Zero Trust Architecture və Continuous Validation Reallığı

Paylaşdığım slaydlarda Zero Trust və Continuous Validation mövzusunun skeletini gördünüz. Amma gəlin etiraf edək, bir slaydın içinə "təhlükəsizlik arxitekturasının fəlsəfəsini" sığışdırmaq mümkün deyil. Bu yazıda slaydda gördüyünüz başlıqların arxasında yatan kritik məqamları, xüsusilə Runtime Security zamanı baş verən prosesləri detallı incələyəcəyik.

Ənənəvi yanaşmada ən böyük səhv "Authentication" ilə "Authorization" arasındakı fərqin zamanla unudulması idi. İstifadəçi bir dəfə Login olurdu və sistem ona sessiya bitənə qədər "kor-koranə" güvənirdi. Zero Trust məhz bu boşluğu hədəfləyir.

Əsas Konsept: Perimetrin Yox Olması

Bizim öyrəşdiyimiz Perimeter Security (Firewall, VPN) modeli artıq effektiv deyil. Çünki məlumat artıq tək bir Data Center-də deyil; o, Cloud, On-Premise, işçilərin şəxsi cihazlarında və SaaS tətbiqlərində paylanıb.

Slaydda bəhs etdiyim "Never Trust, Always Verify" prinsipi sadəcə şüar deyil. Bu, hər bir paket alış-verişində tətbiq olunmalı olan bir mexanizmdir. Bəs bu mexanizm arxa planda necə işləyir?

Aşağıdakı diaqram Zero Trust modelinin məntiqi axınını göstərir. Diqqət yetirin, burada istifadəçi ilə resurs arasında birbaşa əlaqə yoxdur.

Code snippet

Bu diaqramda 3 kritik komponenti mütləq anlamalıyıq:

1. PEP (Policy Enforcement Point): Bu, qapıçı rolunu oynayır. Bütün trafik buradan keçir. Service Mesh (məsələn, Istio) istifadə edirsinizsə, "Sidecar Proxy"-lər məhz PEP rolundadır.
2. PDP (Policy Decision Point): Qərar verən beyindir. PEP soruşur: "Bu istifadəçi bu datanı görə bilərmi?" PDP cavab verir: "Bəli" və ya "Xeyr". Bunu çox vaxt OPA (Open Policy Agent) icra edir.
3. PIP (Policy Information Point): Bu, kontekst mənbəyidir. PDP qərar verərkən sadəcə istifadəçi adına baxmır, o, PIP-dən soruşur: "Cihazın antivirusu aktivdirmi?", "İstifadəçi qeyri-adi bir lokasyondanmı gəlir?".

Continuous Validation Niyə Vacibdir?

Əksər sistemlərdə təhlükəsizlik yoxlaması yalnız girişdə (Ingress) baş verir. Continuous Validation isə bu yoxlamanın hər bir sorğuda (per-request) təkrarlanmasıdır.

Təsəvvür edin ki, bir Attacker (hücumçu) legitim istifadəçinin Session Token-nı oğurlayıb (Session Hijacking). Əgər sisteminizdə Continuous Validation yoxdursa, hücumçu o token bitənə qədər (məsələn, 1 saat) sistemdə hər şeyi edə bilər.

Lakin, Zero Trust mühitində sistem hər sorğuda konteksti yoxlayır. Əgər istifadəçinin davranışı və ya cihazının vəziyyəti dəyişərsə, giriş anında kəsilir.

Gəlin real bir ssenariyə baxaq:

Risklər və Kritik Nöqtələr

Slaydlarda qeyd olunan texnologiyalar (Service Mesh, mTLS) tətbiq olunsa belə, diqqətdən qaçan bəzi riskli məqamlar var ki, onları burada vurğulamaq istəyirəm:

• Static Credentials: Kodun içində unudulmuş API key-lər və ya verilənlər bazası şifrələri Zero Trust-ın ən böyük düşmənidir. Biz Dynamic Secrets (məsələn, Vault vasitəsilə) istifadə etməliyik ki, şifrələr qısa ömürlü olsun.
• Lateral Movement: Əgər bir mikroservis kompromis olunarsa, o, digər servislərə hücum edə bilərmi? Zero Trust-da hər servis bir-biri ilə danışarkən yenidən Authenticate və Authorize olunmalıdır. Default olaraq heç bir servis digərinə güvənməməlidir.
• Trust on First Use (TOFU): Çox vaxt sistemlər ilk qoşulmada cihazı "trusted" olaraq işarələyir və bir daha yoxlamır. Bu səhvdir. Cihazın "posture"u (sağlamlıq vəziyyəti) hər sorğuda dəyişə bilər (məsələn, malware yoluxması).

Nəticə

Slaydlarda gördüyünüz Zero Trust Architecture bir məhsul deyil, bir düşüncə tərzidir. Məqsəd, infrastrukturu elə qurmaqdır ki, hər hansı bir komponent (istifadəçi, cihaz və ya server) kompromis olsa belə, zərər lokallaşdırılsın və sistem bütövlükdə qorunsun.

Continuous Validation bizə "güvənmə" lüksünü əlimizdən alır, əvəzinə "sübut et" tələbini qoyur. Və bugünkü mürəkkəb təhdid mühitində yeganə etibarlı yol budur.

Bu mövzu dərindir və bir bloq yazısı ilə bitmir, amma ümid edirəm ki, Zero Trust və Continuous Validation anlayışları sizin üçün daha aydın oldu. Slaydları incələyərkən bu məqamları nəzərə almağınız, gələcək arxitektura qərarlarınızda sizə faydalı olacaq.

Faydalı oldusa, həmkarlarınızla paylaşmağı unutmayın. Uğurlar!