Bir ağa sızan saldırganın ilk hedefi, sıradan bir kullanıcının dosyaları değil, yönetici yetkisidir. Etki alanı yöneticisi, güvenlik duvarı parolası ya da veritabanı hesabı ele geçirildiğinde saldırgan artık misafir değil, ev sahibidir: yedekleri silebilir, güvenlik yazılımını kapatabilir, fidye yazılımını tüm sunuculara aynı anda dağıtabilir. Oysa bu anahtarlar çoğu işletmede birkaç kişi arasında paylaşılır, yıllarca değişmez ve bir Excel dosyasında durur. Ayrıcalıklı erişim yönetimi (PAM) tam olarak bu sorunu ele alır. Bu yazıda PAM’in ne olduğunu, hangi yapı taşlarından oluştuğunu ve bir işletmenin nereden başlaması gerektiğini anlatıyoruz. Ürün tarafının genel çerçevesi için kimlik ve erişim yönetimi sayfamıza bakabilirsiniz.
Ayrıcalıklı hesap nedir?
Ayrıcalıklı hesap, sıradan bir kullanıcının yapamayacağı işlemleri yapabilen her hesaptır: yazılım kurmak, yapılandırma değiştirmek, başka kullanıcıların verisine erişmek, kayıtları silmek. Bu hesaplar yalnızca insanlara ait değildir. Tipik bir işletmede şunlar bulunur:
- Etki alanı yöneticisi ve diğer yüksek yetkili Active Directory hesapları
- Sunucu ve bilgisayarlardaki yerel yönetici hesapları, Linux sunucularda root
- Güvenlik duvarı, anahtar ve kablosuz erişim cihazlarının yönetici hesapları
- Veritabanı yönetici hesapları ve ERP’nin arka plandaki servis hesabı
- Sanallaştırma platformu ve yedekleme yazılımının yönetim hesapları
- Uygulamaların birbirine bağlanmak için kullandığı, çoğu zaman bir yapılandırma dosyasına yazılmış servis parolaları
- Microsoft 365 ve bulut konsollarının genel yönetici hesapları
Envanter çıkarıldığında bu listenin beklenenden uzun olduğu görülür. Özellikle servis hesapları ve yıllar önce kurulmuş cihazların varsayılana yakın parolaları sürpriz çıkarır.
PAM nedir?
Ayrıcalıklı erişim yönetimi (Privileged Access Management, PAM), ayrıcalıklı hesapları bulan, parolalarını güvenli bir kasada tutan, bu hesaplara erişimi onaya ve süreye bağlayan ve yapılan her işlemi kayıt altına alan teknoloji ve süreçlerin bütünüdür.
PAM’in dayandığı ilke en az ayrıcalıktır. NIST’in tanımıyla en az ayrıcalık, kullanıcıların ve onlar adına çalışan süreçlerin erişim yetkilerinin, verilen görevi yerine getirmek için gereken asgari düzeyle sınırlandırılmasıdır. Pratikte bu şu soruya dönüşür: Bu kişi bu yetkiye her gün, her saat gerçekten ihtiyaç duyuyor mu?
PAM’in yapı taşları
Keşif
Korumadan önce neyin korunacağını bilmek gerekir. PAM araçları ağı tarayarak sunuculardaki, ağ cihazlarındaki ve veritabanlarındaki ayrıcalıklı hesapları bulur. Kimsenin hatırlamadığı yerel yönetici hesapları çoğu zaman bu adımda ortaya çıkar.
Parola kasası ve otomatik değişim
Parolalar şifreli bir kasada tutulur. Yönetici parolayı bilmek zorunda kalmadan kasadan oturum açar. Parolalar belirlenen aralıklarla ya da her kullanımdan sonra otomatik olarak değiştirilir; böylece işten ayrılan bir çalışanın bildiği parola artık bir işe yaramaz.
Süreli ve onaylı yetki
Kalıcı yönetici hakları yerine yetki yalnızca iş süresince verilir. Bir yazılım güncellemesi için iki saatlik yetki istenir, onaylanır, süre bitince geri alınır. Buna süreli yetki (just-in-time) denir ve saldırganın ele geçirebileceği kalıcı yetki sayısını azaltır.
Oturum yönetimi ve kayıt
Kritik sistemlere bağlantı PAM üzerinden açılır. Uzak masaüstü ve SSH oturumları kaydedilir, gerektiğinde canlı izlenir ve sonlandırılır. Bir yapılandırma hatası ya da şüpheli bir işlem sonrasında “kim, ne zaman, ne yaptı?” sorusunun cevabı kayıttadır. Dış firmaların bağlantısı için bu yetenek özellikle önemlidir; konuyu dış firmalara güvenli uzaktan erişim yazımızda ayrıca ele aldık.
Uç nokta yetki yönetimi
Kullanıcı bilgisayarlarındaki yerel yönetici hakları kaldırılır; yönetici hakkı gerektiren belirli uygulamalar ise kural bazında yükseltilmiş yetkiyle çalıştırılır. Kullanıcı işini yapar, ama bilgisayarına istediği yazılımı kuramaz.
Makine kimlikleri
SSH anahtarları, SSL/TLS sertifikaları ve uygulamaların kullandığı servis parolaları da ayrıcalıklı erişimdir. Gelişmiş PAM platformları bunları da keşfeder, döndürür ve sürelerini takip eder.
PAM, IAM ve MFA arasındaki fark
| Neye odaklanır? | Örnek soru | |
|---|---|---|
| Kimlik yönetimi (IAM) | Tüm kullanıcıların hesap yaşam döngüsü ve yetkileri | Yeni gelen muhasebe çalışanı hangi gruplara eklenmeli? |
| Çok faktörlü kimlik doğrulama (MFA) | Girişin gerçekten o kişi tarafından yapıldığının doğrulanması | Bu VPN girişini yapan gerçekten Ahmet mi? |
| Ayrıcalıklı erişim yönetimi (PAM) | En kritik hesapların kullanımı, süresi ve kaydı | Dün gece etki alanı yöneticisiyle kim, hangi sunucuda ne yaptı? |
Üçü birbirinin yerine geçmez. Düzenli bir Active Directory, PAM’in sağlam bir zemine oturmasını sağlar; MFA ise kasaya girişin kendisini korur. Active Directory tarafındaki birikmiş hesap kirliliği için Active Directory temizliği yazımıza bakabilirsiniz.
PAM’e ne zaman ihtiyaç duyulur?
- Yönetici parolaları birden fazla kişi tarafından biliniyor ve bir dosyada ya da e-postada duruyorsa
- Bir çalışan ayrıldığında hangi parolaların değiştirilmesi gerektiğini kimse bilmiyorsa
- Dış hizmet sağlayıcılar sunuculara kalıcı VPN hesaplarıyla bağlanıyorsa
- Kullanıcıların çoğu kendi bilgisayarında yerel yönetici ise
- ISO 27001 ya da KVKK denetiminde yetkili erişimlerin kaydı isteniyorsa
- Bir olaydan sonra kimin hangi sistemde ne yaptığını gösteremiyorsanız
Denetim tarafında PAM’in ürettiği kayıtlar, erişim kontrolünün somut kanıtıdır. Uyum çalışmalarını bütün olarak ele almak için ISO 27001 ve KVKK sayfamıza bakabilirsiniz.
Nereden başlamalı?
- Envanter çıkarın. Tüm ayrıcalıklı hesapları, servis hesaplarını ve bunları kimlerin bildiğini listeleyin.
- Parolaları kasaya alın. Önce en kritik hesaplarla başlayın: etki alanı yöneticisi, güvenlik duvarı, yedekleme ve sanallaştırma yönetimi.
- Otomatik değişimi dikkatle açın. Servis hesaplarının parolası değiştiğinde ona bağlı uygulama durabilir. Otomatik değişimi önce kritik olmayan hesaplarda deneyin.
- Oturum kaydını devreye alın. Önce dış firmaların bağlantılarıyla başlayın.
- Kalıcı yetkileri azaltın. Süreli yetkiye geçin, kullanıcıların yerel yönetici haklarını kademeli olarak kaldırın.
- Düzenli gözden geçirin. Erişim raporlarını belirli aralıklarla inceleyin, biten projelerin ve ayrılan kişilerin erişimini kapatın.
Bir uyarı: PAM kasası, kurumun tüm anahtarlarını tek yerde toplar. Kasa erişilemez olduğunda sistemlere de erişilemez. Bu yüzden kasanın yedeği ve felaket kurtarma planındaki yeri kurulumun ilk gününden düşünülmelidir.
Unna ile ayrıcalıklı erişim yönetimi
PAM projelerinde ManageEngine ürünleriyle çalışıyoruz. İhtiyaç yalnızca bir parola kasasıysa Password Manager Pro, kayıtlı uzaktan erişimse Access Manager Plus, süreli yetki, uç nokta yetki yönetimi ve makine kimlikleriyle birlikte kurumsal bir platform gerekiyorsa PAM360 öneririz. Üç ürünün farkını ayrı bir yazıda anlattık. Önce ayrıcalıklı hesap envanterinizi birlikte çıkarır, hangi ekibin hangi sisteme hangi onayla erişeceğini tasarlarız. Kasayı ve oturum kaydını önce açar, otomatik parola değişimini kritik olmayan sistemlerde denedikten sonra genişletiriz. Sonrasında erişim raporlarını düzenli olarak sizinle gözden geçiririz. Başlamak için bize yazın; önce dinleriz.
