Biyoloji tarihinin en karmaşık, en acımasız ve en büyüleyici savunma organizasyonu insan bedeninin bağışıklık (immün) sistemidir. Her saniye, soluduğumuz havayla, dokunduğumuz yüzeylerle ve yediğimiz gıdalarla trilyonlarca bakteri, virüs ve mantar vücudumuza sızmaya çalışır.
Bedenimizin bu devasa saldırı altında çökmeden hayatta kalabilmesinin tek bir temel felsefi kuralı vardır:
"Self" (Bizden Olan) ile "Non-Self" (Yabancı / Tehdit) Ayrımı.
Her bir hücremizin yüzeyinde MHC (Büyük Doku Uyum Kompleksi) adı verilen biyolojik bir kimlik kartı bulunur. Bağışıklık sistemimizin devriye polisleri olan T lenfositleri ve Doğal Katil (Natural Killer) hücreleri, dokular arasında durmaksızın gezer. Karşılaştıkları her hücrenin yakasına yapışır ve o kimlik kartını tarar.
Eğer hücre o kimliği gösterirse ve üzerindeki protein dizilimi bedenin genetik koduna uyuyorsa, T hücresi yoluna devam eder: "Bizdensin, geçebilirsin."
Ama eğer hücre o kimliği gösteremezse ya da üzerinde bir virüs parçası taşıyorsa; bağışıklık hücresi tek bir milisaniye bile tereddüt etmez. Hücrenin içine ölümcül enzimler (perforin ve granzim) enjekte ederek onu anında hücresel intihara (apoptoz) sürükler.
Beden ne kapıdaki deriye güvenir, ne de içeri girmiş olana. Savunma her saniye, her hücre düzeyinde yeniden doğrulanır.
Peki yazılım dünyasında, özellikle kurumsal siber güvenlikte yıllarca ne yaptık?
"Kale ve Hendek" Modelinin İflası
Geleneksel ağ güvenliği anlayışı, Orta Çağ şatolarının mantığıyla tasarlanmıştı: Kale ve Hendek (Castle and Moat) Modeli.
Şirketler veri merkezlerinin veya ofis ağlarının etrafına devasa bir güvenlik duvarı (Firewall) ve bir VPN kapısı koyardı. Mantık şuydu: "Dışarısı tehlikeli bir vahşi batı, içerisi ise güvenli bir cennet. Hendekten (VPN'den) içeri girmeyi başaran herkese koşulsuz güvenebiliriz."
Bu yaklaşım, insan biyolojisi açısından tam bir intihardır. Düşünsenize; derinizi küçük bir iğneyle delip içeri giren tek bir bakteriye tüm organlarınızın "Madem deriyi aştın, o zaman karaciğerde ve kalpte serbestçe dolaşabilirsin" dediğini... İnsan soyu bir hafta içinde tükenirdi.
Nitekim modern siber saldırılarda "Kale ve Hendek" modeli tamamen çöktü.
Bir saldırgan şirketin muhasebecisine oltalama (phishing) e-postası atıp VPN şifresini ele geçirdiği an; o iç ağda bulunan tüm veritabanlarına, müşteri kayıtlarına ve kaynak kodlara elini kolunu sallayarak erişebiliyordu. Çünkü içeride tek bir kontrol noktası bile yoktu.
Zero-Trust: Biyolojinin Siber Güvenliğe İlhamı
Son yıllarda sektörün kurtarıcısı olarak parlayan Zero-Trust (Sıfır Güven) mimarisi, aslında bilgisayar mühendislerinin icat ettiği yeni bir teknoloji değildir. Zero-Trust; milyonlarca yıllık insan bağışıklık sisteminin kelimesi kelimesine kopyalanmasından ibarettir.
Zero-Trust'ın amentüsü basittir: "Asla güvenme, her zaman doğrula." (Never trust, always verify.)
Bu mimaride artık "iç ağ" veya "güvenli bölge" diye bir kavram yoktur.
- İster ofis masasından bağlanın, ister evinizden;
- İster şirketin CEO'su olun, ister stajyer;
- İster bir mikroservis diğer mikroservise istek atsın;
Her bir istek (HTTP request, veritabanı sorgusu, API çağrısı) tıpkı o T hücresinin sorgusu gibi karşılanır. Karşılıklı TLS (mTLS) sertifikaları kontrol edilir, JWT token'ları doğrulanır, istek yapan servisin o an o veriye erişmeye yetkisi olup olmadığı (IAM / RBAC) en ince ayrıntısına kadar taranır.
Bir servisin içeride olması ona hiçbir imtiyaz sağlamaz. Tıpkı bedenin içindeki bir hücrenin, her saniye kimliğini yeniden kanıtlamak zorunda olması gibi.
İmmün Sistemin İki Büyük Hastalığı ve Yazılımdaki Karşılıkları
Bağışıklık sistemini incelerken tıp fakültesinde öğrendiğimiz iki büyük patoloji vardır ki, siber güvenlik ekiplerinin her gün yaşadığı kabuslarla birebir örtüşür:
1. Otoimmün Hastalıklar (False Positives)
Bağışıklık sistemi bazen dengesini kaybeder ve aşırı paranoyaklaşır. Bedenin kendi sağlıklı dokularını (eklemlerini, böbreklerini, sinir kılıflarını) yabancı bir düşman sanıp saldırmaya başlar: Lupus, Romatoid Artrit, Multipl Skleroz (MS)... Beden kendi kendini yok eder.
Siber güvenlikte de aşırı katı, kötü kurgulanmış WAF (Web Application Firewall) veya IPS kuralları tam olarak bu otoimmün krizi yaratır:
Güvenlik sistemi o kadar agresiftir ki; sitenize alışveriş yapmaya gelen gerçek müşterileri, API entegrasyonu yapan iş ortaklarınızı ve hatta kendi arka plan servislerinizi "siber saldırgan" sanıp engeller (False Positive). Güvenlik sağlamaya çalışırken şirketin kendi ticaretini felç edersiniz.
2. Kanser ve Truva Atı (Insider Threat / Privilege Escalation)
Kanser hücreleri dışarıdan gelen bir bakteri değildir; bizzat sizin kendi hücrelerinizdir. DNA'ları bozulmuştur, kontrolsüzce çoğalırlar ama yüzeylerinde bağışıklık sistemini aldatacak özel kimlik sinyalleri (PD-L1 kontrol noktaları) taşırlar. T hücresi yanlarına geldiğinde o sahte kimliği gösterip "Ben yabancı değilim, bizden biriyim" diyerek bağışıklık polislerini uyuturlar.
Yazılımda da en yıkıcı saldırılar dışarıdan gelen kaba kuvvet (DDoS) saldırıları değildir; meşru bir kullanıcı veya servis hesabının kimliğini çalıp (Token Theft / Credential Stuffing) sistemin içinde sessizce yetki yükselten (Privilege Escalation) Truva atlarıdır. Sistem o isteği "bizden" sandığı için tüm kapıları açar.
Güvenlik Statik Bir Duvar Değil, Yaşayan Bir Reflekstir
Birçok şirket siber güvenliği, bir kez satın alınıp sunucuya kurulan ve bir daha bakılmayan pahalı bir donanım kutusu zanneder.
Oysa insan bağışıklığı statik bir zırh değildir. Her gün yeni virüslerle karşılaşan, antikor üreten, hafıza hücreleriyle (Memory B Cells) geçmiş saldırıları hatırlayan ve sürekli adapte olan canlı, dinamik bir öğrenme sürecidir.
Sistemlerinizi kaleler gibi tasarlamayı bırakın.
Sistemlerinizi yaşayan bir biyolojik organizma gibi tasarlayın:
- Her noktada kimlik doğrulayın,
- Yetkileri en aza indirin (Principle of Least Privilege),
- Ve ağınızın içindeki hiçbir bileşene körü körüne güvenmeyin.
Çünkü hayatta kalmanın sırrı, kapıyı kalınlaştırmakta değil; damarlarınızın her milimetresinde o soğukkanlı, uyanık ve şüpheci bağışıklık nöbetini kesintisiz tutabilmektedir.