Zero trust

Zero Trust güvenlik modeli, Zero Trust mimarisi (ZTA), Zero Trust ağ erişimi (ZTNA) ve çevresiz güvenlik olarak da bilinir. BT sistemlerinin strateji, tasarım ve uygulanmasına yönelik bir yaklaşımı tanımlar. Zero Trust güvenlik modelinin ana konsepti "asla güvenme, her zaman doğrula" ilkesine dayanır. Bu, kullanıcıların ve cihazların, kurumsal bir LAN gibi izin verilmiş bir ağa bağlı ve daha önce doğrulanmış olsalar bile varsayılan olarak güvenilmemesi gerektiği anlamına gelir.

Zero Trust Mimarisinin Uygulanması

ZTA, güçlü kimlik doğrulama, erişim izni vermeden önce cihaz uyumluluğunu doğrulama ve yalnızca açıkça yetkilendirilmiş kaynaklara en az ayrıcalıklı erişimi sağlamayı içerir. Çoğu modern kurumsal ağ, birçok birbiriyle bağlantılı alan, bulut hizmetleri ve altyapı, uzaktan ve mobil ortamlara bağlantılar ve IoT cihazları gibi geleneksel olmayan BT bağlantılarını içerir.

Zero Trust'ın gerekçesi, geleneksel yaklaşımın (varsayımsal "kurumsal çevre" içindeki kullanıcılara ve cihazlara veya VPN aracılığıyla bağlanan kullanıcılara ve cihazlara güvenmenin), bir kurumsal ağın karmaşık ortamında yetersiz kalmasıdır. Zero Trust yaklaşımı, kullanıcıların ve cihazların kimlik ve bütünlüğünü konumdan bağımsız olarak kontrol etmeyi ve kullanıcı kimliği, cihaz sağlığı ve kullanıcı kimlik doğrulaması kombinasyonuna dayalı olarak uygulamalara ve hizmetlere erişim sağlar. Zero Trust mimarisi, tedarik zincirleri gibi belirli alanlarda kullanım için öne çıkmıştır.

Zero Trust ilkeleri, veri erişimi ve veri yönetimine uygulanabilir. Bu, her veri erişim isteğinin dinamik olarak kimlik doğrulamasını gerektiren ve kaynaklara en az ayrıcalıklı erişimi sağlayan Zero Trust veri güvenliğini getirir. Erişim izni verilip verilmeyeceğini belirlemek için, Öznitelik Tabanlı Erişim Denetimi (ABAC) kullanarak verinin niteliklerine, kullanıcının kim olduğuna ve çevrenin türüne dayalı politikalar uygulanabilir.

Tarihçe

2001'de, OSSTMM'nin (Açık Kaynak Güvenlik Testi Metodolojisi Kılavuzu) ilk sürümü yayınlandı. Bu sürüm güvene odaklanan unsurlar içeriyordu. 2007 civarında çıkan 3. sürüm ise güvenin bir zafiyet olduğunu belirten ve OSSTMM 10 kontrollerinin güven seviyelerine göre nasıl uygulanacağını anlatan bir bölüm içeriyordu.

2003'te, Jericho Forum, bir kuruluşun BT sistemlerinin çevresini tanımlamanın zorluklarını vurguladı ve bu yıl, "çevresizleşme" adı verilen trendi tartıştı.

2009 boyunca süren bir Çin APT saldırısı olan Aurora Operasyonu'na yanıt olarak, Google, BeyondCorp adı verilen bir Zero Trust mimarisi uygulamaya başladı.

2010 yılında, analist John Kindervag, Forrester Research'te daha sıkı siber güvenlik programları ve şirket içi erişim kontrolünü belirtmek için Zero Trust modeli terimini kullandı. Ancak, Zero Trust mimarilerinin yaygın hale gelmesi neredeyse on yıl aldı, bu durum kısmen mobil ve bulut hizmetlerinin artan benimsenmesiyle hızlandı.

2018'de, ABD'de NIST ve NCCoE'deki siber güvenlik araştırmacıları tarafından yürütülen çalışma, "NIST SP 800-207 - Zero Trust Architecture"ın yayınlanmasına yol açtı. Bu yayın, Zero Trust'ı, bir ağın tehlikeye girmiş olarak görüldüğü durumlarda bilgi sistemleri ve hizmetlerinde doğru, istek başına erişim kararlarını zorlamadaki belirsizliği azaltmak için tasarlanmış kavramlar ve fikirler topluluğu olarak tanımlar. Zero Trust mimarisi (ZTA), Zero Trust kavramlarını kullanan ve bileşen ilişkilerini, iş akışı planlamasını ve erişim politikalarını kapsayan bir kuruluşun siber güvenlik planıdır. Bu nedenle, Zero Trust işletmesi, Zero Trust mimarisi planının bir ürünü olarak bir kuruluşun yerleşik ve sanal ağ altyapısı ve operasyonel politikalarıdır.