Kurumların iş yükleri birden fazla bulut hesabına, konteynere ve otomatik dağıtım hattına yayıldıkça bulut güvenliği klasik ağ çevresi mantığıyla yönetilemez hâle geliyor. Açık bırakılmış bir depolama alanı, gereğinden geniş bir rol ya da taranmamış bir konteyner imajı, güvenlik duvarının hiç görmediği bir kapı açabiliyor. Asıl sancı ise bu risklerin ayrı araçlarda, ayrı ekiplerin listelerinde kalması.
Kısaca: Bulut güvenliği, bulutta çalışan altyapıyı, kimlikleri, iş yüklerini ve verileri korumaya yönelik teknoloji, süreç ve politikaların bütünüdür. CNAPP (Cloud-Native Application Protection Platform) ise yapılandırma denetimi (CSPM), iş yükü koruması (CWPP), yetki yönetimi (CIEM) ve uygulama güvenlik duruşu (ASPM) yeteneklerini koddan çalışma anına kadar tek platformda toplayan yaklaşımdır.
Bulut Güvenliği Nedir ve Neden Farklıdır?
Şirket içi veri merkezinde güvenlik büyük ölçüde ağ sınırına dayanıyordu. Bulutta ise altyapı bir API çağrısıyla dakikalar içinde kurulup kaldırılıyor; sunucu, ağ ve depolama birer yapılandırma satırına dönüşüyor. Bu hız, hatanın da aynı hızla çoğalması anlamına geliyor.
Bulut güvenliğinin temelinde paylaşılan sorumluluk modeli vardır. AWS, Microsoft Azure ve Google Cloud gibi sağlayıcılar fiziksel altyapıyı ve sanallaştırma katmanını korur. Hesap ayarları, kimlikler, iş yükleri ve veriler ise müşterinin sorumluluğundadır. Bulut kaynaklı olayların önemli bir bölümü de sağlayıcı tarafındaki bir açıktan değil, müşteri tarafındaki yapılandırma hatası ve aşırı yetkiden doğar.
Saldırganlar da bu farkı biliyor. MITRE ATT&CK çerçevesinin bulut matrisi; geçerli hesapların kötüye kullanımını, bulut kontrol düzleminde (control plane) yetki yükseltmeyi ve bulut depolamadan veri sızdırmayı ayrı teknikler olarak tanımlar. Yani bulutta saldırı çoğu zaman zararlı yazılımla değil, meşru bir kimlik ve yanlış bir ayarla başlar.
Bulut Güvenliğinin Katmanları: Koddan Çalışma Anına
Bulut güvenliğini tek bir ürün olarak değil, üst üste binen katmanlar olarak düşünmek daha doğrudur. Her katman farklı bir soruyu cevaplar ve farklı bir ekibin gündemindedir.
- Kod ve CI/CD hattı: Uygulama kodu, altyapı şablonları ve konteyner imajları üretime çıkmadan taranır. "Shift-left" denen yaklaşım budur.
- Bulut yapılandırması: Depolama erişimi, ağ kuralları, şifreleme ve kayıt ayarlarının kurum politikasına ve CIS kıyaslamalarına uygunluğu sürekli denetlenir.
- Kimlik ve yetki: Kullanıcı, rol ve servis hesaplarının hangi kaynağa erişebildiği görünür kılınır, kullanılmayan izinler daraltılır.
- İş yükü ve konteyner: Sanal makineler, konteynerler ve Kubernetes kümeleri güvenlik açığına ve sıkılaştırma eksiğine karşı değerlendirilir.
- Çalışma anı: İş yükü içindeki şüpheli süreçler ve bulut kontrol düzlemindeki anormal işlemler gerçek zamanlı tespit edilir, müdahale edilir.
Bu katmanlar birbirinden bağımsız değildir. İnternete açık bir sanal makine tek başına orta riskli görünebilir. Üzerinde istismar edilebilir bir açık ve geniş yetkili bir rol varsa, aynı varlık kritik bir saldırı yolunun başlangıcı olur. Bulut güvenliğinde önceliklendirme bu bağlamı görmeye dayanır.
Kimlik katmanındaki en az ayrıcalık ilkesi, sıfır güven (Zero Trust) mimarisinin bulut tarafındaki karşılığıdır. Hiçbir rolün "her ihtimale karşı" geniş izinle bırakılmaması, bulut hesabına sızan bir saldırganın hareket alanını baştan daraltır.
CNAPP Nedir? CSPM, CWPP, CIEM ve ASPM Tek Platformda
CNAPP, yukarıdaki katmanları ayrı ürünler yerine tek veri modeli ve tek konsol üzerinde toplayan bulut güvenliği yaklaşımıdır. Terimi Gartner yaygınlaştırdı; bugün bulut güvenlik platformlarının çoğu bu çatı altında konumlanıyor. Bileşenler ve baktıkları alan şöyle özetlenebilir:
| Bileşen | Neye bakar? | Nasıl çalışır? |
|---|---|---|
| CSPM (Cloud Security Posture Management) | Bulut hesaplarındaki yapılandırma hataları ve uyumluluk sapmaları | Ajansız, bulut API'leri üzerinden sürekli tarama |
| CWPP (Cloud Workload Protection Platform) | Sanal makine, konteyner ve Kubernetes iş yükleri | İmaj taraması ajansız, çalışma anı koruması sensörle |
| CIEM (Cloud Infrastructure Entitlement Management) | Rol, kullanıcı ve servis hesabı yetkileri | Ajansız, kimlik ve izin analizi |
| ASPM (Application Security Posture Management) | Uygulamalar, mikroservisler, API'ler ve bağımlılıklar | Ajansız keşif ve çalışma anı davranışı |
Ayrı araçlarla ilerleyen kurumlarda aynı varlık için dört farklı uyarı ve dört farklı öncelik sırası oluşur. CNAPP bu bulguları tek varlık grafiğinde birleştirir ve "hangi risk gerçekten istismar edilebilir ve kritik bir varlığa uzanıyor?" sorusunu cevaplar. Bulut ekibi, geliştiriciler ve güvenlik ekibi aynı listeye bakar.
Konteyner Güvenliği ve Bulut İş Yükü Koruması
Konteynerler bulut güvenliğinin en hızlı değişen parçasıdır. Bir imaj bir kez oluşturulur, çok sayıda kopyası çalışır; kısa ömürlü iş yükleri envantere girmeden doğup kapanabilir. Bu nedenle konteyner güvenliği iki uçtan ele alınır: imaj üretime çıkmadan önce ve konteyner çalışırken.
Üretim öncesinde imaj kayıt defterleri ve CI/CD hattı güvenlik açıklarına karşı taranır. Çalışma anında ise Kubernetes kümeleri haritalanır, iş yükü içindeki süreç davranışı izlenir ve kritik dosya değişiklikleri takip edilir. Bulut iş yükü koruması (CWPP) bu iki ucu aynı politikada birleştirir.
Senaryo: Bir e-ticaret şirketinin geliştirme ekibi, yeni bir ödeme mikroservisini Kubernetes kümesine dağıtmaya hazırlanıyor. CI/CD hattındaki imaj taraması, temel imajdaki kritik bir kütüphane açığını işaretliyor ve dağıtım durduruluyor. Aynı hafta CSPM, servisin kullandığı depolama alanının herkese açık okunabilir bırakıldığını gösteriyor. CIEM ise servis hesabına gereğinden geniş yazma izni verildiğini ortaya çıkarıyor. Üç bulgu aynı varlık üzerinde birleştiği için güvenlik ekibi bunları tek bir yüksek öncelikli risk olarak ele alıyor ve düzeltme sırası tartışmaya yer bırakmadan netleşiyor.
CrowdStrike Falcon Cloud Security ile Bulut Güvenliği
CrowdStrike Falcon Cloud Security, CNAPP yaklaşımını Falcon platformunun parçası olarak sunar. Bulut hesaplarındaki keşif ve yapılandırma analizi ajansız yapılır. Sanal makine ve konteynerlerde çalışma anı koruması için uç noktalarda kullanılan Falcon sensörü devreye alınır. AWS, Microsoft Azure ve Google Cloud ortamları aynı bulut tabanlı konsolda izlenir.
- CSPM: Yapılandırma hatalarını ve uyumluluk sapmalarını NIST, CIS ve PCI DSS gibi çerçevelere göre raporlar; graf veri tabanıyla saldırı yollarını gösterir.
- CWPP: Konteyner imajlarını kayıt defterinde ve CI/CD hattında tarar, Kubernetes iş yüklerini haritalar, dosya bütünlüğünü izler.
- CIEM: Aşırı ve kullanılmayan izinleri, devre dışı MFA'yı ve şüpheli yetki yükseltmelerini ortaya çıkarır.
- ASPM: Mikroservisleri, API'leri ve hassas veri akışlarını haritalar; çalışma anında gerçekten ulaşılabilir açıkları ayırır.
- Bulut tespit ve müdahale (CDR): Kontrol düzlemi ve iş yükü aktivitesindeki saldırıları tespit eder.
Falcon Cloud Security'yi ayıran nokta, bulut bulgularının CrowdStrike'ın saldırgan istihbaratıyla önceliklendirilmesi ve uç nokta tarafındaki Falcon verisiyle aynı platformda ilişkilendirilmesidir. Bir saldırgan ele geçirdiği kimlikle uç noktadan bulut iş yüküne geçmeye çalıştığında, bu yanal hareket ayrı konsollarda kaybolmaz. Platformun genel mimarisi için CrowdStrike Falcon nedir yazımız iyi bir başlangıç noktasıdır; modül ayrıntıları üreticinin Falcon Cloud Security sayfasında yer alır.
Lisanslama tarafında yetenekler modül bazında alınabilir ya da Falcon Flex kapsamında kullanılabilir. Falcon Cloud Security, Falcon Go, Pro ve Enterprise uç nokta paketlerine dahil değildir; kapsam korunacak bulut kaynaklarına ve iş yüklerine göre belirlenir.
Sıkça Sorulan Sorular
Bulut güvenliği kimin sorumluluğundadır?
Bulut güvenliği paylaşılan sorumluluk modeline göre bölünür. Sağlayıcı fiziksel altyapıyı, ağ omurgasını ve sanallaştırma katmanını korur. Hesap yapılandırması, kimlikler, iş yükleri, uygulamalar ve veriler ise müşterinin sorumluluğundadır. Bu nedenle bir bulut sağlayıcısıyla çalışmak, kurumun kendi güvenlik kontrollerini kurma ihtiyacını ortadan kaldırmaz.
CSPM ile CWPP arasındaki fark nedir?
CSPM, bulut hesaplarındaki yapılandırma ve uyumluluk durumunu ajansız olarak inceler; açık depolama alanı veya yanlış ağ kuralı gibi hataları bulur. CWPP ise sanal makine ve konteynerlerin içine bakar, imaj açıklarını tarar ve çalışma anında tehdit tespiti yapar. Kapsamlı bulut güvenliği için ikisi birlikte kullanılır.
CNAPP ajan kurulumu gerektirir mi?
CNAPP platformlarının çoğu iki yöntemi birlikte kullanır. Varlık keşfi, yapılandırma analizi ve yetki incelemesi bulut API'leri üzerinden ajansız yapılır. Sanal makine ve konteynerlerde çalışma anı koruması isteniyorsa iş yüküne hafif bir sensör kurulur. Falcon Cloud Security de bu modeli izler.
Bulut güvenliği araçları KVKK uyumu sağlar mı?
Hiçbir araç tek başına hukuki uyumluluk garantisi vermez. CSPM araçları NIST, CIS ve PCI DSS gibi çerçevelere göre rapor üretir ve kurumun kendi kontrollerini özel çerçeve olarak tanımlamasına izin verir. Yapılandırma geçmişi ve bu raporlar, KVKK kapsamındaki teknik tedbirlerin denetiminde kanıt üretmeye yardımcı olur.
Sonuç: Bulut Güvenliğinde Nereden Başlamalı?
Tek bulut hesabı ve az sayıda sanal makineyle çalışan bir kurum için ilk adım genellikle CSPM ile yapılandırma görünürlüğü ve kimlik temizliğidir. Konteyner ve Kubernetes kullanımı arttıkça CWPP ve imaj taraması öne çıkar. Birden fazla bulut sağlayıcısı, kendi geliştirdiğiniz mikroservisler ve ayrı listelerle çalışan ekipler varsa, parçaları tek tek eklemek yerine CNAPP yaklaşımıyla tek platformdan başlamak daha az bakım yükü getirir.
Technodus, CrowdStrike Falcon çözümlerinde lisanslama, kurulum ve destek süreçlerini aynı ekipte yürütür. Falcon Cloud Security devreye almasında bulut hesaplarınızı salt okunur yetkiyle ajansız bağlar, ilk bulgu listesini kritik varlıklarınıza göre sizinle birlikte önceliklendirir ve sensör dağıtımını planlarız. Kendi bulut hesaplarınızdaki riski bir PoC ile görmek için iletişim sayfamızdan bize ulaşabilirsiniz.