Sıfır güven ağ erişimi: kimlik, mTLS, mikro segmentasyon
Ağa güvenmek yerine her isteği kimlik ve cihaz durumuna göre doğrulayan bir erişim mimarisi kurar; VPN’siz uygulama erişimini, mTLS’i ve ince segmentasyonu uygularsın.
Seviye 501 · 17 ders · 15 pratik lab
Dersler
İlkeler
- Sıfır güven ilkeleri ve referans mimari (NIST SP 800-207)
- Örtük güvenin sorunları: düz ağ ve geniş VPN
- Olgunluk değerlendirmesi ve yol haritası
- Kısa görev: mevcut ağın örtük güven noktalarını listele
Kimlik farkında erişim
- Kimlik farkında vekil ve OIDC
- Cihaz durumu denetimi
- Servisler arası mTLS
- Kısa ömürlü sertifikalar ve SSH sertifikaları
- Kısa görev: iç uygulamayı VPN’siz ama doğrulamalı aç
Segmentasyon
- Uç noktada segmentasyon: nftables ve kimlik etiketleri
- WireGuard tabanlı örgü ağlar
- Erişim politikasını kod olarak yazmak
- Kısa görev: sunucular arası trafiği yalnız gerekene indir
İzleme ve geçiş
- Sürekli doğrulama: günlükler ve anomaliler
- Düz ağdan sıfır güvene geçiş planı
- Kısa görev: bir departmanda pilot geçişi yap
Kapanış
- Bitirme görevi: kurum için sıfır güven erişim mimarisi kur ve sına
Pratik lablar
- Tek dizüstü nereye kadar ulaşır?: Kendi lab ağındaki düz yapıda sıradan bir çalışan makinesinden erişilebilen sunucu ve yönetim hizmetlerini yetkili bir taramayla çıkar ve işi için gerekmeyenleri listele.
- VPN’e giren her yere giriyor: Copperleaf Insurance’ın VPN kullanıcılarının gerçekte nerelere erişebildiğini lab’da ölç, rol bazlı bir erişim matrisi hazırla ve fazlalık erişimleri kapatıp yeniden ölçerek doğrula.
- Sıfır güven olgunluk karnesi: Gümüşsu Belediyesi lab ortamının yapılandırma ve günlüklerinden kimlik, cihaz, ağ ve iş yükü alanlarında kanıta dayalı bir olgunluk karnesi çıkar ve en çok kazandıracak beş adımı sırala.
- Giriş yapan herkes İK uygulamasını görüyor: Kimlik farkındalıklı vekilde İK uygulamasına erişimi yalnızca İK grubuyla sınırla ve farklı gruplardan iki test kullanıcısıyla izin ve reddi göster.
- Giriş sayfası dönüp duruyor: Vekil ile kimlik sağlayıcı arasındaki yönlendirme adresi ve istemci ayarı uyuşmazlığını günlüklerden bul, düzelt ve oturum açıp uygulamaya ulaşarak kanıtla.
- Vekili atlayıp doğrudan uygulamaya: Kendi lab’ında iç uygulamaya vekil atlanarak doğrudan ve sahte kimlik başlığıyla erişilebildiğini göster, arka ucu yalnızca vekilden gelen doğrulanmış isteklere açacak biçimde kilitle ve aynı denemelerin başarısız olduğunu kanıtla.
- Sipariş servisi stok servisine bağlanamıyor: İki servis arasındaki mTLS bağlantısının başarısız olmasının nedenini (sunulmayan istemci sertifikası, yanlış CA) openssl ile bul, düzelt ve sertifikasız isteğin hâlâ reddedildiğini göster.
- Kalıcı SSH anahtarları yerine sekiz saatlik sertifika: Sunuculardaki kalıcı authorized_keys kayıtlarını kaldırıp bir SSH CA’sının imzaladığı kısa ömürlü sertifikalara geç ve süresi dolmuş sertifikayla girişin reddedildiğini göster.
- Sertifika yenilenirken servis durmasın: Servis sertifikalarını kısa ömürlü üretip otomatik yenileyen ve servisi kesintisiz yeniden yükleyen bir düzen kur, yenileme anında süren istek akışında hata olmadığını ölçerek göster.
- Veritabanına herkes bağlanabiliyor: Veritabanı sunucusunda nftables ile yalnızca uygulama sunucusundan gelen bağlantılara izin ver ve izinli ile izinsiz iki kaynaktan test ederek göster.
- Erişim politikasını koddan üret: Brightfield Labs’ın YAML olarak yazılmış servis erişim politikasından nftables kuralları üreten ve her izni ile reddi otomatik sınayan küçük bir araç yaz ve bir politika değişikliğiyle çalıştığını göster.
- Sunucular arası şifreli örgü: Üç sunucu arasında WireGuard tabanlı bir örgü kur, servis trafiğini yalnızca örgü üzerinden ve eş bazında izinle geçir ve şifresiz doğrudan yolun kapandığını yakalamayla kanıtla.
- Erişim kayıtlarında tuhaf bir kimlik: Vekilin erişim kayıtlarından olağan dışı saat ve kaynaktan gelen kimliği bul, hangi uygulamalara eriştiğini listele ve oturumunu sonlandır.
- Güncel olmayan cihaz içeri giremesin: Harborview Hospital’ın hasta kayıt uygulamasına erişimi cihaz durumuna bağlayan bir kural yaz ve aynı kullanıcının uyumlu cihazdan girip uyumsuz cihazdan giremediğini göster.
- Göçten sonra unutulan arka yollar: Sıfır güvene taşınmış bir bölümde hâlâ açık kalan eski yolları (geniş VPN kuralı, her yere izin veren güvenlik duvarı satırı, kalıcı SSH anahtarı) kayıtlardan ve testlerle bul, kapat ve uygulamaya yalnızca vekil üzerinden ulaşıldığını kanıtla.
Kurs hakkında
Ağa güvenmek yerine her isteği kimlik ve cihaz durumuna göre doğrulayan bir erişim mimarisi kurar; VPN’siz uygulama erişimini, mTLS’i ve ince segmentasyonu uygularsın.
Ne öğreneceksin
- İlkeler
- Kimlik farkında erişim
- Segmentasyon
- İzleme ve geçiş
- Kapanış
Ön koşullar
Aynı yolun 401 düzeyine kadar olan konularında deneyimli olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde ve ona bağlı özel bir lab ağında geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 501 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.