DCAP Gerçekten Ne Yapabiliyor? Mimariler, Gerçekler ve Beklentiler

DCAP (Data-Centric Audit and Protection) çözümleri, Türkiye pazarında henüz yeni sayılabilecek ürünler arasında yer alıyor. Ancak kısa sürede birçok kurumun dikkatini çekmeyi başardılar. Yine de, ne kullanıcılar ne de üreticiler açısından DCAP sistemlerinden ne bekleneceği konusunda net bir fikir birliği vardır.

Bugün piyasadaki DCAP sistemleri temelde benzer üç işlev vaat ediyor: kurumsal veri depolarında denetim, veri sınıflandırma ve veri koruma. Ancak bu görevleri yerine getirme biçimleri büyük farklılıklar gösterebiliyor. Bu yazıda, mimari tercihlere göre değişen bu farklılıkları, her yaklaşımın güçlü ve zayıf yönlerini ve ulaşılabilecek denge noktasını ele alıyoruz.

DCAP Mimarileri: Temel Yaklaşımlar

DCAP sistemleri, dosya denetimini veri depolarına ve log kayıtlarına bağlanarak gerçekleştirir. Kaynaklar arasında kullanıcı bilgisayarları, paylaşımlı ağ klasörleri, bulut ortamları, dosya ve e-posta sunucuları, depolama sistemleri (SAN/NAS), veritabanları ve etki alanı denetleyicileri bulunur. DCAP’in bu kaynaklarla çalışma şekli, mimarisine bağlıdır: Ağ tabanlı mı, yoksa ajan tabanlı mı?

Ağ tabanlı DCAP çözümleri daha yaygındır. Bu çözümler, veri depolarına ağ protokolleri üzerinden erişir; içerikleri tarar, logları okur, dosya niteliklerini ve erişim haklarını analiz eder. Genellikle paylaşımlı klasörler, bulut depoları veya harici dosya logları gibi dış kaynaklarla çalışır.

Daha nadir tercih edilen ajan tabanlı DCAP çözümleri, kaynak sistemlere kurulan ajanlarıyla çalışır. Bu ajanlar işletim sistemine entegre edilir, dosya ve işlemlerle ilgili ayrıntılı bilgileri toplayabilir: kullanıcı etkinlikleri, erişim hakları, dosya işlemleri, oturum bilgileri vb. Ancak bu ajanlar yalnızca yerel altyapılarda (PC’ler, fiziksel dosya sunucuları) çalışabilir.

Mimari, sistemin bu görevleri ne ölçüde ve hangi yetkinlikte yerine getirebileceğini doğrudan etkiler. Gartner’a göre bir DCAP çözümünün üç ana görevi vardır:

• Verinin keşfi ve sınıflandırılması
• Dosya işlemleri ile erişim haklarının izlenmesi
• Verinin korunması

Şimdi, bu işlevlerin farklı mimari yaklaşımlar içinde nasıl hayata geçirildiğine yakından bakalım.

1. Depolama Denetimi

DCAP sistemleri, ne kadar fazla kaynağı kapsayabiliyorsa o kadar etkilidir. İdeal koşullarda sistem, lokal ve ağ tabanlı tüm veri depolarını izleyebilmeli; dosya işlemleri ve erişim yetkilerine dair verileri de ilgili log kayıtlarından çekebilmelidir.

Bunun için farklı işletim sistemlerini destekleyen ajanlar, çeşitli ağ protokolleri (FTP, API, WebDav vb.) ve dosya sistemleri (DFS, Ext4, NTFS vb.) desteği; ayrıca e-posta sunucuları, etki alanı denetleyicileri ve bulut hizmetleriyle entegrasyon gerekir. Bu kombinasyon, sistemi her ortama uyum sağlayabilecek şekilde evrensel kılar; ancak pratikte bu düzeyde kapsam sunan ürün sayısı oldukça azdır.

Ağ tabanlı DCAP çözümleri, NFS, FTP, SMB gibi protokoller aracılığıyla daha fazla depoya erişebilir ve bu sayede farklı türdeki ortamlara bağlanabilir. İşletim sisteminden bağımsız çalışmaları da önemli bir avantajdır. Ancak dosya işlemlerine ilişkin ayrıntılı veriler çoğu zaman elde edilemez. Üstelik ağ bağlantısı kesildiğinde sistem tamamen işlevsiz hale gelir.

Ajan tabanlı DCAP çözümleri daha sınırlı sayıda depoyla çalışabilir. Ajanlar bulut ortamlarına veya e-posta sunucularına kurulamaz; ayrıca doğrudan belirli bir işletim sistemine bağlıdır. Buna karşın, ajanların en önemli avantajı şudur: Çoğu zaman işletim sisteminin sunduğu yetkilerin ötesine geçebilirler. Örneğin, kullanıcı giriş/çıkışları ve dosya işlemleri gibi olaylara ilişkin kendi kayıtlarını oluşturabilirler. Bu sayede yalnızca kaynağın aktardığı verilerle sınırlı kalmaz, daha zengin ve ayrıntılı bilgi toplayabilirler. Bu da depolarda neler olup bittiğine dair daha eksiksiz ve derinlemesine bir görünürlük sağlar. Üstelik ajanlar dosyalara doğrudan ve kesintisiz erişim imkânı sunar.

2. Veri Sınıflandırma

Veri sınıflandırma, DCAP sistemlerinin en kritik işlevlerinden biridir. Bu sınıflandırmaya göre bilgi güvenliği ekipleri kullanıcı yetkilerini belirler ve hangi verilerin ekstra koruma gerektirdiğini tespit eder.

DCAP’in bir dosyayı sınıflandırabilmesi için önce içeriğini okuması gerekir. Bunun için farklı depolama alanları ve formatlara uygun ayrıştırıcılara ihtiyaç vardır. Bu bileşenler dosya içeriğini çıkarır, öznitelikleri toplar ve verileri sistemin işleyebileceği bir forma dönüştürür. Sürece OCR ve Speech-to-Text öğeleri de dâhildir: ses kayıtları yazıya aktarılmalı, görseller tanınmalıdır.

Sonrasında analiz araçları devreye girer: arama motoru ve sınıflandırmanın temelini oluşturan çeşitli arama türleri (öznitelik temelli, sözlük bazlı, düzenli ifadelerle, anlamsal benzerliğe göre vb.). Sistem bu araçlar sayesinde dosya içinde ne tür bilgilerin bulunduğunu anlayabilir: telefon numaraları, teknik çizimler, ödeme belgeleri vb.

Sınıflandırma kurallarına göre, verilere içerik türünü (kişisel veriler, raporlar, sözleşmeler) ve/veya dosyalara önerilen erişim seviyelerini (gizli, herkese açık vb.) tanımlayan etiketler atanır.

Uygulamanın nasıl tasarlandığına bağlı olarak, etiketler:

• Dosya gövdesine gömülür (ve belgeyle çalışan son kullanıcı tarafından görülür),
• Dosyanın meta verilerine yazılır (işletim sistemi, dosya sistemi ve yazılım tarafından görülür),
• Yalnızca DCAP sistemi içinde dosyanın “kısa tanımı” olarak kalır (ve sadece bilgi güvenliği uzmanı tarafından görülür).

Uygulamada bu yapı şu şekilde işler. Hem ağ tabanlı hem de ajan tabanlı DCAP sistemleri, depolardaki dosyalar hakkında bilgi toplayan ayrıştırıcılara sahiptir. Bu ayrıştırıcılar dosya içeriğini okur ve sistemlere içinde ne tür veriler bulunduğuna dair bir özet sunar.

Farklılıklar sınıflandırma etiketlerinin eklenmesi aşamasında başlar. Etiketleri “gömme”, yani fiziksel olarak dosyaya ya da meta verisine ekleme işlemini yalnızca ajan tabanlı sistemler yapabilir. Ağ tabanlı DCAP sistemleri bu işlemi gerçekleştiremez ve yalnızca program ortamında var olan etiketlerle sınırlı kalır.

Ancak etiketin nerede konumlandığı, DCAP’in bir sonraki öncelikli görevi olan dosya koruması konusunda nasıl performans göstereceğini doğrudan etkiler.

3. Dosya Koruma

Dosyalara erişim kontrolü, DCAP sistemlerinin bilgi güvenliği açısından en çok talep edilen işlevlerinden biri. Sistem, kullanıcıların kendilerine ait olmayan dosyalarla gerçekleştirmeye çalıştığı riskli işlemleri engellemelidir. Bu, bilgilerin dışarı aktarılması, değiştirilmesi veya silinmesi gibi ihlalleri önler.

Erişim kontrolü farklı şekillerde uygulanabilir. Örneğin, işletim sistemlerinin ve dosya sistemlerinin temel olarak sunduğu yöntemlerle: tekil dosyalar, dizinler ve bunlarla yapılan işlemler (görüntüleme, değiştirme, silme vb.) seviyesinde, kullanıcıya veya gruba açık olacak şekilde. Bu tür kısıtlamalar, dosya ya da klasöre erişimi dosya özniteliklerine göre sınırlar. Ancak kullanıcı yönetici yetkisi alırsa, öznitelikleri (örneğin dosya uzantısını) değiştirirse, içeriği yeni bir dosyaya kopyalarsa ya da dosyayı başka bir klasöre taşırsa, bu önlemler etkisiz kalır.

Standart erişim kontrol modellerinin yetersiz kaldığı durumlarda, bunları tamamlayan ve geliştiren bir çözüm de içerik tabanlı modeldir.

Bu mekanizma şu şekilde işler: dosya sistemini kontrol eden sürücü, dosyada yer alan etiketi algılar ve DCAP sistemine nasıl işlem yapılması gerektiğine dair “talimat” için başvurur. Sistem aşağıdaki formatta komutlar üretir:

• Hangi dosya sınıfına (etiket ve özniteliklere göre),
• Kimlerin (kullanıcılar/gruplar),
• Nerede (belirli bir bilgisayarda, belirli bir depolama alanında),
• Nasıl (belirli bir işlem aracılığıyla – Word, Teams, özel mesajlaşma uygulamaları vb.),
• İşlem yapmasına izin verileceği ya da verilmeyeceği belirlenir.

Örneğin: “Muhasebe Raporları” etiketli dosyalarla “Yöneticiler” grubu ve A. Çelik adlı kullanıcının işlem yapması engellensin. Veya: “Özel” etiketli dosyaların e-posta, mesajlaşma ve bulut uygulamalarında açılması yasaklansın (yani bu dosyaların eklenti olarak gönderilmesi ya da harici depolara yüklenmesi engellensin).

Etiket, dosya gövdesinde metin ya da filigran olarak değil de dosyanın meta verilerine gömülü şekilde yer alıyorsa, çıkarılması mümkün değildir. İçerik başka bir dosyaya taşınsa bile etikete bağlı kısıtlamalar korunur. Dolayısıyla bu tür etiketlerle yapılan engellemeleri aşmak oldukça zordur – bu da güvenilirlik sağlar. Bu ise yalnızca DCAP ajanlarının dosya işlemlerini yöneten sürücülere entegre olduğu sistemlerde mümkündür.

Bu durum, dosyaları gerçekten koruyabilen sistemlerin yalnızca ajan tabanlı DCAP çözümleri olduğunu gösterir. Ağ tabanlı sistemlerde erişim kontrolü işlevi ya hiç bulunmaz ya da yalnızca yukarıda belirtilen işletim sistemi araçlarıyla sınırlı kalır (eğer ağ üzerinden kontrol edilen depolama alanı buna izin veriyorsa) – bu da olanakları kısıtlar.

Denge Noktası

Görüldüğü üzere, her iki DCAP türünün de belirli sınırlamaları vardır. Ağ tabanlı sistemler çok sayıda kaynağa erişebilir, ancak daha az veri elde eder. Ajan tabanlı sistemler dosyaları çok daha iyi korur, fakat yalnızca yerel depolarda çalışır. Oysa en doğru olan, her iki yaklaşımın da avantajlarını birleştiren bir çözümdür. Yani hem ajan hem de ağ tabanlı özellikleri kullanan hibrit bir DCAP sistemi.

Teoride hibrit bir DCAP sistemi; denetimden sınıflandırmaya, erişim kontrolünden dosya işlemlerinin geçmişini izlemeye kadar her şeyi yapabilir. Ancak pratikte bu hâlâ parçalı ilerliyor: ağ üzerinden gerçek zamanlı engelleme mümkün değil, ajanlar ise buluta kurulamayabiliyor. Dolayısıyla DCAP üreticilerinin çözmesi gereken asıl mesele, denetim ve korumanın her yerde aynı kalitede çalışmasını sağlamaktır.

Yöntemler farklı olabilir, ancak ortak bir yaklaşım henüz oluşmuş değil. Örneğin, çözüm sistemler arası entegrasyonlarla sağlanabilir. Bu noktada ilk adım, DCAP sistemlerinin ihtiyaç duyduğu ancak kendisinde bulunmayan verileri, başka sistemlerde mevcut kaynaklardan almak olabilir.

Dosya işlemlerini ele alalım. Her depolama sistemi, kendi işletim sistemi ve dosya sistemine göre bu işlemleri belli bir formatta loglar. Eğer depolama sistemi Windows tabanlıysa, onun kayıtları okunmalı. Eğer NetApp gibi özel bir dosya sistemi kullanıyorsa, ona ait kayıtlar dikkate alınmalı. Bu kayıtlar, ek kaynak olarak sisteme entegre edilebilir. Sonuçta DCAP, bu logları okuyarak içlerindeki dosya işlemlerine ilişkin bilgileri, depolardaki dosyalara ilgili verilerle eşleştirebilir

İkinci adım, işlevselliği diğer çözümlerden tamamlamaktır.

Diyelim ki belirli bir üreticinin DCAP sistemi, bulut ortamında dosya erişimini engelleyemiyor çünkü ağ üzerinden izlenen kaynaklarda etiketler dosyaya gömülemiyor. Ancak aynı üreticinin DLP çözümü bu işlevi destekliyor. Bu durumda, açıkça görülüyor ki ürünlerin sorunsuz biçimde entegre edilmesi (hatta ortak bir arayüzde bulunması) gerekiyor. Ya da diğer üreticilerin ürünleriyle entegrasyon için çeşitli araçlar sunulmalı.

Sonuç

Görünen o ki, “kâğıt üstünde kusursuz” bir DCAP sistemi, pratikte hem uygulanamaz hem de gereksiz olabilir. Doğru çözüm, ihtiyaçlara göre şekillenmelidir: bir kullanıcı için denetim yeterli olurken, bir başkası dosya erişim kontrolünü öncelikli görebilir.

Yine de beklentimiz, DCAP çözümlerinin ajan tabanlı ve ağ tabanlı yaklaşımların avantajlarını birleştiren bir yapıya evrilmesi yönünde. Böylece, kapsamlı izleme ile etkili koruma arasında zorunlu bir tercih yapmak gerekmeyecek.

Yöntemler ve araçlar değişiklik gösterebilir – biz gelişmeleri izlemeyi sürdüreceğiz ve hangi yaklaşımın daha etkili olduğunu birlikte göreceğiz.