Appgate SDP logosu | Innoset Türkiye iş ortağı

Appgate: Sıfır Güven Ağ Erişimi ve Yazılım Tanımlı Çevre

Appgate, kurumsal kaynaklara erişimi ağ üyeliğine değil kullanıcı kimliğine bağlayan bir sıfır güven ağ erişimi (ZTNA) üreticisidir. Ana ürünü Appgate SDP, korunan sistemleri ağda görünmez tutar: bir kullanıcı kimliği, cihaz durumu ve bağlamı doğrulanana kadar sunucular tarama araçlarına bile yanıt vermez. Doğrulama tamamlandığında kullanıcıya ağın tamamına açılan bir tünel değil, yalnız yetkili olduğu kaynağa giden dar bir yol tanımlanır; başka sistemleri göremez, dolayısıyla yanal hareket zemini kalmaz. Kurum içi, bulut ve hibrit ortamlarda aynı politikayla çalışır. Türkiye'de PoC ve teknik destek süreçlerini iş ortağı Innoset yürütür.

PoC talebi oluşturun Platform yeteneklerini inceleyin

Model: Kimlik merkezli, kaynak bazlı erişim
Kurulum: Kurum içi · Bulut · Hibrit
Üretici: ABD · Miami

Appgate nedir?

Appgate, uzaktan erişim probleminin klasik çözümünden farklı bir model önerir. Klasik model şudur: kullanıcı bir sanal özel ağ istemcisiyle bağlanır, kimliği doğrulandıktan sonra kurumsal ağın bir parçası olur ve o ağda erişebildiği her şeye erişir. Bu modelin iki yapısal sorunu vardır. Birincisi, erişim kapısının internete açık olmasıdır: yoğunlaştırıcı adresi taranabilir, saldırıya uğrayabilir ve bu ürünlerdeki zafiyetler yıllardır saldırganların ilk hedefidir. İkincisi, doğrulamanın tek seferlik olmasıdır: kullanıcı bir kez içeri girdikten sonra ağda serbestçe dolaşır ve ele geçirilmiş bir hesap ya da cihaz, tüm ağa açılmış bir kapı hâline gelir.

Yazılım tanımlı çevre yaklaşımı bu iki sorunu birden ele alır. Kaynaklar varsayılan olarak görünmez tutulur; kullanıcı doğrulanmadan önce sistemler ağda yanıt vermez, dolayısıyla taranamaz ve saldırılamaz. Doğrulama yalnız kimlikle sınırlı değildir: kullanıcının kim olduğu, hangi cihazdan bağlandığı, o cihazın durumu, nereden ve ne zaman bağlandığı birlikte değerlendirilir ve sonuçta ağa toptan üyelik değil, oturuma özel bir yetki üretilir. Kullanıcı yalnız yetkili olduğu kaynağa giden dar bir yol alır; ağın geri kalanı onun için var olmaz.

Pratikte bunun karşılığı, her kullanıcının kendi mikro çevresine sahip olmasıdır. Yüzlerce açık porta sahip bir erişim noktası yerine, her kullanıcı için ayrı ve dar tanımlanmış bir erişim hattı kurulur. Model kurum içi veri merkezini, kamu bulutunu ve uzak uç noktaları dağıtık ağ geçitleriyle birlikte kapsar; politika bütün ortamlarda aynı yerden yönetilir. Appgate, Miami merkezlidir ve genel müdürü Leo Taddeo'dur; portföyünde ayrıca dolandırıcılıkla mücadele ve tehdit danışmanlığı ürünleri bulunur, ancak Türkiye'deki odak Appgate SDP'dir. Innoset, Appgate'in Türkiye iş ortağı olarak lisanslama, kurulum, PoC ve teknik destek süreçlerini üstlenir.

Kimler için uygun?

Eski VPN altyapısını yenileyecekler
Yüklenici ve tedarikçi erişimi verenler
Hibrit ve çok bulutlu altyapı işletenler
Erişim yüzeyini daraltmak isteyen kurumlar

Appgate SDP Yetenekleri

Aşağıdaki dört başlık ürünün çalışma mantığını anlatır: erişimin neye göre verildiği, kaynakların nasıl görünmez tutulduğu, politikanın oturum boyunca nasıl işlediği ve hangi senaryolarda kurulduğu. Dördü tek bir üründür; ayrı modül satın alınmaz.

Appgate SDP: Kimlik Merkezli Erişim

Ağ üyeliği yerine kaynak bazlı yetki

Erişim kararı kullanıcının kimliğiyle başlar ve orada bitmez: bağlandığı cihazın durumu, konumu, bağlantı zamanı ve kurumun tanımladığı diğer bağlamsal nitelikler birlikte değerlendirilir. Sonuçta üretilen şey ağa giriş izni değil, o oturuma özel bir yetki kümesidir. Kullanıcı yalnız kendisine tanımlanmış kaynaklara ulaşır ve bunlara giden yol birebir kurulur.

Bunun ağ tarafındaki karşılığı, her kullanıcı için ayrı bir mikro çevre oluşturulmasıdır. Klasik modelde bir kullanıcı ağa girdiğinde aynı segmentteki bütün sistemleri görebilir; burada göremez, çünkü o sistemler onun oturumunun kapsamında değildir. Ele geçirilmiş bir hesap ya da cihaz söz konusu olduğunda saldırganın ulaşabileceği alan, o kullanıcının yetkili olduğu kaynaklarla sınırlı kalır ve yanal hareket için gereken görünürlük oluşmaz.

Kimlik, cihaz durumu ve bağlam birlikte
Oturuma özel yetki üretimi
Kullanıcı başına mikro çevre
Kaynağa birebir bağlantı
Yanal görünürlüğün ortadan kalkması
En az ayrıcalık ilkesinin uygulanması

Tek Paket Yetkilendirme ve Görünmez Kaynaklar

Doğrulanmadan önce yanıt vermeyen sistemler

Ürünün en ayırt edici tekniği tek paket yetkilendirmedir. Korunan servisler, gelen istek kriptografik olarak doğrulanana kadar hiçbir yanıt üretmez; bir port taraması yapıldığında ortada açık ve taranabilir bir hedef görünmez. Bu, saldırganın klasik ilk adımını, yani hedefi bulup zafiyet aramayı işlevsiz kılar: bulunamayan bir servise karşı zafiyet taraması yapılamaz.

Aynı tasarım, erişim altyapısının kendisini de korur. İnternete açık bir erişim noktası bulunmadığı için hizmet dışı bırakma saldırılarına ve erişim ürünlerinin kendisindeki zafiyetlerin doğrudan hedef alınmasına karşı doğal bir direnç oluşur. Kullanıcı için ise deneyim değişmez: doğrulama tamamlandığında kaynak normal biçimde erişilebilir hâle gelir, süreç arka planda işler.

Kriptografik tek paket yetkilendirme
Doğrulanmadan önce yanıt verilmemesi
Taranabilir açık portun bulunmaması
Erişim altyapısının kendisinin korunması
Hizmet dışı bırakma saldırılarına direnç
Kullanıcı deneyiminin değişmemesi

Dinamik Politika ve Sürekli Doğrulama

Oturum boyunca devam eden değerlendirme

Politika merkezî olarak tanımlanır ve bütün ortamlarda aynı biçimde uygulanır; hangi kullanıcı grubunun hangi kaynağa, hangi koşullarda erişeceği tek yerden yönetilir. Kurumun mevcut kimlik sağlayıcısıyla ve çok faktörlü kimlik doğrulama çözümüyle bütünleşir; kullanıcılar zaten kullandıkları kimlikle bağlanır ve ayrı bir kullanıcı havuzu işletmek gerekmez.

Doğrulama tek seferlik değildir. Oturum sürerken kimlik sağlayıcı üzerinden yeniden doğrulama yapılabilir ve cihaz duruşundaki değişiklikler değerlendirmeye girer; koşullar bozulduğunda yetki daraltılır veya kaldırılır. Üretici, 2024'te duyurduğu 6.3 sürümüyle yapay zekâ tabanlı bir risk motoru eklediğini belirtir. Bütün erişim kararları ve oturum bilgileri kayıt altına alınır; bu kayıtlar hem denetim hem de olay incelemesi için kullanılır.

Merkezî politika, tutarlı uygulama
Kimlik sağlayıcı ve çok faktörlü doğrulama
Oturum boyunca yeniden doğrulama
Cihaz duruşundaki değişikliklere tepki
Risk değerlendirme motoru
Ayrıntılı erişim kayıtları

Kullanım Senaryoları ve Kurulum

VPN yenileme, üçüncü taraf erişimi ve segmentasyon

En yaygın kurulum senaryosu eski uzaktan erişim altyapısının yenilenmesidir: yıllar önce kurulmuş yoğunlaştırıcılar kapasite ve güvenlik açısından zorlanır, yenileme dönemi geldiğinde kurum aynı modeli tekrar kurmak yerine erişim yüzeyini daraltmayı değerlendirir. İkinci senaryo üçüncü taraf erişimidir: yüklenici, tedarikçi ve danışmanlara kurumsal ağa girmeden yalnız çalışacakları sisteme erişim verilir; bu, dışarıdan gelen erişimin en sık sorulan denetim sorusudur.

Üçüncü senaryo segmentasyondur: kurum içi ve çok bulutlu altyapıda kimlik temelli ayrım kurulur ve düz ağ segmentleri yerini oturum bazlı yetkilere bırakır. Kurulum kurum içi, bulut veya hibrit olabilir; dağıtık ağ geçitleri farklı lokasyonlardaki kaynakları kapsar ve politika tek yerden yönetilir. Ayrıcalıklı hesapların oturum denetimi ayrı bir katmandır; Innoset portföyünde bu ihtiyaç Kron PAM ile karşılanır ve erişim ağ geçidinin arkasında konumlanır.

Eski uzaktan erişim altyapısının yenilenmesi
Yüklenici ve tedarikçi erişimi
Kimlik temelli segmentasyon
Kurum içi, bulut ve hibrit kurulum
Dağıtık ağ geçitleri
Tek noktadan politika yönetimi

Mimari, Kurulum ve Entegrasyonlar

Mimari birkaç bileşenden oluşur ve bunlar birlikte tek bir yönetim bütünü hâlinde çalışır. Denetleyici, politikayı tutan ve erişim kararını veren bileşendir; ağ geçitleri korunan kaynakların önünde durur ve yetkilendirilmiş oturumları geçirir; istemci kullanıcının cihazında çalışır; günlük bileşeni erişim kayıtlarını toplar. Ağ geçitleri dağıtık olarak konumlandırılır: veri merkezindeki sistemler için orada, bulut ortamındaki iş yükleri için o bulutta çalışan bir geçit tanımlanır. Böylece kullanıcı hangi kaynağa erişecekse trafiği o kaynağa en yakın geçit üzerinden ilerler ve tüm trafiği tek bir merkezden geçirmenin getirdiği gecikme oluşmaz.

Kurulum kurum içi, bulut ve hibrit ortamlarda yapılabilir; bu karar, erişim kararlarının ve kayıtların nerede tutulacağını da belirler. Kimlik tarafında kurumun mevcut kimlik sağlayıcısı ve çok faktörlü kimlik doğrulama çözümü kullanılır; kullanıcı havuzu yeniden oluşturulmaz. Cihaz duruşu denetimi, kurumun uç nokta yönetim araçlarından gelen bilgilerle birlikte değerlendirilebilir. Erişim kayıtları güvenlik olay yönetimi platformlarına aktarılır. Geçiş çoğunlukla kademeli yürütülür: önce belirli bir kullanıcı grubu veya belirli bir uygulama kümesi yeni modele alınır, mevcut altyapı bir süre yan yana çalışmaya devam eder ve doğrulama tamamlandıkça kapsam genişletilir.

Sektörler

Bankacılık ve Finans

Bankalarda uzaktan erişim hem çalışanı hem çok sayıda dış tedarikçiyi kapsar ve denetimde kimin neye eriştiği sorulur. Kaynak bazlı yetki, erişimi ağ segmentine değil tek tek sistemlere bağlar; ayrıntılı erişim kayıtları bu sorunun cevabını kayıtla verir.
Detay
Enerji ve Kritik Altyapı

Kritik altyapıda uzaktan bakım erişimi zorunludur ama ağa toptan giriş vermek kabul edilemez; erişim ürünlerinin kendisi de saldırganların ilk hedefidir. Kaynakların doğrulanmadan görünmemesi bu hedefi geçersiz kılar, oturum bazlı yetki ise bakımcıyı yalnız ilgili sisteme bağlar.
Detay
Üretim

Fabrikalarda makine üreticileri ve entegratörler uzaktan bakım için bağlanır; bu erişim çoğunlukla üreticinin kendi aracıyla ve kurumun göremediği biçimde kurulur. Erişimin kurumsal politikaya alınması, hangi tedarikçinin hangi hatta ne zaman bağlandığını görünür ve sınırlı kılar.
Detay

Regülasyonlar

6698 sayılı KVKK
Problem: Kanunun 12'nci maddesi kişisel verilere hukuka aykırı erişimin önlenmesini öngörür; ağa toptan erişim veren modellerde bir kullanıcının hangi veriye ulaşabildiği net değildir. Kaynak bazlı yetki ve ayrıntılı erişim kayıtları bu sınırın çizilmesine ve kanıtlanmasına katkı sağlayabilir.
Detay
7545 sayılı Siber Güvenlik Kanunu
Problem: Kanun kritik altyapı işletmecilerine erişimi denetleme ve tedbir alma yükümlülüğü getirir; uzaktan bakım erişimi bu denetimin en zayıf halkasıdır. Erişimin merkezî politikaya bağlanması ve kaynakların doğrulanmadan görünmemesi bu yükümlülüklere katkı sağlayabilir.
Detay
ISO/IEC 27001:2022
Problem: A.5.15 erişim kontrolünü, A.6.7 uzaktan çalışmayı, A.8.22 ağların ayrılmasını ele alır; denetçi en az ayrıcalığın nasıl uygulandığını sorar. Oturum bazlı yetkiler, kullanıcı başına mikro çevre ve erişim kayıtları bu kontrollere teknik kanıt sağlayabilir; uyum yükümlülüğü kurumda kalır.
Detay

Çözüm Alanları

Güvenli Uzaktan Erişim
Problem: klasik uzaktan erişim, kullanıcıyı doğruladıktan sonra ağın bir parçası yapar ve erişim kapısı internete açık durur; bu kapı düzenli olarak taranır ve hedef alınır. Kaynakların doğrulanmadan görünmemesi ve erişimin oturum bazlı tanımlanması bu iki riski birlikte ele alır.
Detay
Mikro Segmentasyon
Problem: ağ segmentasyonu projeleri adresleme ve kural yükü nedeniyle uzar; aynı segmentteki sistemler birbirine açık kalır. Kimlik temelli erişim, ayrımı ağ topolojisinden bağımsız kurar: her kullanıcı yalnız yetkili olduğu kaynakları görür, ağın geri kalanı onun için kapalıdır.
Detay
Kimlik ve Erişim Güvenliği
Problem: kimlik doğrulama bağlantı kurulurken bir kez yapılır; oturum sürerken cihazın durumu bozulsa veya bağlam değişse bile erişim devam eder. Oturum boyunca yeniden doğrulama ve cihaz duruşunun sürekli değerlendirilmesi bu boşluğu kapatır.
Detay

Hangi Problemleri Çözer?

İnternete açık erişim kapısı
Problem: uzaktan erişim yoğunlaştırıcısının adresi internetten görünür, taranır ve bu ürünlerdeki zafiyetler saldırganların düzenli olarak hedef aldığı bir alandır. Kaynakların doğrulanmadan yanıt vermemesi, tarayıcıya ve zafiyet aramasına konu olacak bir hedef bırakmaz.
Ağa toptan erişim
Problem: kullanıcı bağlandığında ağın bir parçası olur ve erişebildiği her şeye ulaşır; ele geçirilmiş bir hesap bu durumda tüm ağa açılan bir kapıdır. Oturuma özel yetki, kullanıcıyı yalnız yetkili olduğu kaynağa bağlar; yanal hareket için gereken görünürlük oluşmaz.
Denetimsiz üçüncü taraf erişimi
Problem: yükleniciler, makine üreticileri ve danışmanlar çoğunlukla kendi araçlarıyla bağlanır; kurum bu bağlantıyı ne görür ne sınırlandırabilir. Erişimin kurumsal politikaya alınması, hangi tarafın hangi sisteme ne zaman bağlandığını kayıtla görünür ve sınırlı kılar.

Sıfır güven ağ erişimi ile klasik uzaktan erişimin farkı

Yazılım tanımlı çevre yaklaşımıyla çalışan sıfır güven ağ erişimi ile klasik sanal özel ağ tabanlı uzaktan erişimin karşılaştırması
Kriter	Klasik uzaktan erişim	Appgate SDP
Erişim kapısı	İnternetten görünür ve taranabilir	Doğrulanmadan önce yanıt vermez
Verilen izin	Ağ üyeliği; segmentteki sistemlere erişim	Oturuma özel, kaynak bazlı yetki
Doğrulama	Çoğunlukla bağlantı kurulurken bir kez	Oturum boyunca yeniden değerlendirme
Karar girdileri	Kimlik; ürüne göre değişir	Kimlik, cihaz duruşu, konum ve zaman
Yanal hareket	Aynı segmentte mümkün olabilir	Kapsam dışı kaynaklar görünmez
Trafik yolu	Çoğunlukla merkezî yoğunlaştırıcı	Kaynağa yakın dağıtık ağ geçitleri

Sık Sorulan Sorular

Mevcut VPN altyapımızdan geçiş nasıl olur?

Geçiş çoğunlukla kademeli yürütülür ve iki altyapı bir süre yan yana çalışır. Yaygın yaklaşım, önce belirli bir kullanıcı grubunu (örneğin bilgi teknolojileri ekibi veya bir departman) ya da belirli bir uygulama kümesini yeni modele almak, sonra kapsamı genişletmektir. Bu sırada kaynak envanteri ve erişim matrisi çıkarılır: kimin hangi sisteme gerçekten ihtiyacı olduğu çoğu kurumda ilk kez bu aşamada netleşir ve projenin asıl işi de burasıdır. Kapsam ve sıra PoC'de birlikte belirlenir.

Kaynakların görünmez olması ne anlama geliyor?

Korunan sistemler, gelen istek kriptografik olarak doğrulanana kadar yanıt üretmez. Pratikte bunun anlamı şudur: bir saldırgan ağı veya internet adresini taradığında karşısında açık bir port ve yanıt veren bir servis görmez, dolayısıyla hedefi tespit edip zafiyet arayamaz. Erişim altyapısının kendisi de bu şekilde korunur; uzaktan erişim ürünlerindeki zafiyetlerin doğrudan hedef alınması bu modelde zorlaşır.

Kurum içi kurulum mümkün mü?

Evet. Kurulum kurum içi, bulut veya hibrit olabilir; bu karar erişim kararlarının ve kayıtların nerede tutulacağını da belirler. Dağıtık ağ geçitleri farklı lokasyonlardaki kaynakların önünde konumlanır: veri merkezindeki sistemler için orada, bulut iş yükleri için o bulutta bir geçit tanımlanır. Trafik kaynağa en yakın geçit üzerinden ilerlediği için bütün trafiği tek merkezden geçirmenin getirdiği gecikme oluşmaz.

Mevcut kimlik altyapımızla çalışır mı?

Evet. Kurumun kimlik sağlayıcısı ve çok faktörlü kimlik doğrulama çözümü kullanılır; ayrı bir kullanıcı havuzu oluşturulmaz ve kullanıcılar zaten kullandıkları kimlikle bağlanır. Doğrulama bağlantı anıyla sınırlı değildir: oturum sürerken kimlik sağlayıcı üzerinden yeniden doğrulama yapılabilir ve cihaz duruşundaki değişiklikler değerlendirmeye girer. Koşullar bozulduğunda yetki daraltılır veya kaldırılır.

Üçüncü taraf ve yüklenici erişimi nasıl yönetilir?

Bu, ürünün en sık kurulduğu senaryolardan biridir. Yüklenici kurumsal ağa alınmaz; yalnız çalışacağı sisteme giden bir yol tanımlanır ve bu yol süreyle, saatle ve cihaz koşullarıyla sınırlandırılabilir. Erişim bittiğinde yetki kaldırılır. Kayıtlar hangi tarafın hangi sisteme ne zaman bağlandığını gösterir; bu, denetimde en sık sorulan sorulardan birine kayıtla cevap verilmesini sağlar.

Ayrıcalıklı hesapların denetimi de bu ürünle mi yapılır?

Hayır, bunlar farklı katmanlardır. Appgate SDP kullanıcının hangi kaynağa erişebileceğine karar verir; sistem yöneticisi gibi ayrıcalıklı hesapların oturum içinde ne yaptığının kaydedilmesi, parola kasası ve oturum denetimi ise ayrıcalıklı erişim yönetiminin konusudur. İkisi birbirini tamamlar: erişim ağ geçidi yolu açar, ayrıcalıklı erişim yönetimi o yolun sonundaki oturumu denetler. Innoset portföyünde bu katman Kron PAM ile karşılanır.

Üreticinin sürekliliği konusunda ne söylenebilir?

Appgate, Mayıs 2024'te alacaklılarıyla önceden anlaşarak bir yeniden yapılandırma süreci başlattı ve Temmuz 2024'te bu süreci tamamlayarak borçsuz biçimde, halka açık olmayan bir şirket olarak faaliyetine devam etti. Mevcut lider yatırımcılar çoğunluk hissedar oldu ve şirkete ek sermaye sağlandı; teminatsız alacaklılar olağan akışında ödendi. Ürün geliştirmesi bu süreç boyunca sürdü ve sonrasında yeni sürüm yayımlandı. Kurumsal değerlendirmelerde üretici sürekliliği sorusu meşru bir başlıktır; güncel finansal durum ve destek taahhütleri için üreticiden yazılı bilgi talep edilebilir.

Lisanslama nasıl kurgulanır?

Lisans abonelik modelindedir ve çoğunlukla kullanıcı ya da cihaz sayısına göre kademelendirilir; kurulum modeli (kurum içi, bulut, hibrit) ve ağ geçidi sayısı toplam kapsamı belirler. Kurum belirli bir kullanıcı grubuyla başlayıp genişleyebilir. Kesin metrik, boyutlandırma ve ticari model teklif aşamasında netleştirilir; süreç Innoset üzerinden yürütülür.

Türkiye'de Appgate

Türkiye'de karşılaşılabilen tablo şudur: uzaktan erişim pandemi döneminde hızla genişletilmiş ve o günden beri aynı yapıyla çalışmaktadır. Erişim yoğunlaştırıcısının adresi internetten görünür; bu ürünlerde açıklanan zafiyetler her seferinde acil yamalama telaşı yaratır. Kullanıcı bağlandığında ağın bir parçası olur ve erişebildiği sistemler çoğunlukla ağ segmentiyle sınırlıdır, ihtiyacıyla değil. Yükleniciler ve makine üreticileri kendi araçlarıyla bağlanır; bu bağlantıların bir bölümü kurumun envanterinde bile yoktur. Denetimde "kim, hangi sisteme, ne zaman erişti" sorusu sorulduğunda cevap birden çok kaynaktan derlenmeye çalışılır.

Appgate'in bu tabloda iki ayırt edici tarafı vardır. Birincisi kaynakların doğrulanmadan görünmemesidir: taranacak bir hedef bulunmadığı için erişim altyapısının kendisi saldırı yüzeyi olmaktan çıkar. İkincisi erişimin ağ üyeliği yerine kaynak bazlı tanımlanmasıdır; her kullanıcı kendi mikro çevresinde çalışır ve ele geçirilmiş bir hesabın ulaşabileceği alan o kullanıcının yetkisiyle sınırlı kalır. ISO 27001 erişim kontrolü ve uzaktan çalışma kontrolleri ile 7545 sayılı Kanun kapsamındaki erişim denetimi yükümlülükleri için teknik kanıt sağlayabilir; uyum yükümlülüğü kurumda kalır. Innoset, Appgate'in Türkiye iş ortağı olarak lisanslama, kurulum, PoC ve Türkçe teknik destek süreçlerini yürütür.