Telekom Altyapılarında Kimlik Erişim Güvenliği

Kimlik Erişim Mimarisi

İlk olarak telekom sistemlerinde kimlik yönetimi son derece karmaşık bir yapı sergiler. Çünkü ağ çekirdeği yüzlerce farklı sunucu, veri tabanı ve özel cihaz barındırır. Ayrıca sistem yöneticileri, taşeronlar ve yazılımlar sürekli bu sistemlere giriş yapar. Bu sebeple merkezi bir kimlik doğrulama sistemi kurmak zorunludur.

Özellikle aktif dizin altyapıları tüm kullanıcıların yetkilerini tek bir merkezden yönetir. Nitekim dağınık ve bağımsız kimlik yapıları güvenlik açıklarına zemin hazırlar. Dolayısıyla ağ mühendisleri her kullanıcıya sadece işini yapacak kadar yetki tanımlar. Özetle en az ayrıcalık prensibi (Principle of Least Privilege) telekom ağlarının temel kuralını oluşturur.

Bununla birlikte cihazların birbirleriyle konuşmasını sağlayan servis hesapları da büyük önem taşır. Örneğin otomatik çalışan bir yedekleme yazılımı kendi kimliğini kullanarak sunuculara bağlanır. Fakat bu hesapların parolaları manuel güncellenmediğinde siber riskler doğar. Sonuç olarak mimari tasarım insan ve makine kimliklerini bütüncül bir yaklaşımla ele alır.

İhlal ve Tehdit Senaryoları

İlk olarak kimlik avı (phishing) saldırıları telekom çalışanlarını doğrudan hedef alır. Örneğin saldırganlar sahte e-postalarla sistem yöneticilerinin parolalarını çalar. Ayrıca ele geçirilen bir hesap saldırganın ağ içinde serbestçe dolaşmasını sağlar. Nitekim içeriden gelen tehditler (insider threats) de büyük risk oluşturur.

Özellikle işten ayrılan personelin hesapları açık kaldığında intikam saldırıları gerçekleşir. Bu sebeple insan kaynakları ile bilgi işlem departmanları entegre çalışır. Örneğin bir sözleşme feshedildiğinde sistem personelin tüm erişim haklarını anında iptal eder. Dolayısıyla hesapların askıda kalma riski tamamen ortadan kalkar.

Ayrıca parola tahmin (brute-force) saldırıları VPN ağ geçitlerini sürekli yoklar. Nitekim saldırganlar otomatik araçlarla zayıf parolaları kırmayı dener. Bununla birlikte telekom operatörleri hesabı birkaç başarısız denemeden sonra tamamen kilitler. Sonuç olarak kimlik ihlalleri doğrudan veri sızıntılarına ve şebeke kesintilerine yol açar.

Ayrıcalıklı Hesap Yönetimi

İlk olarak ayrıcalıklı hesaplar telekom altyapısının anahtarlarını elinde tutar. Örneğin kök (root) ve yönetici (admin) hesapları sistemdeki her ayarı değiştirme gücüne sahiptir. Bu sebeple bu hesapların güvenliği standart kullanıcılardan çok daha katı kurallara dayanır. Ayrıca PAM (Ayrıcalıklı Erişim Yönetimi) çözümleri bu hesapları dijital kasalarda güvenle saklar.

Nitekim yöneticiler parolaları bilmeden doğrudan hedef sistemlere bağlanır. Dolayısıyla parolaların çalınma, kopyalanma veya ezberlenme riski ortadan kalkar. Bununla birlikte PAM sistemleri parolaları her kullanım sonrasında otomatik olarak yeniler. Özetle ayrıcalıklı bir hesaba sadece belirli bir zaman diliminde erişim izni verir.

Ayrıca PAM sistemleri tüm yönetici oturumlarını video formatında kaydeder. Örneğin bir ihlal durumunda ekipler kayıtları izleyerek saldırının kaynağını bulur. Nitekim bu kayıtlar personelin kötü niyetli hareketlerini de caydırır. Sonuç olarak ayrıcalıklı hesapların sıkı denetimi telekom güvenliğinin kalbidir.

Çok Faktörlü Doğrulama

İlk olarak tek başına parola kullanımı modern çağda tamamen yetersiz kalır. Çünkü saldırganlar karanlık web’de sızdırılmış parola veri tabanlarını kullanarak sistemlere kolayca girer. Ayrıca çok faktörlü doğrulama (MFA) hesapları ekstra bir kalkanla korur. Örneğin kullanıcılar parolalarını girdikten sonra cep telefonlarına gelen geçici kodu onaylar.

Nitekim bu ikinci adım çalınmış parolaların işe yaramasını tamamen engeller. Dolayısıyla telekom sistemlerindeki tüm giriş noktaları MFA ile destekler. Özellikle VPN bağlantılarında, bulut panellerinde ve uzak masaüstü ortamlarında MFA kullanımı hayati önem taşır. Bununla birlikte biyometrik doğrulama yöntemleri (parmak izi, yüz tanıma) de yaygın olarak tercih eder.

Ayrıca koşullu erişim politikaları MFA sürecini daha akıllı hale getirir. Örneğin sistem tanıdık bir ofis cihazından gelen girişlerde ikinci faktörü istemez. Fakat yeni bir ülkeden veya şüpheli bir IP adresinden giriş yapıldığında zorunlu tutar. Özetle çok katmanlı doğrulama saldırı yüzeyini ciddi oranda daraltır.

Sıfır Güven Mimarisi

İlk olarak geleneksel güvenlik duvarları iç ağdaki kullanıcıları otomatik olarak güvenilir kabul eder. Oysa sıfır güven (Zero Trust) yaklaşımı hiç kimseye ve hiçbir cihaza asla güvenmez. Bu sebeple sistem her adımda kullanıcının kimliğini ve cihazın durumunu yeniden doğrular. Örneğin bir yönetici veri tabanına erişmek istediğinde sistem arka planda risk analizi yapar.

Ayrıca sistem cihazda güncel bir antivirüs programı olup olmadığını kontrol eder. Nitekim riskli bir lokasyondan veya virüslü bir laptoptan gelen istekleri anında reddeder. Dolayısıyla ağ segmentasyonu sıfır güven modelinin ayrılmaz bir parçasıdır. Örneğin faturalama biriminde çalışan bir uzman baz istasyonu yapılandırma sunucularına kesinlikle erişemez.

Bununla birlikte sıfır güven yaklaşımı mikro segmentasyon kurallarını ağ geneline yayar. Hatta saldırganlar bir hesabı ele geçirse bile diğer ağ bölümlerine yatayda sıçrayamaz. Sonuç olarak sıfır güven mimarisi telekom ağlarını içeriden gelen modern tehditlere karşı güçlü bir şekilde savunur.

API ve Üçüncü Taraf Erişimleri

Özellikle telekom operatörleri binlerce iş ortağı ve teknoloji tedarikçisi ile çalışır. Ayrıca bu tedarikçiler API servisleri aracılığıyla operatörlerin çekirdek ağlarına bağlanır. Nitekim zayıf API kimlik doğrulaması büyük veri sızıntılarına ve hizmet kesintilerine neden olur. Örneğin saldırganlar tedarikçi ağlarındaki açıkları kullanarak ana operatöre arka kapıdan sızar.

Bu sebeple API erişimlerinde JWT (JSON Web Token) veya OAuth gibi modern doğrulama standartları kullanır. Dolayısıyla sunucu her API isteğini kriptografik olarak imzalar ve doğrular. Bununla birlikte API geçitleri (API Gateway) gelen isteklerin hızını ve yetkilerini anlık olarak sınırlar. Nitekim bu yaklaşım servis reddi (DoS) saldırılarını kaynağında engeller.

Ayrıca tedarikçilere verilen erişim süreleri son derece katı kurallara bağlar. Örneğin bakım yapacak bir mühendise sadece iki saatlik geçici bir VPN bağlantısı tanımlar. Özetle üçüncü taraf risklerini yönetmek telekom şirketleri için kritik ve vazgeçilmez bir görevdir.

IAM Otomasyon Süreçleri

İlk olarak binlerce çalışanın kimlik döngüsünü manuel yönetmek insan hatalarına davetiye çıkarır. Örneğin işe yeni giren personelin yetkilerini elle tanımlamak günler süren karmaşık bir işlemdir. Bu sebeple kimlik ve erişim yönetimi (IAM) süreçleri tam otomatik hale getirir. Nitekim otomasyon araçları rol tabanlı erişim profillerini saniyeler içinde oluşturur.

Ayrıca personel pozisyon değiştirdiğinde sistem eski yetkilerini otomatik olarak geri alır. Dolayısıyla gereksiz yetki birikimi (privilege creep) sorununu kökünden engeller. Örneğin satış departmanından IT departmanına geçen bir çalışan eski klasörlerine erişim hakkını hemen kaybeder. Bu süreçler doğrudan İnsan Kaynakları veritabanıyla entegre çalışır.

Bununla birlikte otomasyon uyumluluk denetimlerini de kolaylaştırır. Örneğin bir denetçi belirli bir sisteme kimlerin eriştiğini sorduğunda araçlar dakikalar içinde rapor üretir. Sonuç olarak otomasyon hem operasyonel yükü hafifletir hem de kurumun güvenlik standartlarını en üst seviyeye taşır.

Yasal Uyum ve Standartlar

İlk olarak telekom sektörü yoğun regülasyonlara ve katı devlet denetimlerine tabidir. Ayrıca BDDK, BTK ve benzeri kurumlar erişim kayıtlarının güvenliğini yakından inceler. Örneğin Türkiye’deki 5651 sayılı kanun tüm sistem girişlerinin zaman damgasıyla saklanmasını emreder. Nitekim değiştirilmiş veya eksik loglar kurumlara devasa para cezaları olarak geri döner.

Özellikle ISO 27001 bilgi güvenliği standartları kimlik yönetim politikalarının eksiksiz yazılmasını şart koşar. Bu sebeple kurumlar erişim loglarını WORM (Bir Kez Yaz Çok Oku) mimarisine sahip değiştirilemez ortamlarda tutar. Dolayısıyla yasal denetimlerde kurumlar bu kayıtları bağımsız denetçilere eksiksiz sunar.

Bununla birlikte GDPR ve KVKK gibi kişisel veri koruma kanunları da kimlik yönetimini etkiler. Örneğin abone verilerine sadece yetkili personelin ulaşabildiği kriptografik olarak kanıtlar. Sonuç olarak kimlik yönetimi sadece teknik bir ihtiyaç değil, yasal bir zorunluluktur.

Sibertim Denetim Yaklaşımı

İlk olarak telekom sistemlerinin denetimi büyük bir uzmanlık ve sektörel tecrübe ister. Ayrıca Sibertim uzmanları telekomünikasyon altyapılarında detaylı kimlik güvenlik testleri yürütür. Nitekim aktif dizin sızma testleri, ayrıcalıklı hesap (PAM) baypas denemeleri ve yetki yükseltme analizleri gerçekleştiririz.

Özellikle siber güvenlik denetim süreçlerimiz şu kritik adımları kapsar:

• Ağ genelindeki parola politikalarının ve MFA zorunluluklarının test edilmesi,
• Kök (Root) ve yönetici hesaplarının erişim kısıtlamalarının incelenmesi,
• API entegrasyonlarındaki kimlik doğrulama zafiyetlerinin analizi,
• İşten ayrılan personelin yetki iptal süreçlerinin otomasyon denetimi.

Sonuç olarak kurumunuzun IAM altyapısındaki zayıf noktaları tespit ederek detaylı raporlar hazırlarız. Kısacası bu raporlar ışığında sistemlerinizi içeriden ve dışarıdan gelen siber tehditlere karşı güçlendiririz. Özetle profesyonel denetim hizmetlerimizden faydalanmak için uzman ekibimizle hemen iletişime geçebilirsiniz.

Sık Sorulan Sorular