Katmanlı Siber Güvenlik Mimarisi Nasıl Kurulur?

Siber güvenlik yol haritası ürün logolarıyla başladığında genellikle iki sonuç çıkar: aynı olayı gören fakat konuşmayan araçlar ve kimsenin düzenli işletmediği pahalı kontroller. Katmanlı güvenliğin anlamı daha fazla kutu satın almak değildir. Bir saldırı veya hata tek kontrolü geçtiğinde sonraki katmanın bunu önlemesi, tespit etmesi, etkisini sınırlaması ya da sistemi güvenilir biçimde kurtarmasıdır.

8 Haziran 2026 tarihinde orta ölçekli, çok lokasyonlu bir kurumun mimarisini olgunlaştırırken kullanıcıdan veriye kadar güven yollarını çıkardık. NGFW, EDR/XDR, e-posta güvenliği, kimlik, SIEM, MDR/SOC, DLP, PAM, WAF ve yedeklemeyi ayrı satınalma başlıkları yerine risk senaryolarındaki görevleriyle değerlendirdik. Her kontrol için veri kaynağı, sahibi, müdahale süresi, bağımlılık ve başarısızlık halinde telafi edici katman tanımladık.

Sorunun ortaya çıkışı

Kurumda yeni nesil güvenlik duvarı, uç nokta koruması ve yedekleme vardı; buna rağmen yönetim “ne kadar güvendeyiz?” sorusuna kanıtlı cevap alamıyordu. E-posta olayları ayrı, kimlik uyarıları ayrı ekipte kalıyor, kritik sunuculardaki ayrıcalıklı erişim kişisel bilgilerle yürüyordu. Kontrollerin varlığı biliniyor fakat kapsama oranı, alarm sahipliği ve kurtarma testi ortak görünümde izlenmiyordu.

İlk çalışma ürün envanteri değil, kritik iş hizmetleri ve olası etki senaryoları oldu. Kimlik ele geçirilmesi, zararlı e-posta, uç nokta ihlali, web uygulaması saldırısı, veri sızıntısı, ayrıcalık kötüye kullanımı ve fidye yazılımı sonrası kurtarma gibi yollar seçildi. Her senaryoda hangi kontrolün önlediği, hangisinin tespit ettiği ve karar verecek kişinin kim olduğu haritalandı.

İlk belirtiler ve yanlış varsayımlar

İlk yanlış varsayım, EDR kurulu tüm cihazların yönetildiği ve korunduğuydu. Envanter karşılaştırması bazı cihazların ajan dışı, bazılarının güncel olmayan politika ile çalıştığını gösterdi. SIEM’e log göndermek de izleme anlamına gelmiyordu; zaman senkronu, ayrıştırma, use case, alarm eşiği ve müdahale sahibi yoksa veri yalnızca depolanıyordu. Lisans sayısı kontrol etkinliğini ölçmüyordu.

İkinci varsayım yedek varsa fidye yazılımı riskinin kapandığıydı. Aynı kimlik düzleminden silinebilen, geri dönüşü denenmemiş veya iş RTO’sunu karşılamayan kopya kurtarma katmanı değildir. MFA’nın tüm kimlik saldırılarını çözdüğü düşüncesi de eksikti; eski protokoller, hizmet hesapları, oturum çalma ve yardım masası süreçleri ayrıca korunmalıdır. Her güçlü kontrolün sınırı vardır.

Teknik analiz

Mimari altı yetenek etrafında analiz edildi: varlık ve kimlik bilgisi, koruma, tespit, müdahale, kurtarma ve yönetişim. NGFW segment ve kontrollü geçişi; e-posta güvenliği ilk teslim kanalını; EDR uç davranışını; NDR ağ anomalilerini; WAF web uygulama sınırını kapsıyordu. SIEM korelasyon sağlıyor, SOC/MDR insan ve süreçle alarmı karara dönüştürüyordu. Bu rollerin örtüşmesi boşluk kadar görünür kılındı.

Kimlik katmanında MFA, koşullu erişim, ayrıcalıklı hesap ayrımı, PAM ve yaşam döngüsü kontrol edildi. Veri katmanında sınıflandırma, DLP, erişim gözden geçirme, şifreleme ve değiştirilemez yedek ele alındı. Her kontrol için kapsam yüzdesi yerine doğrulanabilir sorular yazıldı: kritik cihaz telemetri gönderiyor mu, alarm denenmiş mi, müdahale runbook’u var mı, geri dönüş iş sahibi tarafından kabul edilmiş mi?

Uygulanan çözüm veya önerilen mimari

Öncelik temel hijyene verildi: güncel varlık envanteri, güvenli yapılandırma, zafiyet ve yama süreci, merkezi kimlik, MFA, en az yetki ve segmentasyon. İnternet sınırında NGFW ile e-posta/web kontrolleri, uçta EDR, kritik ağlarda ek görünürlük konumlandırıldı. Loglar SIEM’de kullanım senaryosuna göre toplandı; her kaynağı sınırsız almak yerine kimlik, endpoint, firewall, e-posta ve kritik uygulama olayları önceliklendirildi.

SOC/MDR için alarm sahipliği ve eskalasyon süreleri tanımlandı. PAM ayrıcalıklı oturumları, WAF internete açık uygulamaları, DLP doğrulanmış hassas veri akışlarını kapsayacak aşamalı plana alındı. Yedekleme ayrı kimlik, değiştirilemez kopya ve düzenli restore testiyle kurtarma katmanına dönüştürüldü. Kontroller masa başında değil güvenli masaüstü tatbikatı ve izinli doğrulama senaryolarıyla ölçüldü.

Alternatifler ve karar gerekçesi

Tek üreticili platform entegrasyon ve yönetim kolaylığı sunabilir, fakat tüm yeteneklerde aynı derinliği sağlamayabilir ve bağımlılık oluşturabilir. Best-of-breed yaklaşımı uzman özellikler getirir; entegrasyon, lisans ve yetkinlik maliyeti yükselir. Kurum için temel katmanlarda mevcut platform entegrasyonlarından yararlanıp kritik boşluklarda bağımsız ürün değerlendiren dengeli model seçildi.

İç SOC kurmak kurum bilgisini içeride tutar ancak vardiya, uzmanlık ve süreklilik gerektirir. Tam MDR dış kaynak modeli hızlı kapasite sağlar; bağlam ve karar hakları iyi tanımlanmazsa yalnızca alarm ileten hizmete dönüşebilir. Hibrit modelde kurum olay sahibi ve iş kararı vereni olarak kaldı, dış ekip 7/24 izleme ve ilk analiz sağladı. Seçim bütçeden önce çalışma modeliyle gerekçelendirildi.

Güvenlik ve operasyonel riskler

Katman sayısı arttıkça yanlış yapılandırma, entegrasyon kesintisi ve alarm yorgunluğu riski büyür. Aynı olayı üç ürünün bildirmesi üç kat güvenlik değil, korelasyon yoksa üç kat iş yüküdür. API ve servis hesapları en az yetkili olmalı, sırlar kasada dönmeli, log aktarımındaki kişisel veri ve saklama süresi hukuki gereksinimlerle yönetilmelidir.

Araçlar operasyon sahibi olmadan raf ömrü dolan lisanslara dönüşür. Her kontrolün RACI’si, bakım penceresi, kapasite izlemesi, sağlık alarmı ve devreden çıkarma planı olmalıdır. Güvenlik ürününün kendisi de yönetim ağı, MFA, yedek ve güncelleme ile korunmalıdır. Kurtarma planı saldırganın kimlik ve yönetim katmanına eriştiği varsayımıyla ayrıştırılmalı; test kanıtları yönetim kuruluna risk diliyle raporlanmalıdır.

Çıkarılan Dersler

Kontrol Listesi

Tuzak sistem fikri ilk bakışta caziptir: gerçek kullanıcı trafiği beklenmeyen bir varlığa gelen her erişim şüpheli kabul edilebilir. Fakat sahada iyi niyetli envanter taramalarının, yanlış yapılandırılmış izleme araçlarının ve eski otomasyonların da bu varlıklara dokunduğunu gördüm. Honeypot yüksek kaliteli sinyal üretebilir; bunun için çevresindeki normal davranışın anlaşılması gerekir.

22 Temmuz 2026 tarihinde orta segment bir deception çözümünü değerlendirirken hedefimiz saldırganı izlemek gibi iddialı bir proje değildi. İç ağda keşif ve yanal hareket belirtilerini erken görmek, mevcut SOC sürecinin yanıtını ölçmek istiyorduk. Bu sınır, hem mimariyi hem de yatırım beklentisini daha gerçekçi hale getirdi.

Sorunun ortaya çıkışı

Kurumun uç nokta ve ağ güvenlik kontrolleri vardı; ancak meşru yönetim araçları ile şüpheli iç ağ keşfini ayırmak zordu. Çok lokasyonlu yapıdaki yönetilemeyen cihazlar ve eski sistemler görünürlüğü azaltıyordu. Deception çözümü, gerçek üretim sistemlerinden ayrılmış sahte servisler ve işaretleyiciler üzerinden daha belirgin alarm üretme önerisiyle gündeme geldi.

Beklenti baştan düzeltildi: honeypot güvenlik duvarı, EDR veya sağlam kimlik yönetiminin alternatifi değildi. Kontrolün amacı belirli davranışlara erken uyarı sağlamaktı. Bu nedenle proje “bir cihaz kuralım” yerine tehdit senaryosu, yerleşim, telemetri, müdahale ve bakım başlıklarıyla ele alındı.

İlk belirtiler ve yanlış varsayımlar

Deneme ortamında ilk alarmların bir bölümü güvenlik tarayıcılarından ve ağ yönetim sisteminden geldi. Bu durum ürünün başarısızlığı değildi; izinli trafik envanterinin eksik olduğunu gösteriyordu. Yine de her alarmı olay kabul etsek SOC kısa sürede gereksiz kayıtlarla dolacaktı. Kaynak, zaman, protokol ve değişiklik takvimi bağlamı korelasyona eklendi.

Yanlış varsayımlardan biri tuzağın ne kadar gerçekçi olursa o kadar iyi olduğuydu. Üretim verisini, gerçek kimlik bilgisini veya kuruma özel ayrıntıları kopyalamak gereksiz risk yaratır. Diğeri honeypotun saldırganı otomatik engelleyeceğiydi. Esas değer erken tespittir; engelleme kararı mevcut olay müdahale prosedürü ve doğrulanmış bağlam üzerinden verilmelidir.

Teknik analiz

Düşük etkileşimli tuzaklar sınırlı servis davranışı taklit eder; bakımı ve riski daha düşüktür. Yüksek etkileşimli sistemler daha zengin telemetri sağlayabilir, fakat izolasyon, izleme ve kötüye kullanım riskleri artar. Kurumsal başlangıç için düşük etkileşimli ve üretimden güçlü biçimde ayrılmış yaklaşım daha uygundu. Sensörlerin ağ görünürlüğü, yönlendirme ve segmentasyon tasarımıyla doğrulandı.

Alarm zincirinde kaynak varlık zenginleştirmesi, bilinen tarayıcı istisnası, önem derecesi, SIEM korelasyonu ve vaka açılışı test edildi. Tuzak kimlik bilgileri kullanılıyorsa gerçek sistemlerde hiçbir yetkisi olmaması ve kullanıldığında alarm üretmesi şart koşuldu. Başarı ölçütü alarm sayısı değil, doğrulanmış şüpheli temasın görünürlük süresi ve müdahale kalitesiydi.

Uygulanan çözüm veya önerilen mimari

Pilot, kullanıcı ağı ile sunucu yönetim bölgesi arasındaki davranışı temsil eden sınırlı bir laboratuvar kesiminde başladı. Tuzak varlıklar gerçek adlandırma düzenini kopyalamadan makul servis profilleri sundu. Çıkış bağlantıları varsayılan olarak kısıtlandı, yönetim arayüzü ayrı kanala alındı ve platform logları merkezi izlemeye gönderildi.

SOC için kısa bir karar ağacı hazırlandı: kaynak varlığı doğrula, bilinen tarama takvimini kontrol et, ilişkili kimlik ve endpoint olaylarını incele, gerekirse izolasyon prosedürünü başlat. Aylık bakımda sensör sağlığı, alarm teslimi ve yanlış pozitifler gözden geçirildi. Kapsam ancak pilotta işletilebilir sinyal üretildiği kanıtlandıktan sonra genişletildi.

Alternatifler ve karar gerekçesi

NDR mevcut trafik üzerinden anomali arar ve daha geniş görünürlük sunabilir; honeypot ise kendisine yönelen beklenmedik temas sayesinde daha seçici sinyal üretir. EDR yönetilen uç noktada daha derin müdahale sağlar. SIEM korelasyon katmanıdır. Bu kontroller rakip değil, farklı veri ve davranış noktalarını kapsayan tamamlayıcı seçeneklerdir.

Açık kaynak honeypot düşük lisans maliyeti ve esneklik sunar; güvenli kurulum, içerik güncellemesi ve analiz kurumun sorumluluğundadır. Ticari deception platformları merkezi yönetim ve hazır entegrasyon sağlayabilir, fakat kapsam ve lisans modelinin değeri pilotta görülmelidir. Ekibin bakım kapasitesi sınırlı olduğundan kontrollü, düşük etkileşimli ve yönetilebilir kapsam seçildi.

Güvenlik ve operasyonel riskler

Yanlış izole edilmiş bir honeypot saldırı sıçrama noktası veya istenmeyen trafik kaynağı haline gelebilir. Gelen ve giden bağlantılar kısıtlanmalı, yönetim erişimi ayrılmalı, yazılım güncel tutulmalı ve bütün aktiviteler kaydedilmelidir. Hukuki ve gizlilik gereksinimleri, özellikle kullanıcı veya kaynak tanımlayıcılarının saklanması açısından değerlendirilmelidir.

Operasyonel risk unutulan tuzaktır. Eski profil yanlış beklenti yaratır, bozuk log entegrasyonu sessiz kalır, sahiplik değişince alarmlar sahipsizleşir. Deception varlıkları CMDB’de kontrollü biçimde işaretlenmeli, ancak gereksiz geniş kitleye ayrıntı dağıtılmamalıdır. Periyodik temas testiyle uçtan uca alarm zinciri doğrulanmalıdır.

Çıkarılan Dersler

Kontrol Listesi