İçerik Tablosu
Siber saldırıların yüzde sekseninden fazlası ayrıcalıklı kimlik bilgilerini hedef alıyor. Domain admin hesabı, veritabanı root kullanıcısı, firewall yönetici şifresi — bunlardan herhangi biri saldırganın eline geçtiğinde tüm kurumsal altyapı tehlikeye girer.
PAM (Privileged Access Management — Ayrıcalıklı Erişim Yönetimi) tam da bu riski yönetmek için tasarlanmıştır. Bu rehberde PAM’in ne olduğunu, nasıl çalıştığını, neden kritik olduğunu ve KVKK ile ilişkisini ele alıyoruz.
PAM Nedir?
PAM (Privileged Access Management — Ayrıcalıklı Erişim Yönetimi); sistemler, uygulamalar, veritabanları ve ağ altyapısı üzerinde yüksek yetkiye sahip hesapların (ayrıcalıklı hesaplar) yönetimini, denetimini ve güvenliğini sağlayan bir güvenlik disiplini ve teknoloji setidir.
“Ayrıcalıklı hesap” kavramı şunları kapsar:
- Sistem yöneticisi (admin) hesapları
- Domain admin ve Active Directory yöneticileri
- Veritabanı root ve SA hesapları
- Firewall, switch ve router yönetici hesapları
- Uygulama servis hesapları
- Bulut altyapısı yönetici hesapları
- Üçüncü taraf tedarikçilerin erişim hesapları
Bu hesaplar olağan kullanıcı hesaplarından çok daha geniş yetkilere sahiptir. Ele geçirildiklerinde saldırgan tüm sistemde serbestçe hareket edebilir, veri çalabilir, şifreleyebilir veya altyapıyı tahrip edebilir.
PAM ile IAM Arasındaki Fark
Sıklıkla karıştırılan bu iki kavramı netleştirmek gerekir:
IAM (Identity and Access Management): Tüm kullanıcıların kimliklerini ve erişim yetkilerini yönetir. Kimin hangi sisteme erişebileceğini tanımlar.
PAM: IAM’in bir alt kümesidir. Yalnızca yüksek yetkili hesaplara odaklanır. Standart kullanıcı hesaplarını değil, ayrıcalıklı hesapları kapsar.
Basit anlatımla: IAM kapıları yönetir, PAM ise en kritik kasaların anahtarlarını korur.
PAM Neden Bu Kadar Kritik?
Ayrıcalıklı Hesaplar En Büyük Saldırı Hedefi
Verizon’un 2025 Veri İhlali Araştırmaları Raporu’na göre kimlik bilgisi hırsızlığı, veri ihlallerinin en yaygın nedeni olmaya devam ediyor. Saldırganlar doğrudan sisteme sızmak yerine meşru bir yönetici hesabını ele geçirerek içeriye “yasal” bir kullanıcı gibi giriyor. Bu yöntemle güvenlik sistemleri alarm vermez.
İçeriden Gelen Tehditler
Kötü niyetli veya dikkatsiz bir IT çalışanının geniş yetkili hesabı, veri ihlalinin en sessiz ve en yıkıcı kaynağı olabilir. PAM olmadan “kim neyi değiştirdi, kim neye erişti” soruları yanıtsız kalır.
Tedarikçi Erişimi Riski
Yazılım tedarikçileri, dış danışmanlar ve IT servis sağlayıcıları kurumsal sistemlere erişim ihtiyacı duyar. Bu erişimlerin kontrolsüz kalması ciddi güvenlik açığı oluşturur. PAM, üçüncü taraf erişimlerini izole eder, zaman kısıtlar ve loglar.
Yasal Uyumluluk Zorunluluğu
KVKK, PCI DSS, ISO 27001 ve BDDK gereksinimleri; ayrıcalıklı erişimlerin loglanmasını, yetkilerin minimize edilmesini ve erişimin denetlenmesini zorunlu kılar.
PAM Nasıl Çalışır?
Ayrıcalıklı Hesap Kasası (Vault)
PAM’in temel bileşenidir. Tüm ayrıcalıklı hesap kimlik bilgileri — şifreler, SSH anahtarları, API tokenları — merkezi ve şifreli bir kasada saklanır. Kullanıcılar bu şifreleri doğrudan göremez; sisteme erişim PAM platformu üzerinden gerçekleşir.
Otomatik şifre rotasyonu: PAM, her oturum sonunda veya belirlenen aralıklarla şifreleri otomatik değiştirir. Saldırgan bir oturumdan kimlik bilgisi çalsa bile bir sonraki oturumda o şifre geçersizdir.
En Az Ayrıcalık İlkesi (Least Privilege)
PAM platformları, kullanıcıların yalnızca görevleri için gerekli minimum yetkiyle çalışmasını sağlar. Sistem yöneticisi tüm sunuculara değil, yalnızca yetkili olduğu sunuculara erişebilir. Bu ilke, bir hesap ele geçirildiğinde hasarı sınırlar.
Oturum Yönetimi ve İzleme
PAM, ayrıcalıklı oturumları gerçek zamanlı kaydeder. Yönetici ne yaptı, hangi komutu çalıştırdı, hangi dosyaya erişti — tüm bunlar loglanır ve video kaydı olarak saklanabilir. Şüpheli davranış tespit edildiğinde oturum otomatik sonlandırılır.
Just-in-Time (JIT) Erişim
Sürekli açık ayrıcalıklı hesaplar risk oluşturur. JIT yaklaşımında yöneticilere yalnızca ihtiyaç duydukları anda, belirli bir süre için erişim verilir. İş tamamlandığında erişim otomatik geri alınır.
Çok Faktörlü Kimlik Doğrulama (MFA)
Ayrıcalıklı hesaplara erişimde MFA zorunlu tutulur. Şifre tek başına yeterli değildir; ek bir doğrulama katmanı her zaman devrede.
PAM’in Temel Bileşenleri
PASM — Privileged Account and Session Management
Ayrıcalıklı hesapların keşfi, kasaya alınması, şifre rotasyonu ve oturum yönetimini kapsar. PAM’in en temel işlevi.
PEDM — Privileged Elevation and Delegation Management
Kullanıcılara sürekli yüksek yetki vermek yerine belirli görevler için geçici yetki yükseltmesi sağlar. Windows’ta “Run as Administrator”, Linux’ta “sudo” mantığının kurumsal ölçekte yönetimi.
Secrets Management
Uygulamaların birbirleriyle iletişiminde kullandığı API anahtarları, sertifikalar ve kimlik bilgilerinin güvenli yönetimi. DevOps ve bulut ortamlarında kritik önem taşır.
Uzaktan Erişim PAM
Üçüncü tarafların ve uzaktan çalışan ekiplerin ayrıcalıklı sistemlere güvenli erişimini yönetir. VPN gerektirmeksizin izole, denetimli ve loglu erişim sağlar.
PAM Olmadan Ne Olur? Gerçek Senaryolar
Senaryo 1 — İşten Ayrılan Çalışan: Sistem yöneticisi şirketten ayrıldı. Onlarca farklı sistemdeki şifreler değiştirilmedi. Eski yönetici 6 ay sonra bir sistemde kritik bir değişiklik yaptı. Kim yaptığını anlamak imkânsız çünkü loglama yoktu.
Senaryo 2 — Tedarikçi Saldırısı: Yazılım bakım şirketi sistemlere sürekli açık bir admin hesabıyla bağlanıyor. Bu tedarikçinin sistemi fidye yazılımıyla bulaştı. Saldırgan tedarikçinin erişimini kullanarak kurumsal ağa sızdı. Kaseya VSA saldırısı bu senaryonun gerçekleşmiş hali.
Senaryo 3 — Kimlik Bilgisi Hırsızlığı: Domain admin hesabının şifresi bir phishing saldırısıyla ele geçirildi. Saldırgan ağda serbestçe dolaştı, verileri şifreledi. PAM olsaydı: JIT erişim sayesinde o hesap zaten aktif değildi, MFA atlatılamazdı, oturum izleme anomaliyi tespit ederdi.
PAM ve KVKK İlişkisi
KVKK’nın 12. maddesi kapsamında kişisel verilere erişimin kontrol edilmesi, loglanması ve yetkisiz erişimin önlenmesi teknik tedbir zorunluluğu olarak değerlendirilmektedir. PAM bu gereksinimleri doğrudan karşılar:
Erişim denetimi: Kişisel veri içeren sistemlere kimin, ne zaman, hangi yetkiyle eriştiği kayıt altına alınır.
Yetki minimizasyonu: Her kullanıcı yalnızca göreviyle ilgili verilere erişebilir.
İhlal tespiti ve kanıtı: Olası bir veri ihlalinde erişim logları soruşturma ve bildirim sürecinde kullanılabilir.
Üçüncü taraf kontrolü: Veri işleyenlerin (tedarikçiler, servis sağlayıcılar) erişimleri denetim altında tutulur.
KVKK Kurulu denetimlerinde erişim loglarının tutulmaması “teknik tedbir eksikliği” olarak değerlendirilip yaptırım sebebi olabilir.
PAM ile Zero Trust İlişkisi
Zero Trust mimarisinin “asla güvenme, her zaman doğrula” prensibi PAM ile doğrudan örtüşür.
Zero Trust’ta ağ içinde olmanız sizi güvenilir yapmaz. PAM’de de yönetici kimliğine sahip olmanız tek başına erişim hakkı vermez — her oturum doğrulanır, loglanır ve gerektiğinde kısıtlanır.
Modern Zero Trust mimarilerinde PAM; MFA, ZTNA ve SIEM ile birlikte çalışarak kimlik merkezli güvenlik katmanının temel taşını oluşturur.
Hangi İşletmeler PAM’e İhtiyaç Duyar?
Kesinlikle gerekli:
- Birden fazla sistem yöneticisinin bulunduğu her kurum
- Üçüncü taraf tedarikçilerin sistem erişimine sahip olduğu yapılar
- Finans, sağlık, e-ticaret gibi düzenleyici uyumluluk gereksinimleri olan sektörler
- ISO 27001 veya KVKK teknik tedbir denetimlerine tabi kurumlar
Küçük işletmeler için: Tam ölçekli PAM platformları büyük altyapı gerektirir. Ama temel PAM pratikleri her ölçekte uygulanabilir: merkezi şifre kasası, ayrıcalıklı hesapların envanteri, düzenli şifre rotasyonu ve erişim loglaması.
PAM Uygularken Dikkat Edilmesi Gerekenler
Ayrıcalıklı hesap envanteri: Önce tüm ayrıcalıklı hesapları keşfedin. Bilinmeyen hesaplar yönetilemez.
Paylaşılan hesapları ortadan kaldırın: “admin/admin123” gibi tüm ekibin kullandığı hesaplar kim ne yaptığını gizler. Her kişiye bireysel hesap verilmeli.
Acil durum (break-glass) hesabı: Normal PAM akışının devre dışı kaldığı acil senaryolar için güvenli saklanan ve kullanımı loglu bir hesap hazır olmalı.
Düzenli erişim gözden geçirmesi: Çalışanların rolü değiştiğinde veya ayrıldığında ayrıcalıklı erişimleri derhal gözden geçirilmeli.
