> MİMARİ KATALOĞU // SÜRÜM 1.0
18 Sıfır Güven Referans Mimarisi
54 Olgunluk Seviyesi, Donanım Kökü Kanıtlaması, eBPF Çekirdek Koruması ve Kuantum Sonrası Kriptografi
SPIFFE/SPIRE Cryptographic Workload Attestation
Statik kimlik bilgilerini tamamen ortadan kaldıran, SPIFFE ID ve kısa ömürlü X.509 SVID sertifikaları ile donanım ve çekirdek doğrulamalı iş yükü kimlik kanıtlaması ve mTLS mimarisi.
Saldırgan ana makine ağını ele geçirerek servis kimliğini taklit etmeye veya servisler arası RPC trafiğini dinlemeye çalışır.
Context-Aware Identity-Aware Proxy (ZTNA)
Kurumsal VPN'leri ortadan kaldıran, her istekte kullanıcı kimliği, cihaz sağlığı ve coğrafi konumu doğrulayan bağlam duyarlı kimlik doğrulama vekili (ZTNA) mimarisi.
Çalınan çalışan parolasının yetkisiz bir kişisel cihazdan veya şüpheli bir yabancı IP aralığından kullanılmaya çalışılması.
Hardware-Bound FIDO2/WebAuthn Enterprise IdP
Ortadaki-saldırgan (AitM) oltalama saldırılarına karşı matematiksel olarak bağışık, WebAuthn ve donanım güvenlik anahtarları (YubiKey / Secure Enclave) ile çalışan parolasız kurumsal kimlik mimarisi.
Saldırganın ters vekil oltalama araçlarıyla kullanıcı adı, parola ve TOTP doğrulama kodlarını eşzamanlı olarak çalması.
Secretless Multi-Cloud Workload Identity Federation
Statik bulut API anahtarlarını tamamen ortadan kaldıran; GitHub Actions, Kubernetes, AWS IAM, GCP ve Azure arasında kısa ömürlü OIDC güven ilişkisi kuran sıfır-parola altyapı mimarisi.
Saldırganın CI/CD ortam değişkenlerindeki kalıcı bulut anahtarlarını çalarak bulut kaynaklarına sınırsız sızması.
Kernel-Level eBPF L3-L7 Kubernetes Microsegmentation
Yavaş iptables kurallarını ortadan kaldıran, çekirdek seviyesinde Cilium eBPF ile kriptografik kimlik tabanlı L3/L4/L7 paket filtreleme ve şeffaf WireGuard şifrelemesi sağlayan mikro-segmentasyon mimarisi.
Ele geçirilen web konteynerinin pod ağı üzerinde port taraması ve veritabanlarına yetkisiz sızma girişiminde bulunması.
SLSA Level 3 Cryptographic Software Supply Chain
Konteyner ve kod bütünlüğünü güvenceye alan, SLSA Seviye 3 uyumlu, Cosign anahtarsız imzalama ve Kubernetes kabul denetleyicileri (Kyverno) ile çalışan kriptografik tedarik zinciri mimarisi.
Saldırganın geliştirici hesabını veya derleme sunucusunu ele geçirerek üretim ikili dosyalarına arka kapı yerleştirmesi.
Hardware HSM Envelope Encryption & BYOK Data Vault
Veritabanı alanları ve dosyalar için geçici veri şifreleme anahtarları (DEK) üreten, FIPS 140-3 Seviye 3 HSM donanımlı ve Kendi Anahtarını Getir (BYOK) destekli zarf şifreleme mimarisi.
Saldırganın veritabanı yedeğini veya disk imajını ele geçirerek çevrimdışı kriptoanaliz ile müşteri verilerini okumaya çalışması.
Real-Time Kernel Threat Enforcement via Tetragon
İşletim sistemi çekirdeğinde derin görünürlük ve saldırıları başlamadan engelleyen Cilium Tetragon eBPF mimarisi; yetkisiz sistem çağrılarını çekirdek seviyesinde SIGKILL ile durdurur.
Saldırganın sıfır-gün açığından yararlanarak konteyner içinde ters kabuk açması veya hassas sistem dosyalarını okumaya çalışması.
Zero-Trust AI Agent Guardrail & Tool Sandboxing
Otonom yapay zekâ ajanları için sıfır güven savunma mimarisi; araç çalıştırmayı şema doğrulama vekilleri, hava boşluklu WASM/MicroVM kum havuzları ve istem enjeksiyonu filtreleri arkasında izole eder.
Saldırganın web sayfasına veya destek biletine gizli komutlar enjekte ederek ajanın veritabanı silme veya para transferi yapmasını sağlaması.
Post-Quantum Cryptography Hybrid TLS 1.3 Key Exchange
NIST onaylı Kuantum Sonrası Kriptografi (PQC) hibrit anahtar kapsülleme (X25519 + ML-KEM / Kyber-768) uygulayan; gelecekteki kuantum bilgisayarların bugünden kaydedilen verileri çözmesini engelleyen mimari.
Saldırganın şifreli trafiği bugünden kaydedip arşivleyerek gelecekte kuantum bilgisayarlarla çözmeyi hedeflemesi (Harvest Now, Decrypt Later).
Peer-to-Peer Zero-Trust Mesh with Ephemeral WireGuard
WireGuard ve Headscale ile çalışan, geçici anahtar çiftleri ve kimlik tabanlı erişim kontrolüyle sunucular arasında noktadan noktaya şifreli tüneller kuran hafif açık kaynaklı ağ mimarisi.
Saldırganın bulut WAN hatlarını dinleyerek veya sahte paketler enjekte ederek sunucular arası trafiğe müdahale etmesi.
Read-Only Immutable OS with Ephemeral Worker Nodes
SSH, kabuk (shell), paket yöneticisi ve yazılabilir kök dizini tamamen kaldırarak saldırı yüzeyini sıfırlayan Talos Linux tabanlı değiştirilemez ve geçici sunucu mimarisi.
Konteynerden ana makineye taşan saldırganın disk üzerine rootkit yüklemeye veya kalıcı arka kapı bırakmaya çalışması.
Confidential Computing with AMD SEV-SNP Memory Encryption
Sanal makine belleğini kullanım anında (in-use) şifreleyen; kriptografik anahtarları ve yapay zekâ modellerini bulut sağlayıcısı ve hipervizör erişimine karşı koruyan AMD SEV-SNP gizli bilişim mimarisi.
Kötü niyetli bulut yöneticisinin veya ele geçirilen hipervizörün RAM belleğini okuyarak TLS özel anahtarlarını veya LLM model ağırlıklarını çalması.
Automated Internal PKI with Ephemeral X.509 Certificates
HashiCorp Vault PKI motoru ile çalışan, 1 saatten kısa ömürlü geçici X.509 ve SSH sertifikaları üreten ve sıfır dokunuşla otomatik rotasyon sağlayan dinamik iç PKI mimarisi.
Saldırganın iç TLS özel anahtarını veya SSH anahtarını çalarak sisteme uzun vadeli kalıcı erişim sağlamaya çalışması.
Distributed Cyber Deception & Active Defense Traps
İhlal girişimlerinde anında yüksek doğruluklu alarm üreten sahte AWS anahtarları, aldatıcı Kubernetes servis hesapları ve tuzak ağ portları (honeypot) yerleştiren siber aldatma ve aktif savunma mimarisi.
Sisteme sızan saldırganın içeride parola arayarak, sahte kimlik bilgilerini kullanarak veya iç portları tarayarak ilerlemeye çalışması.
Continuous Breach & Attack Simulation (BAS)
Sıfır Güven politikalarının etkinliğini matematiksel olarak kanıtlamak için üretim ortamında otomatik MITRE ATT&CK saldırı simülasyonları ve güvenlik kaos deneyleri yürüten sürekli doğrulama mimarisi.
Güvenlik politikası hatalarının veya kural ihlallerinin gerçek bir saldırıya kadar fark edilmeden sistemde gizli kalması.
Software-Defined Perimeter (SDP) Dynamic Knocking
Sunucu portlarını dış dünyaya tamamen görünmez (kapalı) tutan, Tek Paket Yetkilendirmesi (SPA) ile kriptografik olarak doğrulanana kadar hiçbir porta yanıt vermeyen Yazılım Tanımlı Çevre (SDP) mimarisi.
Saldırganın genel IP aralıklarını tarayarak açık portları ve sunucu servislerini tespit etmeye çalışması.
Zero-Overhead WebAssembly Micro-Sandboxing for Untrusted Code
Üçüncü taraf eklentileri ve güvenilmeyen kullanıcı kodlarını sıfır dosya sistemi ve ağ erişimiyle milisaniyenin altında başlatan, yetenek tabanlı WebAssembly (Wasmtime) mikro kum havuzu mimarisi.
Kullanıcının yüklediği zararlı eklenti betiğiyle diğer kiracıların belleğini okumaya veya madencilik yazılımı çalıştırmaya çalışması.
NIST SP 800-207 ve CISA ZTMM 2.0 standartlarında kurumsal Sıfır Güven savunma kanonu: Statik kimlikleri kaldırın, eBPF mikro segmentasyon uygulayın ve çalışma zamanı çekirdek telemetrisi ile ihlalleri anında önleyin.
Sıkça Sorulan Sorular
Geleneksel çevre güvenliği ile Sıfır Güven Mimarisi (Zero-Trust Architecture - ZTA) arasındaki temel felsefi fark nedir?
Geleneksel çevre güvenliği "kale ve hendek" yaklaşımına dayanır: Bir kullanıcı veya sunucu ağ sınırını (örneğin VPN ile) aştığında, iç ağda geniş yatay erişim yetkisiyle örtük olarak güvenilir kabul edilir. Sıfır Güven Mimarisi (NIST SP 800-207) ise "Asla Güvenme, Daima Doğrula, İhlali Varsay" ilkesini benimser. İster şirket dışından ister özel bir Kubernetes kümesi içinden gelsin, her istek bağlamsal sinyallere göre dinamik olarak doğrulanmalı ve yetkilendirilmelidir.
NIST SP 800-207 standardı Politika Karar Noktalarını (PDP) ve Politika Zorlama Noktalarını (PEP) nasıl tanımlar?
NIST SP 800-207 kapsamında Politika Karar Noktası (PDP), erişim kurallarını sürekli değerlendiren Politika Motoru ve kimlik bilgilerini üreten/iptal eden Politika Yöneticisinden oluşan mantıksal merkezdir. Politika Zorlama Noktası (PEP) ise trafiği yakalayarak PDP'den gelen talimata göre bağlantıya izin veren veya bağlantıyı sonlandıran kapı bekçisidir (örneğin bir Envoy vekili, API geçidi veya eBPF çekirdek kancası).
Statik kalıcı kimlik bilgileri (API anahtarları, parolalar) neden kritik bir Sıfır Güven anti-örüntüsü olarak kabul edilir?
Statik kimlik bilgileri zamansal ve bağlamsal doğrulamadan yoksundur. Bir kez sızdırıldığında (örneğin bir GitHub commit'i, ele geçirilen geliştirici bilgisayarı veya CI günlüğü üzerinden), saldırgan geleneksel çevre alarmlarını tetiklemeden bu anahtarları süresiz kullanabilir. Modern Sıfır Güven; kısa ömürlü OIDC federasyonu, SPIFFE/SPIRE karşılıklı TLS sertifikaları veya FIDO2/WebAuthn donanım anahtarları ile geçici kimlik bilgilerini (TTL < 1 saat) zorunlu kılar.
Çekirdek düzeyinde eBPF (Cilium/Tetragon), mikro-segmentasyon için eski iptables yapısına göre nasıl avantaj sağlar?
Eski iptables doğrusal O(N) karmaşıklıkla ölçeklenir; binlerce pod ve ağ kuralı içeren kümelerde ciddi CPU yükü ve gecikme artışı yaratır. Ayrıca iptables yalnızca IP adresi ve portlara bakar, uygulama bağlamını göremez. Cilium eBPF ise iptables yerine sabit O(1) sürede çalışan çekirdek içi BPF karma tabloları kullanır; kriptografik kimlik tabanlı filtreleme, Katman 7 protokol denetimi (HTTP/gRPC) ve kullanıcı alanına geçmeden çekirdek içi süreç sonlandırma (SIGKILL) sağlar.
SPIFFE/SPIRE nedir ve parola kullanmadan iş yükü kanıtlamasını (workload attestation) nasıl gerçekleştirir?
SPIFFE (Secure Production Identity Framework for Everyone), iş yükleri için tek tip kriptografik kimlik dizgilerini (SPIFFE ID) tanımlayan bir CNCF açık standardıdır. SPIRE ise bunun referans uygulamasıdır. Yerel SPIRE Agent, Linux çekirdeğini (/proc) ve konteyner çalışma zamanını denetleyerek iş yükü özniteliklerini (imaj SHA değeri, isim alanı, servis hesabı) doğrular. İş yükünün belleğine SPIFFE Workload API üzerinden geçici bir X.509 SVID sertifikası enjekte eder.
SLSA Seviye 3 nedir ve Sigstore Cosign ile anahtarsız imzalama neden yazılım tedarik zincirleri için kritiktir?
SLSA (Supply-chain Levels for Software Artifacts) Seviye 3, kaynak kodun ara girdilerin değiştirilemeyeceği izole, hermetik ve doğrulanabilir bir derleme ortamında üretildiğini garanti eder. Sigstore Cosign anahtarsız imzalama; CI çalıştırıcısından alınan kısa ömürlü OIDC belirteçleri ve Fulcio Sertifika Otoritesini kullanarak imajları imzalar ve kanıtı kalıcı olarak Rekor şeffaflık günlüğüne işler; geliştiricilerin özel imzalama anahtarı saklama zorunluluğunu ortadan kaldırır.