Konu Anlatımı
Kullanıcı Yönetimi ve Erişim Denetimi
Kullanıcı yönetimi, kurumda kimin hangi bilgiye, hangi işlemle erişebileceğini belirleyen ve bunu yazılı olarak izlenebilir hâle getiren çalışmadır. Bu konu; hesap yaşam döngüsü, kimlik doğrulama, yetkilendirme, parola politikası, erişim denetimi ve denetim izlerini birlikte ele alır.
Kimlik Doğrulama ve Yetkilendirme
Kimlik doğrulama, kullanıcının kim olduğunu kanıtlamaktır; parola, biyometrik veri, tek kullanımlık kod veya güvenlik anahtarı bu amaca hizmet eder. Yetkilendirme ise kimliği doğrulanmış kişinin hangi kaynağa ve hangi işleme erişebileceğini belirler. Doğru sıra, önce kimlik doğrulama, ardından yetkilendirmedir. İkisi birbirinin yerine geçmez: parolanın bilinmesi, o kullanıcıya tanımlı her yetkiyi otomatik olarak vermek anlamına gelmez.
Çok faktörlü doğrulama, bilgi (parola), sahiplik (telefon, güvenlik anahtarı) ve konum olmak üzere farklı faktörleri birleştirir. Parola ele geçirilse bile hesaba giriş engellenmiş olur. Sosyal mühendislik ise teknik açıktan çok ikna yöntemidir; aciliyet yaratılan talepler ve yetkili görünen kişilerden gelen istekler doğrulanmadan karşılanmamalıdır.
Hesap Yaşam Döngüsü
Hesap yaşam döngüsü; hesabın açılması, güncellenmesi, görev değişikliğinde yetkilerinin düzenlenmesi, askıya alınması ve kapatılması aşamalarından oluşur. Görev değişikliğinde önce eski role ait yetkiler geri alınır, sonra yeni rol atanır; sıra tersine çevrilirse çalışan kısa süre iki rolün yetkisini birden taşır. Hesap kapatılırken erişimler kaldırılır, veri sorumluluğu devredilir ve kayıt denetim için arşivlenir.
Ayrıcalıklı hesaplar yalnızca gerektiğinde ve kısa süreli kullanılmalıdır. Kişisel, ayrıntılı izlenebilir hesaplar kullanmak, kimin eylemi yaptığının bilinmesini sağlar. Hizmet hesapları ise yazılımlar tarafından kullanıldığı için yetkileri sınırlı tutulmalı ve düzenli aralıklarla gözden geçirilmelidir.
Rol Bazlı Erişim ve En Az Ayrıcalık
Rol bazlı erişim denetiminde yetkiler roller hâlinde gruplanır, kullanıcılara rol verilir. Rol değiştiğinde yetkiler otomatik olarak güncellenir ve hangi kullanıcının neden yetli olduğu açık biçimde görülür. En az ayrıcalık ilkesi, her kullanıcıya yalnızca görevini yapabilmesi için gereken en küçük yetki kümesini vermeyi önerir. Görevler ayrılığı ilkesi ise ödeme gibi riskli işlemlerde kayıt ve onayın farklı kişilerde olmasını sağlar.
Erişim denetim matrisi, kaynak satırları ile işlem sütunlarından oluşur ve her hücre için izin ya da yasak yazılır. Matrisin büyüklüğü kaynak sayısı ile işlem sayısının çarpımına eşittir. Matris, erişim kararlarının yazılı ve tutarlı biçimde verilmesini sağlar.
Parola Politikası ve Oturum Yönetimi
Parola politikası; parolanın yeterli uzunlukta olmasını, farklı karakter türlerini birlikte içermesini ve düz metin yerine geri döndürülemeyen biçimde saklanmasını şart koşar. Parolayı düz metin saklamak, saklama koşulunun kendisini işe yaramaz hâle getirir. Hatalı deneme sayısı bir eşiği aştığında hesabın geçici olarak kilitlenmesi, parola tahminine karşı basit bir koruma sağlar.
Oturum yönetiminde zaman aşımı, kullanıcı bilgisayarını bıraktığında oturumun açık kalmasını engeller. Devreye giren bir oturumun başkası tarafından kullanılması bu yolla önlenir. Oturum açma denemesinin çok sayıda başarısız olması şüpheli hareket olarak kayda geçirilir.
Denetim İzleri ve Gözden Geçirme
Denetim izleri, olayın kim tarafından, ne zaman, hangi kaynak üzerinde gerçekleştirildiğini yazar. Bir olayın sonradan incelenebilmesi yalnızca bu kayıtlar sayesinde mümkündür. Kullanıcı sayımı çalışması ise kimlerin hesabı olduğunu ve bunların hâlâ kullanılıp kullanılmadığını belgeler; kullanılmayan hesaplar kapatılarak erişim yüzeyi daraltılır.
Yetkiler düzenli aralıklarla gözden geçirilir ve artık gereksizleşenler geri alınır. Gözden geçirme periyodu, açıklanan risk düzeyi ve çalışan sayısına göre yazılı olarak belirlenir. Yetki değişikliklerinin istek yazısıyla, gerekçesiyle ve yürürlük tarihiyle kaydedilmesi, sonradan yapılacak denetimde kanıt değerindedir.
Ne Öğreneceğiz
Hesap yaşam döngüsünü, kimlik doğrulama yöntemlerini, rol bazlı erişim denetimini, parola politikasını ve denetim izlerini uygulamayı kapsar. Bu konuda ögrenme çıktıları:
- Kimlik doğrulama ile yetkilendirme kavramlarını ayırt eder ve işlem sırasını belirler.
- Hesap yaşam döngüsünde açma, değiştirme, askıya alma ve kapatma adımlarını uygular.
- Rol bazlı erişim denetimi ile en az ayrıcalık ilkesini örneklerle uygular.
- Parola politikası ve çok faktörlü doğrulama kurallarını gerekçesiyle seçer.
- Erişim denetim kayıtlarını okur ve bir olayı kayıtlardan çıkararak analiz eder.
Ön Bilgi
Bu konuya başlamadan önce temel kavram ve ön koşulları kavramanız yardımcı olacaktır. Konunun çerçevesinde şu kavramlar dikkat ister:
- Önce kimlik doğrulama, ardından yetkilendirme yapılır.
- Görev değişikliğinde eski role ait yetkiler önce geri alınır.
- En az ayrıcalık ilkesi, yalnızca görev için gereken yetkiyi verir.
- Görevler ayrılığında kayıt ve onay farklı kişilerde olmalıdır.
- Parolalar düz metin yerine geri döndürülemeyen biçimde saklanır.
- Ayrıcalıklı hesaplar kişisel kullanılmalı ve kullanımları kaydedilmelidir.
Basit Örnek ve Günlük Yaşam
Günlük yaşamda ve mesleki bağlamda bir uygulama:
Soru: 18 kullanıcılı bir sistemde her kullanıcıya 12 yetki tanımlanmıştır. Toplam yetki kaydı kaçtır?
- Adım 1: Kullanıcı sayısı 18 olarak yazılır.
- Adım 2: Kullanıcı başına yetki 12 olarak yazılır.
- Adım 3: Çarpım 18 × 12 = 216 olarak hesaplanır.
Sonuç/cevap: Toplam 216 yetki kaydı bulunur.
İleri Örnek
Daha ileri bir uygulama:
Soru: Kullanıcı başına 12 yetki bulunan bir sistemde toplam 216 yetki kaydı vardır. Kaç kullanıcı tanımlıdır?
- Adım 1: Toplam yetki kaydı 216 olarak yazılır.
- Adım 2: Kullanıcı başına yetki 12 olarak yazılır.
- Adım 3: 216 / 12 = 18 kullanıcı hesaplanır.
Sonuç/cevap: Sistemde 18 kullanıcı tanımlıdır.
Adım Adım Çözülmüş Örnek
Örnek 1: Toplam Yetki Kaydı konusunun adımları:
- Adım 1: Kullanıcı sayısı 18 olarak yazılır.
- Adım 2: Kullanıcı başına yetki 12 olarak yazılır.
- Adım 3: Çarpım 18 × 12 = 216 olarak hesaplanır.
Karşılaştırma Tablosu
| Kavram | Açıklama |
|---|
| Önce kimlik doğrulama, ardından yetkilen | Önce kimlik doğrulama, ardından yetkilendirme yapılır. |
| Görev değişikliğinde eski role ait yetki | Görev değişikliğinde eski role ait yetkiler önce geri alınır. |
| En az ayrıcalık ilkesi, yalnızca görev i | En az ayrıcalık ilkesi, yalnızca görev için gereken yetkiyi verir. |
| Görevler ayrılığında kayıt ve onay farkl | Görevler ayrılığında kayıt ve onay farklı kişilerde olmalıdır. |
| Parolalar düz metin yerine geri döndürül | Parolalar düz metin yerine geri döndürülemeyen biçimde saklanır. |
| Ayrıcalıklı hesaplar kişisel kullanılmal | Ayrıcalıklı hesaplar kişisel kullanılmalı ve kullanımları kaydedilmelidir. |
Sık Yapılan Hatalar
Parolaları düz metin dosyada saklamak: Parolanın saklanma biçimi, saklama koşulunun kendisini geçersiz kılar; geri döndürülemeyen bir yöntem kullanılmalıdır.
Yönetici hesabını paylaşmak: Paylaşılan hesap eylemi kime ait olduğunu gizler ve hesap kapatıldığında erişimler birden kesilir.
Görev değişikliğinde yeni yetkiyi eski yetkiyle birlikte bırakmak: Eski yetki geri alınmazsa çalışan artık görevinde olmadığı kaynaklara erişebilir.
Erişim izlerini tutmamak: Kayıt tutulmazsa gerçekleşen bir olay sonradan incelenemez ve sorumluluk belirlenemez.
Parolayı kolay kılmak yerine değiştirme sıklığını artırmak: Parolanın uzunluğu ve güçlüğü, değiştirme sıklığından daha belirleyicidir.
Özet
Bu konuda kimlik doğrulama ile yetkilendirme ayrımı, çok faktörlü doğrulama ve sosyal mühendislik farkındalığı ele alınır. Hesap yaşam döngüsünde görev değişikliğinde önce eski yetkiler geri alınır, sonra yeni rol atanır. Rol bazlı erişim denetimi, en az ayrıcalık ve görevler ayrılığı ilkeleriyle birleştirildiğinde yetkiler tutarlı ve denetlenebilir hâle gelir. Hesaplamalarda toplam yetki kaydı = kullanıcı sayısı × kullanıcı başına yetki, matris hücre sayısı = kaynak sayısı × işlem sayısı bağıntıları kullanılır; 18 kullanıcı ve 12 yetki için 18 × 12 = 216 kayıt, 12 kaynak ve 8 işlem için 12 × 8 = 96 hücre bulunur. Parolalar geri döndürülemeyen biçimde saklanır, oturumlarda zaman aşımı uygulanır, erişim kayıtları düzenli olarak incelenir ve kullanılmayan hesaplar kapatılır.
Kendini Dene
Soru: Bir okulda 30 kullanıcı bulunmaktadır. Her kullanıcıya 8 yetki tanımlanmış, 4 kullanıcının görevi değişmiştir. Toplam yetki kaydını, gözden geçirilmesi gereken kullanıcı sayısını ve gözden geçirme planını yazınız.
Örnek cevap: Puanlama anahtarı: Toplam yetki kaydının hesaplanması (30 × 8 = 240 kayıt) 4 puan; görevi değişen kullanıcı sayısının bulunması (4 kullanıcı) 3 puan; eski yetkilerin geri alınıp yeni rolün atanması adımının yazılması 4 puan; gözden geçirme periyodunun ve sorumlunun belirlenmesi 3 puan; yazım ve düzen 1 puan. Toplam 15 puan.
