CompTIA SY0-701: Kimlik ve Erişim Yönetimi — Çalışma kılavuzu

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Şunun bir parçası: CompTIA Security+ SY0-701 — Çalışma kılavuzu. Doğrulanmış cevaplarla şurada pratik yapın: CompTIA sınav merkezi, veya şurada süreli deneme sınavları çözün: ExamRoll.io.

Kimlik ve Erişim Yönetimi (IAM), doğru öznelerin (kullanıcılar, hizmetler ve cihazlar) doğru kaynaklara doğru zamanda ve yalnızca gerektiği sürece doğru erişimi elde etmesini sağlama disiplinidir. Bu disiplin, sıklıkla ve tehlikeli bir şekilde birbiriyle karıştırılan, kavramsal olarak farklı iki temel üzerine kuruludur: bir öznenin kim olduğunu kanıtlayan kimlik doğrulama (authentication) ve kimliği doğrulanmış bu öznenin ne yapabileceğini belirleyen yetkilendirme (authorization). Bir iş istasyonuna parmak iziyle giriş yapan bir kullanıcı kimliğini doğrulamıştır; bu kullanıcının maaş bordrosu veritabanını açıp açamayacağı ise bir yetkilendirme meselesidir. Bu ikisi arasındaki ayrımı belirsizleştiren herhangi bir kontrol tasarımı, güvenlik ihlallerine davetiye çıkarır.

Kimlik Doğrulama Faktörleri ve Çok Faktörlü Kimlik Doğrulama

Kimlik doğrulama faktörleri geleneksel olarak beş kategoride gruplandırılır: bildiğiniz bir şey (parolalar, PIN’ler), sahip olduğunuz bir şey (akıllı kartlar, donanım token’ları, TOTP uygulamaları çalıştıran telefonlar), olduğunuz bir şey (parmak izi, retina, yüz geometrisi), bulunduğunuz bir yer (coğrafi konum veya ağ tabanlı bağlam) ve yaptığınız bir şey (yazma ritmi gibi davranışsal biyometrikler). Çok faktörlü kimlik doğrulama (MFA), en az iki farklı kategoriden kanıt gerektirir. Bir parola ile bir güvenlik sorusunun birleşimi MFA değildir — her ikisi de “bildiğiniz bir şey” kategorisindedir. Bir parola ile Google Authenticator’dan alınan bir TOTP kodunun birleşimi MFA’dır.

Donanım token’ları çeşitli biçimlerde gelir. YubiKey gibi FIDO2/WebAuthn güvenlik anahtarları asimetrik kriptografi kullanır: özel anahtar cihazdan asla ayrılmaz ve sunucu yalnızca bir genel anahtar tutar; bu da oltalama (phishing) ve tekrar (replay) saldırılarını engeller. HOTP token’ları bir sayaçtan tek kullanımlık parolalar üretir; TOTP token’ları ise bunları mevcut zamandan bir HMAC-SHA1 yapısı kullanarak üretir:

TOTP = HMAC-SHA1(shared_secret, floor(current_unix_time / 30))

Genellikle devlet kurumlarında PIV veya CAC kartları olarak bilinen akıllı kartlar, kurcalamaya karşı dayanıklı bir çip üzerinde bir X.509 sertifikası ve özel anahtar saklar. Kartın bir PIN ile birlikte sunulması, iki faktörü karşılar ve Kerberos PKINIT aracılığıyla Active Directory gibi sistemlere sertifika tabanlı kimlik doğrulamayı mümkün kılar.

MFA, kimlik bilgisi hırsızlığına karşı en etkili tek kontroldür. Kullanıcılar kendilerine ait olmayan IP adreslerinden giriş yapıldığını bildirdiğinde, parolaları sıfırlamak semptomu giderir; MFA’yı zorunlu kılmak ise temel nedeni çözer çünkü çalınan bir parola tek başına yetersiz kalır.

Tek Oturum Açma ve Federasyon

Tek oturum açma (SSO), bir kullanıcının bir kez kimlik doğrulaması yaparak birden fazla uygulamaya kimlik bilgilerini tekrar girmeden erişmesini sağlar. Federasyon, bunu kurumsal veya güven sınırlarının ötesine taşır — bir alandaki kullanıcının kimlik sağlayıcısı (IdP), başka bir alandaki hizmet sağlayıcısına (SP) kullanıcı için kefil olur. Buradaki en yaygın yanılgı, SAML ve OAuth’u birbirinin yerine geçebilir olarak görmektir; oysa bu ikisi farklı sorunları çözer.

SAML 2.0, kurumsal SSO ve kimlik doğrulama beyanları için tasarlanmış XML tabanlı bir protokoldür. Bir kullanıcı bir SaaS uygulaması talep ettiğinde, SP tarayıcıyı IdP’ye yönlendirir; IdP kullanıcıyı doğrular ve kimlik niteliklerini içeren imzalı bir SAML beyanı döndürür. Bu, çalışanların Salesforce veya Workday gibi bulut uygulamalarına kurumsal Active Directory kimlik bilgileriyle erişmelerini sağlayan standart mekanizmadır.

OAuth 2.0 bir kimlik doğrulama protokolü değil, bir yetkilendirme çerçevesidir. Kullanıcı adına üçüncü taraf bir uygulamaya, erişim token’ları aracılığıyla bir kaynağa devredilmiş erişim hakkı tanır. Bir uygulamanın Twitter akışınıza gönderi yapmasına izin vermek bir OAuth akışıdır. OpenID Connect (OIDC), OAuth 2.0 üzerine inşa edilmiş ve kimlik doğrulama beyanları sağlayan bir id_token (bir JWT) ekleyen bir kimlik katmanıdır — “Google ile Oturum Aç” özelliğini mümkün kılan da budur.

Kritik bir tuzak: SSO ve federasyon, kimlik bilgisi dağınıklığını azaltır ancak MFA ihtiyacını ortadan kaldırmaz. Hatta riski tek bir noktada toplarlar — ele geçirilmiş tek bir SSO kimlik bilgisi, artık tüm federe uygulamaların kilidini açar. MFA, IdP’de zorunlu kılınmalı ve ayrıcalıklı hesaplar, SSO’dan sonra bile yükseltilmiş kimlik doğrulaması (step-up authentication) gerektirmelidir.

Erişim Kontrol Modelleri

Kimlik belirlendikten sonra, bir erişim kontrol modeli yetkilendirme kararlarını yönetir. İsteğe Bağlı Erişim Kontrolü (DAC), kaynak sahiplerinin genellikle erişim kontrol listeleri (ACL’ler) aracılığıyla izinleri belirlemesine olanak tanır. Zorunlu Erişim Kontrolü (MAC), askeri sistemlerde yaygın olan ve SELinux gibi çerçeveler tarafından uygulanan, etiketlere ve yetki seviyelerine dayalı olarak politikayı merkezi olarak uygular. Rol Tabanlı Erişim Kontrolü (RBAC), izinleri rollere ve kullanıcıları rollere atar — bir “Faturalandırma Analisti” rolü tanımlanmış bir izin seti taşır ve kullanıcılar rol üyeliği ile izinleri devralır. Nitelik Tabanlı Erişim Kontrolü (ABAC), politikaları öznenin, kaynağın, eylemin ve ortamın niteliklerine göre değerlendirir ve “İK dosyalarına yalnızca mesai saatleri içinde kurumsal yönetimli cihazlardan okuma erişimine izin ver” gibi kuralları mümkün kılar.

Her modelin temelinde en az ayrıcalık ilkesi yatar: özneler, işlevlerini yerine getirmek için yalnızca gerekli olan minimum erişimi alırlar, daha fazlasını değil. Bunu tamamlayan ilke, tek bir bireyin hassas bir sürecin tamamını kontrol etmesini önleyen görevler ayrılığıdır — bir ödemeyi talep eden kişi aynı zamanda onu onaylayan kişi olmamalıdır.

Pratik erişim kontrolleri arasında dosya sistemi ACL’leri, yönlendiriciler ve güvenlik duvarlarındaki ağ ACL’leri ve yalnızca yetkili saatlerde oturum açmaya izin veren günün saati kısıtlamaları bulunur. Bir finans paylaşımına salt okunur erişim veren bir Windows ACL girdisi şu şekilde olabilir:

icacls C:\Finance /grant "Domain\Finance-RO:(OI)(CI)R"

Ayrıcalıklı Erişim Yönetimi

Ayrıcalıklı hesaplar — domain admin’leri, root, veritabanı sistem yöneticileri, bulut kök hesapları, hizmet hesapları — her ortamın en değerli varlıklarıdır. CyberArk, BeyondTrust veya HashiCorp Vault gibi Ayrıcalıklı Erişim Yönetimi (PAM) sistemleri bu hesaplar etrafında kontroller uygular: kimlik bilgileri kasaya alınır ve otomatik olarak döndürülür, oturumlar kaydedilir, kimlik bilgilerini kullanmak gerekçe ve genellikle onay gerektirir ve parolalar sıklıkla tek kullanımlık veya geçicidir.

Tam Zamanında (JIT) Erişim, yalnızca belirli bir görevin süresi boyunca ayrıcalıkları yükselterek kalıcı yönetici haklarını ortadan kaldırır. Bir veritabanı geçişi çalıştırması gereken bir geliştirici, 30 dakika sonra otomatik olarak süresi dolan zaman sınırlı bir kimlik bilgisi alır — çalınacak kalıcı bir ayrıcalıklı hesap yoktur. Azure AD’deki Ayrıcalıklı Kimlik Yönetimi (PIM), bu modeli yerel olarak uygular ve yükseltmeden önce onay iş akışları ve MFA ile yeniden kimlik doğrulaması gerektirir.

Hizmet hesapları kendine özgü bir zorluk teşkil eder. Genellikle aşırı yetkilidirler, parolaları nadiren döndürülür ve kullanımları nadiren denetlenir. Active Directory’deki Managed Service Accounts (MSA’lar) ve Group Managed Service Accounts (gMSA’lar) parola rotasyonunu otomatikleştirir ve insanların hizmet hesabı kimlik bilgilerini bilme ihtiyacını tamamen ortadan kaldırır.

Dizin Hizmetleri ve Yetkilendirme

Active Directory (AD), şirket içi (on-premises) kimlik deposu olarak hakimiyetini sürdürmektedir. Kullanıcılar, bilgisayarlar ve gruplar Organizational Units (OU’lar) içinde organize edilir ve Group Policy Objects (GPO’lar) yapılandırma ve güvenlik ayarlarını hiyerarşik olarak uygular. AD trust’ları (güven ilişkileri), kimlik doğrulamasını domain’ler ve forest’lar arasında genişletir. Azure Active Directory (Entra ID), bu kavramları buluta taşıyarak koşullu erişim politikaları, kimlik koruma risk puanlaması ve binlerce SaaS uygulamasıyla sorunsuz entegrasyon ekler.

LDAP (Lightweight Directory Access Protocol), dizin hizmetlerini sorgulamak için temel alınan protokoldür. RADIUS, ağ erişimi için kimlik doğrulamasını merkezileştirir — VPN, Wi-Fi ve 802.1X kablolu kimlik doğrulaması genellikle AD tarafından desteklenen bir RADIUS sunucusuna karşı kimlik doğrulaması yapar. TACACS+, ağ cihazı yönetimi için benzer bir rol oynar ve ek olarak kimlik doğrulama (authentication), yetkilendirme (authorization) ve hesaplama/kayıt tutma (accounting) işlemlerini ayrı aşamalara ayırma avantajına sahiptir.

Kullanıcı hesabı oluşturma (provisioning) ve kapatma (deprovisioning) süreçleri, İK süreçleriyle sıkı bir şekilde bağlantılı olmalıdır. En kalıcı IAM başarısızlığı, sahipsiz hesaptır — işten ayrıldıktan haftalar veya aylar sonra Active Directory hesabı aktif kalan eski bir çalışan. SCIM (System for Cross-domain Identity Management) veya İK-AD bağlayıcıları aracılığıyla otomatik hesap oluşturma, zorunlu hesap kapatma kontrol listeleriyle birleştiğinde bu açığı kapatır.

Pratik Senaryo: Sahipsiz Hesap Üzerinden Kimlik Bilgisi İhlali

Bir imalat şirketinin BT ekibi, artık durdurulmuş bir entegrasyon projesi için oluşturulmuş bir hizmet hesabından ERP sistemine mesai saatleri dışında olağandışı erişim tespit etti. Hesap, domain kullanıcısı haklarına sahipti ve belirli bir çalışanla ilişkilendirilmediği için üç aylık erişim gözden geçirmeleri sırasında hiç incelenmemişti. Bir dark web sızıntısından kimlik bilgilerini satın alan bir saldırgan, bu hesabı kullanarak dosya paylaşımlarını listeledi, fiyatlandırma verilerini sızdırdı ve zamanlanmış bir görev aracılığıyla kalıcı bir yer edindi. İhlal, ancak ERP sağlayıcısının anormal API çağrı kalıplarını işaretlemesiyle keşfedildi. Kök neden, başarısız bir hesap kapatma (deprovisioning) süreciydi — entegrasyon hizmet dışı bırakılmış ancak hesap hiçbir zaman devre dışı bırakılmamıştı. Sahipsiz hesapların otomatik olarak keşfedilmesini sağlayan ve zorunlu gözden geçirme döngüleri içeren bir PAM sistemi uygulamak, hesabı istismar edilmeden çok önce ortaya çıkarırdı.

← Yönetişim · Tüm alanlar · Tehditler →

Bu soruları çözün → · ExamRoll.io’da süreli pratik →