ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), federal kurumların eski internet ağ geçitlerini Güvenli Erişim Hizmeti Uç Noktası (SASE) teknolojisiyle değiştirmelerine yardımcı olacak yeni bir kılavuz yayımladı. 24 Haziran'da yayımlanan kılavuz, kurumların çevre tabanlı Güvenilir İnternet Bağlantıları (TIC) 2.0 modelinden, sıfır güven ilkeleri etrafında inşa edilen daha esnek TIC 3.0 modeline nasıl geçebileceklerini açıklıyor. CISA, SASE'nin kurumların uzun süredir kullandığı Yönetilen Güvenilir İnternet Protokol Hizmetlerinin (MTIPS) yerini alabileceğini belirtiyor.
Eski TIC 2.0 modeli altında kurumlar, tüm internet trafiğini az sayıda merkezi erişim noktası üzerinden yönlendiriyordu. CISA, bu yaklaşımın uzak ve şube kullanıcılarını yavaşlatan darboğazlar yarattığını ve yeni teknolojilerin benimsenmesini engellediğini ifade ediyor. Buna karşılık TIC 3.0, kurumların trafiklerine CISA'nın görünürlüğünü sağlamaları koşuluyla daha dağıtık mimariler oluşturmasına olanak tanıyor. SASE, ağ ve güvenlik işlevlerini tek bir bulut tabanlı hizmette birleştiriyor. CISA'nın tanımı, yazılım tanımlı geniş alan ağı (SD-WAN) ile güvenli web ağ geçitleri, bulut erişim güvenlik aracıları, yeni nesil güvenlik duvarları ve sıfır güven ağ erişimi (ZTNA) gibi güvenlik kontrollerini kapsıyor.
Kılavuz, belirli ürünlerden ziyade mimariye odaklanarak satıcıdan bağımsız bir yaklaşım sunuyor. Ancak MTIPS'ten çıkışın bir bedeli var. Kurum trafiği, CISA'nın EINSTEIN sensörlerinin bulunduğu merkezi ağ geçitlerinden akmayı bıraktığında, ajans federal ağları izlemek için kullandığı telemetri verilerini kaybediyor. Bu görünürlüğü korumak için kurumlar, eşdeğer verileri CISA'nın bulut tabanlı Kapsamlı Günlük Toplama Deposu'na (CLAW) beslemek zorunda. Kılavuz ayrıca uzun süredir devam eden bir uygulamada değişikliğe işaret ediyor: CISA, şifrelenmiş TLS trafiğini kırmanın ve incelemenin evrensel olarak önerilen bir yaklaşım olmadığını belirterek, bunun karmaşıklığına ve eklediği gecikmeye dikkat çekiyor.
Bunun yerine, şifrelenmiş trafiğin tamamen şifresini çözmeden makine öğrenimi kullanarak şüpheli kalıplar için analiz edilmesini öneriyor. Kılavuz, federal sivil yürütme organı (FCEB) kurumlarını hedeflese de, eyalet ve yerel yönetimler, kritik altyapı operatörleri ve diğer kuruluşlar için de yararlı olabileceği belirtiliyor. Bu kılavuz, CISA'nın geçen yıl başlattığı sıfır güven serisinin bir parçası olup, mikro segmentasyon rehberiyle birlikte sunuluyor. CISA'nın siber güvenlikten sorumlu geçici icra direktör yardımcısı Chris Butera, kılavuzun "kurumların sıfır güven mimarilerinin faydalarını gerçekleştirmesine yardımcı olduğunu" söyledi. Ajans, sıfır güvene ulaşmanın tek bir ürün kullanıma sunmaktan ziyade sürekli bir dönüşüm olduğunu vurguluyor.
Uzmanların Görüşleri
SASE, ağ ve güvenlik fonksiyonlarını birleştirerek uzaktan çalışma ve bulut kullanımını desteklerken, kurumların güvenlik politikalarını merkezi olarak yönetmesine olanak tanır. Bu yaklaşım, geleneksel VPN'lerin yarattığı performans sorunlarını ve güvenlik açıklarını azaltır. CISA'nın yeni kılavuzu, sıfır güven mimarisine geçişte önemli bir adım olarak görülüyor. Kurumlar, SASE ile hem ağ performansını artırabilir hem de daha güvenli bir yapıya kavuşabilir. Ancak bu geçiş, dikkatli planlama ve CISA ile koordinasyon gerektiriyor.
Önemli Gelişmeler
Sonuç olarak, CISA'nın SASE kılavuzu, federal kurumların sıfır güven yolculuğunda karşılaştıkları zorlukları aşmalarına yardımcı olacak önemli bir kaynak. Kılavuz, yalnızca teknik bir rehber değil, aynı zamanda güvenlik politikalarının modernizasyonu için bir yol haritası sunuyor. Sıfır güvene geçiş, kurumların daha esnek, ölçeklenebilir ve güvenli ağ mimarileri oluşturmasını sağlayacak.
Kaynak: infosecurity-magazine.com
