Kimlik & Erişim

En Az Yetki (Least Privilege)

👤 Güvenlik Uzmanı★ 1/3⏱ 5 dk
İnteraktif sahne yükleniyor…
🎯 Neden önemli?

2017 Equifax ihlalinde olduğu gibi, tek bir aşırı yetkili hesabın ele geçirilmesi 147 milyon kişinin verisinin sızmasına yol açabilir — oysa o hesabın yetkisi işiyle sınırlı olsaydı saldırgan duvara toslardı.

Anlatım

NEDİR? En Az Yetki (Least Privilege), her kullanıcıya, uygulamaya, servise veya sürece yalnızca görevini yerine getirmesi için GEREKEN minimum erişim hakkının verilmesi ilkesidir. Fazlası verilmez; ihtiyaç bitince yetki geri alınır. Amaç, bir hesap ele geçirildiğinde veya bir hata yapıldığında oluşabilecek zararın "patlama yarıçapını" (blast radius) olabildiğince küçültmektir. İlke yalnız insanlar için değil; servis hesapları, API anahtarları, otomasyon botları ve mikroservisler için de geçerlidir. NASIL ÇALIŞIR? 1) İHTİYAÇ ANALİZİ: Her rol/iş için hangi kaynaklara, hangi seviyede (okuma/yazma/silme/yönetim) erişim gerektiği belirlenir. 2) VARSAYILAN RET (deny-by-default): Hiç kimse hiçbir şeye erişemez kabul edilir; erişim yalnız açıkça gerekli olduğunda eklenir. 3) ROL/POLİTİKA ATAMA: İzinler kişiye tek tek değil, dar kapsamlı rollere (RBAC) veya politikalara bağlanır; kişi role atanır. 4) JUST-IN-TIME / GEÇİCİ YÜKSELTME: Yönetici (admin) yetkisi sürekli açık tutulmaz; yalnız gerektiğinde, onaylı ve süreli olarak verilir, iş bitince otomatik geri alınır. 5) SÜREKLİ GÖZDEN GEÇİRME: Periyodik erişim incelemeleriyle (access review) kullanılmayan veya birikmiş (privilege creep) yetkiler temizlenir. NEDEN ÖNEMLİ / İŞ YERİNDE Gerçek dünyada çoğu büyük ihlal, normalden fazla yetkiye sahip bir hesabın çalınmasıyla büyür: saldırgan bir kez içeri girince, hesabın geniş yetkileri sayesinde sistemler arasında "yanal hareket" (lateral movement) yapar ve hassas verilere ulaşır. En Az Yetki uygulandığında, ele geçirilen muhasebe hesabı veritabanını silemez, pazarlama çalışanı maaş bordrosunu göremez, web sunucusunun servis hesabı tüm ağı tarayamaz. Bu ilke aynı zamanda KVKK/GDPR, ISO 27001 ve PCI-DSS gibi düzenlemelerin de temel beklentisidir. DİKKAT / İYİ UYGULAMA • Geçici verilen yetkiyi geri almayı unutmayın (en sık hata budur). • Herkese "admin" vermek kolaydır ama felakettir; günlük iş için ayrı, yönetim için ayrı hesap kullanın. • İzinleri kişiye değil role bağlayın; işten ayrılan/rol değiştiren personelde yetim erişim kalmasın. • Servis hesaplarına ve API anahtarlarına da en az yetki uygulayın — bunlar çoğu zaman unutulup en geniş yetkiyle bırakılır. • "Bilmesi Gereken" (need-to-know) ilkesiyle birlikte düşünün: erişim hem dar hem de gerekçeli olmalı.

📌 Senaryolar
📌 Örnek 1: Bir e-ticaret şirketinde müşteri destek temsilcisi, müşteri adını ve sipariş durumunu görebilir ama kredi kartı numarasını veya başka müşterilerin verisini göremez. Açıklama: Destek görevinin gerektirdiği alanlara salt-okuma verilir; ödeme verisi ve toplu erişim kapsam dışı bırakılır. Temsilcinin hesabı çalınsa bile saldırgan kart verisine ulaşamaz — zarar daralır.
📌 Örnek 2: Bir Linux sunucusunda web uygulaması, root (yönetici) yerine yalnız kendi dosyalarına erişebilen sınırlı bir 'www-data' kullanıcısıyla çalıştırılır. Açıklama: Uygulamada bir açık (örneğin uzaktan kod çalıştırma) bulunsa bile, saldırgan yalnız o sınırlı kullanıcının yetkileriyle kalır; sistem genelini ele geçiremez. Süreçleri root ile çalıştırmak en az yetki ilkesinin ihlalidir.
📌 Örnek 3: Bir bulut (cloud) ortamında sistem yöneticisi, kritik kaynakları silme yetkisini sürekli üzerinde taşımak yerine, Just-in-Time (JIT) yükseltme ile yalnız bakım penceresinde 2 saatliğine, onaylı olarak alır. Açıklama: Yetki kalıcı değil geçici ve süreli olduğundan, yöneticinin hesabı ele geçirilse bile saldırgan o yüksek yetkili pencereyi yakalama şansını büyük ölçüde kaybeder; iş bitince yetki otomatik geri çekilir.
Özet

• En Az Yetki: herkese ve her sürece yalnız işi için gereken minimum erişim. • Amaç, ele geçirilen hesabın verebileceği zararı (blast radius) küçültmek. • Varsayılan ret + dar kapsamlı roller + geçici/JIT yükseltme + düzenli erişim incelemesi. • İnsanlar kadar servis hesaplarına, API anahtarlarına ve botlara da uygulanır. • KVKK, ISO 27001, PCI-DSS gibi düzenlemelerin temel beklentisidir.

✅ Mini-Test (3)
1.En Az Yetki (Least Privilege) ilkesinin temel amacı aşağıdakilerden hangisidir?
2.En Az Yetki ilkesi yalnızca insan kullanıcılar için geçerlidir; servis hesapları ve API anahtarları bu kapsamın dışındadır.
3.Aşağıdaki uygulamalardan hangisi En Az Yetki ilkesiyle EN UYUMLUDUR?
← Tüm sözlük terimleri · Farkındalık eğitimi