Bulut, Kubernetes ve Altyapı Güvenliği
Secret ve Anahtar Yönetimi
Uygulamalarınızda kullanılan parola, API anahtarı ve şifreleme anahtarlarının nerede saklandığını tespit ediyoruz. Kimlerin erişebildiğini ve ne zaman yenilendiğini belirliyoruz.
Nedir?
Secret, bir sisteme erişim sağlayan gizli değerdir. Veritabanı parolası, API anahtarı ve bulut erişim anahtarı örneklerindendir. Bu değerler zamanla yapılandırma dosyalarına, ortam değişkenlerine ve CI/CD tanımlarına yayılır. Değerlendirme, secret'ların kasada toplanıp toplanmadığını inceler ve anahtar yaşam döngüsünü NIST SP 800-57 ile karşılaştırır.
Kapsam
- Secret kasaları ve erişim politikaları
- Bulut anahtar yönetimi (KMS) politikaları ve anahtarı kullanabilen kimlikler
- Ortam değişkenlerinde, yapılandırma dosyalarında ve CI/CD değişkenlerinde kalan secret'lar
- Anahtar yenileme süreleri ve iptal süreci
- Müşteri tarafından yönetilen anahtarlar ve HSM kullanımı
- Uzun ömürlü erişim anahtarlarının yerini alabilecek geçici kimlik bilgileri
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Bir kod deposu veya geliştirici bilgisayarı ele geçirildiğinde ve hangi anahtarların yenileneceği belirsiz kaldığında.
- Her ekip anahtarlarını kendi yöntemiyle sakladığında ve merkezi bir envanter olmadığında.
- Banka olarak anahtar yönetiminizi belgelemeniz gerektiğinde. BDDK, anahtarların geçerlilik süresinin belirlenmesini ve güvenilirliğini yitiren anahtarların hemen kullanımdan kaldırılmasını ister.
Yöntem
Nasıl çalışıyoruz?
-
Keşif
Secret'ların kasalarda, kodda, ortam değişkenlerinde ve CI/CD tanımlarında nerede bulunduğunu tespit ederiz.
-
Erişim analizi
Her secret'a ve anahtara hangi kimliklerin erişebildiğini ve kimlerin kullandığını loglardan inceleriz.
-
Yaşam döngüsü
Oluşturma, yenileme ve iptal süreçlerini NIST SP 800-57 ile karşılaştırırız.
-
Hedef model
Uzun ömürlü anahtarları geçici kimlik bilgileriyle değiştirmeye yönelik bir geçiş planı hazırlarız.
Sonuç
Çalışmanın sonunda elinizde olan
Secret ve anahtarlarınızın nerede bulunduğu, kimlerin erişebildiği ve ne zaman yenilendiği tek bir envanterde toplanır. Bir sızıntı durumunda hangi anahtarın nasıl yenileneceği nettir.
Sık sorulan sorular
Anahtarlarımızı bulut sağlayıcısının yönetmesi sakıncalı mı?
Birçok kullanım için sağlayıcının yönettiği anahtarlar yeterlidir. Bilgi ve İletişim Güvenliği Rehberi ise kamu kurumları ve kritik altyapı işletmecileri için kuruma ait şifreleme anahtarlarının kurumca yönetilmesini öngörür. Bu durumda müşteri tarafından yönetilen anahtar seçenekleri değerlendirilir.
Bir secret kasası kurmak yeterli mi?
Tek başına yeterli değildir. Kasaya erişen kimliklerin yetkisi genişse secret'lar yine ele geçirilebilir. Kasa erişim politikaları ve yenileme süreci birlikte ele alınmalıdır.
Bulut, Kubernetes ve Altyapı Güvenliği
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın