Mirket PAM (Ayrıcalıklı Erişim Yönetimi) Teknik Rehberi!
PAM nedir, nasıl çalışır? Mirket PAM ile ajansız RDP/SSH erişimi, parola kasası, komut politikası ve aranabilir oturum kaydı. Teknik özellikler ve lisans modeli.
Ayrıcalıklı erişim yönetimi (PAM), yöneticilerin sunuculara nasıl eriştiğini denetleyen ve kaydeden sistemdir. Mirket PAM bunu hedef sunuculara ajan kurmadan, parolayı kullanıcıya göstermeden ve her oturumu aranabilir metin olarak kaydederek yapar. Bu rehberde PAM'in ne olduğunu, Mirket PAM'in nasıl çalıştığını ve teknik özelliklerini bulacaksınız.
Ayrıcalıklı erişim yönetimi (PAM) nedir?
Ayrıcalıklı erişim yönetimi (PAM), yöneticilerin sistemlere nasıl eriştiğini denetleyen ve kaydeden bir güvenlik katmanıdır. Kullanıcı yönetici parolasını bilerek bağlanmak yerine belirli bir hedef için yetkilendirilir; kimlik bilgileri kullanıcı adına oturuma aktarılır, oturum kaydedilir ve her işlem bir kişiyle ilişkilendirilir.
Ayrıcalıklı Erişim Yönetimi Çözümlerimizin Özelliklerini Keşfedin!
Kurumlar neden PAM kullanır?
Etki alanı yöneticisi, Linux root, güvenlik duvarı yönetim hesabı veya veritabanı sahibi gibi kritik hesaplar çoğunlukla paylaşılır, parolaları nadiren değişir ve saldırganların ilk hedefidir. PAM'in çözdüğü dört sorun şunlardır:
| Sorun | Sonuç | PAM'in yanıtı |
|---|---|---|
| Altı kişi aynı yönetici parolasını kullanıyor | Günlük, hesabın bağlandığını gösterir ama hangi kişinin işlem yaptığını göstermez | Her oturum bir kullanıcıya bağlanır ve kaydedilir |
| Parolalar betiklere, yapılandırma dosyalarına ve hafızaya yayılıyor | Parolayı bilen herkesle birlikte kurum dışına çıkabilir | Parola kasada tutulur, oturuma aktarılır, kullanıcıya gösterilmez |
| Tek hesap yeterli | Ele geçirilen yönetici parolası aynı parolayı kabul eden tüm sunucularda çalışır | Yetki yükseltmede MFA, tam zamanında erişim, otomatik parola değiştirme |
| Denetim için kanıt gerekiyor | Bu sunucuya kim erişti, hangi komutları çalıştırdı sorusu hesap listesiyle yanıtlanamaz | Video kaydı ve aranabilir komut dökümü |
Mirket PAM nasıl çalışır?
Mirket PAM, yönetilen sunuculara ajan kurmadan çalışır. Hedefler varlık olarak kaydedilir; kullanıcı MFA ile doğrulanır, politika ve rol bazlı yetkilendirme (RBAC) kontrolünden geçer, kimlik bilgisi oturuma aktarılır ve oturum gerçek zamanlı izlenip kaydedilir. Şüpheli davranış oturumu otomatik sonlandırabilir; yetkili bir kullanıcı canlı oturuma katılabilir.
-
1. Keşif
Etki alanına bağlı sunucular işletim sistemi, OU ve yerel hesaplarıyla envantere alınır.
-
2. Hesap eşlemesi
Bu kullanıcı, bu sisteme, bu hesapla bağlanır şeklinde tanımlanır; kullanıcı parola değil hedef seçer.
-
3. Oturum politikası
Kullanıcı/grup, hedef ve zaman planına göre izin, ret veya onay verilir.
-
4. Oturumun açılması
Kimlik bilgisi aktarılır, asla gösterilmez.
-
5. Kayıt
Oturum video ve metin dökümü olarak kaydedilir.
Mirket PAM'de yöneticiler hangi yollarla bağlanır?
Üç erişim yolu vardır ve üçünde de aynı politika, kimlik bilgisi aktarımı ve kayıt uygulanır:
| Erişim yolu | Protokoller | İstemci kurulumu |
|---|---|---|
| İzole tarayıcı (HTML5) | RDP, SSH, web konsolları | Gerekmez |
| Tek kullanımlık başlatıcı | Yerel RDP (Microsoft Remote Desktop), yerel SSH (Windows'ta PuTTY, macOS'ta Terminal), SFTP | Gerekmez |
| Mirket ajanı | Yerleşik RDP ve SSH araçları | Gerekir |
Başlatıcı dosyası oluşturulduktan sonra bir dakika içinde çalıştırılmalı ve yalnızca bir kez kullanılabilir. Güvenlik duvarı, hipervizör veya yedekleme konsolu gibi web arayüzleri de aynı izole tarayıcıda açılır; kimlik bilgilerini Mirket girer, kullanıcı görmez.
Mirket PAM'in teknik özellikleri nelerdir?
Mirket PAM; parola kasası, oturum ve komut politikası, tam zamanında erişim, oturum kaydı ve envanter keşfini tek platformda sunar. Özellikler dört grupta toplanır.
Kimlik bilgisi yönetimi
| Özellik | Teknik davranış |
|---|---|
| Parola kasası | Ayrıcalıklı hesap parolaları saklanır ve oturuma aktarılır |
| Otomatik parola değiştirme | Hesap bazında takvim; gün aralığı ve saat tanımlanır |
| SSH anahtar yönetimi | Anahtar çiftleri merkezi saklanır ve döndürülür |
| Gizli bilgi kasası ve kimlik bilgisi sağlayıcısı | Uygulama sırları şifreli saklanır, çalışma anında istenir |
| Glass Break | Şifreli, tek kullanımlık kurtarma parolalı acil durum paketi |
Oturum güvenliği
| Özellik | Teknik davranış |
|---|---|
| Komut politikası | Kapalı, kara liste veya beyaz liste; denetim kaydı, engelleme veya oturumu sonlandırma |
| Yetki yükseltmede MFA | Oturum içinde yeniden doğrulama veya yönetici onayı |
| Tam zamanında (JIT) erişim | Gerekçe, onaylayan ve süre; kimse kendi talebini onaylayamaz |
| Pano ve dosya aktarımı | Giriş/çıkış ve yükleme/indirme ayrı ayrı yetkilendirilir |
Komut politikası komut satırı bulunan her oturumda geçerlidir: RDP, SSH, cihazın CLI konsolu veya RemoteApp ile yayımlanan veritabanı istemcisi.
Kayıt ve denetim
| Özellik | Teknik davranış |
|---|---|
| Oturum kaydı | Yerel ve tarayıcı oturumlarında video; boşta geçen bölümler atlanır |
| Komut dökümü | Aranabilir, filtrelenebilir, CSV dışa aktarılabilir; komuta tıklayınca oynatıcı o ana gider |
| Canlı oturum görünümü | Kimin nereye bağlı olduğu; oturuma katılma veya sonlandırma |
| Raporlar | Kullanıcı ve varlık bazında, planlanabilir, e-postayla gönderilebilir |
| Erişim matrisi | Kim, hangi sisteme, hangi hesapla erişebiliyor |
Envanter keşfi
Varlık keşfi etki alanındaki sunucuları ping ve WinRM erişilebilirliğiyle içe aktarır. Hesap keşfi yerel hesapları son oturum açma ve grup üyeliğiyle listeler. Zamanlanmış yeniden keşif günlük, haftalık, aylık, her N saat/dakika veya cron ifadesiyle çalışır.
Mirket PAM nasıl kurulur ve lisanslanır?
Mirket PAM yalnızca kurum içinde (on-premise), Linux üzerinde çalışır; ayrı Windows atlama sunucusu veya ek işletim sistemi lisansı gerekmez. Mirket Portal zaten MFA, SSO veya Self-Servis için kuruluysa PAM bu portalın bir modülüdür. Yüksek erişilebilirlik aktif-pasif çiftle sağlanır: yedek düğüm sürekli eşitlenir ve aktif düğüm yanıt vermezse görevi devralır.
Lisanslama kullanıcı bazlı veya eşzamanlı oturum bazlı olabilir; ikisinden biri seçilir. Varlık başına lisans yoktur, yönetilen sunuculara değil kullanıcılara ödenir. Kurum içi erişim için ayrı ZTNA lisansı gerekmez; Mirket Native Client PAM'e dahildir.
PAM, uyumluluk gereksinimlerine nasıl katkı sağlar?
Hiçbir ürün tek başına mevzuata uyum sağlamaz. Mirket PAM, ayrıcalıklı erişim için değerlendirilen gereksinimlere kanıt üretir:
| Standart | Madde | Kanıt |
|---|---|---|
| PCI DSS v4.x | Gereksinim 7 ve 8 | Rol bazlı erişim, bireysel kullanıcı ilişkilendirmesi, erişim matrisi |
| PCI DSS v4.x | Gereksinim 10 | Oturum videosu ve komut dökümü |
| ISO/IEC 27001:2022 | A.8.2, A.8.15, A.8.18 | Ayrıcalıklı erişim hakları, günlük kaydı, yardımcı program kullanımı |
| NIS2 | Madde 21 | Erişim kontrolü, MFA, varlık yönetimi |
Kavram kanıtında (PoC) neleri test etmelisiniz?
1. Bir değil, üç oturum kaydı isteyin. Yerel RDP oturumu, yerel SSH oturumu ve bir web konsolu (güvenlik duvarı, hipervizör veya yedekleme sistemi) kaydını ayrı ayrı doğrulayın. Kapsamın en sık bittiği yer üçüncüsüdür.
2. Arayamadığınız kaydı kanıt saymayın. Belirli bir komutu aratıp oynatıcının o ana gittiğini ve engellenen komutun oturumu durdurduğunu doğrulayın.
Sık Sorulan Sorular
S: Mirket PAM, yönetilen sunuculara ajan kurulmasını gerektirir mi?
Hayır. Hedef sistemler varlık olarak kaydedilir ve Mirket üzerinden RDP, SSH veya tarayıcıyla erişilir. Korunan sunuculara hiçbir şey kurulmaz. Yönetici tarafındaki üç erişim yolundan yalnızca Mirket ajanı istemci kurulumu gerektirir.
S: Yöneticiler kendi RDP ve SSH istemcileriyle bağlanabilir mi?
Evet. Portalın oluşturduğu başlatıcı Windows ve macOS'ta Microsoft Remote Desktop ile yerel RDP, SSH için Windows'ta PuTTY ve macOS'ta Terminal açar; SFTP de aynı yetkilendirmeyle çalışır. Başlatıcı bir dakika içinde çalıştırılmalı ve yalnızca bir kez kullanılabilir.
S: Mirket PAM, RDP ve SSH oturumlarını kaydeder mi?
Evet. Hem video hem aranabilir metin olarak kaydeder ve bunu yalnızca tarayıcı oturumlarında değil, yerel RDP ve SSH oturumlarında da yapar.
S: Oturum kayıtlarında komuta göre arama yapılabilir mi?
Evet. Her oturum için video yanında metin dökümü üretilir. Döküm aranabilir, filtrelenebilir ve CSV olarak dışa aktarılabilir; bir komutu aradığınızda oynatıcı o komutun yazıldığı ana gider.
S: Belirli komutların çalıştırılması engellenebilir mi?
Evet. Kara liste veya beyaz liste modundaki komut politikası, eşleşmede denetim kaydı oluşturabilir, komutu engelleyebilir veya oturumu sonlandırabilir. Politika RDP, SSH, cihazın CLI konsolu ve RemoteApp ile yayımlanan veritabanı istemcileri dahil komut satırı bulunan her oturumda geçerlidir.
S: Mirket PAM parolaları kasada saklayıp otomatik değiştirebilir mi?
Evet. Parolalar merkezi olarak saklanır, kullanıcıya gösterilmeden oturuma aktarılır ve hesap bazında belirlenen takvime göre değiştirilir. SSH anahtar çiftleri de aynı şekilde saklanır ve döndürülür.
S: Tam zamanında erişim (JIT) nedir?
Kalıcı ayrıcalık vermek yerine, onaylanmış bir zaman aralığında açılan ve süresi dolunca sona eren erişimdir. Mirket'te her talep gerekçe ve adı belirli bir onaylayan içerir; kimse kendi talebini onaylayamaz ve erişim süresi dolmadan iptal edilebilir.
S: Üçüncü taraf tedarikçilere ayrıcalıklı erişim verilebilir mi?
Evet. Tedarikçi mühendisine ağ genelinde VPN hesabı vermek yerine, yalnızca desteklediği ekipmana belirli süreyle geçerli ve kaydedilen bir oturum açılabilir.
S: Mirket PAM bulutta çalışır mı?
Hayır. PAM yalnızca kurum içinde çalışır; oturum kayıtları ve aktarılan kimlik bilgileri kendi sunucularınızda kalır. MFA, SSO ve Güvenli Self-Servis ise hem kurum içinde hem hizmet olarak sunulabilir.
S: Mirket PAM nasıl lisanslanır?
Kullanıcı başına veya eşzamanlı oturum başına; ikisinden biri seçilir. Varlık başına lisans yoktur. Mirket Native Client PAM'e dahildir ve kurum içi erişim için ayrı ZTNA lisansı gerekmez.
Mirket PAM'i Ortamınızda Deneyin
Teknik demolar, PoC talepleri veya kurum içi yetkilendirme süreçlerinizi güvenle otomatize etmek için bizimle iletişime geçin.
Mirket PAM PoC Süreçlerini Başlatın! →