Bir kurumsal ağa sızan saldırganın asıl hedefi genelde sıradan bir kullanıcı hesabı değildir — domain admin, sunucu yöneticisi ya da veritabanı admin hesabıdır. Bu tür bir hesap ele geçirildiğinde saldırgan neredeyse sınırsız kontrol kazanır. PAM (Privileged Access Management), tam olarak bu riski azaltmak için var.
En Az Yetki İlkesi
PAM’in özünde yatan fikir basit: kimse ihtiyacı olmadığı sürece yönetici yetkisine sahip olmamalı; sahip olsa bile bu yetki kalıcı değil, zaman sınırlı ve gerekçelendirilmiş olmalı. Bu yaklaşıma “Just-In-Time (JIT) Access” deniyor.
Geleneksel Yaklaşımın Riski
Birçok kurumda hâlâ şu senaryoyla karşılaşıyorum: BT ekibindeki herkes günün her saatinde domain admin yetkisine sahip bir hesapla günlük işlerini (e-posta okuma, web gezinme dahil) yürütüyor. Bu, bir kimlik avı saldırısının doğrudan en yüksek yetkiye ulaşmasına kapı aralıyor.
PAM çözümleri bu riski birkaç yoldan azaltıyor. Ayrıcalık yükseltmesi talep bazlı hale geliyor — yönetici yetkisi önceden onaylanmış bir süre için (örneğin 1 saat) talep edilip süre sonunda otomatik geri alınıyor. Oturum kaydı sayesinde ayrıcalıklı bir hesapla yapılan tüm işlemler kayıt altına alınıyor; bu hem denetim hem olay sonrası inceleme için kritik. Kasa mekanizmasında yönetici şifreleri kullanıcılar tarafından bilinmiyor, sistem gerektiğinde şifreyi kullanıcı adına kullanıyor ve düzenli olarak otomatik rotasyona tabi tutuyor. Onay akışlarıyla kritik sistemlere erişim ikinci bir yöneticinin onayına bağlanabiliyor.
Kimlik Yönetiminin Doğal Bir Uzantısı
PAM’i izole bir araç olarak değil, genel kimlik ve erişim yönetimi stratejisinin bir parçası olarak ele almak gerekiyor. Microsoft Entra ID‘nin PIM (Privileged Identity Management) özelliği, bulut kaynakları için zaman sınırlı yönetici yetkisi sağlayarak PAM prensiplerini doğrudan uyguluyor. Şirket içi Active Directory ortamlarında ise ayrı PAM çözümleri veya AD’nin kendi “Privileged Access Management” özellikleri devreye giriyor.
Asıl Direnç Teknik Değil, Kültürel
PAM projelerinde en büyük engel genelde teknik değil kültürel oluyor. “Ben zaten admin’im, neden her seferinde yetki talep edeyim?” sorusuyla sıkça karşılaşıyorum. Bu direnci aşmanın yolu, süreci mümkün olduğunca sürtünmesiz hale getirmekten (hızlı onay mekanizmaları) ve güvenlik faydasını somut örneklerle anlatmaktan geçiyor.
PAM, “sıradan güvenlik önlemlerinden biri” değil, modern siber güvenlik stratejisinin temel taşlarından biri. Ayrıcalıklı hesapları korumadan diğer tüm güvenlik yatırımlarınız eksik kalır — çünkü saldırganlar zaten en değerli hedefin nerede olduğunu biliyor.
💡 Kendi şifre hijyeninizi test etmek veya güçlü bir şifre üretmek için Şifre Araçları sayfamı kullanabilirsiniz.
[…] İlgili yazılar: Entra ID’ye giriş ve Ayrıcalıklı erişim yönetimi […]