VPN yıllarca uzaktan erişimin tek gerçek çözümüydü. Tünele bağlanırsın, şirket ağına girersin, işine bakarsın. Sorun şu ki bu model, “içeri girdiysen güvenilirsin” varsayımına dayanıyor. Bulutun, hibrit çalışmanın ve neredeyse her hafta yeni bir kritik zafiyetin konuşulduğu bir dönemde bu varsayım artık pek taşımıyor.
Bu yazıda Zero Trust’ın VPN mantığından tam olarak nerede ayrıldığına, VPN’in gerçekten ölüp ölmediğine ve geçişe başlarken nelere dikkat etmek gerektiğine bakıyoruz. Arada da Barracuda’nın yakın zamanda yayınladığı uyarıyı örnek olarak ele alıyoruz.
VPN Modelinin Zayıf Noktası
VPN kurmak, bağlantı sorunlarını ayıklamak, performansla uğraşmak çoğu IT ekibinin gündelik işi. Mantığı da basit: kimlik bilgilerini girersin, tünele girersin ve artık ağın içindesin. Buna kale ve hendek modeli diyebiliriz. Duvarı bir kez aşan, içeride rahatça dolaşır.
Bu yaklaşım iki yerde çatlıyor:
- Veri artık tek yerde durmuyor. Uygulamalar SaaS servislerine ve farklı bulut sağlayıcılarına dağılmış durumda. Bir bulut uygulamasına ulaşmak için önce şirket VPN’ine bağlanıp sonra tekrar internete çıkmak (backhauling) hem yavaş hem de mantıksız.
- İçeri giren herkes geniş bir alana erişiyor. Ele geçirilmiş bir hesap ya da güvenliği zayıf bir cihaz VPN’e bağlandığında, ağda meşru kullanıcıyla aynı serbestliği buluyor.
Zero Trust Tam Olarak Nedir?
Zero Trust’ın temel fikri tek cümle: asla güvenme, her seferinde doğrula (never trust, always verify). Dışarıdan gelen isteğe de içeriden gelen isteğe de aynı şüpheyle bakar. “Güvenilir iç ağ” kavramını bir kenara bırakır.
Mimarinin dayandığı beş temel taş var:
- Kimlik doğrulama ve yetkilendirme: Her kullanıcının kimliği doğrulanır ve yalnızca ihtiyacı olan kaynağa erişim verilir. MFA ve sağlam bir kimlik yönetimi olmadan bu iş yürümez.
- Cihaz durumu (device posture): Bağlanmaya çalışan cihazın yama seviyesi, şifreleme durumu ve antivirüsü kontrol edilir. Cihaz güvenli görünmüyorsa erişim verilmez.
- Mikro segmentasyon: Ağ küçük parçalara bölünür. Saldırgan bir parçayı ele geçirse bile diğerlerine geçmesi (yanal hareket) zorlaşır.
- En az ayrıcalık: Kullanıcılar ve uygulamalar yalnızca işlerini yapmaya yetecek yetkiye sahip olur.
- Sürekli doğrulama: Erişim bir kere verilip unutulmaz. Oturum boyunca kullanıcı ve cihaz durumu izlenir, anormal bir davranış görülürse erişim kesilir ya da ek doğrulama istenir.
Bu modelde ofis duvarları artık tek savunma hattı değil. Her kullanıcı, cihaz ve uygulama kendi sınırını taşıyor ve o sınır sürekli denetleniyor.
VPN ve Zero Trust Yan Yana
| Özellik | Geleneksel VPN | Zero Trust (ZTNA) |
|---|---|---|
| Erişim modeli | Bağlanınca ağın büyük kısmı açılır | Yalnızca yetkili olunan uygulama ya da kaynak açılır |
| Güven varsayımı | İç ağa güvenilir | Hiçbir şeye güvenilmez, sürekli doğrulanır |
| Saldırı yüzeyi | Geniş | Dar (segmentasyon, kaynağa özel erişim) |
| Yanal hareket | Yüksek risk | Zorlaştırılmış |
| Performans | Trafik merkeze geri döner | Kaynağa doğrudan yönlendirilir |
| Bulut uyumu | Zayıf | Baştan bulut odaklı |
| Kullanıcı deneyimi | Bazen yavaş, ara ara kopmalar | Genelde daha akıcı |
| Yönetim | Ağ tabanlı | Kimlik ve uygulama tabanlı |
Farkı şöyle düşünebilirsin: VPN, binaya girerken sana tüm odaların anahtarını teslim ediyor. Zero Trust ise yalnızca gideceğin odanın anahtarını veriyor ve oraya girerken de kim olduğunu tekrar soruyor. Bir saldırgan hesabını ele geçirse bile elinde tek odanın anahtarı olur.
Barracuda Uyarısı: Çevre Cihazı Ele Geçirilirse Ne Olur?
Barracuda Networks kritik bir güvenlik uyarısı yayınladı. Uyarıya göre iki zafiyet birleştirildiğinde bir saldırgan yetki kontrollerini atlatıp cihazda root erişimi elde edebiliyor. İlk zafiyet (CVE-2026-116606), Email Security Gateway’deki bir kimlik doğrulama zayıflığı ve cihazın genel yapılandırmasının değiştirilmesine izin verebiliyor. İkincisi (CVE-2026-111560) ise yönetici yetkisine sahip birinin işletim sistemi komutu enjekte etmesine ve bu komutu root olarak çalıştırmasına yol açıyor.
Email Security Gateway her iki zafiyetten de etkileniyor. Load Balancer ADC, Web Application Firewall, Message Archiver, WAF Control Center ve Web Security Gateway ise yalnızca ikinci zafiyetten etkileniyor. Her ürün için ayrı bir yama yayınlandı.
Etkilenen sürümler ve yama numaraları için Barracuda’nın resmi güvenlik duyurusuna bakın.
Linux tabanlı bir cihazda root, sistemin tamamı demek: veri sızdırma, kalıcı arka kapı bırakma, logları silme ve ağın içinde yanal hareket hepsi mümkün hale geliyor. Ancak burada önemli bir ayrıntı var: saldırının işlemesi için etkilenen ürünün yönetim arayüzüne erişim gerekiyor. Yani yönetim arayüzüne ağdan ulaşabilen herkes bu zincirin başlangıç noktası olabiliyor.
Zero Trust tam bu noktada devreye giriyor. Yönetim arayüzlerini ayrı bir segmente almak ve yalnızca belirli kişi ve cihazlara açmak, bu tür zafiyetlerin saldırı yüzeyini ciddi biçimde daraltıyor. Düz (flat) bir ağda ele geçirilmiş bir çevre cihazı iç ağa açılan hazır bir kapı. Saldırgan oradan sunuculara, veritabanlarına ve kullanıcı cihazlarına doğru ilerleyebiliyor. Mikro segmentasyon ve kaynak bazlı erişimin olduğu bir yapıda ise aynı cihaz saldırgana yalnızca kendi segmentindeki sınırlı bir alanı veriyor.
Yanlış anlaşılmasın, Zero Trust zafiyeti kapatmaz. ZTNA ürünleri de sonuçta yazılım ve onlarda da açık çıkabilir. Yama yönetimi yine ilk sırada kalıyor. Zero Trust’ın katkısı, bir şeyler ters gittiğinde hasarın ne kadar yayılabileceğini sınırlamak.
Peki VPN Gerçekten Öldü mü?
Net bir “evet” demek acele olur. Daha doğru ifade: ölmedi ama tahtı sallanıyor.
- Dönüşüyor: Geleneksel VPN’in yerini giderek ZTNA alıyor. ZTNA de güvenli bir bağlantı sağlıyor ama “içeri gel, ne istersen yap” demek yerine her adımda “kimsin, hangi cihazdasın, buna hakkın var mı?” diye soruyor.
- Bazı senaryolarda hâlâ yerini koruyor: Eski (legacy) sistemler, endüstriyel kontrol ağları (OT) ya da çok özel entegrasyonlar için VPN kullanılmaya devam ediyor. Bu sistemleri modernize etmek zaman ve bütçe istiyor.
- Geçiş uzun sürüyor: Birçok kurumda VPN ve ZTNA bir süre birlikte çalışıyor. VPN, kritik olmayan ya da geçiş aşamasındaki sistemler için köprü görevi görüyor.
Kısacası VPN bir gecede yok olmayacak. Ama “içerideysen güvendesin” anlayışına dayanan bir güvenlik mimarisini sürdürmek her geçen gün daha zor.
Zero Trust’a Geçerken Dikkat Edilecekler
Zero Trust bir ürün satın alıp kurmakla bitmiyor, güvenlik anlayışını baştan düşünmeyi gerektiriyor. Geçiş planlarken şu başlıklar öne çıkıyor:
- Kimlikten başla: Kimlik yönetimi ve MFA oturmadan geri kalan katmanları kurmak çok zor. Doğru kişiye doğru kimliği veremiyorsan segmentasyonun da politikaların da anlamı kalmıyor.
- Küçük başla: Tüm yapıyı tek seferde değiştirmeye çalışmak genelde yarı yolda kalıyor. Kritik bir uygulama ya da tek bir departmanla pilot yapmak çok daha yönetilebilir.
- Önce görünürlük: Ağdaki kullanıcıları, cihazları ve uygulamaları bilmeden politika yazamazsın. Kim, neye, ne zaman erişiyor sorusunun cevabı için loglama ve izleme şart.
- Kullanıcıyı sürece dahil et: “Eskiden VPN ile her şeye bağlanıyordum, şimdi neden bağlanamıyorum?” sorusu kesinlikle gelecek. Neyin neden değiştiğini baştan anlatmak, destek taleplerini ciddi biçimde azaltıyor.
- Çözümü ihtiyaca göre seç: Piyasada çok sayıda ZTNA ürünü var. Herkes için en iyi olan yok. Mevcut altyapına, kimlik sistemine ve bütçene uyan çözüm doğru çözüm.
Sonuç
Zero Trust, uzaktan çalışmanın, bulut kullanımının ve artan siber tehditlerin olduğu bir ortamda VPN’e göre daha esnek ve daha dayanıklı bir yapı sunuyor. Barracuda örneğinin gösterdiği gibi güvenlik cihazlarının kendisi de hedef olabiliyor. Bu yüzden asıl soru “duvarı nasıl yükseltiriz” olmaktan çıkıp “duvar aşılırsa ne olur” sorusuna kayıyor.
Sektördeki yetkililer, hepsini bir anda değiştirmeye çalışmadan küçük bir adımla başlamayı öneriyor. MFA’yı yaygınlaştırmak, cihaz uyumluluğunu zorunlu kılmak ya da ağı segmentlere ayırmak gibi..