Şifreleme Anahtarları için Erişim Kontrolü: En İyi Uygulamalar
Şifreleme anahtarlarını korumak, verilerinizi şifrelemek kadar önemlidir. Zayıf anahtar erişim kontrolü, veri ihlallerine, hizmet taklitine ve kalıcı veri kaybına yol açabilir. Anahtarlarınızı güvende tutmak için bilmeniz gerekenler şunlardır:
- En Az Ayrıcalıklı Olma İlkesi: Yalnızca belirli görevler için gereken minimum izinleri verin. Çok geniş kapsamlı izinlerden kaçının, örneğin:
km:*ve sıkı erişim politikaları uygulamak. - Rol Tabanlı Erişim Kontrolü (RBAC): Anahtar yönetimi (örneğin, yöneticiler) ve kriptografik işlemler (örneğin, kullanıcılar) için ayrı roller belirleyin. Sorumlulukların çakışmasından kaçının.
- Merkezi Anahtar Yönetimi: Anahtarların tutarlı ve güvenli bir şekilde işlenmesi için AWS KMS, Google Cloud KMS veya Azure Key Vault gibi araçlar kullanın.
- Donanım Güvenlik Modülleri (HSM'ler): Daha güçlü koruma için anahtarları kurcalamaya dayanıklı donanımlarda saklayın. Yönetilen HSM'ler entegrasyonu kolaylaştırır ve FIPS uyumluluğu sağlar.
- İzleme ve Kayıt Tutma: Hem yönetici faaliyetleri hem de tuş kullanımı için ayrıntılı günlük kayıtlarını etkinleştirin. Olağandışı davranışlar veya yüksek riskli eylemler için uyarılar ayarlayın.
- Anahtar Döndürme ve İptali: Güvenlik açığını sınırlamak için anahtarları düzenli olarak değiştirin. Güvenliği ihlal edilmiş anahtarları derhal iptal edin ve gecikmeden yenileriyle değiştirin.
Bu adımları izlemek, şifreleme anahtarlarınızın güvenliğini sağlayarak riskleri azaltır ve veri bütünlüğünü korur.
PKI 101: özel şifreleme anahtarı depolama ve kullanımı
sbb-itb-59e1987
Anahtar Yönetiminde En Az Ayrıcalık İlkesinin Uygulanması
Ana Yönetici ve Ana Kullanıcı Rolleri ve İzinleri Arasındaki Fark
En Az Ayrıcalıklı Olmanın Anlamı
En Az Ayrıcalık İlkesi (PoLP), kullanıcılara ve hizmetlere yalnızca görevlerini yerine getirmek için kesinlikle ihtiyaç duydukları izinleri vermeye odaklanır – daha fazlasını değil. Anahtar yönetimine uygulandığında, bu, kimin şifreleyebileceğini, şifreyi çözebileceğini, politikaları değiştirebileceğini veya anahtarları silebileceğini dikkatlice kontrol etmek anlamına gelir.
""AWS yetkililerinden hiçbiri, açıkça izin verilmedikçe ve asla reddedilmedikçe, bir KMS anahtarına erişim iznine sahip değildir. Bir KMS anahtarını kullanmak veya yönetmek için örtük veya otomatik izinler yoktur." – AWS Anahtar Yönetim Hizmeti
Bu "varsayılan olarak reddetme" yaklaşımı, güvenliğin temel taşlarından biridir. Hesap sahibi veya anahtar oluşturan kişi bile otomatik olarak izinlere sahip değildir; bu izinler açıkça verilmelidir. Bu sıkı kontrol, potansiyel güvenlik açıklarını önemli ölçüde azaltır. Bir kimlik bilgisi ele geçirildiğinde, hasar o kimliğe atanan belirli izinlerle sınırlıdır. Örneğin, ele geçirilen bir "Anahtar Kullanıcısı" kimlik bilgisi, yönetici hakları verilmemişse anahtar silme işlemine izin vermez.
En az ayrıcalık ilkesinin uygulanmaması ciddi sonuçlara yol açabilir. Uygun kısıtlamalar olmadan, saldırganlar anahtar politikalarını değiştirerek ayrıcalıklarını artırabilir ve kendilerine tam kontrol sağlayabilirler. Daha da kötüsü, şifrelenmiş verileri kalıcı olarak yok eden anahtar silme işlemini planlayabilirler. AWS, anahtar silme işlemi için en az 7 gün (ve en fazla 30 gün) bekleme süresi uygular çünkü Bir anahtar silindiğinde, onunla şifrelenmiş tüm veriler sonsuza dek kaybolur.
Bu kontrolleri etkili bir şekilde uygulamak için, Rol Tabanlı Erişim Kontrolü (RBAC) kritik bir araç haline gelir.
Rol Tabanlı Erişim Kontrolünü (RBAC) Ayarlama
RBAC, izinleri atama yoluyla en az ayrıcalık ilkesini basitleştirir. iş rolleri Bireyler yerine. İzinleri kullanıcı bazında yönetmek yerine, "Anahtar Yönetici" ve "Anahtar Kullanıcı" gibi roller tanımlarsınız ve sorumluluklarına göre kişileri bu rollere atarsınız.
RBAC'nin temel prensiplerinden biri ayırmaktır. idari görevler itibaren kriptografik işlemler. Anahtar Yöneticileri, anahtarların yaşam döngüsünü yönetir; oluşturma, etkinleştirme veya devre dışı bırakma, politikaları güncelleme ve silme işlemlerini planlar. Anahtar Kullanıcıları ise şifreleme ve şifre çözme işlemlerini gerçekleştirir. Bu roller aynı anahtarlar için asla üst üste gelmemelidir.
| Rol Türü | Tipik İzinler | amaç |
|---|---|---|
| Anahtar Yönetici | Oluşturma, Etkinleştirme/Devre Dışı Bırakma, Tuş Politikası Oluşturma, Tuş Silme Zamanlaması, Etiketleme | Temel yaşam döngüsü, meta veri ve erişim politikalarını yönetir. |
| Ana Kullanıcı | Şifrele, Şifre Çöz, Yeniden Şifrele, Veri Anahtarı Oluştur, Anahtarı Tanımla | Veriler üzerinde şifreleme işlemleri için anahtarı kullanır. |
RBAC'yi yapılandırırken, joker karakterli izinler kullanmaktan kaçının. km:* Politikalarınızda her zaman tam anahtar ARN'sini veya kaynak kimliğini belirtin. Joker karakterler, istemeden diğer hesaplardaki veya bölgelerdeki anahtarlara erişim sağlayabilir. Ayrıca, farklı veri türleri için ayrı anahtarlar kullanın – müşteri verileri, finansal kayıtlar ve dahili iletişimlerin her birinin kendi anahtarı olmalıdır. Bu, bir kimlik bilgisinin tehlikeye girmesi durumunda yalnızca belirli bir veri alt kümesinin risk altında olmasını sağlar.
Ek koruma için şunları gerektirir: Çok Faktörlü Kimlik Doğrulama (MFA) Anahtar silme işlemini planlamak veya anahtar politikalarını değiştirmek gibi hassas işlemler için. Bir diğer faydalı katman ise şudur: şifreleme bağlamı, Bu, izinleri belirli meta verilere bağlar. Bu gizli olmayan anahtar-değer çiftleri, bir anahtarın yalnızca şifreleme sırasında kullanılan aynı bağlam sağlandığında verileri çözebilmesini sağlar ve anahtarın kendisi tehlikeye girse bile yetkisiz kullanıma karşı ek bir güvenlik önlemi ekler.
Merkezi Anahtar Erişim Yönetimi
Merkezi Yönetimin Faydaları
Merkezi anahtar yönetimi, en az ayrıcalık ve tanımlanmış roller ilkelerine dayanarak kuruluşların tutarlı güvenlik uygulamalarını hayata geçirmesine yardımcı olur. Şifreleme anahtarlarını tek bir hesaptan veya projeden yöneterek, işletmeler birden fazla ortamda anahtarları yönetme zahmetinden kurtulabilir. Yöneticiler, anahtar yaşam döngüleri için ayrı hesaplarla uğraşmak yerine, birleşik bir konsola güvenebilirler. Bu, özellikle kuruluşlar büyüdükçe, çok sayıda anahtarın yönetiminin daha verimli bir yaklaşım gerektirdiği durumlarda önem kazanır.
""Milyonlarca anahtar ve işlemi yönetebilmenin tek yolu, anahtarları ve uç noktaları gruplandırmak, bu gruplara roller ve politikalar atamak için birleşik bir yönetim konsolu kullanabilmektir." – Nisha Amthul, Kıdemli Ürün Pazarlama Müdürü, Thales
Merkezi sistemler, tutarlı güvenlik önlemleri uygulayarak yanlış yapılandırma olasılığını da azaltır. Yerel yöneticilere kritik anahtarlar üzerinde sınırsız yetki verilmediğinden, anahtarların yanlışlıkla silinmesi veya ayrıcalık yükseltmesi gibi riskleri düşürürler.
""Bu merkezi model, yetkilendirilmiş yöneticiler veya kullanıcılar tarafından anahtarların yanlışlıkla silinmesi veya ayrıcalıkların yükseltilmesi riskini en aza indirmeye yardımcı olabilir." – AWS Yönergeleri
Bir diğer önemli avantaj ise idari görevlerin veri erişiminden ayrılmasıdır. Bu, yalnızca uyumluluğu güçlendirmekle kalmaz, aynı zamanda sorumlulukların net bir şekilde ayrılmasıyla denetimleri de basitleştirir. Merkezi kayıt tutma, tüm önemli erişim olaylarını tek bir denetim izinde birleştirerek, faaliyetlerin izlenmesini ve incelenmesini kolaylaştırır.
Bu avantajlar göz önünde bulundurulduğunda, doğru merkezi anahtar yönetim aracını seçmek, verimli ve güvenli anahtar yaşam döngüsü yönetimini sağlamada hayati bir adım haline gelir.
Merkezi Anahtar Yönetimi Araçları
Merkezi anahtar yönetimini kolaylaştırmak için çeşitli araçlar mevcuttur:
- AWS Anahtar Yönetim Hizmeti (KMS): Kök anahtarları FIPS 140-2 veya 140-3 Seviye 3 onaylı Donanım Güvenlik Modülleri (HSM'ler) kullanarak korur ve birleşik denetim için diğer AWS hizmetleriyle sorunsuz bir şekilde entegre olur.
- Google Cloud KMS: Müşteri tarafından yönetilen şifreleme anahtarları sunar ve yazılım, HSM ve harici anahtar yöneticisi koruma seviyeleri için seçenekler sunar.
- Azure Key Vault: Anahtarların, sırların ve sertifikaların depolanmasını merkezileştirirken, yerleşik rol tabanlı erişim kontrollerini de içerir.
Çoklu bulut ortamlarında faaliyet gösteren kuruluşlar için ek araçlar, birleşik bir arayüz sağlayabilir:
- HashiCorp Vault'un Anahtar Yönetim Sırları Motoru: AWS KMS, Azure Key Vault ve Google Cloud KMS genelinde anahtarları tek bir arayüzden yönetmek için tutarlı bir iş akışı sunar.
- Thales CipherTrust Yöneticisi: Sunucular, depolama sistemleri ve bulut platformlarındaki temel yaşam döngülerini tek bir konsol üzerinden yönetir.
Bir araç seçerken, en az ayrıcalık ilkesini güçlendirmek için ayrıntılı erişim kontrollerini destekleyenlere öncelik verin. Otomasyon yetenekleri de bir diğer önemli husustur. Güçlü otomasyon sistemlerine sahip kuruluşlar merkezi olmayan kurulumları yönetebilirken, merkezi yönetim genellikle manuel süreçler için daha uygundur. Kuruluşunuz için en iyi seçimi yapmak üzere, uyumluluk gereksinimleri (örneğin, FIPS 140-3 Seviye 3 doğrulaması), yaşam döngüsü kontrolü ve hesap başına hizmet kotaları gibi özel ihtiyaçlarınızı değerlendirin.
Temel Politikalar ve Görev Ayrımı
Temel Politikaların Oluşturulması ve Uygulanması
Anahtar politikaları, bir anahtarın yaşam döngüsünün her aşamasını ele almalıdır; oluşturulmasından nihai olarak yok edilmesine kadar. Açık ve net bir dokümantasyon olmadan, anahtarların kötüye kullanılma riski daha yüksektir.
Politikanızda, sorumlulukları iyi tanımlanmış belirli roller atanmalıdır. Örneğin, Kriptografik Görevliler Anahtar oluşturma ve yedekleme gibi görevleri üstlenebilirken Güvenlik Denetçileri Uyumluluğun sağlanmasına odaklanın. Bu net ayrım belirsizliği ortadan kaldırır ve hesap verebilirliği sağlar. Her anahtar için, oluşturulma tarihini, şifreleme algoritmasını (örneğin 3072 bit RSA), onaylanmış kullanım alanlarını ve sahipliğini ayrıntılı olarak belirten güncel bir envanter tutun.
Erişimi kontrol etmek için kaynak tabanlı ve kimlik tabanlı politikaların bir kombinasyonunu kullanın. Kaynak tabanlı politikalar izinleri belirli anahtarlara bağlarken, kimlik tabanlı politikalar kullanıcı ve rol eylemlerini yönetir. "Varsayılan olarak reddet" yaklaşımını güçlendirmek için, kesin ARN'leri belirtin ve hassas izinleri sınırlayın. Örneğin, şunları kısıtlayın: kms:ScheduleKeyDeletion Güvenilir kişilere izin verilmesi, silme işlemi için minimum bekleme süresini sağlar. AWS KMS, bir anahtarı kalıcı olarak silmeden önce varsayılan olarak 7 günlük (30 güne kadar uzatılabilir) bir bekleme süresi uygulayarak, kaz accidental veri kaybı riskini azaltır.
""Hesap kök kullanıcısı veya anahtar oluşturucu da dahil olmak üzere hiçbir AWS yetkilisi, bir anahtar politikasında, IAM politikasında veya yetkilendirmede açıkça izin verilmedikçe ve açıkça reddedilmedikçe bir KMS anahtarına erişim iznine sahip değildir." – AWS Yönergeleri
Temel Yönetim Sorumluluklarının Ayrılması
Sağlam temel politikalar oluşturduktan sonraki adım, riskleri en aza indirgemek için görevlerin bölünmesini sağlamaktır. Anahtar yönetimini kriptografik işlemlerden ayırarak, tek bir kişinin anahtar güvenliğini tehlikeye atma olasılığını azaltırsınız. Örneğin, bir anahtarı yöneten kişinin, koruduğu verilere asla erişimi olmamalıdır. Bu ayrım, yalnızca dolandırıcılık veya hatalar riskini azaltmakla kalmaz, aynı zamanda ayrıcalık yükseltmesini de önler.
Rolleri net bir şekilde tanımlayın, örneğin: Kilit Yöneticiler, Yaşam döngülerinin, oluşturmanın ve rotasyonun temellerini denetleyenler ve Ana Kullanıcılar, Şifreleme, şifre çözme ve imzalama işlemlerini yürüten kişilere yetki verin. Yönetimsel ve operasyonel görevleri birleştiren "Sahip" veya "Editör" gibi geniş roller atamaktan kaçının. Bunun yerine, en az ayrıcalık ilkesini izleyen, dar tanımlı rollere bağlı kalın.
Yüksek riskli işlemler için, tek bir kişinin anahtarı tehlikeye atamayacağından emin olmak amacıyla Shamir'in Gizli Paylaşımı gibi çok taraflı yetkilendirme tekniklerini uygulayın. Hassas işlemler için Çok Faktörlü Kimlik Doğrulama (MFA) gerektirin ve güvenliği daha da artırmak için parolaları ve MFA cihazlarını birden fazla kişiye dağıtın.
Şifreleri şifreleme anahtarlarına açılan "ilk kapı" olarak ele almaya çalışıyorum: eğer bu kapı zayıfsa, diğer tüm güvenlik katmanları çoğunlukla dekoratif hale gelir. Bu yüzden işleri basit ve katı tutuyorum: bir hesap = tek, uzun bir şifre, tekrar kullanım yok ve Şifre123! → Şifre124! gibi "küçük varyasyonlar" yok. Bu şifreleri notlarda saklamıyorum veya sohbetlerde göndermiyorum; bunun yerine, bir sisteme güveniyorum. parola yöneticisi Ayrıca, mümkün olan her yerde çok faktörlü kimlik doğrulamasını (MFA) etkinleştiriyorum. Kritik sistemlere erişimin paylaşılması gerektiğinde ise, "herkes için tek bir ortak parola" yaklaşımından kaçınıyor ve ayrı hesaplar ile rol tabanlı izinleri tercih ediyorum; çünkü bu şekilde kimin ne yaptığı daha net oluyor ve bir sorun çıktığında erişimi hızlı bir şekilde iptal etmek çok daha kolay oluyor.
2011 RSA ihlali ibretlik bir örnektir. Bu olayda, temel yönetim görevlerinin yeterince ayrılmaması, saldırganların iki faktörlü kimlik doğrulama belirteçlerini kopyalamasına olanak tanıyarak, rol paylaşımındaki gevşekliğin tehlikelerini göstermiştir.
Otomatik izleme, bir diğer kritik adımdır. Görev ayrımının ihlalini gösterebilecek izinlerdeki herhangi bir çakışmayı tespit etmek ve işaretlemek için araçlar kullanın. Hizmet hesabı analizleri, 90 gün veya daha uzun süredir kullanılmayan hesapları da belirleyebilir; bu hesapların gereksiz erişimi azaltmak ve aktif anahtar sayısını sınırlamak için devre dışı bırakılması veya kaldırılması gerektiğini gösterir.
Anahtar Koruması için Donanım Güvenlik Modüllerinin (HSM'ler) Kullanımı
Donanım Güvenlik Modüllerini Anlamak
Donanım Güvenlik Modülü (HSM), şifreleme anahtarlarını güvenli ve kurcalamaya karşı dayanıklı bir ortamda korumak için tasarlanmış özel bir cihazdır. Yazılım tabanlı çözümlerin aksine, HSM'ler kurcalamaya karşı korumalı ambalaj içinde bulunan özel kriptoişlemci çiplerine dayanır. Bu kurulum, şunları sağlar: Şifreleme anahtarları tamamen donanım sınırları içinde oluşturulur ve saklanır, asla düz metin olarak dışarı çıkarılmaz..
Gelişmiş HSM'ler, fiziksel bir ihlal tespit edildiğinde hassas anahtar materyalini anında sıfırlayabilen (kalıcı olarak silebilen) kurcalamaya duyarlı mekanizmalar içerir. Çoğu HSM bu gereksinimleri karşılar. FIPS 140-2 veya 140-3 Seviye 3 Donanım tabanlı izolasyon sağlayan ve yalnızca yazılıma dayalı yöntemlere kıyasla çok daha üstün olan sertifikasyon standartları.
Günümüzde bulut sağlayıcıları, Yönetilen HSM'ler aracılığıyla bu teknolojiye erişimi kolaylaştırıyor. Bu hizmetler, fiziksel cihazlara ihtiyaç duymadan FIPS uyumlu donanım güvenliği sağlıyor. Yönetilen HSM'ler tipik olarak şunları garanti eder: 99.99% kullanılabilirliği Verilerin birden fazla bölgeye çoğaltılması yoluyla. Erişim iki düzleme ayrılmıştır: Kontrol düzlemi, Kaynak yönetimini (örneğin oluşturma, silme, yapılandırma) ele alan ve Veri Düzlemi, Bu, şifreleme, şifre çözme ve imzalama gibi kriptografik işlemleri yöneten bir yapıdır. Bu ayrım, yönetimsel görevlerin hassas anahtarlara doğrudan erişimden ayrı tutulmasını sağlar.
HSM'leri sistemlerinize entegre ederek, daha güçlü erişim kontrolleri oluşturabilir ve anahtar işlemlerini etkili bir şekilde güvence altına alabilirsiniz.
HSM'leri Sistemlerinize Entegre Etme
HSM'leri altyapınıza entegre etmek, hassas materyalleri korumalı bir donanım sınırı içinde tutarak temel güvenliği artırır. İlk adım, hem Kontrol hem de Veri Düzlemleri için sağlam erişim kontrolleri kurmaktır. Uygulamaların HSM ile kimlik doğrulaması yapması için yönetilen kimlikleri kullanın; bu, kimlik bilgilerini kodunuzda veya yapılandırma dosyalarınızda saklama ihtiyacını ortadan kaldırır. Rolleri dikkatlice atayın – "Anahtar Kasası Katkıda Bulunanı" gibi bulut düzeyindeki roller HSM'nin kendisini yönetirken, "Kripto Görevlisi" veya "Kripto Kullanıcısı" gibi HSM'ye özgü roller kriptografik görevleri üstlenir. İzinleri belirli anahtarlarla sınırlayın (örneğin, /anahtarlar/) tüm HSM'ye erişim izni vermek yerine.
Ek güvenlik için, her biri farklı bir yönetici tarafından yönetilen en az üç RSA anahtar çifti kullanarak bir Güvenlik Alanı quorum'u oluşturun. Bu kurulum, hiçbir kişinin HSM'yi tamamen kurtaramamasını veya tehlikeye atamamasını sağlar. Bu kurtarma anahtarlarını şifrelenmiş, çevrimdışı USB sürücülerde ayrı kasalarda saklayın. Anahtarların yanlışlıkla veya kötü amaçlı olarak silinmesine karşı koruma sağlamak için yumuşak silme (7 ila 90 gün arasında saklama süreleriyle) ve temizleme koruması gibi özellikleri etkinleştirin.
Ağ iletişimini güvence altına almak için, genel internet erişimini devre dışı bırakın ve tüm HSM trafiğini özel uç noktalar üzerinden yönlendirin. Yüksek düzeyde düzenlemeye tabi ortamlar için, "Kendi Anahtarınızı Tutun" (HYOK) yaklaşımını göz önünde bulundurun. Bu model, anahtarları harici bir HSM'de tutar ve bulut sağlayıcısının altyapısına asla maruz bırakmaz. Ayrıca çift şifreleme kullanır: veriler önce bulut sağlayıcısı tarafından, ardından da harici HSM'niz tarafından şifrelenir ve böylece hiçbir tarafın düz metne bağımsız olarak erişememesi sağlanır.
Ayrıcalıklı Kimlik Yönetimi aracılığıyla Anlık Erişim özelliğini kullanarak güvenliği daha da artırın; bu özellik, yalnızca ihtiyaç duyulduğunda geçici yönetim hakları verir. Anahtarların donanım sınırları içinde kalmasını sağlamak için "dışa aktarılamaz" olarak işaretleyin ve zaman içinde güvenlik ihlali riskini en aza indirmek için otomatik anahtar döndürme programları uygulayın.
Anahtar Erişiminin İzlenmesi, Denetlenmesi ve Kaydedilmesi
Güçlü anahtar yönetimi ve donanım güvenliği uygulamaları hayata geçirildikten sonra, olası ihlalleri erken yakalamak için izleme ve kayıt tutma yoluyla erişimin yakından takip edilmesi çok önemlidir.
Erişim İzleme Kurulumu
Yetkisiz kullanımın sorun haline gelmeden önce tespit edilmesi için anahtar erişim takibi çok önemlidir. Öncelikle şu iki unsur arasında ayrım yaparak başlayın: Yönetici Etkinlik Günlükleri (anahtar oluşturma veya politikaları güncelleme gibi eylemleri kaydeden) ve Veri Erişim kayıtları (Şifreleme ve şifre çözme gibi kriptografik işlemleri izleyen kayıtlar). Veri Erişim kayıtları, oluşturdukları büyük hacim nedeniyle genellikle varsayılan olarak kapalı olsa da, en hassas anahtarlarınız için bunları etkinleştirmek akıllıca bir harekettir.
Hem veri hem de kontrol düzlemi etkinlikleri için tipik kullanımın temelini oluşturun. Bu, alışılmadık davranışları tespit etmeyi kolaylaştırır; örneğin, garip bir saatte şifre çözme isteklerinde ani bir artış veya bir yöneticinin daha önce hiç kullanmadığı anahtarlara erişmesi gibi. Denetim günlüklerini otomatik izleme araçlarına gönderin. CloudWatch Alarmları Yüksek riskli olaylar için uyarı tetiklemek, örneğin: ZamanlamaAnahtarSilme, Devre dışı bırak tuşu, veya yetkisiz politika değişiklikleri.
Günlük kayıtlarında düz metin olarak görülebilen Şifreleme Bağlamı anahtar-değer çiftlerinden yararlanarak, hassas verileri açığa çıkarmadan etkinlikleri kategorize edin. Yetkisiz erişim nedeniyle etiket değişikliklerine dikkat edin. Etiket Kaynağı veya Etiketsiz Kaynak Eylemler ayrıcalıkları artırabilir. Etiketlerde veya takma adlarda yapılan değişikliklerin KMS anahtar izinlerini etkilemesi 5 dakikaya kadar sürebileceğini unutmayın, bu nedenle izleme kurulumunuz bu gecikmeyi hesaba katmalıdır.
Etkin erişim izleme, doğal olarak tam görünürlük için ayrıntılı denetim kayıtları oluşturmaya katkıda bulunur.
Denetim İzleri ve Günlükleri Oluşturma
İzlemeyi tamamlamak için, güvenli bir denetim izi oluşturmak üzere kapsamlı bir kayıt sistemine sahip olduğunuzdan emin olun. Bu yaklaşım, hesap verebilirliği korumanıza ve adli soruşturmalara hazırlanmanıza yardımcı olur. Yedeklilik için en az iki tür denetim cihazı kullanın. Örneğin, şu araçlar kullanılabilir: HashiCorp Kasası En az bir cihaza giriş yapamayan API isteklerini engellemek ve böylece izlenemeyen erişimi önlemek üzere tasarlanmıştır.
Günlükleri kurcalanmaya karşı korumak ve uyumluluk denetimleri için kullanılabilir olmalarını sağlamak amacıyla uzak bir sisteme iletin. Ek güvenlik için, hassas günlük verilerini denetlenebilir halde tutarken korumak amacıyla anahtarlı karma algoritmaları (örneğin, HMAC-SHA256) kullanın. Kök belirteci kullanımı, denetim yapılandırmalarındaki değişiklikler veya "izin reddedildi" hatalarında ani artış gibi kritik olaylar için uyarılar ayarlayın. Günlük döndürmeyi (örneğin, kullanarak) uygulamayı unutmayın. logrotate) ve kesintisiz günlük kaydı sağlamak için HUP sinyallerini yapılandırın.
Tüm projelerden veya hesaplardan gelen kayıtları, kuruluş genelinde görünürlük sağlamak için tek bir depoda merkezileştirin ve birleştirin. Bu, denetimi kolaylaştırmakla kalmaz, aynı zamanda PCI DSS, FedRAMP ve HIPAA gibi standartlara uyumluluğu da destekler. Ancak, veri erişim kayıtlarının etkinleştirilmesinin daha büyük veri hacmi nedeniyle maliyetleri artırabileceğini unutmayın.
Anahtar Rotasyon ve İptal Uygulamaları
Şifreleme anahtarlarının sonsuza dek dayanması amaçlanmamıştır. Eski veya tehlikeye girmiş anahtarların hassas verileri riske atmasını önlemek için düzenli olarak değiştirilmesi ve zamanında iptal edilmesi şarttır.
Tuşları Ne Zaman ve Neden Döndürmelisiniz?
Şifreleme anahtarlarının döndürülmesi, tek bir ele geçirilmiş anahtarın yol açabileceği hasarı sınırlamaya yardımcı olur. Verileri yıllarca koruyan tek bir anahtar yerine, döndürme işlemi her anahtarın yalnızca belirli bir zaman dilimi için geçerli olmasını sağlar. Örneğin, PCI DSS en az yıllık anahtar döndürmeyi zorunlu kılar, ancak kart sahibi bilgileri gibi son derece hassas veriler için anahtarların üç ayda bir döndürülmesi daha güvenlidir. Hizmet hesabı anahtarları için uzmanlar, sızdırılan kimlik bilgilerinden kaynaklanan riskleri en aza indirmek için en az 90 günde bir döndürülmelerini önermektedir.
Anahtarların değiştirilme sıklığı, verilerin hassasiyetine ve anahtarın ne sıklıkla kullanıldığına bağlı olmalıdır. Örneğin, NIST, AES-256-GCM anahtarlarının yaklaşık 4,3 milyar şifrelemeye ulaşmadan önce değiştirilmesini önermektedir. Benzer şekilde, Azure Key Vault, şifreleme anahtarlarının en az iki yılda bir değiştirilmesini önermektedir. Yüksek kullanım oranına sahip anahtarlar daha büyük kriptanalitik risklerle karşı karşıyadır; bu nedenle, yalnızca takvimsel bir programa güvenmek yerine, telemetri yoluyla şifreleme sayısını izlemek, değiştirme zamanının ne zaman geldiğini belirlemeye yardımcı olabilir.
Bu süreci daha sorunsuz ve hatasız hale getirmek için, HashiCorp Vault veya Cloud KMS gibi otomasyon araçları sizin için anahtar döndürme işlemini gerçekleştirebilir. Bu araçlar, yeni verilerin en son anahtarla şifrelendiği, eski anahtarların ise geçmiş verileri çözdüğü anahtar sürümleme yöntemini kullanır. Bu, verilere erişildikçe güncellenen, kademeli ve "tembel" bir yeniden şifreleme sürecine olanak tanır.
Ancak yalnızca rotasyon her zaman yeterli olmaz. Bir güvenlik açığı oluştuğunda, anahtarın geri alınması bir sonraki kritik adım haline gelir.
Riskleri Azaltmak İçin Anahtarların İptali
Anahtar iptali, bir anahtarın ele geçirilmesi, erişim yetkisine sahip bir çalışanın ayrılması veya başka bir güvenlik olayının meydana gelmesi durumunda hızlı bir müdahale önlemidir. Zamanlama her şeydir; iptal işlemi, sorunun tespit edilmesinden sonraki 24 saat içinde ideal olarak gerçekleştirilmelidir.
İşte çalışma şekli: Öncelikle, tehlikeye atılmış anahtarı belirleyin ve güvenli bir yedek anahtar oluşturun. Yeni anahtarı tüm sistemlere dağıtın, ardından eski anahtarı devre dışı bırakın. Ancak, hemen silmeyin – bu bekleme süresi, devre dışı bırakılan anahtarla hala bağlantılı olan hataları veya bağımlılıkları izlemenizi sağlar. Kritik sistemlerin etkilenmediğini doğruladıktan sonra, yapılandırmaları güncelleyin, gerekli verileri yeniden şifreleyin ve eski anahtarı kalıcı olarak silin.
""Güvenliği ihlal edilmiş anahtarların derhal iptal edilmemesi, yetkisiz şifre çözme işlemlerinin devam etmesine olanak tanır. Kötü anahtar yönetimi uygulamaları şifrelemeyi işlevsiz hale getirerek verilerin açıkta kalmasına neden olur." – SSL Destek Ekibi, SSL.com
Kötü anahtar yönetiminin sonuçlarına dair çarpıcı bir örnek, 2011 RSA Güvenlik ihlalidir. Saldırganlar, RSA'nın tohum veritabanını güvence altına almaması ve uygun erişim kontrollerini uygulamaması nedeniyle milyonlarca SecurID token'ının kriptografik "tohum" değerlerini çaldı. Bu ihlal, hassas verileri korumak için hızlı ve etkili anahtar yönetimi uygulamalarının önemini vurgulamaktadır.
Çözüm
Hassas verilerin korunması için güçlü anahtar erişim kontrolü şarttır. En az ayrıcalık ilkesini uygulayarak, görevleri ayırarak ve FIPS 140-2 Seviye 3 onaylı HSM'ler gibi donanım tabanlı koruma kullanarak, güvenli anahtar yönetimi için sağlam bir temel oluşturursunuz. Bu stratejiler, hem kaz accidental veri ifşasını hem de kasıtlı ihlalleri önlemek için kritik öneme sahiptir.
""Hesap kök kullanıcısı veya anahtar oluşturucu da dahil olmak üzere hiçbir AWS yetkilisi, bir anahtar politikasında, IAM politikasında veya yetkilendirmede açıkça izin verilmedikçe ve açıkça reddedilmedikçe bir KMS anahtarına erişim iznine sahip değildir." – AWS Yönergeleri
Zorunlu bekleme süreleri ve çok faktörlü kimlik doğrulama gibi ek önlemler daha fazla koruma sağlar. Özellikle çok faktörlü kimlik doğrulama, yetkisiz anahtar değişikliklerini kısıtlayarak ek bir güvenlik katmanı ekler. Genellikle 90 günde bir gerçekleşecek şekilde ayarlanan otomatik anahtar döndürme de, ele geçirilmiş bir anahtarın neden olabileceği potansiyel hasarı azaltarak riski en aza indirir.
Etkin anahtar yönetimi sürekli dikkat gerektirir. Kuruluşlar büyüdükçe, personel değişiklikleri yaşanır ve yeni riskler ortaya çıkar; erişim kontrolleri de gelişmelidir. Aşırı yetkilendirilmiş rolleri belirlemek için düzenli denetimler çok önemlidir; gerçek zamanlı izleme ise tehdit oluşturmadan önce olağandışı erişim faaliyetlerini tespit etmek için hayati önem taşır. Otomatik yetkilendirme, gerçek zamanlı uyarılar ve şifreleme bağlamı gibi özellikler, anahtarlarınızın tüm yaşam döngüsü boyunca güvende kalmasını sağlamak için birlikte çalışır.
SSS
Ana Yönetici ve Ana Kullanıcı erişimini ayırmanın en güvenli yolu nedir?
Güvenliği sağlamak için aşağıdaki kurallara uymak en iyisidir. görevlerin ayrılması ilkesi. Bu, sorumlulukların bölünmesi ve hiçbir bireyin hem idari hem de operasyonel görevleri tek başına üstlenememesi anlamına gelir. Örneğin, görevlendirme yapın. Kilit Yöneticiler Anahtar oluşturma ve politika yönetimini denetlemek, Ana Kullanıcılar Şifreleme ve şifre çözme gibi kriptografik görevlere odaklanın. Uygulayın. rol tabanlı erişim denetimi (RBAC) Bu sınırları uygulamak için ayrıntılı IAM politikalarıyla birlikte, faaliyetleri izlemek ve yetkisiz eylemleri hızlı bir şekilde tespit etmek için kapsamlı denetim kayıtları tutulmalıdır.
Yazılım tabanlı anahtar depolama yerine HSM'yi ne zaman kullanmalıyım?
Donanım güvenlik modülü (HSM), aşağıdaki durumlarda başvurulacak en ideal çözümdür. donanım tabanlı izolasyon ve kurcalamaya karşı direnç Son derece hassas kriptografik anahtarların korunması için vazgeçilmezdirler. HSM'ler, katı uyumluluk standartlarının karşılanmasının kritik olduğu veya ihlallerden ve yazılım güvenlik açıklarından kaynaklanan risklerin en aza indirilmesi gereken senaryolarda üstün performans gösterirler.
Yazılım tabanlı anahtar depolama sistemlerinin aksine, HSM'ler ek bir güvenlik katmanı sağlayarak en yüksek düzeyde koruma gerektiren ortamlar için tercih edilen seçenek haline gelir.
Uygulamaları bozmadan veya verilere erişimi kaybetmeden tuşları nasıl döndürebilirim?
Uygulamaları kesintiye uğratmadan veya verilere erişimi kaybetmeden şifreleme anahtarlarını değiştirmek için yapmanız gerekenler şunlardır:
- Vardiyaları planlayın ve programlayın.Yeni şifreleme anahtarları oluşturmak için gerektiğinde otomatik sistemler kurun veya anahtar üretimini planlayın.
- Uygulamaları ve verileri güncelleyinYeni tuşlara adım adım geçiş yapın ve uyumluluğu korumak için eski tuşları geçici olarak aktif tutun.
- İzleyin ve doğrulayınGüncellenen anahtarlarla uygulamaların sorunsuz çalıştığını doğrulamak için kapsamlı testler yapın.
Bu yöntem, aksaklıkları önlerken güvenliği korumaya yardımcı olur.
