Bulut Güvenlik Stratejisi: AWS, Azure ve GCP En İyi Uygulamalar [2026]

Bulut Ortamında Güvenlik Neden Farklı?

Geleneksel sunucu yönetimi:

• Sunucunun fiziksel güvenliğini kontrol ediyorsunuz
• İşletim sistemini güncelliyorsunuz
• Network'ü yönetiyorsunuz
• Backup'ları alıyorsunuz

Bulut ortamında:

• Fiziksel sunucu Amazon/Microsoft/Google tarafından yönetiliyor
• İşletim sistemi güvenliği (yamalama vb.) sizin sorumluluğunuz
• Network, sizin tarafından tanımlanmalı
• Backup özellikleri yapılandırmalısınız

Bu, "Paylaşılan Sorumluluk Modeli" (Shared Responsibility Model) olarak bilinir.

Paylaşılan Sorumluluk Modeli (Shared Responsibility Model)

AWS Sorumluluğu

AWS, fiziksel altyapıyı güvender:

• Veri merkezi güvenliği (fiziksel)
• Ağ infrastrüktürü
• Sunucu donanımı (virüslü disk değiştirme, vb.)
• Hipervisor (virtualization yazılımı)

Müşteri (Sizin) Sorumluluğu

Siz, yazılım ve yapılandırmayı güvenlersiniz:

• İşletim sistemi yamaları
• Uygulamalar ve kütüphaneler
• Ağ yapılandırması (security groups, NACLs)
• Kimlik ve erişim yönetimi (IAM)
• Veri şifreleme
• Firewall kuralları

Temel Kural: "AWS reddederse, siz yaparsınız."

Hizmet Türüne Göre Sorumluluk

Hizmet	AWS Sorumluluğu	Sizin Sorumluluğunuz
IaaS (EC2)	Fiziksel, Hypervisor	OS, Uygulamalar, Veri
PaaS (RDS)	OS, DB Engine, Backup	Veri, Erişim kontrolü
SaaS (Salesforce)	Tümü	Hesap yönetimi, Veri

IAM: Kimlik ve Erişim Yönetimi

IAM Nedir?

IAM, AWS kaynakları kimin erişebileceğini, ne yapabileceğini kontrol etmektedir.

Temel Konseptler:

1. Users (Kullanıcılar)

İnsan veya uygulama hesaplarıdır.

En İyi Uygulama:

• Root account kullanmayın (çok güçlü, tehlikeli)
• Her geliştirici için ayrı IAM user oluşturun
• Root account'u 2FA ile koruyun

2. Groups (Gruplar)

Ortak görevleri olan kullanıcıları grupla.

Örnek: Geliştirme grubuna developer1, developer2 ve developer3 atanabilir. Admin grubuna admin1 ve admin2 atanabilir. Bu gruplandırma, ortak görevleri olan kişilere bir anda izin vermek kolaylaştırır.

3. Roles (Roller)

Kaynaklara erişim hakkı veriren izin koleksiyonu.

Örnek: Geliştirme rolüne virtual sunucuları başlat/durdur, depolama alanına yazma okuma, veritabanına bağlanma gibi izinler verilebilir. Admin rolüne tüm AWS işlemleri için izin verilebilir.

4. Policies (Politikalar)

Rollerin ne yapabileceğini tanımlar.

Örnek Politika: Bir politika, belirli virtual sunucuları başlatmak için izin verir. Bu politika, tüm sanal sunucuları değil, sadece tanımlı bir sunucuyu başlatmak izni veriyor. Bu, minimum yetki prensibinin uygulanmasıdır.

IAM Best Practices

1. Least Privilege (Minimum Yetki)

Sadece gerekli izinler verin.

Kötü: "Tüm EC2 işlemleri" izni İyi: "Sadece belirli EC2 instance'ları başlat/durdur" izni

2. Separate Accounts (Ayrı Hesaplar)

Üretim ve development ortamları için ayrı AWS hesapları kullanın. Böylece, development'da bir hata, production'a zarar vermez.

3. MFA (Multi-Factor Authentication)

Özellikle admin hesapları için, 2FA zorunlu yapın.

4. Regular Audit

Ayda bir kez, "Kimler ne erişebiliyor?" kontrol edin.

• Kimler değişti?
• Kim ayrılmış ama erişimi hala var?

5. Service Roles

Uygulamalar, AWS API'si kullanarak diğer AWS kaynaklarına erişmesi gerekebilir. Bu için "Service Roles" kullanın.

Örnek: Bir sanal sunucu üzerinde çalışan uygulama, depolama alanına dosya yazmak istiyor. Uygulamaya doğrudan depolama izni yerine, aracılık yöntemi kullanılabilir. Sunucu, belirli bir role (S3AccessRole) varsaydığını ve bu rolle depolamaya erişim sağlanır. Bu sayede, uygulamanın kendine depolama parolası yazmak zorunda kalmaz.

Ağ Güvenliği

VPC (Virtual Private Cloud)

VPC, özel bir ağdır (Private Network) ki AWS ortamında özel ve izole edilmiştir.

Security Groups (İçeri/Dışarı Firewall)

Traffic'i, port ve protocol seviyesinde kontrol ederler.

Örnek: Web sunucuları grubunda, internetten gelen HTTP ve HTTPS trafiğine izin verilir. Ancak, SSH yönetim erişimi sadece belirli admin IP adresinden gelmeli. Dışarı çıkış trafiğine de izin verilir. Bu şekilde, web sunucuları internete açık ancak yönetimi sınırlıdır.

Network ACLs (Ağ Tabanlı Firewall)

Security groups'dan daha kapsamlı, subnet seviyesinde kontrol.

VPN ve AWS Direct Connect

Şirket ağını AWS'ye güvenli bağlantı:

• VPN: İnternet üzerinden şifreli tünel
• AWS Direct Connect: Özel bağlantı hattı (ISP'ye sözleşme gerekir)

Veri Şifreleme

Encryption at Rest (Saklı Veri)

S3, RDS, EBS gibi hizmetlerde saklanan veri şifreli olmalı.

AWS Hizmetleri:

• S3: SSE-S3 (AWS anahtarı) veya SSE-KMS (müşteri anahtarı)
• RDS: Encryption enabled
• EBS: Encrypted snapshots

Best Practice: Müşteri tarafından yönetilen anahtarlar (KMS) kullanın.

Encryption in Transit (İletim Sırasında)

Client ile AWS arasında, ve AWS hizmetleri arasında TLS/SSL kullanılmalı.

Örnek:

• HTTPS (S3, API)
• TLS (Database connections)

WAF: Web Application Firewall

Uygulamaya özgü saldırıları bloke eden bulut firewall'ı.

Örneğe:

• SQL Injection attemptleri
• XSS (Cross-Site Scripting) saldırıları
• DDoS

AWS WAF veya CloudFlare WAF kullanabilirsiniz.

CloudTrail: Audit Logging

AWS API'ye yapılan tüm çağrıların logu.

Neden önemli?

• "Kimler ne yaptı?" sorusunun cevabı
• Uyumluluk (HIPAA, PCI-DSS vb.)
• İncelemelerde kanıt

Best Practice:

• CloudTrail logs'ları S3'e yazın (ve S3'e erişim kısıtlayın)
• Logs'ları CloudWatch'a gönderin (real-time monitoring için)
• Logs'lar merkezi bir hesaba gönderin (cross-account audit)

Azure Güvenlik

Azure Role-Based Access Control (RBAC)

Azure'daki IAM sistemi RBAC denir.

Temel Roller:

• Owner: Tüm işlemler + erişim yönetimi
• Contributor: Tüm işlemler (erişim yönetimi hariç)
• Reader: Okuma işlemleri

Azure Key Vault

Şifreleme anahtarları, sızırlar (secrets) ve sertifikaları güvenli saklama.

Saklanabilecekler:

• Parolalar
• API anahtarları
• Veritabanı bağlantı stringleri
• SSH private keys

Azure Security Center

Bulut kaynakları için risk taraması ve öneriler.

• Zafiyetler taraması
• Compliance denetimi
• Threat intelligence

GCP Güvenlik

GCP IAM

Google Cloud'un IAM sistemi.

Benzersiz Özellikler:

• Service accounts doğrudan oluşturulabilir
• Fine-grained permissions
• Custom roles

Cloud Armor

GCP'deki Web Application Firewall.

Cloud Key Management Service (Cloud KMS)

Şifreleme anahtarı yönetimi.

Bulut Uyumluluk

KVKK ve Bulut

KVKK, veri işleme konusunda platform agnostiktir. Bulut kullanıyor olmanız, uyumluluk gereksinimlerini azaltmaz.

Zorunluluklar:

• Veri şifreli olmalı
• Erişim kontrolü olmalı
• Audit logs tutulmalı

Veri Lokalizasyonu (Data Residency)

Bazı ülkelerde, veriler o ülkenin coğrafyasında saklanmalı.

Örnek: Rusya, veri lokalizasyonu talep ediyor. Yani, Rus vatandaş verisi Rusya'da sunucu'da saklanmalı.

AWS Regions:

• eu-west-1 (İrlanda)
• eu-central-1 (Frankfurt)

Türk müşteri verisi, Avrupa sunucularında saklanabilir.

Bulut Güvenlik Kontrol Listesi

IAM

• Root account kullanılmıyor mu?
• Tüm kullanıcı erişimi "least privilege"?
• Ayrılmış çalışanların erişimi kaldırıldı mı?
• MFA tüm admin'ler için aktif mi?
• Service roles düzgün yapılandırılmış mı?

Ağ

• Security groups minimal izin veriyor mu?
• Unauthorized portlar kapalı mı?
• VPN/Direct Connect kullanılıyor mu (eğer gerekse)?
• NACLs yapılandırılmış mı?

Veri

• Tüm data-at-rest şifreli mi?
• Tüm data-in-transit TLS üzerinde mi?
• Şifreleme anahtarları güvenli saklanıyor mu?
• Backup'lar alınıyor mu?
• Backup'lar test ediliyor mu?

Monitoring

• CloudTrail (AWS) / Activity Logs (Azure) aktif mi?
• Logs merkezi bir yerde toplanıyor mu?
• Anormal aktivite için alert var mı?
• Logs saklama süresi yeterli mi?

Uyumluluk

• KVKK gereksinimleri karşılanıyor mu?
• Veri lokalizasyonu kontrol ediliyor mu?
• Sertifikasyon (ISO 27001 vb.) hedefleniyor mu?

Multi-Cloud Stratejisi

Bazı şirketler, birden fazla bulut sağlayıcısı kullanır (AWS + Azure + GCP). Neden?

• Vendor lock-in'den kaçınma
• Özel hizmetlerden faydalanma
• Disaster recovery (bir sağlayıcı düşerse, başkasında çalışır)

Multi-Cloud Güvenlik Zorlukları

• Her sağlayıcının farklı IAM modeli
• Farklı şifreleme hizmetleri
• Farklı network yapıları
• Kompleks audit ve monitoring

Çözüm: Cloud Security Posture Management (CSPM) araçları

CSPM: Cloud Security Posture Management

Bulut kaynakları otomatik olarak taranır ve güvenlik yapılandırma hataları bulunur.

Araçlar:

• Cloudflare Posture Management
• Wiz
• CloudSploit
• Prowler

Kontroller:

• Encrypted volumes var mı?
• Public S3 buckets var mı?
• Open security groups var mı?
• Outdated instances var mı?

Bulut Güvenliğine Başlamak

Evre 1: Foundation (1-2 ay)

1. Güvenlik odaklı network kurma (VPC, Security Groups)
2. IAM yapılandırması
3. CloudTrail logging

Evre 2: Hardening (2-3 ay)

1. Veri şifreleme uygulaması
2. Monitoring ve alerting
3. Backup stratejisi

Evre 3: Advanced (3+ ay)

1. CSPM araçları
2. Multi-account strategy
3. Incident response planning

Evre 4: Compliance (Continuous)

1. Regular audits
2. Penetration testing
3. Uyumluluk sertifikaları (ISO 27001)

Sonraki Adımlar

Bulut güvenliği, gözlemleme ve devam etmektir. Başlamak için:

1. Mevcut Durum Değerlendir: Hangi bulut hizmetleri kullanıyorsunuz?
2. Riskler Tanımla: En kritik veriler nelerdir?
3. Strategi Geliştir: KVKK/GDPR uyumluluğu, backup, monitoring
4. Uygula: Öncelikli risklerden başlayın
5. Takip Et: Düzenli audit ve testing

Siber Güvenlik ve Yazılım Güvenliği Hizmetleri rehberi, bulut ortamını da kapsayan genel bir çerçeve sunmaktadır. Ayrıca KVKK ve GDPR Teknik Uyumluluk yazısında, bulut ortamında uyumluluk detayları ele alınmaktadır.

Smart Maple, şirketlerin AWS, Azure veya GCP'ye güvenli şekilde geçiş yapmasını ve bulut ortamında güvenliği korumasını sağlar. Bulut güvenlik stratejisi geliştirmek için smart-maple.com adresinden iletişime geçin.