident Response için en önemli veri kaynaklarından biridir.

EDR Cloud Sunucularda Kullanılmalı mı?

Bir virtual machine cloud üzerinde çalışıyor diye endpoint güvenliği ihtiyacı ortadan kalkmaz.

Cloud VM üzerinde de;

malware,

credential theft,

web shell,

ransomware

riski olabilir.

Bu nedenle uygun ortamlarda EDR/XDR değerlendirilmelidir.

Ancak container ve serverless mimarilerde farklı workload protection yaklaşımları gerekebilir.

ITDR Nedir?

Identity Threat Detection and Response – ITDR, kimlik altyapılarındaki saldırgan davranışlarını tespit etmeye odaklanır.

Örneğin;

anormal privileged login,

beklenmeyen role assignment,

Active Directory değişikliği,

cloud identity abuse

tespit edilebilir.

Identity'nin merkezileşmesi ITDR'yi sistem ve cloud güvenliğinin önemli bileşenlerinden biri haline getirmiştir.

Backup Güvenliği Sistem Güvenliğinin Parçası mıdır?

Kesinlikle.

Ransomware saldırılarında backup sistemleri özellikle hedef alınabilir.

Saldırgan backup'ı silebilirse kurumun recovery kapasitesi ciddi şekilde zarar görür.

Bu nedenle backup;

production network'ten ayrıştırılmalı,

yüksek yetkili erişim sınırlandırılmalı,

immutable backup gibi yöntemler değerlendirilmeli,

restore testleri yapılmalıdır.

Immutable Backup Nedir?

Immutable Backup, belirli süre boyunca değiştirilemeyen veya silinemeyen yedekleme yaklaşımıdır.

Ransomware saldırganının backup dosyalarını silmesini zorlaştırabilir.

Ancak immutable backup tek başına bütün backup security problemlerini çözmez.

Access control ve recovery testleri de önemlidir.

Disaster Recovery Nedir?

Disaster Recovery – DR, büyük kesinti veya siber olay sonrasında sistemlerin geri döndürülmesine yönelik plan ve teknolojileri kapsar.

DR sadece doğal afetler için değildir.

Ransomware,

cloud outage,

kritik sistem kompromizasyonu

da DR senaryosu olabilir.

Bu nedenle sistem güvenliği ve siber dayanıklılık arasında doğrudan ilişki vardır.

RTO ve RPO Nedir?

Recovery Time Objective – RTO

Sistemin ne kadar sürede geri dönmesi gerektiğini belirtir.

Recovery Point Objective – RPO

Kabul edilebilir veri kaybı miktarını ifade eder.

Bu değerler teknik ekip tarafından tek başına belirlenmemelidir.

İş birimleriyle birlikte tanımlanmalıdır.

Sistem ve Bulut Güvenliğinde Monitoring Neleri Kapsamalıdır?

Modern monitoring yalnızca CPU ve RAM takibi değildir.

Güvenlik açısından;

başarısız login,

privileged access,

network change,

IAM change,

security group change,

new public asset,

secret exposure,

backup deletion

gibi olaylar da izlenmelidir.

Bu yaklaşım operasyonel monitoring ile security monitoring'i birleştirir.

Observability ile Security Monitoring Arasındaki İlişki

Observability;

logs,

metrics,

traces

üzerinden sistem davranışını anlamayı sağlar.

Security ekipleri de bu telemetry'den yararlanabilir.

Örneğin beklenmeyen API error artışı yalnızca performans problemi olmayabilir.

Bir saldırının göstergesi olabilir.

Bu nedenle modern cloud security ile observability giderek daha fazla iç içe geçmektedir.

Asset Inventory Neden İlk Adımdır?

Koruyamadığınız sistemi önce bilmeniz gerekir.

Bu nedenle sistem ve bulut güvenliğinin en temel bileşenlerinden biri Asset Inventory'dir.

Kurum şunları bilmelidir:

Kaç Windows sunucu var?

Kaç Linux sunucu var?

Hangi cloud account'lar kullanılıyor?

Kaç public IP var?

Hangi database'ler kritik?

Kaç Kubernetes cluster var?

Shadow cloud var mı?

Bu görünürlük olmadan risk yönetimi eksik kalır.

Shadow IT ve Shadow Cloud Nedir?

Çalışanlar veya ekipler merkezi IT bilgisi dışında SaaS veya cloud servisleri kullanabilir.

Bu durum Shadow IT veya Shadow Cloud olarak adlandırılabilir.

Örneğin proje ekibi kredi kartıyla ayrı bir cloud account açmış olabilir.

Güvenlik ekibi bu ortamı bilmiyorsa monitoring ve security policy uygulanamaz.

Bu nedenle cloud asset discovery önemlidir.

Attack Surface Management Nedir?

Attack Surface Management – ASM, kurumun saldırgan tarafından görülebilen varlıklarını sürekli keşfetmeye ve risklerini değerlendirmeye çalışır.

Örneğin;

public IP,

domain,

subdomain,

cloud service,

internet-facing application

tespit edilebilir.

Bu yaklaşım sistem ve cloud güvenliğinin dış görünürlük tarafını güçlendirir.

External Attack Surface Management Nedir?

EASM, özellikle internet üzerinden görülen varlıklara odaklanır.

Örneğin unutulmuş test sunucusu veya eski cloud IP adresi tespit edilebilir.

Bu tür “unutulmuş varlıklar” saldırganlar için değerli giriş noktaları olabilir.

Sistem ve Bulut Güvenliği Sadece Güvenlik Ürünleriyle Sağlanabilir mi?

Hayır.

Bir kurum;

EDR,

SIEM,

CSPM,

CNAPP,

PAM

kullanabilir.

Ancak yanlış süreçler varsa risk devam eder.

Örneğin;

joiner-mover-leaver süreci çalışmıyorsa eski çalışan hesabı açık kalabilir.

Cloud admin yetkileri gözden geçirilmiyorsa privilege creep oluşabilir.

Bu nedenle teknoloji, süreç ve insan birlikte düşünülmelidir.

Security Validation Nedir?

Security Validation, güvenlik kontrollerinin gerçekten beklendiği gibi çalışıp çalışmadığının test edilmesidir.

Örneğin;

hardening kontrolü,

cloud configuration assessment,

penetration test,

Red Team,

Purple Team,

restore test

bu yaklaşımın farklı parçaları olabilir.

Amaç:

“Kontrolümüz var.”

demek değil,

“Kontrolümüzün çalıştığını doğruladık.”

diyebilmektir.

Sistem Güvenlik Değerlendirmesi Nasıl Yapılır?

Profesyonel sistem güvenlik değerlendirmesi şu alanları kapsayabilir:

Asset Inventory

Varlıkların belirlenmesi.

Configuration Review

Güvenlik yapılandırmaları.

Hardening Assessment

CIS veya kurum baseline'ı.

Vulnerability Assessment

Bilinen zafiyetler.

Identity Review

Kullanıcı ve yetkiler.

Network Review

Erişim yolları.

Logging Review

Görünürlük seviyesi.

Backup & Recovery

Dayanıklılık.

Bu çalışma yalnızca vulnerability scanning'den daha geniştir.

Cloud Security Assessment Nasıl Yapılır?

Cloud Security Assessment sırasında;

cloud account yapısı,

IAM,

network,

storage,

logging,

encryption,

workload,

container,

backup,

security services

değerlendirilebilir.

Amaç yalnızca yanlış konfigürasyon bulmak değildir.

Gerçek saldırı yollarını anlamaktır.

Örneğin düşük yetkili cloud identity'nin kritik storage'a ulaşabileceği bir permission chain bulunabilir.

Cloud Attack Path Nedir?

Cloud ortamlarında da kullanıcılar, role'ler, workload'lar ve servisler arasında yetki ilişkileri bulunur.

Saldırgan düşük yetkili bir identity ile başlayıp başka permission'lar üzerinden daha kritik kaynaklara ulaşabilir.

Bu nedenle Cloud Attack Path Analysis giderek önem kazanmaktadır.

On-premise Active Directory'deki attack path mantığı cloud IAM için de geçerlidir.

Hybrid Identity Neden Kritik?

Birçok kurum tamamen cloud veya tamamen on-premise değildir.

Active Directory ile Microsoft Entra ID birlikte kullanılabilir.

Bu modele Hybrid Identity denir.

Burada bir taraftaki kimlik riski diğer tarafı etkileyebilir.

Bu nedenle on-prem AD ve cloud identity ayrı ayrı değil, birlikte değerlendirilmelidir.

Sistem ve Bulut Güvenliğinde En Büyük Hata Nedir?

En büyük hatalardan biri güvenliği yalnızca vulnerability taraması olarak görmektir.

Bir sistemde kritik CVE olmayabilir.

Ama;

gereğinden fazla IAM yetkisi,

açık storage,

zayıf admin hesabı,

yanlış network rule,

backup erişimi

bulunabilir.

Bu hatalar klasik vulnerability scanner tarafından her zaman yeterince görünür olmayabilir.

Bu nedenle sistem ve cloud security daha geniş bir configuration + identity + workload + monitoring yaklaşımı gerektirir.

Kurumsal Sistem ve Bulut Güvenliği İçin Temel Kontroller

Genel olarak şu katmanlar birlikte düşünülmelidir:

Asset Visibility

Neye sahip olduğunuzu bilin.

Secure Configuration

Baseline ve hardening uygulayın.

Patch & Vulnerability Management

Açıkları yönetin.

Identity Security

MFA, PAM ve Least Privilege kullanın.

Network Segmentation

Erişim yollarını sınırlandırın.

Cloud Posture Management

Yanlış cloud konfigürasyonlarını izleyin.

Workload Protection

Sunucu, container ve workload'ları koruyun.

Logging & SOC

Aktiviteleri merkezi olarak izleyin.

Backup & Recovery

Saldırı sonrası toparlanmayı hazırlayın.

Security Validation

Kontrolleri düzenli test edin.

Sistem ve Bulut Güvenliği Raporunda Neler Olmalıdır?

Profesyonel bir değerlendirme raporu yalnızca yüzlerce teknik bulgu içermemelidir.

Şu bölümler bulunabilir:

Executive Risk Summary

Yönetim için kritik riskler.

Asset & Architecture Overview

On-prem ve cloud varlıkları.

Hardening Findings

Sistem yapılandırma problemleri.

Identity Risks

IAM ve privileged access sorunları.

Cloud Misconfiguration

Yanlış cloud yapılandırmaları.

Network Exposure

Gereksiz erişim yolları.

Monitoring Gaps

SOC ve loglama eksikleri.

Backup & Recovery Risks

Siber dayanıklılık problemleri.

Attack Path Analysis

Bulguların birbirine nasıl bağlandığı.

Remediation Roadmap

Önceliklendirilmiş aksiyon planı.

Bu yaklaşım teknik raporu kurumsal risk yönetimi aracına dönüştürür.

Sistem ve Bulut Güvenliği Nasıl Ölçülür?

Tek bir güvenlik skoru yerine farklı alanlarda metrikler kullanılabilir.

Örneğin:

Hardening Compliance

Baseline'a uyum oranı.

Critical Vulnerability Exposure

Kritik açık sayısı.

Public Cloud Exposure

İnternete açık kritik kaynaklar.

Privileged Account Count

Yüksek yetkili hesap sayısı.

MFA Coverage

MFA koruması altındaki hesap oranı.

Logging Coverage

SIEM'e log gönderen kritik sistem oranı.

Backup Restore Success

Başarılı restore testleri.

Bu metrikler güvenlik programının zaman içerisindeki gelişimini ölçmeye yardımcı olur.

Sonuç: Sistem ve Bulut Güvenliği Bir Ürün Değil, Sürekli Yönetilen Bir Güvenlik Disiplinidir

Modern kurumların altyapıları giderek daha karmaşık hale geliyor.

Bir tarafta;

Windows,

Linux,

Active Directory,

database,

backup

gibi geleneksel sistemler bulunuyor.

Diğer tarafta;

AWS,

Azure,

Google Cloud,

Microsoft 365,

Kubernetes,

serverless,

SaaS

ortamları kullanılıyor.

Bu yapıların tamamını ayrı güvenlik adaları olarak yönetmek sürdürülebilir değildir.

Çünkü saldırgan teknoloji sınırlarını önemsemez.

On-premise kullanıcı hesabından cloud'a geçebilir.

Cloud credential ile SaaS sistemine erişebilir.

Yanlış yapılandırılmış sunucudan Active Directory'ye ilerleyebilir.

Ele geçirilen administrator hesabıyla backup sistemini hedefleyebilir.

Bu nedenle güçlü sistem ve bulut güvenliği şu yaklaşımı gerektirir:

Asset Visibility

↓

Hardening

↓

Identity Security

↓

Network Security

↓

Cloud Posture

↓

Workload Protection

↓

Monitoring

↓

Backup & Recovery

↓

Security Validation

Buradaki temel hedef yalnızca zafiyet sayısını azaltmak değildir.

Daha önemli soru şudur:

Bir saldırgan sistemlerinizden birine eriştiğinde ne kadar ilerleyebilir ve bunu ne kadar hızlı görebilirsiniz?

Bu nedenle modern System & Cloud Security yaklaşımı;

hardening,

Least Privilege,

Zero Trust,

CSPM,

CNAPP,

EDR/XDR,

SIEM,

PAM,

backup security

gibi farklı güvenlik katmanlarını bir araya getirir.

Ve bütün bu mimarinin başlangıç noktası çoğu zaman en temel sistemlerdir:

Windows ve Linux sunucular.

Çünkü cloud üzerinde çalışsa bile birçok kritik iş yükünün altında hâlâ bir işletim sistemi bulunur.

Yanlış yapılandırılmış bir sunucu ise saldırganın kurumsal altyapıya açılan ilk kapısı olabilir.