Asla Güvenme, Her Zaman Doğrula: Google’da Bağlam Bazlı Erişim

Bugünün dijital dünyasında, güvenli bir çevre fikri ortadan kayboldu. Eski güvenlik modeli, “kurumsal ağın içindeyseniz güvendesiniz” artık geçerli değil. Uzaktan çalışma, mobil erişim ve sürekli gelişen siber tehditler şunu açıkça gösterdi: güven, varsayılan olarak verilecek bir şey değildir. Modern güvenlik ise Sıfır Güven ilkesine dayanır: Asla varsayılan olarak güvenme, her isteği doğrula. Ve Google’da, bu ilkeyi en güçlü şekilde destekleyen araçlardan biri Bağlamsal Erişim (Context-Aware Access, CAA)’dır.

Bu yazıda, CAA’nın ne olduğunu, hem basit hem teknik açıdan nasıl çalıştığını, Google’ın önerdiği yaklaşımları ve Sıfır Güven ile güvenlik duruşunuzu güçlendirmek için takip etmeniz gereken en iyi uygulamaları adım adım anlatacağız.

Bağlamsal Erişim (CAA) Nedir?

CAA Basitçe Nedir?

CAA’yı, sizi tanıyan ve girişinizi bağlama göre değerlendiren akıllı bir kapı görevlisi gibi düşünebilirsiniz. Sadece kim olduğunuzu kontrol etmekle kalmaz, aynı zamanda nereden ve nasıl giriş yapmaya çalıştığınıza da bakar.

• Şirket tarafından yönetilen ve en son güvenlik güncellemelerine sahip bir dizüstü bilgisayar mı kullanıyorsunuz?
• Güvenilen bir ofis ağından mı, yoksa bilinmeyen bir kahve dükkanı Wi-Fi’sinden mi bağlanıyorsunuz?
• Güçlü kimlik doğrulama ile doğrulanmış bir kimlik mi kullanıyorsunuz?

Bu sorulara verilen yanıtlar doğrultusunda erişim ya verilir, ya sınırlandırılır, ya da tamamen engellenir.

💡 Örnek: Ofisteki kurumsal dizüstü bilgisayarınızdan hassas finansal panellere erişim izni alabilirsiniz, ancak aynı şeyi kişisel tabletinizden halka açık Wi-Fi ile denerseniz, erişiminiz reddedilir.

🌟 Bağlamın güzelliği de buradadır: Erişim kararları sadece kimliğinize değil, talebin tüm bağlamına göre verilir.

Teknik Tanım

CAA, her erişim isteğinde bağlamsal kontroller uygulayarak Sıfır Güven’i hayata geçirir. Kullanıcı kimliği, cihaz güvenlik durumu, ağ ve konuma dayalı politikaları Erişim Bağlam Yöneticisi (Access Context Manager) üzerinden kolayca yönetebilirsiniz.

Temel Bileşenler

1. Erişim Seviyeleri: Güven gereksinimlerini tanımlayan tekrar kullanılabilir kurallardır (ör. güçlü kimlik doğrulama, güvenilen cihaz, onaylanmış konum).
2. Erişim Bağlamaları: Erişim seviyelerini belirli kullanıcılar veya gruplarla ilişkilendirir, OAuth token taleplerini ve hassas kaynaklara erişimi sınırlar.

Yani artık Google Cloud, API’ler veya Workspace uygulamalarına erişim herkese aynı şekilde verilmez; erişim, duruma göre dinamik olarak belirlenir.

💡 Bağlamsal Erişim hakkında daha fazla bilgi edinmek ve demo görmek için aşağıdaki videoları izleyin:

Google Workspace ve BeyondCorp Enterprise ile Pratikte Sıfır Güven

Bağlamsal Erişim (CAA), ayrıntılı politika uygulamalarını yönetirken, Google Workspace ve BeyondCorp Enterprise (BCE) Sıfır Güven’i günlük kullandığınız araçlara taşır. Böylece işbirliği, iletişim ve tarayıcı aktiviteleri sürekli olarak doğrulanır ve güvenli bir şekilde yürütülür.

Google Workspace ile Sıfır Güven

Google Workspace, Sıfır Güven’i yerleşik olarak sunar; BT yükünü azaltır ve veri kaybı veya kötüye kullanımı önler. Her erişim isteği, kullanıcı uygulamalara veya verilere ulaşmadan önce sürekli doğrulanır ve yetkilendirilir.

1. İşbirliği Uygulamaları için Bağlamsal Erişim Uygulama

Workspace, erişim vermeden önce cihaz güvenlik durumu veya coğrafi konum gibi bağlamsal faktörlere dayalı politikaları belirlemek için CAA’dan yararlanır.

• Kapsam: Workspace uygulamaları (Gmail, Meet, Takvim, Drive), Yönetici konsolu ve Gemini veya Looker Studio gibi diğer Google uygulamalarını kapsar.
• Konfigürasyon: Yöneticiler, belirli bir servis veya SAML uygulaması ve OU/grup için bir ‘kapsam’ tanımlar ve Yönetici konsolu üzerinden erişim seviyesi atar.
• Politika Önceliklendirmesi: Grup tabanlı atamalar OU tabanlı atamalardan önce uygulanır; bir kullanıcı birden fazla gruba aitse daha hassas bir kontrol sağlanır.

2. Veriyi Koruma ve Kullanıcı Davranışlarını Yönlendirme

Workspace güvenliği, yalnızca erişim kontrolüyle sınırlı kalmaz; aynı zamanda veriyi de korur:

• Yapay Zeka ile Sınıflandırma ve Etiketleme: Drive’daki hassas verileri otomatik olarak sınıflandırır ve etiketler.
• Veri Kaybı Önleme (DLP): Özel kurallar, kurumsal iç veya dış paylaşımı sınırlandırır.
• Bileşik Kontroller: DLP kuralları, bağlamsal erişim koşullarıyla birleştirilebilir. Örneğin, yönetilmeyen veya uyumsuz cihazlardan veri paylaşımını engelleyebilir.

BeyondCorp Enterprise ile Tarayıcıda Sıfır Güven

BeyondCorp, Google’ın yılların şirket içi uzmanlığı üzerine inşa edilmiş orijinal Sıfır Güven uygulamasıdır. Prensibi basittir: Ağa dayalı güven artık geçersizdir; erişim her zaman kullanıcı ve cihazla ilişkili bağlamsal sinyallere göre belirlenmelidir. BeyondCorp Enterprise (BCE), bu modeli tarayıcıya taşıyarak gelişmiş tehdit ve veri korumasını Chrome’a entegre eder.

Workspace Kullanıcıları için Temel Özellikler

• Geliştirilmiş Chrome Güvenliği: Web tabanlı tehditlere karşı korumayı güçlendirir.
• Chrome’da DLP: DLP kurallarını tarayıcıya genişleterek hassas içerik yönetimini sağlar.
• Tehdit ve Veri Koruma Kullanım Alanları:
  • Dosya transferlerini ve riskli aktiviteleri izleyerek yasal uyuma dair riskleri gözlemler.
  • Güvensiz URL’leri veya uyumsuz sitelerden indirmeleri engeller.
  • Chrome’da hassas veri paylaşımı için uyarı gösterir veya engeller.
  • Google Drive’a yüklenen kötü amaçlı yazılım veya fidye yazılımını tespit eder.
• DLP ve CAA Birlikte: Bağlamsal erişim ile DLP’yi birleştirir. Örneğin, belirli bölgelerden Drive’a yükleme yapılmasını engelleyebilir.
• Raporlama: Panolar ve denetim kayıtları, Chrome tehditleri, veri koruma önlemleri ve yüksek riskli kullanıcılar hakkında derin görünürlük sağlar.

Uygulama basittir: Chrome Browser Cloud Management’i etkinleştirin, Yönetici konsolunda BeyondCorp Enterprise’i aktive edin ve politika uygulaması için gereken bağlayıcıları yapılandırın.

Farklı Bağlamsal Erişim Yaklaşımları

Tüm uygulamalar aynı değildir ve Google bunu kabul eder. CAA stratejisi, güvenliği sağlanacak kaynağın türüne göre farklılık gösterir:

CAA’yı Devreye Almak için En İyi Uygulamalar

Strateji burada kritik öneme sahiptir. Kötü tasarlanmış erişim seviyeleri veya çakışan bağlamalar, güvenlik açıklarına yol açabilir. Google, riski azaltmak ve operasyonları basitleştirmek için dikkatli bir yaklaşım önerir.

1. Erişim Seviyelerini Yönetme

• Tekrar kullanılabilir erişim seviyeleri oluşturun: Global ve duruma dayalı tutun (ör. Tam Güvenilen Cihaz).
• Bileşik erişim seviyeleri kullanın: Katmanlı politikalar oluşturun (ör. “Güvenilen Konum” ve “Güvenilen Cihaz”) ve güncellemeleri kolaylaştırın.
• Acil durum kullanıcılarını muaf tutun: Tam kilitlenmeyi önlemek için her zaman en az bir yönetici veya acil durum hesabına izin verin.
• İyileştirme mesajları ekleyin: Kullanıcılara neden erişimlerinin engellendiğini ve hangi adımları atmaları gerektiğini açıklayın; bu BT taleplerini azaltır.

2. Erişim Bağlamalarını Yönetme (OAuth / GCP API’leri)

• Mümkünse tek bağlamaya sadık kalın: Karmaşıklıktan kaçının; tüm organizasyon için tek erişim bağlaması hedefleyin.
• Sıkı varsayılanlar belirleyin: Güçlü duruş isteyin (yönetilen cihaz, onaylı tarayıcı, konum).
• Kapsamlı istisnalar kullanın: Hassas olmayan uygulamalarda kuralları gevşetin, ancak unutmayın: kapsamlı ayarlar yalnızca gereksinimleri zayıflatır.
• Çakışmalardan kaçının: Birden fazla grup olduğunda VEYA mantığı en zayıf politikayı uygular; bu güvenliği istemeden azaltabilir.
• Grupları koruyun: Kullanıcıların gruplardan çıkarak kontrolleri atlamasına izin vermeyin.

3. Kaynak Korumasını Güçlendirme (VPC Servis Çevreleri)

• VPC Servis Çevreleri ile yönetici erişimini zorunlu kılın: Google Cloud console, gcloud ve Terraform için idealdir.
• Kuralları akıllıca birleştirin: Hem VPC çevresi hem erişim bağlaması geçerliyse, sonuç VE mantığıdır. Kullanıcıların her ikisini de karşılaması gerekir.
• Sertifika tabanlı erişim kullanın (CBA): Çok hassas çevrelerde güvenilen X.509 sertifikaları ve mTLS kullanın. Bu, token çalınmasını veya yeniden oynatmayı engeller.

Sıfır Güven için Bir Adım Atın

Çevreye dayalı güven artık geçmişte kaldı. Tehditlerin her gün evrildiği ve işin her yerde gerçekleştiği bir dünyada, tek sürdürülebilir yaklaşım her isteği, her seferinde doğrulamaktır.

Google’ın Bağlamsal Erişimi, Google Workspace ve BeyondCorp Enterprise ile birlikte, kurumunuza teoriden pratiğe geçiş için araçlar sunar, işbirliğini güvenli hale getirir, hassas verileri korur ve çalışanlarınıza esneklik sağlar. Sıfır Güven yaklaşımı yalnızca riski azaltmakla kalmaz; aynı zamanda kurumunuzun güvenle yenilik yapmasını mümkün kılan bir model sunar.

Kurumunuzda Sıfır Güven’i hayata geçirmeye hazır mısınız? Bize ulaşın, kurumunuza özel, güvenli ve geleceğe hazır bir erişim stratejisi tasarlayalım.