Bulut Bilişim Güvenliği (PDF)

BULUT BİLİŞİMİ 03. HAFTA :Bulut Bilişim Güvenliği Bulut ortamındaki güvenlik riskleri ve tehditler Kimlik doğrulama ve yetkilendirme yöntemleri Veri şifreleme ve güvenliği Güvenlik duvarları ve saldırı tespit sistemleri TURGAY TAYMAZ Bulut Bilişi...

BULUT BİLİŞİMİ 03. HAFTA :Bulut Bilişim Güvenliği Bulut ortamındaki güvenlik riskleri ve tehditler Kimlik doğrulama ve yetkilendirme yöntemleri Veri şifreleme ve güvenliği Güvenlik duvarları ve saldırı tespit sistemleri TURGAY TAYMAZ Bulut Bilişim Güvenliği 1. Giriş Bulut bilişimin hızla benimsenmesiyle birlikte veri güvenliği daha da kritik hale geldi. Buluttaki veriler, geleneksel sistemlere kıyasla farklı risklere ve tehditlere maruz kalabilir. Bulut güvenliği, bu riskleri azaltmak ve verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini sağlamak için alınan önlemleri kapsar. BULUT BİLİŞİMİ Bulut Bilişim Güvenliği Paylaşılan Sorumluluk Modeli (Bulut sağlayıcı ve müşteri sorumlulukları Paylaşılan Sorumluluk Modeli: Bulut güvenliği, hem bulut sağlayıcısının hem de müşterinin sorumluluğundadır. Sağlayıcı: Fiziksel altyapı, ağ, sunucular ve hipervizör güvenliğinden sorumludur. Müşteri: Uygulamalar, veriler, işletim sistemleri ve kimlik yönetimi gibi alanların güvenliğinden sorumludur. BULUT BİLİŞİMİ Bulut Bilişim Güvenliği Paylaşılan Sorumluluk Modeli (Bulut sağlayıcı ve müşteri sorumlulukları On-Prem (Şirket İçi): Geleneksel şirket içi altyapıda, tüm güvenlik sorumlulukları müşteriye aittir. Donanımdan uygulamaya kadar her şeyin güvenliğini sağlamak müşterinin görevidir. IaaS (Altyapı Hizmeti): IaaS modelinde, sağlayıcı fiziksel donanım, sanallaştırma katmanı, ağ ve depolama gibi temel altyapının güvenliğini sağlar. Müşteri ise işletim sistemi, uygulamalar, veriler ve kimlik yönetimi gibi alanların güvenliğinden sorumludur. PaaS (Platform Hizmeti): PaaS modelinde, sağlayıcının sorumluluğu artar. IaaS'deki sorumluluklarına ek olarak, işletim sistemi ve çalışma zamanı ortamının güvenliğini de sağlar. Müşteri, uygulamalar, veriler ve kimlik yönetimi gibi alanların güvenliğinden sorumludur. SaaS (Yazılım Hizmeti): SaaS modelinde, sağlayıcı neredeyse tüm güvenlik sorumluluklarını üstlenir. Uygulama, veriler, işletim sistemi, ağ ve donanımın güvenliği sağlayıcının kontrolündedir. Müşteri, genellikle sadece kullanıcı erişimi ve kimlik yönetimi gibi sınırlı alanlarda sorumluluk sahibidir. BULUT BİLİŞİMİ Bulut Bilişim Güvenliği Paylaşılan Sorumluluk Modeli (Bulut sağlayıcı ve müşteri sorumlulukları Content (İçerik): Uygulamalar, veriler ve diğer dijital varlıklardır. Access policy (Erişim Politikası): Kimlerin hangi kaynaklara erişebileceğini belirleyen kurallardır. Usage (Kullanım): Kaynakların nasıl kullanıldığı ve izlendiğidir. Deployment (Dağıtım): Uygulamaların ve hizmetlerin nasıl dağıtıldığı ve yapılandırıldığıdır. Web application security (Web Uygulaması Güvenliği): Web uygulamalarını saldırılara karşı korumadır. Identity (Kimlik): Kullanıcı kimliklerinin yönetimi ve doğrulamasıdır. Operations (Operasyonlar): Sistemlerin ve hizmetlerin yönetimi ve bakımıdır. Access and authentication (Erişim ve Kimlik Doğrulama): Kullanıcıların kimliklerinin doğrulanması ve yetkilendirilmesidir. Network security (Ağ Güvenliği): Ağ altyapısının ve trafiğinin güvenliğidir. Guest OS, data, and content (Konuk İşletim Sistemi, Veriler ve İçerik): Sanal makinelerde çalışan işletim sistemleri, uygulamalar ve verilerdir. Audit logging (Denetim Kayıtları): Sistem aktivitelerinin kaydedilmesi ve izlenmesidir. Network (Ağ): Ağ altyapısı ve bağlantılarıdır. Storage and encryption (Depolama ve Şifreleme): Verilerin güvenli bir şekilde depolanması ve şifrelenmesidir. Hardened kernel and IPC (Güçlendirilmiş Çekirdek ve IPC): İşletim sistemi çekirdeğinin ve işlemler arası iletişimin güvenliğidir. Boot (Önyükleme): Sistemin başlatılması ve güvenli bir şekilde yapılandırılmasıdır. Hardware (Donanım): Fiziksel sunucular ve diğer donanım bileşenleridir. BULUT BİLİŞİMİ Bulut Bilişim Güvenliği 2. Bulut Ortamındaki Güvenlik Riskleri ve Tehditler Veri ihlalleri: Yetkisiz erişim, hırsızlık veya veri sızıntıları. Örnek: 2017'de Equifax'ta 143 milyon kişinin verileri çalındı. Hesap ele geçirme: Zayıf parolalar, kimlik avı saldırıları veya sosyal mühendislik yoluyla hesapların ele geçirilmesi. Hizmet reddi (DoS) saldırıları: Bulut hizmetlerine erişimi engellemek veya yavaşlatmak için yapılan saldırılar. Kötü amaçlı yazılımlar: Virüsler, Truva atları ve ransomware gibi zararlı yazılımlar. Uygulama güvenlik açıkları: Yazılım hataları veya zayıf kodlama uygulamaları nedeniyle ortaya çıkan güvenlik açıkları. Yanlış yapılandırma: Güvenlik ayarlarının yanlış yapılandırılması veya güncellenmemesi. İç tehditler: Çalışanlar veya eski çalışanlar tarafından gerçekleştirilen kasıtlı veya kasıtsız eylemler. Uyumluluk riskleri: GDPR, HIPAA, KVKKK gibi veri koruma düzenlemelerine uyum sağlamama. BULUT BİLİŞİMİ Bulut Bilişim Güvenliği 2. Bulut Ortamındaki Güvenlik Riskleri ve Tehditler BULUT BİLİŞİMİ Bulut Bilişim Güvenliği 3. Kimlik Doğrulama ve Yetkilendirme Kimlik doğrulama: Kullanıcıların kimliklerini doğrulama süreci. Çok faktörlü kimlik doğrulama (MFA): Birden fazla kimlik doğrulama faktörü kullanarak güvenliği artırır (örneğin, parola, SMS kodu, biyometrik doğrulama). BULUT BİLİŞİMİ Bulut Bilişim Güvenliği 3. Kimlik Doğrulama ve Yetkilendirme Yetkilendirme: Doğrulanmış kullanıcılara belirli kaynaklara ve eylemlere erişim izni verme süreci. Kimlik ve erişim yönetimi (IAM): Kullanıcı hesaplarını, rolleri ve izinleri yönetmek için kullanılan bir çerçeve. Tek oturum açma (SSO): Kullanıcıların birden fazla uygulamaya tek bir kimlik doğrulama ile erişmesini sağlar. BULUT BİLİŞİMİ Bulut Bilişim Güvenliği 4. Veri Şifreleme ve Güvenliği Şifreleme: Verileri yetkisiz erişime karşı korumak için okunamaz hale getirme işlemi. Simetrik şifreleme: Hem şifreleme hem de şifre çözme için aynı anahtar kullanılır. Asimetrik şifreleme: Şifreleme ve şifre çözme için farklı anahtarlar (genel ve özel anahtar) kullanılır. Veri hareket halindeyken şifreleme: Veriler ağ üzerinden iletilirken şifrelenir (örneğin, TLS/SSL). Veri bekleme halindeyken şifreleme: Veriler depolama ortamında şifrelenir. Anahtar yönetimi: Şifreleme anahtarlarının güvenli bir şekilde oluşturulması, depolanması ve yönetilmesi. BULUT BİLİŞİMİ Bulut Bilişim Güvenliği 4. Veri Şifreleme ve Güvenliği BULUT BİLİŞİMİ Bulut Bilişim Güvenliği 5. Güvenlik Duvarları ve Saldırı Tespit Sistemleri Güvenlik duvarları: Ağ trafiğini izleyen ve yetkisiz erişimi engelleyen bir güvenlik önlemidir. Ağ güvenlik duvarları: Ağ katmanında çalışır ve IP adresleri ve portlar gibi kriterlere göre trafiği filtreler. Web uygulama güvenlik duvarları (WAF): Web uygulamalarını saldırılara karşı korur. Saldırı tespit ve önleme sistemleri (IDS/IPS): Ağ trafiğini izleyerek şüpheli aktiviteleri tespit eder ve engeller. Güvenlik bilgi ve olay yönetimi (SIEM): Güvenlik olaylarını toplayan, analiz eden ve raporlayan bir sistem. BULUT BİLİŞİMİ Bulut Bilişim Güvenliği 5. Güvenlik Duvarları ve Saldırı Tespit Sistemleri BULUT BİLİŞİMİ Bulut Bilişim Güvenliği 6. Bulut Güvenliği En İyi Uygulamaları Güçlü parolalar ve MFA kullanılmalıdır. IAM politikalarını doğru bir şekilde yapılandırılmalıdır Verileri düzenli olarak yedeklenmelidir. Güvenlik açıklarını düzenli olarak taranmalı ve yama uygulanmalıdır. Güvenlik güncellemeleri takip edilmelidir. Bulut sağlayıcısının güvenlik araçları ve hizmetleri kullanılmalıdırç Güvenlik eğitimleri ve farkındalık programları düzenlenmelidir. BULUT BİLİŞİMİ KAYNAKÇA Bulutistan, Bulut Güvenliği Nedir?, https://bulutistan.com/blog/bulut-guvenligi-nedir/ Barikat, Bulut Güvenliği, https://www.barikat.com.tr/blog/bulut-guvenligi Forcepoint, Cloud Security, https://www.forcepoint.com/tr/cyber-edu/cloud-security Berqnet, Bulut Bilişim Güvenliği Nedir?, https://berqnet.com/blog/bulut-bilisim-guvenligi MBR Teknoloji, Bulut Bilişim Nedir?, https://mbrteknoloji.com.tr/bulut-bilisim-nedir/ AWS, AWS Security Documentation, https://aws.amazon.com/security/ Microsoft Azure, Azure Security Documentation, https://docs.microsoft.com/en-us/azure/security/ Google Cloud, Google Cloud Security Documentation, https://cloud.google.com/security/ Google Cloud, Shared responsibility model, https://cloud.google.com/architecture/framework/security/shared-responsibility-shared-fate Amazon Web Services, Paylaşılan sorumluluk modeli, https://aws.amazon.com/tr/compliance/shared-responsibility-model/ Microsoft Learn, Azure'da paylaşılan sorumluluk, https://learn.microsoft.com/tr-tr/azure/security/fundamentals/shared-responsibility StationX, Cloud security statistics, https://www.stationx.net/cloud-security-statistics/ Databarracks, Cyber attacks are now the #1 cause of data loss, https://www.databarracks.com/news/cyber-attacks-are-now-the-1-cause-of- data-loss-databarracks-research-reveals OneLogin, How single sign-on works, https://www.onelogin.com/learn/how-single-sign-on-works Wiz, Cloud encryption, https://www.wiz.io/academy/cloud-encryption BULUT BİLİŞİMİ ÖNÜMÜZDEKİ HAFTA Hafta 4: Bulut Depolama Bulut depolama hizmetleri ve türleri Nesne depolama ve blok depolama Dosya depolama ve veri tabanı depolama Veri yedekleme ve felaket kurtarma BULUT BİLİŞİMİ