Sıfır Güven (Zero Trust) ve VPN Karşılaştırması: Hangisi Daha Güvenli?

İşletmelerin sanal dünyadaki güvenliği artırmak için kullandığı eski ve güncel yöntemleri karşılaştırmaya başlamadan önce, dilerseniz konuya çarpıcı birkaç veriyle giriş yapalım:

• Küresel danışmanlık şirketi PwC'nin Yıllık Küresel CEO Anketi'ne 89 ülkeden katılan 4.446 CEO'nun yaklaşık yarısı, siber riskler hakkında endişeli olduklarını dile getiriyor.
• IBM'in 2022 X-Force Threat Intelligence Index raporuna göre imalat, finans ve sigorta sektörleri en çok siber saldırıya maruz kalan sektörler arasında öne çıkıyor.
• Nesnelerin interneti (IoT) tabanlı teknolojilerin kullanımı arttıkça, güvenlik açıkları da keskin bir biçimde artıyor. 2019'un üçüncü çeyreğinden 2020'nin son çeyreğine kadar IoT kötü amaçlı yazılım aktivitelerinde %3.000 artış tespit edildiği belirtiliyor.

Yukarıdaki üç veriden, siber güvenlik risklerinin şirketlerin yönetim kurulu gündeminde olduğu, yeni teknolojilerin kullanımıyla risklerin ve kötü niyetli aktivitelerin arttığı ve bu saldırıların çoğunlukla en hayati sektörleri hedeflediği görülebiliyor. Durum böyle olunca birçok kurumsal şirket, ölçeklenebilir güvenlik çözümleri arayışına hız veriyor.

Önceki yıllarda çok sayıda işletme, uzak konumlardaki şube ya da çalışanları bir veri merkeziyle bağlamayı kolaylaştırması açısından VPN (Sanal Özel Ağ - Virtual Private Network) çözümlerini tercih ediyordu. Fakat bugün, VPN'lerin iş ağları için kırılganlık yarattığını ve dış müdahaleye uygun güvenlik açıkları meydana getirdiğini biliyoruz. Bu noktada, 2019 yılında küresel danışmanlık şirketi Gartner tarafından ortaya atılan Sıfır Güven Yaklaşımı (Zero Trust Approach) öne çıkıyor. Maksimum güvenlik, ölçeklenebilirlik ve kolay uygulanabilirlik sunan Sıfır Güven Yaklaşımı, adeta VPN'lerin yeniden icat edilmesi anlamına geliyor. Sıfır Güven Yaklaşımı’nın tam olarak ne olduğunu ve ne işe yaradığını merak edenler için konuyu derinlemesine ele almaya şimdi başlıyoruz.

Sıfır Güven (Zero Trust) Nedir?

Sıfır Güven, özellikle izin verilmedikçe hiçbir kullanıcıya ya da cihaza güvenilemeyeceği yaklaşımını esas alan bir siber güvenlik mimarisidir. Sıfır Güven yaklaşımı kullanılan bir ağda, hiçbir kullanıcı ya da cihaz, kullanıcı kimliğine, konumuna ve diğer kriterlere dayalı olarak açık izin ya da tanımlama olmadan, hassas bilgilere erişemez.

Sıfır Güven yaklaşımından hareketle geliştirilen ve uygulamalar etrafında kimlik ve bağlam tabanlı mantıksal erişim sınırları oluşturan ZTNA (Zero Trust Network Access) mimarisi, doğrulama olmadan ağa herhangi bir dış müdahalede bulunulmasını engeller. “Güven denetleyicisi ya da noktası” diyebileceğimiz bir aracı, söz konusu ağa ya da bilgiye erişimine izin vermeden önce, cihaz ya da kullanıcıların kimliğini, bağlamını ve ilke uyumlarını doğrular. Bu sayede şirketler, iş ağları üzerinde çok daha fazla kontrol elde edebilir.

Sıfır Güven’in Temel Prensipleri

Sıfır Güven yaklaşımının temel ilkelerinden biri, kesin erişim yerine kesin doğrulamadır. Bir başka deyişle ağ trafiğindeki her hareket, kimlik doğrulama sürecine tabi tutulur. Bu yaklaşım, gelişmiş kullanıcı kimliği tanıma ve karşılıklı kimlik doğrulama protokolleriyle birleştiğinde, kurumsal çevre içindeki ya da VPN aracılığıyla bağlanan tüm cihazlara otomatik olarak güvenilen geleneksel mimarilerden çok daha güvenli bir çözüm sunar.

Geleneksel bir güvenlik duvarı çözümü kullanılırken, önlemler genellikle çok geç alınır. Bu durum da kurumsal bilgi ve kaynakları saldırganlara açık hale getirir. Tüm ağ trafiğine, kullanıcı kimliğine ya da şirketin güvenlik koşullarına dayalı olarak erişim vermeden önce kimlik doğrulama gerektiren Zero Trust güvenlik çerçevesi ise bu sorunu ortadan kaldırır.

Bulut tabanlı Sıfır Güven çözümleri, her şirketin belirli iş ihtiyaçlarına kolayca uyarlanabilir. Bu yönüyle Sıfır Güven son derece ölçeklenebilir ve uygun maliyetlidir. İşinin ehli Sıfır Güven çözümü sağlayıcıları, şirketlere yetkilendirme ve erişim kontrolü politikaları üzerinde mutlak kontrol imkânı sağlayan, çeşitli cihazlardan erişilebilen, uygulama tabanlı bir platform sunar. ZTNA mimarisi, her erişim talebini onaylanmadan önce doğruladığı için ağ trafiğini sürekli izler. İzlenen trafiğe her zaman gerçek zamanlı olarak erişilebilir ve kontrol edilebilir, ilgili tüm bilgiler kullanıcı dostu bir arayüzde görülebilir. Sıfır Güven mimarisi, her erişim isteği için kullanıcı kimliği, cihaz türü, konum gibi bir dizi faktörü doğrular. Bu faktörler gerçek zamanlı olarak değiştirilebilir ve sayıları artırılabilir. Şirket ağınıza uyacak biçimde yapacağınız değişikliklerle hiçbir dış tehdidin ağınıza erişememesini mümkün kılarsınız.

Sıfır Güven Yaklaşımı’nın Faydaları

Sıfır güvene dair temel prensipleri öğrendikten sonra, birkaç maddede bu yaklaşımın pratik faydalarını inceleyelim.

Ölçeklenebilir, uygun maliyetli, bulut tabanlı: Sıfır Güven yaklaşımına dayanan Sıfır Güven Ağ Erişimi (Zero Trust Network Access | ZTNA), ağ kullanıcı ve cihaz sayısına göre kolayca ölçeklenebilen ve VPN'lerin ortaya çıkardığı güvenlik açıklarını kapatan gelişmiş bir siber güvenlik çözümü olarak öne çıkıyor. Uygun kimliğin doğrulanabilmesi koşuluyla, ZTNA'ya erişmek için dâhili şirket ağının bir parçası olmak gerekmiyor. Bu durum, ağa erişim sürecini çok daha kolay ve güvenli hale getirerek, dünyanın her yerinden şirket kaynaklarına uzaktan güvenli erişimi mümkün kılıyor.

Ayrıcalık ve yetki sınırları: ZTNA, uzak çalışanların her erişim talebinin bağlam tabanlı doğrulamasını gerçek zamanlı gerçekleştirerek, yetkisiz erişim olmadığını doğruluyor. Öte yandan yetkili kullanıcıların ve cihazların ağ içinde yapabileceklerini ve ayrıcalıklarını sınırlayarak, yalnızca görevleri için gerekli olan bilgi ve kaynaklara erişimine izin veriyor. Bu sayede kullanıcı ve cihazlar, uygun kimlik doğrulama olmadan, izin verilen dışında hiçbir şeye erişemiyor.

Mikro bölümlendirme: Ölçeklenebilir yapısıyla şirketler büyüse de güvenlik açıkları oluşturmayacak, saldırı yüzeyini en aza indirecek, çok katmanlı bir yaklaşım sunan ZTNA çözümleri, şirket ağlarını daha küçük ve odaklı bölümlere ayırarak olası güvenlik ihlallerinin kapsam ve etkisini en aza indirmeye olanak tanıyor.

Daha az bakım, daha az donanım: Güvenilir ZTNA çözümü sağlayıcılarından temin edilen bulut ZTNA çözümleri, kapsamlı donanım gerektirmiyor ve bakım ihtiyacını en aza indiriyor. Sıfır Kesinti Süresi (Zero Downtime) tekniklerini kullanarak uzaktaki çalışanların gerekli şirket kaynaklarına erişimini sürekli kılıyor.

ZTNA ve VPN Karşılaştırması

Geleneksel olarak dahili kurumsal kaynaklara erişmek için kullanılan VPN’ler, modern şirketlerin karmaşık ihtiyaçları için yeterli olmuyor. Kullanıcılara tüm ağ için erişim veren VPN’lerin şifreleme becerileri, gelişmiş saldırıları durdurmak için yeterli olmadığından, siber suçlular için de kolay erişim olanağı sağlıyor.

Öte yandan bir ağa uzaktan erişim sağlayan kullanıcıların sayısı arttıkça, VPN sunucusunda artan yük beklenmedik gecikmelere sebep olabiliyor. Artan talebi karşılamak veya kullanım süresini en üst düzeye çıkarmak için yeni kaynaklara, yeni işgücüne ihtiyaç duyuluyor. Ayrıca VPN kullanmak için uzaktan bağlanan tüm kullanıcıların cihazlarına VPN yazılımı yüklemek ve yapılandırmak gerekiyor.