01Sorun ve çözüm
Bulut güvenlik denetiminde hesaplarınıza salt okunur bir rolle bağlanıyor, kimlik ve yetki tanımlarından ağ kurallarına, şifrelemeden kayıt tutmaya kadar yapılandırmayı tek tek inceliyoruz. Otomatik kontrollerin bulduğu her maddeyi iş bağlamıyla değerlendiriyor, gerçekten erişilebilir olan riski teorik olandan ayırıyoruz. Sonunda elinize hangi ayarın kimde, neden ve hangi sırayla düzeltileceğini anlatan bir liste geçer.
02Kimler için
Bulut güvenlik denetimi kimler için gerekli
Denetim ihtiyacı çoğunlukla bulut ortamı büyüdükten ve sahipliği dağıldıktan sonra fark edilir.
- Uygulamasını sunucu odasından AWS, Azure ya da Google Cloud'a taşımış ve taşıma sonrası ayarları kimsenin gözden geçirmediği şirketler
- Birden fazla ekibin aynı bulut hesabında kaynak açtığı, kimin neyden sorumlu olduğunun belirsizleştiği yazılım firmaları
- Kurumsal bir müşterinin güvenlik anketinde bulut yapılandırmasına dair kanıt istenen SaaS sağlayıcıları
- Kişisel veri işleyen ve KVKK kapsamındaki teknik tedbirleri bulut tarafında belgelemek isteyen işletmeler
- Bir güvenlik olayı ya da beklenmedik fatura artışı sonrası hesapta neler olduğunu anlamak isteyen ekipler
03İhtiyaçlar
Bulut hesaplarında sık karşılaşılan yapılandırma hataları
Bu hataların ortak noktası, kurulduğu gün kimsenin zararını düşünmemiş olmasıdır.
- 01
Geniş tutulmuş yetkiler
İşi hızlandırmak için verilmiş tam yönetici politikaları, joker karakterli izinler ve kullanılmayan roller bir anahtar sızdığında hasarın sınırını kaldırır. Kök ya da genel yönetici hesabının çok adımlı doğrulamayla korunup korunmadığı ilk bakılan noktadır.
- 02
Uzun ömürlü erişim anahtarları
Kod deposuna, CI değişkenlerine veya geliştirici bilgisayarına yazılmış statik anahtarlar yıllarca döndürülmeden kalabilir. Bunların yerine geçici kimlik bilgisi ve iş yükü kimliği kullanımı önerilir.
- 03
İnternete açık kaynaklar
Uzak masaüstü ve SSH portlarını tüm internete açan güvenlik grupları, herkese açık nesne depolama alanları ve genel IP almış veritabanları dışarıdan ilk görülen kapılardır.
- 04
Eksik kayıt ve izleme
Yönetim düzlemi kayıtları kapalıysa ya da yalnızca tek bölgede açıksa, bir olaydan sonra kimin ne yaptığı yeniden kurulamaz. Kayıtların değiştirilemez bir yerde saklanıp saklanmadığı da kontrol edilir.
04Özellikler
Bulut güvenlik denetimi hizmetinde neler incelenir
Kapsam hesap sayısına, kullanılan servislere ve bölge dağılımına göre çıkarılır.
- 01
Hesap ve organizasyon yapısı
Üretim, test ve geliştirme ortamlarının ayrı hesaplarda mı aynı hesapta mı durduğu, organizasyon düzeyinde koruyucu politikaların tanımlı olup olmadığı değerlendirilir.
- 02
Kimlik ve yetki analizi
Kullanıcılar, roller, hizmet hesapları ve bunlara bağlı politikalar çıkarılır; son kullanım tarihine göre artık gerekmeyen yetkiler işaretlenir.
- 03
Veri koruma
Disklerin, yedeklerin, anlık görüntülerin ve depolama alanlarının şifrelenmesi, anahtar yönetim servisinin kullanımı ve paylaşım ayarları gözden geçirilir.
- 04
Ağ sınırları
Sanal ağlar, alt ağlar, güvenlik grupları ve özel uç noktalar üzerinden hangi servisin internetten, hangisinin yalnızca iç ağdan erişilebildiği haritalanır.
- 05
Önceliklendirilmiş düzeltme planı
Bulgular etkisine ve düzeltme maliyetine göre sıralanır; her madde için konsol yolu ya da altyapı kodu üzerinde yapılacak değişiklik tarif edilir.
05Entegrasyonlar
Denetimin bağlandığı bulut servisleri ve araçlar
Mümkün olduğunda sağlayıcının kendi güvenlik servislerinden ve mevcut altyapı kodunuzdan yararlanırız.
- 01
Sağlayıcının güvenlik panelleri
AWS Security Hub, Microsoft Defender for Cloud veya Google Security Command Center açıksa bulguları buradan da okuyor, açık değilse hangi ayarlarla devreye alınacağını anlatıyoruz.
- 02
Altyapı kodu
Terraform, CloudFormation ya da Bicep ile yönetilen ortamlarda düzeltmeleri doğrudan kod deposundaki şablonlar üzerinden öneriyoruz; böylece konsolda yapılan değişiklik bir sonraki dağıtımda geri dönmez.
- 03
Kurumsal dizin
Bulut konsoluna girişin Entra ID veya Google Workspace gibi bir kimlik sağlayıcı üzerinden tek oturumla yapılıp yapılmadığı ve yerel kullanıcıların kapatılıp kapatılmadığı kontrol edilir.
- 04
Kayıt toplama
Yönetim düzlemi ve ağ akış kayıtlarının kullandığınız SIEM ya da kayıt platformuna aktarımı ve saklama süresi ayarı değerlendirilir.
06Süreç
Bulut güvenlik denetimi hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Bulut denetiminde ölçüt ve erişim yaklaşımı
Kontrol listesi, sağlayıcıya özgü CIS Benchmark belgeleri ve AWS Well-Architected güvenlik ilkeleri gibi kamuya açık çerçevelerden derlenir. Prowler veya ScoutSuite gibi açık kaynak araçlar geniş bir ilk tarama yapar; ancak bir depolama alanının herkese açık olması bazen bilinçli bir tercihtir, bu yüzden her bulgu sahibiyle konuşularak sınıflandırılır.
Devamını okuDaha az göster
Denetim için yalnızca okuma yetkisi olan, süresi sınırlı bir rol ya da hizmet hesabı talep ediyoruz; kaynak oluşturma, silme veya ayar değiştirme yetkisi istenmez. Erişim iş bitince kapatılır, toplanan yapılandırma çıktıları şifreli saklanır ve rapor teslimiyle birlikte silinir. Düzeltmeleri sizin ekibiniz uygulayabilir ya da danışmanlık kapsamında birlikte yapabiliriz.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Bulut güvenlik denetimi hakkında sık sorulan sorular
Bulut güvenlik denetimi için hesabımıza yönetici erişimi vermemiz gerekir mi?
Hayır. AWS'de SecurityAudit, Azure'da Reader, Google Cloud'da Viewer düzeyine benzer salt okunur bir rol yeterlidir. Böylece denetim sırasında hiçbir kaynağın yanlışlıkla değişmesi söz konusu olmaz.
Sağlayıcı zaten güvenliği sağlamıyor mu?
Sağlayıcı veri merkezini, donanımı ve kendi servislerinin altyapısını korur. Kime hangi yetkinin verildiği, hangi portun açık olduğu ve verinin şifrelenip şifrelenmediği ise sizin yaptığınız ayarlardır; denetim tam olarak bu katmana bakar.
Bulut güvenlik denetimi fiyatları nasıl belirlenir?
Hesap ya da abonelik sayısı, kullanılan servis çeşitliliği, birden fazla sağlayıcı olup olmadığı ve düzeltmelerin altyapı kodu üzerinden önerilip önerilmeyeceği kapsamı belirler. Ön görüşmede bu bilgileri alıp yazılı teklif hazırlıyoruz.
Birden fazla bulut sağlayıcısı kullanıyorsak tek denetimde ele alınır mı?
Evet. Her sağlayıcı kendi kavramlarıyla incelenir, ama rapor tek bir öncelik listesinde birleşir; böylece ekibiniz hangi ortamda neyin önce yapılacağını tek yerden görür.
Denetim sızma testinin yerini tutar mı?
Tutmaz, birbirini tamamlar. Denetim yapılandırmayı içeriden ve eksiksiz inceler; sızma testi ise dışarıdan bir saldırganın bu ayarları gerçekten kullanıp kullanamayacağını dener. Önce denetim yapıp kolay kapanan açıkları kapatmak testin verimini artırır.
Denetimden sonra ayarların tekrar bozulmasını nasıl önleriz?
Organizasyon düzeyinde koruyucu politikalar, altyapı kodunda otomatik kontroller ve sağlayıcının sürekli uyum izleme özelliği bu amaçla kullanılır. Hangisinin ortamınıza uyduğunu raporda ayrıca öneriyoruz.
10İlgili hizmetler