Bulut Ortamlarında En Sık Yapılan 10 Güvenlik Hatası (AWS, Azure, GCP Perspektifi)

Yanlış Yapılandırılmış Erişim İzinleri (IAM Misconfigurations)

En yaygın ve en tehlikeli hata.

Bulut ortamlarında kimlik ve erişim yönetimi (IAM), güvenliğin temelini oluşturur. Ancak çoğu kurum:

1. 1. Gerekenden fazla yetki verir
   2. “Administrator” rollerini yaygın kullanır
   3. Kullanılmayan hesapları silmez

Platform Bazlı Örnekler

1. 1. AWS: IAM kullanıcılarına AdministratorAccess atanması
   2. Azure: Global Admin rolünün gereksiz kullanımı
   3. GCP: Project Owner rolünün geniş dağıtılması

Risk

Yetkisi ele geçirilen tek bir hesap, tüm bulut ortamının kontrolünün kaybedilmesine yol açabilir.

Çözüm

1. 1. Least Privilege (En az yetki) prensibi
   2. Rol tabanlı erişim (RBAC)
   3. Periyodik IAM denetimleri

Public Açık Bırakılan Depolama Servisleri

Yanlış yapılandırılmış depolama servisleri, veri sızıntılarının bir numaralı sebebidir.

Örnekler

1. 1. AWS S3 Bucket’ların public açık olması
   2. Azure Blob Storage’ın anonim erişime izin vermesi
   3. GCP Cloud Storage’ta “AllUsers” erişimi

Risk

1. 1. Kişisel verilerin sızması
   2. KVKK / GDPR ihlalleri
   3. Marka itibarının zedelenmesi

Çözüm

1. 1. Varsayılan olarak private yapılandırma
   2. Bucket-level access kontrolleri
   3. Otomatik tarama ve uyarı sistemleri

Çok Faktörlü Kimlik Doğrulamanın (MFA) Kullanılmaması

Sadece kullanıcı adı ve parola, modern tehditler karşısında yetersizdir.

Yaygın İhmal

1. 1. Yönetici hesaplarında MFA kapalı olması
   2. Servis hesaplarının MFA’sız çalışması

Sonuç

Kimlik bilgisi sızan bir hesap, sisteme doğrudan giriş kapısı haline gelir.

Çözüm

1. 1. Tüm admin hesapları için MFA zorunlu
   2. Donanımsal anahtarlar (FIDO2)
   3. Conditional Access politikaları

Güvenlik Loglarının Toplanmaması ve İzlenmemesi

Birçok kurum saldırıyı olduktan aylar sonra fark eder.

Platform Servisleri

1. 1. AWS CloudTrail / GuardDuty
   2. Azure Monitor / Sentinel
   3. GCP Cloud Audit Logs

Hata

1. 1. Loglar kapalı
   2. Loglar tutuluyor ama izlenmiyor
   3. SIEM entegrasyonu yok

Çözüm

1. 1. Merkezi log yönetimi
   2. Anomali bazlı alarmlar
   3. Olay müdahale senaryoları

Network Güvenliğinin Varsayılan Ayarlarla Bırakılması

Varsayılan ağ yapılandırmaları genellikle maksimum erişilebilirlik, minimum güvenlik sunar.

Hatalar

1. 1. Geniş CIDR blokları
   2. Her yerden açık SSH / RDP
   3. Güvenlik gruplarının kontrolsüz kullanımı

Çözüm

1. 1. Zero Trust Network yaklaşımı
   2. IP bazlı kısıtlamalar
   3. Network segmentation

Güncelleme ve Yama Yönetiminin İhmal Edilmesi

“Bulut sağlayıcısı ilgileniyor” düşüncesi yanlıştır.

Gerçek

Bulut sağlayıcı altyapıyı yönetir, işletim sistemi ve uygulama sizin sorumluluğunuzdadır.

Risk

1. 1. Bilinen zafiyetlerin istismarı
   2. Ransomware saldırıları

Çözüm​

1. 1. Otomatik patch management
   2. Image tabanlı güncellemeler
   3. Vulnerability scanning

Yedekleme ve Felaket Kurtarma Planlarının Olmaması

Birçok kurum yedek alıyor ama:

1. 1. Geri dönüş test etmiyor
   2. Yedekleri aynı ortamda tutuyor

Tehlike

1. 1. Ransomware sonrası geri dönüş mümkün olmaz
   2. Hizmet kesintileri uzar

Çözüm

1. 1. Offline / cross-region backup
   2. Düzenli restore testleri
   3. DR senaryoları

API ve Servis Güvenliğinin Göz Ardı Edilmesi

Modern bulut mimarileri API’ler üzerine kuruludur.

Yaygın Hatalar

1. 1. Kimlik doğrulamasız API’ler
   2. Rate limiting olmaması
   3. Loglanmayan API çağrıları

Çözüm

1. 1. API Gateway kullanımı
   2. Token bazlı authentication
   3. WAF entegrasyonu

Güvenlik Servislerinin Aktif Kullanılmaması

Bulut sağlayıcılar güçlü güvenlik servisleri sunar ancak çoğu kapalıdır.

Örnekler

1. 1. AWS GuardDuty kapalı
   2. Azure Defender kullanılmıyor
   3. GCP Security Command Center devre dışı

Çözüm

1. 1. Native security servislerini aktif et
   2. Sürekli izleme
   3. Otomatik remediation

Paylaşılan Sorumluluk Modelinin Yanlış Anlaşılması

En kritik kavramsal hata.

Bulut sağlayıcı:

1. 1. Fiziksel altyapıdan sorumlu

Müşteri:

1. 1. Veri
   2. Erişim
   3. Yapılandırma
   4. Uygulama güvenliğinden sorumlu

Sonuç

Sorumluluklar net değilse, güvenlik açıkları kaçınılmazdır.

Sonuç: Bulut Güvenliği Bir Araç Değil, Süreçtir

AWS, Azure veya GCP kullanmak tek başına güvenlik sağlamaz. Doğru yapılandırma, sürekli izleme ve bilinçli ekipler olmadan bulut ortamları ciddi riskler barındırır.

Bulut güvenliği;

1. 1. Sürekli denetim
   2. Otomasyon
   3. Eğitim
   4. Politika

üzerine kurulu bir yaşam döngüsüdür.