Bulut güvenliği, bulut bilişim ortamlarında (IaaS, PaaS, SaaS) verilerin, uygulamaların ve altyapının korunması için kullanılan politikalar, teknolojiler ve kontroller bütünüdür.
🔴 Bulut Güvenliği İstatistikleri
2024'te bulut güvenlik ihlallerinin %82'si yanlış yapılandırmadan kaynaklandı (IBM). Ortalama bulut ihlali maliyeti $4.45 milyon. Kurumların %94'ü en az bir bulut hizmeti kullanıyor. Bulut güvenliği pazarı 2025'te $60 milyar'a ulaşacak.
Bulut Hizmet Modelleri
ALTYAPI
IaaS (Infrastructure as a Service)
Sanal sunucular, depolama, ağ. Siz işletim sistemi ve uygulamalardan sorumlusunuz.
Örnekler: AWS EC2, Azure VMs, Google Compute Engine
Sorumluluk: %70 müşteri, %30 sağlayıcı
PLATFORM
PaaS (Platform as a Service)
Uygulama geliştirme platformu. İşletim sistemi sağlayıcı tarafından yönetilir.
Örnekler: AWS Elastic Beanstalk, Azure App Service, Google App Engine
Sorumluluk: %50 müşteri, %50 sağlayıcı
UYGULAMA
SaaS (Software as a Service)
Hazır uygulamalar. Tüm altyapı sağlayıcı tarafından yönetilir.
Örnekler: Office 365, Google Workspace, Salesforce, Dropbox
Sorumluluk: %20 müşteri, %80 sağlayıcı
Bulut Dağıtım Modelleri
Public Cloud
AWS, Azure, GCP gibi herkese açık bulut hizmetleri. Ölçeklenebilir, maliyet etkin.
Private Cloud
Sadece tek bir kuruma özel bulut. Tam kontrol, yüksek güvenlik.
Hybrid Cloud
Public ve private cloud kombinasyonu. Esneklik ve güvenlik dengesi.
Multi-Cloud
Birden fazla bulut sağlayıcısı kullanımı. Vendor lock-in önleme.
💡 Temel İlke
Bulut güvenliği paylaşılan bir sorumluluktur. Sağlayıcı altyapıyı korur, ancak verilerinizin ve erişim kontrollerinizin güvenliği sizin sorumluluğunuzdadır.
BÖLÜM 02
Bulut Güvenliği Tehditleri
Bulut ortamları benzersiz güvenlik tehditlerine maruz kalır. Her tehdidi tanımak, etkili savunma stratejileri geliştirmenizi sağlar.
En Yaygın Bulut Tehditleri
KRİTİK
Yanlış Yapılandırma
Açık S3 bucket'lar, yanlış güvenlik grubu kuralları, gereksiz açık portlar. En büyük bulut riski.
%82İhlallerin kaynağı
Örnekler: Capital One (2019), Verizon (2017)
KRİTİK
Hesap Ele Geçirme
Bulut hesaplarının çalınması. MFA eksikliği, zayıf şifreler, credential stuffing.
%45Bulut saldırıları
Örnekler: Coinbase, Codecov
YÜKSEK
Güvensiz API'ler
Kötü tasarlanmış API'ler, yetersiz kimlik doğrulama, aşırı veri ifşası.
%35API saldırıları
Örnekler: Facebook-Cambridge Analytica
YÜKSEK
İç Tehditler
Çalışanların kötü niyetli veya kasıtsız veri sızıntısı. Aşırı yetkiler.
%25İç kaynaklı ihlaller
Örnekler: Tesla insider attack
YÜKSEK
DDoS Saldırıları
Bulut kaynaklarına aşırı trafik gönderme. Hizmet kesintisi, yüksek maliyet.
%28Bulut DDoS artışı
Örnekler: GitHub (2018), AWS Shield
ORTA
Tedarik Zinciri Saldırıları
Üçüncü taraf bulut hizmetleri veya kütüphaneler üzerinden saldırı.
%6202020-2024 artış
Örnekler: SolarWinds, Codecov
ORTA
Veri Sızıntısı
Hassas verilerin yetkisiz erişimi. Şifreleme eksikliği, yanlış erişim kontrolleri.
$4.45MOrtalama maliyet
Örnekler: Verizon, Marriott
ORTA
Cryptojacking
Bulut kaynaklarının izinsiz kripto para madenciliği için kullanılması.
%10K+Aylık bulut saldırısı
Örnekler: Tesla AWS cryptojacking
Bulut Saldırı Zinciri
1
Keşif
Açık bucket'lar, yanlış yapılandırmalar taranır.
2
İlk Erişim
Zayıf kimlik bilgileri veya API anahtarları ile giriş.
3
Yetki Yükseltme
Admin hakları elde etme, IAM politikalarını değiştirme.
4
Yanal Hareket
Diğer bulut kaynaklarına ve hesaplara yayılma.
5
Veri Çalma
Hassas verileri dışarı aktarma veya şifreleme.
6
Kalıcılık
Arka kapı oluşturma, tespit edilmekten kaçınma.
Mini Quiz: Bulut Tehditleri
Soru 1/3
Bulut güvenlik ihlallerinin en yaygın nedeni nedir?
BÖLÜM 03
Shared Responsibility Model
Bulut güvenliği, sağlayıcı ve müşteri arasında paylaşılan bir sorumluluktur. Hangi katmandan kimin sorumlu olduğunu anlamak kritiktir.
Sorumluluk Paylaşımı
SAĞLAYICI SORUMLULUĞU
Bulut Sağlayıcısı
Fiziksel altyapı güvenliği
Ağ altyapısı güvenliği
Sanallaştırma katmanı
Donanım bakımı
Veri merkezi güvenliği
MÜŞTERİ SORUMLULUĞU
Müşteri (Siz)
Veri güvenliği ve şifreleme
Kimlik ve erişim yönetimi (IAM)
Uygulama güvenliği
İşletim sistemi yapılandırması
Ağ yapılandırması (firewall, security groups)
Model Bazlı Sorumluluk Dağılımı
Katman
On-Premise
IaaS
PaaS
SaaS
Fiziksel Altyapı
Müşteri
Sağlayıcı
Sağlayıcı
Sağlayıcı
Ağ Altyapısı
Müşteri
Sağlayıcı
Sağlayıcı
Sağlayıcı
Sanallaştırma
Müşteri
Sağlayıcı
Sağlayıcı
Sağlayıcı
İşletim Sistemi
Müşteri
Müşteri
Sağlayıcı
Sağlayıcı
Runtime
Müşteri
Müşteri
Sağlayıcı
Sağlayıcı
Uygulama
Müşteri
Müşteri
Müşteri
Sağlayıcı
Veri
Müşteri
Müşteri
Müşteri
Müşteri
⚠️ Kritik Uyarı
Bulut sağlayıcınız verilerinizin güvenliğinden sorumlu değildir. Sadece altyapının güvenliğinden sorumludur. Veri şifreleme, erişim kontrolü, yedekleme tamamen sizin sorumluluğunuzdadır.
BÖLÜM 04
Bulut Güvenlik Araçları
Bulut ortamlarını korumak için özel güvenlik araçları geliştirilmiştir. CSPM, CWPP, CASB ve cloud-native güvenlik çözümleri.
Bulut Güvenlik Araçları Kategorileri
YAPILANDIRMA
CSPM (Cloud Security Posture Management)
Bulut yapılandırmalarını sürekli izler, yanlış yapılandırmaları tespit eder ve düzeltir.
"Asla güvenme, her zaman doğrula". Bulut ortamında her erişim isteği kimlik, cihaz, konum bazında doğrulanmalı.
BÖLÜM 06
Bulut Sağlayıcıları Karşılaştırması
AWS, Azure ve GCP'nin güvenlik özelliklerini karşılaştırın. Doğru sağlayıcı seçimi, bulut güvenliğinin temelidir.
Sağlayıcı Karşılaştırması
Özellik
AWS
Azure
GCP
Pazar Payı
%31
%25
%11
IAM
AWS IAM
Entra ID
GCP IAM
Şifreleme
KMS
Key Vault
Cloud KMS
Threat Detection
GuardDuty
Defender for Cloud
Security Command Center
SIEM
CloudTrail + Detective
Sentinel
Chronicle
WAF
AWS WAF
Azure WAF
Cloud Armor
DDoS Koruması
AWS Shield
Azure DDoS Protection
Cloud Armor
CSPM
Security Hub
Defender for Cloud
Security Command Center
Compliance
Çok geniş
Çok geniş
Geniş
Multi-Region
✅
✅
✅
Sağlayıcı Seçim Kriterleri
Güvenlik Özellikleri
IAM, şifreleme, ağ izolasyonu, threat detection, compliance araçları.
Uyumluluk Sertifikaları
ISO 27001, SOC 2, GDPR, HIPAA, PCI-DSS, KVKK uyumu.
Veri Merkezi Konumu
Veri egemenliği gereksinimleri. Türkiye/AB veri merkezleri.
Maliyet
Kullanım bazlı fiyatlandırma, reserved instances, spot instances.
Entegrasyon
Mevcut altyapı ile uyumluluk. Hybrid cloud desteği.
Destek ve SLA
7/24 destek, SLA garantileri, uptime oranları.
ℹ️ Multi-Cloud Stratejisi
Birden fazla bulut sağlayıcısı kullanmak vendor lock-in'i önler ancak güvenlik karmaşıklığını artırır. Merkezi güvenlik yönetimi için CNAPP çözümleri kullanın.
BÖLÜM 07
Bulut Güvenliği Uyumluluğu
Bulut ortamları çeşitli yasal ve sektörel düzenlemelere uymak zorundadır. Uyumluluk, güvenliğin temelini oluşturur.
Önemli Standartlar ve Düzenlemeler
ULUSLARARASI
ISO 27001
Bilgi güvenliği yönetim sistemi (ISMS). Risk bazlı yaklaşım. Sürekli iyileştirme.
Risk AssessmentControl SetCertification
ABD
SOC 2 Type II
Hizmet organizasyonları için. Güvenlik, kullanılabilirlik, işlem bütünlüğü, gizlilik.
Trust Criteria6-12 ay auditCustomer trust
AB
GDPR
AB vatandaşlarının veri koruması. Açık rıza, veri sahipliği hakları, ihlal bildirimi.
DPO zorunlu€20M ceza72 saat bildirim
TÜRKİYE
KVKK
Türkiye veri koruma kanunu. GDPR ile benzer yapı. Yerel gereksinimler.
VERBİS kaydıAçık rıza₺1.9M ceza
SEKTÖREL
PCI-DSS
Kredi kartı verilerinin güvenliği. 12 temel gereksinim. Yıllık denetim.
12 GereksinimYıllık auditKart verisi koruma
SAĞLIK
HIPAA
Sağlık verilerinin korunması (ABD). PHI (Protected Health Information) güvenliği.
PHI korumaBreach notificationAccess controls
Bulut Sağlayıcı Uyumluluk Programları
AWS Compliance
140+ uyumluluk standardı. AWS Artifact ile sertifika ve raporlara erişim.
Azure Compliance
100+ uyumluluk standardı. Compliance Manager ile izleme ve raporlama.
GCP Compliance
110+ uyumluluk standardı. Assured Workloads ile regüle edilmiş iş yükleri.
⚠️ Önemli Not
Bulut sağlayıcısının uyumluluğu, sizin uyumluluğunuzu garanti etmez. Shared responsibility modeline göre, verilerinizin ve uygulamalarınızın uyumluluğu sizin sorumluluğunuzdadır.
BÖLÜM 08
Bulut Güvenliği Kontrol Listesi
Bulut güvenliğinizi değerlendirmek için bu kapsamlı kontrol listesini kullanın. Tüm maddeleri işaretleyerek güvenliğinizi maksimize edin.
Kimlik ve Erişim
Veri Güvenliği
Ağ Güvenliği
İzleme ve Tespit
Uyumluluk ve Yönetişim
Final Quiz: Bulut Güvenliği
Soru 3/3
Shared responsibility modelinde veri şifreleme kimin sorumluluğundadır?
🎉 Tebrikler!
Bulut Güvenliği rehberini tamamladınız! Artık bulut ortamınızı korumak için gerekli bilgiye sahipsiniz. En iyi uygulamaları uygulayarak bulut güvenliğinizi maksimize edin.
SSS
Bulut Güvenliği SSS
Bulut güvenliği yerel güvenlikten daha mı zor?
Hayır, farklıdır. Bulut güvenliği otomasyon ve ölçeklenebilirlik avantajları sağlar. Ancak shared responsibility modelini anlamak ve doğru yapılandırmayı sağlamak kritiktir.
Hangi bulut sağlayıcısı en güvenli?
AWS, Azure ve GCP'nin hepsi yüksek güvenlik standartlarına sahiptir. Önemli olan doğru yapılandırma ve güvenlik kontrollerini uygulamaktır.
CSPM neden gerekli?
CSPM, bulut yapılandırmalarını sürekli izler ve yanlış yapılandırmaları otomatik tespit eder. İnsan hatasını minimize eder ve compliance sağlar.
Multi-cloud güvenliği nasıl sağlanır?
Merkezi güvenlik yönetimi, tutarlı politikalar, CNAPP çözümleri ve otomasyon kullanın. Her sağlayıcının güvenlik araçlarını entegre edin.
Bulut verileri şifreli mi?
Sağlayıcılar varsayılan olarak şifreleme sunar ancak anahtar yönetimi sizin sorumluluğunuzdadır. Customer-managed keys (CMK) kullanın.
Zero Trust bulutta nasıl uygulanır?
Her erişim isteğini doğrulayın, least privilege uygulayın, mikro-segmentasyon yapın, sürekli izleme ve anomali tespiti kullanın.
Bulut güvenliği maliyetli mi?
Güvenlik yatırımı, ihlal maliyetinden çok daha düşüktür. Sağlayıcının yerleşik güvenlik araçlarını kullanarak maliyeti optimize edin.
Bulut uyumluluğu nasıl sağlanır?
Sağlayıcının compliance programlarını kullanın, CSPM araçları ile sürekli izleme yapın, düzenli denetimler yapın ve dokümantasyon tutun.
