Ders 1.9: Pratikte sıfır güven
Sıfır güven, şirket ağında ya da VPN'de olmanın hiçbir şeyi kanıtlamadığı fikridir. Her uygulamaya yapılan her istek, her seferinde kullanıcının kim olduğuna, cihazının durumuna ve verinin hassasiyetine göre karara bağlanmalıdır. NIST SP 800-207 mimariyi tanımlar; CISA'nın Sıfır Güven Olgunluk Modeli de kimlik, cihazlar, ağlar, uygulamalar ve veri boyunca gelenekselden optimale aşamaları anlatır. Laboratuvarda Northwind'in hâlâ ağ konumuna göre güvendiği uygulamaları buluyor, arkalarındaki geniş güvenlik duvarı kurallarını okuyor, şirketi olgunluk modeline yerleştiriyor ve bir yıllık bir plan yazıyorsun.
20 dk
Bu derste öğreneceklerin
- Sıfır güveni ve örtük güveni açıklamak
- Ağ konumuna göre verilen erişimi bulmak
- CISA olgunluk sütunlarını ve aşamalarını okumak
- Veri hassasiyetine göre önceliklendirmek
- Aşamalı bir sıfır güven planı yazmak
Temel terimler
- Sıfır güven
- Ağ konumundan gelen örtük güven yok; her erişim istek başına kimlik, cihaz ve bağlama göre karara bağlanır.
- Örtük güven
- Bir isteğin kimden ya da neyden değil, nereden geldiğine (ofis, VPN) göre verilen erişim.
- Politika karar noktası
- Her erişim isteğine karar veren bileşen; kaynağın önündeki bir politika uygulama noktası tarafından uygulanır.
- CISA ZTMM
- CISA'nın Sıfır Güven Olgunluk Modeli: kimlik, cihazlar, ağlar, uygulamalar, veri sütunları; gelenekselden optimale aşamalar.
- Mikro bölümleme
- Tüm ağ bölgeleri yerine iş yükleri arasında yalnızca belirli akışlara izin vermek.
← Bir risk kaydını yürütmek · Tüm dersler · Monte Carlo: bir sayı değil, bir dağılım olarak risk →