PAM360, Log360 ve ADManager Plus'ı ServiceDesk Plus talebine bağlayarak ayrıcalıklı erişimi, güvenlik olayını ve Active Directory işlemini aynı onay zincirinden geçirmenin yolu.
Denetçi basit bir soru sorar: "Geçen ay veritabanı sunucusunun yönetici parolasını kim, neden ve kimin onayıyla aldı?" Cevap çoğu kurumda üç ayrı yerde durur. Parola kasasında bir erişim kaydı vardır, e-postada bir onay yazışması vardır, servis masasında ise belki bir talep. ServiceDesk Plus güvenlik entegrasyonu bu üç parçayı aynı talep numarası altında birleştirir.
Kısaca: ServiceDesk Plus güvenlik entegrasyonu, PAM360, Log360 ve ADManager Plus'ı servis masasına bağlayarak ayrıcalıklı erişimi, güvenlik olayını ve Active Directory işlemini onaylı bir talebe dayandırır. Böylece her kritik işlem bir talep numarası taşır ve denetimde "kim, neden, kimin onayıyla" sorusu tek kayıttan cevaplanır.
ServiceDesk Plus Güvenlik Entegrasyonu Neden Gerekir?
BT ve güvenlik ekipleri çoğu zaman aynı olayın farklı yüzlerine bakar. Sistem ekibi bir hesabın kilidini açar, güvenlik ekibi aynı hesapla ilgili bir uyarıyı inceler, servis masası ise kullanıcının talebini kapatır. Üç işlem de doğrudur ama birbirine bağlı değildir.
Bu kopukluğun gündelik bedeli bellidir:
- Ayrıcalıklı parola alındığında gerekçe, kasadaki serbest metin alanında kalır.
- Güvenlik uyarısı e-posta kutusunda bekler; kimin üstlendiği belli değildir.
- Active Directory değişikliği yapıldıktan sonra talebe elle not düşülür, bazen hiç düşülmez.
- Denetim döneminde kanıt, ekran görüntüleri ve yazışmalardan toplanır.
ServiceDesk Plus güvenlik entegrasyonu bu işlemleri servis masasının onay akışına bağlar. Talep, onay ve uygulama aynı kayıtta birleşince iz de kendiliğinden oluşur. Ürünlerin geneline yayılan ekosistem yaklaşımı için ManageEngine entegrasyon hizmetimize bakabilirsiniz; bu yazı güvenlik ve kimlik tarafına odaklanır.
PAM360 ServiceDesk Plus Entegrasyonu: Talep Onaylı Ayrıcalıklı Erişim
ManageEngine PAM360, ayrıcalıklı hesap parolalarını kasada tutan ve bu hesaplara erişimi yöneten bir ayrıcalıklı erişim yönetimi (PAM) çözümüdür. PAM360, ServiceDesk Plus'ın şirket içi (on-premises), MSP ve bulut tabanlı sürümleriyle talep sistemi entegrasyonu sunar. Entegrasyon açıldığında kullanıcı, parolayı görüntülemek veya sıfırlamak için geçerli bir talep numarası girmek zorunda kalır.
PAM360 bu numarayı ServiceDesk Plus'ta sorgular. Talebin var olduğunu, kapalı durumda olmadığını ve kullanıcının ilgili kaynağa erişim yetkisi bulunduğunu doğrular. Gelişmiş ayarlarla talepteki başka alanlar da ölçüt olarak eklenebilir; örneğin talebin onay durumu veya kategorisi. Ayrıntılar üreticinin PAM360 talep sistemi entegrasyonu belgesinde yer alır.
Gündelik etkisi şudur: ayrıcalıklı erişimin gerekçesi artık serbest metin değildir, onaylanmış bir taleptir. Erişim kaydı talep numarasını taşıdığı için PAM360 denetim raporu ile servis masası kaydı birbirine bağlanır. Talep kapandığında aynı numarayla yeni erişim alınamaz; bu da "bir kez onaylandı, aylarca kullanıldı" durumunu önler.
Senaryo: Bir üretim şirketinde ERP veritabanına gece bakım yapılacaktır. Sistem yöneticisi ServiceDesk Plus'ta bakım için erişim talebini açar, ekip lideri onaylar. Bakım gecesi yönetici PAM360'ta veritabanı hesabının parolasını isterken talep numarasını girer. PAM360 talebin açık ve onaylı olduğunu, yöneticinin bu kaynağa yetkisi bulunduğunu doğrular ve erişimi verir. Ertesi sabah talep kapatıldıktan sonra aynı numarayla yapılan ikinci deneme reddedilir.
Log360 ServiceDesk Plus Entegrasyonu: Güvenlik Uyarısından İzlenebilir Olaya
ManageEngine Log360, günlükleri toplayıp ilişkilendiren ve Active Directory denetimini ADAudit Plus bileşeniyle yapan bir SIEM çözümüdür. Log360, ServiceDesk Plus ile entegre edildiğinde seçilen uyarı profilleri tetiklendiğinde otomatik olarak talep açar. Tekrarlanan başarısız oturum açma denemesi veya güvenlik duvarında hizmet engelleme girişimi gibi olaylar, analistin elle kayıt açmasını beklemez.
Açılan talep bağlamla gelir: ilgili kullanıcı, uç nokta, kaynak sunucu ve IP risk puanı gibi bilgiler kayda eklenir. Teknisyen olayı değerlendirmek için birkaç konsol arasında gezinmez. Güncel sürümlerde ManageEngine Marketplace'teki Log360 eklentisiyle önem derecesi ve çözüm durumu iki yönlü eşitlenir. Aynı eklenti, ele geçirilmiş bir hesabı devre dışı bırakmak gibi Log360 müdahale iş akışlarını ServiceDesk Plus konsolundan çalıştırmaya da imkân verir.
Güvenlik ekibi için asıl kazanç izlenebilirliktir. Uyarı bir talebe dönüştüğü anda sahibi, önceliği ve SLA süresi bellidir. Kimin üstlendiği, hangi adımın atıldığı ve olayın nasıl kapandığı tek kayıtta durur. Olay müdahalesi e-posta zincirinden çıkar, raporlanabilir bir sürece dönüşür.
ADManager Plus ile Onaylı Talepten Active Directory İşlemine
ManageEngine ADManager Plus, ServiceDesk Plus ile entegre edildiğinde teknisyen Active Directory işlemlerini doğrudan talep ekranından yapar. Hesap oluşturma ve kapatma, hesabı etkinleştirme veya devre dışı bırakma, grup üyeliği ekleme ve çıkarma, parola sıfırlama ve hesap kilidi açma bu işlemler arasındadır. İşlem, talepteki bilgilerle ve ADManager Plus'ta tanımlı teknisyen rolleriyle çalışır.
Onaydan sonra işlemin kendiliğinden uygulanması da mümkündür. ServiceDesk Plus'ın özel tetikleyicileri (custom triggers), onay durumu "onaylandı" olduğunda ADManager Plus API'sini çağıran bir özel fonksiyonu çalıştırabilir. Örneğin bir finans uygulaması grubuna üyelik talebi, bölüm yöneticisi onayladığı anda kullanıcıyı gruba ekler. Onay yoksa işlem de yoktur.
Bu akışın güvenlik değeri, yetki değişikliğinin gerekçesini kalıcı kılmasıdır. Aylar sonra "bu kullanıcı neden bu grupta" diye sorulduğunda cevap, grubun eklendiği talepte ve onay kaydında durur. İşe giriş ve ayrılış tarafındaki hesap açma ve kapama akışını kullanıcı yaşam döngüsü otomasyonu yazımızda ayrıca ele aldık.
Denetim İzi: ISO 27001 ve KVKK Denetiminde Tek Kayıtla Cevap
ISO/IEC 27001:2022 Ek A, erişim haklarının (5.18) ve ayrıcalıklı erişim haklarının (8.2) yetkilendirilmesini, günlük kaydını (8.15) ve bilgi güvenliği olaylarına müdahaleyi (5.26) ayrı kontroller olarak tanımlar. KVKK'nın 12. maddesi de veri sorumlusundan uygun teknik ve idari tedbirleri almasını ister. Denetçi bu kontrollerin çalıştığını görmek için tek bir işlemi baştan sona izlemek ister.
Entegrasyonun öncesi ve sonrası bu noktada netleşir:
| Denetim sorusu | Entegrasyon öncesi | ServiceDesk Plus güvenlik entegrasyonu ile |
|---|---|---|
| Ayrıcalıklı parolayı kim, neden aldı? | Kasa kaydı ve serbest metin gerekçe | PAM360 erişim kaydı ve bağlı onaylı talep numarası |
| Güvenlik uyarısını kim üstlendi? | E-posta zinciri, belirsiz sahiplik | Log360 uyarısından açılan talep, atanan teknisyen, SLA |
| Kullanıcı bu gruba kimin onayıyla eklendi? | AD değişiklik günlüğü, onay ayrı yerde | Onaylı talep ve ADManager Plus işlem kaydı |
| Kanıt nasıl sunulur? | Ekran görüntüleri ve yazışmalar | Talep numarasıyla üç üründen rapor |
Tablonun sağ sütunundaki ortak öğe talep numarasıdır. Denetçiye bir talep açılır; onay kaydı, ayrıcalıklı erişim, AD işlemi ve varsa güvenlik olayı aynı numarayla gösterilir. Hazırlık, dağınık kanıtı toplamaktan çıkar, rapor almaya dönüşür. ServiceDesk Plus güvenlik entegrasyonu bu nedenle yalnız operasyonel bir kolaylık değil, denetime hazır olmanın da pratik yoludur.
ServiceDesk Plus Güvenlik Entegrasyonunu Devreye Alırken Dikkat Edilecekler
Üç entegrasyonu aynı anda açmak yerine riskin en yüksek olduğu akıştan başlamak daha sağlıklıdır. Çoğu kurumda bu, ayrıcalıklı erişimdir. Önerilen sıra şöyledir:
- Kapsamı seçin: talep numarası zorunluluğunun uygulanacağı kritik kaynakları (veritabanı, etki alanı denetleyicisi, ağ cihazı) belirleyin.
- Talep şablonlarını hazırlayın: ayrıcalıklı erişim, grup üyeliği ve güvenlik olayı için ayrı kategori ve onay seviyeleri tanımlayın.
- PAM360'ta talep sistemi entegrasyonunu açın ve doğrulama ölçütlerini (talep durumu, kategori) ayarlayın.
- Log360'ta hangi uyarı profillerinin talebe dönüşeceğini seçin; her uyarı talep olmamalıdır.
- ADManager Plus'ta teknisyen rollerini sınırlayın, onay sonrası otomatik uygulanacak işlemleri az sayıda başlatın.
- Bir denetim provası yapın: rastgele bir talep seçip üç üründen kanıtın birlikte gelip gelmediğini kontrol edin.
Uyarı profillerini seçerken seçici olmak önemlidir. Her uyarının talebe dönüşmesi servis masasını gürültüyle doldurur ve asıl olayların fark edilmesini zorlaştırır. Önceliği yüksek, müdahale gerektiren profillerle başlamak, entegrasyonun ekip tarafından benimsenmesini de kolaylaştırır.
Sıkça Sorulan Sorular
PAM360 hangi talep yönetim sistemleriyle entegre olur?
PAM360, ManageEngine ServiceDesk Plus'ın şirket içi (on-premises), MSP ve bulut tabanlı sürümleriyle entegre olur. Üretici belgelerine göre ServiceNow, Jira Service Desk ve BMC Helix Remedyforce da desteklenir. Entegrasyon HTTPS üzerinden çalışır, bu yüzden geçerli bir SSL sertifikası gerekir. Doğrulama ölçütleri PAM360 yönetim ekranındaki entegrasyon ayarlarından tanımlanır.
Log360 uyarıları ServiceDesk Plus'ta otomatik talep açar mı?
Evet. Log360, seçilen uyarı profilleri tetiklendiğinde ServiceDesk Plus'ta otomatik talep açabilir ve talebe kullanıcı, uç nokta ve kaynak bilgisi gibi bağlamı ekler. İki yönlü durum eşitlemesi ve ServiceDesk Plus konsolundan müdahale iş akışı çalıştırma, ManageEngine Marketplace'teki Log360 eklentisiyle gelir. Hangi uyarıların talebe dönüşeceği kurumun olay müdahale planına göre seçilmelidir.
ADManager Plus işlemleri talep onayından sonra otomatik uygulanabilir mi?
Evet. Hazır entegrasyonda teknisyen hesap kilidi açma veya grup üyeliği gibi işlemleri talep ekranından çalıştırır. Tam otomasyon için ServiceDesk Plus'ın özel tetikleyicileri, onay tamamlandığında ADManager Plus API'sini çağıran bir özel fonksiyonu devreye alır. Bu kurguda onay verilmeden Active Directory'de değişiklik yapılmaz ve işlem talebe bağlı kalır.
Bu entegrasyonlar ISO 27001 denetimine nasıl katkı sağlar?
ISO 27001 denetiminde erişim haklarının yetkilendirildiği, ayrıcalıklı erişimin kontrol edildiği ve olaylara müdahale edildiği kanıtlanmalıdır. Entegrasyonlar bu üç kanıtı aynı talep numarası etrafında toplar. Denetçiye onay kaydı, ayrıcalıklı erişim kaydı ve AD işlemi tek akış olarak gösterilir. Entegrasyon sertifika sağlamaz, ama kontrollerin işlediğini göstermeyi kolaylaştırır.
Sonuç: Hangi Entegrasyonla Başlamalı?
Ayrıcalıklı hesaplara erişim gerekçesi belgelenemiyorsa ilk adım PAM360 entegrasyonudur. Güvenlik uyarıları sahipsiz kalıyor ve müdahale e-postayla yürüyorsa Log360 entegrasyonu önceliklidir. Yetki değişiklikleri onaydan bağımsız yapılıyorsa ADManager Plus akışı devreye alınmalıdır. Üçü birlikte çalıştığında ServiceDesk Plus güvenlik entegrasyonu, BT ve güvenlik ekibini aynı kayıt üzerinde buluşturur.
Technodus, ManageEngine projelerinde lisans, kurulum, entegrasyon ve destek sorumluluğunu aynı ekipte tutar. Talep şablonları, onay seviyeleri ve PAM360, Log360, ADManager Plus bağlantıları sizin süreçlerinize göre birlikte tasarlanır. Kendi ortamınızda bir PoC ile değerlendirmek için bizimle iletişime geçebilirsiniz.