Ağ güvenliği

Buraya kadarki beş ders kavramları kurdu: neyi koruyoruz, riski nasıl ölçüyoruz, kriptografi ne yapar, sertifika kimliği nasıl bağlar, yetki nasıl yönetilir. Bu ders tehdit ve operasyon yarısını açar ve ilk somut savunma katmanına bakar: ağ. Konu teknik göründüğü kadar kavramsaldır, çünkü ağ güvenliğinin son yirmi yılı tek bir fikrin doğuşu ve çöküşüdür — "içerideki güvenilir, dışarıdaki güvenilmez". O fikrin neden çöktüğünü ve yerine ne geldiğini anlarsan, güvenlik duvarı kuralından sıfır güvene kadar her şey aynı hikâyenin parçası olur.

01Ne öğreneceksin

02Çevre savunması: fikir, doğuşu ve sınırı

Ağ güvenliğinin klasik modeli çevre savunmasıdır (perimeter security): kurumun ağı bir kaleye benzetilir, dışarıyla arasına bir duvar çekilir, geçiş yalnız kontrollü kapılardan yapılır. Bu modelde güven, ağdaki konuma verilir: "iç ağdaki makine güvenilirdir, internetten gelen güvenilmez".

Fikir tarihsel olarak makuldü. 2000'lerin başında bir kurumun tüm sunucuları kendi binasındaydı, çalışanlar aynı binadaki masaüstü bilgisayarlardan bağlanıyordu, mobil cihaz ve bulut yoktu. "İçerisi" fiziksel olarak da gerçekten içerisiydi.

Bugün bu modelin dayandığı varsayımların hepsi kırıldı:

• Sunucular artık içeride değil — bulut, SaaS, dış veri merkezi.
• Kullanıcılar artık içeride değil — uzaktan çalışma, mobil cihaz, kendi cihazını getir (BYOD).
• Saldırgan zaten içeride olabilir — kimlik avıyla çalınan bir hesap, saldırganı ilk saniyede "iç ağa" taşır (7. ders).
• Trafiğin çoğu artık şifreli — duvar, içinden geçen şeyin ne olduğunu her zaman göremez.

Bu yüzden çevre savunması terk edilmedi ama tek katman olmaktan çıktı. Doğru okuma şudur: güvenlik duvarı hâlâ gereklidir — saldırı yüzeyini küçültür (14-02) ve gürültünün büyük kısmını keser — ama tek başına bir güvenlik mimarisi değildir. 1. dersteki derinlemesine savunma ilkesi tam olarak bunu söyler: her katmanın delinebileceğini varsay, arkasına bir katman daha koy.

Bu dersteki her mekanizmayı şu iki soruyla oku: hangi katmanda çalışıyor ve neyi göremiyor? Bir savunmayı doğru kullanmanın yolu, ne yapmadığını bilmektir.

03Güvenlik duvarı türleri ve kural tasarımı

Güvenlik duvarı (firewall), iki ağ arasındaki trafiği tanımlı kurallara göre geçiren ya da engelleyen denetim noktasıdır. Türleri, kararı verirken paketin ne kadarına baktıklarıyla ayrılır:

Sınavda en sık karıştırılan ikili WAF ile klasik güvenlik duvarıdır. Fark tek cümleyle şudur: klasik duvar kimin kiminle konuşabileceğine karar verir, WAF konuşmanın içeriğinin zararlı olup olmadığına bakar. Biri 3-4. katmanda, diğeri 7. katmandadır. Ayrıca WAF bir yama değildir: 13-09'da söylediğimiz gibi sanal yama olarak zaman kazandırır, ama kodu düzeltmez ve atlatılabilir.

Kural tasarımının değişmez ilkeleri:

• Varsayılan reddet (default deny) — açıkça izin verilmeyen her şey yasaktır. Tersi ("varsayılan izin, kötüleri engelle") tanım gereği eksiktir çünkü yarının saldırısı listede yoktur. 1. dersteki güvenli varsayılan ilkesinin ağdaki karşılığıdır.
• Kural sırası önemlidir — çoğu duvar ilk eşleşen kuralı uygular. Geniş bir izin kuralı, altındaki dar yasaklama kurallarını ölü hâle getirir. "Kural var ama çalışmıyor" şikâyetlerinin bir numaralı sebebi budur.
• Çıkış filtreleme ihmal edilir (egress filtering) — kurumların çoğu içeri gireni sıkı, dışarı çıkanı serbest bırakır. Oysa veri sızdırma ve komuta-kontrol trafiği içeriden dışarı gider. Sunucuların internete keyfî çıkışını kesmek, bir zararlının işini ciddi biçimde bozar (8. ders).
• Kural temizliği bir süreçtir — yıllar içinde biriken, sahibi belli olmayan, "ne olur ne olmaz" diye açık bırakılmış kurallar duvarı delik deşik eder. Bu, 5. dersteki yetki birikmesinin ağdaki eşidir ve çözümü de aynıdır: periyodik gözden geçirme ve her kuralın bir sahibi olması.

Yazılımcı için doğrudan sonuç: uygulamanın hangi porta, hangi yöne, hangi hedefe ihtiyaç duyduğunu belgelemek senin işindir. "Çalışsın diye tüm portları açtık" cümlesi bir mimari kararın kaydedilmemiş hâlidir ve ilk denetimde bulgu olur.

04IDS ve IPS: tespit, yanlış pozitif ve erişilebilirlik bedeli

Güvenlik duvarı izin/yasak kararı verir. Saldırı tespit sistemi (IDS) ve saldırı önleme sistemi (IPS) ise trafiğin zararlı bir örüntüye benzeyip benzemediğine bakar.

Bu tablonun son iki satırı, 1. dersteki CIA çatışmasının en somut örneğidir. IPS'i agresif ayarlarsan gizlilik ve bütünlük artar ama erişilebilirlik riske girer: bir gün meşru bir istemci, imzaya benzeyen bir istek gönderir ve üretim durur. Gevşek ayarlarsan saldırı geçer. "En güvenli ayar" yoktur; kurumun risk iştahına göre bir nokta seçilir ve bu nokta yazılı olmalıdır.

Pratikte iki dağıtım biçimi vardır: ağ tabanlı (NIDS/NIPS — ağ trafiğine bakar) ve sunucu tabanlı (HIDS/HIPS — makinedeki dosya değişikliklerine, loglara, süreçlere bakar). Dosya bütünlüğü izleme (FIM) ikincisinin klasik parçasıdır ve 1. dersteki bütünlük ayağının operasyonel karşılığıdır.

Tespit yöntemi iki türlüdür ve ikisinin zayıflığı simetriktir:

• İmza tabanlı — bilinen saldırı örüntüleri. Yanlış pozitifi düşüktür ama bilinmeyeni göremez (sıfırıncı gün, 14-02).
• Anomali tabanlı — "normal"i öğrenip sapmayı bildirir. Bilinmeyeni yakalayabilir ama normalin tanımı zordur; ilk kurulumda yanlış pozitif yağmuru olur. Dönem sonu raporlama gecesi normal dışıdır, saldırı değildir.

Üçüncü ve modern sorun: trafiğin büyük çoğunluğu şifrelidir. IDS/IPS HTTPS'in içini göremez. Üç cevap vardır ve üçünün de bedeli vardır: TLS kesme yapmak (14-04'te gördüğümüz izinli ortadaki adam — mahremiyet ve sertifika operasyonu maliyeti), uç noktada bakmak (EDR — 8. ders), ya da meta veriye bakmak (kimle, ne kadar, ne sıklıkla konuşuluyor — şifreli trafikte bile beaconing örüntüsü görünebilir).

05Segmentasyon, DMZ ve yanal hareket

Bir saldırgan ağa girdikten sonra hedefine genellikle ilk makinede ulaşmaz. Kullanıcının dizüstünden başlar, oradan dosya sunucusuna, oradan veritabanına ilerler. Buna yanal hareket (lateral movement) denir ve ağ güvenliğinin asıl sorusu şudur: bir makine düştüğünde saldırgan oradan nereye gidebilir?

Segmentasyon, ağı bölerek bu hareketi sınırlamaktır. Düz (flat) bir ağda tek bir bulaşma tüm kuruma yayılır; bölünmüş bir ağda her sınır bir denetim noktasıdır. Gemilerin su geçirmez bölmeleri gibi düşün: delik açılır ama gemi batmaz.

• VLAN — mantıksal ayrım. Tek başına güvenlik sınırı sayılmaz; aralarındaki trafiği filtreleyen bir cihaz yoksa yalnız yayın alanını böler.
• DMZ (silahsızlandırılmış bölge) — dışarıya hizmet veren sunucuların (web, e-posta, DNS) konduğu ara bölge. Kural şudur: internet DMZ ile konuşabilir, DMZ iç ağla sınırlı konuşur, internet iç ağla hiç konuşamaz. Amaç, dışa açık bir sunucu ele geçirildiğinde saldırganın doğrudan iç ağa düşmemesidir. Klasik yapı iki güvenlik duvarı arasındaki bölgedir.
• Mikro segmentasyon — sınırın ağ bölgesi değil iş yükü düzeyinde çizilmesi: "bu uygulama sunucusu yalnız şu veritabanının 5432 portuyla konuşabilir, yan taraftaki uygulamayla hiç konuşamaz". Bulut güvenlik grupları ve konteyner ağ politikaları bunun günlük hâlidir (17. hat).

Buradaki senior ayrımı kuzey-güney ↔ doğu-batı trafiğidir: kuzey-güney, dışarıyla kurum arasındaki dikey trafiktir ve zaten denetlenir; doğu-batı, iç ağdaki makinelerin birbiriyle trafiğidir ve klasik mimaride hiç denetlenmez. Büyük ihlallerin yayılma aşaması neredeyse tamamen doğu-batıda olur. Segmentasyonun asıl değeri de burasıdır.

Somut bir kural: kullanıcı bilgisayarlarının birbirine erişmesi için hiçbir iş gerekçesi yoktur. Aynı VLAN'daki iki dizüstünün SMB üzerinden konuşabilmesi, fidye yazılımının yayılma yoludur (8. ders). "İstemci izolasyonu", tek satırlık ama etkisi büyük bir tedbirdir.

06VPN, vekil sunucular ve TLS sonlandırma

VPN (sanal özel ağ), güvenilmeyen bir ağın (internetin) üstünde şifreli bir tünel kurarak iki noktayı aynı özel ağdaymış gibi bağlar. İki kullanım biçimi vardır:

IPsec ↔ TLS VPN ayrımı sınavda çıkar: IPsec ağ katmanında (3. katman) çalışır, tüm IP trafiğini kapsar, istemci yazılımı ister ve bazı ağlarda bloklanır; TLS tabanlı VPN uygulama/taşıma katmanında çalışır, 443'ten geçtiği için hemen her yerden bağlanır. Her ikisinde de anahtar değişimi 14-03'te gördüğümüz mekanizmadır: Diffie-Hellman ile oturum anahtarı üretilir, taraflar sertifika veya önceden paylaşılmış anahtarla doğrulanır — çünkü DH tek başına kimlik doğrulamaz.

Üç yaygın yanlış:

• "VPN'e girdim, artık güvendeyim." VPN yalnız taşıma güvenliği sağlar. Cihazın zararlı yazılımlıysa, VPN o zararlıya kurum ağına açılmış temiz bir yol verir. Bu yüzden modern kurumlar VPN'i cihaz sağlık kontrolüne bağlar.
• "VPN yetki verir." Vermez. VPN seni ağa bağlar; ne yapabileceğin hâlâ 5. dersteki yetkilendirmenin işidir. Klasik VPN'in en büyük kusuru, bağlanan herkese geniş bir ağ görünürlüğü vermesidir.
• Bölünmüş tünel (split tunneling) bir ödünleşimdir: yalnız kuruma giden trafiği tünelden geçirmek bant genişliği kazandırır ama cihazın internet trafiği kurumun denetiminden çıkar.

Vekil sunucular (proxy) iki yönde çalışır ve isimleri karıştırılır:

• İleri vekil (forward proxy) — istemcilerin önünde durur. Kurum çalışanlarının internet çıkışını denetler: içerik filtreleme, kayıt, önbellek. Çıkış filtrelemenin uygulama katmanı hâlidir.
• Ters vekil (reverse proxy) — sunucuların önünde durur. İstemci vekile bağlanır, arkadaki sunucuları görmez. Yük dengeleme, TLS sonlandırma, önbellek, WAF ve oran sınırlama burada yapılır. nginx bu işin tipik aracıdır (17. hat).

TLS sonlandırma yazılımcıyı doğrudan ilgilendirir: TLS bağlantısı çoğu zaman uygulamada değil, ters vekilde biter. Bunun üç sonucu vardır. Birincisi, vekil ile uygulama arasındaki trafik şifresizdir — bu iç ağda kabul edilebilir bir risk midir, karar verilmelidir (sıfır güven yaklaşımı burada mTLS ister, 14-04). İkincisi, uygulamanın gördüğü istemci IP'si artık vekilin IP'sidir; gerçek istemciyi X-Forwarded-For başlığından okursun ve bu başlık istemci tarafından uydurulabilir — yalnız kendi vekilinin eklediği değere güvenilir, aksi hâlde IP'ye dayalı oran sınırlama ve engelleme atlatılır. Üçüncüsü, sertifika operasyonu (yenileme, ara sertifika, SNI) artık vekilin sorumluluğundadır — 14-04'teki "eksik ara sertifika" hatası genellikle burada yapılır.

07Ağa kimi alıyorsun: NAC, 802.1X, kablosuz ve protokol zayıflıkları

Segmentasyon "içeride kim nereye gidebilir" sorusunu çözer. Bir soru daha vardır: ağa kim bağlanabilir? Boş bir toplantı odasındaki ethernet prizine takılan bilinmeyen bir cihaz, tüm çevre savunmasını atlayarak iç ağa girmiştir.

• NAC (ağ erişim kontrolü) — ağa bağlanan cihazı kimliklendirir ve durumunu kontrol eder (güncel işletim sistemi, çalışan uç nokta koruması, kurum cihazı mı). Uygun değilse karantina VLAN'ına düşürür.
• 802.1X — port düzeyinde kimlik doğrulama standardı. Cihaz kimlik doğrulamadan portun trafiği açılmaz; arkada RADIUS ve dizin (5. ders) durur.

Kablosuz ağ, kabloyu gerektirmediği için saldırı yüzeyini binanın dışına taşır. Bilinmesi gerekenler:

• WEP ölüdür, WPA2 yaygın standarttır, WPA3 daha güçlü el sıkışma (SAE) ile çevrimdışı parola kırmayı zorlaştırır.
• Kişisel (PSK) ↔ Kurumsal (802.1X/EAP) ayrımı önemlidir: PSK'da parola herkeste aynıdır — bir çalışan ayrıldığında tüm kurumun parolası değişmelidir (5. derste "paylaşılan hesap" sorununun ağdaki hâli). Kurumsal modda herkes kendi kimliğiyle bağlanır, hesap verebilirlik korunur.
• Misafir ağı iç ağdan tamamen ayrılır ve genelde yalnız internete çıkar.
• Sahte erişim noktası (evil twin): saldırgan aynı ağ adıyla bir erişim noktası yayınlar, bağlanan cihazların trafiğini görür. Cevabı kullanıcı dikkati değil, sertifika doğrulamasıdır (14-04) ve uçtan uca şifrelemedir.

Son olarak ağın kendi protokolleri güvenlik düşünülmeden, güvenilen bir ortam varsayılarak tasarlanmıştır. Bu, çevre savunmasının neden kırılgan olduğunun teknik açıklamasıdır:

Bu tablonun tek satırlık özeti: ağ katmanına güvenilmez. Uygulama seviyesinde TLS ve kimlik doğrulama zorunlu olmasının sebebi tam olarak budur — ve bu bizi doğrudan sıfır güvene götürür.

08Sıfır güven: "ağda olmak yetki değildir"

Sıfır güven (zero trust), çevre modelinin varsayımını tersine çevirir: hiçbir istek, ağdaki konumu yüzünden güvenilir sayılmaz. İç ağdan gelen istek de internetten gelen istek gibi doğrulanır. Slogan hâliyle: "asla güvenme, her zaman doğrula".

Bu bir ürün değil, bir mimari yaklaşımdır. Beş pratik ilkesi vardır ve hepsinin karşılığını daha önce gördük:

1. Her erişimde kimlik doğrula — kimlik yeni çevredir (5. ders, MFA).
2. En az yetki, oturum bazında — erişim kaynak düzeyinde ve süreli verilir (5. ders, JIT).
3. İhlal varsay (assume breach) — mikro segmentasyon, uçtan uca şifreleme, yanal hareketin engellenmesi.
4. Cihaz durumunu karara kat — kim olduğun kadar hangi cihazdan geldiğin de önemli (koşullu erişim, 5. ders).
5. Her şeyi kaydet ve sürekli değerlendir — güven tek seferlik değil, süreklidir (10. ders).

Yazılımcı için somut karşılığı nettir ve iş görüşmesinde ayırt edicidir: "bu servis iç ağda, dolayısıyla kimlik doğrulaması gerekmez" cümlesi geçersizdir. İç servisler de kimlik doğrular (servis kimliği, mTLS — 14-04), yetki kontrolü her istekte yapılır (13-08), iç trafik de şifrelenir. 13-01'deki "istemciden gelen hiçbir şeye güvenilmez" ilkesinin ağ ölçeğine büyütülmüş hâlidir.

ZTNA ↔ VPN farkı: klasik VPN seni ağa alır; ZTNA seni yalnız yetkili olduğun uygulamaya bağlar, ağı hiç görmezsin. Ele geçirilmiş bir hesabın hasarı, ağın tamamı yerine tek uygulamayla sınırlı kalır.

Dürüst uyarı: sıfır güven pazarlama diliyle fazla yıpranmış bir terimdir. "Sıfır güven ürünü aldık" diyen bir kurum genellikle bir ZTNA vekili almıştır; mimarinin kendisi kimlik, cihaz yönetimi, segmentasyon ve loglamayı kapsayan çok yıllık bir programdır.

09DDoS: erişilebilirliğe yapılan saldırı

Buraya kadarki savunmalar çoğunlukla gizlilik ve bütünlük içindi. DDoS (dağıtık hizmet dışı bırakma) doğrudan erişilebilirlik ayağını hedefler (1. ders) — veri çalınmaz, sistem çalışmaz hâle getirilir. "Dağıtık" olması, trafiğin binlerce ele geçirilmiş cihazdan (botnet, 8. ders) gelmesi demektir; bu yüzden "saldırganın IP'sini engelle" bir çözüm değildir.

Kıdemli bakış açısının kilit noktası şudur: uygulama katmanı DDoS'u saldırgan için en ucuz olanıdır. Saniyede birkaç yüz istek, doğru uç noktaya gönderildiğinde terabitlik trafiğe gerek kalmadan sistemi düşürür. Ve bu, tamamen yazılımcının tasarım kararlarına bağlıdır:

• Kimlik doğrulamasız pahalı uç nokta bırakma — sayfalama sınırı olmayan listeleme, sınırsız sonuç döndüren arama, herkese açık rapor üretimi.
• Oran sınırlama (13-03'te parola denemeleri için görmüştük) yalnız giriş ekranı için değildir; kaynak tüketen her uç nokta için gerekir.
• Asimetriden kaçın — istemcinin 1 birim harcayıp sunucuya 1000 birim harcatabildiği her nokta bir DDoS kaldıracıdır (ör. dosya yükleme + senkron işleme; doğru cevap kuyruğa almaktır, 19. hat).
• Hesap kilitleme ile DoS ilişkisini hatırla (1. ders çatışma tablosu): saldırgan başkasının hesabını kilitleyerek de hizmeti engelleyebilir.
• Zarif bozulma — yük altında sistemin tamamen çökmesi yerine ikincil özellikleri kapatması (devre kesici, 19. hat) tasarım kararıdır.

Son bir gerçek: DDoS savunması büyük ölçüde kapasitesi olan bir tarafa devredilir (CDN/temizleme hizmeti). Bu, 14-02'deki risk aktarımıdır ve orada söylediğimiz kural burada da geçerlidir: hizmeti satın almak sorumluluğu devretmez — yanlış yapılandırılmış bir CDN'in arkasında gerçek sunucu IP'si sızıyorsa saldırgan koruma katmanını atlar.

10Mini alıştırma — kendi uygulamanın ağ haritası

11Kendini sına

Güvenlik duvarı türlerini karşılaştır. Durum denetimli duvar ile WAF arasındaki fark nedir? İyi bir kural setinin ilkeleri nelerdir?

Paket filtreleme her pakete tek başına bakar (IP, port, protokol); hızlıdır ama bağlantı bağlamı yoktur. Durum denetimli duvar bağlantı durumu tablosu tutar, cevap paketlerini tanır ve kurumsal standarttır; ancak içeriği görmez — 443'ten geçenin ne olduğunu bilmez. Uygulama katmanı / proxy protokol içeriğine bakar, yavaştır ve şifreli trafik için kesme gerektirir. NGFW bunlara uygulama tanıma, kullanıcı kimliği ve IPS ekler. WAF yalnız HTTP(S) konuşur ve istek içeriğindeki SQL enjeksiyonu/XSS gibi uygulama saldırılarını süzer. Fark tek cümleyle: klasik duvar kimin kiminle konuşabileceğine, WAF konuşmanın içeriğinin zararlı olup olmadığına bakar (3-4. katman ↔ 7. katman). WAF bir yama değildir; uygulama mantığını bilmediği için IDOR gibi yetkilendirme hatalarını göremez. Kural ilkeleri: varsayılan reddet, kural sırasına dikkat (ilk eşleşen uygulanır; geniş izin kuralı alttakileri ölü bırakır), çıkış filtrelemenin ihmal edilmemesi (veri sızdırma ve komuta-kontrol içeriden dışarı gider) ve kuralların periyodik gözden geçirilmesi — sahipsiz kurallar yetki birikmesinin ağdaki hâlidir.

IDS ile IPS arasındaki fark nedir? Yanlış pozitifin bedeli neden ikisinde farklıdır? Şifreli trafik tespiti nasıl etkiler?

IDS trafiğin kopyasını pasif olarak dinler, yalnız uyarı üretir — 14-02'deki sınıflandırmayla tespit edici kontroldür. IPS trafiğin üstünde (in-line) durur ve engelleyebilir — önleyici kontroldür. Yanlış pozitifin bedeli bu yüzden farklıdır: IDS'te bedel analistin zamanıdır (gürültü), IPS'te bedel kesintidir — meşru trafik engellenir ve erişilebilirlik zarar görür. Bu, 1. dersteki CIA çatışmasının somut hâlidir: agresif ayar gizliliği artırır, erişilebilirliği riske atar; gevşek ayar tersini yapar. "En güvenli ayar" yoktur, risk iştahına göre seçilir ve yazılı olur. Cihaz arızasında fail-open (denetimsiz geçir) mi fail-close (durdur) mu davranılacağı da ayrı bir karardır. Tespit yöntemi imza tabanlı (bilineni yakalar, sıfırıncı günü göremez) veya anomali tabanlı (bilinmeyeni yakalayabilir ama "normal"i tanımlama zorluğu yüzünden yanlış pozitif üretir) olabilir. Şifreli trafik ağ tabanlı tespitin en büyük sorunudur: IDS/IPS TLS'in içini göremez. Üç cevabı vardır — TLS kesme (izinli ortadaki adam; mahremiyet ve sertifika operasyonu bedeli), uç noktada bakma (EDR) veya meta veri/örüntü analizi.

DMZ nedir, ne için kurulur? Segmentasyon yanal hareketi nasıl engeller? Mikro segmentasyon ve doğu-batı trafiği ne demektir?

DMZ, dışarıya hizmet veren sunucuların (web, e-posta, DNS) konduğu, internet ile iç ağ arasındaki ara bölgedir. Kuralı: internet DMZ ile konuşabilir, DMZ iç ağla sınırlı konuşur, internet iç ağla hiç konuşamaz. Amacı, dışa açık bir sunucu ele geçirildiğinde saldırganın doğrudan iç ağa düşmemesidir. Segmentasyon, ağı bölerek bir makinenin düşmesi hâlinde saldırganın gidebileceği yerleri sınırlar; buna yanal hareket denir ve gerçek ihlallerde asıl yayılma budur. Düz bir ağda tek bulaşma tüm kuruma yayılır. Mikro segmentasyon, sınırı ağ bölgesi yerine iş yükü düzeyinde çizer: "bu uygulama yalnız şu veritabanının şu portuyla konuşur"; bulut güvenlik grupları ve konteyner ağ politikaları bunun günlük hâlidir. Kuzey-güney trafiği dışarıyla kurum arasındaki dikey trafiktir ve zaten denetlenir; doğu-batı iç makinelerin birbiriyle trafiğidir ve klasik mimaride denetlenmez — büyük ihlallerin yayılma aşaması buradadır. Somut tedbir: kullanıcı bilgisayarlarının birbirine erişmesi için iş gerekçesi yoktur; istemci izolasyonu fidye yazılımının yayılmasını doğrudan keser.

Sıfır güven nedir, VPN'den farkı nedir? DDoS türleri nelerdir ve uygulama katmanı DDoS'unda yazılımcının sorumluluğu nedir?

Sıfır güven, hiçbir isteğin ağdaki konumu yüzünden güvenilir sayılmaması ilkesidir: iç ağdan gelen de internetten gelen gibi doğrulanır. İlkeleri: her erişimde kimlik doğrulama (kimlik yeni çevredir), oturum bazında en az yetki, "ihlal varsay" (mikro segmentasyon, uçtan uca şifreleme), cihaz durumunu karara katma ve sürekli izleme. VPN farkı: klasik VPN kullanıcıyı ağa alır ve geniş görünürlük verir; ZTNA yalnız yetkili olunan uygulamaya bağlar, ağ hiç görülmez — ele geçirilmiş hesabın hasarı tek uygulamayla sınırlı kalır. Ayrıca VPN yalnız taşıma güvenliğidir: yetki vermez ve zararlı yazılımlı bir cihaza kurum ağına temiz bir yol açar. Yazılımcı karşılığı: "servis iç ağda olduğu için kimlik doğrulaması gerekmez" cümlesi geçersizdir. DDoS erişilebilirlik ayağına yapılan saldırıdır ve üç türü vardır: hacim tabanlı (bant genişliğini doldurur; amplifikasyon — savunması yukarı akış temizleme ve anycast/CDN'dir, kurumun kendi hattında çözülemez), protokol tabanlı (SYN taşkını gibi durum tablolarını tüketir) ve uygulama katmanı (az istekle pahalı işlem tetikler). Sonuncusu saldırgan için en ucuzudur ve doğrudan yazılımcının tasarım kararlarına bağlıdır: kimlik doğrulamasız pahalı uç nokta bırakmamak, oran sınırlamayı yalnız giriş ekranına değil kaynak tüketen her uca koymak, istemcinin az harcayıp sunucuya çok harcattığı asimetrileri (senkron ağır işlem) kuyruğa taşımak ve yük altında zarif bozulma tasarlamak. Savunmanın CDN'e devredilmesi bir risk aktarımıdır: sorumluluk devredilmez, gerçek sunucu IP'si sızarsa koruma atlanır.

12Sınav köşesi