Bulut Güvenliği Mimarisi ve Yapılandırma Sıkılaştırma
Bulutta saldırı yüzeyi koddur: paylaşılan sorumluluk, kimlik merkezli güvenlik, yanlış yapılandırma riskleri ve CSPM ile sürekli denetim.
Bulut güvenliği↗, geleneksel çevre güvenliğinden farklı düşünmeyi gerektirir. Sunucu odası yerine API’ler, ağ kablosu yerine kimlik, güvenlik duvarı↗ kuralı yerine politika vardır. Bulutta en büyük risk çoğu zaman gelişmiş bir saldırı değil, basit bir yanlış yapılandırmadır. Bu rehber, paylaşılan sorumluluğu, kimlik merkezli tasarımı, sık hataları, kod olarak güvenliği ve denetim çerçevelerini özetler.
Paylaşılan sorumluluk
NIST SP 800-145 bulut bilişimi üç hizmet modeliyle tanımlar: altyapı (IaaS), platform (PaaS) ve yazılım (SaaS). Sağlayıcı “bulutun güvenliğinden” (donanım, fiziksel güvenlik, sanallaştırma katmanı), siz “buluttaki güvenlikten” (yapılandırma, kimlik, veri, erişim) sorumlusunuz. Sınır, hizmet modeline göre kayar:
| Katman | IaaS | PaaS | SaaS |
|---|---|---|---|
| Fiziksel altyapı, sanallaştırma | Sağlayıcı | Sağlayıcı | Sağlayıcı |
| İşletim sistemi ve yama↗ | Müşteri | Sağlayıcı | Sağlayıcı |
| Uygulama ve yapılandırma | Müşteri | Müşteri | Paylaşılan (ayarlar müşteride) |
| Kimlik, erişim, veri | Müşteri | Müşteri | Müşteri |
Tablo genel bir çerçevedir; her sağlayıcının kendi paylaşılan sorumluluk modeli ve sözleşmesi esastır. Kimlik, erişim ve veri her modelde sizdedir.
Kimlik yeni çevredir
- En az yetki: IAM↗ rollerini dar tutun; geniş ve joker (
*) izinlerden kaçının. - Kalıcı anahtar yerine geçici kimlik: Uzun ömürlü erişim anahtarları yerine rol tabanlı, kısa ömürlü kimlik bilgileri kullanın.
- MFA↗ ve yönetici hesapları için ayrıcalıklı erişim yönetimi↗ (PAM).
- Kullanılmayan kimlikleri ve aşırı yetkileri düzenli olarak budayın; hizmet hesaplarını da envantere katın.
Sık görülen yanlış yapılandırmalar
- Herkese açık nesne depolama kovaları ve veri tabanları.
- İnternete açık yönetim portları ve aşırı geniş güvenlik grubu kuralları.
- Durağan ve aktarım hâlindeki verinin şifrelenmemesi.
- Denetim günlüklerinin kapalı olması ya da izlenmemesi.
- Kurtarılamayan yedekler: aynı hesap içinde, aynı kimliğin silebileceği yedekler.
Kod olarak güvenlik ve sürekli denetim
Altyapı kodla tanımlandığında (IaC) güvenlik de koda taşınır. IaC şablonlarını dağıtımdan önce politika-kod (policy as code) kurallarıyla tarayın; böylece yanlış yapılandırmayı üretime çıkmadan yakalarsınız. Çalışan ortamı ise bir CSPM (Cloud Security Posture Management) aracıyla sürekli denetleyip sapmaları erken görün. Hesap ve abonelik yapısını (ayrı üretim/test, merkezî günlük hesabı) baştan düzenleyin.
Sıfır güven↗ ilkeleri bulut iş yüklerine de uygulanır: ağ konumuna değil, kimliğe ve bağlama dayalı erişim.
Çerçeveler ve sertifikasyon
| Kaynak | Ne sağlar? |
|---|---|
| CSA Cloud Controls Matrix (CCM) v4.1 | 17 alanda 197 kontrol hedefi; CAIQ anketiyle birleşik olarak sağlayıcı değerlendirmesinde kullanılır. |
| CSA STAR | Bulut sağlayıcıların güvenlik duruşunu açıkladığı kayıt ve güvence programı. |
| NIST SP 800-145 | Bulut bilişimin temel tanımı ve hizmet/dağıtım modelleri. |
| NIST SP 800-161 Rev. 1 | Tedarik zinciri siber risk yönetimi↗; bulut sağlayıcı seçiminde de kullanılır. |
| NIST SP 800-207 | Sıfır güven mimarisi. |
Kamu kurumlarında bulut kullanımı ayrıca mevzuata tabidir; 2019/12 sayılı Genelge ve ilgili düzenlemeleri kontrol edin.
Kaynaklar ve son gözden geçirme
- Cloud Security Alliance: Cloud Controls Matrix v4.1; STAR programı.
- NIST SP 800-145; SP 800-161 Rev. 1; SP 800-207.
Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; sorumluluk sınırları için sağlayıcınızın güncel belgelerine ve sözleşmenize bakın.
