Ayrıcalıklı Erişim Yönetimi (PAM) Nedir?

Ayrıcalıklı erişim yönetimi yani privileged access management, ayrıcalıklı erişim izinlerine sahip kullanıcıları kontrol etmek, izlemek ve korumak için kullanılan bir siber güvenlik stratejileri ve erişim yönetimi araçları paketidir. IAM’nin bir alt kümesi olarak, bu ayrıcalıklı hesapların güvenliği ve korunması için gerekli çözüm ve araçlarla ilgilenen genellikle daha küçük bir pakettir. 

Analistler ve BT ekipleri tarafından da değerli ve kritik bir siber güvenlik platformu olarak kabul edilen PAM, aşağıdakiler gibi önemli kaynakları korumanızı sağlar:

• Veri
• Kullanıcı hesapları
• Ağlar
• Cihazlar
• Sistemler
• Süreçler

Bir erişim çözümü olarak PAM, normal kullanıcıların kullanamayacağı özel erişim uygulayarak kimlikleri korur. Tek amacı, tüm ayrıcalıklı hesapları yönetmek ve güvence altına almak, basit şifre yöneticilerinden ve sistem erişim kontrolünden çok daha verimli bir araç olarak hizmet etmektir.

IAM, her çalışan için tek bir dijital kimliğe sahipken, PAM sadece bireylerin değil, paylaşılan hesapların, süper kullanıcıların, ekiplerin ve hizmet hesaplarının yönetilmesine de yardımcı olur.

Ayrıcalıklı Erişim Nedir?

Ayrıcalıklı erişim, bir kullanıcının erişim düzeyini ifade eder, daha fazla izin gerektirir ve standart kullanıcı erişiminden daha üst düzey bir yeteneğe sahiptir. Bu, belirli bir kullanıcının organize bir ortamda neler yapıp yapamayacağını tanımlayan katmanlı bir modeldir.

Örneğin, belirli işletim sistemlerinin bir kök kullanıcısı veya yöneticisi, daha düşük erişim düzeyine sahip standart bir kullanıcıya kıyasla ayrıcalıklı bir erişime sahiptir. Bu sayede yönetici sadece sistem dizinlerine engelsiz erişim vermekle kalmaz, aynı zamanda kullanıcı ekleyebilir, kullanıcı silebilir veya sistem dosyalarını değiştirebilir.

Bu yüzden kullanıcıların sistem dizinine erişimi ne kadar fazlaysa, ek güvenlik önlemleri ile o kadar artırılır.

Ayrıcalıklı Erişim Güvenliği Terminolojisi

PAM bazen Privileged Account Management, Privileged Identity Management ve Privileged Session Management ile birbirinin yerine kullanılabilir.

Her terim birbirine benzemesine rağmen birbirinin yerine kullanılamaz. Ancak hepsinin asıl amacı, hassas verilere erişimi olan hesapları güvence altına almak ve korumaktır.

1. Kimlik Erişim Yönetimi (Identity Access Management)

Kimlik erişim yönetimi (IAM), erişim kimlik doğrulamasıyla ilgili tüm politikaları ve araçları kapsayan bir terimdir.

Ayrıcalıklı kullanıcıların yönetici erişimini güvence altına alan PAM’in aksine, IAM, tüm kullanıcı erişiminin doğrulanmasını ve yetkilendirilmesini kapsar.

IAM araçları, sadece önemli verilere erişimi olan üst düzey çalışanların dahil edilmesini sağlar ve bu kişilere, bireyler yerine iş rollerine ve gruplarına göre kullanıcı erişimi verilir.

IAM, parola yönetimi ve SSO (tek oturum açma), çok faktörlü kimlik doğrulama ve tüm kullanıcı hesaplarını kapsayan kullanıcı yaşam döngüsü yönetimi ile ilgili araçları kullanır.

2. Ayrıcalıklı Erişim Yönetimi (Privileged Access Management – PAM)

Ayrıcalıklı Erişim Yönetimi, IAM’nin bir parçası olan bir alt küme erişim çözümüdür. PAM, genellikle ağlar ve cihazlar için ayrıcalıklı hesapların güvenliği ve korunması için gerekli çözümler ve araçlarla ilgilenen daha küçük bir paket olarak kabul edilir.

Basitçe söylemek gerekirse, bir şirketin IAM stratejisine entegre edilmiş birleşik ve şeffaf bir bilgi güvenliği (infosec) mekanizmasıdır.

3. Ayrıcalıklı Hesap Yönetimi (Privileged Account Management)

Ayrıcalıklı Hesap Yönetimi, hesapları düzenlemeye ve yönetmeye odaklanan ayrıcalıklı erişim yönetiminin bir alt kümesidir.

4. Ayrıcalıklı Kimlik Yönetimi (Privileged Identity Management-PIM)

PIM, ayrıcalıklı kullanıcıların hangi kaynaklara erişebildiğini yönetme ve izleme hizmetini içeren bir terimdir. Ayrıcalıklı erişim yönetimi ile birbirinin yerine kullanılır.

5. Ayrıcalıklı Oturum Yönetimi (Privileged Session Management – PSM)

Ayrıcalıklı Oturum Yönetimi, PAM’in kullandığı araçların bir bileşenidir. PSM, bir şirketin sunucusunda oturum açmış ayrıcalıklı bir erişim hesabının yönetilmesi, izlenmesi ve kontrol edilmesi anlamına gelir.

Temel olarak, bu, ayrıcalıklı oturumların videolarının kaydedilmesini, gözden geçirilmesini ve kullanıcının yazdıklarının keylogging’ini içerir. Belirli araçlar, güvenlik prosedürü olarak bir tehdit algılandığında oturumu otomatik olarak kapatır.

İşletmenizin Neden PAM’e İhtiyacınız Var?

Bir işletmenin PAM uygulamasına ihtiyacının olmasının bazı nedenleri aşağıdakileri içerir:

• Manuel çözümlerin uzun vadede son derece sıkıcı ve yetersiz olduğu kanıtlanmıştır.
• Merkezi yönetim erişimine sahip olmak, operasyonel karmaşıklığı engelleyebilir.
• Ayrıcalıklı hesaplara önemli erişim noktaları vermek, bir sistemin güvenliğini feci şekilde tehlikeye atabilir.
• En iyi niyetli çalışanlarınız bile hata yapmaya eğilimlidir ve hassas verilere erişimi istemeden tehlikeye atmaya karşı tamamen güvende değildir.
• E-tablolardaki parolalar bile yardımcı olmaz, çünkü bunlar sadece güncel tutulan parolaları izler ve kimlik bilgisi rotasyonunu engeller.

Ayrıcalıklı Erişim Yönetimi Nasıl Çalışır?

Bir çalışma ortamında, kullanıcıların görevlerini yerine getirmek için genellikle yükseltilmiş izinlere ve ayrıcalıklı hesaplara erişim isteklerine ihtiyacı vardır. Aynı kullanıcıların, sunucuya erişime neden ihtiyaç duyduklarını ilk etapta gerekçeli bir şekilde belirtmeleri gerekir.

Burası, iyi dengelenmiş bir iş akışını sürdürürken ağı güvence altına almak için PAM’in devreye girdiği yerdir.

PAM, bir kullanıcının erişim isteğini onaylama veya reddetme sürecini basitleştirir ve her kararı günlüğe kaydeder. Bir PAM çözümü genellikle belirli erişim istekleri için bir yöneticinin onayıyla kurulur.

Kullanıcının onayı verildikten sonra, PAM onlara görevleri için geçici olarak daha yüksek erişim sağlar ve bu, ayrıcalıklı erişim için kimlik bilgilerini manuel olarak isteme ve hatırlama ihtiyacını ortadan kaldırır.

PAM Araçları

Birincil PAM uygulamalarından bazıları aşağıdaki şekildedir:

• SSO (Single Sign-On) entegrasyonu, parolaların bütünlüğünden ödün vermeden ve kullanıcı iş akışını kesintiye uğratmadan birden çok kullanıcı hesabına erişimi merkezileştirir. Bu, kimlik bilgilerini güvence altına alır ve yanlış ellere geçmemelerini sağlar.
• Kimlik bilgileri yönetimi, geçerli kaldıkları süreyi kısaltan kasaların ve parola/kimlik bilgileri rotasyonlarının kullanılması anlamına gelir. Bu, bilgisayar korsanlarının çalınan bir parolayla erişebilecekleri zaman aralığını kısaltır.
• Sürekli tetikte olmak, PAM çözümünüzün bir parçası olan ayrıcalıklı hesapları takip etmek anlamına gelir. Ayrıcalıklı oturumlara sahip tüm kullanıcıların ayrıntılı bir günlüğüne sahip olması ve anormallikleri belirlemesi çok önemlidir. Her süreç, işverenlerin ve çalışanların üzerinde anlaştıkları bir görevle uyumlu olmalıdır.
• Bir sistemdeki şüpheli etkinlikleri tespit etmeye yönelik daha iyi bir genel bakış, net denetim izi ve önemli içgörüler için tüm ayrıcalıklı hesap etkinliklerini gerçek zamanlı olarak sürekli olarak izleyin, günlüğe kaydedin ve denetleyin. SIEM ile SSH oturumlarını, veri tabanı sorgularını ve kubectl komutlarını gözden geçirilebilir günlüklerle günlüğe kaydedin. Ayrıcalıklı erişim yönetimini denetlerken, ayrıcalıklı oturum izleme ve takibini sürekli olarak planlayın.
• Otomasyon, bir veri sisteminin güvenlik çerçevesinde insan hatası riskini önemli ölçüde azaltır. Kullanıcı yetkilendirmesinin otomatikleştirilmesi, DevOps için idari işleri optimize etmek üzere basit görevlerin yerini alır ve politikaya bağlılıklarını önemli ölçüde artırır. Ayrıca, SSH anahtarlarını, VPN parolalarını ve veri tabanı kimlik bilgilerini sağlamanıza olanak tanır.
• Geçici ayrıcalık yükseltme, acil durumlarda belirli bir zaman dilimi içinde alt düzey kullanıcılara en düşük ayrıcalık ve daha yüksek ayrıcalık erişiminin verilmesi/kaldırılmasıyla ilgilidir. Değerli verilere yetkisiz erişim elde etmek için sistemdeki güvenlik açıklarından yararlanan bir siber tehdit olan ayrıcalık yükseltme ile karıştırılmamalıdır.
• Rol tabanlı erişim denetimi (RBAC), birden çok kullanıcıya yüksek düzeyde yönetici erişimi vermek yerine yetkili kullanıcılara işletme içindeki rollerine göre ağ erişim düzeylerini kısıtlar veya verir. 
• Uyumluluk yönetimi, işletmenizin veya kuruluşunuzun SOC 2, ISO 27001, GDPR, HIPAA ve PCI DSS yönetmelikleriyle uyumlu kalmasına yardımcı olur.

PAM, uyumluluk ve denetim konusunda yardıma ihtiyaç duymaları durumunda kullanıcıların oturumlarını izlemenize olanak tanır, ancak bu araçlardan hangisinin işletmeniz için en uygun olduğunu bulmak sizin görevinizdir.

Yukarıdaki listedekiler, belirli bir veri sistemi içinde güvenliği artırmanın en yaygın yolları ve PAM yöntemleri olsa da, ayrıcalıklı erişim güvenliğinin en önemli ve en birincil biçimlerinden biri, en az ayrıcalık ilkesi olarak bilinir.

Ayrıcalıklı Erişim Yönetimi Gereksinimleri

Herhangi bir ayrıcalıklı erişim yönetimi çözümü, bir işletme içinde uygun bir PAM politikası standartlarını karşılamalıdır.

Bu noktada çoğu işletme, şifre kasası, otomatik döndürme, oluşturma, iş akışı ve kimlik bilgisi onay sistemleri ile otomatik parola yöneticisi uygulamalarına sahiptir. Parola yöneticilerinin yanı sıra PAM ilkeleri yöneticilere çok faktörlü kimlik doğrulamayı uygulama ve bununla çalışma gücü sağlamalıdır.

Güçlü izleme ve raporlama sunan PAM çözüm mimarilerini ile çalışan yöneticiler, üst düzey hesapları otomatikleştirme, değiştirme, oluşturma veya silme yetkisine sahiptir.

İyi yapılandırılmış bir PAM altyapısının, güvenlik yöneticilerine ayrıcalıklı oturumları daha iyi görebilmeleri için gerçek zamanlı izleme, otomatik bildirim sistemleri ve uyarılar sağlaması gerekir.

Ayrıcalıklı Hesaplar Nelerdir?

Bir PAM çerçevesini uygulamadan önce bir işletme öncelikle hangi kullanıcı hesaplarına belirli ilkelerle ayrıcalıklı kimlik bilgileri verilmesi gerektiğini belirlemelidir.

Genel olarak, ayrıcalıklı bir hesap, ayrıcalıklı olmayan hesaplara sahip kullanıcılara erişim ve ayrıcalıklar sağlama gücüne sahip iş istasyonlarındaki herhangi bir hesap olarak kabul edilir.

Ayrıcalıklı kullanıcılar, ayrıcalıklı bir hesap yoluyla ayrıcalıklı etkinlikten yararlanan kullanıcılardır. Bu kullanıcılar ayrıcalıklı olmayan hesaplardan/kullanıcılardan çok daha büyük bir tehdit oluşturur.

Yönetici hesaplarının sadece kesinlikle ihtiyaç duyulduğunda ve kısa bir süre için kullanılması önerilir. Standart hesaplarla karşılaştırıldığında, yönetici hesaplarının ayrıcalığı daha fazladır, bu nedenle kötüye kullanılırsa tehdit daha büyük olacaktır.

PAM Neden Önemlidir?

Günümüzde işletmeler çok sayıda siber güvenlik sorunuyla savaş halindedir. Çalışan hatası, düzensiz kimlik bilgisi güvenliği ve yetersiz devre dışı bırakma gibi tehditler, tüm operasyonunuzu tehlikeye atabilir ve bilgisayar korsanları için ücretsiz giriş erişim noktaları sağlayabilir.

Bu noktada PAM, işletmenizin saldırı yüzeyini yoğunlaştırmanıza yardımcı olan etkili, gözlemlenebilir ve merkezi bir platform sağlar. Bu platform, ilkelerin, SaaS uygulama ve yazılımlarının ve özetlenen güvenlik stratejilerinin bir kombinasyonu aracılığıyla kritik sistem ve verilerinizi yönetmek ve korumak için en iyi seçeneğiniz olabilir.

Esnek bir kimlik ve erişim yönetimi stratejisi ve kapsamlı bir PAM çerçevesi uygulayarak ağınızı güçlendirebilir, uyumluluğu iyileştirebilir, operasyonel karmaşıklığı azaltabilir ve çalışanlarınız için ayrıcalıklı erişimi yumuşatmak için birlikte çalışabilirsiniz.