Segmentasyon ve Zero Trust

Segmentasyon tek bir işlemin adı sayılır ve aslında iki ayrı işi tarif eder. İkisi karıştırıldığında ortaya güvenlik sanılan bir düzen çıkar. Birincisi ayırmadır. VLAN, alt ağ ya da sanal ağ kullanarak cihazlar farklı yayın bölgelerine konur. İkincisi zorlamadır. O bölgeler arasından geçen trafiğe bir politika uygulanır. Birincisi ikincisini getirmez. İki VLAN arasında yönlendirme yapan bir katman 3 anahtar, trafiği hiçbir denetimden geçirmeden taşır. Ağ şeması ise bakan göze bölünmüş görünür.

İç trafiğin görünürlüğü buradan çıkan ikinci konudur. İnternet sınırındaki cihaz, kurum içindeki iki sunucunun birbiriyle konuşmasını görmez. Saldırganın ilk erişimden sonra yaptığı şey tam olarak o görünmeyen alanda olur. Bir makineden diğerine geçer, yetki toplar, hedefe yaklaşır. Bu hareketi durduran şey çevredeki cihaz olmaz. Bölgeler arasına konmuş politika olur.

Zero Trust ise bir ürün sınıfı değil, güven kararının nereden alındığına dair bir modeldir. Klasik yaklaşım güveni konumdan türetir. Makine iç ağdaysa güvenilir sayılır. Model bu türetmeyi bırakır ve her erişim isteğinde kimliği, cihazın durumunu ve istenen kaynağı ayrı ayrı değerlendirir. Güvenlik duvarını ortadan kaldırmaz, ona tek karar mercii muamelesi yapmayı bırakır. Kimlik doğrulama, uç nokta denetimi ve uygulama katmanındaki yetkilendirme aynı zincirin halkalarıdır.