Yükleniyor…
Bir bulut ortaminda (AWS, Azure veya GCP) bulunmasi gereken saglayici-agnostik temel guvenlik kontrolleri butunu: kok/yonetim hesabi korumasi ve IAM en az ayricalik, denetim/threat detection loglama, agda default-deny ve acik depolama engeli, sifreleme, is yuku ve metadata korumasi, CSPM ve guardrail yonetisimi. Cerceve SANS CIS Controls v8; somut degerler CIS Foundations Benchmark (AWS/Azure/GCP), CISA Cloud TRA ve CSA CCM rehberlerinden derlenmistir. NOT: Konteyner ve Kubernetes kontrolleri bu baseline da yer almaz; ayri Container / Kubernetes Guvenlik Baseline inde ele alinir. Kontrollerin sağlayici kapsami check_recipe icindeki applies_to alaninda belirtilir; bir sağlayicida karsiligi olmayan kontrol o ortamda uygulanmaz sayilmalidir.
Kaynak çerçeveler
Özet
Bulut (AWS / Azure / GCP) Guvenlik Baseline, 7 bölümde 56 granül sıkılaştırma kontrolü içerir; her kontrol önerilen değer, ayar yolu ve resmi kamu kaynağıyla gelir. Kontroller şu uyumluluk çerçeveleriyle eşlenmiştir: CIS v8, NIST 800-171, NIST CSF 2.0, ISO 27002:2022. Kendi yapılandırmanızı satır satır kıyaslayıp %kapsama skoru, eksik kontrol listesi ve CSV çıktısı alabilirsiniz.
Önemli uygulama uyarısı
Bu baseline genel bir güvenlik referansıdır. Kontroller, üretim ortamına uygulanmadan önce kurumunuzun ihtiyaçları ve mevcut yapılandırması dikkate alınarak test ortamında doğrulanmalı; değişiklikler kontrollü, aşamalı ve geri alma planı hazırlanarak uygulanmalıdır. Bu kontrollerin uygulanmasından veya uygulama sonucunda oluşabilecek hizmet kesintisi, veri kaybı, uyumsuzluk ya da diğer zararlardan CyberSecLab sorumlu tutulamaz.
Root/Global Admin: donanim MFA, erisim anahtari yok, gunluk kullanim yok
↳ AWS root / Azure Global Admin / GCP org admin
Kok hesabin ele gecirilmesi tum ortamin kaybi demektir; kilitlenmeli ve nadiren kullanilmali.
IAM kullanicilari ve SSO icin MFA zorunlu
↳ IAM / Entra / Cloud Identity
MFA, sizdirilmis bulut kimlik bilgileriyle erisimi durduran en etkili kontroldur.
IdP federasyonu/SSO; statik erisim anahtari yerine kisa omurlu rol; kacinilmazsa rotasyon <= 90 gun
↳ IAM Identity Center / Workload Identity Federation
Uzun omurlu erisim anahtarlari sizdirilinca kalici erisim verir; federasyon kisa omurlu kimlik kullanir.
Genis yetki yok: Action ve Resource wildcard i gerekce olmadan kullanilmiyor; permission boundary / SCP / Azure Policy / Org Policy ile ust sinir cizili. NOT: bazi AWS API cagrilari (or. ec2:Describe*, s3:ListAllMyBuckets, iam:List*) kaynak duzeyinde yetkilendirmeyi DESTEKLEMEZ ve yalniz Resource degeri * ile calisir; bunlar onayli istisna listesinde tutulur. Kural mutlak hic * olmasin degil, her * gerekcelendirilmis ve Condition ile daraltilmis olsun seklindedir.
↳ IAM policies / SCP / Org Policy
Asiri genis IAM izinleri tek bir sizan kimligi tam ortam ele gecirmeye cevirir.
Guclu parola politikasi; kullanilmayan kimlik/anahtar 90 gunde devre disi; anahtar rotasyonu
↳ IAM credential report
Bayat ve donmemis kimlik bilgileri saldirgan icin sessiz giris noktasidir.
AWS: AssumeRole guven politikasi * degil; ucuncu taraf erisiminde ExternalId ZORUNLU (confused deputy). Azure: capraz-tenant erisim yerine belirli service principal / managed identity ve dar RBAC kapsami; Lighthouse delegasyonlari envanterli. GCP: Workload Identity Federation da issuer/subject kosullari dar; harici principal ler proje duzeyinde sinirli. ExternalId AWS e ozgudur; diger sağlayicilarda karsiligi kosul tabanli kapsam daraltmasidir.
↳ IAM trust policy / RBAC assignments
Genis guven iliskileri ucuncu taraf veya sizan hesaptan yanal harekete izin verir.
Pipeline -> bulut OIDC ile kisa omurlu rol; depolanan statik erisim anahtari yok
↳ GitHub/GitLab OIDC -> IAM Role / Workload Identity Federation
Sizan uzun omurlu CI anahtari en sik bulut ihlali nedenidir; OIDC kisa omurlu, kapsamli kimlik verir.
IAM Access Analyzer (external + unused access) etkin ve bulgulari triyajli
↳ AWS Access Analyzer / Azure PIM access reviews / GCP Policy Analyzer
Disari acik kaynaklar ve bayat izinler otomatik bulunarak en az ayricalik surekli olculur.
Security/billing contact tanimli; kok kullanimi ve MFA siz konsol girisi alarmli
↳ Account settings + CloudWatch/Monitor alarm
Kritik hesap olaylarinda gercek zamanli haber, ele gecirmeye hizli mudahaleyi saglar.
Acil erisim yolu tanimli, test edilmis ve alarmli. Sayi sağlayiciya gore degisir: Azure/Entra icin 2 bulut-yerel hesap onerilir; AWS ta esdegeri yonetim hesabinin root kullanicisidir (donanim MFA, erisim anahtari yok, kullanim alarmli); GCP ta ayrilmis Super Admin hesaplari ayni mantikla korunur. Ortak sart: SSO/federasyon disinda calisabilmeli, donanim MFA, kullanimi ve kimlik bilgisi degisikligi alarm uretmeli, periyodik test edilmeli.
↳ AWS: ayri IAM kullanici + org mgmt / Azure break-glass / GCP super admin
Kimlik saglayici (SSO/IdP) kesintisi veya ele gecirilmesi durumunda kontrollu erisim; SSO disi olmasi tek-nokta bagimliligini kirar, alarm kotu kullanimi yakalar.
Kaynak-tabanli ve guven politikalarinda kapsam kosullari (aws:SourceArn/SourceAccount, azure scope, GCP resource condition); servis principal dar kapsamli
↳ Resource policy / trust policy kosullari
Kosulsuz kaynak/guven politikasi, bir servisin baska kiracinin adina yetkiyle kandirilmasina (confused deputy) izin verir; kapsam kosullari bunu engeller.
Ayakta duran (standing) ayricalik yok; ayricalikli erisim sureli ve denetlenebilir. Sağlayici farki onemli: Azure PIM yerlesik onay, sureli aktivasyon ve gerekce saglar. AWS IAM Identity Center TEK BASINA bir JIT/onay sistemi DEGILDIR - permission set atamalari kalicidir; sureli ve onayli yukseltme icin ek bir cozum (Temporary Elevated Access Management deseni, ITSM entegrasyonu veya ucuncu parti PAM) gerekir. GCP PAM sureli yukseltme sunar. Hangi mekanizmanin kullanildigi acikca belgelenmelidir.
↳ Kimlik yonetisim / PAM cozumu
Surekli ayakta duran ayricalik saldiri penceresini buyutur; JIT yalniz gerektiginde ve sureli yetki vererek maruziyeti daraltir.
0.0.0.0/0 VE ::/0 kaynaktan yonetim ve veri portlarina acik kural yok. Asgari kapsam: 22 (SSH), 3389 (RDP), 3306 (MySQL), 5432 (PostgreSQL), 1433 (MSSQL), 1521 (Oracle), 27017 (MongoDB), 6379 (Redis), 9200/9300 (Elasticsearch), 5601 (Kibana), 11211 (Memcached), 2375/2376 (Docker API), 6443 (Kubernetes API). TCP ve UDP ayri degerlendirilir; kontrol yalniz guvenlik gruplari/NSG ile sinirli kalmamali, load balancer ve public IP maruziyetini de kapsamalidir.
↳ Security Groups / NSG / Firewall rules
Internete acik Redis, Elasticsearch ve MongoDB ornekleri kimlik dogrulamasiz varsayilanlariyla yillardir en sik veri sizintisi ve fidye kaynagidir; bu yuzden port listesi somut olarak tanimlanmalidir.
DB ve yonetim arayuzleri ozel subnet veya private endpoint arkasinda; public IP yok. DIKKAT: private endpoint olusturmak public erisimi OTOMATIK KAPATMAZ - Azure da kaynak uzerinde publicNetworkAccess degeri Disabled yapilmali (veya guvenlik duvari kurali uygulanmali); AWS ta VPC endpoint yaninda kaynak politikasi ve publicly accessible=false; GCP ta Private Service Connect yaninda authorized networks daraltilmalidir. Iki ayarin da dogrulanmasi gerekir.
↳ VPC/VNet design, Private Endpoints
Public veritabani/yonetim ucu dogrudan exploit ve veri sizintisi yuzeyidir.
Ag akis loglari etkin ve merkezi toplaniyor: AWS VPC Flow Logs, GCP VPC Flow Logs, Azure VIRTUAL NETWORK Flow Logs. AZURE GECISI ZORUNLU: NSG Flow Logs 30 Eylul 2027 de emekli olacak, 30 Haziran 2025 ten beri yeni NSG flow log olusturulamiyor; emeklilik tarihinde mevcut NSG flow log kaynaklari SILINECEK ve traffic analytics desteklenmeyecek. Mevcut NSG flow log lari VNet flow log lara tasinmalidir.
↳ VPC Flow Logs / NSG Flow Logs / VPC Flow Logs
Akis loglari yanal hareket, tarama ve sizdirma desenlerini gorunur kilar.
Public uygulamalarda WAF; Shield/Front Door/Cloud Armor DDoS
↳ WAF + DDoS protection
Public uygulamalar surekli taranir ve istismar edilir; WAF ve DDoS korumasi temel savunmadir.
Kullanilmayan default VPC kaldirilmis; gereksiz bolgeler SCP/org policy ile kapali
↳ VPC/VNet + SCP/Azure Policy/Org Policy
Gozetimsiz varsayilan ag ve aktif olmayan bolgeler gizli saldiri yuzeyidir.
Bulut servislerine private endpoint/PrivateLink/VPC endpoint; cikis (egress) firewall/proxy ile kisitli, yalniz gerekli hedefler
↳ VPC endpoints / Private Link / egress firewall / Cloud NAT + policy
Internete acik cikis ve public servis ucu veri sizdirma (exfiltration) ve C2 yolu saglar; ozel baglanti + egress kontrolu trafigi ozel omurgada tutar.
Halka acik zone larda DNSSEC etkin; DNS sorgu loglama acik; sahipsiz (dangling) kayitlar periyodik temizleniyor
↳ Route 53 / Azure DNS / Cloud DNS + query logging
DNSSEC cache poisoning a karsi butunluk saglar; dangling kayit bulut kaynagi geri alindiginda alt alan adi ele gecirmeye yol acar.
CDN/WAF arkasindaki origin dogrudan internetten erisilebilir degil: AWS CloudFront + S3 icin Origin Access Control (OAC), ALB origin icin CloudFront yonetilen prefix listesi veya imzali baslik dogrulamasi; Azure Front Door icin Private Link origin veya X-Azure-FDID baslik dogrulamasi + Front Door service tag disina kapali NSG; GCP Cloud CDN/Armor arkasinda backend yalniz Google Front End lerden erisilebilir. Origin in public IP/DNS adi ifsa edilmemis.
↳ CloudFront OAC / Front Door Private Link veya FDID dogrulamasi / Cloud Armor backend kisitlamasi
WAF yalnizca uzerinden gecen trafigi korur. Origin in public adresi bulunabiliyorsa saldirgan WAF i tamamen atlayarak uygulamaya dogrudan gider; bu, WAF yatirimini fiilen etkisiz kilan yaygin bir yanlis yapilandirmadir.
Cikis DNS sorgulari merkezi ve filtreli cozumleyiciden geciyor: AWS Route 53 Resolver DNS Firewall (yonetilen kotu-alan listeleri + ozel blok listeleri), Azure DNS Security Policy veya Firewall DNS proxy ile tehdit istihbarati filtreleme, GCP Cloud DNS + guvenlik politikasi. Is yuklerinin dogrudan harici DNS (or. 8.8.8.8) kullanmasi ag kurallariyla engelli; DNS sorgu loglari toplaniyor.
↳ Route 53 Resolver DNS Firewall / Azure Firewall DNS proxy + threat intel / GCP Cloud DNS policy + egress kurallari
Komuta-kontrol trafiginin buyuk kismi once bir alan adi cozumler ve DNS tunelleme veri sizdirmanin sessiz yollarindan biridir. CLD-NET-07 DNSSEC ve sahipsiz kaydi kapsar, cikis yonlu kotu-alan filtrelemesini kapsamaz.
Ic servis trafigi de sifreli: yuk dengeleyici ile backend arasinda TLS sonlandirma sonrasi yeniden sifreleme (end-to-end TLS), servis mesh veya yerlesik mTLS (App Mesh/Istio/Linkerd, Azure Service Fabric veya AKS mesh, GCP Anthos Service Mesh), yonetilen servislere baglanti TLS zorunlu. VPC/VNet ici trafigin otomatik olarak guvenli oldugu VARSAYILMIYOR.
↳ Yuk dengeleyici backend protokolu, servis mesh mTLS politikasi, veritabani baglanti TLS zorunlulugu
CLD-DAT-03 dis trafigi (istemci-uygulama) kapsar. Ic ag guvenilir kabul edildiginde, tek bir ele gecirilmis is yuku yanal olarak duz metin trafigi dinleyebilir; sifir guven modelinde ic trafik de kimlik dogrulamali ve sifreli olmalidir.
AWS: IMDSv2 zorunlu (HttpTokens=required), IMDSv1 kapali, hop limit 1; yeni instance larda org policy ile zorunlu. Azure: IMDS te token mekanizmasi YOKTUR - koruma Metadata basligi disinda uygulama katmani SSRF savunmasi, managed identity kapsaminin daraltilmasi ve egress kisitlamasiyla saglanir. GCP: eski (legacy v1) metadata uclari kapali (disable-legacy-endpoints=true) ve Metadata-Flavor basligi zorunlu. IMDSv2 kavrami yalniz AWS icindir.
↳ EC2 metadata options / equivalent
Metadata servisi SSRF ile calinabilen gecici kimlik bilgileri dagitir; Capital One ihlalinin cekirdegi buydu. Ancak korumanin bicimi sağlayiciya gore tamamen farklidir; tek bir IMDSv2 kontrolu Azure ve GCP de olcum uretmez.
Secrets Manager / Key Vault / Secret Manager; hardcoded sir yok
↳ Secrets management service
Koda veya ortam degiskenine gomulu sirlar kaynak/imaj sizintisiyla aciga cikar.
Yonetilen yama; golden/hardened image; surekli zafiyet taramasi
↳ SSM Patch / Update Manager / OS Config
SANS CIS Control 7: yamasiz bulut is yuku internetten hizla somurulur.
Sunuculara EDR/Defender for Servers ajani
↳ Workload protection agent
Bulut sunuculari da fidye, madenci ve yanal hareket hedefidir.
Terraform/Pulumi state sifreli + erisim kisitli; state icinde duz metin secret yok
↳ Remote backend (S3+KMS / azurerm) + state encryption
State dosyasi cogu zaman duz metin kimlik bilgisi ve kaynak detayi tasir; sizarsa ortam acilir.
Serverless islev rolleri dar kapsamli (wildcard yok, kaynak bazli). Anonim/kimlik dogrulamasiz function URL veya HTTP tetigi VARSAYILAN OLARAK YOK; is gerekcesi olan public uc noktalar (webhook, public API) onayli istisna listesinde tutulur ve WAF, rate limit ve imza dogrulama (webhook HMAC) ile korunur. Istisna listesi periyodik gozden gecirilir.
↳ Fonksiyon IAM rolu + function URL / trigger auth
Asiri yetkili fonksiyon rolu ele gecirmede genis erisim verir; kimliksiz function URL dogrudan public giris/istismar yuzeyidir.
Sunucularda 22/3389 internete veya genis ic aglara acik degil; yonetim aracili erisimle yapilir: AWS SSM Session Manager, Azure Bastion, GCP IAP TCP forwarding. Oturum kaydi acik (SSM session logging S3/CloudWatch, Bastion tanilama loglari, IAP baglanti loglari). NOT: tum oturum turlerinde tam komut/icerik kaydi alinmaz (port yonlendirme ve RDP grafik oturumlarinda icerik kaydi sinirlidir); tam kayit gereken senaryolarda ek oturum kayit cozumu gerekir.
↳ AWS SSM Session Manager / Azure Bastion / GCP IAP
Acik SSH/RDP portu ve statik bastion brute-force ve exploit yuzeyidir; kimlik-aracili, port-suz ve loglu erisim bunu kaldirir.
S3 Block Public Access / public blob yok / public bucket yok
↳ S3 / Blob / Cloud Storage IAM
Yanlislikla public birakilan depolama, en sik veri ihlali kaynagidir.
Tum depolama, disk, anlik goruntu ve yonetilen veritabanlarinda beklemede sifreleme ETKIN; sifresiz kaynak olusturulmasi org policy / Azure Policy / SCP ile engelli. Bu kontrol SAĞLAYICI-YONETIMLI sifrelemeyi kapsar (AWS SSE-S3 ve EBS default encryption, Azure platform-managed keys, GCP Google-managed keys). Musteri yonetimli anahtar ayri bir kontroldur: CLD-DAT-04.
↳ KMS / Key Vault / Cloud KMS
Sifrelenmemis veri, snapshot/bucket sizdirmasinda dogrudan okunabilir.
TLS zorunlu; HTTP/duz metin reddediliyor (bucket policy/Listener)
↳ Load balancer / bucket policy
Duz metin aktarim, dinleme ve MITM ile veri/credential sizdirir.
Musteri yonetimli anahtar (CMK/CMEK) veri siniflandirmasina gore KAPSAMLI uygulanir, her kaynak icin degil: duzenlemeye tabi, gizli veya musteri verisi barindiran kaynaklarda zorunlu; digerlerinde sağlayici-yonetimli sifreleme yeterlidir. Anahtar politikasi en az ayricalik; otomatik rotasyon acik; anahtar yoneticisi ile veri sahibi ayrimi (ideal olarak ayri hesap/abonelik). Kapsam karari maliyet ve erisilebilirlik etkisiyle birlikte belgelenir.
↳ KMS / Key Vault
Genis anahtar erisimi sifrelemeyi etkisiz kilar; rotasyon uzun vadeli riski azaltir.
UC AYRI GUVENCE, birbirinin yerine gecmez: (1) Versioning - yanlislikla uzerine yazma veya silmeden donus saglar, ancak yetkili bir saldirgan surumleri de silebilir. (2) MFA Delete / silme korumasi - surum silmeyi ek faktore baglar (S3 MFA Delete yalniz root ve CLI ile ayarlanir; Azure blob silme korumasi ve kaynak kilidi ayri mekanizmalardir). (3) Immutable/WORM yedek - S3 Object Lock compliance mode, Azure immutable blob policy, GCP bucket lock; fidye senaryosunda asil koruma budur. Ucu de ayri ayri dogrulanmalidir.
↳ S3 versioning / Backup vault immutability
Surumleme ve degistirilemez yedek, fidye ve toplu silmeye karsi kurtarmayi saglar.
AMI / disk snapshot / makine imaji public paylasimi bloklu (org policy ile zorunlu)
↳ EC2/Compute image sharing + SCP/Org Policy
Yanlislikla public birakilan imaj ve snapshot veri ile gomulu secretlari sizdirir.
RDS/DB snapshot, SQS/SNS, KMS, Secrets, Lambda/Functions kaynak politikalari ve RAM/paylasim public degil
↳ Resource policy denetimi + org policy / Access Analyzer
Public maruziyet yalniz object storage degil; public DB snapshot veya * principal li kuyruk/anahtar politikasi da veri ve yetki sizintisi yaratir.
Kritik veri ayri (logically air-gapped) yedek hesabinda/aboneliginde; immutable + duzenli test edilen restore
↳ AWS Backup vault (ayri hesap) / Azure immutable vault / GCP backup
Ayni hesaptaki yedek, hesap ele gecirildiginde fidye/silme ile birlikte gider; izole capraz-hesap + test edilmis restore kurtarilabilirligi garanti eder.
Macie / Purview / DLP / Sensitive Data Protection ile hassas veri kesfi + siniflandirma etkin
↳ AWS Macie / Microsoft Purview / GCP Sensitive Data Protection
Nerede hassas veri oldugu bilinmeden korunamaz; otomatik kesif yanlis yerdeki ve asiri-paylasilan PII/sir i ortaya cikarir.
KMS/Key Vault anahtarlarinda silme korumasi: AWS KMS zamanlanmis silme icin azami bekleme suresi (30 gun) ve ScheduleKeyDeletion/DisableKey cagrilarinda alarm; Azure Key Vault ta soft-delete ve PURGE PROTECTION acik (purge protection geri alinamaz); GCP KMS te anahtar yok etme (destroy) suresi uzatilmis ve IAM ile kisitli. Anahtar silme/devre disi birakma yetkisi Tier 0 ile sinirli ve dort-goz kurali uygulanir.
↳ AWS KMS key policy + CloudTrail alarmi | Azure Key Vault soft-delete/purge protection | GCP KMS destroy scheduled duration + IAM
Bulut fidye saldirilarinin bir bicimi veriyi sifrelemek degil, MUSTERI YONETIMLI ANAHTARI SILMEKTIR: anahtar yok edildiginde onunla sifrelenmis tum veri kalici olarak erisilemez hale gelir ve yedekler de sifreli oldugu icin kurtarilamaz. Rotasyon (CLD-DAT-04) bu senaryoyu kapsamaz.
Yonetilen veritabanlarinda mumkun oldugunda statik parola yerine kimlik tabanli dogrulama: AWS RDS/Aurora IAM database authentication, Azure SQL/PostgreSQL icin Entra ID kimlik dogrulama, GCP Cloud SQL IAM database authentication. Statik parola kacinilmazsa Secrets Manager / Key Vault / Secret Manager icinde OTOMATIK ROTASYONLU; uygulama parolayi kod veya ortam degiskeninden degil sir deposundan aliyor. Yonetici hesabi gunluk kullanimda degil.
↳ RDS IAM auth / Azure SQL Entra admin / Cloud SQL IAM auth + sir deposu rotasyon yapilandirmasi
Veritabani master parolasi bulut ortamlarinda en uzun omurlu ve en cok kopyalanan sirdir; kod deposuna, CI degiskenlerine ve calisma kitaplarina sizar. Kimlik tabanli dogrulama bu sirri tamamen ortadan kaldirir. CLD-CMP-02 genel sir yonetimini kapsar, veritabanina ozgu yolu kapsamaz.
Kontrol duzlemi (management plane) denetim izi tum bolge ve hesaplarda etkin: AWS CloudTrail organizasyon izi (multi-region), Azure Activity Log ve diagnostic settings, GCP Cloud Audit Logs (Admin Activity varsayilan acik). NOT: VERI DUZLEMI (data plane) loglari cogunlukla AYRICA acilmalidir - AWS CloudTrail data events (S3/Lambda/DynamoDB), Azure kaynak bazli diagnostic settings, GCP Data Access logs (BigQuery disinda varsayilan KAPALI). Kapsam karari CLD-LOG-07 de belgelenir.
↳ CloudTrail / Monitor / Cloud Logging
SANS CIS Control 8: denetim logu olmadan bulut etkinligi gorunmez ve adli analiz imkansizdir.
Log file validation; merkezi, degistirilemez (immutable) hesap/bucket; SIEM iletimi
↳ Dedicated logging account / immutable storage
Saldirganlar izlerini siler; degistirilemez merkezi log kaniti korur.
GuardDuty / Defender for Cloud / Security Command Center etkin
↳ Native threat detection
Native tespit servisleri kotuye kullanim, madenci ve anomalileri otomatik yakalar.
Kok kullanimi, IAM policy degisimi, yetkisiz API, MFA siz konsol girisi icin alarm
↳ CloudWatch Alarms / Azure Alerts / Monitoring
Yuksek-deger olaylarinda gercek zamanli alarm mudahale suresini kisaltir.
AWS Config / Azure Policy state / GCP Asset Inventory etkin
↳ Config / Policy / Asset Inventory
Surekli yapilandirma takibi drift ve yetkisiz degisikligi ortaya cikarir.
Billing / cost anomaly alarmi etkin (beklenmeyen compute artisi)
↳ Cost Anomaly Detection / Cost Management alerts
Ele gecirilen hesapta cryptomining cogu zaman ilk once anormal faturada gorunur.
Yonetim + data event (or. S3/Lambda data events) kapsami tanimli; log/trail kapatma veya silme alarmli
↳ CloudTrail data events / Azure Diagnostic / GCP Data Access logs + alarm
Yalniz management event yetmez; data event kapsami olmadan veri erisimi gorunmez; log kapatma tespiti savunma korkorlugunu yakalar.
Tehdit tespiti TUM hesap/abonelik/projelerde merkezi olarak etkin: AWS GuardDuty delegated administrator + otomatik yeni hesap kaydi, Azure Defender for Cloud plan atamasi management group duzeyinde, GCP SCC organizasyon duzeyinde. Ayrica log hattinin CALISMAYA DEVAM ETTIGI olculuyor: beklenen hesaptan log gelmemesi (heartbeat kaybi), dusen/reddedilen kayit sayaci ve sink/trail durum degisikligi alarm uretiyor.
↳ GuardDuty/Defender/SCC delegated admin ayarlari + SIEM tarafinda kaynak bazli log kesintisi alarmi
Tek hesapta etkin bir tespit servisi, saldirganin yeni acilan veya unutulmus bir hesapta calismasini engellemez; kapsam disi hesaplar bulut ihlallerinde en sik kullanilan koselerdir. Sessizce duran bir log hatti ise hicbir hata uretmeden aylarca surebilir.
Ayri bir adli inceleme (forensics) hesabi/aboneligi/projesi tanimli; olay aninda kanit toplama otomasyonu hazir (disk/anlik goruntu kopyalama, bellek yakalama, log ihracı) ve inceleme ortamina capraz-hesap erisim onceden test edilmis. Bulut senaryolari icin calistirma kitaplari mevcut: kimlik ele gecirme (erisim anahtari sizintisi), public veri maruziyeti, cryptomining, fidye/anahtar silme. Kanit saklama ve zincir-of-custody tanimli.
↳ Adli inceleme hesabi + capraz-hesap IR rolu + otomasyon (snapshot/izolasyon) + calistirma kitaplari
Bulut olaylarinda kanit dakikalar icinde kaybolur: instance sonlandirilir, anlik goruntu silinir, gecici kimlik bilgisinin omru dolar. Onceden hazirlanmis ve TEST EDILMIS bir toplama yolu olmadan mudahale ekibi olay sirasinda yetki ve erisim beklemek zorunda kalir.
Security Hub / Defender CSPM / Security Command Center surekli degerlendirme
↳ CSPM platform
Bulut yanlis yapilandirmalari (en yaygin ihlal nedeni) surekli taranip duzeltilmelidir.
Checkov/tfsec/KICS CI/CD pipeline icinde
↳ CI/CD pipeline
Altyapi-as-code taramasi yanlis yapilandirmayi uretim oncesi yakalar.
Onleyici guardrail lar tanimli. Sağlayici semantigi FARKLIDIR ve birebir cevrilemez: AWS SCP izinleri yalniz KISITLAR (izin vermez, ust sinir cizer) ve yonetim hesabina uygulanmaz; Azure Policy kaynak olusturmayi ve yapilandirmayi denetler, engeller veya duzeltir (audit/deny/deployIfNotExists); GCP Org Policy servis bazli constraint uygular. Her guardrail once dry-run/audit modda ve sinirli kapsamda pilot edilir; acil devre disi birakma proseduru ve break-glass istisnasi tanimli olmalidir.
↳ Org-level policy
Guardrail lar tek bir yanlis kapsamla tum organizasyonu kilitleyebilir; yanlis uygulanan bir SCP yonetim erisimini de kesebilir. Bu nedenle kontrol yalniz varligi degil, test ve geri alma surecini de kapsar.
Ortam CIS AWS/Azure/GCP Foundations Benchmark a gore taraniyor
↳ CSPM / benchmark scan
SANS CIS Control 4: guvenli yapilandirma temelinin surekli olculmesi gerekir.
Cok-hesap/abonelik yapisi; org yonetim hesabinda is yuku yok; log ve guvenlik araci ayri hesaplarda; delegated admin
↳ AWS Organizations / Azure Management Groups / GCP Organization + Control Tower/Landing Zone
Duz tek-hesap yapisi patlama yaricapini buyutur; org yonetim hesabinin ele gecirilmesi tum ortami verir, bu yuzden minimal ve korumali tutulur.
Denetim ve tespit servislerinin kapatilmasi ORG POLICY ILE ENGELLI, yalniz alarmla yetinilmez: AWS SCP ile cloudtrail:StopLogging, cloudtrail:DeleteTrail, guardduty:DeleteDetector, config:DeleteConfigurationRecorder, securityhub:DisableSecurityHub reddedilir (yonetim hesabi ve break-glass rolu haric); Azure da Deny politikasi + kaynak kilidi (CannotDelete) ile diagnostic settings ve Defender planlari korunur; GCP ta Org Policy ve IAM ile log sink ve SCC ayarlari kisitlanir.
↳ AWS SCP / Azure Policy deny + resource lock / GCP Org Policy ve IAM
CLD-LOG-07 log kapatmayi TESPIT eder; tespit ise saldirgan zaten logu kapattiktan sonra devreye girer ve cogu zaman ayni saldirgan alarm hattini da bozmustur. Onleyici guardrail, ele gecirilen bir yonetici kimliginin gorunurlugu kapatmasini bastan imkansiz kilar.
Uretim ile gelistirme/test ortamlari AYRI hesap/abonelik/proje icinde; ag duzeyinde peering veya paylasilan subnet ile birlestirilmemis; uretim-disi ortamlarda gercek musteri verisi yok (maskelenmis/sentetik veri); CI/CD kimlikleri ortam basina ayri ve uretime dagitim ayri onay gerektiriyor.
↳ AWS Organizations OU yapisi / Azure management group ve abonelik ayrimi / GCP klasor ve proje ayrimi + ag topolojisi
Gelistirme ortamlari kacinilmaz olarak daha gevsektir: daha genis IAM, daha az izleme, daha fazla deneysel kaynak. Ayni hesap veya ag icinde durduklarinda uretim ortaminin guvenligi en zayif gelistirme kaynaginin seviyesine iner.
Bulut (AWS / Azure / GCP) Guvenlik Baseline, 56 granül güvenlik kontrolünü 7 bölümde toplayan bir sıkılaştırma baseline'ıdır. Her kontrol önerilen değeri, uygulanacağı ayar yolunu ve resmi kamu kaynağını içerir.
Kontroller şu çerçevelerle eşlenmiştir: CIS v8, NIST 800-171, NIST CSF 2.0, ISO 27002:2022. Her kontrol kartında ilgili çerçeve kontrol numaraları rozet olarak gösterilir.
"Kıyaslama modunu aç" butonuna basın, her kontrolü Var / Kısmen / Yok olarak işaretleyin; anında %kapsama skorunuzu, eksik kontrol listenizi ve CSV çıktınızı alın. İşaretler yalnızca sizin tarayıcınızda saklanır.
Toplam 56 kontrol: 1 kritik, 26 yüksek, 28 orta, 1 düşük önem.
